Un grupo europeo con filial en Chile enfrenta dos regímenes de ciberseguridad con una lógica parecida y plazos distintos. En Europa, la Directiva (UE) 2022/2555, conocida como NIS2, debía trasponerse a más tardar el 17 de octubre de 2024. En Chile rige la Ley 21.663, o Ley Marco de Ciberseguridad, publicada en abril de 2024 y a cargo de la Agencia Nacional de Ciberseguridad (ANCI), que inició funciones en enero de 2025.
El asunto toca de cerca a las empresas españolas: en julio de 2026, la Comisión Europea llevó a España ante el Tribunal de Justicia de la UE, junto con Irlanda, Francia y Países Bajos, por no haber notificado la trasposición completa de NIS2. Por eso esta comparación usa el texto de la directiva, que cada ley nacional puede ajustar. Cumplir una de las dos normas no garantiza cumplir la otra, y estas son las diferencias que más pesan en la práctica.
Cuadro comparativo
| Materia | NIS2 | Ley 21.663 |
| Sujetos obligados | Entidades esenciales e importantes, según sector y tamaño | Prestadores de servicios esenciales y Operadores de Importancia Vital (OIV) |
| Cómo se determinan | Por tipo de entidad y tamaño; cada Estado elabora una lista (art. 3) | Los OIV se califican por resolución de la ANCI, publicada con sus nombres |
| Alerta temprana | 24 horas desde la constancia del incidente significativo | 3 horas desde el conocimiento del incidente |
| Notificación | 72 horas | 72 horas (24 horas para un OIV con servicio esencial afectado) |
| Informe final | Un mes desde la notificación | 15 días corridos desde la alerta temprana |
| Multa máxima | Tope de al menos 10 millones de euros o 2% de la facturación mundial, la cifra mayor (esenciales); al menos 7 millones o 1,4% (importantes) | 20.000 UTM; 40.000 UTM para un OIV, unos USD 3 millones |
| Autoridad | Autoridades competentes y CSIRT de cada Estado | ANCI y CSIRT Nacional |
Sujetos obligados: Una nómina con nombre y apellido
NIS2 define las categorías según el tipo de entidad y su tamaño, y su artículo 3 pide a cada Estado elaborar una lista de entidades esenciales e importantes. En Chile, los deberes reforzados dependen de una calificación individual: la ANCI publica por resolución los nombres de los Operadores de Importancia Vital. La nómina de la primera etapa reunió a 915 organizaciones, y la Resolución Exenta 187, de julio de 2026, sumó otras 239 hasta llegar a 1.154.
Ese modelo abre un frente concreto: la impugnación de la propia calificación. Además de los recursos administrativos, el artículo 6 remite al reclamo de ilegalidad del artículo 46, que se presenta en 15 días hábiles ante la Corte de Apelaciones de Santiago o la del domicilio del reclamante. Doce entidades reclamaron contra la Resolución 187 en agosto de 2026, según informó La Tercera.
Plazos: Tres horas cambian el protocolo
La diferencia operativa más visible está en el primer aviso. Un plan de respuesta diseñado para las 24 horas de NIS2 llega tarde en Chile, donde el artículo 9 pide enviar la alerta temprana al CSIRT Nacional en un máximo de 3 horas desde que se conoce un incidente que pueda tener impactos significativos.
El informe final también se adelanta: 15 días corridos desde la alerta, frente al mes europeo contado desde la notificación. Un grupo con operaciones en ambos territorios necesita procedimientos que activen el plazo más corto y una persona en Chile con facultades para notificar fuera del horario de la matriz.
Deberes: El sistema de gestión y lo que se certifica
Ambas normas piden un enfoque de gestión de riesgos. El artículo 21 de NIS2 enumera medidas mínimas, entre ellas la gestión de incidentes, la continuidad de las actividades y la seguridad de la cadena de suministro. El artículo 8 de la ley chilena exige a los OIV implementar un sistema de gestión de seguridad de la información continuo, elaborar planes de continuidad operacional y ciberseguridad, realizar simulacros y análisis continuos, capacitar al personal y designar un delegado de ciberseguridad.
Conviene leer con precisión la letra c) de ese artículo. Lo que ese precepto manda certificar, conforme al artículo 28, son los planes de continuidad y ciberseguridad. El texto legal no nombra la ISO/IEC 27001. El mismo artículo 28 reserva la emisión de certificaciones a las entidades inscritas en un registro de la ANCI, y permite a la agencia homologar certificaciones internacionales o extranjeras por resolución fundada.
Responsabilidad y sanciones
NIS2 pone el foco en los órganos de dirección: el artículo 20 pide a los Estados asegurar que aprueben las medidas de gestión de riesgos, supervisen su puesta en práctica y respondan por el incumplimiento.
La Ley 21.663 no trae una regla equivalente. Su artículo 40 fija multas para el infractor, con topes de 5.000, 10.000 y 20.000 UTM para infracciones leves, graves y gravísimas, que se duplican para los OIV. El artículo 45 agrega una reducción del 25% para quien no recurre y paga dentro de cinco días, y las infracciones prescriben a los tres años de cometidas. La ANCI también puede citar a declarar a socios, directores, administradores, representantes y empleados en el ejercicio de sus facultades de fiscalización. Hasta fines de octubre de 2026, los comunicados de la agencia no informaban sanciones aplicadas.
Qué conviene hacer en un grupo con presencia en ambos mercados
- Confirmar la situación de la filial chilena. Revisar las nóminas de OIV y, si no figura, evaluar si presta un servicio esencial según el artículo 4.
- Unificar el protocolo de incidentes con el plazo más corto. Tres horas para el primer aviso y 15 días para el informe final.
- Designar al delegado y al encargado de reportes. El delegado de un OIV se acredita en el portal de la ANCI, conforme a su Instrucción General N°3, así que su ausencia queda a la vista de la agencia.
- Revisar contratos con proveedores. Los plazos de aviso pactados para Europa pueden no alcanzar en Chile.
Quien necesite aterrizar estas obligaciones al detalle local encontrará una guía sobre el cumplimiento de la Ley 21.663 en el sitio de Netprovider, empresa de ciberseguridad con operación en Chile. Cada caso requiere además el análisis de un abogado habilitado en la jurisdicción correspondiente.
La entrada Ley 21.663 de Chile y Directiva NIS2: Qué comparten y dónde se separan se publicó primero en Lawyerpress NEWS.
