Servicio esencial · Biobío y Ñuble Ciberseguridad para municipios y organismos públicos
Municipalidades, servicios públicos, gobiernos regionales y empresas del Estado tienen que reportar sus incidentes al CSIRT Nacional en 3 horas. En el Gran Concepción, cinco municipios ya tuvieron un ataque que salió en la prensa. Los mismos ataques le sirven a cualquier organismo para revisar lo suyo.
Todo organismo del Estado tiene 3 horas para reportar un incidente al CSIRT Nacional. Cinco municipios del Gran Concepción ya pasaron por uno.
¿Prefieres partir solo? Haz la autoevaluación.
Casos reales · Gran Concepción, 2023 a 2025
Ciberataques a municipios en Chile: cinco casos del Biobío
Ransomware en la Municipalidad de Chiguayante
Dejó sin pagos en línea, patentes ni permisos de circulación, y atrasó las remuneraciones. El alcalde reconoció que no había respaldo de la información. Radios Regionales
Qué es el ransomware →Lota: ataque al proveedor de nube del municipio
El ataque fue al proveedor de nube que alojaba sus sistemas. Doce días después, licencias de conducir, pagos a proveedores y remuneraciones seguían funcionando a medias. BioBioChile
Qué es el riesgo de terceros →Hualpén: robo del WhatsApp de Seguridad Pública
Tomaron el WhatsApp de la Dirección de Seguridad Pública y lo usaron para pedir depósitos a sus contactos. ConceAhora
Qué es la ingeniería social →Penco: hackeo de la página de Facebook municipal
Les tomaron la página de Facebook del municipio, con más de 51 mil seguidores. Radio Agricultura
Cómo capacitar a los funcionarios →Concepción: Clave Única vulnerada y factura falsa por $39 millones
Cambiaron la Clave Única de funcionarios y mandaron correos desde un dominio parecido al municipal. Llegó una factura por un servicio que nadie contrató, y una funcionaria la detectó. Fast Check
Qué es el phishing →Lo que pasó sale de la nota enlazada. La columna de la derecha es nuestra recomendación, no la causa confirmada del ataque.
Marco legal
Ley 21.663 y D.S. 7: qué le exigen a un organismo público
Todo organismo del Estado presta un servicio esencial, esté o no en la nómina de OIV. Un municipio, un servicio público y un gobierno regional tienen los mismos deberes de base.
Medidas para prevenir y responder incidentes (art. 7°). Alerta al CSIRT Nacional en 3 horas, segundo reporte en 72 horas e informe final en 15 días (art. 9°).
Desde el 1 de marzo de 2025.
Deberes del art. 8° y segundo reporte en 24 horas si se afecta el servicio.
Desde el 17 de diciembre de 2025.
Política de seguridad aprobada por el jefe de servicio y un responsable de seguridad que no se puede externalizar (art. 5°).
Publicado en agosto de 2023. Rige con la gradualidad de la Ley 21.180.
Reportar las filtraciones de datos (art. 14 sexies). La multa la paga el jefe superior: del 20 % al 50 % de su remuneración mensual (art. 44).
1 de diciembre de 2026.
Los 9 básicos de la ciberseguridad
Actualizar, capacitar, minimizar privilegios, respaldar, segmentar redes, asegurar equipos, monitorear, usar doble factor y usar gestor de contraseñas.
Guía de 2025.
| Norma | A quién aplica | Qué exige | Vigencia |
|---|---|---|---|
| Ley 21.663Servicio esencial | Ministerios, servicios públicos, gobiernos regionales, municipalidades y empresas públicas (arts. 1° y 4°). | Medidas para prevenir y responder incidentes (art. 7°). Alerta al CSIRT Nacional en 3 horas, segundo reporte en 72 horas e informe final en 15 días (art. 9°). | Desde el 1 de marzo de 2025. |
| Res. Ex. 87/2025Nómina de OIV | Los 29 Servicios de Salud, entre otros organismos. Municipios y gobiernos regionales quedaron fuera de este primer proceso. | Deberes del art. 8° y segundo reporte en 24 horas si se afecta el servicio. | Desde el 17 de diciembre de 2025. |
| D.S. 7/2023Norma técnica de seguridad, Segpres | Órganos de la Administración del Estado. | Política de seguridad aprobada por el jefe de servicio y un responsable de seguridad que no se puede externalizar (art. 5°). | Publicado en agosto de 2023. Rige con la gradualidad de la Ley 21.180. |
| Ley 21.719Datos personales | Todo órgano público que trate datos personales. | Reportar las filtraciones de datos (art. 14 sexies). La multa la paga el jefe superior: del 20 % al 50 % de su remuneración mensual (art. 44). | 1 de diciembre de 2026. Hay un proyecto para postergarla (Boletín 18.623-07). |
| Los 9 básicos de la ciberseguridadGuía de la ANCI, 2025 | Recomendada a toda organización. | Actualizar, capacitar, minimizar privilegios, respaldar, segmentar redes, asegurar equipos, monitorear, usar doble factor y usar gestor de contraseñas. | Guía de 2025. En 2026 la ANCI consultó volver obligatorios seis de ellos. |
Para entender la leyQué es la Ley 21.663Qué es un OIVQué es la Ley 21.719
Revisado el . Fuente: Ley Chile (Biblioteca del Congreso Nacional), Diario Oficial y los documentos enlazados. Esto no es asesoría legal.
Cómo trabajamos
Asesoría de ciberseguridad para organismos públicos
Partimos con 30 minutos con la jefatura, el encargado de informática o la administración municipal. Después revisamos si alguno de estos cinco casos podría repetirse en tu organismo.
Te entregamos qué cerrar primero, y apoyamos al responsable de seguridad con la política y el procedimiento para avisar a la ANCI. Se contrata por Mercado Público.
Lo que no hacemos
- No reemplazamos al encargado de informática.
- No administramos los sistemas del organismo ni los de sus proveedores.
- No vendemos licencias ni equipos.
Preguntas
Preguntas frecuentes sobre ciberseguridad en el sector público
¿La Ley 21.663 aplica a las municipalidades que no son OIV?
Sí. Toda municipalidad presta un servicio esencial (arts. 1° y 4°) y tiene que reportar al CSIRT Nacional los incidentes con efectos significativos (art. 9°). Lo mismo vale para servicios públicos y gobiernos regionales. Ser OIV agrega otros deberes.
¿Un organismo público puede externalizar al encargado de ciberseguridad?
No. El D.S. 7 de 2023 dice que la función de responsable de seguridad no se puede externalizar (art. 5°). Una empresa externa puede apoyar a esa persona, pero no reemplazarla.
¿Cómo se contrata una asesoría de ciberseguridad por Mercado Público?
Como cualquier servicio. Hasta 100 UTM se puede usar la Compra Ágil; sobre ese monto, la modalidad que defina tu unidad de compras.
Quién firma
Soy Fabián Meza, fundador de Brumaz, en Concepción. Si quieres saber cuál de estos cinco casos podría repetirse en tu municipio o servicio, conversemos 30 minutos.
Fabián Meza · fundador