Ley 21.459 en Chile: delitos informáticos y modificaciones vigentes
Conoce qué delitos informáticos sanciona la Ley 21.459, qué cambios incorporaron las leyes posteriores y qué medidas pueden adoptar las empresas para fortalecer su ciberseguridad.
Los delitos informáticos representan un riesgo para las empresas, las instituciones públicas y las personas. Un acceso no autorizado, la manipulación de datos o la interrupción de un sistema pueden afectar la continuidad de un negocio y la confidencialidad de su información. Por esta razón, Chile actualizó su legislación mediante la Ley 21.459 sobre delitos informáticos, publicada el 20 de junio de 2022.
Sin embargo, el marco legal no se quedó en su versión original. Desde 2024 se incorporaron cambios relevantes mediante la Ley Marco de Ciberseguridad, la Ley 21.694 y la Ley 21.730. Además, la Ley 21.719 sobre protección de datos personales tiene una entrada en vigencia prevista para el 1 de diciembre de 2026. Por eso, esta guía explica el contenido de la Ley 21.459 y sus principales modificaciones, con información normativa revisada al 2 de noviembre de 2026.
La Ley 21.459 mantiene ocho figuras principales de delitos informáticos. No obstante, el artículo 9 fue derogado en 2024, el artículo 2 incorporó condiciones especiales para ciertos accesos destinados a investigar vulnerabilidades y el artículo 11 fue actualizado en 2025.
¿Qué es la Ley 21.459 sobre delitos informáticos?
La Ley 21.459 establece normas sobre delitos informáticos, deroga la antigua Ley 19.223 y modifica otros cuerpos legales para adecuarlos al Convenio de Budapest sobre ciberdelincuencia. Su propósito es actualizar la respuesta penal frente a conductas que afectan sistemas, datos y servicios digitales.
La norma define delitos y sanciones, establece reglas especiales para la investigación penal y aborda el tratamiento de evidencia digital. También contempla circunstancias agravantes, por ejemplo, cuando el responsable abusa de una posición de confianza en la administración de un sistema o se aprovecha de la vulnerabilidad de determinadas personas.
La Ley 21.459 se organiza en tres títulos: delitos informáticos y sus sanciones; procedimiento; y disposiciones finales. Su aplicación debe analizarse junto con las modificaciones posteriores que forman parte del texto legal vigente.
¿Cuáles son los delitos informáticos contemplados en la Ley 21.459?
La ley tipifica ocho figuras principales. A continuación, resumimos su alcance en términos sencillos. Las descripciones no reemplazan el texto legal ni el análisis de un caso concreto.
1. Ataque a la integridad de un sistema informático
Consiste en obstaculizar o impedir el funcionamiento total o parcial de un sistema mediante acciones que afectan sus datos, como introducirlos, dañarlos, alterarlos o suprimirlos.
2. Acceso ilícito
Se refiere al acceso a un sistema informático sin autorización o excediendo la autorización disponible, cuando se superan barreras técnicas o medidas tecnológicas de seguridad.
3. Interceptación ilícita
Sanciona la interceptación, interrupción o interferencia indebida, por medios técnicos, de transmisiones no públicas de información en sistemas informáticos.
4. Ataque a la integridad de los datos informáticos
Comprende alterar, dañar o suprimir datos informáticos de manera indebida, siempre que se cause un daño grave a su titular.
5. Falsificación informática
Consiste en introducir, alterar, dañar o suprimir datos con la intención de que sean considerados auténticos o se utilicen para generar documentos auténticos.
6. Receptación de datos informáticos
Se refiere a comercializar, transferir o almacenar, con un fin ilícito, datos provenientes de determinados delitos informáticos, con conocimiento de su origen o cuando no se podía menos que conocerlo.
7. Fraude informático
Consiste en manipular un sistema o sus datos para obtener un beneficio económico propio o para un tercero, causando un perjuicio a otra persona.
8. Abuso de los dispositivos
Sanciona determinadas conductas de entrega, obtención, importación o difusión de dispositivos, programas, contraseñas o códigos creados o adaptados principalmente para cometer ciertos delitos informáticos.
