Chile y Colombia comparten un problema: según el panorama regional que Fortinet publicó en 2026, ambos países están entre los cuatro con más intentos de ciberataque detectados en América Latina en 2025, junto a Brasil y México. La diferencia está en cómo responde cada Estado. Chile aprobó en 2024 una ley marco que obliga a miles de organizaciones a reportar incidentes en horas y a más de mil a tener un sistema formal de seguridad. Colombia sigue con un mapa de normas sectoriales, circulares y documentos de política.
Mirar qué hizo el vecino del sur, qué le funciona y qué le cuesta sirve para no repetir sus errores.
Qué hizo Chile
La Ley 21.663, conocida como Ley Marco de Ciberseguridad, creó la Agencia Nacional de Ciberseguridad (ANCI), que funciona desde el 2 de enero de 2025. La agencia dicta normas, recibe reportes de incidentes a través de su CSIRT nacional y puede fiscalizar y multar.
La ley distingue dos grupos:
- Servicios esenciales: organizaciones de 16 sectores, entre ellos energía, telecomunicaciones, banca, salud, transporte y servicios digitales. Deben reportar incidentes graves.
- Operadores de Importancia Vital (OIV): los que la agencia califica como críticos dentro de esos sectores. Hoy son 1.154. Además de reportar, deben implementar un sistema de gestión de seguridad de la información, tener un plan de continuidad operacional y designar un delegado de ciberseguridad.
Los plazos de reporte son exigentes: alerta temprana en 3 horas, segundo reporte a las 72 horas (24 si un OIV ve afectado su servicio esencial) e informe final a los 15 días. La multa máxima por infracción gravísima para un OIV es de 40.000 UTM, unos USD 3 millones.
Quien quiera el detalle de obligaciones, plazos y sanciones puede consultar esta guía de la Ley 21.663, que resume la norma artículo por artículo.
Qué le está funcionando
El primer resultado de la ley es información. Entre marzo y diciembre de 2025, la ANCI recibió 414 reportes, y en el primer semestre de 2026 sumó 324 incidentes con efecto significativo. Con esos datos, el CSIRT emitió alertas específicas y la agencia pudo afirmar algo que antes era una intuición: casi la mitad de los incidentes partió con una cuenta comprometida, y el 41% de los casos de 2025 se podía evitar con medidas simples.
Ese diagnóstico permitió a la agencia priorizar. Su próxima norma obligatoria sale de una lista de "9 básicos", que van desde la autenticación multifactor hasta el gestor de contraseñas, y que según la propia ANCI prevendrían hasta el 90% de los incidentes reportados. Un regulador que sabe qué está pasando puede exigir lo que importa.
El segundo resultado es el orden interno. Más de 3.200 instituciones se inscribieron en el portal de reportes durante el primer año. Para muchas empresas, la ley fue la primera vez que el directorio preguntó quién responde por la ciberseguridad.
Qué le está costando
La ley también tiene fricciones. La segunda nómina de OIV, publicada en 2026, llevó a algunas empresas a reclamar ante la justicia por su calificación, según informó la prensa chilena en agosto. A octubre de 2026, la agencia no ha publicado ninguna sanción. Y construir un sistema de gestión de seguridad toma meses de trabajo de especialistas que no abundan.
Ninguno de esos problemas invalida el modelo. Muestran que una ley de este tipo necesita una agencia con capacidad técnica, plazos realistas y un periodo de acompañamiento antes de multar.
Dónde está Colombia
Colombia no parte de cero. El CONPES 3995 de 2020 fijó la política nacional de confianza y seguridad digital y los lineamientos para identificar infraestructura crítica. ColCERT y los CSIRT sectoriales coordinan la respuesta a incidentes. La Superintendencia Financiera exige a bancos y entidades vigiladas, desde su Circular Externa 007 de 2018, monitoreo continuo y un ciclo de prevención, detección, respuesta y recuperación. MinTIC exige a las entidades públicas su Modelo de Seguridad y Privacidad de la Información, y la Ley 1581 de 2012 protege los datos personales.
Lo que no tiene es una ley marco equivalente a la chilena para el sector privado, con una lista de operadores críticos, un sistema de gestión exigible y plazos de reporte comunes para todos los sectores esenciales. Por eso las exigencias dependen mucho del sector: una entidad financiera vigilada por la Superintendencia tiene reglas de ciberseguridad que otras industrias no tienen.
Tres lecciones para el debate colombiano
- Primero los datos. La ventaja más rápida de la ley chilena fue saber qué estaba pasando. Un sistema de reporte obligatorio, con una taxonomía clara de incidentes, le daría a Colombia un diagnóstico que hoy no tiene.
- Exigir lo básico antes que lo sofisticado. La ANCI descubrió que la mayoría de los incidentes se evita con medidas simples. Una regulación que empiece por ahí es más fácil de cumplir y de fiscalizar.
- Acompañar antes de sancionar. La agencia chilena opera desde enero de 2025 y, a octubre de 2026, no ha publicado multas. Ese periodo le dio tiempo a las empresas para ordenarse y a la agencia para aprender.
Las empresas colombianas que prestan servicios esenciales en Chile ya están sujetas a estas exigencias. Para el resto, la ley chilena funciona como un adelanto de lo que tarde o temprano llegará al debate en Bogotá. Prepararse antes de que exista la obligación siempre sale más barato que hacerlo con un plazo encima.
Anuncios.
