BOLETÍN 14847-06Ley N° 21.663
Ley Marco de Ciberseguridad e Infraestructura Crítica de la Información
Seguimiento ex-post — Seguridad, promulgada el 26-03-2024.
Núcleo v2.1 · día cero 26-03-2024 · vigente
Evaluabilidad · DEM-BID · v2.1
46/100
▼ 14 bajo el umbral (60)
Aún no evaluable
Puntaje de la versión vigente (v2.1). Se recalcula por cada enmienda.
Teoría de cambio
100%
▲ objetivo · mecanismo · población
Componente más firme
El eslabón de diseño mejor resuelto del puntaje.
Línea base capturada
0/2
▼ faltan 2 indicadores
Lo irreversible del día cero
Si no se captura ahora, ningún estudio lo reconstruye.
— Cómo leer los coloresSalvia · aporte cerca del topeMostaza · aporte parcial, hay brechaRojo · sin dato, no aporta
— Versión del núcleo
Qué versión estamos midiendo
El núcleo congelado nunca se edita: se cierra una versión y se abre otra. Hoy la ley corre en su versión original, sin enmiendas. Cada régimen se lee contra su propia línea base — v2.1 contra el día cero primario; una eventual v2, contra el secundario.
v2.1 · vigente
Núcleo original
enmienda
v2 · ilustrativo
Tras una ley modificatoria
Append-onlyAl cerrar v2.1 se fija su fin, nunca se sobrescribe. Una enmienda mayor —cambio de tasa, fórmula, población o instrumento— re-congela un núcleo nuevo con su propio día cero secundario. El Pulso no empalma a través de una enmienda.
De dónde sale el 46 · versión v2.1
Columna = tope por peso · relleno = puntaje obtenido · lo vacío = lo que falta.
3020100
/300,0
/150,0
/128,0
/2020,0
/1510,5
/88,0
Línea
baseMetas
resultadoCalidad
indic.Teoría
cambioIdentif.Trazab.
0,0 + 0,0 + 8,0 + 20,0 + 10,5 + 8,0 =46
— La evaluabilidad se recalcula por versión
El puntaje es de esta versión
La evaluabilidad se calcula por cada versión del núcleo. Una enmienda no la sube: la baja, porque trae indicadores nuevos que aún no tienen su día cero y deprimen el componente de línea base.
5446/100v2 · ilustrativov2.1 · vigente
enmienda · 8
0sin datos60umbral75evaluable100
v2.1 Aún no evaluablev2 Aún no evaluable
v2.1 descansa en una teoría de cambio sólida y en la gradualidad programada; la tensión son los indicadores aún sin día cero. v2 es el recálculo ilustrativo tras una enmienda hipotética: los indicadores nuevos no tienen su corte y la línea base se desploma bajo el umbral hasta capturar el día cero secundario.
— Dónde se desploma · aporte de la línea base (peso 0,30)
Línea base · v2.1 vigente0,0 / 30
Línea base · v2 ilustrativo6,0 / 30
Por qué bajaQue el puntaje descienda tras una enmienda no es un defecto del índice: una ley recién reescrita es, por un tiempo, menos evaluable. El marco lo muestra en vez de ocultarlo.
— Estabilidad del marco normativo
Cuántas veces se reescribió
Una ley reescrita tres veces en dos años es difícil de evaluar. Este indicador penaliza la frecuencia de enmiendas mayores: no juzga la política —enmendar puede ser lo correcto—, advierte sobre lo que un estudio podrá afirmar.
Esta ley · hoy
1 versión
sin enmiendas · núcleo v2.1 intacto
Marco estableCaso penalizado · ilustrativo
3 versiones
2 enmiendas mayores en 24 meses
Marco inestable— El día cero
La línea base, antes de que se mueva.
Lo único verdaderamente irreversible. Si el estado pre-vigencia no se captura cerca de la promulgación, ningún estudio futuro puede reconstruirlo.
0 capturadas0 estimadas2 sin línea base
| Indicador de resultado | Línea base | Corte | Ventana |
|---|---|---|---|
| Adecuación de los operadores de importancia vital al estándar de seguridad de la ley | No disponible | — | — |
| Resiliencia de la infraestructura crítica de la información ante incidentes | No disponible | — | — |
— Qué falta para subir a “evaluable”
Los pasos que cierran la brecha.
El puntaje es una lista de tareas, no un veredicto. Esto cruzaría el umbral de 75 para la versión vigente v2.1.
1
Capturar la línea base de Adecuación de los operadores de importancia vital al estándar de seguridad de la ley y Resiliencia de la infraestructura crítica de la información ante incidentes antes de que avance la ejecución de la ley.
línea base
AlcanceEste índice mide evaluabilidad, no impacto. Un puntaje alto significa que la ley está bien preparada para ser estudiada — no que esté funcionando. Se recalcula por versión: una enmienda re-congela el núcleo y reinicia parte de la línea base. La atribución causal —y el escalón entre versiones— corresponde a un estudio ex-post.
