La Ley 21.663 dejó de ser una promesa regulatoria para convertirse en el mapa real que hoy ordena la ciberseguridad en Chile, y nadie lo explica mejor que quien la aplica todos los días.
Michelle Bordachar Benoit, Directora Nacional (s) de la Agencia Nacional de Ciberseguridad (ANCI), abrió el Industrial Cyber Summit Chile 2026 con un repaso directo y sin rodeos sobre este nuevo escenario normativo: qué obliga la ley, quién tiene que reportar, y qué viene después.
Bordachar empezó por el porqué. Si Chile quiere consolidarse como una potencia media —es decir, pesar en las decisiones internacionales sin que el tamaño del país sea una limitante—, necesita un ecosistema ciberseguro y más resiliente. Esa idea no es solo discurso: las relaciones internacionales que la agencia está construyendo le dan a Chile acceso a información estratégica y capacidades técnicas que de otro modo no tendría, y lo sientan en la mesa donde se deciden las reglas globales de ciberseguridad. Un país ausente de esa mesa, advirtió, arriesga que su autonomía quede en jaque desde el ciberespacio.
Qué hace la ANCI (y qué no)
El rol de la agencia, resumido por su propia directora, tiene tres patas: prevenir, contener y gestionar incidentes de ciberseguridad; promover el desarrollo de cultura y capacidades en el país; y proveer una red de interconexión segura a los organismos del Estado. Para cumplir ese rol, la ANCI tiene facultades de regulación, fiscalización y sanción tanto sobre el sector público como sobre el privado.
Uno de los puntos que Bordachar insistió en aclarar, porque sigue generando confusión, es quién está obligado a reportar. No son solo los Operadores de Importancia Vital (OIV): cualquier institución pública o privada que preste servicios dentro de alguno de los sectores regulados es un servicio esencial y, por lo tanto, un sujeto obligado, sin importar su tamaño. Una empresa de dos personas que presta servicios digitales en un sector regulado tiene el mismo deber de reportar que una compañía de miles de empleados.
Lo que hay que reportar, y en cuánto tiempo
La ley todavía no ha dictado normas obligatorias específicas para todos los sectores: el primer año de la agencia estuvo concentrado en instalarse, desde arrendar oficinas hasta levantar la plataforma de reporte de incidentes. Para avanzar en normativa, la ANCI debe hacer consultas públicas antes de fijar estándares, y ya realizó una este año. Mientras tanto, lo que ya rige es el deber general de ciberseguridad y, sobre todo, el deber de reportar cualquier incidente de efecto significativo.
Bordachar fue franca sobre lo amplios que son esos conceptos: «interrumpir» y «afectar» son verbos laxos, e «integridad» es un concepto tan amplio que prácticamente cualquier sistema con datos personales queda adentro. Su recomendación, ante la duda, es reportar: si la agencia determina que no era un incidente de efecto significativo, simplemente lo comunica y la institución sigue su camino; si lo era, la ANCI ayuda a gestionarlo con guías y recomendaciones, aunque no siempre pueda enviar gente al lugar.
Los plazos, en cambio, son concretos y vale la pena tenerlos a mano.
| Plazo | Qué hay que entregar |
|---|---|
| 3 horas desde que se toma conocimiento | Los efectos observables del incidente |
| 72 horas siguientes | Actualización de la evaluación inicial e indicadores de compromiso |
| 15 días desde que el incidente deja de estar en curso | Informe final |
Fuente: Michelle Bordachar Benoit (ANCI), keynote de apertura en el Industrial Cyber Summit Chile 2026.
La taxonomía que definió estos plazos fue diseñada deliberadamente simple, algo que en su momento le valió críticas de expertos por «poco sofisticada». Fue una decisión a propósito: tiene que poder reportar tanto una gran institución con equipo de seguridad dedicado como una pyme sin ningún experto en ciberseguridad.
