Reporte de incidentes de ciberseguridad en Chile: qué exige la Ley 21.663 y cuáles son los plazos
Son las 09:15 y varios usuarios dejan de acceder a una aplicación crítica. El equipo de TI detecta conexiones inusuales, aparecen alertas y todavía no está claro si hubo extracción de información. Mientras comienza la contención, hay una pregunta que no puede esperar al cierre de la investigación: ¿la organización debe reportar el incidente y cuánto tiempo tiene para hacerlo?
En Chile, la Ley N.º 21.663, conocida como Ley Marco de Ciberseguridad, establece obligaciones de reporte para las instituciones comprendidas en su ámbito cuando enfrentan ciberataques o incidentes con efectos significativos. El procedimiento contempla una alerta temprana, una actualización y un informe final. Los plazos son acotados: la preparación debe ocurrir antes de la emergencia, no durante ella.
En síntesis: los plazos de reporte
3 horas
Alerta temprana desde que se toma conocimiento.
72 h / 24 h
Actualización general en 72 h; 24 h para OIV en el supuesto legal aplicable.
15 días
Informe final en días corridos, con una regla especial si el incidente sigue en curso.
Esta guía explica quiénes deben reportar, qué significa que un incidente sea significativo, qué antecedentes conviene preparar y cómo organizar la respuesta sin confundir el reporte regulatorio con la investigación técnica.
¿Qué es el reporte de incidentes de ciberseguridad según la Ley 21.663?
Es la comunicación formal al CSIRT Nacional de los ciberataques o incidentes que deben notificarse conforme a la Ley Marco de Ciberseguridad. La Agencia Nacional de Ciberseguridad (ANCI) es la institución responsable del marco nacional y del procedimiento habilitado para reportar.
El objetivo no es simplemente dejar constancia de lo ocurrido. La información oportuna permite dimensionar el incidente, orientar la respuesta y advertir sobre amenazas que podrían afectar a otras organizaciones. Por eso, el reporte debe avanzar en paralelo con la contención y recuperación de los servicios.
De la detección al reporte: procesos que avanzan en paralelo
Contener
Reducir el impacto y evitar la propagación.
Reportar
Entregar la información disponible dentro de plazo.
Investigar
Precisar alcance, causa y medidas correctivas.
¿Quiénes deben reportar incidentes a la ANCI?
La obligación de reporte del artículo 9 se aplica a las instituciones públicas y privadas comprendidas en el artículo 4 que presten servicios esenciales, así como a las instituciones calificadas como operadores de importancia vital (OIV), en los términos de la normativa. No debe interpretarse como una obligación idéntica para cualquier empresa chilena por el solo hecho de sufrir un incidente.
Servicios esenciales
Instituciones comprendidas en las categorías que establece la ley. Deben verificar las obligaciones que les corresponden según su actividad y marco aplicable.
Operadores de importancia vital
Instituciones calificadas como OIV, sujetas a obligaciones adicionales. Si el incidente afecta la prestación de sus servicios esenciales, se aplica el plazo especial de actualización.
Importante: el alcance no se limita a los OIV. La obligación también puede alcanzar a prestadores de servicios esenciales comprendidos en el artículo 4 de la Ley 21.663.
Consultar la ley¿Qué se considera un incidente de ciberseguridad significativo?
El artículo 27 contempla incidentes capaces de interrumpir la continuidad de un servicio esencial, afectar la integridad física o la salud de las personas, o afectar sistemas informáticos que contengan datos personales. La evaluación debe considerar los criterios legales y las circunstancias del evento; no toda alerta aislada activa automáticamente la obligación de reporte.
Para evaluar el impacto inicial, documente qué sistemas están comprometidos, si existe indisponibilidad o degradación de servicios, si hay indicios de acceso no autorizado, malware o fuga de datos y qué procesos podrían estar afectados. La evaluación puede evolucionar a medida que aparece evidencia: por eso es importante registrar qué se sabe y qué sigue en investigación.
Preguntas para la evaluación inicial
¿Se interrumpió o degradó un servicio esencial?
Identifique los servicios afectados, su duración y el alcance operacional.
¿Hay indicios de acceso no autorizado?
Conserve registros, alertas y evidencia técnica que permita reconstruir lo sucedido.
¿Pueden estar afectados datos personales?
Determine qué sistemas los contienen y si existen indicios de exposición, alteración o pérdida de disponibilidad.
¿Qué se ha confirmado hasta ahora?
Separe los hechos confirmados de las hipótesis y anote los antecedentes pendientes.
¿Cuáles son los plazos para reportar un incidente?
El artículo 9 establece un esquema progresivo. La alerta temprana debe enviarse dentro de un máximo de tres horas desde que se toma conocimiento del ciberataque o incidente que pueda tener impactos significativos. Después se actualiza la información y se presenta un informe final.
| Etapa | Plazo máximo | Contenido esperado |
|---|---|---|
| Alerta temprana | 3 horas desde que se toma conocimiento | Antecedentes disponibles sobre el incidente y la institución, momento de conocimiento e indicios observados. |
| Actualización | 72 horas en general; 24 horas para OIV cuando afecta la prestación de sus servicios esenciales | Evaluación inicial, gravedad, impacto e indicadores de compromiso disponibles. |
| Informe final | 15 días corridos desde la alerta temprana | Descripción detallada, causa principal probable, medidas de mitigación y repercusiones transfronterizas si corresponde. |
Si el incidente continúa en curso después de la presentación del informe, la ley contempla que este sea reemplazado por un informe de situación. En ese caso, el informe final debe presentarse dentro de los 15 días corridos siguientes a la gestión del incidente. Registre las fechas y horas desde el primer momento y mantenga trazabilidad de cada actualización.
