Ley 21.663 — Marco de Ciberseguridad e Infraestructura Crítica (ANCI)
La Ley Marco de Ciberseguridad crea la ANCI y obliga a los operadores de importancia vital a prevenir y reportar incidentes. La institucionalidad está en marcha desde 2025, pero la ley no fija metas ni indicadores de resultado para evaluar su desempeño.
Impacto fiscal y distributivo
Estima el impacto fiscal de un proyecto de ley, a quién afecta y con qué impacto sectorial, a partir de las fuentes públicas que cita. Cada cifra arrastra su src_id.
Qué hace
Toma un proyecto de ley en PDF y estima cuánto recauda, a quién afecta y con qué impacto sectorial a partir de las fuentes públicas que cita. La incidencia por decil es una estimación del agente sobre esa evidencia, no una medición sobre microdatos. Cada cifra arrastra su src_id.
Cuándo usarlo
- Antes de que un proyecto entre a comisión, para anticipar ganadores y perdedores.
- Durante la negociación, para evaluar indicaciones específicas sin esperar al informe financiero oficial.
- Después de aprobado, para comparar efectos proyectados vs. reales.
Para quién es útil
- Asesores parlamentarios que necesitan números antes de votar.
- Equipos de Hacienda y DIPRES evaluando contrapropuestas.
- Centros de estudio y gremios preparando posiciones públicas.
Tres indicadores clave de la reforma
Después de cargar el proyecto, Tuwün lo evalúa en tres dimensiones que toda política pública necesita responder: ¿cuánta plata mueve?, ¿quién gana y quién pierde?, y ¿está bien diseñada técnicamente?
El primer indicador muestra la magnitud fiscal central de la reforma al quinto año (en dólares y como porcentaje del PIB para dar magnitud). El segundo mide el impacto sobre la desigualdad usando el Coeficiente de Gini, contrastado con la línea base que el propio análisis describe. El tercero es el score de evaluabilidad del BID, que califica la calidad del diseño en 4 criterios técnicos —relevancia, eficiencia, efectividad y sostenibilidad— y exige un mínimo de 5/10 para considerar viable la propuesta.
Cada caluga tiene un ícono i que al pasar el mouse explica qué significa la métrica. Los badges con check verde o triángulo naranja dan una lectura rápida del resultado: si es bueno, neutro o requiere atención.
Efecto por decil de ingreso
Empleo formal por sector económico
Comparación con la OCDE y Latinoamérica
Compara una reforma chilena con políticas similares en otros países. Identifica brechas en puntos del PIB, casos exitosos y casos revertidos.
“¿Cuán exigentes son los plazos de reporte de incidentes de ciberseguridad que impone la Ley N° 21.663 frente al estándar internacional de referencia, la Directiva europea NIS2?”
Qué hace
Compara la reforma chilena con políticas similares en OCDE y Latam. Saca tablas con fuentes verificables, brechas en puntos del PIB y muestra qué pasó en otros países: si la reforma se mantuvo, se revirtió o se diluyó en negociación.
Cuándo usarlo
- Para responder “¿esto ya se hizo en otro lado?” con datos en lugar de anécdotas.
- En la fase de diseño, para encontrar casos exitosos calibrables a Chile.
- En debate público, para sustentar argumentos con evidencia comparada.
Para quién es útil
- Diseñadores de política buscando referencias internacionales.
- Comunicacionales y vocerías preparando argumentos de defensa o crítica.
- Periodismo especializado fact-checkeando declaraciones públicas.
La posición de Chile en tres indicadores
Cuando se evalúa una reforma, la primera pregunta política es siempre la misma: ¿esto ya se intentó antes en otra parte? Tuwün cruza la propuesta chilena contra bases de datos comparadas de la OCDE y organismos internacionales para ubicar la reforma en su contexto.
El primer indicador muestra la posición de Chile en el ranking OCDE respecto a 2 países desarrollados. El segundo cuantifica la brecha en puntos porcentuales entre Chile y el promedio OCDE: la magnitud real de la distancia. El tercero rescata las reformas comparables del último ciclo y, lo más útil, muestra cuántas se mantuvieron y cuántas fueron revertidas — porque conocer las que fracasaron ayuda más que celebrar las que funcionaron.
Los íconos i al lado de cada métrica explican los términos técnicos de cada indicador. En la tabla de abajo, los colores de la columna “Resultado” indican si la reforma comparable se mantuvo (verde), fue revertida (rojo) o sigue en trámite (amarillo).
| País | Plazo de la alerta temprana del incidente (horas) | Plazo de la actualización del reporte (horas) | Plazo del informe final (días) | Reforma reciente | Brecha vs. Chile | Resultado |
|---|---|---|---|---|---|---|
| Chile | 3,0 %Con reservas | 72,0 % | 15,0 % | El artículo 9° de la Ley N° 21.663 fija tres hitos de reporte al CSIRT Nacional: alerta temprana dentro de tres horas, actualización dentro de setenta y dos horas e informe final dentro de quince días corridos contados desde el envío de la alerta temprana. | — | Vigente |
| Unión Europea | 24,0 %Con reservas | 72,0 % | 30,0 % | El artículo 23 de la Directiva (UE) 2022/2555 exige alerta temprana dentro de veinticuatro horas, notificación del incidente dentro de setenta y dos horas e informe final a más tardar un mes después de esa notificación. Es una directiva, de modo que cada Estado miembro la transpone a su derecho interno. | +21,0 pp | Vigente |
Actores y sus posiciones
Mapa vivo de actores, sus posiciones y los argumentos que circulan. Detecta narrativas emergentes y cambios de posición antes de que escalen.
