Desde su promulgación en abril de 2024 hasta la entrada en vigencia de sus aspectos fundamentales en marzo de 2025, la Ley Marco de Ciberseguridad ha marcado un hito en la institucionalidad digital del país. Esgrimida como un marco regulatorio moderno, crea dos pilares fundamentales: la Agencia Nacional de Ciberseguridad (ANCI) como rector y el Equipo de Respuesta a Incidentes de Seguridad Informática Nacional (CSIRT), como brazo operativo.
En el contexto actual de la economía global, profundamente interconectada y basada en la digitalización, los sistemas informáticos han trascendido su rol meramente operacional para convertirse en elementos esenciales para el funcionamiento ininterrumpido del país. La Ley reconoce esta criticidad.
Por ello, compañía pública o privada (OIV y PSE) que ante un incidente cause una afectación, interrupción, interceptación o destrucción de sistemas que impacten significativamente en la seguridad, el orden público, la provisión continua y regular de servicios esenciales, el cumplimiento efectivo de las funciones del Estado, puede ser objeto de severas sanciones si se comprueba el incumplimiento de los estándares rigurosos que la Ley establece.
“La nueva normativa es un punto de inflexión en términos culturales, ya que la ciberseguridad no era vista como una prioridad y se mezclaba erróneamente con el área TI de las organizaciones. Hoy la ley exige medidas permanentes para prevenir, reportar y resolver incidentes. Más aún, demanda una debida implementación de protocolos y estándares establecidos por la ANCI según el tipo de organización de que se trate, teniendo especialmente en consideración las características de las pequeñas y medianas empresas”, explica André Goujon, CEO de Lockbits.
Un aspecto central de la Ley es la obligación de reportar incidentes. Todas las instituciones públicas y privadas que sean finalmente declaradas como OIV y PSE tendrán el deber inexcusable de informar al CSIRT Nacional sobre cualquier ciberataque o incidente de ciberseguridad que pueda generar efectos significativos. Este reporte debe realizarse tan pronto como sea posible, dada la naturaleza crítica y la velocidad de propagación de las amenazas cibernéticas.
“La normativa exige un plazo máximo de tres horas para la alerta temprana desde la identificación del incidente. En cuanto a las infracciones, estas se clasifican en leves, graves y gravísimas. Las sanciones económicas varían según la categoría específica (OIV o PSE) y la gravedad, pero el riesgo financiero es considerable: las multas pueden ir desde las 5 mil (alrededor de 352 millones de pesos) hasta las 40 mil unidades tributarias mensuales (UTM), cerca de 2 mil 823 millones de pesos”, subraya Goujon, destacando la magnitud de las consecuencias ante la negligencia.
Multas que pueden destruir: ¿asesorías legales y jurídicas al alza?
Ante la categorización crítica como OIV o PSE, la estricta tipificación de infracciones, el riesgo de sanciones económicas que alcanzan niveles nunca antes vistos en la legislación y la exigencia de implementar complejos sistemas de gestión de seguridad de la información, las empresas han recurrido a asesorías legales y jurídicas especializadas para comprender sus obligaciones y diseñar estrategias de cumplimiento efectivas.
“Tradicionalmente, en materia legal y de cumplimiento, las empresas en Chile han tendido a actuar de manera reactiva, en lugar de adoptar un enfoque preventivo integral. Ahora que la Ley Marco ha entrado en vigencia, las implicancias e impactos de su incumplimiento se han hecho de conocimiento público, observándose preocupación con celeridad. No obstante, es importante enmarcar este proceso en un contexto más amplio: el país está experimentando un período de implementación simultánea de leyes que están exigiendo a las empresas un mejoramiento de sus procesos”, declara Goujon.
El CEO de Lockbits pone en contexto esta exigencia legal, refiriéndose a otras normativas que impactan el quehacer diario de las operaciones de las empresas, como la Ley de Delitos Económicos, la Ley Karin y la próxima Ley de Protección de Datos Personales. “Existe un interés y un esfuerzo para estar al día con el cumplimiento regulatorio. Y es que tanto la Ley Marco de Ciberseguridad como la futura Ley de Protección de Datos son las que conllevan las multas y sanciones más importantes que se han establecido en Chile”.
Se trata de montos de multas que, de aplicarse en su tope máximo, tienen el potencial real de destruir o hacer inviable la operación económica de una organización. “Aquellas organizaciones declaradas como OIV se enfrentan a una multa máxima que asciende a las 40 mil UTM. Respecto a las PSE, el tope alcanza las 20 mil UTM. En este escenario, el riesgo reputacional derivado de un incidente grave puede ser incluso más irreparable. Por ende, las organizaciones deben continuar avanzando en asesoría especializada y la máxima prevención posible”, sentencia Goujon
Frente a un contexto global de ciberataques cada vez más personalizados, sofisticados, efectivos e impulsados por tecnologías de inteligencia artificial (IA), la ciberseguridad toma un curso regulatorio estricto y exigente en términos de cumplimiento y responsabilidad. De esta forma, el país se posiciona como uno de los primeros impulsores de un marco normativo avanzado y de vanguardia en la región, velando por la protección de sus sistemas e infraestructura tecnológica esencial, y garantizando la confianza pública en el entorno digital.
