Ciberseguridad · Ley 21.663 · Chile
Un SGSI no se entrega en PDF. Se acredita.
Si la ANCI te calificó Operador de Importancia Vital, tienes que demostrar un sistema de gestión de seguridad de la información que funciona, planes de continuidad operacional que se han probado de verdad y un proceso de notificación que cumple los plazos. Eso no lo resuelve una política firmada: lo resuelven los sistemas, y la evidencia que producen.
Dónde se rompen estos proyectos
Hemos visto el patrón lo suficiente como para nombrarlo. La organización contrata la redacción del sistema de gestión, recibe un cuerpo documental correcto y descubre demasiado tarde que el supervisor no pregunta por el documento, sino por lo que ocurre cuando algo falla.
El SGSI existe, pero nadie lo opera
Políticas aprobadas y procedimientos escritos, sin registros que demuestren que se aplican. En una revisión, la ausencia de evidencia pesa más que la presencia del documento.
El plan de continuidad no se ha probado
La ley pide ejercicios y simulacros. Un plan aprobado y nunca ejecutado es una hipótesis, y se comporta como tal el día que hace falta.
Los plazos de notificación no son alcanzables
Notificar en horas exige detectar en minutos y decidir con criterio preestablecido. Si la detección depende de que alguien mire un panel, el plazo se incumple antes de empezar a redactar.
Dos supervisores, dos programas
La CMF por un lado y la ANCI por otro, con equipos distintos produciendo evidencia parecida dos veces. Es caro y, cuando ambos preguntan, las dos versiones no siempre coinciden.
Cómo lo abordamos
No empezamos por el documento. Empezamos por saber qué puedes demostrar hoy y qué no, porque esa distancia es el proyecto.
-
Primero
Diagnóstico contra los deberes de la ley
Revisamos los seis deberes del operador —delegado, sistema de gestión, continuidad, capacitación, notificación e instrucciones de la ANCI— y para cada uno respondemos una sola pregunta: si el supervisor lo pidiera mañana, ¿qué enseñarías? Lo que salga de ahí marca el alcance real, que casi nunca coincide con el que se supone al empezar.
-
Después
Controles sobre los sistemas que ya tienes
Traducimos cada deber a controles concretos sobre tu arquitectura —incluido el core heredado, que es donde suele estar la dificultad— y dejamos la generación de evidencia automatizada allí donde se puede, en lugar de depender de que alguien recopile capturas antes de una auditoría.
-
Y entonces
Continuidad probada y notificación ensayada
Ejercicios y simulacros con resultado registrado, y un procedimiento de notificación ensayado contra reloj: quién decide que un evento es notificable, con qué criterio y en cuánto tiempo. El objetivo es que el primer incidente real no sea el primer ensayo.
-
Y para que dure
Una sola evidencia para los dos supervisores
Diseñamos los controles una vez, de modo que lo que sirve a la ANCI sirva también ante la CMF. Es la diferencia entre un programa de cumplimiento y dos.
Por qué Vermont
Operamos un SGSI, no solo lo escribimos
Vermont está certificada en ISO 27001 desde 2021. Pasamos por auditorías de un sistema de gestión propio cada año, así que la conversación sobre evidencia la tenemos desde el lado de quien la tiene que presentar.
Ya vimos esta película en Europa
La resiliencia operativa digital europea llegó antes y trajo las mismas preguntas: continuidad probada, reporte de incidentes con reloj y evidencia ante el supervisor. Traemos los errores ya cometidos, que es la parte que no se puede improvisar.
Entidad chilena, no web traducida
Vermont Solutions Chile SpA es una sociedad constituida en Chile. Contrato local y equipo que trabaja en tu huso horario.
Preguntas frecuentes
¿Cómo sé si mi organización es Operador de Importancia Vital?
No se autodeclara: lo determina la ANCI por resolución y se publica en nóminas oficiales. El primer proceso se cerró con 1.154 instituciones —915 en la nómina final de la primera etapa, por Resolución Exenta N°87 del 17 de diciembre de 2025, y 239 más en la segunda, oficializada el 24 de julio de 2026—. Alcanza a banca y servicios financieros. Si no estás seguro, empieza por comprobar la nómina vigente en anci.gob.cl.
¿Cuánto tiempo tengo para acreditar el SGSI?
El plazo lo fija el reglamento y se cuenta desde la designación, así que depende de en qué nómina entraste: quien fue calificado en diciembre de 2025 no tiene el mismo calendario que quien lo fue en julio de 2026. Es el primer dato a confirmar con la ANCI, porque decide si esto es un proyecto de este trimestre o del siguiente.
¿Vale con certificarse en ISO 27001?
Ayuda mucho, pero no son lo mismo. La ISO 27001 certifica un sistema de gestión de forma voluntaria; la ANCI exige cumplir los deberes de la Ley 21.663, incluidos los planes de continuidad probados y la notificación en plazo. Un SGSI certificado cubre buena parte del terreno y demuestra que la organización sabe operar y auditar un sistema de gestión. La diferencia está en el alcance y en la evidencia que pide el supervisor.
¿Esto sustituye lo que ya hacemos para la CMF?
No, se suma. Se solapan en el fondo y difieren en interlocutor, plazos y sanciones. Lo eficiente es diseñar los controles una vez y que la evidencia sirva para ambos, en lugar de mantener dos programas en paralelo.
¿Sabes qué le enseñarías hoy a la ANCI?
Esa es la única pregunta que decide si estás en riesgo. Cuéntanos tu situación y te decimos con franqueza qué distancia hay y cuánto trabajo supone — también si la respuesta es que estás mejor de lo que crees.
Revisar mi estado ante la ANCI →Información de carácter comercial. No constituye asesoramiento jurídico ni regulatorio: los plazos, la nómina vigente de operadores y el alcance de cada deber deben verificarse en anci.gob.cl.