Qué es la Ley 21.663 y por qué alcanza a quien no es OIV

Por qué alcanza a los proveedores

El artículo 4 define como servicio esencial a los servicios digitales y de tecnologías de la información gestionados por terceros. Cualquier empresa mediana que provea software, hosting o soporte gestionado queda sujeta a los deberes del artículo 7 y es candidata directa a ser calificada. No es casualidad que 413 de las 915 entidades de la primera nómina vengan de ese rubro.

Pero el arrastre va más allá de los proveedores de TI. Mediante el Oficio N.º 203 de 2025, la ANCI pidió formalmente a los prestadores esenciales que informen quiénes son sus proveedores, y usa la dependencia de la cadena de suministro y la existencia de proveedor único como criterios de calificación.

El resultado práctico: si tu cliente principal es un banco, una eléctrica, una minera o una institución del Estado, la exigencia te alcanza por vía contractual aunque tu empresa nunca figure en una nómina oficial. No porque tú seas operador vital, sino porque ellos lo son y la ley los obliga a exigírtelo.

Los plazos de reporte

Para todas las instituciones obligadas, los plazos son exigentes y corren desde que se toma conocimiento del incidente: alerta temprana en 3 horas, actualización en 72 horas —24 si es un operador vital con afectación del servicio—, informe final en 15 días corridos y plan de acción en un máximo de 7 días.

Las multas llegan hasta 5.000, 10.000 o 20.000 UTM según la infracción sea leve, grave o gravísima, y el tope se duplica si el infractor es un operador vital, hasta 40.000 UTM (art. 40). Pero el problema operativo no es la multa: son las 3 horas. Ese plazo solo se cumple si está decidido de antemano quién declara el incidente y quién notifica.

Adecuación a la Ley 21.663: qué tiene que tener una institución obligada

La ley distingue dos niveles. Toda institución que presta un servicio esencial tiene deberes generales, y los Operadores de Importancia Vital suman una lista específica.

Los deberes de todas las instituciones obligadas:

Medidas permanentes (art. 7°)

Para prevenir, reportar y resolver incidentes. Pueden ser tecnológicas, organizacionales, físicas o informativas, y aplican los protocolos y estándares que dicte la ANCI y los de su regulador sectorial.

Reporte de incidentes al CSIRT Nacional (art. 9°)

En los plazos de la sección anterior.

Lo que además exige la ley a un OIV (art. 8°):

a) Sistema de gestión de seguridad de la información

Continuo, que determine los riesgos y evalúe su probabilidad e impacto. Es la gestión de riesgos llevada a un sistema formal.

b) Registro

De las acciones que componen ese sistema.

c) Planes de continuidad operacional y ciberseguridad

Certificados y revisados al menos cada dos años. El detalle está en la guía de continuidad del negocio.

d) Revisiones, ejercicios y simulacros continuos

Informando al CSIRT Nacional.

e) Medidas oportunas para reducir el impacto

De un incidente, incluida la restricción de accesos si hace falta.

f) Certificaciones

Las que exige el artículo 28.

g) Informar a los potenciales afectados

Cuando la Agencia lo requiera.

h) Capacitación continua

De trabajadores y colaboradores, con campañas de ciberhigiene, como explica la guía de concientización.

i) Delegado de ciberseguridad

Contraparte de la Agencia, que informa a directores o gerentes. Es una pieza del gobierno de ciberseguridad.

Ante un incidente, el OIV debe además adoptar un plan de acción en un máximo de siete días corridos e informarlo al CSIRT Nacional (art. 9°).

Adecuarse es cerrar la distancia entre esa lista y lo que existe hoy, con evidencia. El orden habitual es un diagnóstico contra cada letra, un plan con responsables y fechas, y el registro que la propia ley exige.

Cumplimiento de la Ley 21.663 si no eres OIV, pero le vendes a uno

Lo primero es determinar la exposición real: revisar la cartera de clientes e identificar cuáles son operadores calificados o pertenecen a sectores que ya fueron incorporados. Esa lista define la urgencia.

Lo segundo es anticipar el requisito contractual en vez de esperarlo. Los controles que un cliente regulado va a pedir son predecibles —control de accesos, gestión de parches, respaldo verificado, plan de respuesta a incidentes con plazos, evidencia de todo lo anterior— y prepararlos con tiempo es bastante más barato que hacerlo contra una fecha de licitación.

Lo tercero es mirar hacia abajo. Si te comprometes a notificar un incidente en un plazo, necesitas que tus propios proveedores estén obligados a avisarte antes. Ese alineamiento se resuelve en los contratos.

Cómo se relaciona con la Ley 21.719

Se confunden con frecuencia porque ambas hablan de ciberseguridad y ambas tienen plazos. La 21.663 protege la continuidad de los servicios esenciales y su autoridad es la ANCI; la 21.719 protege los datos personales y su autoridad es la Agencia de Protección de Datos.

Un mismo incidente puede activar las dos: si un ransomware detiene tu operación y además compromete datos personales, corren obligaciones paralelas ante autoridades distintas y con plazos distintos. Un plan de respuesta que no contemple esa bifurcación termina cumpliendo una y olvidando la otra.

Preguntas frecuentes