Qué es la Ley 21.663 y por qué alcanza a quien no es OIV

La Ley 21.663, conocida como Ley Marco de Ciberseguridad, creó la Agencia Nacional de Ciberseguridad (ANCI) y estableció deberes concretos para las entidades que prestan servicios esenciales. Su instrumento central es la calificación de Operadores de Importancia Vital.

La ANCI ya calificó 1.154 operadores en dos etapas: 915 en la primera nómina y 239 más en julio de 2026, incorporando transporte, sector sanitario, farmacéutico y seguridad social. Si tu empresa no está en esa lista, es fácil asumir que la ley no te toca. Ese supuesto es el error más caro que puede cometer una mediana empresa chilena.

Por qué alcanza a los proveedores

El artículo 4 define como servicio esencial a los servicios digitales y de tecnologías de la información gestionados por terceros. Cualquier empresa mediana que provea software, hosting o soporte gestionado queda sujeta a los deberes del artículo 7 y es candidata directa a ser calificada. No es casualidad que 413 de las 915 entidades de la primera nómina vengan de ese rubro.

Pero el arrastre va más allá de los proveedores de TI. Mediante el Oficio N.º 203 de 2025, la ANCI pidió formalmente a los prestadores esenciales que informen quiénes son sus proveedores, y usa la dependencia de la cadena de suministro y la existencia de proveedor único como criterios de calificación.

El resultado práctico: si tu cliente principal es un banco, una eléctrica, una minera o una institución del Estado, la exigencia te alcanza por vía contractual aunque tu empresa nunca figure en una nómina oficial. No porque tú seas operador vital, sino porque ellos lo son y la ley los obliga a exigírtelo.

Los plazos de reporte

Para quienes sí califican, los plazos son exigentes y corren desde que se toma conocimiento del incidente: alerta temprana en 3 horas, actualización en 72 horas —24 si es un operador vital con afectación del servicio—, informe final en 15 días corridos y plan de acción en un máximo de 7 días.

Las multas van de 5.000 a 40.000 UTM y se duplican cuando el incidente involucra a un operador vital. Pero el problema operativo no es la multa: son las 3 horas. Ese plazo solo se cumple si está decidido de antemano quién declara el incidente y quién notifica.

Qué hacer si no eres OIV pero le vendes a uno

Lo primero es determinar la exposición real: revisar la cartera de clientes e identificar cuáles son operadores calificados o pertenecen a sectores que ya fueron incorporados. Esa lista define la urgencia.

Lo segundo es anticipar el requisito contractual en vez de esperarlo. Los controles que un cliente regulado va a pedir son predecibles —control de accesos, gestión de parches, respaldo verificado, plan de respuesta a incidentes con plazos, evidencia de todo lo anterior— y prepararlos con tiempo es bastante más barato que hacerlo contra una fecha de licitación.

Lo tercero es mirar hacia abajo. Si te comprometes a notificar un incidente en un plazo, necesitas que tus propios proveedores estén obligados a avisarte antes. Ese alineamiento se resuelve en los contratos.

Cómo se relaciona con la Ley 21.719

Se confunden con frecuencia porque ambas hablan de ciberseguridad y ambas tienen plazos. La 21.663 protege la continuidad de los servicios esenciales y su autoridad es la ANCI; la 21.719 protege los datos personales y su autoridad es la Agencia de Protección de Datos.

Un mismo incidente puede activar las dos: si un ransomware detiene tu operación y además compromete datos personales, corren obligaciones paralelas ante autoridades distintas y con plazos distintos. Un plan de respuesta que no contemple esa bifurcación termina cumpliendo una y olvidando la otra.

Preguntas frecuentes

¿Cómo sé si mi empresa fue calificada como OIV?

La calificación se notifica formalmente por la ANCI y las nóminas son públicas. Si nunca recibiste una notificación, lo más probable es que no estés calificada — lo que no significa que la ley no te alcance: la vía habitual para una mediana empresa es contractual, a través de sus clientes.

¿Los plazos de reporte me aplican si no soy OIV?

Los plazos legales aplican a las entidades obligadas. Pero si tu contrato con un cliente regulado te impone plazos de aviso propios —y suele hacerlo— esos sí te obligan, y con frecuencia son más cortos que los legales.

¿Es lo mismo que la Ley 21.719?

No. La 21.663 protege la continuidad de servicios esenciales y responde ante la ANCI; la 21.719 protege datos personales y responde ante la Agencia de Protección de Datos. Un mismo incidente puede activar ambas, con plazos y destinatarios distintos, y por eso conviene que el plan de respuesta contemple los dos caminos.