Ley Marco de Ciberseguridad de Chile (21.663): del papel al cumplimiento operativo

La Ley 21.663 obliga a los Operadores de Importancia Vital (OIVs) de Chile a implementar un sistema de gestión de seguridad de la información continuo, mantener registros auditables, garantizar la continuidad operacional y reportar los incidentes significativos al CSIRT Nacional en plazos muy cortos. Con las obligaciones entrando en vigor en diciembre de 2026 y un régimen sancionatorio que puede llegar hasta las 40.000 UTM, la pregunta ya no es si hay que cumplir, sino cómo hacerlo sin convertir el SGSI en un ejercicio de documentación que llega tarde. 

Porque, en paralelo, el escenario de amenazas ha cambiado. Modelos como Claude Mythos confirman que el reconocimiento, la validación y la explotación se ejecutan a velocidad de máquina: la ventana entre el descubrimiento de una debilidad y su explotación se mide en horas o incluso minutos, no en semanas. Un SGSI que opera por ciclos periódicos: escaneo, priorización, ventana de parcheo manual; es un SGSI que llega tarde por diseño. 

En este desayuno, Zynap y ANIDA LATAM desgranan qué exige realmente la ley, qué tener listo antes de diciembre y cómo pasar de la obligación regulatoria a una postura de defensa anticipatoria y gobernada. Presentaremos el MTRER (Mean Time to Reduce Exploitable Risk), una métrica que proponemos desde Zynap para medir lo que de verdad importa bajo un SGSI continuo: cuánto tardas en hacer que una debilidad deje de ser útil para el atacante. 

Lo que verás en la sesión

• Qué exige realmente la Ley 21.663: panorama claro de las obligaciones para OIVs, medidas de seguridad (Art. 7°), SGSI continuo basado en riesgos (Art. 8°a), registro auditable de acciones (Art. 8°b), planes de continuidad (Art. 8°c) y reporte de incidentes al CSIRT Nacional (Art. 9°). 
• La cuenta atrás a diciembre de 2026: qué debería tener listo un OIV, los errores más comunes al abordar el cumplimiento y el papel del Delegado de Ciberseguridad frente a la ANCI. 
• Por qué “continuo” cambia el modelo: el paso de la auditoría periódica a la operación permanente y por qué evaluar probabilidad e impacto reales exige datos de exposición, no percepciones. 
• Mythos y la nueva era de la amenaza: qué cambia cuando la IA comprime el descubrimiento, la validación y la explotación, y por qué eso vuelve insuficiente cualquier cumplimiento a velocidad humana. 
• MTRER, la métrica de la defensa anticipatoria: del MTTR a medir cuánto tardas en reducir el riesgo explotable, y cómo encaja de forma natural con el SGSI continuo que pide la ley (MTRER es una métrica propuesta por Zynap, todavía no un estándar de la industria). 
• De la obligación a la postura real: cómo automatizar la defensa de forma gobernada con trazabilidad, evidencia auditable para la ANCI y reversibilidad sobre el stack de seguridad que ya tienes, sin sustituir tu infraestructura. 

A quién va dirigido 

CISOs y Delegados de Ciberseguridad de Operadores de Importancia Vital, responsables de cumplimiento, riesgo y continuidad, y líderes de seguridad de banca, finanzas y sectores críticos en Chile que tengan que preparar su organización para la Ley 21.663.