Ficha ex-post · Teoría de cambio /02 Ley promulgada
Del problema a un resultado medible
La cadena causal completa de la Ley N° 21.663: qué problema ataca, cómo pretende cambiarlo y con qué se mide en cada nivel.
Núcleo v2.1 · día cero 26-03-2024 · vigenteProblema
El problema público que la ley ataca
Antes de la Ley N° 21.663, Chile carecía de un marco legal e institucional común de ciberseguridad. No existía una autoridad nacional con competencia técnica para estructurar, coordinar y supervisar la prevención y la respuesta a incidentes, ni un equipo nacional de respuesta que actuara ante ciberataques de efecto significativo. Los prestadores de servicios esenciales (generación, transmisión y distribución eléctrica; combustibles; agua potable y saneamiento; telecomunicaciones; infraestructura y servicios digitales; transporte; banca y medios de pago; seguridad social; salud y productos farmacéuticos, entre otros) y la infraestructura crítica de la información no tenían obligaciones exigibles de seguridad ni un deber de reportar los incidentes, de modo que el Estado no disponía de una visión agregada del riesgo ni de mecanismos de control, supervisión y sanción frente a las infracciones.
↓ para lograr
Objetivo
Lo que la ley se propone lograr
Establecer la institucionalidad, los principios y la normativa general que permitan estructurar, regular y coordinar las acciones de ciberseguridad de los organismos del Estado y entre éstos y los particulares; fijar los requisitos mínimos para la prevención, contención, resolución y respuesta a incidentes de ciberseguridad; y establecer las atribuciones y obligaciones de los organismos del Estado y los deberes de las instituciones que prestan servicios esenciales y de los operadores de importancia vital, junto con los mecanismos de control, supervisión y responsabilidad ante infracciones. Para ello la ley crea la Agencia Nacional de Ciberseguridad (ANCI) y el Equipo Nacional de Respuesta a Incidentes de Seguridad Informática (CSIRT Nacional).
↓ mediante
Mecanismo causal
Lo que la ley realmente cambia
Si se crea una autoridad nacional (la ANCI) dotada de personalidad jurídica y de potestad normativa, fiscalizadora y sancionatoria, y un CSIRT Nacional que responde y coordina frente a incidentes de efecto significativo; si esa autoridad califica como operadores de importancia vital a los prestadores de servicios esenciales cuya afectación tiene impacto significativo y les impone deberes concretos (sistema de gestión de seguridad de la información continuo, planes de continuidad operacional y ciberseguridad certificados, designación de un delegado de ciberseguridad y un deber de reporte de incidentes en plazos acotados de tres horas para la alerta temprana, setenta y dos horas para la actualización y veinticuatro horas cuando un operador de importancia vital ve afectada la prestación de servicios esenciales); entonces los operadores elevan su postura de seguridad y el Estado detecta, contiene y responde los incidentes de forma coordinada, porque la obligación exigible y la supervisión sustituyen a la adopción voluntaria y dispersa que regía antes. Y si esa postura de seguridad y esa capacidad de respuesta se sostienen, entonces aumenta la resiliencia de la infraestructura crítica de la información frente a ciberataques. La barrera relevante no era solo técnica, sino la ausencia de una autoridad con potestad y de deberes exigibles con supervisión.
Supuestos del mecanismo
Deben sostenerse para que la cadena llegue al resultado
La Agencia Nacional de Ciberseguridad se instala y entra en operación con dirección, dotación y financiamiento suficientes, y el CSIRT Nacional queda operativo, de modo de ejercer desde el inicio la potestad normativa, fiscalizadora y sancionatoria que la ley le confía.
Riesgo · Si la ANCI no se instala a tiempo o queda subdotada, el marco de ciberseguridad queda en el papel: nadie califica a los operadores de importancia vital, nadie fiscaliza los deberes ni recibe los reportes de incidentes, y la coordinación de la respuesta nacional no se materializa.
La ANCI dicta el reglamento de calificación y designa mediante resolución a los operadores de importancia vital en un plazo razonable, de modo que la nómina cubra el universo relevante de prestadores de servicios esenciales cuya afectación tiene impacto significativo.
Riesgo · Si el reglamento o la calificación se atrasan, los deberes específicos del artículo 8° no aplican a ningún operador, porque su exigibilidad depende de la designación previa; la infraestructura crítica queda sin obligaciones concretas mientras el procedimiento no cierra.
Los operadores de importancia vital designados cumplen los deberes específicos (sistema de gestión de seguridad, planes de continuidad certificados, delegado de ciberseguridad y reporte de incidentes) y la ANCI fiscaliza su cumplimiento y ejerce la potestad sancionatoria cuando corresponde.
