La Agencia Nacional de Ciberseguridad (ANCI) ha emitido, con fecha 04 de junio de este año la Instrucción General N°1 que dispone la inscripción obligatoria de las instituciones calificadas como prestadores de servicios esenciales en la plataforma de reporte de incidentes. En este análisis, examinamos las principales novedades de esta normativa y sus implicancias prácticas.
Contexto Normativo
Dicha Instrucción viene a complementar lo ya dispuesto por la Ley N° 21.663 de Ciberseguridad. Esta ley establece que las instituciones que presten servicios calificados como esenciales deben adoptar medidas de protección y coordinación con el ente regulador.
En particular, estas instituciones tienen la obligación de reportar al CSIRT Nacional (Equipo de Respuesta a Incidentes de Seguridad Informática) todos los ciberataques e incidentes de ciberseguridad que puedan tener efectos significativos en los términos del artículo 27° de dicha Ley.
Principales Novedades
1. Obligación de inscripción
Se dispone que todas las instituciones públicas y privadas calificadas como prestadores de servicios esenciales, conforme al artículo 4° de la Ley de Ciberseguridad, para cumplir con su obligación de reportar deben inscribirse en la plataforma de reporte de incidentes de ciberseguridad de la ANCI.
Se contempla asimismo la posibilidad de registrar a más de un encargado/a de realizar los reportes de ciberseguridad y que una misma persona desempeñe dicha función para dos o más instituciones.
2. Instrucciones de registro
Para registrarse debidamente en la plataforma, el encargado deberá acreditar su designación con un documento firmado electrónicamente por el representante legal de su institución y designar un correo electrónico, que será el canal de comunicación oficial con el ente regulador.
Además, deberá registrarse en la plataforma con Clave única, completando un doble factor de autenticación.
3. Perfil del encargado/a de reportes
Se establece la obligación por parte de las instituciones reguladas de velar por que la persona designada como encargado/a de realizar los reportes de ciberseguridad cuente con formación o experiencia técnica o profesional en ciberseguridad.
4. Sanción por incumplimiento
El incumplimiento de esta Instrucción será considerado una infracción leve, en conformidad a lo dispuesto en el artículo 38 N°2 de la Ley de Ciberseguridad.
Implicancias Prácticas
Esta nueva instrucción tiene importantes implicancias para las organizaciones afectadas:
- Instituciones Públicas: Deberán designar personal especializado y establecer procedimientos internos para el reporte oportuno de incidentes.
- Empresas Privadas de Servicios Esenciales: Necesitarán evaluar sus capacidades internas de ciberseguridad y posiblemente contratar servicios especializados.
- Organizaciones con Múltiples Filiales: Podrán optimizar recursos mediante la designación de encargados compartidos entre entidades relacionadas.
Recomendación General
Las instituciones afectadas deben actuar con prontitud para cumplir con los nuevos requisitos. Recomendamos realizar una evaluación integral de las capacidades actuales de ciberseguridad y establecer los procedimientos necesarios para garantizar el cumplimiento normativo.
Vigencia
La presente Instrucción entrará a regir a contar del quinto día hábil de su publicación en el Diario Oficial, la que se realizó el 04 de junio de este año.
Próximos Pasos
En COVEL contamos con amplia experiencia en derecho de la ciberseguridad y estamos preparados para asesorar a nuestros clientes en el cumplimiento de estas nuevas obligaciones. Si su institución requiere apoyo para implementar los procedimientos de reporte de incidentes, no dude en contactarnos.
Este análisis representa la opinión profesional del autor basada en el texto de la Instrucción y la Ley de Ciberseguridad, y no constituye asesoría legal específica. Para casos particulares, recomendamos consultar directamente con nuestro equipo legal.