Artículo 8° letra i) · Instrucción General N° 3, de 2025
Cómo designar y acreditar al Delegado de Ciberseguridad ante la ANCI
Designar al delegado de ciberseguridad es el deber más simple del artículo 8° de la Ley N° 21.663 y, al mismo tiempo, el que más instituciones incumplen. La razón es casi siempre la misma: se designa a la persona equivocada, o se designa sin acreditar. Este es el procedimiento completo.
¿Qué exige exactamente la ley?
El artículo 8° letra i) de la Ley N° 21.663 obliga a todo Operador de Importancia Vital a designar un delegado de ciberseguridad, «quien actuará como contraparte de la Agencia e informará a la autoridad o jefatura o jefe superior del órgano o servicio de la Administración del Estado o a los directores, gerentes, administradores o ejecutivos principales, según lo definan las instituciones privadas».
La Instrucción General N° 3, publicada en el Diario Oficial el 26 de diciembre de 2025, desarrolla ese deber y es la norma que hay que leer para ejecutarlo bien.
¿Quién puede ser delegado de ciberseguridad?
La instrucción exige un perfil con formación especializada en ciberseguridad o disciplinas afines, acceso y canal de reporte directo a la máxima autoridad institucional, e independencia funcional para reportar riesgos sin interferencia de las áreas operativas.
El cargo de delegado de ciberseguridad no podrá ser desempeñado por la misma persona que ejerza funciones de encargado, jefe, director o responsable del área de tecnologías de la información. Sí es admisible que el delegado dependa jerárquicamente de esa área, siempre que existan mecanismos que resguarden su independencia funcional.
Esta es la razón por la que tantas designaciones nacen viciadas: el reflejo natural es nombrar al gerente de TI, que es quien sabe del tema. La norma lo impide precisamente porque el delegado debe poder reportar hacia arriba sobre riesgos que muchas veces se originan en TI.
Sobre si el delegado puede ser una persona externa, la instrucción no lo resuelve de forma expresa, pero al enumerar el contenido del acto de designación admite acreditar el vínculo jurídico mediante contrato de prestación de servicios, entre otras formas, lo que admite razonablemente esa modalidad. La instrucción sí permite expresamente que los grupos empresariales y las personas relacionadas con una sociedad designen una o más personas como delegados para una o más entidades del grupo, con regla análoga para las cooperativas.
¿Qué debe contener el acta de designación?
La designación debe constar en un documento formal. Conforme a la Instrucción General N° 3, ese acto debe incluir:
- Identificación completa del delegado y del delegado subrogante: nombre completo, cédula de identidad o RUT, domicilio, correo electrónico institucional y teléfono.
- El vínculo jurídico que habilita al delegado, acreditable mediante contrato de trabajo, contrato de prestación de servicios, acto administrativo, acuerdo de directorio u otro documento equivalente.
- La calidad funcionaria, tratándose del sector público, o la posición organizacional, tratándose de instituciones privadas.
- La habilitación expresa para representar a la institución ante la Agencia.
El delegado subrogante. La instrucción lo exige en el mismo numeral que al titular, y es el elemento que más veces falta en las actas que llegan incompletas.
El acto de designación debe además adecuarse a la naturaleza de la entidad: la instrucción distingue modalidades según se trate de organismos públicos, empresas del Estado, grupos empresariales, cooperativas o instituciones privadas.
¿Cómo se acredita la designación ante la ANCI?
La acreditación se efectúa a través de la plataforma institucional de la Agencia, portal.anci.gob.cl, o por el medio alternativo que la Agencia determine. El correo electrónico institucional que se registre pasa a ser el canal oficial de comunicación con la Agencia, lo que tiene una consecuencia práctica relevante: es la dirección a la que se notifican los actos del procedimiento administrativo sancionador conforme al artículo 42 letra a) de la ley. No conviene que sea la casilla personal de alguien.
Si su institución todavía no está inscrita en la plataforma, ese es el paso previo. La Instrucción General N° 1, de 2025, regula la inscripción, exige autenticación con ClaveÚnica y doble factor, y un documento firmado por el representante legal mediante firma electrónica avanzada que acredite la designación del encargado. La Instrucción General N° 2, del 26 de diciembre de 2025, habilita mecanismos alternativos de autenticación para quienes no pueden acceder a ClaveÚnica, acreditando fehacientemente su vínculo con la institución.
¿Qué plazo hay para designar y acreditar?
