Seguridad
SeguridadMantenemos tu Empresa Segura, aplicando políticas, procesos, programas y personas con conocimiento.
Privacidad
PrivacidadIdentificamos y mantenemos la privacidad de tu información para que solamente sea vista por las personas adecuadas en base a sus roles y accesos, esto no se logra solo con herramientas, se aplica técnología de punta.
Certificado para tu Industria
Certificado para tu IndustriaLas herramientas que aplicamos son pioneras en el Mercado Mundial , utilizadas por líderes de la Industria.
¿Qué es la LOPFC?
La Ley Orgánica para el Fortalecimiento de la Ciberseguridad (LOPFC) establece estándares nacionales de seguridad digital, mecanismos de gestión y notificación de incidentes cibernéticos, y procedimientos de coordinación entre instituciones. No crea un régimen aislado: reforma leyes existentes, entre ellas la Ley Orgánica de Transformación Digital y Audiovisual, la LOPDP (Ley Orgánica de Protección de Datos Personales), el Código Orgánico Integral Penal (COIP) y la Ley Orgánica de Educación Intercultural.
Cronología clave:
10 de febrero de 2026
Aprobada por el Pleno de la Asamblea Nacional (82 votos).
12 de marzo de 2026
Allanamiento a la objeción parcial del Ejecutivo.
22 de mayo de 2026
Publicación en el Registro Oficial N.° 290 (Quinto Suplemento) y entrada en vigencia.
Pendiente
Normativa secundaria (reglamentos técnicos) que hará exigibles las obligaciones de notificación y estándares mínimos. Este es el período de adecuación: las empresas que se preparen ahora evitarán correr después.
¿A quién aplica la LOPFC?
⚠️ Advertencia importante: el Catálogo Nacional de Servicios Esenciales e Infraestructura Crítica Digital, a cargo de MINTEL, es dinámico y se revisa al menos cada dos años. Una empresa que hoy no esté clasificada como crítica puede quedar incluida después si su actividad, interdependencia o nivel de riesgo lo justifica. No estar en el catálogo hoy no es garantía de exención mañana.
¿No sabes si calificas como PSD o servicio esencial? Agenda un diagnóstico de aplicabilidad LOPFC con EOS.
La ley NO impone obligaciones generales a todo el sector privado. Su ámbito comprende tres grupos:
- Entidades del sector público
- Prestadores de servicios digitales (PSD)
- Personas jurídicas privadas cuya actividad tenga incidencia directa en la continuidad de servicios esenciales
que gestionen servicios esenciales o infraestructura crítica digital.
bajo el principio de responsabilidad compartida: cada operador responde por los elementos bajo su control.
banca, telecomunicaciones, energía, salud, transporte, agua, entre otros.
Hacking ético: por primera vez con marco legal
La LOPFC habilita jurídicamente el hacking ético y las pruebas de penetración en Ecuador, bajo tres condiciones estrictas:
Consentimiento expreso del titular del sistema.
Finalidad legítima (identificar vulnerabilidades).
Registro obligatorio: las empresas y profesionales que presten pentesting a entidades del Estado deben inscribirse en el Registro Nacional de Profesionales y Empresas de pruebas de penetración.
Esto convierte al pentesting profesional en una herramienta de cumplimiento — no solo de buenas prácticas. EOS ejecuta ethical hacking con informe y plan de remediación alineado a los requisitos de la ley.
Sanciones: ¿cuánto cuesta incumplir la LOPFC?
Las infracciones se clasifican en leves, graves y muy graves.
¿Quién sanciona? MINTEL es el ente rector, pero la potestad sancionadora corresponde a los órganos especializados de cada sector: Superintendencia de Bancos y SEPS en el sector financiero, y demás superintendencias según la industria. En sectores sin órgano especializado, MINTEL actúa como autoridad sancionadora subsidiaria.
Ejemplo real: para una empresa con ventas anuales de USD 10 millones, una infracción muy grave puede significar una multa de hasta USD 150,000 — sin contar el costo del incidente, la interrupción operativa ni el daño reputacional.
- Empresas privadas y públicasMultas del 0.1% al 1.5% del volumen de negocio del ejercicio anterior (deducido IVA), según gravedad
- Servidores públicosMultas de 1 a 40 salarios básicos unificados
LOPFC vs LOPDP: ¿cuál aplica a mi empresa?
La conclusión práctica: cumplir la LOPDP protege los datos; cumplir la LOPFC protege los sistemas que los contienen. La mayoría de empresas medianas y grandes en Ecuador deben abordar ambas. Un SGSI bien implementado (ISO 27001) cubre simultáneamente los dos frentes.
LOPDP (2021) Datos personales de las personas
LOPFC (2026) Sistemas, infraestructura y continuidad de servicios
Protege
LOPDP (2021) Prácticamente toda organización que trate datos personales
LOPFC (2026) Sector público, PSD y privados vinculados a servicios esenciales
Aplica a
LOPDP (2021) Vulneraciones de datos: 5 días
LOPFC (2026) Incidentes de ciberseguridad: 72 horas
Notificación
LOPDP (2021) Superintendencia de Protección de Datos
LOPFC (2026) MINTEL / CSIRT + reguladores sectoriales
Autoridad
Cómo cumplir la LOPFC: ruta de adecuación en 5 pasos
Nota legal: Este contenido es informativo y no constituye asesoría legal. Para la interpretación jurídica de la LOPFC en tu caso específico, consulta con tu asesor legal. EOS provee los servicios técnicos y de gestión para la adecuación.
- Diagnóstico de aplicabilidad
- Análisis de brechas (gap analysis)
- Implementación de controles
- Capacidad de detección y respuesta 24/7
- Auditoría y mejora continua
Determinar si tu empresa califica como PSD o servicio esencial, y qué obligaciones concretas le aplican. → Autoevaluación gratuita
Empieza Ahora!Evaluar el estado actual frente a los requisitos de la ley: gestión de riesgos, controles, capacidad de detección y respuesta. → Pentesting y análisis de brechas EOS
Análisis de Brechas de SeguridadSGSI alineado a ISO 27001, protección de endpoints EDR/XDR, firewalls NGFW, seguridad de email y backup/continuidad con Acronis.
Monitoreo continuo para detectar y notificar incidentes dentro de las 72 horas: CiberSOC como servicio.
Simulacros, auditorías periódicas y actualización criptográfica conforme evolucione la normativa secundaria.
Planes EOS alineados a la LOPFC
| Plan | Para quién | Cubre |
|---|---|---|
| EOS Essentials | Pymes que inician su adecuación | Diagnóstico, controles básicos, protección endpoint y email |
| EOS ISO-Guard | Empresas que requieren acreditar cumplimiento | SGSI ISO 27001, auditorías, gestión de riesgos documentada |
| EOS Cyber-Elite | Servicios esenciales e infraestructura crítica | CiberSOC 24/7, respuesta a incidentes, pentesting periódico, simulacros |
[CTA final] La normativa secundaria está en camino y el período de adecuación es ahora. Agenda tu diagnóstico LOPFC o escríbenos a info@eopensolutions.com.
Nota legal: Este contenido es informativo y no constituye asesoría legal. Para la interpretación jurídica de la LOPFC en tu caso específico, consulta con tu asesor legal. EOS provee los servicios técnicos y de gestión para la adecuación.