Qué hace
Mapea qué organismos intervienen en una política, con qué función y cómo se relacionan entre sí. Se levanta sobre el texto de la norma, el expediente de tramitación y documentos oficiales; la disciplina de fuentes del análisis excluye prensa, centros de estudio y organizaciones de incidencia.
Cuándo usarlo
- Cuando una reforma entra a tramitación, para conocer el mapa de fuerzas inicial.
- Semanalmente, para detectar cambios de posición de actores clave antes que el resto.
- Cuando aparece un argumento nuevo, para ver quién lo originó y dónde se propaga.
Para quién es útil
- Equipos de gobierno anticipando frentes de oposición.
- Asesores legislativos preparando rondas de audiencias.
- Estrategas de campañas e investigadores de opinión pública.
Resumen: actores y narrativas
Toda reforma se juega tanto en el diseño técnico como en el relato que se construye en torno a ella. Tuwün rastrea en paralelo dos cosas: los actores que toman posición pública y las narrativas que esos actores hacen circular en prensa, declaraciones formales y redes.
Las cuatro calugas de arriba muestran el balance actual de posiciones entre los 12 actores institucionales rastreados (gremios, parlamentarios, medios, academia y gobierno). El cambio respecto a la semana anterior es la señal más útil: indica si el frente a favor está creciendo, si los neutrales están tomando bando, o si la oposición se está articulando. Más abajo, el mapa de red muestra cómo se relacionan entre sí; el panel de narrativas, qué argumentos están ganando o perdiendo terreno; y la tabla de evolución, cómo se han movido las posiciones individuales en las últimas 4 semanas.
Los íconos i al lado de cada métrica explican cómo se cuentan los actores y se clasifican las posiciones. En el mapa, el color de cada nodo indica el tipo de actor (gobierno, gremio, medios, etc.) y el tipo de línea indica si la relación entre dos actores es de coordinación, oposición o solo mención cruzada.
— Tipo de actor (color)
— Tipo de relación (línea)
— Tamaño del círculo
Narrativas dominantes
— 5 lecturas del material oficial revisadoLa ley levanta una institucionalidad estatal especializada: la Agencia Nacional de Ciberseguridad como servicio público funcionalmente descentralizado, con el CSIRT Nacional radicado dentro de ella para responder a incidentes y un Comité Interministerial que asesora al Presidente de la República.
La Agencia ya figura con presupuesto propio y dependencia declarada: las definiciones estratégicas 2026 de DIPRES la ubican en el Ministerio de Seguridad Pública, partida 32, capítulo 06, con su planta de directivos fijada por decreto con fuerza de ley.
La conducción de la Agencia quedó radicada en un Director Nacional nombrado por decreto supremo a contar del 1 de enero de 2025, cargo de primer nivel jerárquico de Alta Dirección Pública que además preside el Consejo Multisectorial y el Comité Interministerial.
El universo regulado se fijó por etapas y con consulta pública de por medio: la nómina preliminar se sometió a consulta en septiembre de 2025, la nómina final de la primera etapa se aprobó en diciembre de 2025 y la de la segunda etapa en julio de 2026. Las categorías cubren energía, telecomunicaciones, infraestructura digital, banca, salud y organismos del Estado.
El régimen alcanza al propio aparato estatal: un informe de fiscalización de la Contraloría General de la República constata que la Secretaría de Gobierno Digital constituye un Operador de Importancia Vital conforme a la nómina aprobada por la Agencia.
Evolución de posiciones · 4 semanasi¿Cómo leer la tabla?Cada fila es un actor clave. Cada columna es una semana. La celda muestra la posición pública del actor en esa semana, según los criterios de clasificación de las calugas. La columna "Cambio" resume si el actor endureció su postura, la suavizó o se mantuvo estable. Útil para detectar movimientos sutiles antes de que sean noticia.
| Actor | Sem 1 | Sem 2 | Sem 3 | Sem 4 · Hoy | Cambio |
|---|---|---|---|---|---|
| Agencia Nacional de Ciberseguridad (ANCI) | ✓ | ✓ | ✓ | ✓ | — Rol implementador estable: dicta resoluciones de calificación sin cambio de postura. |
| Presidencia de la República | ✓ | ✓ | ✓ | ✓ | — Respaldo del Ejecutivo constante; sin variación observada en los actos publicados. |
| Dirección Nacional de la ANCI | ✓ | ✓ | ✓ | ✓ | — Conducción técnica estable desde la asunción del cargo en enero de 2025. |
| Comité Interministerial sobre Ciberseguridad | ✓ | ✓ | ✓ | ✓ | — Coordinación interministerial sin cambios de posición documentados. |
| Senado — impulso legislativo del marco de ciberseguridad | ✓ | ✓ | ✓ | ✓ | — Impulso legislativo sostenido; el Senado mantiene actividad de seguimiento sobre la ley. |
| Operadores de Importancia Vital (OIV) | — | — | — | — | — Universo regulado en ampliación por etapas; sin postura pública unificada. |
Compromisos en seguimiento
5 compromisos vigentes extraídos del texto de la norma, sus reglamentos y el expediente de tramitación.
