Ciberseguridad de datos financieros: lo que la Ley 21.663 exige a las empresas chilenas

Resumen:

La Ley 21.663, o Ley Marco de Ciberseguridad, es la normativa chilena que establece por primera vez obligaciones legales de gestión de riesgos, gobernanza y reporte de incidentes de ciberseguridad, tanto para organismos del Estado como para empresas privadas. Fue promulgada en abril de 2024, entró en vigencia general el 1 de enero de 2025 junto con la creación de la Agencia Nacional de Ciberseguridad (ANCI), y un grupo específico de artículos, como calificación de Operadores de Importancia Vital, deberes de reporte de incidentes y régimen de sanciones, quedó diferido hasta el 1 de marzo de 2025, con un proceso de calificación de empresas obligadas que sigue en curso. Aunque las obligaciones más estrictas recaen sobre los llamados Operadores de Importancia Vital y prestadores de servicios esenciales, cualquier empresa mediana o grande que dependa de sus sistemas para operar, y eso incluye a prácticamente toda empresa con datos financieros críticos, debería revisar su exposición.

Un ERP con controles de acceso, trazabilidad y respaldo adecuados no sustituye una estrategia de ciberseguridad, pero es parte de la base sobre la que esa estrategia se construye, especialmente cuando se trata de proteger la información financiera del negocio.

---

Contenidos

• Chile ya tiene una ley de ciberseguridad exigible, no aspiracional
• Qué establece realmente la Ley 21.663
• A quién obliga y por qué probablemente te afecta aunque no seas un OIV
• Por qué los datos financieros son el activo más expuesto
• Qué rol juega tu ERP en el cumplimiento
• Preguntas frecuentes

Chile ya tiene una ley de ciberseguridad exigible, no aspiracional

Hasta hace poco, la ciberseguridad en las empresas chilenas era una decisión voluntaria: se adoptaban estándares como ISO 27001 o NIST porque la organización decidía protegerse, pero no había una ley que lo exigiera. Ese escenario cambió con la promulgación de la Ley 21.663 en abril de 2024. La ley entró en vigencia general el 1 de enero de 2025, fecha en que también comenzó a operar la Agencia Nacional de Ciberseguridad (ANCI), el organismo encargado de fiscalizar su cumplimiento. Un segundo grupo de artículos, entre ellos la calificación de Operadores de Importancia Vital, la obligación de reportar incidentes y el régimen de sanciones, quedó diferido hasta el 1 de marzo de 2025, fecha desde la cual esas obligaciones específicas son plenamente exigibles.

Si tu directorio todavía no ha preguntado formalmente por el estado de cumplimiento de la empresa frente a esta ley, es probable que lo haga pronto. La fiscalización ya está activa, el proceso de calificación de empresas obligadas sigue avanzando y el estándar de responsabilidad recae cada vez más directamente sobre la administración de la empresa, no solo sobre el área de TI.

Qué establece la Ley 21.663

La ley organiza sus obligaciones alrededor de varios ejes. Crea la institucionalidad nacional de ciberseguridad, con la ANCI como organismo fiscalizador y el CSIRT Nacional como punto de coordinación para la respuesta a incidentes. Define categorías de empresas obligadas como los Operadores de Importancia Vital (OIV) y los prestadores de servicios esenciales, y les exige implementar estándares mínimos de seguridad, designar un delegado de ciberseguridad responsable del cumplimiento, y mantener planes de continuidad operacional documentados y probados, no solo redactados.

Uno de los puntos más exigentes en términos operativos es el régimen de reporte de incidentes. Las empresas obligadas deben notificar a la autoridad dentro de plazos medidos en horas desde que toman conocimiento de un incidente significativo. Este es, en la práctica, el punto donde muchas organizaciones descubren que no tienen la visibilidad interna necesaria para detectar y reportar un incidente a tiempo, porque su información de seguridad vive dispersa entre distintos sistemas sin monitoreo centralizado.

A quién obliga y por qué te afecta aunque no seas un OIV

La calificación formal como Operador de Importancia Vital la realiza la autoridad y no existe una lista cerrada de sectores. La ANCI puede designar como críticas a organizaciones de distintos rubros si su funcionamiento resulta relevante para el país, lo que incluye sectores como banca, servicios financieros y otras industrias con infraestructura considerada estratégica.

Pero reducir la conversación a "¿soy o no un OIV?" es una forma limitada de entender el riesgo. La ley es relevante para cualquier empresa que dependa de sus sistemas informáticos para operar y en 2026 eso describe prácticamente a toda empresa mediana o grande.

