Delegado de ciberseguridad: El cargo que 1.154 empresas deben tener nombrado y acreditado antes del 22 de septiembre

Retrato de Alberto Castañeda con fondo de ciudad y montañas
⁠⁠Alberto Castañeda R.
September 11, 2026
Sala de directorio corporativa en Santiago con la silla de la cabecera vacía, delegado de ciberseguridad obligatorio para los OIV

Quedan 8 días. El 22 de septiembre de 2026 vence el plazo de 60 días corridos que la Resolución Exenta N°187 abrió para los nuevos Operadores de Importancia Vital (OIV), y una de las tres obligaciones que se hacen exigibles ese día tiene nombre y apellido: el delegado de ciberseguridad. Se trata de una persona designada por escrito, con un perfil mínimo, un canal directo al directorio y un documento acreditado en el portal de la Agencia Nacional de Ciberseguridad (ANCI).

En las últimas semanas hemos conversado con gerencias de transporte, laboratorios, sanitarias y cajas de compensación que están revisando su nómina. La pregunta se repite en todas: "¿A quién nombro?". Detrás de esa pregunta hay otras cinco que conviene responder con la norma en la mano: si puede ser el gerente de TI, si puede ser alguien externo, qué tiene que decir el documento, qué pasa si el nombrado renuncia y en qué se diferencia del delegado de protección de datos que pide la Ley 21.719.

Mi lectura de la situación es directa: La ANCI escribió la Instrucción General N°3 pensando en que la fiscalización parta por aquí. Es la obligación más fácil de verificar de toda la Ley 21.663: o existe un documento con los datos correctos en el portal, o no existe. Este artículo va artículo por artículo de la instrucción y termina en una decisión práctica: delegado interno, externo o híbrido, con costos de referencia.

¿Qué es el delegado de ciberseguridad y quién está obligado a tenerlo?

El literal i) del artículo 8 de la Ley 21.663 obliga a los Operadores de Importancia Vital a "designar un delegado de ciberseguridad, quien actuará como contraparte de la Agencia Nacional de Ciberseguridad e informará a la autoridad o jefatura superior". Dos funciones en una frase: representar a la empresa ante el regulador y mantener informada a la máxima autoridad interna.

La Instrucción General N°3, publicada en el Diario Oficial el 26 de diciembre de 2025, aterriza esa frase en nueve artículos. Su artículo primero cierra cualquier discusión sobre el alcance: deben designar delegado "todas las instituciones que sean calificadas como Operadores de Importancia Vital mediante resolución de la Agencia, con independencia de su naturaleza jurídica". Empresas privadas, empresas del Estado, organismos públicos, cooperativas. Si estás en la nómina, aplica.

Los prestadores de servicios esenciales que no fueron calificados OIV no tienen esta obligación. Sí tienen la de designar un encargado de reportar incidentes bajo la Instrucción General N°1, que es otra cosa, y sobre esa diferencia volvemos más abajo.

Los números del plazo. La ANCI cerró el primer proceso de calificación el 24 de julio con 239 nuevos OIV: 40 empresas de transporte, 25 de combustibles, 32 concesionarias de servicios públicos, 25 entidades de seguridad social, 18 sanitarias, 15 laboratorios farmacéuticos y 84 rezagadas de sectores de la primera etapa. Sumadas a los 915 de diciembre, son 1.154 instituciones con delegado obligatorio. Los 915 de la primera nómina debieron acreditarlo el 15 de febrero; los 239 nuevos, el 22 de septiembre.

¿Quién puede ser delegado de ciberseguridad? El perfil que exige la IG N°3

El artículo segundo de la instrucción fija cuatro requisitos, y conviene leerlos con calma porque cada uno descarta a alguien.

