Ciberseguridad en Chile y NIS2: el desafío para las empresas españolas
- Chile ha puesto en marcha la Ley 21.663, creando la Agencia Nacional de Ciberseguridad (ANCI).
- La normativa chilena es más exigente que la directiva NIS2 en plazos de alerta temprana (3 horas frente a 24).
- Se propone regular la identidad y trazabilidad de los agentes de IA que operan en entornos privados.
- España enfrenta presiones legales de la UE por retrasos en la transposición completa de NIS2.
Para cualquier empresario español con intereses en América Latina, Chile ha dejado de ser solo un destino atractivo por su estabilidad económica para convertirse en un laboratorio regulatorio de primer orden. La entrada en vigor de la Ley 21.663, o Ley Marco de Ciberseguridad, marca un punto de inflexión en la gestión de riesgos digitales en la región, alineándose sorprendentemente con los estándares europeos, pero introduciendo matices que pueden pillar desprevenidas a las filiales locales.
Un espejo sudamericano de la directiva NIS2
A primera vista, la arquitectura de la Ley 21.663 recuerda profundamente a la Directiva (UE) 2022/2555, conocida como NIS2. Ambas comparten la premisa de que ciertos sectores son demasiado críticos para permitirse fallos de seguridad sistémicos. En Chile, esta ambición se materializa con la creación de la Agencia Nacional de Ciberseguridad (ANCI), que inició sus funciones en enero de 2025, mientras que el grueso de la normativa rige desde el 1 de marzo del mismo año.
La ley chilena no se limita a recomendaciones, sino que establece obligaciones estrictas para los prestadores de servicios esenciales y, en un círculo más restringido, para los Operadores de Importancia Vital (OIV). Estos últimos son entidades calificadas individualmente por la ANCI mediante resoluciones públicas. Para el empresario, esto significa que ya no basta con encajar en una categoría sectorial; el Estado chileno puede nombrar específicamente a su empresa como un actor crítico, imponiéndole deberes reforzados similares a los de la norma ISO 27001.
La trampa de los plazos: el factor tiempo
El mayor riesgo para una compañía española que intente aplicar el mismo protocolo de respuesta a incidentes en Madrid y en Santiago es la diferencia en los tiempos de reacción. Mientras que la NIS2 europea establece un margen de 24 horas para la alerta temprana desde la constancia de un incidente significativo, la legislación chilena es drásticamente más agresiva.
El artículo 9 de la ley chilena exige que la alerta temprana se envíe al CSIRT Nacional en un máximo de 3 horas desde que se conoce el incidente. Esta diferencia no es un mero detalle administrativo; es un cambio de paradigma operativo. Un centro de operaciones de seguridad (SOC) diseñado para los ritmos europeos llegará tarde en Chile, lo que podría derivar en sanciones considerables. El informe final, por su parte, debe presentarse en 15 días corridos desde la alerta, un plazo mucho más ajustado que el mes que concede la normativa comunitaria.
Sanciones y el derecho a la impugnación
El régimen sancionador en Chile es severo y está diseñado para incentivar el cumplimiento inmediato. Las multas pueden alcanzar las 20.000 UTM, elevándose hasta las 40.000 UTM para los Operadores de Importancia Vital, lo que representa aproximadamente 3 millones de dólares. Aunque las multas de la NIS2 pueden ser nominalmente más altas en términos de porcentaje de facturación global, la precisión del modelo chileno en la identificación de los sujetos obligados crea una presión directa sobre la gobernanza corporativa.
Este modelo de calificación individual ha generado ya los primeros roces legales. Dado que la ANCI publica los nombres de los OIV por resolución, las empresas tienen la posibilidad de impugnar dicha calificación. En agosto de 2026, doce entidades presentaron reclamos de ilegalidad ante las Cortes de Apelaciones, utilizando los mecanismos previstos en el artículo 6 y el artículo 46 de la ley. Esto demuestra que la designación como operador crítico es percibida no solo como una responsabilidad, sino como una carga administrativa y financiera que las empresas intentarán mitigar.
El nuevo frente: la trazabilidad de los agentes de IA
Chile no se ha detenido en la infraestructura crítica tradicional y ha comenzado a mirar hacia la inteligencia artificial generativa y autónoma. A través del Boletín N° 18.820-19, se busca modificar la Ley Marco de Ciberseguridad para introducir regulaciones sobre los agentes de IA. Lo relevante aquí es que la norma no se centra en el modelo de lenguaje o el chatbot, sino en las capacidades efectivas del agente.