Riesgo · Si los operadores no se adecúan o la ANCI no fiscaliza con capacidad técnica suficiente, los deberes quedan formalmente vigentes pero sin efecto práctico, y la postura de seguridad de los operadores y la capacidad de respuesta del Estado no mejoran respecto de la situación previa a la ley.
Los reglamentos y las instrucciones generales necesarios para operacionalizar la ley (calificación de operadores de importancia vital, registro y reporte de incidentes, delegado de ciberseguridad, medidas técnicas mínimas) se dictan dentro de los plazos legales, en particular los reglamentos que el Ministerio del Interior y Seguridad Pública debía expedir dentro de los 180 días posteriores a la publicación.
Riesgo · Si la potestad reglamentaria se ejerce con atraso, el estándar técnico exigible a los operadores queda indefinido y las obligaciones sustantivas no pueden hacerse efectivas, aun cuando la institucionalidad ya esté instalada.
↓ se ejecuta con
Instrumentos
Las piezas que aterrizan el mecanismo
Cada instrumento convierte un tramo del mecanismo en una operación concreta.
Institucional
Creación de la Agencia Nacional de Ciberseguridad (ANCI) como servicio público funcionalmente descentralizado, con personalidad jurídica y patrimonio propio, de carácter técnico y especializado, que se relaciona con el Presidente de la República por intermedio del Ministerio encargado de la seguridad pública, con potestad normativa, fiscalizadora y sancionatoria en materia de ciberseguridad.
Artículo 10 (Título III)
Institucional
Creación del Equipo Nacional de Respuesta a Incidentes de Seguridad Informática (CSIRT Nacional) dentro de la ANCI, encargado de responder ante ciberataques o incidentes de efecto significativo y de coordinar a los CSIRT de los organismos de la Administración del Estado, junto con la Red de Conectividad Segura del Estado, el Consejo Multisectorial sobre Ciberseguridad y el Comité Interministerial sobre Ciberseguridad.
Artículos 20, 23, 24 y 48
Regulatorio
Calificación de operadores de importancia vital mediante resolución del Director o la Directora Nacional, con revisión al menos cada tres años, y deberes específicos exigibles a esos operadores: sistema de gestión de seguridad de la información continuo, planes de continuidad operacional y ciberseguridad certificados, designación de un delegado de ciberseguridad y deber de reportar al CSIRT Nacional los incidentes de efecto significativo en plazos de tres horas (alerta temprana), setenta y dos horas (actualización) y veinticuatro horas cuando un operador de importancia vital ve afectada la prestación de servicios esenciales.
Artículos 5°, 6°, 8° y 9°
Regulatorio
Régimen de infracciones y sanciones a cargo de la ANCI, con multas graduadas por gravedad: las infracciones graves con multa de hasta 10.000 unidades tributarias mensuales (20.000 si se trata de un operador de importancia vital) y las gravísimas con multa de hasta 20.000 unidades tributarias mensuales (hasta 40.000 si se trata de un operador de importancia vital).
Artículos 38 y 39
↓ se mide con
Indicadores
Por nivel de la cadena
insumo → producto → resultado intermedio → resultado final
Insumolo que entra
Instalación y operación de la Agencia Nacional de Ciberseguridad
Estado de instalación y puesta en operación de la ANCI: iniciación de actividades del servicio, dirección designada y capacidad para dictar normas, calificar operadores, fiscalizar y sancionar. Es un hito de preparación institucional, no una meta cuantitativa: la ley crea la Agencia pero no fija un umbral de resultado sobre ella.
Línea base cero por construcciónEquipo Nacional de Respuesta a Incidentes (CSIRT Nacional) operativo
Estado de operación del CSIRT Nacional creado dentro de la ANCI para responder ante ciberataques e incidentes de efecto significativo y coordinar a los CSIRT de los organismos de la Administración del Estado. Es un indicador de insumo de la capacidad de respuesta nacional; la ley no le fija una meta cuantitativa.
Línea base cero por construcciónProductolo que la ley genera
Reglamentos y normas de carácter general dictados para aplicar la ley
Número acumulado de reglamentos y normas de carácter general dictados para aplicar la Ley N° 21.663 (en particular el reglamento del procedimiento de calificación de operadores de importancia vital y las instrucciones generales de la ANCI). Es un indicador de producto de la preparación normativa; el artículo cuarto transitorio ordenó al Ministerio del Interior y Seguridad Pública expedir los reglamentos dentro de los 180 días posteriores a la publicación, sin fijar una meta de cantidad.