  • Formación, certificación o experiencia especializada "en el nivel técnico o profesional, en materia de ciberseguridad, gestión de riesgos tecnológicos, continuidad operacional o disciplinas afines". La norma no exige una certificación específica ni un título determinado. Un ingeniero con diez años gestionando riesgo tecnológico califica; un abogado de compliance sin experiencia técnica queda fuera del perfil. Las certificaciones que el mercado reconoce como respaldo (CISM, CISSP, ISO 27001 Lead Implementer o Lead Auditor) no son obligatorias, pero simplifican la acreditación y pesan en una fiscalización.
  • Canal de comunicación y reporte directo a la máxima autoridad institucional. En una empresa privada, el directorio, el gerente general o quien los estatutos definan como ejecutivo principal. No una gerencia intermedia.
  • Independencia funcional suficiente "para comunicar riesgos, incidentes y brechas de cumplimiento a la autoridad interna, sin interferencias de áreas operativas". El delegado tiene que poder decir que algo está mal sin pedirle permiso a quien lo hizo mal.
  • Habilitación para representar a la institución ante la Agencia. El delegado habla por la empresa frente a la ANCI. Eso tiene que constar en el documento de designación, no basta con un correo interno.

La instrucción agrega que la institución "podrá designar delegados subrogantes, los que deberán cumplir los mismos requisitos". El verbo es "podrá", pero el artículo quinto exige que el documento de designación identifique "al delegado y al delegado subrogante", y el artículo séptimo obliga a reemplazar en cinco días hábiles a un delegado que cesa. En la práctica, una empresa que nombra solo titular queda a una renuncia de distancia del incumplimiento. Conviene nombrar a los dos en el mismo documento.

La regla que más empresas están a punto de incumplir: TI no puede ser el delegado

El artículo tercero es el que va a generar más observaciones en fiscalización, porque muchas empresas lo resuelven de forma provisoria con el nombre que tienen más a mano. La instrucción lo formula como prohibición: el cargo "no podrá ser desempeñado por la misma persona que ejerza funciones de encargado, jefe, director o responsable del área de tecnologías de la información". El gerente o jefe de TI no puede ser el delegado.

La instrucción admite que el delegado dependa jerárquicamente de TI, pero solo "cuando existan mecanismos que aseguren la independencia en el ejercicio de sus funciones" y con canal directo a la máxima autoridad. Y obliga al OIV a garantizar tres cosas: que el delegado pueda informar directamente a la autoridad superior "cuando lo estime necesario", que ejerza sus funciones "sin subordinación técnica a las áreas operativas que implementan las medidas de ciberseguridad", y que cuente con "las facultades, recursos y condiciones" para cumplir.

La lógica es la misma que separa a un auditor de un contador: quien administra la infraestructura no puede ser el mismo que certifica ante el regulador que la infraestructura está segura. Para una empresa de transporte o un laboratorio con un área de TI de cinco personas, esto significa que el candidato natural queda descartado por norma, y hay que buscar en otra parte.

Cómo se designa: El documento que la ANCI va a revisar

El artículo cuarto distingue quién firma según el tipo de institución. En organismos del Estado, la jefatura superior del servicio. En empresas públicas o con participación estatal mayoritaria, el directorio o el gerente general según los estatutos. En el resto de las instituciones privadas, "el representante legal, directorio, junta de accionistas o gerente general, conforme a las disposiciones sobre administración previstas en sus estatutos".

Dos reglas de ese artículo abren opciones que pocas empresas conocen:

  • Grupos empresariales: "podrán designar una o más personas como delegados para una o más de las entidades del grupo empresarial", con la definición de grupo y persona relacionada de la Ley 18.045 de Mercado de Valores. Un holding con tres filiales OIV puede tener un solo delegado para las tres, siempre que cada filial lo designe formalmente.
  • Cooperativas y asociaciones gremiales: pueden designar un delegado común para sus entidades, con designación individual fehaciente de cada una.

El artículo quinto es la lista de verificación del documento, y conviene copiarla tal cual a la minuta de directorio. El documento debe contener, como mínimo:

  1. Identificación completa del delegado y del subrogante: nombre, cédula o RUT, domicilio, correo electrónico institucional y teléfono.
  2. El vínculo jurídico que habilita a cada uno, "indicando expresamente su designación como delegado de ciberseguridad". La norma enumera los vínculos válidos: "contrato de trabajo, contrato de prestación de servicios, acto administrativo, acuerdo de directorio u otro documento equivalente".
  3. En instituciones privadas, la posición o función que el delegado y el subrogante desempeñan en la estructura organizacional.
  4. Constancia expresa de que el delegado "cuenta con la habilitación para representar a la institución ante la Agencia Nacional de Ciberseguridad".

