De la ley marco de ciberseguridad, analisis de la ley N°21.663
Autor : Rodrigo Silva Montes
Edición : Octubre 2024
Formato : 1 Tomo – 196 Páginas
ISBN : 978-956-6376-20-0
Editorial : Ediciones Jurídicas de Santiago
Descripción
"A un abogado como yo, de
principios de la segunda mitad del siglo pasado, la cibernética, la Internet,
computación, redes sociales, Inteligencia
Artificial, física cuántica, le cuesta.
No se me hace fácil eso de ciber de cualquier cosa; es menos amable que otros
temas.
La tramitación electrónica, y otros que
hasta se pronuncian difícil; para ser honesto, me asustan un poco.
Pero aquí estamos, con la pluma y la
tinta: vamos a intentarlo
La Ley Marco de Ciberseguridad, N°
21.663, fue publicada en el Diario Oficial N° 43.820, del 8 de abril de 2024.
Contiene diez títulos y seis
disposiciones transitorias.
El legislador sabe adaptarse a las
necesidades sociales."
Índice
Introducción .
Título I
DISPOSICIONES GENERALES .
1. Objeto de la ley .
1.1. Del objeto de la ley .
1.2. Concepto de Administración del
Estado .
1.3. Empresas del Estado .
2. Definiciones .
2.1. Activo informático .
2.2. Agencia .
2.3. Auditorías de Seguridad .
2.4. Autenticación .
2.5. Ciberataque .
2.6. Ciberseguridad .
2.7. Confidencialidad .
2.8. Disponibilidad .
2.9. Equipo de respuesta .
2.10. Incidente de ciberseguridad .
2.11. Integridad .
2.12. Red y sistema informático .
2.13. Resiliencia .
2.14. Riesgo .
2.15. Vulnerabilidad .
3. Principios rectores .
3.1. Principio de control de daños .
3.2. Principio de cooperación con la
autoridad .
3.3. Principio de coordinación .
3.4. Principio de ciberseguridad en el
ciberespacio .
3.5. Principio de respuesta responsable
.
3.6. Principio de seguridad informática
.
3.7. Principio de racionalidad .
3.8. Principio de seguridad y privacidad
por defecto y desde el di-
seño .
Título II
OBLIGACIONES DE CIBERSEGURIDAD .
Servicios esenciales y operadores de
importancia vital .
4. Ámbito de aplicación .
5. Operadores de importancia vital .
5.1. Concepto .
5.2. Requisitos .
6. Procedimiento de calificación de los
operadores de importancia
vital .
6.1. Periodicidad del proceso .
6.2. Solicitud de informes .
6.3. Forma en que deben evacuarse los
informes .
6.4. Plazo para evacuar informe .
6.5. Consulta pública .
A. Instituciones privadas .
B. Instituciones públicas .
6.6. Del informe .
6.7. Resolución fundada .
6.8. Recursos .
6.9. Reglamento .
Párrafo 2o
Obligaciones de ciberseguridad .
7. Deberes generales .
A. Continuidad .
B. Protocolos .
C. Coordinación regulatoria .
D. Consulta pública .
E. Publicidad .
F. Medidas diferenciadas . . . . . . . .
. . . . . . . . . . . . . . . . . . . . . . . . 29
8. Deberes específicos de los operadores
de importancia vital .
A. Sistema de gestión de seguridad .
B. Registro de acciones .
C. Planes de continuidad operacional y
ciberseguridad .
a. Regla general .
b. Excepción .
D. Operaciones continuas .
E. Medidas para impedir impacto y
propagación de un incidente de
ciberseguridad .
F. Certificaciones .
G. Deber de informar . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . . . . . . . 31
H. Programas de capacitación. Campañas
de ciberhigiene .
I. Delegado de ciberseguridad . . . . .
. . . . . . . . . . . . . . . . . . . . . . . 31
9. Deber de reportar .
A. Alerta temprana .
B. Actualización de la información .
a. Regla general .
b. Excepción .
C. Informe final .
D. Continuidad del incidente .
E. Otras reglas . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . . . . . . . . . . 33
a. Requerimiento de actualización de
información .
b. Deber de informar el plan de acción .
c. Obligación de compartir información .
d. Instrucciones .
e. Reglamento .
Título III
DE LA AGENCIA NACIONAL DE CIBERSEGURIDAD
.
