Ciberseguridad y datos personales en la cadena minera: leyes 21.663 y 21.719

Última actualización: noviembre de 2026 · Por Marcos Díaz Rojas — Consultor Senior en Sistemas de Gestión ISO, Auditor IRCA/ICQ e Implementador Líder certificado

Respuesta directa: la Ley 21.663 impone obligaciones de ciberseguridad a organismos del Estado y a operadores de servicios esenciales calificados como Operadores de Importancia Vital (OIV), y la Ley 21.719 amplía los deberes de cualquier organización que trate datos personales, con vigencia legal el 1 de diciembre de 2026. Ninguna obliga a certificarse en ISO 27001, pero ambas exigen demostrar controles que funcionan, y los mandantes trasladan esas exigencias a sus proveedores por contrato.

Ley 21.663: a quién obliga y a quién llega por contrato

La Ley Marco de Ciberseguridad establece obligaciones de gobernanza, gestión de riesgos y reporte de incidentes para organismos del Estado y operadores privados de servicios esenciales. Las entidades calificadas como OIV quedan sujetas a obligaciones reforzadas, y la Agencia Nacional de Ciberseguridad (ANCI) ha avanzado la calificación por etapas: la nómina final de la primera etapa (diciembre de 2025) incluyó 915 entidades, y la segunda etapa tuvo una nómina preliminar de 372 instituciones (abril de 2026) y una nómina definitiva publicada en julio de 2026. Además, los incidentes con efectos significativos deben notificarse con una alerta temprana en plazos muy cortos (hasta tres horas).

Si tu empresa no es OIV, la ley no te obliga directamente, pero si tu cliente lo es, es probable que te pida controles por contrato y cuestionarios de seguridad. Revisa la nómina de la ANCI para saber si tu mandante o tú aparecen, y qué sectores abarca cada etapa.

Ley 21.719: datos de trabajadores, visitas y conductores

La nueva ley de protección de datos personales reforma íntegramente la Ley 19.628, crea la Agencia de Protección de Datos Personales y entra en vigencia el 1 de diciembre de 2026. Para una empresa de la cadena minera, los datos personales no son un tema marginal: nóminas, exámenes ocupacionales, control de acceso a faena, datos de conductores y visitas. La ley contempla sanciones de hasta 20.000 UTM para infracciones gravísimas. Hay un proyecto en el Senado que propone aplazar la vigencia hasta diciembre de 2027; mientras no se publique, la fecha legal es la original.

Qué tiene que ver ISO 27001

ISO 27001 es el estándar internacional para un sistema de gestión de seguridad de la información (SGSI). Ninguna de las dos leyes lo exige por nombre —la Ley 21.663 apunta a medidas alineadas con marcos reconocidos y a poder demostrar que los controles operan—, pero ordena exactamente lo que se pide: contexto, riesgos, controles, incidentes, continuidad, auditoría y mejora. ISO 27701 extiende ese sistema a la privacidad. Para el detalle técnico, ver Ley 21.663 e ISO 27001 y cómo certificar ISO 27001.

Por dónde empezar si eres proveedor mediano

  1. Inventario de activos de información y sistemas críticos (incluye los de operación si los hay).
  2. Evaluación de riesgos y definición de controles prioritarios.
  3. Procedimiento de gestión de incidentes con responsables, registro y plazos.
  4. Mapa de datos personales: qué datos tratas, para qué, quién accede y por cuánto tiempo.
  5. Control de proveedores y terceros que acceden a tus sistemas o datos.
  6. Evidencia de que todo lo anterior opera, para responder cuestionarios del mandante.

Normexus gestiona estos elementos en una sola plataforma, con un registro universal de activos con núcleo común y facetas por norma, evaluación de riesgos, incidentes, proveedores críticos y auditorías, de modo que la evidencia de ISO 27001 se comparte con ISO 45001, 14001 o 9001 cuando corresponde.

Información de referencia; no constituye asesoría legal. Confirma la situación de tu empresa en la nómina de la ANCI y con un especialista en protección de datos.
Pre-Evaluación gratuita para tu empresa minera

Fuentes

Preguntas frecuentes

¿La Ley 21.663 obliga a mi proveedor minero a certificar ISO 27001?
No por nombre. La ley obliga a ciertas entidades (como los OIV) a implementar medidas de ciberseguridad, y ISO 27001 es un marco reconocido para hacerlo y demostrarlo. Los mandantes suelen trasladar exigencias a su cadena vía contrato.
¿Cuándo entra en vigencia la Ley 21.719?
El 1 de diciembre de 2026, según su texto. Existe un proyecto en el Senado que propone aplazarla hasta diciembre de 2027; mientras no se publique, rige la fecha original.
¿Qué datos personales trata una empresa de la cadena minera?
Nóminas, exámenes ocupacionales, credenciales y control de acceso a faena, datos de conductores y de visitas, entre otros.
¿Para qué sirve ISO 27701?
Es la extensión de ISO 27001 para la gestión de la privacidad de la información, útil para ordenar el tratamiento de datos personales.

Lecturas relacionadas

Sobre el autor

Marcos Díaz Rojas es Consultor Senior en Sistemas de Gestión ISO, Auditor IRCA/ICQ e Implementador Líder certificado. Ha implementado sistemas de gestión ISO 9001, 14001, 45001, 22301, 27001, 37001, 37301, 41001, 42001, 50001 y 56001. Es Ingeniero Civil Industrial (Universidad del Bío-Bío) y Magíster en Gestión de Activos (Pontificia Universidad Católica del Perú), con base en Santiago, Chile. Perfil en LinkedIn.

Contenido elaborado por Normexus. Información de referencia; los requisitos formales se rigen por las normas ISO vigentes, la legislación aplicable y las bases de cada mandante. No constituye asesoría legal.