La Ley Marco de Ciberseguridad (Ley N° 21.663) que fue publicada en abril de 2024 dicta un antes y un después para la gestión de riesgos empresariales en Chile. La entrada en vigencia gradual de esta ley culminó el 1 de marzo de 2025, activando sus obligaciones más críticas y su severo régimen de sanciones. Esta normativa, lejos de ser un mero conjunto de directrices técnicas, trasciende lo puramente tecnológico para transformarse en un pilar fundamental para los gobiernos corporativos y la gestión de riesgos dentro de las empresas.

La Ley de Ciberseguridad no debe ser interpretada como una simple regulación técnica, sino como un marco institucional de alcance estratégico que eleva la ciberseguridad a una prioridad nacional y una función esencial de los negocios. Su promulgación alinea a Chile con los estándares internacionales más modernos, estableciendo una nueva gobernanza para la seguridad digital del país. El propósito central de la ley es estructurar y coordinar las acciones de ciberseguridad, creando para ello la Agencia Nacional de Ciberseguridad (ANCI) como ente regulador, fiscalizador y sancionador.

Un aspecto crucial para la planificación estratégica es su implementación por fases. Si bien las normas generales entraron en vigor el 1 de enero de 2025, los elementos de mayor impacto para las empresas —como los deberes específicos para Operadores de Importancia Vital, la obligación de reportar incidentes y, fundamentalmente, todo el régimen de sanciones— se activaron recién el 1 de marzo de 2025.

Para comprender su alcance, es crucial familiarizarse con dos conceptos clave, primero que se define son los Servicios Esenciales (PSE), que corresponden a aquellos cuya interrupción puede afectar significativamente la seguridad nacional, la salud pública o la continuidad operativa del país; y en segundo lugar, comprender que son los Operadores de Importancia Vital (OIV), que corresponde a aquellas instituciones, públicas o privadas, que presten servicios esenciales y cuya afectación podría generar un impacto mayor. La ANCI será la encargada de calificar qué entidades ostentan esta categoría.

La misma ley define explícitamente una serie de sectores que son considerados como proveedores de servicios esenciales, entre los que destacan: Banca, servicios financieros y medios de pago; Salud (hospitales, clínicas, consultorios y producción farmacéutica); Generación, transmisión o distribución eléctrica; Telecomunicaciones; Infraestructura digital y servicios de TI gestionados por terceros; Transporte (terrestre, aéreo, ferroviario y marítimo); Suministro de agua potable y saneamiento; Distribución de combustibles

Existen varias obligaciones clave que la ley impone a las empresas, entre las más significativas tenemos, en primer lugar, el deber de prevención y gestión, todas las organizaciones deben implementar permanentemente protocolos y estándares definidos por la ANCI. En segundo lugar, el deber de reportar, la normativa establece la obligación ineludible de reportar al Equipo Nacional de Respuesta a Incidentes de Seguridad Informática de Chile (CSIRT Nacional) los ciberataques e incidentes significativos. Y, en tercer lugar, el deber de responsabilidad designada, la ley exige que los OIV designen formalmente a un «delegado de ciberseguridad».

Para los contadores, auditores y directores financieros, el incumplimiento de la Ley 21.663 debe ser analizado como un nuevo y significativo riesgo que genera pasivos contingentes. La magnitud de las sanciones exige a los directorios y a la gerencia financiera que evalúen la necesidad de provisionar fondos para cubrir potenciales multas, una decisión que tiene un impacto directo en el balance general y los estados de resultados. Este riesgo, además, debe ser debidamente divulgado en las notas a los estados financieros para informar a inversionistas y stakeholders.

El régimen de sanciones, establecido en los Artículos 38, 39 y 40, es claro y establece un sistema de dos niveles según la entidad infractora, que van desde las 5.000 UTM por infracciones consideradas como leves, hasta las 40.000 UTM en el rango más alto para las infracciones consideradas gravísimas.

Como Colegio de Contadores de Magallanes, hacemos un llamado a la acción directa a los empresarios, directorios, gerentes y profesionales del área financiera y contable, a realizar un diagnóstico urgente para cuantificar y reportar el riesgo cibernético en la estrategia de las empresas, es importante considerar el tratamiento del riesgo cibernético con el mismo rigor que el riesgo de crédito, de mercado u operacional.

La Ley Marco de Ciberseguridad no es solo una opción a considerar para las empresas, es una condición operativa fundamental en la economía digital del siglo XXI. La adaptación proactiva y estratégica a sus exigencias no solo es una obligación legal, sino una decisión de negocio clave para garantizar la competitividad, la sostenibilidad y el éxito futuro de las empresas chilenas.