Ley Orgánica para el Fortalecimiento de la Ciberseguridad
Cumplimiento LOPFC para Empresas en Ecuador
La LOPFC está vigente desde mayo de 2026 y exige notificar incidentes en 72 horas, con multas de hasta el 1.5% del volumen de negocio. Te acompañamos del diagnóstico de aplicabilidad a la implementación de controles.
¿Tu empresa está obligada por la LOPFC?
La ley no impone obligaciones generales a todo el sector privado. Su ámbito comprende tres grupos:
Sector público
Entidades que gestionan servicios esenciales o infraestructura crítica digital.
Prestadores de servicios digitales
Bajo el principio de responsabilidad compartida: cada operador responde por los elementos bajo su control.
Privadas con servicios esenciales
Personas jurídicas cuya actividad incide directamente en la continuidad de servicios esenciales: banca, telecomunicaciones, energía, salud, transporte y agua.
Advertencia: el Catálogo Nacional de Servicios Esenciales e Infraestructura Crítica Digital, a cargo de MINTEL, es dinámico y se revisa al menos cada dos años. No estar en el catálogo hoy no es garantía de exención mañana.
Planes EOS alineados a la LOPFC
Tres rutas de adecuación según el nivel de exigencia que aplique a tu organización.
Nivel 1
EOS Essentials
Pymes que inician su adecuación
Diagnóstico de aplicabilidad, controles básicos, protección de endpoint y correo electrónico.
Nivel 2
EOS ISO-Guard
Empresas que requieren acreditar cumplimiento
SGSI alineado a ISO 27001, auditorías internas y gestión de riesgos documentada para acreditar ante reguladores y entidades contratantes.
Nivel 3
EOS Cyber-Elite
Servicios esenciales e infraestructura crítica
CiberSOC 24/7, respuesta a incidentes dentro de las 72 horas, pentesting periódico y participación en simulacros.
Preguntas frecuentes sobre cumplimiento LOPFC
¿Qué necesito para cumplir la LOPFC?
Primero, determinar si tu empresa está dentro del ámbito de la ley. Si lo está, debes adoptar medidas técnicas y organizativas de gestión de riesgos, tener capacidad de detectar y notificar incidentes en 72 horas, acreditar cumplimiento mediante auditorías o certificaciones si contratas con el Estado, y mantener tus mecanismos criptográficos actualizados.
¿Cuánto tiempo toma adecuarse a la LOPFC?
Depende del punto de partida. Una organización con controles básicos ya implementados puede adecuarse en pocos meses; una que parte de cero y necesita un SGSI certificado requiere entre 6 y 12 meses. El diagnóstico inicial permite estimar el plazo con precisión.
¿Qué pasa si no cumplo con la LOPFC?
Las infracciones se clasifican en leves, graves y muy graves. Para empresas privadas, las multas van del 0.1% al 1.5% del volumen de negocio del ejercicio anterior. Sancionan los órganos especializados de cada sector (Superintendencia de Bancos, SEPS, etc.) y MINTEL de forma subsidiaria.
¿La certificación ISO 27001 me sirve para cumplir la LOPFC?
Sí. La ley exige medidas basadas en certificaciones y estándares internacionales, y los prestadores de servicios digitales que contratan con el Estado deben acreditar cumplimiento mediante auditorías o certificaciones. Un SGSI certificado ISO 27001 es la vía más directa para demostrarlo.
¿La LOPFC reemplaza a la LOPDP?
No, son complementarias. La LOPDP protege los datos personales; la LOPFC protege los sistemas que los contienen. De hecho la LOPFC reformó la LOPDP: ante un incidente que involucre datos personales debes notificar al CSIRT en 72 horas y a la Autoridad de Protección de Datos en 5 días.
El período de adecuación es ahora
La normativa secundaria hará plenamente exigibles las obligaciones. Las empresas que se preparen hoy evitarán correr después. Empieza con el diagnóstico gratuito de aplicabilidad.
