Chile fija reportes en horas y multas de hasta 10.000 UTM

Notificación en horas, no en días

La ANCI ya fijó un esquema escalonado para reportar incidentes que obliga a las organizaciones a moverse en plazos muy ajustados: una alerta temprana en 3 horas, seguida por hitos posteriores, como 24 horas y 15 días, para ampliar y cerrar el reporte. En la práctica de consultoría local, ese ciclo se tradujo en una referencia operativa de 3h, 24h y 15 días para diseñar simulacros, flujos internos de reporte y recolección de evidencia.

La Resolución Exenta ANCI N° 152, de enero de 2026, matizó ese estándar al fijar en 6 horas el plazo para la notificación inicial de incidentes críticos bajo la Ley 21.663. La coexistencia de ambos tiempos refuerza una exigencia concreta para las empresas sujetas al régimen, que necesitan detectar, clasificar y escalar eventos casi en tiempo real para no quedar fuera de plazo.

Qué están haciendo los operadores de importancia vital

Netprovider sostiene que los Operadores de Importancia Vital necesitan monitoreo de seguridad 24/7, ya sea con un CyberSOC interno o externo, porque sin detección continua la ventana legal de reporte es prácticamente imposible de cumplir en la práctica. La misma consultora describe hojas de ruta mensuales para servicios esenciales y OIV, con pasos que incluyen designar y registrar al delegado de ciberseguridad ante la ANCI, realizar gap analysis contra ISO 27001, activar CyberSOC 24/7, probar planes de continuidad, iniciar capacitación y completar la certificación del SGSI antes de mediados de 2026.

En el sector eléctrico, la ANCI ya publicó una nómina preliminar de OIV que incluye empresas de generación, transmisión y distribución. Esa publicación confirma que una parte relevante de la infraestructura energética quedó formalmente alcanzada por el régimen de reporte en 3 horas, además de las obligaciones de SGSI y monitoreo.

Multas altas y deber de información

El riesgo regulatorio no se limita a la velocidad del aviso. Según Aguila & Cía., la omisión o el retardo en la notificación puede considerarse infracción grave y derivar en multas de hasta 10.000 UTM, duplicables en caso de reincidencia o daño significativo a infraestructura crítica. Ese esquema eleva de forma sustancial el costo de no cumplir con los plazos.

La misma firma advierte que la responsabilidad por cumplimiento de la Ley 21.663 se está interpretando bajo un estándar similar a Caremark, lo que obliga a los directorios a demostrar que implementan y supervisan activamente sistemas de información y reporte en ciberseguridad. Eso incluye SGSI certificable, documentación exhaustiva de decisiones y protocolos de notificación dual a la ANCI y a la autoridad de protección de datos.

Aguila & Cía. y otros proveedores coinciden además en que la ley exige integrar los protocolos de notificación a la ANCI con las obligaciones de notificación de brechas de datos personales, para evitar sanciones paralelas y reducir el riesgo de litigios civiles derivados de incidentes de seguridad.