Llega un correo de un cliente grande, una empresa de servicios básicos, un banco o un organismo público, con una planilla adjunta: “Cuestionario de seguridad para proveedores”. Tiene cincuenta, cien o doscientas preguntas sobre contraseñas, respaldos, cifrado, incidentes y políticas. Y un plazo.
Si eres una pyme o una empresa de tecnología que presta servicios a otra organización, es cada vez más probable que te pase. Esta guía explica de dónde vienen estos cuestionarios, qué dice la Ley 21.663 y cómo responderlos sin inventar nada y sin perder el contrato.
Aviso: esta guía es información técnica general, no asesoría legal. Para saber si la ley te aplica directamente y qué obligaciones tienes, consulta a un abogado.
Qué es la Ley 21.663
La Ley 21.663, Ley Marco de Ciberseguridad, se publicó en el Diario Oficial el 8 de abril de 2024. Crea la Agencia Nacional de Ciberseguridad (ANCI), el CSIRT Nacional y un conjunto de deberes para las instituciones que presten servicios esenciales y para las que la Agencia califique como operadores de importancia vital.
Su entrada en vigencia se fijó por el DFL 1-21.663: la ley rige desde el 1 de enero de 2025, fecha en que la ANCI inició sus actividades, y los artículos 5, 8 y 9 y el Título VII (infracciones y sanciones) rigen desde el 1 de marzo de 2025.
A quiénes aplica directamente
La ley distingue dos grupos:
- Prestadores de servicios esenciales. El artículo 4 enumera sectores como generación y transmisión eléctrica, combustibles, agua potable, telecomunicaciones, infraestructura digital, transporte, banca y servicios financieros, seguridad social, servicios postales, y salud. La Agencia puede calificar otros servicios mediante resolución fundada.
- Operadores de importancia vital (OIV). Son los prestadores de servicios esenciales (y algunas otras instituciones) que la ANCI califica como tales según el artículo 5, considerando cuánto dependen de sus redes y sistemas y el impacto que tendría una interrupción. La ANCI publicó en 2025 y 2026 la nómina del primer proceso de calificación; al cerrar la segunda etapa, el 24 de julio de 2026, informó 1.154 instituciones calificadas en total.
Si tu empresa no está en esos sectores ni en la nómina, lo más probable es que la ley no te obligue directamente. Pero eso no significa que no te afecte.
Por qué te llega el cuestionario a ti
Las instituciones obligadas deben gestionar el riesgo de sus redes y sistemas, y buena parte de ese riesgo está en sus proveedores: quien les desarrolla la app, les administra un servidor, les procesa datos o se conecta a sus sistemas. La forma más común de medir ese riesgo es preguntarle al proveedor, por escrito, qué controles tiene.
Por eso el cuestionario no llega “por la ley” en el sentido de que la ley te obligue a ti, sino porque tu cliente necesita demostrar que gestiona sus riesgos, y tú eres uno de ellos. En la práctica, responder bien puede ser condición para mantener o ganar el contrato.
Qué exige la ley a las instituciones obligadas
Conocer lo que la ley le pide a tu cliente ayuda a entender por qué pregunta lo que pregunta.
Deberes generales (artículo 7)
Todas las instituciones obligadas deben “aplicar de manera permanente las medidas para prevenir, reportar y resolver incidentes de ciberseguridad”. Esas medidas pueden ser tecnológicas, organizacionales, físicas o informativas, y deben seguir los protocolos y estándares que fije la Agencia.
Reporte de incidentes (artículo 9)
La ley exige reportar al CSIRT Nacional los ciberataques e incidentes que puedan tener efectos significativos, con plazos cortos:
- Alerta temprana: dentro de 3 horas desde que se toma conocimiento.
- Segundo reporte: dentro de 72 horas, con una evaluación inicial de gravedad e impacto. Para un OIV cuyo servicio esencial se vea afectado, el plazo es de 24 horas.
- Informe final: dentro de 15 días corridos desde la alerta temprana.
Si tu sistema es parte del servicio de tu cliente, sus 3 horas dependen de que tú le avises a tiempo. Por eso los cuestionarios preguntan tanto por la detección y el aviso de incidentes.
Deberes específicos de los OIV (artículo 8)
Los operadores de importancia vital tienen además deberes como implementar un sistema de gestión de seguridad de la información continuo, mantener un registro de sus acciones, elaborar planes de continuidad operacional, realizar revisiones, ejercicios y simulacros de forma continua, adoptar medidas para reducir el impacto de un incidente, informar a los potenciales afectados cuando corresponda y designar un delegado de ciberseguridad.
Qué preguntan los cuestionarios
Cada empresa arma su propio formulario, muchas veces a partir de marcos conocidos como ISO/IEC 27001 o el NIST Cybersecurity Framework. Los temas se repiten:
Gobierno y políticas
- ¿Tienes una política de seguridad de la información aprobada y vigente?
- ¿Hay una persona responsable de la seguridad?
- ¿Tu personal recibe capacitación?
Accesos e identidad
- ¿Usas autenticación de dos factores (MFA) en correo, nube y sistemas críticos?
- ¿Cómo das de alta y de baja a los usuarios? ¿Revisas los permisos periódicamente?
- ¿Las cuentas son personales o hay cuentas compartidas?
Protección de datos
- ¿Cifras los datos en tránsito y en reposo?
