Delegado de ciberseguridad: funciones, requisitos y obligaciones según la Ley 21.663
Quién debe designarlo, qué hace, qué perfil necesita y cómo se relaciona con la ANCI. Una guía clara para instituciones que podrían estar obligadas.
El delegado de ciberseguridad es una de las figuras que más dudas genera desde que entró en vigencia la Ley 21.663, Ley Marco de Ciberseguridad. Muchas empresas se preguntan si deben nombrar uno, qué debe hacer y quién puede asumir el cargo. La respuesta corta: no es una obligación para todas las empresas, sino para las instituciones que la ANCI califica como Operadores de Importancia Vital (OIV).
Esta guía explica con calma quién debe designarlo, cuáles son sus funciones, qué perfil necesita, cómo se distingue de otras figuras de la organización y qué evidencia técnica necesita para trabajar. Se basa en la Ley 21.663 y en la Instrucción General N.º 3 de la Agencia Nacional de Ciberseguridad (ANCI), publicada en diciembre de 2025.
¿Quién debe designar un delegado de ciberseguridad?
La Ley Marco de Ciberseguridad ordena a las instituciones en dos grandes grupos. Los prestadores de servicios esenciales son las organizaciones públicas y privadas cuya actividad es necesaria para el funcionamiento del país, como energía, agua, telecomunicaciones, transporte, banca o salud. Dentro de ese universo, la ANCI califica a algunos como Operadores de Importancia Vital, cuando una interrupción de sus servicios tendría un impacto severo. Esa calificación se formaliza mediante resoluciones que se publican en el Diario Oficial.
La obligación de designar un delegado de ciberseguridad recae en los OIV. No se trata de un cargo que la ley imponga a cualquier empresa, aunque designarlo voluntariamente puede ser una decisión inteligente de gobierno corporativo.
Importante: antes de designar a alguien, verifique si su organización figura en la nómina de OIV de la ANCI. Según análisis de especialistas, el plazo para cumplir corre desde la publicación de esa nómina en el Diario Oficial.
| Tipo de organización | ¿Debe designar delegado? | Qué conviene hacer |
|---|---|---|
| Operador de Importancia Vital (OIV) | Sí. Lo exige la Instrucción General N.º 3. | Designarlo dentro del plazo y registrar la designación ante la ANCI. |
| Prestador de servicio esencial (no OIV) | No por esta instrucción, aunque tiene otras obligaciones, como reportar incidentes. | Evaluar un responsable interno y revisar sus obligaciones de reporte. |
| Otras empresas | No es obligatorio. | Considerarlo como buena práctica si manejan información crítica o de terceros. |
Funciones del delegado de ciberseguridad
El delegado cumple dos tipos de funciones: una hacia afuera, ante la ANCI, y otra hacia adentro, ante la dirección de la institución. Ambas se sostienen en una idea simple: alguien debe tener la responsabilidad clara de conversar con la Agencia y de decirle a la dirección la verdad sobre el estado de la seguridad.
El delegado concentra la comunicación con la ANCI y reporta a la dirección sin subordinarse técnicamente a TI.
Contraparte de la ANCI
Recibe notificaciones, requerimientos e instrucciones, y es el punto de contacto formal en materia de ciberseguridad.
Voz técnica ante la dirección
Informa sobre riesgos, amenazas, vulnerabilidades, incidentes y posibles incumplimientos, sin filtros intermedios.
Seguimiento de riesgos
Verifica que los controles técnicos y las políticas respondan a los riesgos reales de la institución y deja evidencia de ello.
Coordinación ante incidentes
Complementa al encargado de reportar incidentes: uno gestiona el reporte operativo y el otro responde por el cumplimiento y la relación con la ANCI.
En la práctica, el trabajo diario del delegado incluye mantener actualizada la información de contacto de la institución, conocer las instrucciones generales vigentes, convocar a las áreas técnicas cuando la ANCI solicita información y preparar reportes periódicos para la dirección. No es un rol decorativo: es quien responde cuando algo falla.
Perfil y requisitos del delegado de ciberseguridad
La Instrucción General N.º 3 fija tres ideas centrales: un perfil mínimo, independencia funcional respecto del área de tecnología y un canal directo hacia la máxima autoridad. No exige una certificación única, pero la experiencia debe poder demostrarse si la ANCI la solicita.
- Formación o experiencia acreditableEn ciberseguridad, gestión de riesgos tecnológicos, continuidad operacional o áreas afines, a nivel técnico o profesional.
- Independencia funcionalNo debe subordinarse técnicamente a las áreas que implementan los controles que él mismo debe evaluar.
- Canal directo a la máxima autoridadLos riesgos y las brechas de cumplimiento deben escalar sin pasar por el área TI.
- Capacidad de representar a la instituciónDebe poder comprometerse y responder en nombre de la organización ante la Agencia.
Delegado, encargado de incidentes y jefe de TI: qué los distingue
La confusión más común es mezclar tres cargos que se parecen pero no son lo mismo. La instrucción los trata como complementarios: ambas designaciones, la del delegado y la del encargado de incidentes, son exigibles y pueden recaer en la misma persona si esta cumple el perfil del delegado.
| Delegado de ciberseguridad | Encargado de incidentes | Jefe de TI | |
|---|---|---|---|
| Rol principal | Contraparte formal ante la ANCI y voz ante la dirección | Reportar incidentes a través de la plataforma de la ANCI | Operar y mantener la infraestructura tecnológica |
| Reporta a | Máxima autoridad de la institución | Según la estructura de la institución | Gerencia o dirección de operaciones |
| Independencia de TI | Requerida | No exigida de la misma forma | No aplica |
| ¿Pueden ser la misma persona? | Con el encargado: sí, si cumple el perfil. Con el jefe de TI: en principio no. | Sí, con el delegado | En principio no con el delegado |
Cómo designar al delegado de ciberseguridad paso a paso
Si su institución fue calificada como OIV, conviene ordenar el proceso. Esta secuencia resume lo que recomiendan las guías de especialistas; verifique el detalle en la instrucción antes de formalizar.