El artículo noveno de la Instrucción General N° 3 concede sesenta días corridos contados desde la publicación en el Diario Oficial de la nómina final de calificación mediante la cual la institución haya sido calificada como Operador de Importancia Vital. Para las 239 instituciones incorporadas por la Resolución Exenta N° 187, publicada el 24 de julio de 2026, ese plazo vence el 22 de septiembre de 2026.
Y una vez designado, el plazo se vuelve corto de forma permanente: cualquier cambio, reemplazo o cese del delegado debe informarse a la Agencia, con la designación y acreditación del reemplazante, dentro de cinco días hábiles. Vale la pena tenerlo presente al momento de aceptar una renuncia.
¿Qué responsabilidades asume el delegado?
Conviene ser preciso, porque circula bastante confusión. El delegado es la contraparte institucional ante la Agencia y el canal de reporte hacia la máxima autoridad. Sin embargo, las infracciones del artículo 39 de la Ley N° 21.663 se imponen al Operador de Importancia Vital, no al delegado a título personal: la ley no lo configura como sujeto sancionable. La responsabilidad del delegado frente a la institución es la que resulte de su vínculo laboral o de servicios y de las funciones que el acto de designación le atribuya.
La consecuencia práctica es que el acto de designación cumple dos funciones a la vez: acredita el cumplimiento del literal i) y delimita hasta dónde llega el encargo. Un acta redactada de forma genérica deja esa segunda función sin resolver.
Preguntas frecuentes
¿Basta con designar internamente al delegado?
No. La Instrucción General N° 3, de 2025, exige que la designación conste en un documento formal y que se acredite ante la Agencia a través de su plataforma institucional dentro del plazo de sesenta días corridos del artículo noveno. Una designación interna no comunicada no acredita el cumplimiento del artículo 8° letra i).
¿Cuál es la sanción por no designar delegado de ciberseguridad?
El artículo 39 N° 4 de la Ley N° 21.663 califica como infracción leve no designar delegado de ciberseguridad. Conforme al artículo 40, las infracciones leves se sancionan con multa de hasta 5.000 UTM, o hasta 10.000 UTM tratándose de un Operador de Importancia Vital. La reincidencia en una misma infracción leve dentro de un año se califica como grave, con multa de hasta 20.000 UTM para un OIV.
¿Puede una misma persona ser delegado de varias instituciones?
Sí. La Instrucción General N° 3, de 2025, dispone que los grupos empresariales y las personas relacionadas con una sociedad podrán designar una o más personas como delegados para una o más de las entidades del grupo, con una regla análoga para las cooperativas.
¿Es obligatorio designar un delegado subrogante?
La Instrucción General N° 3 exige la identificación completa del delegado y del delegado subrogante dentro del contenido del acto de designación, con los mismos datos: nombre, cédula de identidad o RUT, domicilio, correo institucional y teléfono. Es, en los hechos, un requisito de contenido del acta.
¿Qué pasa si el delegado renuncia?
La institución debe informar a la Agencia sobre la designación y acreditación de un nuevo delegado dentro de un plazo máximo de cinco días hábiles. Tener al subrogante ya acreditado convierte ese plazo en un trámite; no tenerlo, en una urgencia.
¿Un prestador de servicios esenciales debe designar delegado?
No. El deber de designar delegado de ciberseguridad está en el artículo 8°, que se aplica exclusivamente a las instituciones calificadas como Operadores de Importancia Vital. Los prestadores de servicios esenciales del artículo 4° deben, en cambio, inscribirse en la plataforma de la Agencia y designar un encargado de reportes conforme a la Instrucción General N° 1, de 2025.
Designación y acreditación del Delegado de Ciberseguridad en 72 horas
Redacción del acto de designación con el contenido exigido por la Instrucción General N° 3, identificación del titular y del subrogante resolviendo la incompatibilidad con el área de TI, delimitación del encargo, y acreditación ante la Agencia. NAVISCONTROL asume responsabilidad contractual sobre el resultado del trámite, no solo sobre la recomendación.
Agendar 20 minutos Ver primero mi diagnósticoFuentes normativas citadas: Ley N° 21.663, artículos 8° letra i), 39 N° 4, 40 y 42. Instrucción General N° 1, de 2025, de la Agencia Nacional de Ciberseguridad (D.O. 4 de junio de 2025). Instrucciones Generales N° 2 y N° 3, de 2025 (D.O. 26 de diciembre de 2025). Resolución Exenta N° 187, de 2026 (D.O. 24 de julio de 2026). La fecha del 22 de septiembre de 2026 corresponde al cómputo del plazo de sesenta días corridos del artículo noveno de la Instrucción General N° 3.
Este documento tiene finalidad informativa y no constituye asesoría legal para un caso particular.