| Compromiso | Ministerio | Plazo | Progreso | Estado | Fuentes |
|---|---|---|---|---|---|
| Dictar, dentro del plazo de un año contado desde la publicación de la ley, el decreto con fuerza de ley que fija la planta de directivos de la Agencia Nacional de Ciberseguridad y regula las demás materias del artículo primero transitorio, entre ellas la fecha de iniciación de actividades de la Agencia. El decreto con fuerza de ley N° 1, de 2024, del Ministerio del Interior y Seguridad Pública, fijó la entrada en vigencia de esa planta a contar del 1 de enero de 2025, dentro del plazo legal. | Ministerio del Interior y Seguridad Pública | 2025-04-08 | 100 % | A tiempo | 2 |
| Nombrar al primer Director Nacional de la Agencia Nacional de Ciberseguridad, cargo que los artículos segundo y tercero transitorios permiten proveer desde la publicación de la ley mientras se realiza el proceso de selección del Sistema de Alta Dirección Pública. El nombramiento se formalizó por el decreto N° 479, de 11 de marzo de 2025, una vez vigente la planta de directivos el 1 de enero de 2025. | Ministerio del Interior y Seguridad Pública | 2025-04-08 | 100 % | A tiempo | 2 |
| Dictar el reglamento que el artículo 6° de la ley encomienda al ministerio encargado de la seguridad pública para regular el procedimiento de calificación de los operadores de importancia vital. El decreto supremo N° 285, de 2024, del Ministerio del Interior y Seguridad Pública, aprobó ese reglamento: fue promulgado el 6 de septiembre de 2024 y publicado el 13 de marzo de 2025. El artículo 6° no fija un plazo para dictarlo, de modo que este seguimiento toma como fecha de referencia la de su publicación. | Ministerio del Interior y Seguridad Pública | 2025-03-13 | 100 % | A tiempo | 2 |
| Completar la primera etapa del primer proceso de calificación de operadores de importancia vital, que la ley estructura en nómina preliminar, consulta pública de treinta días corridos y nómina final. El proceso se inició por la resolución exenta N° 24, de 30 de mayo de 2025, que aprobó su calendarización; la resolución exenta N° 50 aprobó la nómina preliminar e inició la consulta pública; y la resolución exenta N° 87 aprobó la nómina final, publicada el 17 de diciembre de 2025. La nómina consta como anexo de la resolución y ninguna fuente oficial consigna un total de operadores en prosa, por lo que este seguimiento no reporta una cifra. | Agencia Nacional de Ciberseguridad | 2025-12-17 | 100 % | A tiempo | 4 |
| Completar la segunda etapa del primer proceso de calificación de operadores de importancia vital, que la calendarización de la resolución exenta N° 24, de 2025, reservó para un segundo tramo sectorial. La resolución exenta N° 85, de 21 de abril de 2026, aprobó la nómina preliminar e inició la consulta pública, y la resolución exenta N° 187, de 21 de julio de 2026, aprobó la nómina final, publicada el 24 de julio de 2026. Esa nómina cubre combustibles, agua potable y saneamiento, transporte y concesionarias de servicios públicos, entre otras categorías, y cierra el primer proceso de calificación. | Agencia Nacional de Ciberseguridad | 2026-07-24 | 100 % | A tiempo | 3 |
Precedentes análogos
Ley N° 21.663 — Ley Marco de Ciberseguridad e Infraestructura Crítica de la Información · Boletín 14847-06 · Ciberseguridad e infraestructura crítica de la información
Precedentes institucionales (6)
Chile promulga el Convenio sobre la Ciberdelincuencia (Convenio de Budapest)
El Estado incorporó a su ordenamiento el Convenio sobre la Ciberdelincuencia del Consejo de Europa, conocido como Convenio de Budapest, mediante el Decreto N° 83. La adhesión fijó el estándar internacional de referencia en materia de delitos informáticos y cooperación penal, siete años antes de que existiera una ley marco de ciberseguridad y una autoridad nacional especializada.
Marca el punto de partida del encadenamiento normativo que desemboca en la Ley N° 21.663: primero el compromiso internacional, después la adecuación penal interna y, por último, el marco preventivo y su institucionalidad.
- →La adhesión a un estándar internacional fija el vocabulario técnico y la referencia de comparación, y deja pendiente la definición de obligaciones internas exigibles.
- →Entre el compromiso internacional y la ley marco transcurrieron cerca de siete años, lo que dimensiona el horizonte temporal de este tipo de reformas.
Ley N° 21.459 sobre delitos informáticos: adecuación penal al Convenio de Budapest
La Ley N° 21.459 actualizó la legislación penal en materia de delitos informáticos, derogó la Ley N° 19.223 y modificó otros cuerpos legales para adecuarlos al Convenio de Budapest. Su origen es el Boletín N° 12.192-25 y su ministerio patrocinante fue el de Justicia y Derechos Humanos, distinto del que después condujo la ley marco.
Es el antecedente inmediato en el mismo campo temático y el cuerpo legal que la Ley N° 21.663 vino a modificar: la respuesta del Estado partió por sancionar conductas y solo después estableció deberes preventivos y una autoridad que los supervise.
- →La vía penal alcanza a quien comete el ataque y no impone deberes de prevención a las instituciones que lo sufren, brecha que la ley marco vino a cubrir.
- →Una ley sectorial nueva puede requerir enmendar la legislación penal previa: la Ley N° 21.663 introdujo modificaciones a la Ley N° 21.459 con vigencia a partir del 4 de septiembre de 2024.
Política Nacional de Ciberseguridad 2023-2028, aprobada por Decreto N° 164
El Ministerio del Interior y Seguridad Pública aprobó la Política Nacional de Ciberseguridad 2023-2028 mediante el Decreto N° 164. El instrumento fijó objetivos de infraestructura resiliente y de coordinación nacional e internacional, sin crear una autoridad con potestades de fiscalización ni obligaciones de rango legal para los regulados.
