Ley 21.663 · OIV y servicios esenciales
Cuando ocurra un incidente, la ley te da 3 horas para avisar
Dejamos a tu organización cumpliendo la Ley Marco de Ciberseguridad: delegado acreditado, reporte al CSIRT operativo, SGSI y planes de continuidad con evidencia que se mantiene al día.
Plazos de reporte de un incidente
- 3 hAlerta temprana al CSIRT Nacional
- 24 hActualización si un OIV ve afectado su servicio esencial
- 72 hActualización con evaluación inicial (régimen general)
- 15 díasInforme final del incidente
Empresas que confían en nosotros
Más de 3 millones de titulares de datos en Chile, sumando todas ellas
Si tu empresa es OIV o presta un servicio esencial, la Ley 21.663 ya te aplica
Los prestadores de servicios esenciales (PSE) deben reportar incidentes y aplicar medidas permanentes de ciberseguridad. Los operadores de importancia vital (OIV), calificados por la Agencia Nacional de Ciberseguridad (ANCI), además deben mantener un SGSI, planes de continuidad certificados, simulacros y un delegado de ciberseguridad.
Las multas llegan a 20.000 UTM por infracción gravísima y se duplican para un OIV, hasta 40.000 UTM.
Cuatro niveles, según dónde está tu organización hoy
Cada nivel cubre obligaciones concretas de la ley. Si ya trabajas en ISO 27001 o en la Ley 21.719 de protección de datos, solo implementamos lo que falta para la Ley Marco.
Nivel 0Arranque Express Ley Marco
Para OIV y PSE que aún no tienen lo mínimo operativo.
- Designación formal del delegado y del encargado de reporte
- Inscripción en la plataforma de la ANCI
- Protocolo de reporte de 3 h, 24/72 h y 15 días
- Checklist de contención de la Instrucción General N°4
Duración: 3 semanas
Nivel 1Programa PSE
Para prestadores de servicios esenciales no calificados como OIV.
- Todo el Arranque Express
- Procedimiento de gestión de incidentes
- Riesgos priorizados y controles críticos
- Ejercicio de mesa con el equipo directivo
Duración: 3 meses
Nivel 2Programa Integral OIV
Para operadores de importancia vital.
- SGSI con registro de acciones
- Planes de continuidad listos para certificar
- Simulacro de incidente y capacitación continua
- Protocolo de aviso a potenciales afectados
- Auditoría interna de simulación
Duración: 6 meses
Nivel 3Delegado y Cumplimiento Continuo
Para mantener el cumplimiento después de implementar.
- Apoyo al delegado de ciberseguridad
- Medidas preventivas cada 6 meses
- Simulacros periódicos y reporte a la dirección
- Acompañamiento ante incidentes
Servicio mensual
De la designación del delegado a la acreditación
Arranque
Delegado, plataforma ANCI y protocolo de reporte operando en 3 semanas.
Diagnóstico
Brechas frente a la ley, activos del servicio esencial, análisis de impacto y riesgos.
SGSI y continuidad
Políticas, registro de acciones y planes de continuidad listos para certificar.
Pruebas
Simulacro con reloj de 3 horas, capacitación y primeras medidas preventivas.
Cierre
Auditoría interna de simulación e informe del delegado a la alta dirección.
Lo que nos preguntan los equipos de TI y legal
¿Nuestro equipo de TI puede asumir como delegado de ciberseguridad?
La Instrucción General N°3 de la ANCI exige que el delegado tenga independencia funcional respecto de las áreas de TI y un canal directo con la alta administración. Lo recomendable es separar ambos roles.
¿Necesitamos certificar ISO 27001 para cumplir la ley?
No. La ley exige un sistema de gestión de seguridad continuo, no una certificación ISO. Usar ISO 27001 como marco de referencia facilita demostrar ese sistema.
Ya estamos implementando la Ley 21.719 o ISO 27001. ¿Partimos de cero?
No. Reutilizamos el análisis de riesgos, las políticas y el proceso de incidentes, y agregamos solo lo propio de la Ley Marco: delegado, reporte a la ANCI, continuidad y simulacros.
¿Qué pasa si tenemos un incidente durante el programa?
Desde el Arranque Express queda operativo el protocolo de reporte de 3 horas. Te acompañamos en la alerta temprana y en los informes siguientes.
Revisemos tu situación frente a la Ley Marco
En una reunión de 30 minutos confirmamos si tu organización es OIV o PSE, qué obligaciones ya te corren y por qué nivel conviene empezar.
¿Prefieres evaluarte primero? Haz el test OIV / PSE
Gracias. Te escribiremos dentro de un día hábil para coordinar la reunión.