Mediante su publicación en el Registro Oficial (Quinto Suplemento Nro. 290), entró en vigencia la Ley Orgánica para el Fortalecimiento de la Ciberseguridad, que establece un marco integral para la gestión de riesgos digitales y la protección de infraestructuras críticas en el Ecuador.
La norma fue aprobada por la Asamblea Nacional en febrero de 2026 y posteriormente modificada mediante objeción parcial del Ejecutivo, a la cual el legislador se allanó en varios aspectos.
Ámbito de aplicación y sujetos obligados
La ley define un régimen aplicable principalmente a:
- entidades del sector público,
- prestadores de servicios digitales,
- y personas jurídicas vinculadas a infraestructura crítica o servicios esenciales.
Se excluye, como regla general, a personas naturales y a operadores no calificados como críticos.
Principio de responsabilidad compartida
Uno de los ejes del sistema es el principio de responsabilidad compartida, conforme al cual cada operador responde por los elementos bajo su control, especialmente en la gestión de riesgos y prevención de incidentes.
Este enfoque distribuye obligaciones entre actores públicos y privados.
Sistema de obligaciones y control
La ley establece obligaciones orientadas a:
- gestión de riesgos y medidas técnicas de seguridad;
- coordinación con la autoridad competente y equipos especializados;
- y respuesta ante incidentes de ciberseguridad.
También prevé la designación de puntos de contacto permanentes para coordinación institucional.
Régimen sancionador y competencias
La normativa incorpora un régimen de infracciones leves, graves y muy graves, con sanciones que incluyen multas a funcionarios públicos y sanciones económicas proporcionales al volumen de negocio de entidades privadas.
Asimismo, delimita la competencia sancionadora entre el ente rector y los órganos especializados sectoriales, aunque el proceso legislativo evidenció ajustes para evitar conflictos de competencias.
Esta ley responde a la creciente relevancia de la ciberseguridad en la continuidad de servicios esenciales y en la protección de la información, estableciendo un sistema articulado de prevención, control y respuesta.