La ley marco recogió esa política y le dio anclaje institucional: el artículo 48 creó el Comité Interministerial sobre Ciberseguridad, al que encomendó coordinar la implementación de la Política Nacional de Ciberseguridad.
- →Un instrumento de política pública aprobado por decreto ordena prioridades y depende de la voluntad del Ejecutivo de turno; el rango legal es lo que vuelve exigibles las obligaciones frente a terceros.
- →La política previa siguió operando como referencia obligada de los actos posteriores: los reglamentos y resoluciones dictados al amparo de la ley marco la citan entre sus fundamentos.
Publicación de la Ley N° 21.663 y creación de la Agencia Nacional de Ciberseguridad
La Ley Marco de Ciberseguridad, originada en el Boletín N° 14.847-06 por mensaje del Ejecutivo con cámara de origen en el Senado, estableció la normativa general aplicable a las acciones de ciberseguridad de los organismos del Estado y entre estos y los particulares, fijó requisitos mínimos frente a incidentes y creó la Agencia Nacional de Ciberseguridad como servicio público funcionalmente descentralizado. Su texto pasó por el control preventivo de constitucionalidad del Tribunal Constitucional en el Rol 15.043-23-CPR.
Es el acto fundacional del régimen: define la institucionalidad, los sujetos obligados, los deberes permanentes de seguridad de la información y el deber de reportar que estructuran toda la implementación posterior.
- →La tramitación tomó poco más de dos años desde el ingreso del mensaje, el 15 de marzo de 2022, hasta la publicación.
- →La ley se publicó bajo el Ministerio del Interior y Seguridad Pública, dependencia que cambió durante la implementación y obliga a seguir la trazabilidad institucional con cuidado.
El Decreto con Fuerza de Ley N° 1-21.663 fija el calendario de instalación de la Agencia
En ejercicio de la facultad que le entregó el artículo primero transitorio de la ley, el Ejecutivo dictó el Decreto con Fuerza de Ley N° 1-21.663, del Ministerio del Interior y Seguridad Pública, de 24 de diciembre de 2024. El decreto determinó la fecha de inicio de actividades de la Agencia, escalonó la entrada en vigencia de las normas de la ley y dispuso el traspaso de bienes y de personal desde la Subsecretaría del Interior.
Traduce la gradualidad que la ley anunció en fechas concretas y explica por qué las obligaciones sobre los regulados —calificación de operadores de importancia vital, deberes permanentes y deber de reportar— comenzaron a regir después que el resto del articulado.
- →La delegación al Ejecutivo se ejerció dentro del plazo de un año contado desde la publicación de la ley, lo que permitió cumplir el cronograma institucional.
- →El escalonamiento separó la existencia orgánica del regulador de la exigibilidad de las obligaciones, de modo que la Agencia tuvo dos meses de operación antes de que rigieran los deberes de los regulados.
- →La instalación se apoyó en el traspaso de bienes y de personal a honorarios desde la Subsecretaría del Interior, y no en una dotación construida desde cero.
Primer proceso de calificación de operadores de importancia vital
La Agencia inició el primer procedimiento de calificación de operadores de importancia vital mediante la Resolución Exenta N° 24, de 30 de mayo de 2025, que aprobó una calendarización en dos etapas según el sector principal de cada institución. La primera etapa avanzó por nómina preliminar y consulta pública —Resolución Exenta N° 50, de septiembre de 2025— hasta la nómina final, que agrupó a las instituciones por rubros: generación, transmisión o distribución eléctrica y el Coordinador Eléctrico Nacional; telecomunicaciones; infraestructura digital y servicios de tecnología de la información gestionados por terceros; y banca, servicios financieros y medios de pago. La resolución se dictó ya bajo el Ministerio de Seguridad Pública.
Es el punto en que las obligaciones reforzadas de la ley dejan de ser abstractas y pasan a tener destinatarios determinados, y por lo tanto el primer momento en que el régimen se vuelve verificable sobre sujetos concretos.
- →El primer proceso de calificación tomó cerca de siete meses entre su inicio, en mayo de 2025, y la nómina publicada en diciembre del mismo año, y se dividió en etapas por razones de capacidad declaradas en la propia resolución.
- →El procedimiento incorporó una consulta pública sobre la nómina preliminar antes de la nómina final, lo que dejó registro del contradictorio con los regulados.
- →La construcción del universo de obligados por etapas implica que el número total de operadores calificados no está cerrado mientras la segunda etapa siga en curso.
Síntesis cruzada
- Cada hito se apoya en un instrumento formal previo: el Convenio de Budapest antecede a la adecuación penal, la Política Nacional de Ciberseguridad antecede a la ley marco, y la ley marco antecede a los reglamentos y a las resoluciones de calificación.
- La gradualidad viene escrita en la propia norma: la ley delegó en un decreto con fuerza de ley la fecha de inicio de actividades de la Agencia y la de entrada en vigencia de sus obligaciones.
- El modelo institucional elegido es una agencia especializada y funcionalmente descentralizada, acompañada de un comité interministerial encargado de coordinar la política nacional del sector.
- La implementación avanza por actos administrativos publicados en el Diario Oficial, lo que deja trazabilidad documental de cada paso.
- Los dos primeros hitos operan por vía penal y de política pública, sin una autoridad dotada de potestades de supervisión; la ley marco introduce obligaciones exigibles y un regulador que las fiscaliza.
