Glosario · Ciberseguridad · Chile
Ley 21.663 — Ley Marco de Ciberseguridad, la ANCI y los OIV
La Ley N°21.663 creó la Agencia Nacional de Ciberseguridad (ANCI) y, con ella, una figura que cambia la conversación: el Operador de Importancia Vital. Quien entra en esa categoría deja de gestionar la ciberseguridad como una buena práctica y pasa a tener que acreditarla ante un supervisor, con plazos y con multas. Sus artículos 5, 8 y 9 y su Título VII rigen desde el 1 de marzo de 2025.
Qué obliga a un Operador de Importancia Vital
- Delegado de ciberseguridad — una persona designada como interlocutor y responsable ante la ANCI.
- Sistema de gestión de seguridad de la información — implementado y mantenido, basado en gestión de riesgos. No un documento: un sistema que opera y del que queda registro.
- Planes de continuidad operacional — formulados con foco en ciberseguridad, revisados periódicamente y probados con ejercicios y simulacros.
- Capacitación permanente — programas continuos, no una formación puntual.
- Notificación de incidentes — en los plazos escalonados que el sector resume como 3 / 72 / 15.
- Cumplir las instrucciones de la ANCI — que dicta normas técnicas de carácter obligatorio.
La calificación no se autodeclara. La determina la ANCI por resolución y se publica en nóminas oficiales. El primer proceso se cerró con 1.154 instituciones: la nómina final de la primera etapa se publicó por Resolución Exenta N°87 el 17 de diciembre de 2025, con 915 de las 1.712 evaluadas, y la segunda etapa se oficializó el 24 de julio de 2026 con 239 más. La categoría alcanza a banca y servicios financieros. Comprueba la nómina vigente en anci.gob.cl antes de asumir que no te aplica.
Por qué es un problema de ingeniería y no de redacción
Las cinco obligaciones de arriba tienen algo en común: ninguna se satisface con una política firmada. Un sistema de gestión que solo existe en documentos se cae en la primera revisión; lo que la ANCI puede comprobar son registros, pruebas y evidencia —quién accedió a qué, cuándo se detectó un incidente, qué simulacro se ejecutó y con qué resultado, si el plan de continuidad se probó de verdad o solo se aprobó—. Y esa evidencia la producen los sistemas, no el área legal.
El plazo para acreditar el sistema de gestión y los planes de continuidad lo fija el reglamento y se cuenta desde la designación, así que el calendario de cada entidad depende de en qué nómina entró. Verifica el tuyo directamente con la ANCI: es el dato que decide si esto es un proyecto de este trimestre o del siguiente.
Cómo te ayudamos
Acreditar el SGSI, no solo escribirlo
Vermont Solutions Chile SpA opera un sistema de gestión de seguridad de la información certificado ISO 27001 desde 2021. Trabajamos el tramo que suele quedar sin cubrir: convertir la obligación en controles que funcionan sobre los sistemas que ya tienes, y en evidencia que resiste una revisión.
Cómo convive con lo que ya exige la CMF
No sustituye nada: se suma. Un banco responde ante la CMF por la normativa sectorial de seguridad de la información y continuidad operacional —el capítulo RAN 20-10— y, si fue calificado, también ante la ANCI. Se solapan en el fondo y difieren en el interlocutor, los plazos y las sanciones. Lo eficiente no es llevar dos programas en paralelo, sino diseñar los controles una vez y producir evidencia que sirva para ambos supervisores.
Términos relacionados
- RAN 20-10 — ciberseguridad y continuidad operacional de la CMF
- Ley 21.719 — protección de datos personales
- RAN — Recopilación Actualizada de Normas
- SIEM y SOC
Fuentes oficiales
Última actualización: 2026-09-11. Última verificación contra fuente oficial: 11 de septiembre de 2026. Contenido editorial de Vermont Solutions con fines informativos; no constituye asesoramiento jurídico ni regulatorio. Los plazos de acreditación y la nómina vigente de operadores deben verificarse en anci.gob.cl.