Línea base cero por construcciónOperadores de importancia vital designados por la ANCI
Número de prestadores de servicios esenciales calificados como operadores de importancia vital mediante resolución del Director o la Directora Nacional de la ANCI. Es un indicador de producto de la implementación: la exigibilidad de los deberes específicos del artículo 8° depende de esta designación previa. La ley no fija un número objetivo de operadores; el primer procedimiento cerró con 915 operadores calificados (de 1.712 preliminares) por Resolución Exenta N° 87, publicada el 17 de diciembre de 2025.
Línea base cero por construcciónReportes de incidentes de efecto significativo al CSIRT Nacional
Número de reportes de ciberataques e incidentes de efecto significativo recibidos por el CSIRT Nacional bajo el deber del artículo 9°, contabilizando las alertas tempranas y sus actualizaciones (alerta temprana dentro de tres horas; actualización dentro de setenta y dos horas en general y de veinticuatro horas cuando un operador de importancia vital ve afectada la prestación de servicios esenciales). Es un indicador de producto de la cobertura y oportunidad del reporte obligatorio.
Sin línea baseSanciones cursadas por la ANCI ante infracciones
Número de sanciones cursadas por la ANCI ante infracciones al régimen de la Ley N° 21.663, conforme al procedimiento y a las multas graduadas por gravedad de los artículos 38 y 39 (infracciones graves hasta 10.000 unidades tributarias mensuales —20.000 si operador de importancia vital— y gravísimas hasta 20.000 unidades tributarias mensuales —hasta 40.000 si operador de importancia vital—). Es un indicador de producto del ejercicio de la potestad sancionatoria.
Línea base cero por construcciónResultado intermediocambio en la conducta
Adecuación de los operadores de importancia vital al estándar de seguridad de la ley
Grado de adecuación de los operadores de importancia vital al estándar de seguridad exigido por la ley (sistema de gestión de seguridad de la información continuo, planes de continuidad operacional y ciberseguridad certificados, delegado de ciberseguridad designado y capacidad de reporte de incidentes). Mide la postura de seguridad de los operadores como estado del mundo, que existe con o sin la ley pero que no había sido medido de forma sistemática antes de que existiera una autoridad de control.
Sin línea baseResultado finalel fin último
Resiliencia de la infraestructura crítica de la información ante incidentes
Grado de resiliencia de la infraestructura crítica de la información frente a ciberataques e incidentes de efecto significativo: capacidad de los servicios esenciales de mantener la continuidad operacional y de contener y recuperarse de los incidentes. Es el resultado final que la ley busca cambiar, un estado del mundo que existe con o sin la ley y que ninguna autoridad medía de forma agregada antes de su entrada en vigencia.
Sin línea base— Población objetivo
A quién alcanza
Los organismos de la Administración del Estado y las instituciones públicas y privadas que prestan servicios calificados como esenciales, así como aquellas calificadas como operadores de importancia vital, en sectores como generación, transmisión o distribución eléctrica; transporte, almacenamiento o distribución de combustibles; agua potable y saneamiento; telecomunicaciones; infraestructura y servicios digitales y de tecnología de la información gestionados por terceros; transporte terrestre, aéreo, ferroviario y marítimo; banca, servicios financieros y medios de pago; administración de prestaciones de seguridad social; servicios postales y de mensajería; prestación institucional de salud y producción o investigación de productos farmacéuticos. Los operadores de importancia vital son el subconjunto de prestadores de servicios esenciales cuya afectación tiene impacto significativo y que la ANCI califica mediante resolución. En el primer procedimiento de calificación (cerrado el 17 de diciembre de 2025) la ANCI evaluó 1.712 instituciones preliminares y calificó a 915 como operadores de importancia vital.
- Prestar un servicio calificado como esencial en los términos del artículo 4° de la Ley N° 21.663 (organismos del Estado, Coordinador Eléctrico Nacional, concesionarios de servicio público o instituciones privadas en los sectores enumerados).
- Ser calificado como operador de importancia vital por resolución del Director o la Directora Nacional de la ANCI, por depender la provisión del servicio de las redes y sistemas informáticos y tener su afectación un impacto significativo en la seguridad y el orden público o en la provisión continua y regular de servicios esenciales (artículos 5° y 6°).
- Quedar sujeto, como institución del artículo 4°, al deber de reportar al CSIRT Nacional los ciberataques e incidentes de efecto significativo (artículo 9°).
“
Veredicto de la teoría de cambio · núcleo v2.1
La cadena está completa y explícita: problema, objetivo, mecanismo, población, 4 instrumentos e indicadores en 4 de 4 niveles de la cadena. 0 de 8 indicadores ya tienen línea base — la reserva es 3 indicadores sin capturar. Esto describe el diseño causal declarado, no su resultado.
— Cómo se lee la cadena
Cada eslabón es condición del siguiente
La teoría de cambio no es una lista: es una secuencia. El problema justifica el objetivo; el objetivo fija el mecanismo; el mecanismo se ejecuta con instrumentos; y cada nivel deja un indicador para verificar que el paso ocurrió. Los supuestos son las condiciones externas que —si fallan— cortan la cadena entre el mecanismo y el resultado.
