Seguridad de la Información en Chile - Consultoría SGSI

Publicado el 22/07/2026 - Actualizado el 12/11/2026
Revisado por nuestro experto consultor Manuel Echiburu

Línea de tiempo de las dos leyes

La Ley Marco de Ciberseguridad ya rige completa; la Ley 21.719 entra en vigencia el 1 de diciembre de 2026, según su texto publicado. La tabla ordena los hitos oficiales.

Hay un proyecto de ley en trámite (boletín 18.623-07), ya aprobado por el Senado, que propone trasladar la última fecha al 15 de octubre de 2027. Mientras no se publique en el Diario Oficial, rige el 1 de diciembre de 2026. Antes de planificar, confirme en Ley Chile que no haya cambiado.

¿Le aplican estas leyes? Siete preguntas para su empresa

Si responde sí a la primera pregunta, la Ley 21.719 le aplica; las demás miden cuánto trabajo adicional tiene.

1. ¿Trata datos de personas naturales, como clientes o trabajadores? Sí: la Ley 21.719 le aplica, con sus principios, derechos y deber de seguridad. No: revise igual sus datos de personal.
2. ¿Trata datos sensibles, de menores de 14 años o sobre obligaciones financieras o comerciales? Sí: ante una vulneración con esos datos, también debe avisar a los titulares (Ley 21.719, art. 14 sexies). No: el reporte a la Agencia sigue siendo obligatorio si hay riesgo razonable.
3. ¿Hace tratamiento masivo, perfiles automatizados o monitoreo de zonas públicas? Sí: necesita una evaluación de impacto en protección de datos (Ley 21.719, art. 15 ter). No: documente igual sus riesgos.
4. ¿Vende a personas en Chile desde el extranjero? Sí: la ley le alcanza aunque no esté establecido en Chile (Ley 21.719, art. 1 bis). No: si está establecido en Chile, le aplica por esa vía.
5. ¿Presta un servicio esencial, como energía, agua, telecomunicaciones, TI para terceros, transporte, banca, salud o servicios postales? Sí: debe aplicar medidas permanentes y reportar incidentes significativos al CSIRT Nacional (Ley 21.663, arts. 7 y 9). No: la Ley 21.663 no le impone esos deberes directamente.
6. ¿Figura en una nómina de operadores de importancia vital? Sí: se suman un SGSI continuo, planes certificados y un delegado de ciberseguridad (Ley 21.663, art. 8). No: la ANCI revisa la calificación al menos cada tres años (art. 6).
7. ¿Tiene un procedimiento escrito para reportar incidentes? Sí: verifique que incluya la alerta temprana en 3 horas y el aviso a la Agencia de datos. No: es la primera brecha que cerrar.

Dos agencias con focos distintos

La ANCI fiscaliza la Ley 21.663 y la Agencia de Protección de Datos Personales fiscalizará la Ley 21.719. La ANCI es un servicio público funcionalmente descentralizado que puede fiscalizar y sancionar (Ley 21.663, arts. 10 y 11).

La Agencia de datos es una corporación autónoma de derecho público, de carácter técnico (Ley 21.719, art. 30). También certifica los modelos de prevención de infracciones que las empresas adopten de forma voluntaria (arts. 30 bis y 49).

Cómo se traducen estas obligaciones en controles lo verá en la tabla de las leyes 21.663 y 21.719 frente a la ISO 27001. Esos modelos de prevención siguen la lógica de los programas de compliance y prevención de delitos en Chile. Para elegir norma, parta por el catálogo de normas ISO para empresas chilenas.

Agende una conversación sobre su exposición a las dos leyes. Le indicamos por dónde empezar.

Preguntas frecuentes sobre las nuevas leyes de datos y ciberseguridad

¿Desde cuándo rige la Ley 21.719 de protección de datos personales?

Según su texto publicado, desde el 1 de diciembre de 2026. Su artículo primero transitorio fija la vigencia el primer día del mes vigésimo cuarto posterior a su publicación del 13 de diciembre de 2024. Hay un proyecto de ley en trámite (boletín 18.623-07), ya aprobado por el Senado, que propone trasladarla al 15 de octubre de 2027; mientras no se publique en el Diario Oficial, rige esta fecha.

¿Qué es la Agencia de Protección de Datos Personales?

Es el organismo que crea la Ley 21.719 para fiscalizar su cumplimiento y sancionar las infracciones (Ley 21.719, art. 30 bis). También certifica y registra los modelos de prevención de infracciones.

¿Qué empresas son operadores de importancia vital en Chile?

Son prestadores de servicios esenciales que la ANCI califica por resolución (Ley 21.663, art. 5). Su servicio depende de redes y sistemas informáticos, y su afectación tendría un impacto significativo. El primer proceso de calificación comenzó el 30 de mayo de 2025 (ANCI, Resolución Exenta 024).

¿Qué multas contemplan la Ley 21.719 y la Ley 21.663?

La Ley 21.719 fija multas de hasta 5.000, 10.000 y 20.000 UTM según la gravedad (Ley 21.719, art. 35). Con reincidencia pueden triplicarse, y una empresa que no sea de menor tamaño puede llegar al 2 % o 4 % de sus ingresos anuales. En la Ley 21.663, los topes para un OIV llegan a 40.000 UTM (Título VII).

¿Qué debe hacer primero una pyme ante la nueva ley de datos?

Primero, saber qué datos personales trata, para qué y dónde los guarda. Después, revisar sus medidas de seguridad y definir quién reporta una vulneración a la Agencia (Ley 21.719, arts. 14 quinquies y 14 sexies). Designar un delegado de protección de datos es voluntario (art. 50).

Fuentes oficiales de la línea de tiempo

• Diario Oficial: Ley 21.663, Ley Marco de Ciberseguridad (8 de abril de 2024)
• Diario Oficial: Ley 21.719, protección y tratamiento de los datos personales (13 de diciembre de 2024)
• Diario Oficial: DFL 1-21.663 (24 de diciembre de 2024)
• Agencia Nacional de Ciberseguridad: Resolución Exenta 024 (30 de mayo de 2025)
• Diario Oficial: Resolución Exenta 187 de la ANCI (24 de julio de 2026)