Implementa y evidencia

Cumplir y poder demostrar que cumples son dos trabajos distintos, y el segundo es el que se abandona. La medida se implementa, funciona, y nadie deja registro: seis meses después el fiscalizador pregunta y hay que reconstruir la historia de memoria.

Este capítulo trata de que eso no pase.

Qué cuenta como evidencia

Para la Ley 21.663 la evidencia se agrupa en tres familias, y conviene distinguirlas porque se producen de maneras muy distintas.

Evidencia de decisión. Actas, designaciones, políticas aprobadas, el documento que declara tu condición frente a la ley. La produce una persona con autoridad, y su valor está en la firma y la fecha. Vive en Documentos.

Evidencia de configuración. El doble factor está activo, los equipos están cifrados, el respaldo corrió anoche. Es la que envejece rápido — y la que las integraciones recolectan solas, fechada, cada vez que se ejecutan.

Evidencia de ejecución. El simulacro se hizo, la capacitación se dictó, la revisión se realizó. Es la más difícil de sostener, porque exige que alguien registre el hecho cuando ocurre. Se apoya en tareas recurrentes: la tarea genera el recordatorio, y su cierre deja el registro.

La regla práctica

Si una evidencia se puede automatizar, automatízala. Si no se puede, conviértela en una tarea con fecha, porque la evidencia que depende de que alguien se acuerde no existe.

Conecta lo que puedas antes de documentar

Hay una tentación fuerte de partir escribiendo políticas, porque es lo que se siente como “avanzar en cumplimiento”. Sale mejor al revés: conecta primero los sistemas que puedas, porque cada conexión te ahorra evidencia manual para siempre, no solo esta vez.

Para la Ley 21.663, las integraciones que más rinden son las de identidad (cuentas, doble factor, accesos privilegiados), seguridad de endpoints (cobertura del antivirus, detecciones), red y respaldo. Todas alimentan directamente los deberes de medidas permanentes de ciberseguridad.

La vista de cobertura te dice exactamente cuáles de tus controles podrían quedar cubiertos con integraciones que aún no conectas — y cuáles nunca lo estarán, para que dejes de buscar.

Cómo se adjunta la evidencia

Cada requisito de la auditoría y cada control aplicado admite evidencias. Lo importante no es el mecanismo, que es simple, sino la disciplina:

Una evidencia por hecho, con su fecha. Un documento que “prueba varias cosas” termina no probando ninguna, porque nadie sabe qué mirar dentro.

Nombres que se entiendan solos. El que va a buscar esa evidencia en dos años no eres tú. “Acta comité de seguridad 2026-03” es un nombre; “documento final v3 (2).pdf” no lo es.

Prefiere el original al resumen. El acta firmada, no un correo que dice que se firmó.

El caso especial: los deberes permanentes

La Ley 21.663 usa una palabra que cambia todo: los deberes son permanentes. Eso significa que la evidencia de hace un año no demuestra el cumplimiento de hoy.

En la práctica esto se traduce en dos cosas dentro de la plataforma:

1. Frecuencias, no fechas únicas. Las integraciones se ejecutan periódicamente, así que la evidencia se renueva sola. Ese es el mejor escenario.
2. Tareas recurrentes para lo demás. La revisión de accesos, el simulacro, la actualización del análisis de riesgos, la revisión de la normativa secundaria de la ANCI. Todo lo que la ley pide “de forma continua” necesita una tarea con periodicidad, o dejará de ocurrir.

En Generadora Cordillera

Carolina conecta primero Microsoft 365 y el antivirus corporativo: entre ambos quedan sostenidos con evidencia automática buena parte de los controles de identidad y protección de endpoints, y ya no dependen de que alguien saque capturas.

Para la vigilancia de la normativa de la ANCI — que no tiene integración posible — crea una tarea mensual asignada a Marco: revisar publicaciones de la Agencia y dejar registro aunque no haya novedades. “Sin cambios en el período” también es evidencia de que alguien miró.

Cuándo un requisito está realmente cerrado

Un requisito está cerrado cuando se cumplen tres condiciones, y vale la pena revisarlas explícitamente antes de darlo por hecho:

1. La medida existe y opera, no solo está descrita.
2. Hay evidencia adjunta que lo demuestra, con fecha reciente.
3. Alguien es responsable de que siga así.

Si falta la tercera, el requisito va a volver a abrirse solo. Es la falla más frecuente y la más silenciosa.

Sigue por acá

Queda la parte de la ley con los plazos más exigentes, y la que hay que preparar antes de necesitarla: Incidentes y plazos ANCI.

Este manual explica cómo usar Preceptix para organizar tu cumplimiento; no es asesoría legal. La suficiencia de la evidencia frente a un procedimiento de fiscalización debe evaluarla tu asesor jurídico.