Em 1º de janeiro de 2025, entrou em vigor a Lei 21.663, conhecida como a Lei Marco de Cibersegurança, a primeira regulamentação desse tipo na América Latina. Essa lei tem como objetivos fundamentais estabelecer uma estrutura institucional e normativa geral, definir requisitos mínimos de cibersegurança, delimitar responsabilidades e obrigações e implementar mecanismos de controle e supervisão. Esses elementos são essenciais para promover um ambiente cibernético mais seguro e resiliente.

Uma das novidades mais marcantes dessa lei é a criação da Agência Nacional de Cibersegurança (ANCI), que começou a operar em 2 de janeiro de 2025. O primeiro diretor da agência é o advogado e doutor em Direito pela Universidade do Chile, Daniel Álvarez Valenzuela, que possui uma destacada trajetória no desenvolvimento de políticas públicas em cibersegurança.

Quem está obrigado a cumprir a Lei Marco de Cibersegurança?

A lei obriga instituições que prestam serviços classificados como essenciais, tanto aquelas mencionadas no artigo 4 da lei (como órgãos do Estado, o Coordenador Elétrico Nacional, instituições privadas que realizam atividades bancárias, serviços financeiros, meios de pagamento, entre outros) quanto aquelas que sejam qualificadas como tais pela ANCI. Além disso, abrange as instituições classificadas como Operadores de Importância Vital (OIV), cuja qualificação também será realizada pela ANCI no exercício de suas funções.

Quais são as obrigações impostas pela nova lei e qual é sua finalidade?

As obrigações impostas pela lei podem ser classificadas em três áreas, de acordo com sua natureza temporal: preventivas, informativas (ou de transparência) e corretivas.

No que diz respeito à prevenção, a lei estabelece a obrigação de implementar os protocolos e padrões de cibersegurança definidos pela ANCI, bem como os padrões específicos que possam existir em regulamentações setoriais. É importante lembrar que, embora sejam tomadas medidas preventivas necessárias, nenhum sistema está completamente seguro, e incidentes de cibersegurança podem ocorrer. Caso isso aconteça, a lei estabelece a obrigação de reportar qualquer violação de segurança, o que é crucial por diversas razões:

• O perigo potencial de um incidente em organizações que prestam serviços essenciais ou são OIV.
• O impacto que pode ter não apenas sobre as organizações, mas também sobre os indivíduos.
• A possibilidade de evitar que outros sistemas sejam afetados e detectar indícios de possíveis campanhas de ataque.
• O uso desses relatórios como insumo para estudar e gerar soluções para tais vulnerabilidades.

Quanto às medidas corretivas, a lei estabelece que as instituições devem adotar ações eficazes para controlar e mitigar os danos causados por um incidente de segurança, bem como resolver os problemas decorrentes da vulnerabilidade. Além disso, as organizações devem tomar medidas para garantir a continuidade de seus serviços, mesmo após um incidente, de forma que possam operar, na medida do possível, nas melhores condições, ainda que essas sejam limitadas.

É evidente que a aplicação das medidas adotadas por esta lei fortalecerá o ambiente cibernético do país. Embora essas obrigações sejam aplicáveis apenas a algumas empresas, as diretrizes estabelecidas deveriam servir como referência para muitas outras organizações.

Quando entram em vigor as disposições da lei?

As normas gerais da Lei Marco de Cibersegurança entraram em vigor em 1º de janeiro de 2025. No entanto, a qualificação dos Operadores de Importância Vital pela ANCI, bem como os deveres específicos desses, a obrigação de reportar incidentes de cibersegurança e a aplicação das sanções estabelecidas na lei, entrarão em vigor em 1º de março de 2025.

Relação com as normas sobre crimes informáticos

A Lei Marco de Cibersegurança também está relacionada com as normas existentes sobre crimes informáticos no Chile, como a Lei 19.223 sobre crimes informáticos, que tipifica delitos como acesso ilícito a sistemas informáticos, espionagem e alteração de dados. De fato, a Lei 21.663 reforça o marco de segurança e proteção contra esses delitos ao estabelecer que as organizações devem adotar medidas preventivas e corretivas diante de incidentes que possam dar origem a atividades ilícitas no ciberespaço. Ao obrigar as organizações a informar sobre violações de segurança e tomar medidas para mitigar danos, a lei também facilita a identificação e perseguição de crimes informáticos, alinhando-se com os esforços nacionais para combater o cibercrime e proteger a infraestrutura crítica do país.

Parte de uma agenda de segurança mais ampla

A Lei Marco de Cibersegurança faz parte da agenda prioritária do governo em matéria de segurança e se integra dentro da Estratégia de Segurança do Governo, focando-se no fortalecimento institucional, na luta contra o crime organizado, especialmente contra os ciberdelitos, e na promoção de acordos de Estado sobre segurança. Cabe destacar que, nesse mesmo contexto, está a ainda mais recente Lei 21.730, que cria o Ministério de Segurança Pública e foi promulgada em 27 de janeiro deste ano. Nela, é estabelecido que uma das funções atribuídas a esse Ministério é o desenho de políticas, planos e programas em matéria de cibersegurança. Precisamente, por meio do Ministério de Segurança Pública, a ANCI se comunicará com o Presidente para o cumprimento de suas funções.

O que essas mudanças implicam?

É fundamental que as organizações experimentem uma mudança cultural, promovendo uma maior conscientização sobre cibersegurança e proteção da informação digital. O capital humano deve possuir conhecimentos mais avançados nessas áreas, assim como as ferramentas necessárias para responder adequadamente a um ataque ou incidente de cibersegurança, minimizando assim o impacto e reforçando a resiliência das organizações.

Esta lei garante que as medidas sejam implementadas em instituições que prestam serviços essenciais e nos OIV, com sanções por descumprimento que podem alcançar até 40.000 UTM.

A Lei Marco de Cibersegurança não é uma questão exclusiva da área técnica ou de TI de uma empresa, mas tem um impacto transversal em toda a organização. Por isso, contar com uma assessoria adequada na implementação de políticas, na gestão de incidentes e na defesa dos direitos das pessoas afetadas é crucial para garantir a resiliência organizacional. Assim, a lei não será apenas um marco normativo no papel, mas uma ferramenta eficaz para proteger todos os atores envolvidos.

Link para a Notícia