Publicaciones
El plazo de tres horas del CSIRT Nacional: por qué casi ningún procedimiento interno lo cumple
El problema casi nunca es que nadie sepa que hay que reportar. Es que el procedimiento exige una autorización que nadie puede dar a las tres de la mañana.
Autor: Antonio Vásquez Amestica, Socio · Datos y Seguridad · Revisión: Erika Quintana Espinoza, Socia · Legal y Regulatorio
Publicado: · Última revisión normativa:
¿Qué exige exactamente el artículo 9 sobre el deber de reportar?
Cuatro hitos con plazo, no uno. El primero, la alerta temprana, es el que más incumplimientos genera.
«Artículo 9°. Deber de reportar. Todas las instituciones públicas y privadas señaladas en el artículo 4° tendrán la obligación de reportar al CSIRT Nacional los ciberataques e incidentes de ciberseguridad que puedan tener efectos significativos en los términos del artículo 27, tan pronto les sea posible y conforme al siguiente esquema: a) Dentro del plazo máximo de tres horas contado desde que se tiene conocimiento de la ocurrencia del ciberataque o incidente de ciberseguridad que pueda tener impactos significativos, se deberá enviar una alerta temprana sobre la ocurrencia del evento.»
Inciso primero y letra a) — Ley 21.663 · Ver en BCN (versión con vigencia desde 01-03-2025)
| Hito | Plazo |
|---|---|
| Alerta temprana | 3 horas desde que se tiene conocimiento del incidente. |
| Actualización | 72 horas, con evaluación inicial de gravedad e indicadores de compromiso. 24 horas si es un OIV con servicios esenciales afectados. |
| Plan de acción | Solo para OIV. Se informa apenas se adopta, y en ningún caso después de 7 días corridos. |
| Informe final | 15 días corridos desde la alerta temprana, o desde que el incidente quedó gestionado si seguía en curso. |
¿Por qué casi ningún procedimiento interno cumple el plazo de tres horas?
Porque el diseño típico de un procedimiento de incidentes chileno todavía asume el ritmo de una notificación voluntaria: detectar, contener, y solo después, con calma, decidir a quién avisar. El artículo 9 invierte ese orden. Tres horas alcanzan para detectar y para escalar, pero no alcanzan si el procedimiento exige que un comité se reúna, revise el caso y autorice el reporte antes de enviarlo.
El síntoma más común: el equipo técnico detecta el incidente a la 1 de la madrugada de un sábado, y el procedimiento dice que el reporte lo autoriza el gerente de TI. El gerente de TI no contesta el teléfono hasta las 9 de la mañana del lunes. El incumplimiento ya ocurrió, y ocurrió por diseño organizacional, no por falta de conocimiento de la norma.
El informe final del artículo 9 letra c) exige, además, la causa probable del incidente y las repercusiones transfronterizas si las hay: contenido que un procedimiento redactado solo para «avisar que pasó algo» no recoge.
¿Qué debe tener un procedimiento para cumplir realmente el plazo?
Autorización delegada desde el diseño: la persona que detecta el incidente a las 2 de la madrugada debe poder enviar la alerta temprana sin esperar a nadie. La plantilla de la alerta —los campos mínimos que exige el artículo 9— tiene que existir antes del incidente, no redactarse durante él. Y el procedimiento tiene que haberse ensayado con el equipo real, en un horario que no sea horario de oficina, porque un plazo de tres horas no distingue entre lunes a las 11 de la mañana y sábado a las 3 de la madrugada.
El plazo de tres horas es solo uno de los tres relojes que puede activar un mismo incidente si además compromete datos personales: el desarrollo completo está en a quién hay que notificar si sufre una filtración de datos. El resto de las obligaciones de un OIV está en la página completa de Operadores de Importancia Vital.
Un protocolo único de incidentes cubre CSIRT, APDP y autoridad sectorial, ensayado con su equipo.
Preguntas frecuentes
- ¿Cuánto tiempo hay para reportar un incidente de ciberseguridad al CSIRT Nacional?
- 3 horas desde que se toma conocimiento del incidente para la alerta temprana, según el artículo 9 letra a) de la Ley 21.663. Le sigue una actualización a las 72 horas (24 si es un OIV con servicios esenciales afectados) y un informe final a los 15 días corridos.
- ¿Por qué fallan los procedimientos internos de reporte de incidentes?
- Porque suelen exigir una autorización previa de un comité o de una jefatura antes de enviar el reporte, lo que es incompatible con un plazo de tres horas que puede vencer en cualquier horario, incluidos fines de semana y madrugadas.
Fuentes
Ley 21.719 (D.O. 13-12-2024) y Ley 19.628 en su texto reformado, versión BCN. Ley 21.806 (D.O. 05-02-2026). Resolución Exenta 202503748 del Ministerio de Economía (D.O. 19-12-2025) sobre cláusulas contractuales tipo para transferencias internacionales. Circular IF/N° 514 de la Superintendencia de Salud (D.O. 05-11-2025). Valor UTM del Servicio de Impuestos Internos.
Este artículo tiene fines informativos y no constituye asesoría legal para un caso concreto.