- La Política Nacional de Ciberseguridad 2023-2028 se aprobó por decreto y es revisable por el Ejecutivo; la Ley N° 21.663 fija deberes de rango legal cuya modificación exige una ley.
- Entre la publicación de la ley y el cierre de la primera etapa de calificación cambió la dependencia ministerial de la Agencia: la ley se publicó bajo el Ministerio del Interior y Seguridad Pública y la Resolución Exenta N° 87 se dictó bajo el Ministerio de Seguridad Pública.
- Los hitos anteriores a 2024 no identificaban sujetos obligados; el proceso de calificación de operadores de importancia vital sí los individualiza por sector económico.
- La exigibilidad de las obligaciones sustantivas dependió de actos posteriores: el propio decreto con fuerza de ley difirió al 1 de marzo de 2025 la vigencia de los artículos 5°, 8° y 9° y del Título VII.
- El universo de obligados se construye por etapas y, a la fecha de este análisis, la segunda etapa del primer proceso de calificación seguía en curso, de modo que el total de operadores calificados no está cerrado.
- Ninguna de las fuentes oficiales revisadas consolida el volumen de incidentes reportados al CSIRT Nacional, los tiempos de respuesta ni las sanciones aplicadas, por lo que el régimen todavía no es evaluable por resultados.
- La instalación se apoyó en el traspaso de bienes y personal desde la Subsecretaría del Interior, lo que hace depender la capacidad inicial del regulador de una dotación heredada.
- La Agencia inició actividades el 1 de enero de 2025, dentro del plazo de un año que la ley concedió al Ejecutivo para fijar esa fecha.
- La primera etapa del primer proceso de calificación se cerró con nómina aprobada y publicada en el Diario Oficial, con consulta pública previa sobre la nómina preliminar.
- El encadenamiento normativo previo dejó instalado el estándar internacional de referencia y la adecuación penal antes de legislar el marco preventivo.
- La Agencia se creó como servicio público funcionalmente descentralizado, con personalidad jurídica y patrimonio propio, lo que le da anclaje institucional para sostener la implementación.
El seguimiento del régimen debe apoyarse en los dos frentes que las fuentes oficiales sí permiten verificar: el cierre de la segunda etapa del primer proceso de calificación, que la Agencia dispuso para los prestadores de servicios esenciales de combustibles, agua potable y saneamiento y transporte, entre otros rubros; y la publicación de métricas de operación que hoy no constan en fuente citable —volumen de incidentes reportados al CSIRT Nacional, tiempos de respuesta y sanciones aplicadas—. Mientras esas cifras no se publiquen, la evaluación del marco debe limitarse al cumplimiento de hitos institucionales verificables, sin atribuirle una reducción de la exposición que ninguna fuente mide.
Contradicciones entre reguladores
Detecta cuando dos reguladores definen lo mismo de forma distinta, o cuando una norma nueva contradice una existente. Visibiliza los conflictos antes de que escalen.
Que hace
Detecta automaticamente cuando dos reguladores definen lo mismo de forma diferente, o cuando una norma nueva entra en conflicto con una existente. Por ejemplo, cuando la CMF y el SII no se ponen de acuerdo sobre que cuenta como "operacion intragrupo", o cuando un proyecto tributario contradice una norma de capital bancario.
Cuando usarlo
- Antes de aprobar normativa nueva, para evitar fricciones con regulacion existente.
- Cuando una empresa o gremio reclama por una contradiccion regulatoria, para validar.
- En trabajos interministeriales, para detectar vacios y solapamientos.
Para quien es util
- Reguladores coordinando con sus pares (Agencia Nacional de Ciberseguridad (ANCI) — Instrucción General N° 2, Agencia Nacional de Ciberseguridad (ANCI) — mandato de coordinación y supervisión, Agencia Nacional de Ciberseguridad (ANCI) — plataforma de notificación de incidentes, Instituciones y órganos que la ley exceptúa de la supervigilancia de la Agencia, Ley N° 21.663 — naturaleza técnica y especializada de la Agencia (artículo 10), Ministerio del Interior y Seguridad Pública — deber de reportar al CSIRT Nacional (artículo 9°), Ministerio del Interior y Seguridad Pública, Subsecretaría del Interior — Reglamento de Reporte de Incidentes, Presidencia de la República y Sistema de Alta Dirección Pública (Título VI de la ley N° 19.882)).
- Asesores juridicos en ministerios sectoriales y Hacienda.
- Compliance officers de bancos, AFP, fintech y aseguradoras.
Cuando dos reguladores no se ponen de acuerdo
El sistema regulatorio chileno funciona con muchos organismos especializados (Agencia Nacional de Ciberseguridad (ANCI) — Instrucción General N° 2, Agencia Nacional de Ciberseguridad (ANCI) — mandato de coordinación y supervisión, Agencia Nacional de Ciberseguridad (ANCI) — plataforma de notificación de incidentes, Instituciones y órganos que la ley exceptúa de la supervigilancia de la Agencia, Ley N° 21.663 — naturaleza técnica y especializada de la Agencia (artículo 10), Ministerio del Interior y Seguridad Pública — deber de reportar al CSIRT Nacional (artículo 9°), Ministerio del Interior y Seguridad Pública, Subsecretaría del Interior — Reglamento de Reporte de Incidentes, Presidencia de la República y Sistema de Alta Dirección Pública (Título VI de la ley N° 19.882)) y cada uno emite sus propias normas. Cuando dos reguladores definen un mismo concepto de manera diferente, o cuando una norma nueva se solapa con una existente, se generan conflictos que las empresas reguladas terminan navegando por su cuenta.
