Ley Marco de Ciberseguridad · Guía de referencia
Los 9 deberes del artículo 8° de la Ley N° 21.663: guía para Operadores de Importancia Vital
El artículo 8° de la Ley N° 21.663 no contiene ocho obligaciones, como suele repetirse, sino nueve: los literales a) a i). Esta guía recorre cada uno indicando qué exige el texto legal, qué evidencia debe existir para acreditarlo ante una fiscalización de la Agencia Nacional de Ciberseguridad, y cuál es el error que con más frecuencia deja a una institución expuesta.
¿A quién se aplica el artículo 8° de la Ley N° 21.663?
Los deberes del artículo 8° recaen exclusivamente sobre las instituciones calificadas como Operadores de Importancia Vital (OIV) por resolución del Director o Directora Nacional de la ANCI, conforme a los artículos 5° y 6° de la Ley N° 21.663 y al procedimiento del D.S. N° 285, de 2024, del Ministerio del Interior y Seguridad Pública, publicado en el Diario Oficial el 13 de marzo de 2025.
La distinción importa. Un prestador de servicios esenciales del artículo 4° está sujeto a los deberes generales del artículo 7° y al deber de reportar del artículo 9°, pero no a los nueve deberes del artículo 8°. Solo la calificación como OIV activa este artículo. A la fecha de esta guía, esa calificación alcanza a 1.154 instituciones: 915 incorporadas por la Resolución Exenta N° 87, publicada en el Diario Oficial el 17 de diciembre de 2025, y 239 por la Resolución Exenta N° 187, publicada el 24 de julio de 2026, con la que la Agencia dio por concluido el primer proceso de calificación.
¿Desde cuándo son exigibles estos deberes?
Desde la publicación en el Diario Oficial de la nómina que calificó a la institución. No existe un período de gracia general establecido en la ley.
Sí existen plazos específicos donde la Agencia ha dictado instrucciones. El artículo noveno de las Instrucciones Generales N° 3 y N° 4, ambas publicadas en el Diario Oficial el 26 de diciembre de 2025, concede sesenta días corridos contados desde la publicación de la nómina final de calificación mediante la cual la institución haya sido calificada. Se trata de un plazo móvil, no de una fecha fija: los OIV de la primera etapa vencieron el 15 de febrero de 2026, y a los 239 incorporados el 24 de julio de 2026 les corre el mismo plazo, que vence el 22 de septiembre de 2026.
Esa fecha es el resultado del cómputo del plazo legal, no una fecha enunciada por la Agencia. La regla aplicable es la de los sesenta días corridos del artículo noveno de las Instrucciones Generales N° 3 y N° 4, de 2025.
¿Cuáles son los nueve deberes específicos del artículo 8°?
a) ¿Qué exige el deber de implementar un sistema de gestión de seguridad de la información?
El literal a) obliga a implementar un SGSI continuo, destinado a determinar los riesgos que puedan afectar la seguridad de las redes, sistemas informáticos y datos, y la continuidad operacional del servicio. La ley agrega un requisito funcional que suele pasarse por alto: el sistema debe permitir evaluar tanto la probabilidad como el potencial impacto de un incidente.
Evidencia esperable: alcance documentado del SGSI, metodología de evaluación de riesgos con criterios de probabilidad e impacto, matriz de riesgos vigente, y acto de aprobación por la autoridad superior o el directorio.
Presentar un diagnóstico o una consultoría puntual como si fuera un SGSI. La ley exige un sistema continuo: sin ciclos de revisión fechados y evidencia de operación en el tiempo, lo que existe es un informe, no un sistema.
b) ¿Qué registro de las acciones del SGSI hay que mantener?
El literal b) exige mantener un registro de las acciones ejecutadas que compongan el sistema de gestión, «de conformidad a lo que señale el reglamento». Conviene decirlo con claridad: ese reglamento aún no ha sido dictado. El D.S. N° 285/2024 regula únicamente el procedimiento de calificación de OIV, y el D.S. N° 295/2024, publicado el 1 de marzo de 2025, regula el reporte de incidentes del artículo 9°. Ninguno desarrolla el artículo 8°.
Evidencia esperable: bitácora fechada y trazable de las acciones del SGSI —revisiones, decisiones, tratamientos de riesgo, incidentes gestionados— con responsable identificado en cada entrada.
Concluir que, a falta de reglamento, no hay obligación. La obligación legal existe desde la calificación; lo que falta es el detalle de forma. Una institución sin registro no puede acreditar el cumplimiento del literal a), y esa sí es una infracción grave.
c) ¿Qué se exige respecto de los planes de continuidad operacional y ciberseguridad?