Objeto, naturaleza y atribuciones .
10. Agencia Nacional de Ciberseguridad .
10.1. Características .
A. Es un servicio público .
B. Es un servicio funcionalmente
centralizado .
C. Está dotado de personalidad jurídica
.
D. Posee patrimonio propio .
E. Es de carácter técnico especializado
.
10.2. Objeto .
10.3. De la coherencia normativa .
10.4. Relaciones con el Presidente de la
República .
10.5. Domicilio .
11. Atribuciones de la Agencia .
A. Asesorar al Presidente de la
República .
B. Dictar normas .
C. Aplicar e interpretar normas .
D. Coordinar y supervisar al CSIRT
Nacional .
E. Coordinación con el CSRIT .
F. Registro Nacional de Incidentes de
Ciberseguridad .
G. Calificar a los “servicios
esenciales” y otros .
H. Requerir entrega de información .
I. Planes y acciones .
J. Requerir acceso a la información .
K. Requerir acceso a redes y sistemas
informáticos .
a. Concepto .
b. Procedimiento administrativo .
i. Notificación .
ii. Entrega de información .
iii. Oposición .
c. Procedimiento judicial .
i. Competencia .
ii. De la solicitud .
iii. Citación a audiencia .
iv. Audiencia .
v. Fallo .
vi. Impugnación del fallo .
vii. Tramitación .
viii.Preferencia .
ix. Implicancias y recusaciones .
x. Restricción del acceso o uso de redes
o sistemas informá-
ticos .
xi. Otros casos de requerimientos de
acceso a redes y sistemas
informáticos . . . . . . . . . . . . . .
. .
L. Atribución de cooperación .
a. Cooperación con organismos públicos o
instituciones pri-
vadas .
b. “Punto de contacto” .
c. Cooperación con Estados y organismos
internacionales .
M. Prestar asesorías .
N. Colaboración .
Ñ. Fiscalización .
a. Concepto .
b. Atribuciones .
c. Deber de cooperación de la entidad
fiscalizada .
d. Requerimiento de información .
e. Citación a declarar .
O. Instruir procedimientos y sancionar
infracciones e incumpli-
mientos .
P. Fomentar la investigación, y otros .
. . . . . . . . . . . . . . . . . . . . . . 46
Q. Realizar seguimiento y evaluación .
R. Informar a los CSIRT .
S. Determinar categorías de incidentes o
vulnerabilidades de ciber-
seguridad eximidas de notificación .
T. Certificaciones .
U. Acreditaciones . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . . . . . . . . . 47
V. Establecer los estándares que deben
cumplir las instituciones .
W. Establecer estándares de
ciberseguridad .
X. Administrar la Red .
Y. Coordinación anual .
Z. Otros que las leyes les encomiende .
Dirección, organización y patrimonio de
la Agencia
Nacional de Ciberseguridad .
12. Dirección de la Agencia .
13. Subdirección .
14. Atribuciones del Director(a)
Nacional .
15. Del patrimonio de la Agencia .
16. Nombramiento de autoridades .
17. Del personal de la Agencia .
A. Código del Trabajo .
B. Normas de probidad .
C. Estatuto Administrativo .
D. Responsabilidad .
E. Responsabilidad disciplinaria .
F. Alta Dirección Pública .
G. Destinaciones, comisiones de servicio
y cometidos funcionarios .
H. Prohibiciones laborales .
I. Estructura de la dotación de
trabajadores de la Agencia .
J. Estructura interna del Servicio .
K. Mandato imperativo a la Agencia .
18. Prohibiciones e inhabilidades .
A. Prohibición de prestar servicios .
B. Incompatibilidad de intereses .
C. Otras prohibiciones . . . . . . . . .
. . . . . . . . . . . . . . . . . . . . . . . . . 58
D. Excepciones .
E. Dedicación exclusiva .
a. Regla general .
b. Excepciones .
c. Autorización previa .
d. Aplicación del Estatuto
Administrativo .
19. Notificación responsable de
vulnerabilidades .
A. Exención de la obligación de
denunciar .
B. Secreto de la notificación .
Consejo Multisectorial sobre
Ciberseguridad .
20. Consejo Multisectorial sobre
Ciberseguridad .
A. Concepto .
B. Funciones .