No espere a conocer toda la causa raíz. Los plazos se activan desde que se toma conocimiento del incidente que pueda tener impactos significativos, no desde que termina la investigación.
Revisar información ANCI¿Qué información conviene preparar para la alerta temprana?
La primera notificación puede ser necesaria cuando todavía hay preguntas abiertas. Una ficha de incidente ayuda a reunir los antecedentes disponibles, diferenciar hechos confirmados de hipótesis y coordinar al equipo técnico con quienes deben realizar el reporte.
Responsables y accesos definidos
Determine quién evalúa, quién reporta, quién autoriza decisiones y quién reemplaza al responsable si no está disponible.
Cronología del evento
Registre cuándo se detectó, cuándo se tomó conocimiento y cuándo se identificaron nuevos antecedentes.
Sistemas y servicios afectados
Incluya información disponible sobre disponibilidad, acceso no autorizado, malware o posible exposición de datos.
Medidas de contención y evidencia
Documente acciones realizadas, responsables, registros e indicadores técnicos disponibles.
La información exigible y el procedimiento concreto deben revisarse en las instrucciones vigentes y en el portal oficial de ANCI. Una plantilla interna no sustituye el formulario ni los requisitos oficiales de reporte.
Cómo prepararse antes de que ocurra un incidente
La dificultad de los plazos breves no suele ser redactar un informe: es descubrir, en plena emergencia, quién decide, quién reúne los antecedentes, quién contiene el incidente y quién accede al portal. Esas responsabilidades deben definirse de antemano.
Asignar responsables
Defina responsables, suplentes, escalamiento y comunicación con la dirección.
Documentar el procedimiento
Establezca criterios de escalamiento, canales de contacto y registro de decisiones.
Practicar la respuesta
Simule escenarios y compruebe la coordinación entre TI, seguridad, legal y negocio.
Preservar evidencia
Proteja registros, marcas de tiempo y evidencia técnica para mantener trazabilidad.
El reporte es parte de una respuesta más amplia
Cumplir los plazos es una parte del proceso, pero no sustituye la contención, el análisis técnico, la recuperación ni la revisión de las causas. Una organización preparada conecta la detección de eventos con la toma de decisiones, la continuidad operacional y la comunicación interna.
En Neuronet ayudamos a las organizaciones a evaluar y fortalecer sus capacidades de ciberseguridad, considerando tecnología, procesos y soporte especializado. El alcance adecuado depende del entorno, los riesgos y las obligaciones aplicables a cada institución.
¿Su organización está preparada para responder ante un incidente? Revise sus capacidades de ciberseguridad, procedimientos de respuesta y responsables antes de que una alerta se convierta en una crisis.
Hablar con un especialistaPreguntas frecuentes sobre el reporte de incidentes de ciberseguridad
¿Cuánto tiempo hay para reportar un incidente de ciberseguridad en Chile?
Para los incidentes que deben reportarse conforme al artículo 9 de la Ley 21.663, la alerta temprana debe enviarse dentro de un máximo de 3 horas desde que se toma conocimiento. Luego se entrega una actualización en un máximo de 72 horas, o 24 horas para OIV cuando el incidente afecta la prestación de sus servicios esenciales, y un informe final dentro de 15 días corridos, sujeto a la regla especial para incidentes que continúan en curso.
¿Todas las empresas deben reportar a la ANCI?
No. La obligación se aplica a las instituciones comprendidas en el artículo 4 que prestan servicios esenciales y a las instituciones calificadas como OIV, según corresponda. Cada organización debe verificar si está dentro del alcance legal.
¿Qué es una alerta temprana?
Es la primera notificación formal del incidente potencialmente significativo. Se entrega dentro del plazo legal con la información disponible y no reemplaza las actualizaciones ni el informe final.
¿Qué pasa si todavía no se conoce la causa del incidente?
La organización debe trabajar con la información disponible, distinguir hechos confirmados de hipótesis y continuar la investigación. El informe posterior incorpora antecedentes más desarrollados, la causa probable y las medidas de mitigación.
¿Qué plazo de actualización aplica a un OIV?
La actualización debe entregarse en un máximo de 24 horas cuando el incidente afecta la prestación de sus servicios esenciales. En el régimen general, el plazo de actualización es de 72 horas.
¿Dónde se reportan los incidentes?
Se reportan al CSIRT Nacional mediante el procedimiento y portal habilitados por ANCI. La institución debe revisar las instrucciones vigentes y verificar el registro y las personas habilitadas para reportar.
¿Reportar reemplaza las acciones para contener el ataque?
No. Reportar y responder son tareas complementarias. La organización debe contener el incidente, reducir su impacto, preservar evidencia y recuperar los servicios, además de cumplir con las comunicaciones que correspondan.
Fuentes oficiales y normativa
- Ley N.º 21.663, Ley Marco de Ciberseguridad — Biblioteca del Congreso Nacional. Revisar especialmente los artículos 4, 9 y 27.
- Agencia Nacional de Ciberseguridad (ANCI). Consultar las instrucciones y el procedimiento de reporte vigentes.
Este artículo entrega información general basada en normativa y fuentes oficiales. No sustituye la revisión de instrucciones vigentes de ANCI ni la asesoría jurídica aplicable a un caso concreto.