Además, la Ley 21.663 no opera sola, convive con la Ley 21.719 de Protección de Datos Personales, que alcanza su plena vigencia en diciembre de 2026 y suma un segundo frente de cumplimiento centrado específicamente en cómo se protegen los datos personales, incluyendo datos financieros de clientes y colaboradores, que la empresa administra.

Por qué los datos financieros son el activo más expuesto

Dentro de cualquier organización, la información financiera concentra un riesgo particular: es sensible, es valiosa para un atacante, y suele estar distribuida entre distintos sistemas, contabilidad, tesorería, nómina, facturación, con niveles de control de acceso desiguales entre uno y otro. Un ERP fragmentado, donde cada área maneja su propia base de datos con sus propios criterios de acceso, multiplica los puntos donde esa información puede filtrarse o ser vulnerada y dificulta enormemente poder responder con precisión y rapidez si la autoridad pregunta qué información se vio comprometida en un incidente.

Esto es exactamente lo que la Ley 21.663 exige poder responder: qué pasó, cuándo se detectó, qué datos se vieron afectados y qué medidas se tomaron, todo dentro de plazos ajustados. Una empresa que no tiene visibilidad centralizada de sus datos financieros parte con una desventaja estructural para cumplir con esos plazos, independientemente de cuántos controles técnicos tenga instalados.

Qué rol juega tu ERP en el cumplimiento

Un ERP no es una solución de ciberseguridad por sí solo, y ninguna plataforma reemplaza una estrategia de gestión de riesgos, capacitación y gobernanza. Pero un ERP con arquitectura centralizada, control de acceso por rol, trazabilidad de quién modificó la información y cuándo y respaldo consistente de los datos financieros, es una pieza estructural de esa estrategia.

Cuando la información financiera vive en un solo sistema con controles de acceso claros, la empresa puede responder con precisión a las preguntas que un incidente o un fiscalizador va a hacer: quién tenía acceso a qué datos, qué se modificó y cuándo, y qué información específica pudo haberse visto comprometida.

Cuando esa misma información vive repartida en planillas, sistemas legados y accesos que nadie ha revisado en años, cualquier intento de responder esas preguntas dentro de los plazos que exige la ley se vuelve, en la práctica, una reconstrucción manual bajo presión.

Preguntas frecuentes

¿Desde cuándo está vigente la Ley 21.663 en Chile?

La ley fue promulgada en abril de 2024 y entró en vigencia general el 1 de enero de 2025, junto con la creación de la Agencia Nacional de Ciberseguridad (ANCI). Un grupo específico de artículos: calificación de Operadores de Importancia Vital, reporte de incidentes y régimen de sanciones, quedó diferido hasta el 1 de marzo de 2025, fecha desde la cual esas obligaciones son plenamente exigibles. El proceso de calificación formal de empresas obligadas ha continuado avanzando durante 2026.

¿Mi empresa está obligada aunque no sea un Operador de Importancia Vital?

Las obligaciones más estrictas recaen sobre los Operadores de Importancia Vital (OIV) y los prestadores de servicios esenciales, categorías que define la autoridad y que no se limitan a una lista cerrada de sectores. Sin embargo, cualquier empresa mediana o grande que dependa de sus sistemas para operar debería evaluar su exposición, y además debe considerar la Ley 21.719 de Protección de Datos Personales, que alcanza plena vigencia en diciembre de 2026 y aplica de forma más amplia.

¿Qué obligación operativa es la más exigente para las empresas?

El reporte de incidentes significativos a la autoridad dentro de plazos medidos en horas desde que la organización toma conocimiento del hecho. Cumplir con ese plazo requiere tener visibilidad centralizada de los sistemas y los datos afectados, algo difícil de lograr cuando la información vive dispersa entre plataformas sin monitoreo conjunto.

¿Un ERP por sí solo hace que mi empresa cumpla con la ley?

No. La ley exige gobernanza, gestión de riesgos, planes de continuidad y capacidad de reporte, que van más allá de cualquier sistema. Pero un ERP centralizado, con control de acceso por rol y trazabilidad de cambios sobre los datos financieros, es una base estructural que facilita cumplir con los plazos y requisitos de información que la ley exige durante un incidente.

Esperamos que este contenido haya sido de utilidad. Manténte atento al blog de Informat ERP para que no te pierdas el contenido de interés que subimos para empresas de todos los tamaños. Síguenos en las redes sociales y en el Canal de YouTube de Informat y conoce más sobre Informat en nuestro sitio web o comunícate con nosotros para agendar una reunión con nuestros expertos