La acreditación (artículo sexto) se hace subiendo ese documento al portal portal.anci.gob.cl dentro del plazo. El correo institucional del delegado y del subrogante pasa a ser "el medio oficial de comunicación con la Agencia". Si la ANCI considera que la información es insuficiente, notifica y da cinco días hábiles para subsanar, "bajo apercibimiento de tener por no cumplida la obligación". Un documento incompleto subido el 22 de septiembre abre cinco días para corregirlo; si la empresa no lo corrige, la ANCI lo tiene por no cumplido.

Las dos trampas del artículo séptimo

El artículo séptimo regula qué pasa cuando el delegado cambia, y tiene dos consecuencias que conviene tener claras antes de nombrar a alguien.

La primera es el plazo: ante "cese de funciones, renuncia, cambio de dependencia o cualquier circunstancia que afecte las atribuciones del delegado designado o su subrogante", el OIV debe informar a la ANCI "dentro de un plazo máximo de cinco días hábiles acerca de la designación y acreditación de un nuevo delegado". Cinco días hábiles para tener otro delegado que cumpla el perfil, con documento firmado por el directorio y subido al portal. Sin subrogante nombrado, ese plazo es casi imposible.

La segunda es más silenciosa. Mientras la empresa no actualice el registro, "se tendrán por plenamente válidas todas las notificaciones, comunicaciones, requerimientos o instrucciones efectuadas por la Agencia a los datos de contacto del delegado previamente registrado". Si tu delegado renunció, TI dio de baja su correo institucional y la ANCI te notifica un requerimiento a ese correo, la notificación es válida y el plazo corre. Registra un correo institucional que sobreviva a la persona y trata la rotación del cargo como un riesgo regulatorio.

Delegado de ciberseguridad, encargado de reportar incidentes y DPO: Tres cargos que se confunden

Aquí se concentra la mayor confusión que vemos en las empresas recién calificadas. Hay tres figuras distintas, en dos leyes, y muchas organizaciones van a necesitar las tres.

Tres cargos, dos leyes, dos fiscalizadores

Un OIV que trata datos personales a escala puede necesitar los tres.

CargoNormaObligadosFunción central¿Misma persona?
Encargado de reportar incidentesIG N°1 (Ley 21.663)Todos los prestadores de servicios esenciales y OIVRegistro en la plataforma de reporte y notificación de incidentes (3 h alerta temprana, 72 h informe preliminar)Sí, con el delegado, si cumple su perfil (IG N°3, art. octavo)
Delegado de ciberseguridadArt. 8 i) Ley 21.663 + IG N°3Solo OIVContraparte de la ANCI, reporte a la máxima autoridad, independencia de TI, representación formalSí, con el encargado de reporte; con el DPO solo si cumple ambos perfiles y mantiene independencia en cada rol
Delegado de protección de datos (DPO)Arts. 49 y 50 Ley 21.719 + Decreto 662Quien adopte y certifique un Modelo de Prevención de Infracciones (voluntario, pero sin DPO no se certifica)Supervisar el cumplimiento en datos personales, cooperar con la Agencia de Protección de Datos, atender a los titularesEn teoría sí; en la práctica exige perfil técnico y jurídico a la vez

Fuentes: Instrucciones Generales N°1 y N°3 de la ANCI; Ley 21.719 y Decreto 662.

Sobre las dos primeras figuras, el artículo octavo de la IG N°3 es explícito: la obligación de designar delegado "es complementaria y no sustitutiva de la obligación de designar un encargado/a de reportar incidentes", los OIV "deberán contar con ambas designaciones, las cuales podrán recaer en una misma persona, siempre que cumpla con el perfil requerido para el delegado de ciberseguridad". Un OIV que registró a su encargado de reporte en la plataforma en 2025 no cumplió con el delegado: son designaciones distintas, aunque el nombre pueda repetirse.

La tercera figura llegó esta semana con más fuerza. El Decreto 662, que reglamenta el Modelo de Prevención de Infracciones de la Ley 21.719, fue tomado de razón por Contraloría el 28 de agosto y publicado en el Diario Oficial esta semana. Entre los elementos que exige al modelo está la designación de un delegado de protección de datos, y el modelo certificado opera como atenuante ante la Agencia de Protección de Datos Personales. Las empresas OIV que además tratan datos personales a escala (una AFP, una isapre, un laboratorio, una sanitaria con cientos de miles de clientes) van a terminar con dos delegados regulados por dos agencias distintas. Conviene diseñar la estructura de gobierno pensando en los dos desde ahora, y no descubrir en 2027 que el DPO reporta al mismo gerente que el delegado debía fiscalizar. El artículo del plan de 90 días de la Ley 21.719 ordena esa segunda pista.

