El marco legal en Chile, en simple

Es la hoja de ruta del país, no una ley con multas. Fue publicada en el Diario Oficial el 4 de diciembre de 2023 y orienta hacia dónde van las leyes y la acción del Estado hasta 2028.

Sus ejes son:

• Infraestructura resiliente, preparada para resistir ciberataques con gestión de riesgos.
• Derechos de las personas en el entorno digital.
• Cultura de ciberseguridad: educación y buenas prácticas.
• Coordinación entre el sector público y privado, y con otros países.
• Industria e investigación en ciberseguridad.

Para ti: no te obliga directamente, pero sirve como argumento. Si necesitas presupuesto para capacitación o continuidad, citar la política nacional muestra que no es un capricho del área de TI.

Creó la Agencia Nacional de Ciberseguridad (ANCI) y el CSIRT Nacional, y obliga a quienes prestan servicios esenciales a prevenir, reportar y resolver incidentes.

A quién obliga. Son servicios esenciales los organismos de la Administración del Estado, los servicios concesionados y las instituciones privadas de energía, combustibles, agua, telecomunicaciones, infraestructura digital, servicios TI administrados por terceros, transporte, banca y pagos, seguridad social, servicios postales, prestación institucional de salud (hospitales, clínicas, consultorios y centros médicos) y farmacéuticos.

Dentro de ellos, la ANCI califica a los operadores de importancia vital (OIV), que tienen exigencias mayores. En julio de 2026 confirmó a 239 instituciones (Resolución Exenta 187).

Reporte de incidentes. Se reportan al CSIRT Nacional los incidentes con efectos significativos: los que interrumpen un servicio esencial, afectan la salud o integridad de las personas, comprometen datos personales o implican acceso no autorizado a sistemas.

Multas. Hasta 5.000 UTM por infracciones leves, 10.000 por graves y 20.000 por gravísimas. En los OIV pueden llegar al doble, con un tope de 40.000 UTM.

Reemplaza el régimen de la antigua Ley 19.628, crea la Agencia de Protección de Datos Personales y aplica tanto a empresas como a órganos públicos.

Qué exige, en simple:

• Saber qué datos tratas, para qué y con qué base legal.
• Responder a las personas que ejercen sus derechos, como acceso, rectificación, supresión, oposición y portabilidad.
• Cuidar especialmente los datos sensibles, como los de salud.
• Tener medidas de seguridad y notificar las vulneraciones a la Agencia y, cuando corresponda, a los afectados.
• Tener contratos con los proveedores que tratan datos por ti.

Multas. Hasta 5.000 UTM por infracciones leves, 10.000 por graves y 20.000 por gravísimas. En reincidencia gravísima, las empresas no pequeñas pueden enfrentar hasta el 4% de sus ingresos anuales. Las sanciones quedan en un registro público.

¿Desde cuándo? La ley dice 1 de diciembre de 2026. Un proyecto del Gobierno (boletín 18.623-07) propone moverla al 15 de octubre de 2027: el Senado lo aprobó el 28 de octubre y la Comisión de Constitución de la Cámara, el 5 de noviembre. Ahora está en la Comisión de Hacienda.

Doble reporte. Cuando la ley rija, un incidente que comprometa datos personales en un servicio esencial deberá informarse al CSIRT Nacional por la Ley 21.663 y también a la Agencia de Protección de Datos. Conviene tener un solo procedimiento de incidentes que contemple ambos.

Es la norma técnica de seguridad de la información y ciberseguridad de la Ley 21.180 de Transformación Digital del Estado. Se publicó el 17 de agosto de 2023 y aplica a las plataformas electrónicas de los órganos del Estado.

• Un diagnóstico inicial del estado de ciberseguridad de las plataformas.
• Una política de seguridad aprobada por el jefe de servicio.
• Un responsable institucional de seguridad de la información y un responsable de los activos. Ninguna de las dos funciones se puede externalizar.
• Procesos para identificar, proteger, detectar, responder y recuperar, con guías técnicas de la División de Gobierno Digital.

Para ti: si trabajas en el sector público, esta norma te da el respaldo formal para pedir que se designe un encargado, se apruebe una política y se haga un inventario de activos, como en la guía 1.

Actualizó los delitos informáticos según el Convenio de Budapest. Tipifica, entre otros, el ataque a la integridad de un sistema, el ataque a la integridad de los datos, el acceso ilícito y el fraude informático. También modificó la Ley 20.393, así que estos delitos pueden generar responsabilidad penal para las personas jurídicas.

Para ti: te sirve para denunciar un ataque, pero también es un recordatorio interno. Probar o acceder a sistemas sin autorización puede ser delito, aunque la intención sea buena. Por eso cualquier escaneo o prueba de seguridad debe tener permiso por escrito.