Además de estas figuras, la ley contempla agravantes. Entre ellas se encuentran abusar de una posición de confianza en la administración de sistemas o aprovecharse de la vulnerabilidad, confianza o desconocimiento de niños, niñas, adolescentes o personas mayores. También establece un aumento de pena cuando las conductas afectan o interrumpen servicios de utilidad pública o el normal desarrollo de procesos electorales.
¿Qué modificaciones ha tenido la Ley 21.459 desde 2022?
La versión original de la ley ha recibido modificaciones que conviene conocer. Las más relevantes para comprender su texto vigente son las introducidas por las leyes 21.663, 21.694 y 21.730.
| Norma modificatoria | Fecha de publicación | Modificación relacionada con la Ley 21.459 |
|---|---|---|
| Ley 21.663 Ley Marco de Ciberseguridad |
8 de abril de 2024 | Incorporó condiciones especiales al artículo 2 para ciertos accesos destinados a investigar vulnerabilidades y derogó el artículo 16. |
| Ley 21.694 | 4 de septiembre de 2024 | Derogó expresamente el artículo 9, que establecía la cooperación eficaz como atenuante especial. |
| Ley 21.730 | 5 de febrero de 2025 | Modificó el artículo 11 y actualizó las autoridades habilitadas para presentar querellas en los casos que señala la norma. |
Ley 21.663: nuevas condiciones para investigar vulnerabilidades
La Ley Marco de Ciberseguridad modificó el artículo 2 de la Ley 21.459. Incorporó una regla que excluye la sanción penal por el supuesto de acceso ilícito del inciso primero cuando se cumplen todas las condiciones legales para investigar vulnerabilidades de seguridad.
Entre esas condiciones se encuentran la inscripción en el registro que lleva la Agencia Nacional de Ciberseguridad (ANCI), el aviso previo a la Agencia y el reporte oportuno de los hallazgos al responsable del sistema y a la propia Agencia. Además, la persona no puede actuar con intención fraudulenta, apropiarse de información ni exceder lo necesario para comprobar la vulnerabilidad.
La disposición también prohíbe métodos que puedan causar denegación de servicio, pruebas físicas, uso de código malicioso, ingeniería social o alteración, eliminación, exfiltración o destrucción de datos. Asimismo, establece que el acceso a sistemas de organismos de la Administración del Estado debe cumplir las condiciones indicadas; en los demás casos se requiere el consentimiento del responsable del sistema.
La excepción del artículo 2 está sujeta a requisitos acumulativos. No habilita a realizar pruebas de penetración en cualquier empresa sin autorización. Para evaluar la seguridad de sistemas privados, se debe contar con el consentimiento del responsable y cumplir las demás condiciones legales aplicables.
Ley 21.694: derogación del artículo 9
La Ley 21.694 derogó el artículo 9 de la Ley 21.459 el 4 de septiembre de 2024. Ese artículo establecía la cooperación eficaz como una atenuante especial que podía permitir rebajar la pena hasta en un grado, bajo las condiciones que indicaba su texto.
Por lo tanto, las publicaciones que todavía presentan esa disposición como una regla vigente están desactualizadas. La cooperación eficaz no debe describirse como la atenuante especial del artículo 9 de la Ley 21.459, porque ese artículo ya no está vigente.
Ley 21.730: modificación del artículo 11
La Ley 21.730, que creó el Ministerio de Seguridad Pública, modificó el artículo 11 de la Ley 21.459. Actualmente, la norma permite que las investigaciones por los delitos informáticos contemplados puedan iniciarse también por querella del ministro o ministra de Seguridad Pública o de los secretarios y secretarias regionales ministeriales de Seguridad Pública, cuando las conductas interrumpan el funcionamiento normal de un servicio de utilidad pública.
¿La Ley 21.459 permite investigar vulnerabilidades informáticas?
Sí, pero bajo condiciones precisas. La modificación introducida por la Ley 21.663 al artículo 2 establece una excepción para ciertos accesos destinados a comprobar vulnerabilidades de sistemas cuyo responsable tenga domicilio en Chile.
La excepción requiere, entre otros elementos, inscripción en el registro de la ANCI, comunicación previa a la Agencia y reporte de los hallazgos. También exige actuar sin intención fraudulenta y limitar las pruebas a lo estrictamente necesario. Cuando el sistema no pertenece a un organismo de la Administración del Estado, se requiere el consentimiento del responsable.
