ZIEMTINEL Global Cyberdefense Partner
ISO/IEC 27001:2022 · Ley 21.663

Seguridad de la
Información

El sistema de gestión que certifica la ISO 27001 es el mismo que la Ley 21.663 le exige a un Operador de Importancia Vital. Se construye una vez.

Ver inversión Solicitar propuesta
El programa en cuatro minutos

Qué incluye y cómo se cotiza

Las tres exigencias que resuelve un solo sistema, los plazos que abre un incidente, las cinco fases del trabajo y cómo pedir su propuesta desde esta misma página.

1080p · 3:57 · con voz y subtítulos Descargar el vídeo

Por qué este programa

La ley ya no pregunta si quiere un sistema de gestión

Hasta 2024, implementar ISO 27001 en Chile era una decisión comercial: abría licitaciones y tranquilizaba a clientes corporativos. La Ley 21.663 cambió eso para una parte del mercado. Su artículo 8 letra a) obliga a los Operadores de Importancia Vital a implementar «un sistema de gestión de seguridad de la información continuo». No es una recomendación ni una buena práctica: es un deber cuya infracción la propia ley califica como grave.

 1.154 organizaciones ya calificadas como OIV

La ANCI cerró su primer proceso de calificación en dos etapas: 915 entidades en diciembre de 2025 y 239 más en julio de 2026, entre ellas empresas de energía, combustibles, agua, transporte, banca, salud y telecomunicaciones. La calificación no se solicita ni se rechaza: llega por resolución publicada en el Diario Oficial, y desde ese día corren los plazos.

Y aquí está la parte que casi nadie dice en voz alta: la ley no exige ISO 27001. No nombra esa norma ni ninguna otra — lo verificamos sobre el texto oficial, sus reglamentos y las cuatro instrucciones generales de la ANCI. Lo que pide es el sistema, no el certificado. ISO 27001 es la forma más reconocida de construirlo y evidenciarlo, y por eso trabajamos sobre ella; pero certificarse no lo sustituye, y quien le prometa lo contrario le está vendiendo tranquilidad, no cumplimiento.

Lo que cubre un solo sistema

La norma

ISO/IEC 27001:2022 — cláusulas 4 a 10 y 93 controles del Anexo A
ISO/IEC 27002:2022 — guía de implementación de esos controles
ISO/IEC 27005 — metodología de gestión del riesgo

Los deberes legales que se apoyan en él

Ley 21.663, art. 8 a) — el SGSI continuo
Ley 21.663, art. 8 c) — planes de continuidad y ciberseguridad
Ley 21.663, art. 8 i) — delegado de ciberseguridad
Ley 21.663, art. 9 — reporte de incidentes a la ANCI

La capa de datos personales

Anexo A, control 5.34 — privacidad y protección de la PII
Ley 21.719, art. 14 quinquies — medidas de seguridad
Para el sistema de privacidad completo, ver ISO 27701

Lo que no admite improvisación

Los Plazos del Artículo 9

Un incidente con efecto significativo dispara cuatro obligaciones con reloj. Si el protocolo, los roles y los canales no están definidos y ensayados antes, el incumplimiento es casi inevitable.

  1. 3 horas

    Alerta temprana

    Todos los sujetos obligados

    art. 9 a)
  2. 72 horas

    Segundo reporte

    Todos los sujetos obligados

    Baja a 24 horas si un OIV ve afectada la prestación de su servicio esencial.

    art. 9 b)
  3. 7 días corridos

    Plan de acción

    Sólo Operadores de Importancia Vital

    Es el plazo que más se publica mal: no son 15 días, y no aplica a todos.

    art. 9, inc. penúltimo
  4. 15 días corridos

    Informe final

    Todos los sujetos obligados

    Se cuentan desde la alerta temprana, no desde el incidente.

