Ley 21.663 · Ciberseguridad / ANCI

El incidente llega de golpe. La evidencia ya está lista si la registró antes.

La Ley 21.663 instala un marco de ciberseguridad con deberes exigibles y un regulador que los hace cumplir. Cuando un incidente ocurre, el reloj parte en horas: la alerta temprana al CSIRT Nacional vence a las tres horas de tomar conocimiento. Andin mantiene el registro que convierte ese reporte en un acto de recolección sobre evidencia que ya existe.

Disponible hoy Vigente hoy.

Qué exige

Un marco, un deber de reportar y una autoridad que fiscaliza

La ley ordena tres cosas que conviene leer juntas: cómo se protege, cómo se avisa cuando falla, y quién vigila que ambas ocurran.

Marco de ciberseguridad

El artículo 7 obliga a toda institución alcanzada a aplicar de manera permanente las medidas para prevenir, reportar y resolver incidentes, con los protocolos y estándares que dicta la ANCI. Sobre los operadores de importancia vital, el artículo 8 agrega un sistema de gestión de seguridad de la información continuo y el registro de las acciones que lo componen. Esas mismas obligaciones alcanzan a las infraestructuras, procesos o funciones específicas que la ANCI califique como esenciales por resolución exenta, según el inciso final del artículo 4.

Reporte de incidentes en horas

Ante un incidente que pueda tener efectos significativos, el artículo 9 fija tres hitos ante el CSIRT Nacional: alerta temprana dentro de 3 horas contadas desde que se toma conocimiento, actualización dentro de 72 horas con la evaluación inicial, e informe final dentro de 15 días corridos contados desde el envío de la alerta temprana. Lo registrado antes del incidente es lo que se puede sostener mientras el reloj corre.

El rol de la ANCI

La Agencia Nacional de Ciberseguridad (ANCI) coordina, dicta los protocolos y estándares del artículo 7 y fiscaliza el cumplimiento (artículo 11). El reporte de incidentes se envía al CSIRT Nacional, el equipo de respuesta que el artículo 24 crea dentro de la propia Agencia.

Qué cuenta como efecto significativo lo define el artículo 27: que el incidente sea capaz de interrumpir la continuidad de un servicio esencial, de afectar la integridad física o la salud de las personas, o de afectar sistemas que contengan datos personales. Para medir esos efectos pesan el número de personas afectadas, la duración y la extensión geográfica. El mismo artículo ordena omitir del reporte todo dato o información personal, y precisa que la dirección IP no se considera tal. El procedimiento, la forma y la taxonomía del reporte los fija el reglamento de la ley.

A quién aplica

Servicios esenciales y operadores de importancia vital

El artículo 4 alcanza a dos grupos: las instituciones que prestan servicios calificados como esenciales, y las que la ANCI califica como operadores de importancia vital (OIV). Los deberes generales del artículo 7 y el deber de reportar del artículo 9 corren para ambos. Los deberes reforzados del artículo 8 recaen sobre los OIV y, además, sobre las infraestructuras, procesos o funciones específicas que la ANCI califique como esenciales por resolución exenta: el inciso final del artículo 4 las sujeta a ese mismo artículo 8.

Servicios esenciales
El artículo 4 los enumera: los provistos por los organismos de la Administración del Estado y por el Coordinador Eléctrico Nacional, los prestados bajo concesión de servicio público, y una lista de actividades privadas —entre ellas electricidad, combustibles, agua potable y saneamiento, telecomunicaciones, infraestructura digital, servicios digitales y servicios de tecnología de la información gestionados por terceros, transporte, banca, servicios financieros y medios de pago, seguridad social, servicios postales y de mensajería, salud institucional y productos farmacéuticos—. La ANCI puede calificar otros servicios como esenciales por resolución fundada, previa consulta pública.
El concepto de OIV
Se califica como OIV a quien preste un servicio esencial cuya provisión dependa de las redes y sistemas informáticos y cuya afectación tenga impacto significativo en la seguridad y el orden público, en la provisión continua de servicios esenciales o en el cumplimiento de las funciones del Estado (artículo 5). La ANCI también puede calificar a privados que no prestan servicios esenciales cuando reúnan esos requisitos y su calificación sea indispensable, sea por haber adquirido un rol crítico en el abastecimiento de la población, la distribución de bienes o la producción de los indispensables o estratégicos para el país, sea por el grado de exposición de la entidad a los riesgos y la probabilidad de incidentes, incluidas su gravedad y sus consecuencias sociales y económicas. En todos los casos debe considerar el tamaño de la institución, en especial el de las empresas de menor tamaño de la ley 20.416.
El listado
Quiénes son, uno a uno, lo fija la ANCI por resolución fundada de su Director o Directora Nacional, previo informe de los organismos sectoriales, nómina preliminar, consulta pública de treinta días corridos respecto de las instituciones privadas e informe del Ministerio de Hacienda. Esa calificación se revisa y actualiza al menos cada tres años (artículo 6).
Lo que se agrega si es OIV
La actualización del reporte baja de 72 a 24 horas, contadas desde que tuvo conocimiento del incidente, cuando el OIV ve afectada la prestación de sus servicios esenciales. Además debe informar su plan de acción al CSIRT Nacional tan pronto lo adopte, y adoptarlo dentro de un tope de siete días corridos contados desde que tomó conocimiento del incidente. A eso se suman los deberes del artículo 8: sistema de gestión continuo, registro de sus acciones, planes de continuidad operacional y ciberseguridad certificados y revisados al menos cada dos años, y un delegado de ciberseguridad.