Qué mide y qué noEsta vista reconstruye el diseño causal declarado de la ley, no su impacto. Una cadena completa con línea base significa que la ley es evaluable — no que ya haya movido su resultado. La atribución causal corresponde a un estudio ex-post.
AlcanceEsta ficha documenta el diseño de la ley y el avance de su implementación. No estima impacto causal ni establece contrafactual. Su propósito es maximizar la evaluabilidad para un estudio de impacto futuro conducido por terceros.
Núcleo v2.1 · promulgación 26-03-2024 · vigente
Cumplimiento normativo · calendario de obligaciones5 con plazo legal
Los compromisos con plazo legal
Cada obligación es un mandato de la propia ley, escalonado en el tiempo. El rombo marca su plazo legal en el calendario. El estado de cumplimiento se registrará cuando comience el seguimiento.
plazo legal
20242025
Plazo legal
Publicación de la Ley N° 21.663 en el Diario Oficial, acto que abre el régimen transitorio de instalación de la institucionalidad y de dictación de los reglamentos.
plazo 08-04-2024
08-04-2024
Reglamento
Expedición por el Ministerio del Interior y Seguridad Pública de los reglamentos señalados en la ley dentro de los 180 días posteriores a la publicación.
plazo 05-10-2024
05-10-2024
Entrada en vigencia de un componente
Iniciación de actividades de la ANCI y entrada en vigencia general de la ley, en la fecha fijada por el decreto con fuerza de ley (1 de enero de 2025).
plazo 01-01-2025
01-01-2025
Entrada en vigencia de un componente
Entrada en vigencia de las normas diferidas (calificación de operadores de importancia vital, deberes específicos, deber de reporte de incidentes y régimen sancionatorio) en la fecha fijada por el decreto con fuerza de ley (1 de marzo de 2025).
plazo 01-03-2025
01-03-2025
Decreto
Determinación por decreto con fuerza de ley de la fecha de iniciación de actividades de la ANCI y del período de vigencia de las normas (no inferior a seis meses desde la publicación), dentro del plazo de un año desde la publicación. El decreto con fuerza de ley se publicó el 24 de diciembre de 2024 y fijó el 1 de enero de 2025 (vigencia general) y el 1 de marzo de 2025 (normas diferidas).
plazo 08-04-2025
08-04-2025
Obligaciones con plazo
5
Primer plazo
08-04-2024
Último plazo
08-04-2025
Seguimiento
En curso
“
Estado del seguimiento de cumplimiento
El seguimiento de cumplimiento aún no se ha iniciado. Esta vista fija el calendario de 5 obligaciones con plazo legal contra el cual se verificará si la ley llega a tiempo a cada compromiso. No se afirma todavía ningún estado de cumplimiento.
— Las obligaciones · texto de la ley
Qué manda cada compromiso
Cada obligación proviene del núcleo congelado de la ley, con su tipo y su plazo legal. El estado de cumplimiento se registrará cuando comience el seguimiento.
01
Publicación de la Ley N° 21.663 en el Diario Oficial, acto que abre el régimen transitorio de instalación de la institucionalidad y de dictación de los reglamentos.
02
Expedición por el Ministerio del Interior y Seguridad Pública de los reglamentos señalados en la ley dentro de los 180 días posteriores a la publicación.
03
Iniciación de actividades de la ANCI y entrada en vigencia general de la ley, en la fecha fijada por el decreto con fuerza de ley (1 de enero de 2025).
04
Entrada en vigencia de las normas diferidas (calificación de operadores de importancia vital, deberes específicos, deber de reporte de incidentes y régimen sancionatorio) en la fecha fijada por el decreto con fuerza de ley (1 de marzo de 2025).
05
Determinación por decreto con fuerza de ley de la fecha de iniciación de actividades de la ANCI y del período de vigencia de las normas (no inferior a seis meses desde la publicación), dentro del plazo de un año desde la publicación. El decreto con fuerza de ley se publicó el 24 de diciembre de 2024 y fijó el 1 de enero de 2025 (vigencia general) y el 1 de marzo de 2025 (normas diferidas).
— El cumplimiento y las versiones
Un libro de obligaciones por régimen
El cumplimiento se lleva siempre contra el núcleo vigente. Hoy las 5 obligaciones pertenecen al núcleo v2.1, sin enmiendas. Cada régimen tiene su propio libro y su propio día cero.
Núcleo v2.1 · promulgación 26-03-2024 · vigente · 5 obligaciones abiertas
Append-onlyUna enmienda mayor —cambio de tasa, fórmula, población o instrumento— abriría un libro nuevo con su propio día cero secundario: las obligaciones de v2.1 se cierran en el estado que tenían, no se reescriben. Un atraso registrado en un régimen no se hereda ni se borra al enmendar; queda anclado a su versión.