¿Puede ser externo el delegado de ciberseguridad?

Sí, y la respuesta está en la propia instrucción. El artículo quinto, al enumerar los vínculos jurídicos que habilitan al delegado, incluye el "contrato de prestación de servicios" junto al contrato de trabajo. La ANCI contempló expresamente que el delegado no sea empleado de la empresa. Lo que exige es que el vínculo conste por escrito, que el documento de designación indique la posición o función que el delegado desempeña en la estructura organizacional, y que el delegado tenga los cuatro atributos del artículo segundo: perfil, canal directo, independencia y habilitación para representar a la empresa ante la Agencia.

Ese último punto merece atención en el contrato. Un delegado externo que solo asesora no cumple; tiene que estar habilitado para representar a la institución ante la ANCI, y esa habilitación la otorga el directorio o el gerente general en el documento de designación. En un modelo externalizado bien armado, el contrato de servicios define alcance, dedicación, canal de reporte y responsabilidades, y el acuerdo de directorio designa a la persona, no a la empresa proveedora, con nombre, RUT y correo institucional de la organización que representa.

Lo que la norma no permite, ni interno ni externo, es un delegado sin acceso real a la operación. Un externo que recibe un informe mensual y no tiene visibilidad de los incidentes no puede "comunicar riesgos, incidentes y brechas de cumplimiento" ni reportar en los plazos de la Ley 21.663. El delegado externo necesita la misma visibilidad sobre la operación que tendría uno interno.

Delegado interno, externo o híbrido: Costos de referencia y cuándo conviene cada uno

La decisión práctica se reduce a tres modelos, y el mercado chileno de talento los condiciona más que la norma. El déficit de profesionales de ciberseguridad en Chile se estima en torno a 6.000 al año, y los perfiles que cumplen el artículo segundo son los más escasos: gente con experiencia en gestión de riesgo tecnológico y continuidad, capaz de sentarse frente a un directorio y frente a un fiscalizador.

Delegado interno, externo o híbrido

Los tres modelos cumplen la IG N°3. La diferencia está en el costo, el plazo y quién responde cuando hay un incidente.

ModeloCómo funcionaCosto mensual de referenciaConviene cuando
Interno dedicadoUn ejecutivo con el perfil, fuera de la línea de TI, con reporte al directorio$7 a $14 millones brutos para un perfil CISO en 2026; infraestructura crítica y banca grande pagan el tramo alto. Más subrogante y cargasYa tienes un CISO o gerente de riesgo tecnológico independiente de TI, o la escala justifica el cargo completo
Externo (delegado como servicio)Un proveedor pone a la persona con el perfil; el vínculo es un contrato de prestación de servicios y el directorio la designa formalmenteUna fracción del costo interno, por dedicación parcial con equipo de respaldo detrásNo existe el perfil dentro, el plazo no permite reclutar, o el área de seguridad es pequeña y necesita un equipo detrás del delegado
HíbridoDelegado interno con el perfil mínimo, respaldado por un CISO as a Service que aporta método, evidencia y capacidad técnica, y puede asumir la subroganciaSueldo del interno más un servicio acotadoTienes a alguien con independencia y criterio, pero sin el tiempo, el equipo o la experiencia regulatoria para responder solo ante la ANCI

Rangos de sueldo: IT Workers, Sueldo CISO y ciberseguridad Chile 2026. El vínculo por contrato de prestación de servicios está contemplado en el artículo quinto de la IG N°3.

Tres criterios para elegir, en orden:

  1. Independencia primero. Si el único candidato interno con conocimientos es el jefe de TI, la decisión ya está tomada por el artículo tercero: no puede ser. Un externo o un híbrido resuelven eso sin reestructurar la empresa.
  2. Continuidad del cargo. El artículo séptimo castiga la rotación con un plazo de cinco días hábiles. Un servicio externo con titular y subrogante contractualmente garantizados elimina ese riesgo; un interno único lo concentra.
  3. Capacidad de respuesta. El delegado es la cara ante la ANCI cuando hay un incidente, y ahí la Instrucción General N°4 exige contención dentro de las primeras tres horas. Un delegado sin SOC ni equipo detrás firma compromisos que no puede cumplir. Antes de nombrar, define quién opera cuando el delegado tenga que reportar.