- ¿Dónde se alojan los datos del cliente? ¿Quién tiene acceso?
- ¿Cuánto tiempo los guardas y cómo los eliminas?
Desarrollo y cambios
- ¿Revisas la seguridad del código y de las dependencias?
- ¿Separas los ambientes de desarrollo, pruebas y producción?
- ¿Se han hecho pruebas de seguridad (auditoría o pentest) a la aplicación?
Continuidad e incidentes
- ¿Tienes respaldos? ¿Has probado restaurarlos?
- ¿Tienes un procedimiento de respuesta a incidentes? ¿En cuánto tiempo avisarías al cliente?
- ¿Tus proveedores (nube, hosting, software) cumplen requisitos similares?
Cómo responder con evidencia
El error más frecuente es contestar “sí” a todo. Un cuestionario respondido con optimismo es peor que uno honesto: si el cliente audita o hay un incidente, cada “sí” sin respaldo se vuelve un problema de confianza, y a veces contractual.
1. Lee el cuestionario completo antes de empezar
Identifica qué preguntas aplican a tu servicio y cuáles no. Si solo desarrollas una app y no tienes acceso a la infraestructura del cliente, varias preguntas sobre su red no te corresponden. Responder “no aplica” con una frase que explique por qué es válido y ahorra trabajo.
2. Responde con lo que realmente tienes
Para cada pregunta, hay tres respuestas honestas posibles:
- Sí, y esta es la evidencia: una política, una captura de configuración, un registro, un informe.
- Parcialmente: qué está cubierto, qué no y cuándo se completará.
- No, y este es el plan: qué vas a implementar y en qué plazo.
Una respuesta “parcial con plan” suele ser mejor recibida que un “sí” que no resiste una pregunta de seguimiento.
3. Junta la evidencia antes de redactar
La evidencia típica que se pide o que conviene tener a mano:
- Política de seguridad y de respaldos, aunque sean documentos breves.
- Capturas que muestren MFA activo en las cuentas críticas.
- Lista de usuarios con acceso a los sistemas del cliente y su rol.
- Registro de la última restauración exitosa de un respaldo.
- Informe de la última revisión de seguridad de la aplicación o del sitio, con las correcciones hechas.
- Procedimiento de incidentes con un contacto y un plazo de aviso definidos.
4. No prometas lo que no controlas
Si usas un proveedor de nube, parte de los controles es suyo. Di qué controla el proveedor, qué controlas tú y cómo lo verificas. Evita frases absolutas como “nuestros sistemas no pueden ser vulnerados”: ningún sistema está libre de riesgo, y un evaluador con experiencia lo sabe.
5. Convierte las brechas en un plan
Las preguntas que respondiste con “no” o “parcial” son tu lista de trabajo. Ordénalas por riesgo y por esfuerzo. Muchas brechas comunes se cierran rápido y sin gran inversión:
- Activar MFA en todas las cuentas de administración.
- Eliminar cuentas compartidas y usuarios que ya no trabajan contigo.
- Programar respaldos automáticos y probar una restauración.
- Escribir un procedimiento de incidentes de una página, con quién avisa a quién y en cuánto tiempo.
- Actualizar dependencias y revisar la configuración de seguridad de tu sitio o API.
Otras, como un sistema de gestión formal, toman más tiempo. Lo importante es que el plan sea real y que puedas mostrar avances en la siguiente revisión.
Errores comunes
- Copiar respuestas de otro proveedor o de una plantilla. El evaluador nota cuando las respuestas no calzan con tu tamaño o tu servicio.
- Delegar el cuestionario a una sola persona sin contexto técnico. Las respuestas sobre desarrollo, nube y accesos necesitan a quien opera esos sistemas.
- Responder tarde. Si el plazo es corto, pide una extensión por escrito antes de entregar algo incompleto.
- Olvidar actualizar. Un cuestionario respondido hace un año puede no reflejar tu situación actual. Guarda tus respuestas y la evidencia para reutilizarlas y mantenerlas al día.
Preguntas frecuentes
¿La Ley 21.663 me obliga si solo soy proveedor?
Depende de si tu empresa presta un servicio esencial o fue calificada como OIV. Si no, la ley normalmente no te impone deberes directos, pero tu cliente sí puede exigirte controles por contrato. Confírmalo con un abogado.
¿Tengo que tener ISO 27001 para responder?
No necesariamente. Muchos cuestionarios preguntan si la tienes, pero aceptan respuestas que describan controles equivalentes con evidencia. Si tu cliente la exige como requisito, eso debería estar escrito en el contrato o en las bases.
¿Cuánto demora responder un cuestionario?
Depende del largo del cuestionario y de cuánta evidencia ya tengas ordenada. La primera vez toma más; las siguientes se aceleran si guardas un repositorio de respuestas y documentos.
Cómo te podemos ayudar
En Kalfun Tech te ayudamos a responder cuestionarios de seguridad con lo que realmente tienes, a juntar la evidencia y a armar un plan para cerrar las brechas en orden de riesgo. Si además necesitas mostrar una revisión técnica, hacemos auditorías de apps móviles y APIs y revisiones de sitios web con informe y re-test. Si tu servicio trata datos personales, también te puede servir nuestra guía sobre la Ley 21.719 en tus sistemas.
¿Te llegó un cuestionario y no sabes por dónde partir? Conversemos.