AlcanceEsta ficha documenta el diseño de la ley y el avance de su implementación. No estima impacto causal ni establece contrafactual. Su propósito es maximizar la evaluabilidad para un estudio de impacto futuro conducido por terceros.
Núcleo v2.1 · día cero 26-03-2024 · vigente
— Estado de los supuestos
4 premisas, cómo aguantan.
4 supuestos · 4 bajo vigilancia de deriva · núcleo v2.1 · ninguno reescrito en silencio
Vigente4
La Agencia Nacional de Ciberseguridad…
La ANCI dicta el reglamento de…
Los operadores de importancia vital…
Los reglamentos y las instrucciones…
Tensionado0
Ninguno este período
Incumplido0
Ninguno este período
Restablecido0
Ninguno este período
— Deriva bajo presión: una premisa pasa de vigente a tensionada a incumplida, y desde tensionada o incumplida puede volver a cumplirse (restablecida). La rama de régimen es de otra naturaleza.
— Antes de leer nada
Tres cosas distintas que se ven igual —y una cuarta.
“La ley no está funcionando” puede significar tres cosas que no hay que confundir. Cada hallazgo se clasifica antes de reportarse. La enmienda es de otra naturaleza: cambia el objeto medido.
D1
Supuesto
Falló una premisa
El mecanismo causal perdió una condición. Es riesgo de teoría de cambio. Se ve acá.
Estado del supuestoD2
Implementación
La ley no se ejecutó
Falta el reglamento, el presupuesto o la institución. Es falla de diseño. Se ve en /03 Cumplimiento.
/03 CumplimientoD3
Contexto
Se movió la línea base
Un shock externo corrió el indicador, al margen de la ley. Es un confusor, no un resultado.
Log de contextoD4Enmienda ·
quiebre de régimen
quiebre de régimen
La ley se modificó legalmente
Una ley modificatoria cambia tasas, fórmulas o instrumentos: se movió el objeto medido, no el entorno. El supuesto de v2.1 no se quiebra —se marca superado por enmienda— y v2 entra con su propio catálogo. Fuera del diagnóstico de deriva (§13).
§13 · núcleo v2— Premisa por premisa
Cuánta presión aguanta cada una.
Cada barra codifica el estado de la premisa: corta y verde si sigue firme, media y ámbar si está tensionada, llena y roja si cayó, azul si se restableció. La barra rayada terracotta marca un supuesto jubilado por enmienda: no mide presión, se archiva con su versión.
La Agencia Nacional de Ciberseguridad se instala y entra en operación con dirección,…
Vigente
Sin evidencia que mueva la premisa este período.→ Si la ANCI no se instala a tiempo o queda subdotada, el marco de…
La ANCI dicta el reglamento de calificación y designa mediante resolución a los…
Vigente
Sin evidencia que mueva la premisa este período.→ Si el reglamento o la calificación se atrasan, los deberes…
Los operadores de importancia vital designados cumplen los deberes específicos (sistema…
Vigente
Sin evidencia que mueva la premisa este período.→ Si los operadores no se adecúan o la ANCI no fiscaliza con capacidad…
Los reglamentos y las instrucciones generales necesarios para operacionalizar la ley…
Vigente
Sin evidencia que mueva la premisa este período.→ Si la potestad reglamentaria se ejerce con atraso, el estándar…
— Registro de contexto (3)
Lo que pasó alrededor de la ley.
Línea de tiempo del contexto
Cada nodo es un evento fechado y clasificado; la flecha es el efecto sobre un supuesto. El nodo cuadrado terracotta es una enmienda: cambio de régimen, no deriva.
mar 2025Cambio reglamentario
Publicación en el Diario Oficial del Decreto Supremo N° 295 de 2024 del Ministerio del Interior y Seguridad Pública, que aprueba el Reglamento de reporte de incidentes de ciberseguridad de la Ley N° 21.663, el 1 de marzo de 2025, misma fecha en que entró en vigencia el deber de reportar del artículo 9°. El reglamento fija el plazo máximo de tres horas para la alerta temprana y opera sobre la plataforma de notificación de la Agencia, disponible las veinticuatro horas del día. Con ello se operacionaliza el deber de reporte y se restablece, aunque con atraso respecto del plazo de 180 días del artículo cuarto transitorio, el supuesto de dictación oportuna de los reglamentos.
mar 2025Cambio reglamentario
Publicación en el Diario Oficial del Decreto Supremo N° 285 de 2024 del Ministerio del Interior y Seguridad Pública, que aprueba el Reglamento del procedimiento de calificación de los operadores de importancia vital, el 13 de marzo de 2025. El reglamento operacionaliza el mecanismo de designación del artículo 5° y, con ello, restablece el supuesto de calificación de los operadores de importancia vital y el de dictación de los reglamentos necesarios para aplicar la ley, si bien su publicación fue posterior al plazo de 180 días desde la publicación de la ley.