En consecuencia, las empresas que contratan servicios de ethical hacking, pentesting o auditoría técnica deben definir por escrito el alcance autorizado, los sistemas incluidos, las fechas de ejecución, las técnicas permitidas y los canales de comunicación de hallazgos. Estas medidas ayudan a delimitar el trabajo y reducir riesgos durante las pruebas.
¿Cómo se relaciona la Ley 21.459 con la Ley Marco de Ciberseguridad?
Ambas normas se complementan, pero tienen objetivos distintos. La Ley 21.459 establece delitos informáticos y sus consecuencias penales. En cambio, la Ley 21.663 crea un marco institucional de ciberseguridad, define principios y establece obligaciones para los organismos y las instituciones comprendidas en su ámbito de aplicación.
Ley 21.459: delitos y sanciones
Define conductas penalmente sancionadas, reglas de investigación y disposiciones relacionadas con evidencia digital.
Ley 21.663: prevención y respuesta
Establece institucionalidad, coordinación y obligaciones de ciberseguridad para los sujetos comprendidos en la ley.
La Ley 21.663 también creó la Agencia Nacional de Ciberseguridad (ANCI), organismo que cumple funciones de regulación, coordinación y supervisión dentro del marco legal que le corresponde. Por eso, las organizaciones deben revisar si están comprendidas en las categorías y obligaciones definidas por la ley, en lugar de asumir que todas tienen exactamente las mismas exigencias.
¿Qué relación tiene la Ley 21.459 con la Ley de Protección de Datos Personales 21.719?
La Ley 21.459 aborda conductas delictivas que pueden afectar sistemas y datos informáticos. Por su parte, la Ley 21.719 moderniza el régimen chileno de protección y tratamiento de datos personales y crea la Agencia de Protección de Datos Personales.
Al 2 de noviembre de 2026, la Ley 21.719 todavía no ha entrado en vigencia. La BCN establece como fecha de entrada en vigor el 1 de diciembre de 2026. Por eso, las empresas deben prepararse para sus nuevas disposiciones y verificar qué obligaciones aplicarán a sus actividades de tratamiento de datos.
Un incidente puede involucrar simultáneamente un delito informático y datos personales. En ese escenario, la organización debe analizar tanto la respuesta técnica y penal como las obligaciones de protección de datos que correspondan. Son marcos relacionados, pero no equivalentes.
¿Qué deben hacer las empresas para prevenir delitos informáticos?
Conocer la Ley 21.459 es un primer paso. Sin embargo, las organizaciones también necesitan controles técnicos y procedimientos claros para proteger sus sistemas, reducir la exposición y responder ante incidentes. Las medidas concretas deben ajustarse al tamaño, la actividad y los riesgos de cada empresa.
Identificar los activos y sistemas críticos
Elabora un inventario de servidores, redes, aplicaciones, bases de datos, servicios cloud y dispositivos que almacenan o procesan información relevante.
Controlar las identidades y los accesos
Aplica permisos según las funciones de cada usuario, revisa las cuentas privilegiadas y utiliza autenticación multifactor cuando corresponda.
Gestionar vulnerabilidades y actualizaciones
Establece procesos para identificar debilidades, priorizar correcciones y mantener sistemas, aplicaciones y dispositivos actualizados.
Proteger los datos y mantener respaldos
Define controles de acceso, medidas de protección de la información y respaldos periódicos. Comprueba que los datos puedan recuperarse.
Preparar un procedimiento de respuesta
Asigna responsables, define canales de escalamiento y establece cómo registrar, contener, investigar y documentar los incidentes.
Capacitar a los equipos
Promueve buenas prácticas para reconocer phishing, proteger credenciales, reportar actividades sospechosas y utilizar los recursos tecnológicos de forma segura.
Además, conviene evaluar periódicamente la infraestructura y revisar si los controles siguen siendo adecuados. Una estrategia de ciberseguridad no depende de una sola herramienta: requiere tecnología, procesos y personas coordinadas.
¿Cómo puede ayudar Neuronet a fortalecer la ciberseguridad de tu empresa?
La prevención de delitos informáticos requiere conocer los riesgos de la infraestructura y establecer medidas acordes con las necesidades de cada organización. Por eso, es importante revisar los sistemas, los accesos, las redes y los mecanismos de protección de la información.
