Instrucción GENERAL N° 1 IMPARTE INSTRUCCIONES SOBRE INSCRIPCIÓN DE LAS INSTITUCIONES CALIFICADAS COMO PRESTADORES DE SERVICIOS ESENCIALES EN LA PLATAFORMA DE REPORTE DE INCIDENTES DE LA AGENCIA NACIONAL DE CIBERSEGURIDAD, CONFORME A LA LEY 21.663

MINISTERIO DEL INTERIOR; AGENCIA NACIONAL DE CIBERSEGURIDAD; AGENCIA NACIONAL DE CIBERSEGURIDAD

Promulgación: 22-MAY-2025

Publicación: 04-JUN-2025

Versión: Única - 04-JUN-2025

CONCORDANCIA

Escuchar

INSTRUCCIÓN GENERAL N° 1

IMPARTE INSTRUCCIONES SOBRE INSCRIPCIÓN DE LAS INSTITUCIONES CALIFICADAS COMO PRESTADORES DE SERVICIOS ESENCIALES EN LA PLATAFORMA DE REPORTE DE INCIDENTES DE LA AGENCIA NACIONAL DE CIBERSEGURIDAD, CONFORME A LA LEY 21.663

A. INSTITUCIONES QUE PRESTEN SERVICIOS CALIFICADOS COMO ESENCIALES SEGÚN LO ESTABLECIDO EN EL ARTÍCULO 4° DE LA LEY N° 21.663

Vistos:

1. Conforme a lo dispuesto en el artículo 9° de la ley N° 21.663, marco de ciberseguridad ("ley"), todas las instituciones públicas y privadas señaladas en el artículo 4° de dicha ley, es decir, las instituciones que presten servicios calificados como esenciales, tendrán la obligación de reportar al CSIRT Nacional los ciberataques e incidentes de ciberseguridad que puedan tener efectos significativos en los términos del artículo 27° de dicha ley.

2. Asimismo, el artículo 8° del Reglamento de Reporte de Incidentes de Ciberseguridad de la ley N° 21.663, aprobado mediante decreto supremo N° 295 de 2024, del Ministerio del Interior y Seguridad Pública, dispuso que los informes de ciberataques e incidentes de ciberseguridad deberán realizarse a través de la plataforma de notificación dispuesta por la Agencia Nacional de Ciberseguridad, la que deberá estar operativa las veinticuatro horas, todos los días del año.

3. El artículo 16° del mismo Reglamento, establece que el Director Nacional dictará las demás instrucciones generales que sean necesarias para la debida realización y recepción de los reportes de ciberataques o incidentes de ciberseguridad.

En mérito de lo anterior, se dicta la siguiente instrucción de carácter general, cuyo contenido es el siguiente:

Artículo primero. Inscripción en la plataforma. Para cumplir con la obligación de reportar, las instituciones públicas y privadas calificadas por la ley como prestadores de servicios esenciales deberán inscribirse en la plataforma que se encuentra disponible en la URL https://portal.anci.gob.cl de la Agencia Nacional de Ciberseguridad (en adelante, "Agencia" o "ANCI").

Dicha inscripción deberá ser realizada por la persona encargada de reportar los ciberataques o incidentes de ciberseguridad de la institución, quien será la contraparte técnica ante la Agencia para este proceso.

Si la institución así lo estimare podrá registrarse más de un encargado/a de realizar los reportes de ciberseguridad, individualizando al encargado/a titular y a los encargados/as subrogantes. En caso de no indicar aquello, se considerará titular a la primera persona registrada.

Por último, una misma persona podrá desempeñar la función de encargado/a de reportar para dos o más instituciones, debiendo realizar un registro por cada institución que representa y acreditar ante la Agencia su designación en la forma indicada en el artículo siguiente.

Artículo segundo. El correo electrónico. Para completar la inscripción, el encargado/a deberá informar una casilla electrónica institucional, la cual se considerará el canal oficial de comunicación con la Agencia para los efectos establecidos en el artículo 7° del Reglamento de reporte de incidentes. Si la institución proporcionare más de una dirección de correo institucional, se entenderá como válida la última que haya sido ingresada.

Artículo tercero. Perfil del encargado/a de realizar los reportes de ciberseguridad. Las instituciones reguladas deberán velar por que la persona designada como encargado/a de realizar los reportes de ciberseguridad (en adelante, encargado/a) cuente con formación o experiencia técnica o profesional en ciberseguridad.

El/La encargado/a deberá mantener una relación fluida con el CSIRT Nacional a través de la plataforma y los otros medios de contacto que la ANCI disponga.

Artículo cuarto. Instrucciones de registro. Para registrarse en la plataforma, se deberán seguir los pasos indicados en el enlace y realizar el proceso de autenticación a través de los siguientes mecanismos:https://anci.gob.cl/registro-plataforma

. Clave única: El/La encargado/a deberá realizar la inscripción con su Clave Única debiendo usar una contraseña robusta.

. Doble factor de autenticación: El/La encargado/a deberá activar un segundo factor de autenticación, a través de una aplicación de códigos temporales (TOTP, o Time-Based One Time Password) o mediante passkeys.

El/La encargado/a deberá mantener la confidencialidad de sus credenciales (Clave Única, doble factor de autentificación), siendo responsable por su uso indebido, o por su utilización por parte de terceras personas.

Artículo quinto. Acreditar el nombramiento. El/La encargado/a deberá adjuntar un documento firmado por el representante legal de su institución mediante firma electrónica avanzada que acredite su designación. Asimismo, deberá adjuntar los documentos y/o antecedentes que acrediten la designación del representante legal de la institución, y las facultades en virtud de las cuales firma el documento referido en el artículo anterior.

El/La o los/as encargados/as tendrán acceso al historial de reportes realizados por la institución.

Si el/la o los/as encargados/as no hicieren el envío de los documentos referidos en este artículo, o ellos no permitieran la identificación precisa de la institución, del representante legal o de la persona encargada, se notificará a la institución para que subsane dicha circunstancia en el plazo de cinco días hábiles contados desde la notificación que la Agencia envíe mediante correo electrónico, bajo apercibimiento de tener por no realizada la inscripción.

Artículo sexto. Actualización de nombramiento. Si el/la encargado/a dejase de cumplir dicho rol, la institución deberá informar a la Agencia tan pronto como el cese de funciones se produzca. El nuevo/a encargado/a deberá registrarse en la plataforma y acreditar su nombramiento en la forma detallada en el artículo anterior.

DISPOSICIONES FINALES

Artículo séptimo. Vigencia. La presente instrucción general comenzará a regir a contar del quinto día hábil desde su publicación en el Diario Oficial.

Artículo octavo. Sanción. De conformidad a lo dispuesto en el artículo 38° número 2 de la ley N° 21.663, el incumplimiento de esta instrucción general se considerará como una infracción leve.

Tipo Versión	Desde	Hasta	Modificaciones
Única De 04-JUN-2025	04-JUN-2025