Ley 21.663 · Marco de Ciberseguridad

Cumpla la Ley de
Ciberseguridad Chile
sin paralizar su negocio

DaiBackup cubre el 100% de los controles técnicos obligatorios de la Ley 21.663. Acompañamos a su organización desde el diagnóstico hasta la certificación de cumplimiento.

Diagnóstico gratuito Ver controles cubiertos

📅 Plazos clave Ley 21.663

Mar
2024

Ley promulgada y publicada

La Ley Marco de Ciberseguridad e Infraestructura Crítica entra en vigencia oficial.

Vigente

Ene
2025

Reglamento operadores OIV

Publicación del reglamento con obligaciones específicas para Operadores de Importancia Vital.

Vigente

Ago
2025

Implementación controles técnicos

Plazo para implementar los 48 controles técnicos mínimos definidos por el CSIRT.

⚡ Próximo

Ene
2026

Auditorías y certificaciones

Inicio del proceso de auditoría externa obligatoria para OIV de sectores críticos.

Futuro

⚠ PLAZO VIGENTELa Ley 21.663 ya está vigente — reportar incidentes al CSIRT en máx. 3 horas · 📋 OBLIGATORIOOperadores de importancia vital deben implementar SGSI antes del plazo · 💰 MULTASInfracciones muy graves hasta 10.000 UTM (~$900M CLP) · 🛡 DAIBACKUPCubra el 100% de los controles técnicos de la Ley 21.663 · ⚠ PLAZO VIGENTELa Ley 21.663 ya está vigente — reportar incidentes al CSIRT en máx. 3 horas · 📋 OBLIGATORIOOperadores de importancia vital deben implementar SGSI antes del plazo · 💰 MULTASInfracciones muy graves hasta 10.000 UTM (~$900M CLP) · 🛡 DAIBACKUPCubra el 100% de los controles técnicos de la Ley 21.663 ·

Ley 21.663 explicada

¿Qué exige la ley a su organización?

La ley establece un marco de ciberseguridad para todos los organismos públicos y privados que operan infraestructura crítica o manejan datos sensibles en Chile.

Notificación de incidentes

Obligación de reportar incidentes de ciberseguridad al CSIRT Nacional dentro de las 3 horas de detección para OIV, y 72 horas para el resto de organizaciones afectadas.

Controles técnicos mínimos

Implementación de 48 controles técnicos categorizados por el CSIRT: gestión de activos, control de acceso, protección de datos, detección de amenazas y respuesta a incidentes.

Responsabilidades del directorio

Los directorios de empresas OIV deben aprobar políticas de ciberseguridad anuales, designar un CISO responsable y participar en ejercicios de simulacro de incidentes.

Gestión de la cadena de suministro

Evaluación de riesgos de proveedores tecnológicos y terceros con acceso a sistemas críticos. Contratos deben incluir cláusulas de ciberseguridad y derecho a auditoría.

Plan de continuidad operacional

Cada OIV debe contar con un plan de continuidad del negocio ante ciberataques, validado mediante pruebas anuales documentadas y disponible para auditoría del regulador.

Auditoría externa obligatoria

Las organizaciones clasificadas como OIV deben someterse a auditorías de ciberseguridad realizadas por entidades certificadas por la Agencia Nacional de Ciberseguridad.

Cobertura de controles

Lo que cubre DaiBackup de los 48 controles CSIRT

Cada producto de DaiBackup está mapeado a los controles técnicos definidos por el CSIRT Nacional bajo la Ley 21.663.

✓

CT-01 · Inventario y gestión de activos de información

Identificación, clasificación y control de todos los activos de datos y sistemas críticos de la organización.

Cubierto · Endpoint Management

✓

CT-05 · Control de acceso y gestión de identidades

Implementación de principio de mínimo privilegio, MFA y revisión periódica de permisos en sistemas críticos.

Cubierto · Passportal + XDR ITDR

✓

CT-08 · Protección contra código malicioso

Soluciones antimalware actualizadas, con capacidad de detección de amenazas desconocidas y aislamiento automático.

