Medidas permanentes de cibersegurança
Aplicar de forma permanente medidas tecnológicas, organizacionais, físicas ou informativas para prevenir, comunicar e resolver incidentes, com os protocolos e padrões da ANCI e os do regulador setorial (art. 7).
Lei 21.663 · ANCI · Chile
Lei 21.663: leve seus deveres de cibersegurança ao seu modelo de compliance
A Lei-Quadro de Cibersegurança obriga bancos, serviços financeiros e meios de pagamento a prevenir, comunicar e resolver incidentes, com um alerta precoce ao CSIRT Nacional em três horas. Mostramos o que ela exige e como gerenciá-la com controles, avaliações e planos de ação.
Em resumo
O que regula
Cibersegurança dos serviços essenciais
Fixa os requisitos mínimos para prevenir, conter, resolver e responder a incidentes de cibersegurança, e cria a ANCI e o CSIRT Nacional (arts. 1, 10 e 24).
A quem obriga
Serviços essenciais e operadores de importância vital
Entre os serviços essenciais do artigo 4 estão bancos, serviços financeiros e meios de pagamento. Os operadores de importância vital, que a ANCI qualifica por resolução, somam os deveres do artigo 8.
Quem supervisiona
ANCI · CSIRT Nacional
A ANCI edita protocolos e instruções, qualifica os operadores, fiscaliza e sanciona; o CSIRT Nacional recebe as comunicações. Se o regulador setorial tiver normas ao menos equivalentes, é ele quem fiscaliza (art. 37).
Vigência
1º de março de 2025
A lei vigora desde 1º de janeiro de 2025; o dever de comunicar, os deveres dos operadores de importância vital e as sanções, desde 1º de março de 2025 (DFL 1-21.663).
O que exige
O que a Lei 21.663 exige
Todas as instituições obrigadas previnem, comunicam e resolvem incidentes. Os operadores de importância vital também cumprem os deveres do artigo 8.
Comunicar ao CSIRT Nacional
Alerta precoce em três horas, segunda comunicação em 72 —24 se um operador de importância vital tiver seu serviço essencial afetado— e relatório final em quinze dias corridos desde o alerta (art. 9 e Decreto 295, arts. 9 a 13).
Sistema de gestão da segurança da informação
Os operadores de importância vital implementam um sistema contínuo que avalie a probabilidade e o impacto dos incidentes, e mantêm um registro de suas ações (art. 8, letras a e b).
Planos de continuidade certificados
Planos de continuidade operacional e cibersegurança, certificados por entidades do registro da ANCI e revisados ao menos a cada dois anos, além das certificações exigidas pela lei (art. 8, letras c e f, e art. 28).
Exercícios e contenção
Revisões, exercícios, simulações e análises contínuas de redes e sistemas, comunicados ao CSIRT Nacional, e medidas oportunas para reduzir o impacto e a propagação de um incidente (art. 8, letras d e e).
Plano de ação e aviso aos afetados
Informar ao CSIRT Nacional o plano de ação diante de um incidente, adotado em no máximo sete dias corridos, e avisar os potenciais afetados quando a ANCI exigir (art. 8, letra g, e art. 9).
Capacitação e ciber-higiene
Programas de capacitação, formação e educação continuada para trabalhadores e colaboradores, com campanhas de ciber-higiene (art. 8, letra h).
Delegado de cibersegurança
Designar um delegado de cibersegurança que atue como contraparte da ANCI e informe os diretores, gerentes ou executivos principais (art. 8, letra i).
Consequências
Infrações e multas
As infrações são leves, graves ou gravíssimas (arts. 38 e 39), com multas de até 5.000, 10.000 e 20.000 UTM, que sobem para 10.000, 20.000 e 40.000 UTM se o infrator for um operador de importância vital (art. 40). Não comunicar conforme o artigo 9 é infração grave, e reincidir dentro de um ano eleva a classificação. Para fixar a multa consideram-se, entre outros fatores, as medidas que a instituição havia adotado, a gravidade dos efeitos e seu porte e capacidade econômica. As infrações prescrevem em três anos.
Como resolvemos
Como a Snap Compliance ajuda
A Snap Compliance não é uma ferramenta de cibersegurança: não detecta ataques nem envia as comunicações ao CSIRT Nacional. O que ela faz é levar a Lei 21.663 ao seu modelo de compliance. O Compliance Agent a incorpora ao catálogo de regulações aplicáveis e a transforma em controles, avaliações, KRIs e planos de ação com responsáveis e acompanhamento, homologáveis com outros marcos normativos. O Risk Copilot avalia os riscos de cibersegurança em mapas de calor de probabilidade e impacto, do risco inerente ao residual, e sua IA sugere controles mitigadores. E o toolkit ISO/IEC 27001:2022 entrega a documentação editável de um sistema de gestão da segurança da informação; é um ponto de partida e não certifica a sua entidade.
Módulos da Snap Compliance
Outras normas de Chile
Ley 19.913 · UAF
Lei 19.913: prevenção à lavagem de dinheiro no Chile
Ley 20.393 · Ministerio Público
Lei 20.393: modelo de prevenção de delitos no Chile
Ley 21.719 · Agencia de Protección de Datos Personales
Lei 21.719: proteção de dados pessoais no Chile
O que mais nos perguntam sobre a Lei 21.663
O que é a Lei 21.663 e desde quando vigora?
A Lei 21.663, Lei-Quadro de Cibersegurança, foi publicada em 8 de abril de 2024. Cria a Agência Nacional de Cibersegurança (ANCI) e, dentro dela, o CSIRT Nacional (arts. 10 e 24), e fixa os deveres de quem presta serviços essenciais. Segundo o DFL 1-21.663, vigora desde 1º de janeiro de 2025, e seus artigos 5, 8 e 9 e as sanções do Título VII, desde 1º de março de 2025. No Compliance Agent você pode incorporá-la ao catálogo de regulações aplicáveis.
