Plazos legales Ley 21.663 para OIV

¿Qué hace este módulo / funcionalidad?

El módulo de Ciberseguridad (CYB) de Cyclus gestiona el cumplimiento de la Ley 21.663 — Ley Marco sobre Ciberseguridad e Infraestructura Crítica. Esta ley establece plazos estrictos de notificación de incidentes de ciberseguridad ante la ANCI (Agencia Nacional de Ciberseguridad) y el CSIRT Nacional, con especial rigor para los Operadores de Importancia Vital (OIV).

Los OIV son las organizaciones que operan infraestructura crítica en Chile: energía, telecomunicaciones, banca, salud, transporte, servicios sanitarios y otros sectores definidos por la ANCI. Estas organizaciones tienen obligaciones reforzadas y plazos más cortos que el resto del mercado.

Cyclus automatiza los tres plazos legales obligatorios desde el momento en que se registra un incidente significativo, calcula los contadores regresivos en tiempo real y dispara alertas automáticas cuando se acercan los vencimientos. El incumplimiento puede generar multas de hasta 40.000 UTM (aproximadamente USD 2.8 millones).

## Primeros pasos

1. **Configura tu perfil de ciberseguridad** — En Configuración > Ciberseguridad, indica si tu organización es OIV, operador esencial o empresa regulada. Esto determina qué obligaciones y plazos aplican.

2. **Designa al Delegado de Ciberseguridad** — La ley exige un Delegado registrado ante la ANCI. Configúralo en Ciberseguridad > Gobernanza para que reciba las alertas de plazos.

3. **Registra un incidente** — Cuando detectes un incidente de ciberseguridad, regístralo en Ciberseguridad > Incidentes. Si la severidad es Significativa o superior, Cyclus calcula automáticamente los tres deadlines legales.

4. **Monitorea los contadores** — El dashboard de incidentes muestra los contadores regresivos de 3h, 12h y 72h en tiempo real. El sistema alerta cuando cada plazo está por vencerse.

5. **Envía los reportes a la ANCI** — Desde el detalle del incidente, genera y envía los reportes regulatorios en el formato exigido por la ANCI. Cyclus registra la fecha y hora de cada envío como evidencia.

## Preguntas frecuentes

**¿Cuáles son los tres plazos legales para OIV?**

Al detectar un incidente significativo de ciberseguridad: (1) dentro de 3 horas, debes enviar una alerta temprana a la ANCI notificando la detección; (2) dentro de 12 horas, debes enviar un reporte preliminar con detalles técnicos iniciales; (3) dentro de 72 horas, debes enviar el reporte final con análisis forense y acciones de remediación. Adicionalmente, los OIV deben notificar al CSIRT Nacional de forma inmediata.

**¿Qué pasa si mi organización no es OIV?**

Los operadores esenciales y empresas reguladas también tienen obligaciones bajo la Ley 21.663, pero con plazos y requisitos menos estrictos. En Cyclus puedes configurar tu clasificación y el sistema ajusta automáticamente las obligaciones que aplican a tu caso.

**¿Cómo sé si un incidente es "significativo"?**

Cyclus clasifica automáticamente un incidente como significativo cuando su severidad es igual o superior a "Significativo" en la escala de 4 niveles (Menor, Significativo, Crítico, Catastrófico). Esta clasificación activa los contadores legales y las obligaciones de reporte ante la ANCI.

**¿Qué sucede si un incidente de ciberseguridad involucra datos personales?**

Cyclus permite vincular un incidente CYB con una brecha de datos personales del módulo LDPD. Esto es importante porque si un ciberataque compromete datos personales, debes cumplir tanto los plazos de la Ley 21.663 (3h/12h/72h ante la ANCI) como los de la Ley 21.719 (72h ante la Agencia de Protección de Datos).

## Marco legal relacionado

- **Ley 21.663** — Ley Marco sobre Ciberseguridad e Infraestructura Crítica de la Información. Vigente desde abril 2024.

- **DS 295/2024** — Reglamento que detalla los procedimientos de notificación de incidentes, formatos de reportes y plazos específicos.

- **Artículo 8, Ley 21.663** — Obligación de reporte anual de ciberseguridad a la ANCI para OIV.

- **Artículo 9, Ley 21.663** — Plazos de notificación: 3 horas (alerta temprana), 12 horas (reporte preliminar), 72 horas (reporte final).

- **Sanciones OIV** — Multas de hasta 40.000 UTM (~USD 2.8M) por incumplimiento de obligaciones de notificación.

## ¿Necesitas más ayuda?

Contacta a nuestro equipo en soporte@cyclus.cl o abre un ticket desde el botón de soporte en la plataforma.