La Ley N° 21.663, Marco de Ciberseguridad, creó en Chile un nuevo marco regulatorio para la prevención, gestión, reporte y supervisión de incidentes de ciberseguridad. La norma establece una institucionalidad especializada, encabezada por la Agencia Nacional de Ciberseguridad (ANCI), y fija deberes para las entidades comprendidas en la ley, incluyendo prestadores de servicios esenciales y operadores de importancia vital. Entre sus exigencias se encuentran la adopción permanente de medidas de ciberseguridad, la gestión formal de incidentes y el cumplimiento de obligaciones de reporte ante la autoridad. contenido" en el menú de acción Editar (icono de lápiz).

La ley elevó la ciberseguridad desde un ámbito puramente técnico a una materia de gobierno corporativo, continuidad operacional y cumplimiento regulatorio. Aunque la norma impone deberes directamente a las instituciones obligadas y, en ciertos casos, exige designaciones y reportes formales, su cumplimiento efectivo requiere decisión, supervisión y respaldo desde la alta administración. En otras palabras, hoy los directorios no pueden tratar la ciberseguridad como un asunto delegado únicamente al área de tecnología.

La Ley 21.663 exige a las entidades alcanzadas aplicar de manera permanente medidas para prevenir, contener, resolver y responder a incidentes de ciberseguridad. Además, para los sujetos obligados, contempla deberes de reporte de incidentes significativos, y para los operadores de importancia vital suma obligaciones específicas como la designación de un delegado de ciberseguridad como contraparte ante la autoridad. El reglamento de reporte de incidentes, vigente desde 2025, desarrolló estas exigencias y formalizó el esquema de notificación al CSIRT Nacional.

Aunque la ley no convierte al directorio en un área técnica, sí hace evidente que la responsabilidad de supervisar la exposición digital de la empresa ya es parte de sus deberes de dirección. En términos prácticos, hoy un directorio debe:

1. Incorporar la ciberseguridad a la gobernanza de la empresa

El directorio debe asegurar que la organización trate la ciberseguridad como un riesgo estratégico, al mismo nivel que los riesgos operacionales, legales, financieros y reputacionales. La ley exige medidas permanentes y mecanismos de respuesta, lo que supone supervisión institucional real y no solo acciones aisladas de TI.

2. Exigir gestión formal de riesgos y controles

La empresa debe contar con medidas tecnológicas, organizacionales, físicas e informativas para prevenir y manejar incidentes. Esto implica que el directorio debe exigir una estructura de control, políticas, procedimientos y seguimiento, no solo herramientas tecnológicas.

3. Asegurar roles, responsables y capacidad de respuesta

Para ciertas entidades, la ley exige designaciones formales, como el delegado de ciberseguridad para operadores de importancia vital. Aun cuando una empresa no esté formalmente calificada como OIV, la exigencia regulatoria muestra con claridad que la autoridad espera responsables definidos, trazabilidad y capacidad de interlocución formal frente a incidentes.

4. Supervisar el cumplimiento de las obligaciones de reporte

La normativa exige reportar determinados incidentes de ciberseguridad y el reglamento de 2025 precisó el mecanismo y plazos de notificación. Esto obliga al directorio a asegurarse de que existan protocolos internos de escalamiento, criterios de clasificación y capacidad de reacción oportuna. No reportar correctamente puede transformarse en un riesgo regulatorio adicional para la organización.

5. Respaldar inversiones y decisiones de resiliencia

La ley impone deberes permanentes, no medidas cosméticas. Por eso, los directorios deben aprobar recursos, prioridades y planes que permitan sostener controles, monitoreo, continuidad operacional, respuesta a incidentes y mejora continua. Sin apoyo presupuestario y ejecutivo, el cumplimiento se vuelve inviable. Esta es una inferencia práctica derivada de las obligaciones permanentes que la ley impone a las instituciones alcanzadas.

Porque la ley no solo busca reaccionar frente a ataques; busca que las organizaciones demuestren una capacidad formal y continua de gestión de ciberseguridad. Eso significa que ya no basta con tener firewall, antivirus o un proveedor de soporte. Hoy se requiere gobernanza, documentación, responsables, protocolos, trazabilidad y alineamiento con la regulación. En ese contexto, muchas empresas necesitan apoyo externo para estructurar correctamente su modelo de cumplimiento y reducir su exposición legal y operativa.

En KLG Technology ayudamos a las empresas a transformar esta obligación legal en un modelo práctico de gestión. Acompañamos a nuestros clientes en diagnóstico de brechas, definición de controles, implementación de procesos, apoyo al directorio y alta administración, preparación para incidentes, y construcción de una postura de ciberseguridad alineada con buenas prácticas internacionales como ISO/IEC 27001. Así, la organización no solo mejora su seguridad, sino que también fortalece su cumplimiento y su capacidad de responder ante la autoridad y frente al negocio.