Prensa | Ciberseguridad: un desafío compartido que exige responsabilidades compartidas
- 29 octubre 2026
- Lectura: 5 minutos
Columna de opinión – Eduardo Vilches, asociado senior del equipo de Tecnología, Privacidad y Medios en Cariola Díez Pérez-Cotapos
Ciberseguridad: un desafío compartido que exige responsabilidades compartidas
Octubre, Mes de la Ciberseguridad, es una buena oportunidad para reconocer los avances de Chile, pero también para reflexionar sobre los desafíos pendientes.
Nuestro país tiene motivos para estar orgulloso. El Informe de Ciberseguridad 2025 del BID y la OEA ubicó a Chile en el primer lugar entre 30 países de América Latina y el Caribe, mientras que el National Cyber Security Index lo situó en el puesto 19 a nivel mundial. Estos resultados reflejan años de trabajo en políticas públicas, cooperación internacional y desarrollo institucional.
Especialmente relevante ha sido la creación de la Agencia Nacional de Ciberseguridad (ANCI), un avance fundamental para fortalecer la prevención, coordinación y respuesta frente a incidentes. Su instalación representa un esfuerzo que debemos valorar y consolidar.
Sin embargo, como dice Andrés Bello en su célebre frase: todas las verdades se tocan. Y en el ciberespacio y en su seguridad hay dos que debemos considerar conjuntamente: necesitamos reguladores exigentes, pero también un Estado que cumpla con los estándares que exige.
La Ley Marco de Ciberseguridad (LMC) ha elevado considerablemente las obligaciones del sector privado. Las organizaciones deben adoptar medidas de prevención, gestionar riesgos y reportar incidentes, enfrentando multas que, tratándose de operadores de importancia vital, pueden alcanzar las 40.000 UTM.
Además, una misma organización puede estar sometida a distintos reguladores, como la ANCI, la Comisión para el Mercado Financiero (CMF), la Subsecretaría de Telecomunicaciones (SUBTEL) o la Superintendencia de Electricidad y Combustibles (SEC). Dependiendo de su actividad, también pueden concurrir exigencias de autoridades sanitarias y, próximamente, de la Agencia de Protección de Datos Personales.
Pero ¿qué ocurre con los organismos públicos? La LMC también les impone obligaciones. Su artículo 47 establece que los jefes superiores deben velar por la adopción de medidas para prevenir, reportar y resolver incidentes. Sin embargo, no contempla un régimen específico de sanciones para estas autoridades, comparable al establecido para las organizaciones privadas.
Esto no significa que los funcionarios estén exentos de responsabilidad administrativa. Pero sí evidencia una diferencia importante en los mecanismos para exigir el cumplimiento de las obligaciones legales.
La distinción puede tener explicaciones plausibles. Multar a un organismo público podría terminar afectando los recursos destinados a la ciudadanía. Sin embargo, ello no justifica que las deficiencias de seguridad carezcan de consecuencias efectivas para quienes tienen la responsabilidad de prevenirlas.
La nueva ley 21.719 que actualiza el régimen de Protección de Datos Personales ofrece un contraste interesante. Sus artículos 44 y 45 contemplan responsabilidades concretas para autoridades y funcionarios públicos, incluyendo multas personales y otras consecuencias administrativas cuando se configuran las infracciones previstas legalmente, entre ellas, incumplimientos de las obligaciones de seguridad de los datos personales.
Esta discusión tiene consecuencias muy concretas.
En junio de 2025, el Instituto de Salud Pública (ISP) sufrió un ataque de ransomware que afectó sus sistemas y dificultó la tramitación de registros, autorizaciones sanitarias y procedimientos relacionados con la importación de productos. Si bien las medidas de contingencia permitieron mantener funciones críticas y evitar el desabastecimiento, el incidente evidenció cómo una falla en sistemas públicos puede afectar directamente la operación de organizaciones y servicios esenciales para las personas.
Una organización privada puede invertir importantes recursos en proteger sus sistemas, pero seguirá dependiendo de que funcionen las plataformas públicas necesarias para obtener autorizaciones, realizar trámites o desarrollar sus actividades. Lo mismo ocurre en sentido contrario: un incidente en una empresa de telecomunicaciones, energía o tecnología puede comprometer el funcionamiento de múltiples organismos estatales.
La ciberseguridad del país es sistémica. No existen dos ciberespacios, uno público y otro privado. Compartimos infraestructura, información, servicios y, especialmente, riesgos.
Por eso, el Estado tiene una doble responsabilidad: establecer y fiscalizar las reglas, pero también garantizar que sus propios organismos las cumplan. No parece razonable exigir altos estándares de seguridad a las empresas sin contar con mecanismos igualmente efectivos para asegurar su cumplimiento en el sector público.
En este desafío, la ANCI tiene un papel fundamental. Su creación permite impulsar estándares comunes, coordinar esfuerzos y fortalecer las capacidades del país. Pero su éxito también dependerá del compromiso de cada organismo público y de que sus autoridades cuenten con los recursos necesarios y asuman efectivamente sus responsabilidades.
Chile ha avanzado mucho y debemos reconocerlo. El desafío ahora es que ese liderazgo se refleje en capacidades reales de prevención, respuesta y recuperación, tanto públicas como privadas. Porque, finalmente, para una persona que no puede acceder a un medicamento, realizar un trámite o recibir un servicio esencial, poco importa si el sistema afectado pertenece a una empresa o al Estado. Lo que importa es que funcione.
Publicación en Actualidad Jurídica.