2025年1月1日，《21.663号法案》——被称为《网络安全框架法》的法规在拉丁美洲首次生效。这部法律的基本目标是建立一个机构化和通用的规范体系，明确网络安全的最低要求，界定责任和义务，并实施控制和监督机制。这些要素对于促进一个更安全、更具韧性的网络环境至关重要。

这部法律最引人注目的创新之一是设立国家网络安全局（ANCI），该局于2025年1月2日开始运作。该机构的首任局长是来自智利大学的律师及法学博士丹尼尔·阿尔瓦雷斯·巴伦苏埃拉，他在制定网络安全公共政策方面拥有卓越的成就。

谁受《网络安全框架法》的约束？

该法律要求提供被认定为关键服务的机构必须遵守，无论是法律第4条中提到的机构（如国家机构、国家电力协调员、从事银行业务、金融服务、支付手段等活动的私营机构）还是由ANCI认定为关键服务提供者的其他机构。此外，还包括被归类为“重要运营商”（OIV）的机构，其资格也将由ANCI在履行职能时进行评定。

新法律所规定的义务及其目的是什么？

法律规定的义务可根据时间性质分为三类：预防性、信息披露（或透明性）和纠正性措施。

在预防方面，法律规定必须实施ANCI所定义的网络安全协议和标准，以及可能存在于行业监管中的具体标准。需要明确的是，即便采取了必要的预防措施，没有任何系统能完全避免风险，因此网络安全事件仍可能发生。一旦发生此类事件，法律要求必须报告任何安全漏洞，这一点至关重要，原因包括：

• 关键服务机构或OIV在发生事故时的潜在危险性。

• 事故不仅可能对机构造成影响，还可能影响个人。

• 能够防止其他系统受到影响，并发现可能的攻击活动迹象。

• 利用这些报告作为研究和制定应对漏洞解决方案的依据。

关于纠正措施，法律规定各机构必须采取有效行动来控制和减轻因安全事件所造成的损害，并解决由漏洞引起的问题。此外，机构还必须采取措施确保在发生事故后服务的持续性，使其在可能的情况下以最佳状态运营，即使有时条件可能受到限制。

显而易见，该法所采取的措施将增强国家的网络环境。虽然这些义务只适用于部分企业，但所确立的指导原则应能为许多其他组织提供参考。

法律条款何时生效？

《网络安全框架法》的通用条款于2025年1月1日生效。然而，由ANCI评定的重要运营商资格、这些运营商的具体义务、报告网络安全事件的责任以及法律规定的处罚措施将于2025年3月1日生效。

与现有计算机犯罪法规的关系

《网络安全框架法》还与智利现有的计算机犯罪法规相关，如《19.223号法案》，后者对非法访问计算机系统、间谍行为和数据篡改等犯罪行为进行了定性。实际上，《21.663号法案》通过规定各组织必须采取预防和纠正措施应对可能导致网络非法活动的事件，进一步强化了针对这些犯罪的安全与保护框架。通过强制机构报告安全漏洞并采取措施减轻损害，该法也有助于识别和追查网络犯罪，与国家打击网络犯罪和保护关键基础设施的努力保持一致。

作为更大安全议程的一部分

《网络安全框架法》是政府在安全事务中的优先议程的一部分，并纳入政府安全战略，重点在于机构建设、打击有组织犯罪（尤其是网络犯罪）以及推动国家间安全合作协议。值得注意的是，在这一背景下，还颁布了更近期的《21.730号法案》，该法案于今年1月27日成立了公共安全部。该部的一项职能是制定网络安全政策、计划和项目。通过公共安全部，ANCI将与总统进行沟通以履行其职能。

这些变化意味着什么？

各组织必须实现文化转变，增强对网络安全和数字信息保护的意识。人才需要具备更先进的相关知识，并配备必要工具，以在遭受网络攻击或安全事件时做出适当响应，从而尽量减少影响并增强组织韧性。

该法律确保这些措施在关键服务机构和OIV中得到实施，对于不遵守规定的情况，处罚可高达40,000 UTM。

《网络安全框架法》不仅仅是企业IT或技术部门的专属问题，而是对整个组织产生跨部门影响。因此，获得在政策实施、事件管理以及维护受影响人员权益方面的适当咨询，对于确保组织韧性至关重要。这样，法律不仅仅是一纸规范，而是一项有效的工具，用以保护所有相关参与者。