- 1Revisar la resolución de la ANCIConfirme que su institución figura en la nómina de OIV y calcule el plazo que corre desde su publicación.
- 2Definir el perfilEscriba qué formación y experiencia exigirá, y qué independencia tendrá respecto de TI.
- 3Elegir a la personaPuede ser alguien de la organización o un tercero, siempre que cumpla el perfil y la independencia.
- 4Formalizar la designaciónDeje constancia escrita, firmada por la máxima autoridad, con fecha y alcance de las funciones.
- 5Registrarla ante la ANCIInforme la designación por los canales que fije la Agencia y guarde el comprobante.
- 6Mantenerla actualizadaSi cambia la persona, actualice el registro rápidamente para no dejar a la institución sin contraparte.
¿Delegado de ciberseguridad interno o externo?
Una pregunta frecuente es si conviene designar a alguien de la organización o contratar a un tercero. La respuesta depende del tamaño de la institución y de si cuenta con una persona que cumpla el perfil sin conflicto de interés. Algunas guías de especialistas indican que el cargo puede ser externo, siempre que se cumplan los requisitos de la instrucción.
Delegado interno
- Conoce a fondo la organización y su cultura.
- Disponibilidad inmediata ante la dirección.
- Costo fijo y continuidad de conocimiento.
- Riesgo: que dependa de TI y pierda independencia.
Delegado externo
- Independencia natural respecto del área TI.
- Experiencia acumulada en varias organizaciones.
- Útil si no existe un perfil interno disponible.
- Riesgo: menor conocimiento del día a día y de los sistemas.
Errores frecuentes al designar un delegado de ciberseguridad
Nombrar al jefe de TI por comodidad
Es la decisión más tentadora y la más riesgosa. El delegado debe evaluar los controles que implementa TI; si depende de ella, pierde independencia.
Designarlo sin dejar constancia escrita
Sin un documento formal, la institución no puede demostrar quién es su contraparte ante la ANCI ni desde cuándo.
No darle acceso a la dirección
Si el delegado debe pedir permiso para hablar con la máxima autoridad, el canal directo que exige la instrucción no existe en la práctica.
Olvidar actualizar el registro cuando cambia la persona
Un cambio de cargo sin actualización deja a la institución sin contraparte vigente y puede generar comunicaciones perdidas.
Designarlo y no darle información técnica
Un delegado sin acceso a registros, inventarios y reportes solo puede declarar intenciones. Necesita evidencia para cumplir su función.
La evidencia técnica que necesita un delegado de ciberseguridad
Ante la ANCI, el delegado responde por lo que la institución hizo, no por lo que pensaba hacer. Para eso necesita información confiable de la infraestructura: registros del firewall, inventario de accesos remotos, estado de los respaldos y reglas de segmentación de la red. Con esa evidencia puede demostrar control real sobre cómo se accede a los sistemas críticos.
La tecnología de seguridad perimetral cumple aquí un rol decisivo. Un firewall bien configurado separa zonas, registra cada conexión y permite reconstruir qué ocurrió ante un incidente. Puede revisar nuestros firewalls para empresas y los servicios de implementación que respaldan este trabajo. Y si quiere profundizar en una de las medidas técnicas más relevantes, lea nuestra guía sobre segmentación de redes y la Ley 21.663.
¿Su institución es OIV o presta servicios esenciales? Revisamos su infraestructura de seguridad de red y le ayudamos a reunir la evidencia técnica que su delegado necesita.
Solicitar asesoríaPreguntas frecuentes sobre el delegado de ciberseguridad
¿Todas las empresas deben tener un delegado de ciberseguridad?
No. La designación corresponde a las instituciones calificadas como Operadores de Importancia Vital (OIV) por la ANCI. Las demás empresas pueden hacerlo como buena práctica, pero no es una obligación universal.
¿El jefe de TI puede ser delegado de ciberseguridad?
En principio no. La Instrucción General N.º 3 exige independencia funcional respecto del área de tecnología, por lo que el cargo no debería recaer en la jefatura de TI, salvo que existan salvaguardas claras de autonomía y reporte directo a la máxima autoridad.
¿Cuál es la diferencia entre el delegado y el encargado de incidentes?
El delegado es la contraparte formal de la institución ante la ANCI y reporta a la dirección. El encargado se ocupa de reportar los incidentes. Ambas figuras son complementarias y pueden recaer en la misma persona si cumple el perfil exigido.
¿El delegado de ciberseguridad puede ser externo?
Algunas guías de especialistas indican que puede serlo, siempre que cumpla el perfil, tenga independencia y un canal directo con la máxima autoridad. Conviene confirmarlo con el texto de la instrucción y con asesoría legal antes de contratar.
¿Qué pasa si mi institución no designa un delegado?
La Ley 21.663 contempla un régimen de infracciones y sanciones, y las instrucciones de la ANCI son de cumplimiento obligatorio para los OIV. El monto y la gravedad dependen de la infracción, por lo que debe revisarse el texto oficial.
Fuentes y referencias oficiales
Ley 21.663 Marco de Ciberseguridad y normativa de la Agencia Nacional de Ciberseguridad: sitio oficial de la ANCI.
Instrucciones Generales de la ANCI publicadas el 26 de diciembre de 2025: Diario Oficial de la República de Chile.
Texto de la ley vigente: Biblioteca del Congreso Nacional. Este artículo es informativo y no reemplaza asesoría legal.
