La Ley 21.663, conocida como la Ley Marco de Ciberseguridad, representa un avance significativo para fortalecer la ciberseguridad en Chile. Esta normativa obliga tanto a empresas como a organismos públicos a informar incidentes cibernéticos de manera inmediata y coordinada, asignando un papel fundamental al CSIRT Nacional y a los CSIRT sectoriales.
Este artículo explica detalladamente las obligaciones, procedimientos y plazos que deben seguirse para cumplir con esta regulación.
¿Quiénes están obligados a reportar?
La Ley 21.663 establece que las siguientes organizaciones deben cumplir con la obligación de reporte:
- Organismos estatales y municipalidades.
- Empresas de sectores estratégicos como banca, telecomunicaciones, salud, energía y transporte.
- Proveedores de servicios esenciales para el país.
¿Qué incidentes deben notificarse?
Deben notificarse aquellos incidentes cibernéticos que:
- Comprometan la seguridad de sistemas críticos.
- Afecten la integridad, disponibilidad o confidencialidad de información sensible.
- Impacten la continuidad operativa del servicio esencial.
- Implican malware, ransomware o intrusiones graves.
Ejemplo práctico: una filtración de datos de clientes en una empresa financiera o un ataque de ransomware que afecte la operación de un hospital deben ser reportados inmediatamente.
Procedimiento para el reporte de incidentes
Paso 1: Identificación del incidente
Al detectarse una anomalía en los sistemas, la organización debe evaluar rápidamente la naturaleza y el alcance del incidente.
Paso 2: Clasificación del incidente
Determinar el nivel de gravedad según el impacto en la organización y servicios afectados.
Paso 3: Comunicación al CSIRT correspondiente
- CSIRT Nacional: Recibe incidentes de alta criticidad que afectan infraestructuras críticas o servicios esenciales.
- CSIRT Sectorial: Encargado de incidentes específicos en áreas como banca, telecomunicaciones, salud, etc.
Paso 4: Información que debe incluirse en el reporte
El reporte inicial debe contener:
- Fecha y hora del incidente.
- Descripción general del incidente y sistemas afectados.
- Acciones iniciales tomadas para contener el incidente.
- Posteriormente, en un plazo máximo de 72 horas, debe entregarse un informe completo con:
- Análisis detallado del incidente.
- Evaluación del impacto real.
- Medidas correctivas aplicadas.
- Estrategias preventivas para evitar futuras vulnerabilidades.
Plazos de reporte
- Incidentes críticos: deben notificarse al CSIRT Nacional en un plazo máximo de 24 horas desde su detección.
- Reporte completo: debe enviarse al CSIRT correspondiente en un plazo máximo de 72 horas tras el reporte inicial.
Rol del CSIRT Nacional y los CSIRT sectoriales
CSIRT Nacional
El CSIRT Nacional tiene la responsabilidad principal de:
- Recibir y analizar los reportes de incidentes críticos.
- Coordinar respuestas rápidas para mitigar y controlar los efectos del incidente.
- Difundir alertas tempranas sobre amenazas detectadas.
- Brindar asesoría y apoyo técnico a las entidades afectadas.
CSIRT Sectoriales
Estos equipos especializados gestionan incidentes dentro de sectores específicos (banca, energía, salud, telecomunicaciones) y tienen la función de:
- Actuar como primer contacto para incidentes sectoriales.
- Coordinar la comunicación con el CSIRT Nacional.
- Implementar medidas específicas y sectorizadas para controlar el incidente.
Consecuencias por incumplimiento
Las organizaciones que no reporten incidentes según los procedimientos y plazos establecidos enfrentan:
- Sanciones administrativas.
- Multas económicas significativas.
- Daño reputacional por falta de transparencia en seguridad.
Conclusión
La Ley 21.663 establece claramente la obligatoriedad del reporte de incidentes de ciberseguridad en Chile, fortaleciendo así la capacidad del país para enfrentar ciberataques y proteger infraestructuras críticas. La implementación de soluciones especializadas, como GlobalSuite Solutions, facilita a las empresas cumplir con esta regulación mediante la automatización y gestión eficiente de la ciberseguridad.
¿Tu organización está preparada para cumplir con los tiempos y exigencias de la Ley 21.663?
Con GlobalSuite®, automatiza el reporte de incidentes, centraliza la información para el CSIRT y protege tu infraestructura crítica con una plataforma GRC robusta, flexible y 100% alineada con la normativa.
Solicita una demo y empieza a transformar tu gestión de ciberseguridad desde hoy.