Neuronet acompaña a las organizaciones en la evaluación de sus necesidades tecnológicas y de ciberseguridad. El alcance de cada iniciativa debe definirse según el entorno, los objetivos y los requerimientos de la empresa.
Si tu organización necesita revisar su postura de seguridad, fortalecer su infraestructura o evaluar alternativas de protección, puedes conversar con nuestro equipo.
Fortalece la ciberseguridad de tu organización
Conversemos sobre tus necesidades de infraestructura TI, protección de sistemas y continuidad operacional.
Preguntas frecuentes sobre la Ley 21.459 en Chile
¿Qué regula la Ley 21.459 en Chile?
La Ley 21.459 establece normas sobre delitos informáticos, define ocho figuras penales principales, contempla sanciones y regula aspectos del procedimiento y la evidencia digital. También derogó la antigua Ley 19.223.
¿Cuáles son los ocho delitos informáticos de la Ley 21.459?
Son el ataque a la integridad de un sistema informático, acceso ilícito, interceptación ilícita, ataque a la integridad de los datos informáticos, falsificación informática, receptación de datos informáticos, fraude informático y abuso de los dispositivos.
¿La Ley 21.459 ha tenido modificaciones?
Sí. Entre las modificaciones relevantes están las introducidas por la Ley 21.663 en 2024, la derogación del artículo 9 mediante la Ley 21.694 en 2024 y el cambio del artículo 11 por la Ley 21.730 en 2025.
¿Sigue vigente el artículo 9 sobre cooperación eficaz?
No. El artículo 9 de la Ley 21.459 fue derogado por el artículo tercero de la Ley 21.694, publicada el 4 de septiembre de 2024.
¿Se puede realizar hacking ético sin autorización en Chile?
No existe una autorización general para acceder a sistemas ajenos. El artículo 2 contempla una excepción condicionada para ciertos accesos destinados a investigar vulnerabilidades. Entre otros requisitos, exige inscripción en el registro de la ANCI, aviso previo y reporte de hallazgos. En sistemas que no pertenecen a organismos de la Administración del Estado se requiere el consentimiento del responsable.
¿Qué cambió la Ley 21.730 en la Ley 21.459?
Modificó el artículo 11 y actualizó las autoridades que pueden presentar querellas cuando los delitos informáticos interrumpen el funcionamiento normal de un servicio de utilidad pública: el Ministerio de Seguridad Pública y las secretarías regionales ministeriales de Seguridad Pública.
¿Cuál es la diferencia entre la Ley 21.459 y la Ley 21.663?
La Ley 21.459 define delitos informáticos y sanciones penales. La Ley 21.663 establece el marco institucional y las obligaciones generales de ciberseguridad para los organismos y entidades comprendidos en su ámbito de aplicación.
¿Cuándo entra en vigencia la Ley 21.719 de protección de datos personales?
La Biblioteca del Congreso Nacional establece el 1 de diciembre de 2026 como fecha de entrada en vigencia de la Ley 21.719. Al 2 de noviembre de 2026, esa fecha todavía es futura.
¿La Ley 21.459 se aplica solo a grandes empresas?
La ley no limita sus delitos a grandes empresas. Las conductas tipificadas pueden afectar sistemas y datos de distintas personas u organizaciones. Las obligaciones específicas de ciberseguridad de la Ley 21.663, en cambio, dependen de su ámbito de aplicación.
Fuentes oficiales y normativa de referencia
- Biblioteca del Congreso Nacional: Ley 21.459 sobre delitos informáticos, texto consolidado.
- Biblioteca del Congreso Nacional: Ley 21.663, Ley Marco de Ciberseguridad.
- Biblioteca del Congreso Nacional: Ley 21.719 sobre protección y tratamiento de datos personales.
- Biblioteca del Congreso Nacional: consulta de la Ley 21.694 y la Ley 21.730.
- Agencia Nacional de Ciberseguridad (ANCI): información institucional.
Este contenido tiene fines informativos y no constituye asesoría legal. La aplicación de las normas depende de los hechos y de las características de cada organización. Para decisiones jurídicas o de cumplimiento, se recomienda consultar el texto legal vigente y obtener asesoría especializada.