    art. 9 c)
El umbral de reporte es más bajo de lo que parece
El artículo 27 de la ley define «efecto significativo» como interrumpir un servicio esencial, afectar la salud de las personas o comprometer sistemas con datos personales. Pero el artículo 3 del D.S. 295 añade dos supuestos: afectar la integridad o confidencialidad de activos informáticos, y el ingreso no autorizado a redes o sistemas — «aun cuando esto no produzca afectación inmediata en la provisión del servicio». En la práctica, hay que reportar bastante más de lo que sugiere la lectura de la ley sola.
La tercera ley

La Capa de Datos Personales

La Ley 21.719 no vive en una carpeta aparte. Su deber de seguridad —el artículo 14 quinquies— pide exactamente lo que el Anexo A ya construye, así que se cubre desde dentro del mismo SGSI. Lo que no cubre, lo decimos abajo.

Lo que exige la ley

La seudonimización y el cifrado de datos personales, que la letra a) del artículo nombra de forma expresa

Lo que lo sostiene
  • 8.11 enmascaramiento de datos
  • 8.24 uso de criptografía

Los dos únicos controles que la ley chilena menciona con nombre propio, así que excluirlos en la Declaración de Aplicabilidad hay que justificarlo muy bien.

Lo que exige la ley

Confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento

Lo que lo sostiene
  • 5.12 y 5.13 clasificación y etiquetado
  • 5.15 a 5.18 control de acceso
  • 8.12 prevención de fuga de datos
  • 5.14 transferencia de información

Clasificar primero para poder proteger de forma proporcionada: sin clasificación, todo se protege igual y nada se protege bien.

Lo que exige la ley

Capacidad de restaurar la disponibilidad y el acceso con rapidez tras un incidente físico o técnico

Lo que lo sostiene
  • 8.13 respaldo de la información
  • 8.14 redundancia
  • 5.29 y ss. continuidad

Los mismos planes que ya se prueban para el artículo 9 de la Ley 21.663. Se ensayan una vez y sirven para las dos leyes.

Lo que exige la ley

Verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas

Lo que lo sostiene
  • Cláusula 9: seguimiento y medición
  • Auditoría interna
  • Revisión por la dirección

Es el ciclo que produce la evidencia fechada, y sin fecha la evidencia no prueba nada.

Lo que exige la ley

Acreditar, ante un incidente y en juicio, que las medidas existían y funcionaban — la carga de la prueba es del responsable

Lo que lo sostiene
  • 5.28 recopilación de evidencia
  • 5.33 protección de registros
  • 8.15 registro de eventos

Sin registros con fecha, la defensa se reduce a una declaración de intenciones.

Lo que exige la ley

Tratar los datos sólo mientras dure la finalidad, y suprimirlos o anonimizarlos después (art. 14 letra d)

Lo que lo sostiene
  • 8.10 eliminación de información
  • 8.11 enmascaramiento de datos
  • 8.33 información de prueba

El 8.33 es el que más se pasa por alto: es donde casi siempre aparecen datos reales de clientes en entornos de prueba que nadie audita.

Lo que exige la ley

Extender el deber de secreto a quienes traten datos por cuenta del responsable (art. 14 bis)

Lo que lo sostiene
  • 5.19 a 5.22 cadena de proveedores

Exigirlo en el contrato, verificarlo durante la relación y poder terminarla si deja de cumplirse.

Dónde termina la ISO 27001

El control 5.34 del Anexo A obliga a identificar y cumplir los requisitos de privacidad y de protección de la PII que apliquen. Es la puerta por la que la Ley 21.719 entra al SGSI, y por eso el sistema no la puede ignorar.

Pero un control de seguridad no publica una política de tratamiento, no atiende derechos en 30 días corridos ni hace una evaluación de impacto antes de iniciar un tratamiento. Esos tres deberes —artículos 14 ter, 11 y 15 ter— son de gestión de privacidad, no de seguridad, y no salen del Anexo A por mucho que se le insista.

Y dónde empieza la ISO 27701

Si la organización trata datos personales como parte del negocio —y no sólo los de su propia nómina— el cumplimiento completo de la Ley 21.719 se construye en el programa de privacidad, que se monta sobre este mismo sistema de gestión y reutiliza su contexto, sus roles, su gestión documental y su auditoría interna. Uno solo, no dos.