El literal c) obliga a elaborar e implementar planes de continuidad operacional y de ciberseguridad, que deben certificarse conforme al artículo 28 y someterse a revisiones periódicas con una frecuencia mínima de dos años. La Agencia puede instruir fundadamente a un OIV a certificar en un plazo menor por motivos sobrevinientes graves, pero solo si la certificación tiene al menos un año de vigencia.
Evidencia esperable: los planes aprobados, el certificado emitido por una entidad del registro de certificadoras autorizadas de la Agencia, y las actas de las revisiones periódicas con su fecha.
Contratar una certificación sin verificar que el organismo forme parte del registro de entidades certificadoras autorizadas que administra la Agencia. Fuera de ese registro, la certificación no es válida para los efectos que la ley exige.
d) ¿Con qué frecuencia hay que hacer ejercicios y simulacros?
El literal d) exige realizar continuamente operaciones de revisión, ejercicios, simulacros y análisis de las redes y sistemas para detectar acciones o programas que comprometan la ciberseguridad, y comunicar la información relativa a esas acciones al CSIRT Nacional. La ley no fija una periodicidad numérica: exige continuidad.
Evidencia esperable: calendario anual de ejercicios, informes de cada ejercicio con hallazgos y acciones correctivas, y constancia de la comunicación al CSIRT Nacional.
Ejecutar los ejercicios y omitir la comunicación al CSIRT Nacional. El literal d) tiene dos partes, y no comunicarlas es una infracción leve expresamente tipificada en el artículo 39.
e) ¿Qué medidas de contención debe adoptar un OIV ante un incidente?
El literal e) obliga a adoptar de forma oportuna y expedita las medidas necesarias para reducir el impacto y la propagación de un incidente, incluida la restricción de uso o el acceso a sistemas informáticos si fuera necesario. La Instrucción General N° 4, de 2025, desarrolla este deber con medidas concretas: entre ellas, el cambio de contraseñas de todas las cuentas con permisos administrativos y la eliminación de cuentas genéricas dentro de las primeras tres horas desde que se toma conocimiento del incidente, informando en la alerta temprana el listado de cuentas modificadas o eliminadas.
Evidencia esperable: procedimiento de contención con responsables y tiempos, registro de las medidas adoptadas en cada incidente y su hora, y el listado de cuentas remitido a la Agencia.
No tener resuelta de antemano la autorización para degradar o suspender el servicio. La propia Instrucción General N° 4 admite que estas medidas pueden implicar interrupciones. Si la decisión requiere escalamiento a gerencia general en el momento del incidente, las tres horas se consumen en la discusión.
f) ¿Qué certificaciones debe tener un Operador de Importancia Vital?
El literal f) remite al artículo 28: los OIV deben obtener las certificaciones de ciberseguridad que señala la ley y las que determine la Agencia mediante reglamento, y solo los organismos inscritos en el registro de entidades certificadoras autorizadas pueden emitir certificaciones válidas. La Agencia está facultada para homologar certificaciones técnicas internacionales o extranjeras mediante resolución fundada.
Evidencia esperable: certificados vigentes, con identificación del organismo emisor y constancia de su inscripción en el registro de la Agencia.
Asumir que una certificación ISO/IEC 27001:2022 obtenida por la vía habitual satisface automáticamente el literal f). La homologación de certificaciones internacionales requiere resolución fundada de la Agencia; conviene verificar el estado de esa homologación antes de darla por cumplida.
g) ¿Cuándo hay que informar a los potenciales afectados por un incidente?
El literal g) obliga a informar a los potenciales afectados, en la medida que puedan identificarse y cuando así lo requiera la Agencia, sobre incidentes o ciberataques que pudieran comprometer gravemente su información o sus redes y sistemas, especialmente cuando involucren datos personales y no exista otra disposición legal que exija la notificación.
Evidencia esperable: procedimiento de notificación a afectados, plantillas de comunicación, y registro de los envíos efectuados con su fecha.
Improvisar el texto de la notificación durante la crisis. Una comunicación mal redactada bajo presión genera exposición adicional en materia de datos personales y de responsabilidad civil, más allá del cumplimiento de la Ley N° 21.663.
h) ¿Qué debe contener el programa de capacitación en ciberseguridad?
El literal h) exige contar con programas de capacitación, formación y educación continua de trabajadores y colaboradores, que incluyan campañas de ciberhigiene. El texto legal comprende expresamente a los colaboradores, no solo a la dotación propia.