Cubierto · Antivirus EDR

✓

CT-12 · Gestión de vulnerabilidades y parches

Proceso documentado para identificar, priorizar y aplicar parches de seguridad dentro de los plazos establecidos.

Cubierto · Administración de Parches

✓

CT-17 · Monitoreo y detección de eventos de seguridad

Registro, correlación y análisis de eventos de seguridad con capacidad de alerta en tiempo real 24/7.

Cubierto · SIEM + SOC 24/7

✓

CT-21 · Respuesta a incidentes de ciberseguridad

Plan documentado de respuesta a incidentes con roles definidos, procedimientos de contención y comunicación al CSIRT.

Cubierto · SOC 24/7 + Playbooks

✓

CT-25 · Respaldo y recuperación de información

Copias de seguridad regulares, verificadas y almacenadas de forma segura con capacidad de recuperación ante desastres.

Cubierto · Backup Online + DR

✓

CT-29 · Protección del correo electrónico

Filtrado de spam, phishing y malware en el correo corporativo, con registros SPF, DKIM y DMARC configurados.

Cubierto · Mail Assure

✓

CT-33 · Continuidad operacional ante ciberataques

Plan de continuidad del negocio con procedimientos de failover, RTO/RPO definidos y pruebas anuales documentadas.

Cubierto · Recuperación ante Desastres

◑

CT-38 · Formación y concienciación en ciberseguridad

Programa de capacitación anual para todos los empleados sobre amenazas, phishing y buenas prácticas de seguridad.

Parcial · Requiere plan de capacitación

Cobertura DaiBackup

92% cubierto

Detección

100%

Respuesta

95%

Backup/DR

100%

Identidades

90%

Capacitación

60%

Ver diagnóstico completo

Riesgos de no cumplir

Multas y sanciones de la Ley 21.663

La ley establece sanciones escalonadas según la gravedad de la infracción y el tipo de organización.

Tipo de infracción	Sanción en UTM	Equivalente CLP aprox.	Severidad
No notificar incidente al CSIRT en el plazo	Hasta 5.000 UTM	~$340 millones CLP	Grave
No implementar controles técnicos mínimos	Hasta 10.000 UTM	~$680 millones CLP	Grave
Obstaculizar auditoría del regulador	Hasta 20.000 UTM	~$1.360 millones CLP	Gravísima
No contar con plan de continuidad	Hasta 3.000 UTM	~$204 millones CLP	Media
Incumplimiento menor de procedimientos	Hasta 1.000 UTM	~$68 millones CLP	Leve

* Valores referenciales basados en el texto de la ley. Consulte con un abogado para interpretación específica. UTM a valor referencial 2025.

Plan de implementación

De cero a cumplimiento total en 90 días

Nuestra metodología en 4 fases permite cumplir con la ley sin interrumpir las operaciones del negocio.

Semana 1–2 · Diagnóstico

Evaluación de brecha y mapeo de controles

Auditoría inicial de la postura de seguridad actual versus los 48 controles CSIRT. Identificamos qué ya cumple, qué requiere ajuste y qué hay que implementar desde cero.

Informe de brechaMapeo de controlesPlan de riesgos

Semana 3–6 · Implementación técnica

Despliegue de controles prioritarios

Instalación y configuración de SIEM, EDR, backup, gestión de parches y control de accesos. Integración con la infraestructura existente sin interrupciones.

SIEM / SOCAntivirus EDRBackup OnlinePatch Mgmt

Semana 7–10 · Documentación

Políticas, procedimientos y plan de continuidad

Redacción de políticas de seguridad, procedimiento de notificación de incidentes, plan de respuesta y plan de continuidad del negocio en formato auditable.

Políticas ISPlan BCPProc. incidentes

Semana 11–13 · Validación

Simulacro de incidente y revisión final

Ejercicio de simulacro controlado para validar el plan de respuesta. Informe final de cumplimiento listo para presentar al directorio o al regulador.

Drill de incidenteInforme CSIRTCertificación

Cumpla la Ley deCiberseguridad Chilesin paralizar su negocio