Ver el programa de privacidad y Ley 21.719
Cómo trabajamos

Cinco Fases, Un Solo Sistema

Recorren las cláusulas 4 a 10 de la norma y, con ellas, los deberes del artículo 8. Duración estimada de 4 a 8 meses según el tamaño y la complejidad de la organización.

  1. Fase 1 de 5 Contexto y alcance

    Análisis del contexto y de las partes interesadas, alcance formal del SGSI y política de seguridad aprobada por la dirección. Roles, comité y —si la organización es OIV— designación del delegado de ciberseguridad con el perfil que exige la Instrucción General N° 3 de la ANCI, que prohíbe expresamente que lo ejerza quien dirige el área de TI.

  2. Fase 2 de 5 Riesgos y Declaración de Aplicabilidad

    Metodología de riesgo conforme a ISO 27005, inventario y valoración de activos, evaluación de riesgos y plan de tratamiento. La Declaración de Aplicabilidad justifica cada control del Anexo A que se excluye, y sin ella no hay certificación posible.

  3. Fase 3 de 5 Controles del Anexo A

    Políticas y procedimientos por los cuatro dominios —organizacionales, de personas, físicos y tecnológicos—, gestión de proveedores, accesos y activos, desarrollo seguro y el control 5.34 de privacidad y protección de la PII, que es la capa de datos personales dentro del sistema.

  4. Fase 4 de 5 Continuidad e incidentes

    Planes de continuidad operacional y de ciberseguridad, protocolo de reporte con los cuatro plazos del artículo 9 y las medidas de contención de la Instrucción General N° 4. Simulacros cronometrados: el plazo de 3 horas no se cumple leyendo un procedimiento por primera vez.

  5. Fase 5 de 5 Desempeño, mejora y certificación

    Indicadores del SGSI, auditoría interna, revisión por la dirección con acta y acuerdos, gestión de no conformidades y acompañamiento en las etapas 1 y 2 de la auditoría de certificación, que realiza una casa certificadora acreditada e independiente.

Inversión

Precios del Programa

Valores netos en UF, de referencia para una empresa mediana. Abajo, el precio de implantar las tres normativas como un solo sistema de gestión.

ISO/IEC 27001:2022

Seguridad de la Información

  • GAP Análisis Diagnóstico de brechas
    110 UF + IVA
  • Implementación Normativa Cierre de brechas y evidencia
    278 UF + IVA
  • GAP + Implementación Los dos servicios, juntos
    −15% 329,8 UF + IVA en vez de 388 UF
Promoción

Las tres normativas

ISO 27001 + Ley 21.663 + Ley 21.719

Un solo proyecto, no 3 por separado

  • GAP Análisis Diagnóstico de brechas
    −21% 250 UF + IVA en vez de 315 UF
  • Implementación Normativa Cierre de brechas y evidencia
    −20% 562 UF + IVA en vez de 703 UF
  • GAP + Implementación Los dos servicios, juntos
    −15% 690,2 UF + IVA en vez de 812 UF

El precio se ajusta al tamaño de su organización

Los valores de arriba son la referencia para una empresa mediana (51–200 empleados). Una organización más pequeña paga menos y una corporación más, porque el trabajo real —procesos, sedes, sistemas y personas a entrevistar— escala con ella. El ajuste va desde −25% hasta 10 empleados hasta +60% sobre 1.000. Se confirma en la propuesta.

Solicitar propuesta formal
Siguiente paso

Conversemos su Alcance

Una llamada de 30 minutos, sin costo. Si su organización fue calificada como OIV, lo primero es revisar qué plazos ya están corriendo — algunos se cuentan desde la publicación de la nómina en el Diario Oficial, no desde que uno se entera.

Ver Gobierno de Privacidad
Carrito 0 productos

Tu carrito está vacío

Agrega packs o planes de documentación normativa
Finalizar Compra
Datos de contacto y pago
1Contacto
2Resumen
3Pago
¿Agregar al carrito?