Evidencia esperable: programa anual documentado, registros de asistencia o finalización por persona, contenidos y evidencia de las campañas de ciberhigiene ejecutadas.
Capacitar solo a los trabajadores con contrato y dejar fuera a contratistas y proveedores con acceso a sistemas. Es una omisión que salta de inmediato al cruzar el listado de accesos con el registro de asistencia.
i) ¿Qué exige la designación del delegado de ciberseguridad?
El literal i) obliga a designar un delegado de ciberseguridad, que actúa como contraparte de la Agencia e informa a la autoridad o jefatura superior del servicio, o a los directores, gerentes o ejecutivos principales en el caso de las instituciones privadas. La Instrucción General N° 3, de 2025, desarrolla este deber: exige formación especializada, canal de reporte directo a la máxima autoridad, independencia funcional, designación en documento formal con el vínculo jurídico que la habilita, delegado subrogante, acreditación ante la Agencia y comunicación de cualquier cambio o cese dentro de cinco días hábiles. Establece además una incompatibilidad expresa: el delegado no puede ser la misma persona que ejerza como encargado, jefe o responsable del área de tecnologías de la información.
Evidencia esperable: acta o acto de designación con el contenido que exige la instrucción, constancia de la acreditación ante la Agencia, y designación del subrogante.
Designar al jefe de TI. Es la solución intuitiva y está expresamente prohibida por la Instrucción General N° 3. La segunda causa de incumplimiento es designar sin acreditar: la designación interna no basta si no se comunica a la Agencia en la forma y el plazo exigidos.
¿Qué sanciones arriesga un OIV que no cumple el artículo 8°?
El artículo 39 califica específicamente las infracciones al artículo 8° cometidas por Operadores de Importancia Vital, y el artículo 40 fija la escala de multas, que se duplica cuando el infractor es un OIV.
| Gravedad | Conductas del artículo 8° (art. 39) | Multa máxima para un OIV |
|---|---|---|
| Leve | No mantener el registro del literal b); no comunicar los ejercicios del literal d); no capacitar según el literal h); no designar delegado (literal i); no certificar los planes cuando la Agencia lo instruye; no contar con las certificaciones del literal f) | 10.000 UTM |
| Grave | No haber implementado el SGSI del literal a); no haber elaborado o implementado los planes del literal c); no informar a los afectados según el literal g); no adoptar las medidas de contención del literal e); reincidir en una infracción leve dentro de un año | 20.000 UTM |
| Gravísima | No adoptar las medidas de contención del literal e) cuando el incidente tiene impacto significativo; reincidir en una infracción grave dentro de un año | 40.000 UTM |
Vale la pena leer esa tabla en el orden inverso al que suele presentarse. La cifra de 40.000 UTM circula como el titular del régimen sancionatorio, pero corresponde a un supuesto acotado. El riesgo realista para la mayoría de las instituciones está en la fila del medio: no tener el SGSI ni los planes de continuidad es una infracción grave desde el primer día, y la reincidencia en una leve dentro de un año la convierte en grave. Las infracciones prescriben a los tres años de cometidas, plazo que se interrumpe con la notificación de la formulación de cargos.
¿Qué evidencia debe tener lista un OIV antes de una fiscalización?
El artículo 11 letra ñ) faculta a la Agencia para realizar inspecciones, instruir auditorías por sí o mediante terceros autorizados, requerir acceso a sistemas, datos y documentos, e instruir que se realicen pruebas que demuestren la implementación de los planes de continuidad operacional y ciberseguridad. También puede citar a declarar a socios, directores, administradores, representantes y trabajadores.
La consecuencia práctica es que la fiscalización no se satisface con documentos: se satisface con documentos que resisten una prueba. Una institución en condiciones de responder tiene, como mínimo, el SGSI con su matriz de riesgos vigente, la bitácora de acciones, los planes de continuidad certificados y probados, el calendario de ejercicios con sus informes, el procedimiento de contención con tiempos, los registros de capacitación incluyendo colaboradores externos, y el acto de designación del delegado con su acreditación.
Conviene tener presente, además, que el artículo 33 declara secreta o reservada la información contenida en los sistemas de gestión de seguridad de la información y en los registros del artículo 8°, así como las matrices de riesgo, los planes de continuidad y los planes de acción y mitigación. Esa reserva es un derecho de la institución frente a terceros, no una excusa frente a la Agencia.
Descargue esta guía en PDF
Versión imprimible con la tabla de deberes, la escala de sanciones y el listado de evidencia. Le llega el enlace de descarga en pantalla, de inmediato.
