Chile define prazos em horas e multas de até 10.000 UTM

Notificação em horas, não em dias

A ANCI já estabeleceu um esquema escalonado para reportar incidentes que obriga as organizações a agir em prazos muito curtos, com um alerta inicial em 3 horas, seguido por marcos posteriores, como 24 horas e 15 dias, para ampliar e encerrar o reporte. Na prática de consultoria local, esse ciclo virou uma referência operacional de 3h, 24h e 15 dias para desenhar simulações, fluxos internos de reporte e coleta de evidências.

A Resolução Exenta ANCI N° 152, de janeiro de 2026, ajustou esse padrão ao fixar em 6 horas o prazo para a notificação inicial de incidentes críticos sob a Lei 21.663. A coexistência desses dois prazos reforça uma exigência concreta para as empresas sujeitas ao regime, que precisam detectar, classificar e escalar eventos quase em tempo real para não perder o prazo.

O que estão fazendo os operadores de importância vital

A Netprovider afirma que os Operadores de Importância Vital precisam de monitoramento de segurança 24/7, com CyberSOC interno ou terceirizado, porque sem detecção contínua a janela legal de reporte se torna praticamente inviável na prática. A mesma consultoria descreve cronogramas mensais para serviços essenciais e OIV, com etapas que incluem designar e registrar o delegado de cibersegurança junto à ANCI, fazer análise de lacunas em relação à ISO 27001, ativar CyberSOC 24/7, testar planos de continuidade, iniciar capacitação e concluir a certificação do SGSI até meados de 2026.

No setor elétrico, a ANCI já publicou uma lista preliminar de OIV que inclui empresas de geração, transmissão e distribuição. A publicação confirma que uma parte relevante da infraestrutura energética ficou formalmente sujeita ao regime de reporte em 3 horas, além das obrigações de SGSI e monitoramento.

Multas altas e dever de informação

O risco regulatório não se limita à velocidade do aviso. Segundo a Aguila & Cía., a omissão ou o atraso na notificação pode ser tratado como infração grave e resultar em multas de até 10.000 UTM, dobráveis em caso de reincidência ou dano significativo à infraestrutura crítica. Esse desenho aumenta de forma expressiva o custo do não cumprimento dos prazos.

A mesma firma diz que a responsabilidade pelo cumprimento da Lei 21.663 vem sendo interpretada sob um padrão semelhante ao Caremark, o que obriga os conselhos de administração a demonstrar que implementam e supervisionam ativamente sistemas de informação e reporte em cibersegurança. Isso inclui SGSI certificável, documentação detalhada das decisões e protocolos de notificação dupla à ANCI e à autoridade de proteção de dados.

A Aguila & Cía. e outros fornecedores também afirmam que a lei exige integrar os protocolos de notificação à ANCI com as obrigações de aviso de vazamentos de dados pessoais, para evitar sanções paralelas e reduzir o risco de disputas civis decorrentes de incidentes de segurança.