La calificación de OIV la resuelve la autoridad. Andin acompaña tanto a quien presta un servicio esencial como a quien ya es OIV —o se prepara para serlo— a sostener y demostrar el cumplimiento.

Cómo ayuda Andin

El registro ya está hecho cuando el reloj empieza a correr

El problema del reporte en horas es tener qué contar, no solo redactarlo. Andin trabaja antes del incidente, cuando todavía hay tiempo de registrar.

Disponible hoy

Registro continuo de la postura de seguridad

Andin mantiene un registro vivo de controles, decisiones y responsables. Cuando la autoridad pregunta, la respuesta se consulta en el registro, ya disponible.

Disponible hoy

Evidencia lista para el reporte al CSIRT Nacional

Cuando el reloj corre, el reporte se arma sobre evidencia ya registrada: qué controles existían, quién era responsable, qué se decidió y cuándo. Un acto de recolección, no de reconstrucción bajo presión.

Disponible hoy

Trazabilidad que resiste una fiscalización

Cada control y cada decisión quedan fechados y con responsable. La postura se muestra con el registro que la sostiene.

Andin genera y ordena la evidencia. La calificación de OIV la resuelve la autoridad y la conformidad la fiscaliza la ANCI; Andin sostiene la evidencia con la que usted responde ante ese rol.

Preguntas frecuentes

Preguntas frecuentes

¿Andin me dice si soy OIV?

No. La condición de operador de importancia vital la determina la ANCI por resolución fundada, siguiendo el procedimiento del artículo 6. Con todo, la pregunta no agota el alcance: aunque no sea OIV, si presta uno de los servicios esenciales del artículo 4 ya está alcanzado por los deberes generales del artículo 7 y por el deber de reportar del artículo 9. Y si la ANCI califica como esencial alguna de sus infraestructuras, procesos o funciones por resolución exenta, ésta queda sujeta también a las obligaciones del artículo 8, según el inciso final de ese mismo artículo 4. Andin ayuda a sostener y demostrar el cumplimiento en todos esos casos.

¿Cuánto tiempo tengo para reportar un incidente?

El artículo 9 fija tres hitos, todos ante el CSIRT Nacional. Alerta temprana dentro de 3 horas contadas desde que se toma conocimiento del ciberataque o incidente. Actualización con la evaluación inicial, su gravedad, su impacto y los indicadores de compromiso disponibles dentro de 72 horas —plazo que baja a 24 horas, contadas desde que se tuvo conocimiento del incidente, si la institución es un operador de importancia vital y ve afectada la prestación de sus servicios esenciales—. Informe final dentro de 15 días corridos contados desde el envío de la alerta temprana; si el incidente sigue en curso, ese informe se reemplaza por uno de situación y el final se presenta dentro de 15 días corridos desde que el incidente quedó gestionado. Incumplir el deber de reportar es infracción grave (artículo 38).

¿Andin genera el reporte por mí?

Andin mantiene la evidencia lista para que el reporte sea un acto de recolección sobre lo ya registrado. El deber de reportar al CSIRT Nacional es de la institución obligada (artículo 9); Andin sostiene el registro que lo hace posible a tiempo.

¿Esto reemplaza a mi equipo de seguridad?

No. Andin ordena el registro y la evidencia del trabajo que hace su equipo, y ese equipo conserva la operación. El objetivo es que la postura de seguridad sea demostrable además de real.

Conversemos

El reloj del reporte sigue corriendo. El registro se puede empezar hoy.

Si su organización presta uno de los servicios esenciales del artículo 4 —o es, o podría ser, un operador de importancia vital—, la evidencia que necesitará mañana se construye antes del incidente. Conversemos sobre cómo dejar ese registro listo.

Conversemos Ver todas las soluciones