MINTEL obliga a entidades públicas a designar un Oficial de Seguridad de la Información

El Ministerio de Telecomunicaciones y de la Sociedad de la Información (MINTEL) reformó el Esquema Gubernamental de Seguridad de la Información (EGSI) y redefinió la figura del Oficial de Seguridad de la Información (OSI), de designación obligatoria en cada entidad pública y en los concesionarios de servicios públicos. La decisión consta en el Acuerdo Ministerial Nro. MINTEL-MINTEL-2026-0008, publicado en el Registro Oficial, Séptimo Suplemento Nº 399 del miércoles 28 de octubre de 2026, y entró en vigencia ese mismo día, según su disposición final.

El acuerdo sustituye el artículo 8 del Acuerdo Ministerial Nro. MINTEL-MINTEL-2024-0003, del 8 de febrero de 2024, que expidió el EGSI, y reemplaza además sus anexos A, B y C por la versión 3.0 del esquema. El instrumento fue suscrito el 31 de julio de 2026 por el Sr. Mgs. Ricardo Xavier Gutiérrez Cevallos, Ministro de Telecomunicaciones y de la Sociedad de la Información (E), designado mediante Decreto Ejecutivo Nro. 438 del 1 de julio de 2026.

El EGSI es de implementación obligatoria para las instituciones del sector público comprendidas en el artículo 225 de la Constitución y para los terceros que presten servicios públicos mediante concesión u otras figuras legalmente reconocidas. La reforma se sustenta en los artículos 19 y 20 de la Ley Orgánica para la Transformación Digital y Audiovisual y en el artículo 38 de la Ley Orgánica de Protección de Datos Personales. El trámite se originó en el Memorando Nro. MINTEL-SGERC-2026-0106-M, del 31 de julio de 2026, de la Subsecretaría de Gobierno Electrónico y Registro Civil, que remitió el informe técnico SGERC-DIISIRC-0004-2026.

Requisitos e incompatibilidades del nuevo perfil

El artículo 8 reformado establece que la máxima autoridad de cada institución designará a un OSI con formación y experiencia de al menos dos años en áreas de seguridad de la información y ciberseguridad. El texto anterior exigía ser funcionario de carrera, preferentemente de nivel jerárquico superior; esa condición ya no aparece en la norma vigente.

Las condiciones centrales son:

• El OSI podrá ser el responsable del área de Seguridad de la Información, si esa unidad existe.
• No debe pertenecer a las áreas de procesos, riesgos, administrativo, financiero ni de tecnologías de la información.
• La designación deberá comunicarse inmediatamente a la Subsecretaría de Gobierno Electrónico y Registro Civil del MINTEL, mediante las herramientas dispuestas para el efecto.
• El OSI actúa como punto de contacto de la institución ante el MINTEL.

Comité de Seguridad y arquitectura institucional

El anexo A de la versión 3.0 detalla la estructura que cada entidad debe conformar. La máxima autoridad designa al Comité de Seguridad de la Información (CSI) y al OSI, y debe asignar los recursos necesarios.

El CSI lo preside Planificación e integra a responsables de Talento Humano, Administrativa, Comunicación Social, Tecnologías de la Información, Jurídica y el Delegado de Protección de Datos; el OSI y el delegado asisten con voz pero sin voto. Las instituciones que no encajen en ese modelo deben conformar un comité de al menos tres integrantes. El comité sesiona de forma ordinaria cada dos meses e informa semestralmente a la máxima autoridad sobre los avances del EGSI.

Guías técnicas y funciones del oficial

El EGSI v3.0 se estructura en tres guías: implementación del esquema, basada en la NTE INEN ISO/IEC 27001:2022; gestión de riesgos, basada en la NTE INEN ISO/IEC 27005:2022 y la metodología MAGERIT; e implementación de controles, basada en la NTE INEN ISO/IEC 27002:2023.

Entre las responsabilidades asignadas al OSI figuran implementar y actualizar el EGSI, elaborar la documentación esencial del sistema, coordinar la evaluación de riesgos y la selección de controles, ejecutar el plan de concienciación, elaborar el plan de recuperación de desastres y el procedimiento de respuesta a incidentes, y coordinar con el Centro de Respuestas a Incidentes Informáticos (CSIRT) sectorial o nacional los incidentes de impacto alto que no puedan resolverse internamente. También debe realizar la entrega-recepción de documentación a su sucesor antes de dejar el cargo.

La reforma aterriza sobre una obligación que ya existía y la vuelve exigible en términos verificables: cada entidad deberá acreditar un responsable con formación técnica comprobada y separado de las áreas que operan y financian la tecnología, de modo que la supervisión de la seguridad deje de recaer en quienes administran los sistemas. El plazo corre desde la publicación, sin régimen de transición en el texto oficial.

Fuente: Registro Oficial, Séptimo Suplemento Nº 399, 28 de octubre de 2026, sección I (Ministerio de Telecomunicaciones y de la Sociedad de la Información), pág. 1 (referencia oficial: Acuerdo Nro. MINTEL-MINTEL-2026-0008).