Los reportes como radar: el caso Rutifay
El valor de este sistema, explicó Bordachar, está en que los reportes alimentan investigación de amenazas y advertencias proactivas antes de que se exploten vulnerabilidades. El caso Rutifay es el ejemplo más concreto: cuando la filtración salió a la luz, la ANCI ya venía monitoreando chats de la dark web y pudo determinar que gran parte de la información que se vendía correspondía a brechas anteriores, algunas previas incluso a la propia ley marco de ciberseguridad, recombinadas de forma más atractiva para su venta. Esa investigación conjunta con las instituciones afectadas contribuyó a la detención de uno de los implicados.
La agencia es igual de estricta hacia el otro lado: se niega sistemáticamente a entregar, ante solicitudes de transparencia, qué instituciones reportaron o sufrieron incidentes. Para Bordachar, esa confidencialidad es la base de la confianza que sostiene todo el sistema; el día que se revele esa información, los regulados dejan de reportar con honestidad.
Esa misma lógica de datos agregados permitió otro resultado concreto: al analizar cinco incidentes de ciberseguridad en organismos del Estado, la agencia detectó un patrón de comportamiento de un grupo atacante y pudo emitir instrucciones secretas a instituciones vulnerables. Gracias a eso, al menos 21 instituciones evitaron ser víctimas del mismo ransomware, con un ahorro estimado de más de 1.000 millones de pesos para el sector público, solo contando costos directos de soporte especializado.
Por qué la ANCI no exige ISO 27001
Una de las preguntas que más recibe la agencia es por qué no impone directamente un estándar como ISO 27001. La respuesta de Bordachar conecta con el mismo principio de la taxonomía simple: la ANCI regula a instituciones enormemente transversales, desde microempresas hasta gigantes corporativos, distribuidas en 15 sectores distintos, y exigir un estándar tan sofisticado dejaría fuera de cumplimiento a buena parte de ellas. Hay además un dato incómodo detrás de esa decisión: la mayoría de los incidentes y ciberataques graves que la agencia ha visto ocurrieron en instituciones que sí estaban certificadas ISO 27001. Cumplían muy bien en el papel, pero en la práctica las personas no estaban cumpliendo.
De ahí surgieron los «nueve básicos», publicados en el sitio de la agencia: nueve medidas que, según sus propios datos, podrían prevenir el 80% de los incidentes y ciberataques. Bordachar fue clara en que no alcanza con imponerlas: hay que explicarle a los equipos el porqué de cada una. El doble factor de autenticación, por ejemplo, no es «un paso molesto más», sino la forma más efectiva de evitar el compromiso de cuentas, que en 2025 fue la principal causa de incidentes en Chile, seguida de explotación de vulnerabilidades y causas operacionales. Hoy la lista se repite con una variante que preocupa cada vez más: el phishing, cada vez más sofisticado, que ya no apela al típico «príncipe que promete una herencia» sino a datos reales de la víctima —viajes, millas, número de pasaporte— robados de aerolíneas y otras plataformas, para ofrecer promociones creíbles.
Lo que viene: reporte ciudadano y «Puerto Seguro»
Bordachar cerró con una primicia: en los próximos días la agencia lanza un portal de reporte ciudadano, distinto del portal de reporte de incidentes que ya existe. Va a incluir dos programas. Uno es de «bug bounty» para instituciones estatales y empresas privadas que quieran sumarse. El otro es «Puerto Seguro», amparado en el artículo 19 de la ley, que obliga a la agencia a guardar estricto secreto sobre lo que le informen mediante hacking ético. Gracias a esta figura, la ANCI ya ha podido avisar a instituciones sobre vulnerabilidades antes de que fueran encontradas y explotadas por delincuentes.
El mensaje de fondo, con el que Bordachar cerró su presentación, fue volver a lo básico: la sofisticación normativa no sirve de nada si las nueve medidas elementales no se entienden y no se aplican todos los días. Ese es, hoy, el mapa real de la ciberseguridad en infraestructuras críticas en Chile: una agencia joven, todavía instalándose, que ya está usando sus datos para prevenir ataques antes de que ocurran, mientras termina de construir el andamiaje normativo que exigirá mañana. Quienes quieran profundizar en cómo esto conecta con la convergencia IT/OT en el sector energético chileno o con el resto de la agenda científica del evento pueden revisar el panel sobre computación cuántica e IA del mismo Cyber Summit Chile 2026.
