En breve
- Qué es
- Reporte a la ANCI: cómo reportar incidentes según la Ley 21.663 Marco de Ciberseguridad
- A quién aplica
- A las instituciones que prestan servicios esenciales y a las calificadas como operadores de importancia vital (art. 4°). Ver detalle
- Plazos
- Alerta temprana en 3 horas desde que se tiene conocimiento. Ver detalle
- Qué exige
- Reporte a la ANCI: alerta temprana de ciberincidentes en 3 h al CSIRT Nacional. Ver detalle
- Actualizado
- 18-10-2026
Resumen ejecutivo
- El reporte a la ANCI es la obligación de la Ley 21.663, Ley Marco de Ciberseguridad, de informar al CSIRT Nacional de la Agencia Nacional de Ciberseguridad (ANCI) los ciberataques e incidentes de ciberseguridad que puedan tener efectos significativos (art. 9° y 27), tan pronto como sea posible: alerta temprana en 3 horas, actualización en 72 horas (24 horas si un operador de importancia vital ve afectados sus servicios esenciales) e informe final en 15 días corridos desde la alerta temprana (art. 9°).
- Cuándo: alerta temprana en 3 horas desde que se tiene conocimiento.
- Canal: Plataforma de notificación de la ANCI (portal.anci.gob.cl), al CSIRT Nacional (D.S. 295/2024 art. 8).
- Además: plazos de actualización, plan de acción (OIV) e informe final según el art. 9.
- Estado: el art. 9° rige desde el 01-03-2025 (DFL N° 1-21.663).
A quién aplica
A las instituciones que prestan servicios esenciales y a las calificadas como operadores de importancia vital (art. 4°). Son servicios esenciales los provistos por los organismos de la Administración del Estado y por el Coordinador Eléctrico Nacional, los prestados bajo concesión de servicio público y los de instituciones privadas que realizan estas actividades: - generación, transmisión o distribución eléctrica; - transporte, almacenamiento o distribución de combustibles; - suministro de agua potable o saneamiento; - telecomunicaciones; - infraestructura digital; - servicios digitales y servicios de tecnología de la información gestionados por terceros; - transporte terrestre, aéreo, ferroviario o marítimo, y la operación de su infraestructura; - banca, servicios financieros y medios de pago; - administración de prestaciones de seguridad social; - servicios postales y de mensajería; - prestación institucional de salud (hospitales, clínicas, consultorios y centros médicos); - producción o investigación de productos farmacéuticos.
La Agencia puede calificar otros servicios como esenciales por resolución fundada, previa consulta pública (art. 4°).
Cómo reportar un incidente a la ANCI
El reporte se hace en la plataforma de notificación de la ANCI (portal.anci.gob.cl) y llega al CSIRT Nacional (D.S. 295/2024, art. 8). Primero va la alerta temprana, luego la actualización y al final el informe final, con los plazos de la tabla.
Plazos para reportar un incidente a la ANCI
- 3 h Alerta temprana al CSIRT Nacional Desde que se tiene conocimiento · Ley 21.663 art. 9 · Lo exige la norma
- 72 h Actualización Desde que se tiene conocimiento (inicio del cómputo, BP) · Ley 21.663 art. 9 · Lo exige la norma
- 24 h Actualización OIV 24 h Desde que se tuvo conocimiento del incidente · Ley 21.663 art. 9 b) inciso segundo · Lo exige la norma · Desde el 17-12-2025
- 7 días Plan 7 días Desde que se tuvo conocimiento del incidente · Ley 21.663 art. 9 (OIV, plan de acción) · Lo exige la norma · Desde el 17-12-2025
- 15 días Informe final Alerta temprana · Ley 21.663 art. 9 · Lo exige la norma
¿Quieres ver cómo se registra un ciberincidente para el reporte a la ANCI?
Agenda una demoQué exige y cómo lo cubre iziRisk Op
| Qué exige | Cómo lo cubre iziRisk Op |
|---|---|
| Alerta temprana al CSIRT Nacional en 3 h | Op permite configurar los campos, el flujo y el reporte que exige la norma. Registra la fecha del incidente y la fecha de registro, y permite definir estados del flujo. |
| Actualización en 72 h (24 h si un OIV ve afectados sus servicios esenciales) e informe final en 15 días | Op permite configurar los campos, el flujo y el reporte que exige la norma. Estados y formularios configurables por cada organización. |
| Plan de acción del operador de importancia vital | Op permite configurar los campos, el flujo y el reporte que exige la norma. Plan de acción con responsable, fechas y evidencia de implementación. |
Guía informativa, no asesoría legal. El envío al regulador lo hace siempre la entidad.
Sanciones
Incumplir la obligación de reportar del art. 9° es una infracción grave (art. 38, infracciones graves, n.° 5). Las multas son a beneficio fiscal: infracciones leves, hasta 5.000 UTM (10.000 UTM si es operador de importancia vital); graves, hasta 10.000 UTM (20.000 UTM si es OIV); gravísimas, hasta 20.000 UTM (40.000 UTM si es OIV) (art. 40). Los operadores de importancia vital también pueden ser sancionados por infringir las obligaciones del art. 8° (art. 39). Las infracciones prescriben a los tres años de cometidas (art. 40).
Fuente oficial
Ley 21.663, Ley Marco de Ciberseguridad (BCN LeyChile)
- Fuente oficial: Decreto 295/2024 (01-03-2025), Reglamento de Reporte de Incidentes de Ciberseguridad de la Ley 21.663, texto oficial en LeyChile (BCN) (consultada el 17-10-2026)
Actualizado el 18-10-2026
Contenido informativo basado en la norma oficial vigente a la fecha indicada; no constituye asesoría legal. Consulte siempre el texto oficial.
Preguntas frecuentes
¿Qué es el reporte a la ANCI?
Es el reporte de ciberataques e incidentes de ciberseguridad que exige la Ley 21.663, Ley Marco de Ciberseguridad, a las instituciones que prestan servicios esenciales y a los operadores de importancia vital. Se envía al CSIRT Nacional de la Agencia Nacional de Ciberseguridad (ANCI) (art. 9°).
¿Cómo se reporta un incidente a la ANCI?
En la plataforma de notificación de la ANCI (portal.anci.gob.cl), dirigida al CSIRT Nacional: alerta temprana en 3 horas, actualización en 72 horas (24 horas para OIV con servicios esenciales afectados) e informe final en 15 días corridos (art. 9°; D.S. 295/2024, art. 8).
¿En cuánto tiempo se envía la alerta temprana?
Dentro de 3 horas desde que se tiene conocimiento del ciberataque o incidente (art. 9° a).
¿Qué cambia si la institución es operador de importancia vital?
Si ve afectados sus servicios esenciales, la actualización vence en 24 horas desde que tuvo conocimiento del incidente, y debe informar su plan de acción, que no puede adoptarse en más de 7 días corridos (art. 9°).
¿Desde cuándo se cuentan los 15 días del informe final?
Desde el envío de la alerta temprana (art. 9° c).
¿La banca está obligada?
Sí: banca, servicios financieros y medios de pago son servicios esenciales (art. 4°).