Tuwun cruza automaticamente las normativas vigentes y los proyectos en tramite, detectando contradicciones operativas reales — no solo diferencias teoricas. Cada conflicto se clasifica en una de tres categorias de severidad (A · critico, B · alto, C · medio) segun el impacto economico y la cantidad de actores afectados. Las calugas muestran los 4 conflictos activos detectados el ultimo mes. Los mas criticos requieren coordinacion inmediata entre reguladores.
Los iconos i al lado de cada metrica explican como se calcula la severidad. En las tarjetas de abajo, los chips negros y verdes identifican los dos reguladores en conflicto. El bloque inferior cuantifica el impacto real en flujos economicos, entidades afectadas o casos abiertos.
El deber de reportar al CSIRT Nacional los incidentes con efecto significativo lo establece el artículo 9° de la ley N° 21.663, publicada en el Diario Oficial el 8 de abril de 2024. El reglamento que precisa ese deber —qué se reporta, por qué vía y con qué contenido— es el decreto supremo N° 295 de 2024 del Ministerio del Interior y Seguridad Pública, promulgado el 25 de septiembre de 2024 y publicado el 1 de marzo de 2025. Entre ambas fechas median casi once meses en que el mandato legal ya estaba escrito y su reglamentación todavía no. La tensión es de exigibilidad práctica: la institución obligada conoció el deber antes de conocer el procedimiento por el que debía cumplirlo. Artículo 2°. Del deber de reportar. Las instituciones públicas y privadas que presten servicios calificados como esenciales y aquellas que hubieren sido calificadas como operadores de importancia vital de conformidad a la ley y su reglamento, tendrán la obligación de reportar al CSIRT Nacional los ciberataques e incidentes de ciberseguridad que puedan tener efectos significativos.
El artículo 10 encarga a la Agencia coordinar y supervisar la acción de los organismos de la Administración del Estado en materia de ciberseguridad. La propia ley, en una disposición posterior, establece que las instituciones y órganos que ella señala no quedan sujetos en modo alguno a la regulación, fiscalización o supervigilancia de la Agencia, y conserva solo el compromiso de convenir mecanismos de reporte, coordinación y cooperación. El extracto oficial revisado no enumera cuáles son esas instituciones, por lo que este análisis constata el alcance de la excepción sin identificar a sus destinatarios. La tensión es de perímetro: el mandato de supervisión que la ley declara convive con una zona que ella misma deja fuera de toda supervigilancia. Las instituciones y órganos señalados en este artículo no estarán sujetos en modo alguno a la regulación, fiscalización o supervigilancia de la Agencia; sin perjuicio de que deberán convenir mecanismos de reporte de incidentes de ciberseguridad y de coordinación y cooperación para la respuesta a incidentes de ciberseguridad.
El artículo 8° del reglamento de reporte exige que la plataforma de notificación de la Agencia esté operativa las veinticuatro horas, todos los días del año. La Instrucción General N° 1, publicada el 4 de junio de 2025, recoge esa exigencia al instruir la inscripción en la plataforma de las instituciones que prestan servicios calificados como esenciales. El 18 de diciembre de 2025 la Agencia dictó la Instrucción General N° 2, con instrucciones complementarias sobre esa misma inscripción. La tensión es de disponibilidad efectiva: el canal debe permanecer siempre abierto, mientras la incorporación de las instituciones obligadas a ese canal seguía requiriendo instrucciones a fines de 2025. el artículo 8° del Reglamento de Reporte de Incidentes de Ciberseguridad de la ley N° 21.663, aprobado mediante decreto supremo N° 295 de 2024, del Ministerio del Interior y Seguridad Pública, dispuso que los informes de ciberataques e incidentes de ciberseguridad deberán realizarse a través de la plataforma de notificación dispuesta por la Agencia Nacional de Ciberseguridad, la que deberá estar operativa las veinticuatro horas, todos los días del año.
El artículo 10 crea la Agencia Nacional de Ciberseguridad como un servicio público funcionalmente descentralizado, de carácter técnico y especializado. El Título VI de la ley N° 19.882 rige la selección por mérito de los cargos de alta dirección de esa clase de servicios. El artículo segundo transitorio faculta al Presidente de la República a nombrar al primer Director sin sujetarse a ese Título VI, por un plazo máximo de un año y mientras se efectúa el proceso de selección pertinente. La síntesis de la Biblioteca del Congreso Nacional describe esa facultad señalando que se le permite al Presidente designar directamente al primer Director o Directora de la Agencia Nacional de Ciberseguridad. La tensión está entre la naturaleza técnica y especializada que la ley declara y la vía de nombramiento que ella misma habilita para la primera dirección. El Presidente de la República, sin sujetarse a lo dispuesto en el Título VI de la ley Nº 19.882, podrá nombrar, a partir de la publicación de la presente ley, al primer Director o Directora de la Agencia Nacional de Ciberseguridad, quien asumirá de inmediato, por el plazo máximo de un año
Cómo se llegó a este resultado
Cada análisis de Tuwün es auditable de extremo a extremo: qué se buscó, qué se descartó, qué se cuestionó y con qué fuentes. Para defender la conclusión donde haga falta.
Qué hace
Muestra cómo se construyó cada análisis desde el primer dato cargado hasta la conclusión final: qué fuentes se consultaron, qué hipótesis se descartaron, qué cuestionamientos se incorporaron, y cuál fue el score de efectividad. Es la respuesta cuando alguien pregunta “¿de dónde sale este número?”.
