La Ley Marco de Ciberseguridad obliga a la banca, los servicios financieros y los medios de pago a prevenir, reportar y resolver incidentes, con una alerta temprana al CSIRT Nacional en tres horas. Le mostramos qué exige y cómo gestionarlo con controles, evaluaciones y planes de acción.
En resumen
Qué regula
Fija los requisitos mínimos para prevenir, contener, resolver y responder a incidentes de ciberseguridad, y crea la ANCI y el CSIRT Nacional (arts. 1, 10 y 24).
A quién obliga
Entre los servicios esenciales del artículo 4 están la banca, los servicios financieros y los medios de pago. Los operadores de importancia vital, que la ANCI califica por resolución, suman los deberes del artículo 8.
Quién supervisa
La ANCI dicta protocolos e instrucciones, califica a los operadores, fiscaliza y sanciona; el CSIRT Nacional recibe los reportes. Si el regulador sectorial tiene normas al menos equivalentes, fiscaliza él (art. 37).
Vigencia
La ley rige desde el 1 de enero de 2025; el deber de reportar, los deberes de los operadores de importancia vital y las sanciones, desde el 1 de marzo de 2025 (DFL 1-21.663).
Qué exige
Todas las instituciones obligadas previenen, reportan y resuelven incidentes. Los operadores de importancia vital, además, cumplen los deberes del artículo 8.
Aplicar de forma permanente medidas tecnológicas, organizacionales, físicas o informativas para prevenir, reportar y resolver incidentes, con los protocolos y estándares de la ANCI y los de su regulador sectorial (art. 7).
Alerta temprana en tres horas, segundo reporte en 72 —24 si un operador de importancia vital ve afectado su servicio esencial— e informe final en quince días corridos desde la alerta (art. 9 y Decreto 295, arts. 9 a 13).
Los operadores de importancia vital implementan un sistema continuo que evalúe la probabilidad y el impacto de los incidentes, y mantienen un registro de sus acciones (art. 8, letras a y b).
Planes de continuidad operacional y ciberseguridad, certificados por entidades del registro de la ANCI y revisados al menos cada dos años, más las certificaciones que exija la ley (art. 8, letras c y f, y art. 28).
Revisiones, ejercicios, simulacros y análisis continuos de redes y sistemas, comunicados al CSIRT Nacional, y medidas oportunas para reducir el impacto y la propagación de un incidente (art. 8, letras d y e).
Informar al CSIRT Nacional el plan de acción ante un incidente, adoptado en un máximo de siete días corridos, y avisar a los potenciales afectados cuando la ANCI lo requiera (art. 8, letra g, y art. 9).
Programas de capacitación, formación y educación continua para trabajadores y colaboradores, con campañas de ciberhigiene (art. 8, letra h).
Designar un delegado de ciberseguridad que actúe como contraparte de la ANCI e informe a los directores, gerentes o ejecutivos principales (art. 8, letra i).
Consecuencias
Las infracciones son leves, graves o gravísimas (arts. 38 y 39), con multas de hasta 5.000, 10.000 y 20.000 UTM, que suben a 10.000, 20.000 y 40.000 UTM si el infractor es un operador de importancia vital (art. 40). No reportar conforme al artículo 9 es infracción grave, y reincidir dentro de un año eleva la calificación. Para fijar la multa se consideran, entre otros factores, las medidas que había adoptado la institución, la gravedad de los efectos y su tamaño y capacidad económica. Las infracciones prescriben a los tres años.
Cómo lo resolvemos
Snap Compliance no es una herramienta de ciberseguridad: no detecta ataques ni envía los reportes al CSIRT Nacional. Lo que sí hace es llevar la Ley 21.663 a su modelo de cumplimiento. Compliance Agent la incorpora a su catálogo de regulaciones aplicables y la convierte en controles, evaluaciones, KRIs y planes de acción con responsables y seguimiento, homologables con otros marcos normativos. Risk Copilot evalúa los riesgos de ciberseguridad en mapas de calor de probabilidad e impacto, del riesgo inherente al residual, y su IA sugiere controles mitigadores. Y el toolkit ISO/IEC 27001:2022 entrega la documentación editable de un sistema de gestión de seguridad de la información; es un punto de partida y no certifica a la entidad.
Módulos de Snap Compliance
Ley 19.913 · UAF
Ley 19.913: prevención del lavado de activos en Chile
Ley 20.393 · Ministerio Público
Ley 20.393: modelo de prevención de delitos en Chile
Ley 21.719 · Agencia de Protección de Datos Personales
Ley 21.719: protección de datos personales en Chile
Revisamos con usted dónde está su entidad frente a esta normativa y qué le falta para dejarlo demostrado.
Hablar con un especialistaLucía
Asistente virtual · Snap Compliance
Antes de empezar
Soy Lucía, te estaré brindando asistencia por este medio y ayudarte con lo que necesites de Snap Compliance.
Tratamos tus datos conforme a las leyes y normativas aplicables.