La entrada en vigencia de la Ley Marco de Ciberseguridad, promulgada en abril de 2024 y operativa desde marzo de 2025, ha generado cambios significativos en las empresas chilenas, especialmente en aquellas clasificadas como Operadores de Importancia Vital (OIV) o Prestadores de Servicios Esenciales (PSE).
La normativa establece dos instituciones fundamentales: la Agencia Nacional de Ciberseguridad (ANCI) como organismo rector y el Equipo de Respuesta a Incidentes de Seguridad Informática Nacional (CSIRT) como entidad operativa. Reconoce que en una economía globalizada y digitalizada, los sistemas informáticos son elementos críticos para el funcionamiento continuo del país.
Las organizaciones públicas y privadas categorizadas como OIV y PSE pueden enfrentar sanciones severas si un incidente causa afectación, interrupción, interceptación o destrucción de sistemas que impacten significativamente la seguridad, el orden público, la provisión de servicios esenciales o el cumplimiento de funciones estatales, siempre que se compruebe incumplimiento de los estándares establecidos.
Según André Goujon, CEO de Lockbits, «la nueva normativa es un punto de inflexión en términos culturales, ya que la ciberseguridad no era vista como una prioridad y se mezclaba erróneamente con el área TI de las organizaciones. Hoy la ley exige medidas permanentes para prevenir, reportar y resolver incidentes. Más aún, demanda una debida implementación de protocolos y estándares establecidos por la ANCI según el tipo de organización de que se trate, teniendo especialmente en consideración las características de las pequeñas y medianas empresas».
La Ley establece la obligación de reportar incidentes. Todas las instituciones públicas y privadas declaradas como OIV y PSE deben informar al CSIRT Nacional sobre cualquier ciberataque o incidente que pueda generar efectos significativos, en un plazo máximo de tres horas desde la identificación del evento.
Las infracciones se clasifican en leves, graves y gravísimas, con sanciones económicas que varían según la categoría y gravedad. Las multas oscilan entre 5 mil unidades tributarias mensuales (UTM), aproximadamente 352 millones de pesos, hasta 40 mil UTM, cercanas a 2 mil 823 millones de pesos.
La magnitud de las sanciones ha impulsado a las empresas a contratar asesorías legales y jurídicas especializadas para comprender sus obligaciones y diseñar estrategias de cumplimiento efectivas.
Goujon señala que «tradicionalmente, en materia legal y de cumplimiento, las empresas en Chile han tendido a actuar de manera reactiva, en lugar de adoptar un enfoque preventivo integral. Ahora que la Ley Marco ha entrado en vigencia, las implicancias e impactos de su incumplimiento se han hecho de conocimiento público, observándose preocupación con celeridad. No obstante, es importante enmarcar este proceso en un contexto más amplio: el país está experimentando un período de implementación simultánea de leyes que están exigiendo a las empresas un mejoramiento de sus procesos».
Este esfuerzo se enmarca en un conjunto más amplio de normativas que incluyen la Ley de Delitos Económicos, la Ley Karin y la próxima Ley de Protección de Datos Personales. Goujon destaca que «tanto la Ley Marco de Ciberseguridad como la futura Ley de Protección de Datos son las que conllevan las multas y sanciones más importantes que se han establecido en Chile».
Los montos máximos de multas pueden resultar desastrosos para una organización. Para las clasificadas como OIV, la multa máxima alcanza 40 mil UTM, mientras que para las PSE llega a 20 mil UTM. Goujon advierte que «el riesgo reputacional derivado de un incidente grave puede ser incluso más irreparable. Por ende, las organizaciones deben continuar avanzando en asesoría especializada y la máxima prevención posible».
En un contexto global de ciberataques cada vez más sofisticados e impulsados por tecnologías de inteligencia artificial, la ciberseguridad ha tomado un curso regulatorio estricto en términos de cumplimiento y responsabilidad. De esta forma, Chile se posiciona como uno de los primeros impulsores de un marco normativo avanzado en la región para proteger sus sistemas e infraestructura tecnológica esencial.
Con Información de revistaseguridad.cl
