Servicio · Ley 21.663 y Ley 21.719
Delegado de ciberseguridad y CISO virtual
Servicios esenciales de todos los sectores —sector público, banca, servicios financieros, seguridad social, telecomunicaciones, energía, agua, transporte, salud, servicios digitales— reportan incidentes a la ANCI en 3 horas, y quien trata datos sensibles suma las exigencias de la Ley 21.719. La función se organiza en tres niveles: reporte e inscripción, delegado de ciberseguridad y CISO virtual integral. Se asume por escrito, desde 12 UF.
1. Justificación legal
Justificación legal y obligatoriedad normativa
Para una institución que presta un servicio esencial y trata datos sensibles —fichas clínicas, exámenes toxicológicos, evaluaciones de aptitud, antecedentes financieros o datos biométricos—, la función de CISO o responsable de ciberseguridad es una exigencia legal prioritaria bajo el marco regulatorio chileno vigente.
Marco de Ciberseguridad
La nómina cubre 35 tipos de prestadores: sector público y empresas del Estado, banca y medios de pago, servicios financieros, seguridad social, telecomunicaciones, infraestructura y servicios digitales, TI gestionada por terceros, energía eléctrica, combustibles, agua potable y saneamiento, transporte, servicios postales y mensajería, salud y farmacéutico. Desde el 1 de marzo de 2025 el reporte de incidentes con efecto significativo es obligatorio, y el Operador de Importancia Vital designa un delegado de ciberseguridad como contraparte ante la Agencia.
- Servicio esencial
- Delegado art. 8 i)
- Alerta en 3 h
- ANCI
Protección de Datos Personales
Publicada el 13 de diciembre de 2024 y vigente desde el 1 de diciembre de 2026. Define como sensibles los datos de salud y perfil biológico, los biométricos, el origen étnico, la afiliación política o sindical, la situación socioeconómica, las convicciones y la vida sexual, entre otros (art. 2 letra g), con régimen propio en el artículo 16 bis. El artículo 14 quinquies exige medidas técnicas y organizativas y deja en el responsable la carga de acreditarlas.
- Datos sensibles
- Art. 16 bis
- Medidas técnicas
- DPO
2. La función
Qué asume el CISO virtual
Seis responsabilidades concretas, con entregables y periodicidad definidas en la propuesta.
Delegado de ciberseguridad titular
Designación formal por acta o contrato de prestación de servicios, con subrogante, registro y actualización de datos en el Portal ANCI. La función reporta a la máxima autoridad de la institución.
Reporte de incidentes en 3 horas
Canal de escalamiento con teléfono y correo, guion de reporte y turnos definidos: alerta temprana dentro de 3 horas, segunda notificación y informe final a los 15 días.
Programa de seguridad documentado
Política, matriz de riesgos, inventario de activos y plan de continuidad. Documentación que la institución puede presentar ante la ANCI y ante la Agencia de Protección de Datos.
Medidas técnicas para datos sensibles
Cifrado en reposo y en tránsito, control de acceso por rol, registro de auditoría, respaldo probado y plazos de retención de las fichas, antecedentes o registros que trate la institución.
Verificación independiente de TI
Revisión periódica de la configuración y los accesos que administra el área de TI o el proveedor del sistema crítico, con informe de hallazgos al comité directivo.
Formación y simulacros
Inducción para el personal que trata datos sensibles, campaña de phishing y un simulacro anual de incidente con notificación a la ANCI.
3. Niveles de servicio
Tres niveles, según la obligación que aplique
El nivel se define con la evaluación: la calificación de la institución, los datos que trata y lo que exige su sector. Los niveles se acumulan y el alcance queda por escrito.
Reporte e inscripción
Toda institución que presta un servicio esencial: registro en el Portal ANCI, encargado de reportar con doble factor y procedimiento de alerta temprana en 3 horas. Aplica a cualquier industria de la nómina.
