Chile endurece multas e prazos em cibersegurança

Prazos para reporte e encerramento de incidentes

O regime chileno de cibersegurança já estabelece prazos objetivos para a notificação de incidentes. Para os de impacto significativo, a Lei 21.663 exige um alerta inicial em até 3 horas, segundo análise da Quarancle. A atualização deve ser feita em até 72 horas, ou em até 24 horas quando o afetado for um operador de importância vital e houver risco à prestação de serviços essenciais. Além disso, a norma exige um relatório final em até 15 dias corridos e, se o incidente continuar em aberto, um relatório adicional, segundo a guia da Biblioteca do Congresso Nacional do Chile sobre a Lei 21.663.

Esse modelo organiza tanto a comunicação inicial quanto o registro posterior do incidente. Na prática, não basta avisar: o marco pede um encerramento formal, com uma segunda entrega caso o evento não tenha sido resolvido no prazo inicial.

Multas e alcance regulatório

A Lei 21.663 também prevê um regime sancionatório com multas máximas de 5.000, 10.000 e 20.000 UTM para infrações leves, graves e gravíssimas, respectivamente. Para os operadores de importância vital, esses tetos são dobrados.

A Tivit calculou o teto sancionatório do conjunto de novas leis de cibersegurança e proteção de dados no Chile em 40.000 UTM, equivalentes a mais de $2.800 milhões, nos casos mais graves.

A Chambers enquadra essa norma dentro de um arcabouço chileno mais amplo de segurança da informação, que também inclui a lei de proteção de dados, a lei de crimes informáticos, a regulação setorial da CMF e as normas de telecomunicações. Nessa leitura, a nova lei reforça expectativas de governança, reporte de incidentes e resiliência operacional.

Para instituições financeiras e outros atores que operam no Chile, o impacto não se limita ao cumprimento de uma única lei. O esquema convive com obrigações ligadas ao tratamento de dados, com o enquadramento de crimes informáticos e com a regulação setorial, em um ambiente em que incidentes precisam ser informados e documentados dentro de prazos fechados.

Controles exigidos para conformidade

A guia de conformidade da Prey Project acrescenta que, junto com a Lei 21.663 e a Lei 21.719, as organizações no Chile precisam implementar controles de segurança, gerir riscos, proteger dados pessoais, manter planos de resposta a incidentes e conseguir demonstrar essas medidas às autoridades.

A análise da Quarancle acrescenta que a ANCI pode exigir provas de que os planos de continuidade e de cibersegurança realmente funcionam, e que a nova lei de proteção de dados traz exigências operacionais concretas, como security and privacy by design e avaliação contínua.

Isso estabelece um padrão de conformidade que não se esgota em políticas internas. Também exige evidências de que esses controles existem e funcionam, um ponto que ganha peso em setores com maior exposição regulatória, como o financeiro.