Si una empresa utiliza un agente de IA que tiene permisos para leer correos, modificar archivos o usar credenciales en producción, deberá cumplir con exigencias estrictas de identidad y trazabilidad. Las obligaciones propuestas incluyen:
La creación de una identidad digital verificable por agente, vinculada a la institución operadora, para distinguir sus actuaciones de las de personas naturales, junto con un registro previo de autorizaciones y límites de permisos.
Este enfoque cierra la puerta a la defensa técnica de que el software es un simple asistente. Si el agente puede delegar tareas a otros agentes, esa cadena de mando debe ser reconstruible y auditable, asegurando que los permisos derivados no excedan la autorización original. Además, se exige que la aprobación humana, cuando sea necesaria, se verifique mediante medios que la propia IA no pueda sustituir ni modificar.
Comparativa de obligaciones críticas
Para facilitar la comprensión de las divergencias, es fundamental analizar los puntos donde la convergencia termina y comienza la especificidad local.
| Materia | Directiva NIS2 (UE) | Ley 21.663 (Chile) |
|---|---|---|
| Alerta temprana | 24 horas | 3 horas |
| Notificación | 72 horas | 72 horas (24h para OIV afectados) |
| Informe final | Un mes | 15 días corridos |
| Sujetos obligados | Categorías por sector y tamaño | Calificación individual por ANCI (OIV) |
| Multa máxima | Hasta 2% facturación mundial | Hasta 40.000 UTM (~3M USD) |
Implicaciones para el tejido empresarial español
La situación de las empresas españolas es compleja debido a una coincidencia temporal desafortunada. Mientras Chile avanza con una implementación agresiva, España ha sido llevada ante el Tribunal de Justicia de la UE por la Comisión Europea en julio de 2026, junto a Francia, Irlanda y Países Bajos, debido a que no notificó la trasposición completa de la NIS2. Esta fragilidad regulatoria en la casa matriz puede generar un vacío de liderazgo en las filiales chilenas.
Para las empresas españolas, esto significa que no pueden confiar en que el cumplimiento de la normativa europea sea un pasaporte automático para operar en Chile. El tejido empresarial español, compuesto en gran medida por pymes y empresas de servicios tecnológicos que exportan software a Latinoamérica, debe integrar la Ley 21.663 en sus hojas de ruta de cumplimiento. Especialmente aquellas que operan en banca, energía o telecomunicaciones, donde la calificación como OIV es casi inevitable.
En el contexto de la Agenda Digital Española y el AI Act europeo, la propuesta chilena sobre agentes de IA adelanta una tendencia global: la responsabilidad basada en la acción y no en la tecnología. Las empresas españolas que ya estén implementando gobernanza de IA bajo el marco europeo encontrarán puntos de apoyo, pero deberán ajustar sus registros de auditoría para cumplir con la trazabilidad casi quirúrgica que exige el proyecto de ley chileno. La ciberseguridad ha dejado de ser un coste operativo para convertirse en un requisito de acceso al mercado.
Preguntas frecuentes
¿Cuál es la diferencia principal en los plazos de reporte entre NIS2 y la ley chilena?
La diferencia más crítica es la alerta temprana: NIS2 permite 24 horas, mientras que la Ley 21.663 de Chile exige el reporte en un máximo de 3 horas desde el conocimiento del incidente.
¿Qué es un Operador de Importancia Vital (OIV) en Chile?
Son entidades calificadas individualmente por la Agencia Nacional de Ciberseguridad (ANCI) mediante resolución pública, que deben cumplir con obligaciones de seguridad reforzadas.
¿Cómo afecta la nueva regulación de IA en Chile a las empresas que usan agentes autónomos?
Se propone exigir que cada agente de IA tenga una identidad digital verificable y que todas sus acciones, permisos y delegaciones sean trazables y reconstruibles.
¿Por qué es relevante esta noticia para una empresa española sin sede física en Chile?
Porque afecta a los proveedores de servicios de TI y digitales que gestionan sistemas para terceros en Chile, quienes son considerados prestadores de servicios esenciales.
Fuentes: Lawyerpress, Mercoeu, Bcn ·
glacom · IA para despachos de abogados: los expedientes no salen del despacho →Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