Cuándo usarlo
- Antes de presentar un resultado a tu jefe, ministro o comisión, para tener el respaldo metodológico a mano.
- Cuando un actor externo cuestione una cifra, para mostrar la cadena de fuentes y validaciones.
- En auditorías o rendiciones, para evidenciar que el análisis cumple estándares verificables.
Para quién es útil
- Asesores presentando resultados a autoridades o medios.
- Auditores y veedurías verificando rigor metodológico.
- Usuarios técnicos que necesitan reproducir o escalar un análisis previo.
El análisis cumple el estándar de efectividad
Cada análisis de Tuwün se evalúa con una metodología propia inspirada en el marco de efectividad del BID —cuya rúbrica completa no es pública— que los bancos multilaterales y oficinas de evaluación usan para juzgar la calidad técnica de una política. La evaluación combina cuatro criterios: relevancia (¿responde a un problema real?), eficiencia (¿el costo es razonable?), efectividad (¿logrará lo que promete?) y sostenibilidad (¿los efectos perduran en el tiempo?). El umbral mínimo para considerar un análisis viable es 5 sobre 10.
Este análisis obtuvo 6,3 / 10 — alcanza el umbral. El indicador grande de la izquierda muestra el desglose por criterio. Los tres indicadores a la derecha resumen el volumen del proceso: cuántas fuentes oficiales se consultaron, cuánto tiempo de búsqueda manual se evitó, y el grado de trazabilidad — porcentaje de afirmaciones del análisis que están vinculadas a una fuente verificable.
Más abajo verás el proceso paso a paso: las decisiones que tomó el sistema, qué se descartó, qué cuestionamientos se incorporaron y cómo afectaron la conclusión final. A la derecha, la lista completa de fuentes utilizadas con su estado de verificación. Todo es exportable como dossier auditable.
Cumple el umbral mínimo (5/10). Punto débil identificado: efectividad.
Proceso del análisisi¿Qué es esto exactamente?La secuencia real de pasos que ejecutó el sistema para producir el análisis. Cada paso muestra qué se hizo, con qué fuentes, y qué tiempo tomó. El paso de validación cruzada incluye los cuestionamientos formales que se aplicaron y cómo afectaron la conclusión final.
Fuentes utilizadasiEstado de verificaciónVerificada — fuente oficial accedida directamente. Parcial — accedida pero con dato derivado o aproximado. En caché — versión guardada el último mes, no consultada en vivo en este análisis.
— Fuentes oficiales chilenas
¿Necesitas defender este resultado?
Imprime esta página, copia el enlace para compartirla con tu equipo, o descarga el análisis completo con todas las fuentes y cuestionamientos en formato JSON auditable.
Ochenta y un trámites entre el mensaje y
la Ley Marco de Ciberseguridad
, en 755 días
El boletín 14.847-06 ingresó al Senado por mensaje el 15 de marzo de 2022 y se publicó como Ley N° 21.663 el 8 de abril de 2024. Este recorrido reconstruye la tramitación trámite por trámite, con la fecha y la glosa que registra el seguimiento oficial del Congreso Nacional.
Tres trámites constitucionales, dos cámaras, 37 urgencias hechas presentes y un control preventivo de constitucionalidad que agregó tres meses al calendario.
Qué muestra
Cada año, de arriba (más reciente) hacia abajo, con cada votación o trámite registrado, su resultado, desglose por coalición — oficialismo, oposición, centro — y, donde la prensa o el registro oficial lo publica, los nombres.
Cómo se lee el color
El borde superior de cada tarjeta de evento indica el resultado: verde = aprobado, terracota = rechazado, mostaza = trámite, gris = sin votación.
Sin filtro de coalición
Quien ingresa un proyecto no es necesariamente quien lo defiende años después: las posiciones se invierten. Acá se nombra a cada bloque por su rol institucional del momento.
Tres meses de control constitucional antes del Diario Oficial
Solo 2 trámites quedan registrados en 2024, y ninguno es legislativo: el expediente ya está cerrado y lo que resta es el control preventivo del Tribunal Constitucional, el oficio de ley al Ejecutivo y la publicación. Entre el despacho del Congreso y la aparición en el Diario Oficial transcurren casi cuatro meses.
La ficha de LeyChile registra la promulgación el 26 de marzo de 2024 y la publicación el 8 de abril de 2024. Con ese acto se cierran los 755 días transcurridos desde el ingreso del mensaje y el proyecto deja de ser boletín para pasar a ser ley vigente.
La cuenta registra el oficio N° 46-2024 del Tribunal Constitucional con copia autorizada de la sentencia de control de constitucionalidad. La ficha de LeyChile identifica esa causa como el Rol N° 15.043-23-CPR sobre el boletín N° 14847-06.
Con el control preventivo resuelto, el Senado vuelve a oficiar el texto al Ejecutivo. Es el penúltimo registro de la tramitación y antecede en dieciocho días a la publicación.
El año concentra 57 de los 81 trámites del expediente
En 2023 se registran 57 de los 81 trámites de toda la tramitación. El proyecto se aprueba en particular en el Senado en abril, cruza a la Cámara en mayo, espera seis meses el informe de la Comisión de Seguridad Ciudadana y se despacha el 12 de diciembre, con seis trámites concentrados en esa sola jornada.Las fechas y glosas provienen del seguimiento oficial de tramitación del boletín
El Senado despacha el oficio N° 585 al Tribunal Constitucional. El control preventivo tomará tres meses: la sentencia recién se dará por recibida el 1 de abril de 2024.
