El 1 de marzo de 2025, entraron en vigor las disposiciones pendientes de la Ley N° 21.663, conocida como Ley Marco de Ciberseguridad, que habían sido postergadas hasta esta fecha según lo establecido en el Decreto con Fuerza de Ley N° 1-21.663, publicado el 24 de diciembre de 2024.
Entre las disposiciones que comenzaron a regir, se destacan:
- Artículo 5°: Calificación de operadores de importancia vital.
- Artículo 8°: Deberes específicos de los operadores de importancia vital.
- Artículo 9°: Obligación de reportar al CSIRT Nacional los ciberataques e incidentes de ciberseguridad que puedan tener efectos significativos.
- Título VII: Régimen de sanciones e infracciones.
La entrada en vigencia de estas disposiciones implica que, a partir de esta fecha, las instituciones públicas y privadas que presten servicios esenciales, así como los operadores de importancia vital, deben notificar al CSIRT Nacional sobre cualquier ciberataque o incidente de ciberseguridad que pueda tener un efecto significativo, conforme a lo establecido en el artículo 9° de la ley.
En concordancia con esta obligación, el mismo 1 de marzo de 2025, fueron publicados en el Diario Oficial dos documentos normativos que regulan los requisitos y el procedimiento para cumplir con el deber de reporte de incidentes:
- Decreto Supremo N° 295 de 2024 del Ministerio del Interior y Seguridad Pública que aprueba el Reglamento de Reporte de Incidentes de Ciberseguridad de la Ley N° 21.663. Establece, entre otros aspectos, el contenido mínimo que deben contener los informes de incidentes de ciberseguridad y las obligaciones de las instituciones públicas y privadas que presten servicios esenciales, así como de los operadores de importancia vital, para reportar al CSIRT Nacional los ciberataques e incidentes de ciberseguridad que puedan tener efectos significativos.
- Resolución Exenta N° 7 de 2025 de la Agencia Nacional de Ciberseguridad. Esta resolución aprueba la taxonomía de incidentes de ciberseguridad, clasificándolos en diversas categorías según su naturaleza y efecto. Además, detalla el proceso y los medios para realizar los reportes al CSIRT Nacional, incluyendo la plataforma oficial disponible en la URL https://portal.anci.gob.cl, operativa las 24 horas del día, todos los días del año.
La publicación de estos documentos en el Diario Oficial complementa el marco normativo aplicable al reporte obligatorio de incidentes de ciberseguridad de la Ley Marco de Ciberseguridad, estableciendo los criterios y procedimientos que deben seguir las entidades obligadas para cumplir con esta obligación legal.
