Diagnóstico: tu punto de partida
El error más común al enfrentar una ley nueva es empezar por el final: redactar políticas, comprar herramientas, encargar una consultoría. Todo eso puede ser necesario, pero sin saber dónde estás parado terminas invirtiendo en lo que ya tenías resuelto y descubriendo tarde lo que faltaba.
El diagnóstico responde una sola pregunta, requisito por requisito: ¿esto lo tenemos, lo tenemos a medias o no lo tenemos? Con eso ya puedes priorizar.
El camino asistido: gap express
Sección titulada «El camino asistido: gap express»La forma rápida es el asistente Análisis de gap express, en la sección Asistentes. Te lleva de la nada a un diagnóstico completo en una sesión, sin que tengas que conocer la estructura interna de la plataforma.
-
Define el alcance
Eliges el marco — en este caso la Ley 21.663 —, el alcance sobre el que vas a evaluar y un nombre para el diagnóstico. Si el marco todavía no está cargado en tu plataforma, el asistente lo resuelve por ti.
-
Aprovecha lo que ya respondiste
Si tu empresa ya trabajó otro marco relacionado — típicamente ISO 27001 — el asistente detecta que existe un cruce y te ofrece cosechar esas respuestas. Te muestra cuántos requisitos se llenarían antes de aplicar nada, y tú decides.
Lo cosechado llega como sugerencia pre-marcada, no como respuesta definitiva: sigues siendo tú quien confirma.
-
Responde el cuestionario
El asistente arma las preguntas desde el propio marco, agrupadas por sus capítulos. Cada requisito viene con su enunciado, una ayuda que lo explica y una indicación de qué sirve como evidencia — que es justamente la duda que frena a la mayoría.
La escala es deliberadamente simple:
Respuesta Qué significa Sí Lo tenemos implementado y podríamos demostrarlo Parcial Existe, pero incompleto o sin evidencia suficiente No No lo tenemos No aplica El requisito no corresponde a nuestro caso No sé Queda sin evaluar, para volver con quien sepa -
Revisa el resultado
Al terminar obtienes la evaluación con su avance y la lista de brechas. Desde ahí se encadena directo con el plan.
Elige bien el grupo de implementación
Sección titulada «Elige bien el grupo de implementación»Al evaluar la Ley 21.663 tienes que decidir si te mides como prestador de servicios esenciales o como operador de importancia vital. La diferencia no es menor: los deberes de OIV agregan el sistema de gestión, los planes de continuidad certificados, los simulacros, el delegado de ciberseguridad y las certificaciones.
La recomendación práctica: si existe una posibilidad razonable de que te califiquen como OIV, evalúate como OIV. Vas a ver más brechas, pero son brechas reales que preferirías descubrir hoy y no cuando llegue la calificación.
El camino manual
Sección titulada «El camino manual»Si prefieres control fino, puedes hacerlo sin asistente: carga el marco desde Bibliotecas, crea una auditoría sobre él en el alcance que corresponda, y responde requisito por requisito. Es el mismo resultado; solo toma más pasos y exige conocer la plataforma.
En general conviene el asistente para el primer diagnóstico y el camino manual para las revisiones posteriores, cuando ya sabes qué estás mirando.
Cómo leer el resultado
Sección titulada «Cómo leer el resultado»Tres cosas que conviene entender antes de sacar conclusiones:
El avance no es cumplimiento. El porcentaje de avance mide cuántos requisitos respondiste, no cuántos cumples. Es perfectamente posible tener una evaluación 100% avanzada y llena de incumplimientos: eso significa que terminaste el diagnóstico, no que estés cumpliendo. Lo explicamos en detalle en Evidencias y auditorías.
Las brechas no valen todas lo mismo. Un incumplimiento en el deber de reportar tiene consecuencias inmediatas y plazos de horas; uno en capacitación es serio pero se resuelve con un programa. Priorizar es el trabajo del capítulo siguiente.
Los “No sé” son trabajo, no ruido. Cada uno representa una conversación pendiente con quien sí sabe. Anótalos como tarea.
Marco corre el gap express evaluándose como OIV. Cordillera venía trabajando ISO 27001 hace dos años, así que la cosecha le llena una parte apreciable de los deberes generales — las medidas permanentes de ciberseguridad ya estaban sostenidas por controles reales.
Lo que aparece descubierto es lo específico de la ley: no hay procedimiento de reporte al CSIRT Nacional, no hay delegado de ciberseguridad designado, no hay simulacros documentados, y nadie está siguiendo la normativa secundaria de la ANCI. Ninguna de esas brechas se resolvía con la ISO: son propias de la 21.663.
Sigue por acá
Sección titulada «Sigue por acá»Un diagnóstico sin plan es una lista de malas noticias. Sigue con Del diagnóstico al plan.
Este manual explica cómo usar Preceptix para organizar tu cumplimiento; no es asesoría legal. La calificación de tu institución frente a la Ley 21.663 y la interpretación de sus deberes corresponden a tu asesor jurídico.