may 2026Cambio reglamentario
La Agencia Nacional de Ciberseguridad publicó en el Diario Oficial, el 30 de mayo de 2026, la resolución que abre una consulta pública, con recepción de comentarios entre el 1 y el 29 de junio de 2026, sobre una propuesta para volver obligatorias seis de las nueve recomendaciones del documento 'Los 9 básicos de ciberseguridad' para todos los sujetos obligados por la Ley N° 21.663. Los controles se seleccionaron a partir del análisis de los incidentes reportados a la Agencia durante 2025. Se trata de una propuesta en etapa de consulta, no de una norma ya dictada; de aprobarse, define el estándar técnico exigible y avanza en el cumplimiento efectivo de los deberes de los operadores.
AlcanceRegistramos y clasificamos el cambio de contexto; no lo ponderamos dentro del impacto. Cuando la ley se enmienda, segmentamos por régimen y conservamos el tramo anterior; no empalmamos series incomparables. Cuánto del desvío se debe a la ley y cuánto al contexto es materia de un estudio ex-post. Entregamos el contexto ordenado, no la atribución.
Instalación y operación de la Agencia Nacional de Ciberseguridad
1estado (0=no operativa, 1=operativa)
▲ +1 estado (0=no operativa, 1=operativa) vs día cero
Trayectoria observada en valores, desde el día cero conocido (0 estado (0=no operativa, 1=operativa)), dentro del núcleo v2.1. La atribución la decide un estudio.
Equipo Nacional de Respuesta a Incidentes (CSIRT Nacional) operativo
1estado (0=no operativo, 1=operativo)
▲ +1 estado (0=no operativo, 1=operativo) vs día cero
Trayectoria observada en valores, desde el día cero conocido (0 estado (0=no operativo, 1=operativo)), dentro del núcleo v2.1. La atribución la decide un estudio.
Reglamentos y normas de carácter general dictados para aplicar la ley
4reglamentos y normas de carácter general
▲ +4 reglamentos y normas de carácter general vs día cero
Trayectoria observada en valores, desde el día cero conocido (0 reglamentos y normas de carácter general), dentro del núcleo v2.1. La atribución la decide un estudio.
— Cómo leer los gráficosObservado mes a mesLínea base · día ceroGradualidad programada · calendario v2.1Enmienda · cruce de régimen
— Serie observada · núcleo v2.1
La trayectoria, con la gradualidad encima.
Instalación y operación de la Agencia Nacional de Ciberseguridad
núcleo v2.1 · vigente
observadodía cero = 0 estado (0=no operativa, 1=operativa)gradualidad programada (v2.1)
Equipo Nacional de Respuesta a Incidentes (CSIRT Nacional) operativo
núcleo v2.1 · vigente
observadodía cero = 0 estado (0=no operativo, 1=operativo)gradualidad programada (v2.1)
Reglamentos y normas de carácter general dictados para aplicar la ley
núcleo v2.1 · vigente
observadodía cero = 0 reglamentos y normas de carácter generalgradualidad programada (v2.1)
Operadores de importancia vital designados por la ANCI
núcleo v2.1 · vigente
observadodía cero = 0 operadores designadosgradualidad programada (v2.1)
— Régimen y versión del núcleo
Hoy hay un solo régimen.
Núcleo v2.1 · día cero 26-03-2024 · vigenteLa serie se lee siempre contra la línea base de su propio régimen. La ley tiene hoy un único núcleo, v2.1, con ventana de vigencia abierta. La gradualidad programada vive dentro de v2.1 como calendario; solo una ley modificatoria abriría un v2.
abr 2024
Publicación de la Ley N° 21.663 en el Diario Oficial, acto que abre el régimen transitorio de instalación de la institucionalidad y de dictación de los reglamentos.
Hito previsto por la propia ley. Su día cero de indicador se captura al activarse.
calendario núcleo v2.1abr 2025
Determinación por decreto con fuerza de ley de la fecha de iniciación de actividades de la ANCI y del período de vigencia de las normas (no inferior a seis meses desde la publicación), dentro del plazo de un año desde la publicación. El decreto con fuerza de ley se publicó el 24 de diciembre de 2024 y fijó el 1 de enero de 2025 (vigencia general) y el 1 de marzo de 2025 (normas diferidas).
Hito previsto por la propia ley. Su día cero de indicador se captura al activarse.
calendario núcleo v2.1—
Nombramiento del primer Director o Directora de la ANCI, a quien el Presidente puede designar sin sujetarse al sistema de Alta Dirección Pública y que asume de inmediato por un plazo máximo de un año, en tanto se efectúa el proceso de selección pertinente.
