Por rubro
Ciberseguridad para clínicas, centros médicos y laboratorios
La Ley 21.663 incluye la prestación institucional de salud entre los servicios esenciales. Si un ataque deja sin sistema a tu centro, hay un máximo de 3 horas, desde que se sabe del incidente, para enviar la alerta temprana al CSIRT Nacional de la ANCI. Conviene saber antes quién la envía y desde dónde.
Si un ataque deja sin sistema a tu centro, hay un máximo de 3 horas para enviar la alerta temprana a la ANCI.
¿Prefieres partir solo? Haz la autoevaluación (2 minutos).
Escenario ilustrativo · Bitácora de incidente
Las primeras tres horas
- 07:40
Recepción no puede abrir la agenda. Las pantallas muestran un mensaje de rescate.
Desde que se sabe, corre el plazo de la alerta temprana.
- 07:55
El encargado de TI confirma que el servidor de la ficha clínica está cifrado.
- 08:10
Hay que decidir si se suspende la atención agendada y cómo se avisa a los pacientes.
- 08:30
Se llama al proveedor del software clínico.
- 09:15
¿Quién tiene Clave Única habilitada para el portal de la ANCI?
- 10:40
Vence la alerta temprana al CSIRT Nacional: 3 horas desde las 07:40.
Luego: segundo reporte dentro de 72 horas desde que se supo del incidente; informe final dentro de 15 días corridos desde la alerta temprana.
Escenario ilustrativo. Los plazos son los del art. 9° de la Ley 21.663 y del Decreto 295; la secuencia es un ejemplo. Solo se reportan incidentes con efectos significativos.
En terreno
Lo que vemos en centros de salud
- El usuario del box de atención es "box3" y la clave está en un papel pegado bajo el teclado.
- La ficha clínica está en la nube del proveedor, pero se entra sin doble factor.
- Equipos de imagen o de laboratorio con sistemas operativos antiguos, conectados a la misma red que recepción.
- Resultados de exámenes enviados por correo personal o por WhatsApp.
- El respaldo lo hace el proveedor y nadie le ha pedido una prueba de restauración.
Marco legal
Qué dice la ley
Un centro de salud presta un servicio esencial. Ser Operador de Importancia Vital es otra cosa: la ANCI lo decide por resolución y trae deberes adicionales.
Ley 21.663 · Servicio esencial
Reportar al CSIRT Nacional los incidentes con efectos significativos: alerta temprana en 3 horas, segundo reporte en 72 horas, informe final en 15 días (art. 9°).
Reporte obligatorio desde el 1 de marzo de 2025.
Res. Ex. 87/2025 · Operadores de Importancia Vital
Deberes reforzados (art. 8°) y segundo reporte en 24 horas si se afecta el servicio.
Desde el 17 de diciembre de 2025.
Ley 21.719 · Datos personales
Los datos de salud son sensibles. Si se filtran con riesgo para los pacientes, hay que reportarlo a la Agencia y avisarles a ellos (art. 14 sexies).
1 de diciembre de 2026.
Ley 20.584 · Derechos de los pacientes
Confidencialidad de la ficha clínica. Solo accede quien participa en la atención (arts. 12 y 13).
Vigente.
Los 9 básicos de la ciberseguridad · Guía de la ANCI, 2025
Actualizar, capacitar, minimizar privilegios, respaldar, segmentar redes, asegurar equipos, monitorear, usar doble factor y usar gestor de contraseñas.
Guía de 2025.
| Norma | A quién aplica | Qué exige | Vigencia |
|---|---|---|---|
| Ley 21.663Servicio esencial | Hospitales, clínicas, consultorios y centros médicos, públicos o privados (art. 4°). | Reportar al CSIRT Nacional los incidentes con efectos significativos: alerta temprana en 3 horas, segundo reporte en 72 horas, informe final en 15 días (art. 9°). | Reporte obligatorio desde el 1 de marzo de 2025. |
| Res. Ex. 87/2025Operadores de Importancia Vital | Hospitales de alta complejidad, clínicas privadas acreditadas de alta complejidad y mutualidades. Laboratorios clínicos y centros de imagen quedaron fuera de la nómina definitiva. | Deberes reforzados (art. 8°) y segundo reporte en 24 horas si se afecta el servicio. | Desde el 17 de diciembre de 2025. |
| Ley 21.719Datos personales | Toda empresa que trate datos personales. | Los datos de salud son sensibles. Si se filtran con riesgo para los pacientes, hay que reportarlo a la Agencia y avisarles a ellos (art. 14 sexies). | 1 de diciembre de 2026. Hay un proyecto para postergarla (Boletín 18.623-07). |
| Ley 20.584Derechos de los pacientes | Prestadores de salud. | Confidencialidad de la ficha clínica. Solo accede quien participa en la atención (arts. 12 y 13). | Vigente. |
| Los 9 básicos de la ciberseguridadGuía de la ANCI, 2025 | Recomendada a toda organización. | Actualizar, capacitar, minimizar privilegios, respaldar, segmentar redes, asegurar equipos, monitorear, usar doble factor y usar gestor de contraseñas. | Guía de 2025. En 2026 la ANCI consultó volver obligatorios seis de ellos (actualizar, capacitar, respaldar, asegurar equipos, doble factor y gestor de contraseñas) para las instituciones sujetas a la Ley 21.663. Según la ANCI, habrían evitado cerca del 90 % de los incidentes significativos reportados en 2025. |
Revisado el . Fuente: Ley Chile (Biblioteca del Congreso Nacional), Diario Oficial y los documentos enlazados. Esto no es asesoría legal.
Cómo trabajamos
Cómo trabajamos con un centro de salud
No necesitamos ver fichas clínicas. Revisamos quién puede verlas, desde dónde y con qué clave.
El diagnóstico con la dirección del centro incluye una pregunta que casi nadie tiene resuelta: qué pasa en las primeras tres horas de un incidente y quién reporta a la ANCI.
Desde el primer mes dejamos escrito el plan de respuesta a incidentes, con nombres y teléfonos, y lo ensayamos con el equipo.
Lo que no hacemos
- No accedemos a datos de pacientes.
- No reemplazamos al proveedor del software clínico; le pedimos evidencia.
- No operamos ni configuramos equipos médicos.
Preguntas
Preguntas que nos hacen
¿Un centro médico privado es servicio esencial?
La ley habla de prestación institucional de salud, nombra a los centros médicos e incluye a los privados. Distinto es ser Operador de Importancia Vital: en salud la ANCI calificó a hospitales y clínicas privadas acreditadas de alta complejidad, no a laboratorios clínicos ni centros de imagen. Cómo aplica a tu caso lo revisamos en el diagnóstico; si hay duda, conviene confirmarlo con un abogado.
¿Qué se reporta a la ANCI y en qué plazos?
Los incidentes con efectos significativos, al CSIRT Nacional, por el portal de la ANCI con Clave Única. Alerta temprana en máximo 3 horas desde que se sabe, segundo reporte en 72 horas e informe final en 15 días corridos desde la alerta.
¿Van a revisar fichas clínicas?
No. Revisamos accesos, respaldos y procedimientos, no el contenido.
El software clínico está en la nube del proveedor. ¿Igual es responsabilidad nuestra?
Sí. El centro responde por los datos de sus pacientes; el proveedor trata esos datos por encargo y eso debe quedar en el contrato.
Quién firma
Soy Fabián Meza, fundador de Brumaz. Si hoy no tienes claro quién enviaría la alerta a la ANCI un sábado en la mañana, ese es un buen punto de partida para conversar.
Fabián Meza · fundador