Responsabilidad Penal Corporativa en Ciberseguridad | Anguita Osorio Abogados
Análisis legal sobre el riesgo penal empresarial, el modelo de prevención y cumplimiento normativo en delitos informáticos
Ciberseguridad y la Responsabilidad Penal de la Persona Jurídica
La Ley 21.595 sobre delitos informáticos expone a las empresas a una responsabilidad penal directa. Analizamos cómo un ciberdelito puede derivar en sanciones para la compañía y cómo un Modelo de Prevención de Delitos (MPD) robusto constituye la principal herramienta de defensa para la organización y su Directorio.
Esta página ordena la exposición del sector corporativo en ciberseguridad en cuatro tramos: el riesgo penal que asume la empresa, el defecto de organización que lo activa, el modelo de prevención que lo contiene y los componentes de defensa que lo sostienen. Al cierre están el informe descargable y las preguntas frecuentes.
El Riesgo Penal Corporativo por Ciberdelitos
El primer bloque sitúa el riesgo penal en el centro del análisis.
La Ley 21.595, que moderniza los delitos informáticos, incorporó los ciberdelitos al catálogo de la Ley 20.393 de Responsabilidad Penal de las Personas Jurídicas. Esto significa que una empresa puede ser sancionada penalmente por delitos como el ataque a sistemas, el espionaje o el sabotaje informático.
La imputación a la empresa no es automática. Requiere que la fiscalía acredite que el delito fue consecuencia de un "defecto de organización", es decir, un incumplimiento de los deberes de dirección y supervisión de la propia compañía.
Consecuencias Penales para la Persona Jurídica
Las sanciones pueden comprometer la viabilidad de la empresa e incluyen:
- Disolución de la persona jurídica.
- Prohibición perpetua de contratar con el Estado.
- Pérdida de beneficios fiscales.
- Multas de hasta 300.000 UTM.
Del riesgo se pasa a su origen: el defecto de organización que lo hace posible.
El "Defecto de Organización" en el Contexto Digital
El segundo bloque describe el defecto de organización que abre esa exposición.
En el ámbito de la ciberseguridad, un "defecto de organización" se manifiesta a través de fallas concretas en la gestión de riesgos digitales. La ausencia o deficiencia de un programa de compliance robusto es la base del reproche penal a la corporación.
Indicadores de un Defecto de Organización:
Ausencia de una matriz de riesgos de ciberdelitos:
No identificar y gestionar los riesgos penales específicos de la operación digital.
Carencia de controles técnicos y organizacionales básicos:
Falta de autenticación multifactor (MFA), políticas de parcheo deficientes, o una gestión de accesos privilegiados inadecuada.
Inexistencia de un plan de gestión de incidentes
y respuesta a brechas.
Falta de capacitación periódica
al personal sobre ciberamenazas y políticas internas.
Identificado el defecto, la pregunta es cómo cerrarlo. Ahí entra el modelo de prevención.
El Modelo de Prevención de Delitos (MPD) como Defensa Corporativa
Frente a ese defecto, el modelo de prevención es la respuesta que la empresa puede estructurar.
Un Modelo de Prevención de Delitos, diseñado, implementado y certificado, es la principal herramienta de defensa de la empresa. Su correcta aplicación puede eximir o atenuar la responsabilidad penal. Un MPD eficaz en ciberseguridad debe estar integrado en la operación y la cultura de la compañía.
Pilares de un MPD en Ciberseguridad
Encargado de Prevención con autonomía y recursos.
Gestión de riesgos de ciberdelitos.
Protocolos y controles de seguridad.
Supervisión y monitoreo continuo.
Capacitación y difusión permanente.
Canales de denuncia seguros.
El modelo se traduce, en la práctica, en componentes de defensa verificables.
Componentes de una Defensa Corporativa Eficaz
El modelo se sostiene sobre componentes de defensa concretos, que se detallan a continuación.
Para mitigar la responsabilidad penal, el Directorio y la gerencia deben enfocarse en estructurar una defensa proactiva, cuyos componentes principales son:
Diseño e Implementación de un Modelo de Prevención de Delitos
El desarrollo de un MPD específico para los riesgos de ciberdelitos, que se integre con los sistemas de gestión de seguridad (como ISO 27001 o los requerimientos de la Ley 21.663) y que esté preparado para su certificación formal.
Fortalecimiento de la Gobernanza de Riesgos Penales
La incorporación formal de los ciberdelitos en la matriz de riesgos del compliance penal. Esto implica la supervisión activa por parte del Directorio, la definición de políticas claras y el reporte periódico sobre la efectividad de los controles.
Preparación para la Respuesta a Incidentes bajo Privilegio Legal
La creación de un protocolo de respuesta a crisis que, desde el primer momento, active el privilegio abogado-cliente para proteger las comunicaciones y la investigación interna, preservando la estrategia de defensa ante una eventual investigación del Ministerio Público.
El informe del estudio profundiza estos componentes con el detalle normativo completo.
Descargue el Informe de Ciberseguridad Corporativa
Complete el formulario y suscríbase a nuestro newsletter para acceder al informe detallado.
Preguntas frecuentes
Las consultas más frecuentes del sector corporativo sobre ciberseguridad y responsabilidad penal.
¿Qué riesgos de ciberseguridad asume una empresa bajo la Ley 21.595?
La Ley 21.595 de Delitos Económicos amplió la lista de delitos informáticos atribuibles a personas jurídicas. Una empresa puede responder penalmente cuando sus directivos o empleados, en su interés y por defectos del modelo de prevención, cometan ataques o intrusiones contemplados en la Ley 21.459 sobre Delitos Informáticos.
¿Qué obligaciones impone la Ley 21.663 al sector corporativo?
Las empresas calificadas por ANCI como Servicios Esenciales o como Operadores de Importancia Vital deben implementar un sistema de gestión de seguridad, reportar incidentes en plazos breves, designar un Delegado de Ciberseguridad y permitir auditorías. El resto del sector corporativo, aunque no esté calificado, queda expuesto al deber general de cuidado y al estándar penal de la Ley 21.459.
¿Cómo se integra ciberseguridad al modelo de prevención de delitos?
El modelo del artículo 4 de la Ley 20.393 debe incorporar matrices de riesgo informático, controles técnicos y organizativos, capacitación, canales de denuncia y procedimientos de respuesta ante incidentes. Tras la Ley 21.595 ya no existe certificación del modelo: la defensa relevante frente a imputaciones es su implementación efectiva y la evaluación periódica por un tercero independiente.
¿Qué pasa si la empresa sufre un ataque informático?
Hay obligaciones de reporte hacia ANCI (Ley 21.663) y, si afecta datos personales, hacia la Agencia de Protección de Datos (Ley 21.719). Penalmente, el incidente puede activar imputaciones bajo la Ley 21.459 contra responsables y, contra la persona jurídica, bajo la Ley 21.595. La respuesta legal coordinada protege evidencia y reduce exposición sancionatoria.
¿Cómo se demuestra cumplimiento frente a la fiscalización?
Documentación del modelo, evidencia de capacitaciones, registros de incidentes, auditorías independientes y evaluación de un tercero independiente. El estándar de diligencia se evalúa por los hechos: políticas escritas no bastan si la operación no demuestra ejecución efectiva. La trazabilidad documental es la línea de defensa.
Conversemos sobre los desafíos legales de su empresa
Agende una conversación inicial con nuestro equipo.