¿Qué pasa si no designas delegado antes del 22 de septiembre?

La Ley 21.663 tipifica el incumplimiento de las obligaciones de los OIV en su artículo 39. No contar con delegado de ciberseguridad está entre las infracciones leves, junto con no llevar registro de las acciones del SGSI o no tener programas de capacitación. No desarrollar o implementar el SGSI, o no tener planes de continuidad, son infracciones graves.

La palabra leve esconde el monto. Para un Operador de Importancia Vital, los topes de multa se duplican: hasta 10.000 UTM una infracción leve, 20.000 UTM una grave y 40.000 UTM una gravísima. Con la UTM en torno a $69.000, no tener delegado puede costar hasta $690 millones. Y hay un agravante práctico: es la infracción más fácil de detectar. La ANCI no necesita auditar tu red para saber si el documento está en el portal, y para fiscalizar el resto de la ley va a empezar por escribirle a tu delegado. Si el delegado no existe, la fiscalización parte con una infracción ya constatada.

Un segundo efecto es corporativo. El delegado reporta a la máxima autoridad; ese es el mecanismo con que la ley deja al directorio formalmente informado del estado de ciberseguridad de la empresa. Un directorio sin delegado no tiene ese flujo de información, y frente a un incidente grave tendrá que explicar por qué no lo tenía. Para un director, el problema de fondo es el deber de vigilancia que los estudios de abogados ya advierten, más que la multa a la empresa.

¿Cómo lo resuelven Perú y Colombia?

Chile es el único de los tres mercados con un cargo obligatorio para el sector privado creado por ley, con perfil regulado y acreditación ante una agencia. Perú tiene desde 2021 la figura del Oficial de Seguridad y Confianza Digital, obligatoria para las entidades públicas bajo el Marco de Confianza Digital y con perfil definido en la Directiva 001-2023-PCM/SGTD; el reglamento aprobado en noviembre de 2025 (Decreto Supremo 126-2025-PCM) extiende obligaciones al sector privado, pero el oficial sigue siendo un cargo del Estado. Colombia no tiene ley integral de ciberseguridad: la Circular 007 de 2018 de la Superintendencia Financiera exige gobierno de ciberseguridad y unidades responsables en bancos y aseguradoras, y el Decreto 338 de 2022 obliga a identificar infraestructura crítica cibernética en el sector público, sin un delegado regulado transversal.

Para un grupo con operaciones en los tres países, el delegado chileno es el estándar más exigente y el que conviene usar como modelo: un diseño de gobierno que cumpla la IG N°3 cubre con holgura lo que piden Lima y Bogotá.

Checklist: ¿Qué tan lista está tu designación de delegado?

¿Qué tan lista está tu designación de delegado?

Diez afirmaciones, una por cada punto que la ANCI puede verificar. Cada sí vale un punto.

  • La empresa designó delegado titular y subrogante, ambos con nombre, RUT, domicilio, correo institucional y teléfono en el documento.

  • Ninguno de los dos es el encargado, jefe, director o responsable del área de TI.

  • Ambos acreditan formación, certificación o experiencia en ciberseguridad, riesgo tecnológico o continuidad operacional, y esa acreditación está en la carpeta.

  • El documento fue firmado por la autoridad que corresponde según los estatutos e indica expresamente el cargo de “delegado de ciberseguridad”.

  • El documento deja constancia de la habilitación para representar a la institución ante la ANCI y del vínculo jurídico de cada delegado.

  • El delegado tiene un canal formal y directo a la máxima autoridad, definido por escrito, y lo ha usado al menos una vez.

  • El documento fue subido a portal.anci.gob.cl y hay comprobante de recepción sin observaciones pendientes.

  • La empresa también tiene registrado al encargado de reportar incidentes de la IG N°1, y sabe si es o no la misma persona.

  • Existe un procedimiento escrito para reemplazar al delegado en menos de cinco días hábiles, incluida la actualización del portal.