- Portal ANCI
- Encargado de reportar
- Alerta 3 h
Delegado de ciberseguridad
Operador de Importancia Vital: delegado y subrogante designados por escrito, con independencia funcional respecto de TI, reporte directo a la máxima autoridad y acreditación ante la Agencia.
- Acta de designación
- Subrogante
- Independencia de TI
CISO virtual integral
Quien trata datos sensibles bajo la Ley 21.719: programa documentado, medidas técnicas, delegado de protección de datos y verificación independiente, con informe al directorio.
- Programa documentado
- Medidas técnicas
- DPO
Alcance y valor
Desde 12 UF
El valor final queda sujeto a la evaluación de infraestructura y del alcance: nivel que corresponda, número de sedes, sistemas, proveedores externos y horas de dedicación. La propuesta se entrega por escrito, con entregables, periodicidad y horas incluidas.
Valor base
12 UF
Sujeto a evaluación de infraestructura y alcance
Base normativa
Los datos de esta página se contrastan con el texto publicado en el Diario Oficial. Cada afirmación legal enlaza a su fuente primaria:
- Ley 21.663 — Ley Marco de Ciberseguridad (BCN)
- ANCI, Instrucción General N°3 sobre el delegado de ciberseguridad (DO 26-dic-2025)
- Decreto N°295/2024 — Reglamento de reporte de incidentes de ciberseguridad (DO 1-mar-2025)
- Ley 21.719 — Protección de los Datos Personales (DO 13-dic-2024)
- Portal ANCI — registro y reporte de incidentes
Preguntas frecuentes
¿Mi institución queda obligada aunque todavía no la califiquen como Operador de Importancia Vital?
El deber de reportar a la ANCI alcanza a toda institución que presta un servicio esencial desde el 1 de marzo de 2025, y la nómina cubre 35 tipos de prestadores: sector público y empresas del Estado, banca y medios de pago, servicios financieros, seguridad social, telecomunicaciones, infraestructura y servicios digitales, TI gestionada, energía eléctrica, combustibles, agua y saneamiento, transporte, postal y mensajería, salud y farmacéutico. La calificación como Operador de Importancia Vital agrega la designación del delegado de ciberseguridad y plazos más cortos de actualización: 24 horas cuando el incidente afecta la prestación del servicio.
¿Quién puede ser delegado de ciberseguridad?
Una persona con formación, certificación o experiencia especializada en ciberseguridad, gestión de riesgos tecnológicos o continuidad operacional, con canal de reporte directo a la máxima autoridad y habilitación para representar a la institución ante la ANCI. La Instrucción General N°3 admite delegados subrogantes, con los mismos requisitos.
¿El CISO virtual convive con el equipo de TI de la institución?
Sí, y ese reparto es el que pide la norma. La administración de servidores, cuentas y respaldos sigue en el equipo o proveedor actual; la función de delegado audita esa operación por separado, documenta hallazgos, informa a la máxima autoridad y firma los reportes ante la ANCI.
¿Cómo se reporta un incidente a la ANCI?
Por el Portal ANCI (portal.anci.gob.cl), con ClaveÚnica del encargado de reportar y doble factor de autenticación. Son tres entregas: alerta temprana dentro de 3 horas, segunda notificación y informe final a los 15 días. Dejamos el acceso probado y el procedimiento escrito antes de necesitarlo.
¿Qué régimen tienen los datos sensibles?
La Ley 21.719 los define en su artículo 2 letra g): datos relativos a la salud y al perfil biológico, biométricos, origen étnico, afiliación política, sindical o gremial, situación socioeconómica, convicciones, creencias, vida sexual, orientación sexual e identidad de género. Sobre ellos rige el artículo 16 bis, con medidas técnicas y organizativas documentadas y comunicación al titular cuando una vulneración lo afecta.
Siguiente paso
¿Designamos al delegado este mes?
Cuéntanos cuántas sedes tiene la institución, qué sistemas críticos opera y quién administra hoy la infraestructura. Con eso preparamos la evaluación, el nivel que aplica y la propuesta de designación.