Quem está obrigado pela Lei 21.663?
O artigo 4 obriga quem presta serviços essenciais: os órgãos do Estado, os concessionários de serviços públicos e as instituições privadas de energia elétrica, combustíveis, água, telecomunicações, infraestrutura e serviços digitais, transporte, bancos, serviços financeiros e meios de pagamento, previdência social, serviços postais, saúde e produtos farmacêuticos. A ANCI pode qualificar outros serviços como essenciais e designar operadores de importância vital, com deveres adicionais (arts. 5 e 8). Todos devem aplicar de forma permanente medidas para prevenir, comunicar e resolver incidentes (art. 7).
Um banco ou um emissor de cartões está obrigado pela Lei 21.663?
Sim. Bancos, serviços financeiros e meios de pagamento são serviços essenciais segundo o artigo 4, portanto devem aplicar medidas permanentes de cibersegurança e comunicar seus incidentes ao CSIRT Nacional. Além disso, a Resolução Exenta 87 da ANCI, de dezembro de 2025, qualificou como operadores de importância vital instituições de bancos, serviços financeiros e meios de pagamento, com o relatório da CMF e critérios como a importância sistêmica. Essas entidades somam os deveres do artigo 8, que o Compliance Agent ajuda a organizar em controles.
O que é um operador de importância vital e como é qualificado?
É um prestador de serviços essenciais —ou, em certos casos, uma instituição privada que não o é— cujo serviço depende de redes e sistemas informáticos e cuja afetação teria um impacto significativo na segurança, na ordem pública ou na continuidade de serviços essenciais (art. 5). A ANCI o qualifica por resolução fundamentada, com relatórios dos órgãos setoriais e consulta pública, e revisa a lista ao menos a cada três anos (art. 6 e Decreto 285). Contra a qualificação cabem os recursos da Lei 19.880.
Que deveres adicionais têm os operadores de importância vital?
O artigo 8 exige um sistema de gestão da segurança da informação contínuo, que avalie probabilidade e impacto, com registro de suas ações; planos de continuidade operacional e cibersegurança certificados e revisados ao menos a cada dois anos; revisões, exercícios e simulações contínuos; medidas para conter incidentes; as certificações do artigo 28; capacitação com campanhas de ciber-higiene; e um delegado de cibersegurança. O Compliance Agent ajuda a transformar esses deveres em controles, avaliações e planos de ação com acompanhamento.
Em que prazos se comunica um incidente ao CSIRT Nacional?
Segundo o artigo 9 da Lei 21.663 e o Decreto 295: alerta precoce em até três horas desde que se toma conhecimento do incidente; segunda comunicação em até 72 horas, ou 24 se um operador de importância vital tiver seu serviço essencial afetado; e relatório final em até quinze dias corridos desde o alerta. Se o incidente ainda não tiver sido gerenciado, enviam-se relatórios parciais a cada quinze dias. Os operadores de importância vital informam também seu plano de ação, adotado em no máximo sete dias corridos.
Quais incidentes de cibersegurança devem ser comunicados?
Os de efeito significativo: os capazes de interromper a continuidade de um serviço essencial, afetar a integridade física ou a saúde das pessoas ou afetar sistemas que contenham dados pessoais (art. 27). O Decreto 295 acrescenta a afetação da integridade, da confidencialidade ou da disponibilidade de ativos e sistemas, e o acesso não autorizado, ainda que não tenham afetado o serviço (art. 3). Pondera-se o número de afetados, a duração e a extensão geográfica. A comunicação é feita na plataforma da ANCI e omite os dados pessoais.
Que multas a Lei 21.663 prevê?
As infrações são classificadas em leves, graves e gravíssimas (arts. 38 e 39). As multas chegam a 5.000, 10.000 e 20.000 UTM, respectivamente, e ao dobro —10.000, 20.000 e 40.000 UTM— se o infrator for um operador de importância vital (art. 40). Não comunicar um incidente conforme o artigo 9 é infração grave. Para fixar a multa considera-se, entre outros fatores, quanto a instituição havia feito para proteger sua segurança informática, e seu porte e capacidade econômica. O Risk Copilot ajuda a dimensionar esses riscos.
Quem fiscaliza a Lei 21.663 no setor financeiro: a ANCI ou a CMF?
Em regra, a ANCI: fiscaliza, pode inspecionar e determinar auditorias, e sanciona (arts. 11 e 37). Mas se a autoridade setorial editou normas de cibersegurança com efeitos ao menos equivalentes às da ANCI, é ela quem fiscaliza e sanciona com seu próprio procedimento (arts. 26 e 37). Nos bancos, o capítulo 20-10 da RAN da CMF rege a gestão da segurança da informação e da cibersegurança. O Compliance Agent permite homologar controles entre marcos normativos e avaliar ambos.
Certificar-se na ISO 27001 basta para cumprir a Lei 21.663?
Não necessariamente. A lei não menciona a ISO/IEC 27001: exige dos operadores de importância vital um sistema de gestão da segurança da informação contínuo (art. 8) e as certificações que ela e a ANCI determinarem, emitidas por certificadores do seu registro; a ANCI pode homologar certificações internacionais (art. 28). A norma é uma boa base para esse sistema, mas não substitui a comunicação nem os planos certificados. O toolkit ISO/IEC 27001:2022 da Snap entrega sua documentação editável; não certifica.
Seu programa resistiria hoje à revisão de um supervisor?
Revisamos com você onde sua entidade está diante destas normas e o que falta para deixar isso demonstrado.
Falar com um especialista