  • El delegado tiene acceso real a la operación de seguridad (alertas, incidentes, evidencia) para reportar en 3 y 72 horas cuando ocurra un incidente.

Resultados

8-10 puntos

En forma: Tu designación está lista para una revisión documental. Dedica lo que queda de plazo a la IG N°4: contención en tres horas y evidencia de cada decisión.

4-7 puntos

En deuda: Tienes a la persona y te falta el expediente, o al revés. Cierra el documento con la lista del artículo quinto a la vista y nombra subrogante antes de subirlo.

0-3 puntos

En riesgo: Con 8 días, la vía interna no alcanza a reclutar y acreditar. Un delegado externo o híbrido, con contrato y designación de directorio, se acredita en menos de una semana si el proveedor ya tiene el perfil y la documentación.

Cómo puede ayudarte Netprovider

Netprovider fue reconocido como líder en servicios de ciberseguridad en el estudio CETIUC 2026 por segundo año consecutivo, y opera hoy el gobierno de seguridad de organizaciones que ya pasaron por la primera nómina OIV. Para la obligación del delegado:

  • CISO as a Service: asumimos el rol de delegado de ciberseguridad titular o subrogante con un profesional que cumple el perfil del artículo segundo, contrato de prestación de servicios listo para acreditar y un equipo detrás. O respaldamos a tu delegado interno con el método, la evidencia y el canal de reporte al directorio que la IG N°3 exige.
  • Cumplimiento Ley 21.663: diagnóstico de brechas contra las Instrucciones Generales N°1, 3 y 4, expediente de designación revisado contra el artículo quinto y acreditación en el portal, con plan de adecuación hacia el 22 de septiembre y hacia la fiscalización que viene después.
  • CyberSOC 24x7: la capacidad operativa que el delegado necesita para cumplir las tres horas de contención de la IG N°4 y los plazos de reporte de la ley.

¿Tu empresa quedó en la nómina de la Resolución 187 y todavía no tiene delegado acreditado? Conversemos: en una sesión de trabajo revisamos tu estructura contra la IG N°3 y te decimos qué modelo cierra antes del plazo.

Preguntas frecuentes

¿El gerente de TI puede ser delegado de ciberseguridad?

No. El artículo tercero de la IG N°3 prohíbe que el cargo lo ejerza "la misma persona que ejerza funciones de encargado, jefe, director o responsable del área de tecnologías de la información". El delegado sí puede depender jerárquicamente de TI si existen mecanismos que aseguren su independencia y un canal directo a la máxima autoridad.

¿Es obligatorio nombrar un delegado subrogante?

La instrucción dice que la institución "podrá" designarlo, pero el documento de designación debe identificar al titular y al subrogante, y cualquier cese obliga a acreditar un reemplazo en cinco días hábiles. En la práctica, sin subrogante el cumplimiento depende de que nadie renuncie.

¿Un grupo empresarial puede tener un solo delegado para varias filiales?

Sí. El artículo cuarto permite que los grupos empresariales y personas relacionadas, según la Ley 18.045, designen "una o más personas como delegados para una o más de las entidades del grupo". Cada entidad OIV debe formalizar su propia designación y acreditarla.

¿El delegado de ciberseguridad es lo mismo que el DPO de la Ley 21.719?

No. El delegado de ciberseguridad lo exige la Ley 21.663 a los OIV y reporta ante la ANCI. El delegado de protección de datos lo regulan la Ley 21.719 y el Decreto 662 como pieza del Modelo de Prevención de Infracciones, y responde ante la Agencia de Protección de Datos Personales. Una misma persona podría cumplir ambos roles si tiene perfil técnico y jurídico e independencia en cada uno, pero son dos designaciones y dos fiscalizadores.

¿Qué pasa si subo el documento incompleto el último día?

La ANCI notifica para subsanar en cinco días hábiles "bajo apercibimiento de tener por no cumplida la obligación". El plazo original no se extiende por subir un documento defectuoso.

Fuentes

Retrato de Alberto Castañeda con fondo de ciudad y montañas
⁠⁠Alberto Castañeda R.
Gerente General

Contáctanos para asegurar tu continuidad operacional

No esperes más, protege tu negocio y asegura su continuidad operativa con nuestros servicios especializados.

Animación de ondas azulesAnimación de ondas azules