La Agencia Nacional de Ciberseguridad (ANCI) dio a conocer el pasado 20 de agosto los resultados de la consulta pública sobre la normativa “Básicos de la Ciberseguridad”, que busca hacer obligatorios seis controles mínimos para las entidades reguladas por la Ley Marco de Ciberseguridad (Ley 21.663). El proceso se desarrolló entre el 30 de mayo y el 29 de junio de este año a través del portal de la ANCI.
Los seis controles sometidos a consulta son actualizar, capacitar y respaldar periódicamente la información, así como asegurar equipos, utilizar mecanismos de múltiples factores de autenticación (MFA) y utilizar gestores de contraseñas. Estas medidas fueron identificadas y seleccionadas a partir del análisis de los incidentes reportados a la ANCI durante el año 2025.
En total participaron 331 personas, que dejaron 395 observaciones. El 63,3 % de los participantes reside en la Región Metropolitana, el 80,7 % representó a una empresa privada y el 70,3 % afirmó que su organización está obligada por la Ley 21.663 por ser un Operador de Importancia Vital (OIV) o Prestador de Servicios Esenciales (PSE).
Sobre la percepción general de los controles, casi el 90% de quienes participaron indicaron que eran fáciles de comprender. Sin embargo, la facilidad de implementación bajó considerablemente para “asegurar equipos” y el uso de MFA (multifactor de autenticación) y gestor de contraseñas, donde predominaron las dudas sobre los recursos necesarios.
Los principales riesgos operativos identificados fueron la insuficiencia de capacidad técnica interna, la interrupción de la continuidad operacional durante la implementación, la incompatibilidad con la infraestructura tecnológica existente y la dependencia de proveedores externos. Cerca de un 80% estimó que podrá implementar los controles en un plazo de entre uno y dos años.
Por control, el de actualización periódica recibió 73 observaciones, muchas solicitando priorizar activos críticos o aceptar medidas compensatorias en sistemas sin soporte. El control de respaldo de información sumó 72 comentarios, donde un 22% de los participantes señaló que no cuentan con los recursos necesarios para cumplirlo.
El control de asegurar equipos concentró críticas por costos, mientras que la implementación de MFA —pese a que un 16% lo consideró caro o que exige personal especializado— recibió mayoritariamente comentarios favorables por su relación costo-beneficio. El gestor de contraseñas, en tanto, generó pedidos de exigencias más específicas para evitar que se convierta en un punto débil.
La ANCI destacó en su documento que estas medidas podrían haber evitado la mayoría de los incidentes graves del año anterior —alrededor de un 90%— aplicando estos controles.
La Agencia también aclaró que el carácter “básico” de los controles no equivale a que sean baratos o sencillos de aplicar. Precisó que esta condición se refiere al estándar mínimo exigible y “no necesariamente al esfuerzo o costo que implica alcanzarlo”.
Finalmente, la ANCI señaló que el objetivo de esta primera normativa es “establecer un piso mínimo y de rápida adopción” y que evaluará guías técnicas complementarias para precisar aspectos como plazos de actualización, capacitación y estándares de gestores de contraseñas, sin alterar el carácter básico de los controles.
