Qué significa en la práctica

El plan debe conectar detección, contención, evidencia, continuidad, notificaciones, autoridades, clientes, proveedores y titulares. Los equipos deben conocer quién decide, qué información se comunica y cómo se evita destruir evidencia durante la recuperación. El primer paso es observar el proceso real: formularios, correos, planillas, sistemas, conversaciones y excepciones. El control debe ser suficientemente simple para que el equipo lo use bajo presión y suficientemente claro para que otra persona pueda verificarlo.

La dimensión jurídica y de riesgo

La Ley 21.663 crea la ANCI y establece institucionalidad, requisitos y responsabilidades para entidades determinadas por la ley. La Ley 21.719 exige seguridad adecuada al tratamiento y regula incidentes y derechos. La empresa debe determinar su sector, calificación y obligaciones concretas, sin asumir que una norma reemplaza la otra. En caso de duda, conviene formular la conclusión con prudencia y escalarla a asesoría jurídica. Una recomendación de buena práctica no debe presentarse como obligación legal, y una obligación legal no debe ampliarse a usos que la norma no exige.

Un ejemplo empresarial

Un proveedor informa que hubo acceso a una base y, al mismo tiempo, el servicio crítico queda interrumpido. Seguridad necesita contener; jurídico debe evaluar deberes; operaciones debe recuperar; comunicaciones debe preparar mensajes; gerencia decide prioridades y escalamiento. La respuesta madura no parte por comprar una herramienta ni por redactar una política aislada. Parte por delimitar la finalidad, reducir el dato, asignar responsables y probar si el control funciona en la operación cotidiana.

Errores que conviene evitar

Tratar el incidente solo como caída TI puede incumplir plazos o perder información. Tratarlo solo como privacidad puede ignorar continuidad y obligaciones sectoriales. Una notificación apresurada sin hechos comprobados también puede dañar la respuesta. Otro error frecuente es trasladar toda la decisión a TI o al proveedor. La tecnología puede ejecutar controles, pero la empresa conserva decisiones de negocio: qué recopilar, por qué usarlo, con quién compartirlo y cuándo dejar de tratarlo.

Qué debería revisar la gerencia

  • Identificar si la organización está dentro del ámbito de la Ley 21.663.
  • Clasificar activos y datos personales críticos.
  • Alinear protocolos de reporte y crisis.
  • Definir roles de TI, jurídico, gerencia y comunicaciones.
  • Realizar ejercicios y corregir hallazgos.

Estas acciones deben tener un dueño, una fecha y una evidencia observable. Si la organización es pequeña, puede concentrar funciones; lo importante es que las responsabilidades estén claras y que las excepciones no se conviertan en la forma habitual de operar.

Evidencia y seguimiento

Conservar clasificación de activos, análisis de impacto, contratos, registros de incidentes, decisiones, comunicaciones, pruebas de recuperación y lecciones aprendidas. El ejercicio debe probar los dos marcos coordinadamente. La evidencia debe ser proporcional: no se trata de archivar todo, sino de conservar lo suficiente para reconstruir decisiones, demostrar que se actuó y corregir lo que no funcionó. Un control sin dueño, prueba o fecha de revisión es una intención, no un control operativo.

Preguntas para una reunión de trabajo

  • ¿Qué obligación nace por el activo y cuál por los datos?
  • ¿Qué autoridad o tercero debe ser contactado?
  • ¿Qué evidencia debemos preservar?

Responder estas preguntas permite priorizar. Puede existir un riesgo aceptable, una medida pendiente o una cuestión que requiera análisis especializado. Lo importante es que la decisión quede visible, que la persona responsable tenga capacidad de actuar y que la gerencia conozca las dependencias críticas.

La revisión tampoco debería quedar congelada en la fecha de publicación. Cambios de proveedor, nuevas campañas, reorganizaciones, incidentes, tecnologías y modificaciones regulatorias pueden alterar el análisis. Una fecha de seguimiento y un responsable de actualización convierten el artículo en una pauta de gestión, no en una declaración aislada.

Cierre: cumplir conectando decisiones

La gestión de ley 21.719 y ley marco de ciberseguridad no debería reducirse a un documento o a una herramienta. Requiere coordinar la finalidad jurídica con el proceso, la tecnología, las personas y la capacidad real de respuesta. En VEORA Advisory podemos acompañar a la organización en el diagnóstico, diseño de controles y puesta en marcha de una hoja de ruta proporcional. Construir un modelo coordinado de privacidad, seguridad e incidentes.

Fuentes consultadas

Biblioteca del Congreso Nacional de Chile, Ley N.º 21.719, texto con vigencia diferida al 1 de diciembre de 2026: https://www.bcn.cl/leychile/navegar?idNorma=1209272

Biblioteca del Congreso Nacional de Chile, Ley N.º 19.628, versión vigente hasta el 30 de noviembre de 2026: https://www.bcn.cl/leychile/Navegar?dt=open&idLey=19628

Biblioteca del Congreso Nacional de Chile, Ley N.º 21.663, Ley Marco de Ciberseguridad: https://www.bcn.cl/leychile/navegar?i=1202434

Nota editorial: este artículo entrega orientación general y no reemplaza un análisis jurídico, laboral, técnico o sectorial de un caso concreto. La vigencia y aplicación de la Ley N.º 21.719 debe revisarse según la fecha de publicación y las normas, reglamentos e instrucciones disponibles.