Preguntas frecuentes
¿El artículo 8° tiene ocho o nueve obligaciones?
Nueve. El artículo 8° de la Ley N° 21.663 enumera los literales a) a i): sistema de gestión de seguridad de la información, registro de las acciones del sistema, planes de continuidad operacional y ciberseguridad certificados, revisiones y simulacros continuos, medidas de contención, certificaciones del artículo 28, información a los potenciales afectados, programas de capacitación, y designación del delegado de ciberseguridad.
¿Qué plazo tienen los OIV calificados el 24 de julio de 2026?
El artículo noveno de las Instrucciones Generales N° 3 y N° 4, de 2025, otorga sesenta días corridos contados desde la publicación en el Diario Oficial de la nómina que calificó a la institución. Para las 239 instituciones incorporadas por la Resolución Exenta N° 187, publicada el 24 de julio de 2026, ese plazo vence el 22 de septiembre de 2026. Ese cómputo aplica a las obligaciones desarrolladas por esas dos instrucciones —delegado de ciberseguridad y medidas de contención—, no al conjunto del artículo 8°, cuyos deberes son exigibles desde la calificación.
¿Un prestador de servicios esenciales también debe cumplir el artículo 8°?
No. Los deberes del artículo 8° recaen solo sobre las instituciones calificadas como Operadores de Importancia Vital. Un prestador de servicios esenciales del artículo 4° está sujeto a los deberes generales del artículo 7°, al deber de reportar del artículo 9° y a la inscripción en la plataforma de la Agencia conforme a la Instrucción General N° 1, de 2025.
¿Puede el jefe de TI ser el delegado de ciberseguridad?
No. La Instrucción General N° 3, de 2025, establece que el cargo de delegado de ciberseguridad no podrá ser desempeñado por la misma persona que ejerza funciones de encargado, jefe, director o responsable del área de tecnologías de la información. Sí es admisible que el delegado dependa jerárquicamente de esa área, siempre que existan mecanismos que resguarden su independencia funcional.
¿Cuáles son los plazos de reporte de incidentes para un OIV?
El artículo 9° establece alerta temprana dentro de tres horas desde que se toma conocimiento del incidente; actualización dentro de setenta y dos horas, plazo que se reduce a veinticuatro horas cuando el afectado es un OIV y se ve afectada la prestación de sus servicios esenciales; e informe final dentro de quince días corridos contados desde el envío de la alerta temprana. Además, el OIV debe informar su plan de acción al CSIRT Nacional tan pronto lo adopte, y en ningún caso después de siete días corridos desde que tuvo conocimiento del incidente. El D.S. N° 295/2024, publicado el 1 de marzo de 2025, regula el contenido de estos reportes.
¿Existe un reglamento que desarrolle el artículo 8°?
A la fecha de esta guía, no. El D.S. N° 285/2024 regula el procedimiento de calificación de OIV y el D.S. N° 295/2024 regula el reporte de incidentes. Los deberes del artículo 8° han sido desarrollados hasta ahora por instrucciones generales de la Agencia, dictadas conforme al artículo 11 letra b) de la ley. Durante 2026 la Agencia sometió a consulta pública un conjunto de estándares básicos obligatorios de ciberseguridad; conviene verificar su estado de publicación antes de darlos por vigentes.
¿Su institución podría acreditar hoy estos nueve deberes?
El autodiagnóstico de diez preguntas devuelve un semáforo por obligación y un puntaje de cumplimiento en pantalla, sin costo. Si prefiere revisarlo conversando, una reunión de veinte minutos suele bastar para saber dónde está parado.
Hacer el autodiagnóstico Agendar 20 minutosFuentes normativas citadas: Ley N° 21.663, Marco de Ciberseguridad, publicada el 8 de abril de 2024, artículos 4°, 5°, 6°, 7°, 8°, 9°, 11, 27, 28, 33, 38, 39 y 40. D.S. N° 285, de 2024, del Ministerio del Interior y Seguridad Pública, publicado el 13 de marzo de 2025. D.S. N° 295, de 2024, del mismo Ministerio, publicado el 1 de marzo de 2025. Instrucciones Generales N° 1 (D.O. 4 de junio de 2025), N° 2, N° 3 y N° 4 (D.O. 26 de diciembre de 2025) de la Agencia Nacional de Ciberseguridad. Resolución Exenta N° 87, de 2025 (D.O. 17 de diciembre de 2025) y Resolución Exenta N° 187, de 2026 (D.O. 24 de julio de 2026).
Este documento tiene finalidad informativa y no constituye asesoría legal para un caso particular.