Hito previsto por la propia ley. Su día cero de indicador se captura al activarse.
calendario núcleo v2.1oct 2024
Expedición por el Ministerio del Interior y Seguridad Pública de los reglamentos señalados en la ley dentro de los 180 días posteriores a la publicación.
Hito previsto por la propia ley. Su día cero de indicador se captura al activarse.
calendario núcleo v2.1—
Dictación del reglamento del procedimiento de calificación de los operadores de importancia vital (Decreto Supremo N° 285 de 2024), que operacionaliza el mecanismo de designación del artículo 5°.
Hito previsto por la propia ley. Su día cero de indicador se captura al activarse.
calendario núcleo v2.1ene 2025
Iniciación de actividades de la ANCI y entrada en vigencia general de la ley, en la fecha fijada por el decreto con fuerza de ley (1 de enero de 2025).
Hito previsto por la propia ley. Su día cero de indicador se captura al activarse.
calendario núcleo v2.1mar 2025
Entrada en vigencia de las normas diferidas (calificación de operadores de importancia vital, deberes específicos, deber de reporte de incidentes y régimen sancionatorio) en la fecha fijada por el decreto con fuerza de ley (1 de marzo de 2025).
Hito previsto por la propia ley. Su día cero de indicador se captura al activarse.
calendario núcleo v2.1—
Puesta en operación del Equipo Nacional de Respuesta a Incidentes de Seguridad Informática (CSIRT Nacional) dentro de la ANCI, con capacidad para responder ante incidentes de efecto significativo y coordinar a los CSIRT sectoriales.
Hito previsto por la propia ley. Su día cero de indicador se captura al activarse.
calendario núcleo v2.1—
Calificación de los operadores de importancia vital mediante resolución del Director o la Directora Nacional de la ANCI, con la nómina que hace exigibles los deberes específicos del artículo 8°. El primer procedimiento se formalizó por Resolución Exenta N° 87, publicada el 17 de diciembre de 2025.
Hito previsto por la propia ley. Su día cero de indicador se captura al activarse.
calendario núcleo v2.1— Ejemplo ilustrativo · quiebre de régimen
Cómo se vería una enmienda futura.
Recaudación del aporte — segmentada por versión de núcleo
cruce de enmienda
v1 · atenuadobase v1 = 100enmienda · cruce de régimenv2 · base propia
Empalme prohibidoEl Pulso no une la serie a través de una enmienda. Comparar el día cero primario (100) con el último valor de v2 cruza una enmienda: esa variación no es atribuible —ni siquiera hipotéticamente— a “la ley” como objeto único, porque en el intervalo la ley fue dos leyes. Todo agregado de extremo a extremo se muestra solo con la marca “cruce de enmienda — no atribuible”.
El tramo v1 queda a la vista, atenuado, con su ventana cerrada; v2 arranca con su propia línea base. El quiebre es más fuerte que un evento de contexto: cambió el tratamiento, no el entorno.
— Sin serie aún
Lo que todavía no se puede seguir.
Dos razones distintas. En unos la línea base ya está capturada y solo faltan observaciones de seguimiento: la serie arranca cuando llegue el primer dato. En otros falta el corte del día cero, y se vinculan a /01 para capturarlo.
Falta día cero
Reportes de incidentes de efecto significativo al CSIRT Nacional
Sin corte pre-vigencia capturado. No hay serie hasta cerrar la línea base en /01.
Capturar línea base → /01Falta día cero
Sanciones cursadas por la ANCI ante infracciones
Sin corte pre-vigencia capturado. No hay serie hasta cerrar la línea base en /01.
Capturar línea base → /01Falta día cero
Adecuación de los operadores de importancia vital al estándar de seguridad de la ley
Sin corte pre-vigencia capturado. No hay serie hasta cerrar la línea base en /01.
Capturar línea base → /01Falta día cero
Resiliencia de la infraestructura crítica de la información ante incidentes
Sin corte pre-vigencia capturado. No hay serie hasta cerrar la línea base en /01.
Capturar línea base → /01AlcanceEl Pulso muestra la serie observada, la gradualidad programada como calendario del núcleo v1 y el contexto coincidente; segmenta por régimen y conserva el tramo anterior. No separa el efecto de la ley del efecto del contexto, ni atribuye el escalón entre versiones a la política. Esa atribución corresponde a un estudio de impacto. El Simulador (ex-ante) proyecta; el Pulso observa.
— Fichas de evaluabilidad
De la ley promulgada a la evidencia.
Cada ley promulgada abre su ficha de evaluabilidad: qué prometió, si quedó diseñada para poder medirse y cómo se mueve su pulso. Explora las demás en la galería.
Fichas construidas sobre fuentes oficiales chilenas