La cuenta registra el mensaje N° 017-371, de 18 de diciembre de 2023, con el que el Presidente de la República comunica que no hará uso de la facultad del inciso primero del artículo 73 de la Constitución. El texto aprobado por el Congreso queda firme sin veto.
Dos días después del despacho legislativo el Senado remite el oficio de ley. Entre el ingreso del mensaje y este trámite median 639 días.
En una sola jornada se concentran seis trámites: la Cámara aprueba en general y particular con modificaciones, oficia a la Cámara de Origen, el Senado toma cuenta del oficio, lo vota en discusión única, aprueba las modificaciones y comunica el resultado mediante el oficio N° 573.Las fuentes oficiales consultadas no publican la nómina nominal ni el desglose de esta votación
La Comisión de Hacienda cierra el examen financiero del proyecto. Su informe se da por leído en la cuenta del 11 de diciembre, cuando el proyecto queda para tabla.
La Comisión de Seguridad Ciudadana informa el proyecto en segundo trámite constitucional y primero reglamentario, con urgencia calificada de suma, y lo remite a la Comisión de Hacienda. El informe deja constancia de las audiencias recibidas y de los temas ya discutidos en el Senado.
La cuenta remite el proyecto a la Comisión de Seguridad Ciudadana y a la de Hacienda en lo que corresponda. El mismo día el Ejecutivo hace presente la urgencia calificada de suma, con la que el proyecto vivirá casi todo el segundo trámite.
La Sala toma cuenta del segundo informe, vota la discusión particular y despacha el oficio de ley a la Cámara Revisora en la misma sesión. Con ello se cierra un primer trámite de 407 días.Las fuentes oficiales consultadas no publican la nómina nominal ni el desglose de esta votación
Las Comisiones de Defensa Nacional y de Seguridad Pública, unidas, evacúan el segundo informe en la sesión 17 de la legislatura 371 y remiten el proyecto a la Comisión de Hacienda, que informará el 25 de abril.
La cuenta registra el oficio N° CS-62-2023. La Corte deja constancia de que la iniciativa está en primer trámite con urgencia suma y de que en las comisiones unidas se discuten 185 indicaciones del Ejecutivo y de los senadores.
El presidente de las Comisiones de Defensa Nacional y de Seguridad Pública, unidas, remite el proyecto a la Corte Suprema en cumplimiento del artículo 77 de la Constitución y del artículo 16 de la ley N° 18.918.
Nueve meses para pasar del mensaje a la idea de legislar aprobada
El proyecto ingresa el 15 de marzo de 2022 y acumula 22 trámites hasta fin de año. La aprobación en general llega el 18 de octubre, siete meses después del ingreso, y el resto del año se dedica a fijar y ampliar plazos de indicaciones.
Se registra el segundo boletín de indicaciones del proyecto. La tramitación acumula once trámites dedicados a indicaciones, entre boletines, ampliaciones de plazo y formulaciones del Ejecutivo.
La Sala fija un nuevo plazo hasta el 22 de noviembre de 2022 a las 12:00 horas, en la Secretaría de las Comisiones unidas de Defensa Nacional y de Seguridad Pública.
El mismo día se registran el boletín de indicaciones y el oficio N° 183-370 con el informe financiero del proyecto.
La Sala aprueba el proyecto en general y fija el 11 de noviembre de 2022 como plazo de indicaciones. En la misma sesión acuerda que el segundo informe lo elaboren las Comisiones de Defensa Nacional y de Seguridad Pública, unidas.Las fuentes oficiales consultadas no publican la nómina nominal ni el desglose de esta votación
La Comisión de Seguridad Pública evacúa su primer informe y la Sala toma cuenta de él en la misma fecha, con lo que el proyecto queda en condiciones de votarse en general.
Tras cinco meses de estudio la Comisión de Defensa Nacional informa el proyecto y lo remite a la Comisión de Seguridad Pública, siguiendo el orden que la Sala había fijado en abril.
La Sala resuelve que el proyecto sea analizado primero por la Comisión de Defensa Nacional, enseguida por la de Seguridad Pública y luego por la de Hacienda en su caso. Es la tercera vez en cinco semanas que se corrige la ruta de comisiones.
El proyecto ingresa por mensaje al Senado como cámara de origen. Ese mismo día la cuenta lo remite a la Comisión de Gobierno, Descentralización y Regionalización y la Sala corrige el destino hacia las Comisiones de Defensa Nacional y de Seguridad Pública, unidas.
Documentos consultados
Las fechas y las glosas de cada trámite provienen del seguimiento oficial de tramitación del boletín N° 14.847-06 del Congreso Nacional, que registra 81 trámites entre el 15 de marzo de 2022 y el 1 de abril de 2024. Las fechas de promulgación y publicación, y la identificación de la causa de control preventivo, se toman de la ficha de la norma en LeyChile. El paso por comisiones se corrobora con el informe de la Comisión de Seguridad Ciudadana de la Cámara, de 28 de noviembre de 2023, con la labor parlamentaria del Senado publicada por la Biblioteca del Congreso Nacional y con el oficio N° 62-2023 de la Corte Suprema. Ninguna de estas fuentes publica la nómina nominal de las votaciones de este boletín, por lo que el recorrido no reconstruye desgloses por parlamentario ni por coalición.
¿Y si el próximo es el tuyo?
Este análisis lo armaron los agentes de Tuwün, paso a paso, sobre fuentes oficiales chilenas. Corre el tuyo sobre el tema que te importe.