2026_Anexo_1_Acuerdo_2088

Anexo 1. Procedimiento de Reporte de Incidentes Cibernéticos Comité de Ciberseguridad

Revisión Fecha Descripción 0.1 31/10/2024 Versión para comité Ciberseguridad y acuerdo de confidencialidad 0.2 20/05/2025 Versión con comentario resueltos 0.3 30/08/2025 Versión para comentarios del sector 1.0 11/11/2025 Versión aprobada en el Comité de Ciberseguridad del 11 de noviembre de 2025.Anexo 1. Procedimiento de Reporte de Incidentes Cibernéticos Comité de Ciberseguridad

TABLA DE CONTENIDO

1. Antecedentes ................................ ................................ ................................ ................................ .......... 3

2. Objetivo ................................ ................................ ................................ ................................ ....................... 4

3. Definiciones ................................ ................................ ................................ ................................ .............. 5

4. Alcance ................................ ................................ ................................ ................................ ........................ 6

5. Reporte de incidentes de ciberseguridad ................................ ................................ ............ 6

6. Responsabilidades en el reporte de incidentes ................................ ................................ 7 6.1. Emisor del reporte ................................ ................................ ................................ ..................... 7 6.2. Receptor del reporte ................................ ................................ ................................ ................. 8 6.3. Seguimiento del incidente ................................ ................................ ................................ ... 9 6.4. Monitoreo de incidentes ................................ ................................ ................................ ........ 9

Anexo No 2: Formato de reporte de incidentes de ciberseguridad ................................ 11 Anexo No 3: Guía de suscripción al MISP ................................ ................................ ......................... 11 Anexo No 4: Guía de reporte de incidente mediante correo electrónico seguro ... 11 Anexo No 5 Acuerdo de confidencialidad ................................ ................................ ....................... 11Anexo 1. Procedimiento de Reporte de Incidentes Cibernéticos

Anexo No 4: Guía de reporte de incidente mediante correo electrónico seguro ... 11 Anexo No 5 Acuerdo de confidencialidad ................................ ................................ ....................... 11Anexo 1. Procedimiento de Reporte de Incidentes Cibernéticos Comité de Ciberseguridad

1. Antecedentes

En el marco de la Guía de Ciberseguridad y las directrices establecidas por el Comité de Ciberseguridad, se ha identificado la necesidad de crear un Equipo de Respuesta ante Incidentes de Seguridad Informática (CSIRT) y establecer lineamientos específicos para su implementación. Lo anterior en línea con la política nacional en materia de ciberseguridad, reflejada en documentos como el CONPES, directivas presidenciales y resoluciones del Ministerio de Tecnologías de la Información y las Comunicaciones (MINTIC), subraya la importancia de fortalecer la ciberseguridad en todos los sectores, incluyendo el sector eléctrico. A su vez, dentro de las actividades del Comité de Ciberseguridad se promovió la implementación de la Plataforma de Intercambio de Información MISP, como un paso crucial para mejorar la gestión de eventos de ciberseguridad. Sin embargo, la problemática actual radica en la falta de un marco estructurado para realizar el proceso de reporte y gestión de incidentes de origen cibernético, los cuales pueden comprometer la prestación del servicio de energía eléctrica. Bajo ese contexto, el presente A cuerdo tiene como propósito mitigar l as deficiencias identificadas y establecer los requisitos específicos para mejorar el proceso de reporte de incidentes cibernéticos, propendiendo así por la confiabilidad, continuidad y seguridad del sistema eléctrico colombiano.Anexo 1. Procedimiento de Reporte de Incidentes Cibernéticos Comité de

el proceso de reporte de incidentes cibernéticos, propendiendo así por la confiabilidad, continuidad y seguridad del sistema eléctrico colombiano.Anexo 1. Procedimiento de Reporte de Incidentes Cibernéticos Comité de Ciberseguridad

2. Objetivo

El objetivo del presente acuerdo es definir los requisitos para realizar el reporte de Incidentes de ciberseguridad para minimizar el impacto de los estos en el Sistema Interconectado Nacional (SIN) y en el sector eléctrico en general, generando una mayor resiliencia en el sector eléctrico. Para ello, se establecen los siguientes objetivos específicos:

I. Fortalecer las capacidades de respuesta ante incidentes de ciberseguridad del sector eléctrico.

II. Estructurar el procedimiento de relacionamiento entre los agentes, el operador y las partes interesadas en caso de un evento de ciberseguridad.

III. Recopilar información que permita identificar lecciones aprendidas para fortalecer el proceso de gestión de incidentes de ciberseguridad y la hoja de ruta para la implementación de un CSIRT para el sector eléctrico.

IV. Establecer y promover la implementación de buenas prácticas para la gestión de incidentes de ciberseguridad.

V. Fomentar la cultura proactiva de report ar Incidentes de ciberseguridad.Anexo 1. Procedimiento de Reporte de Incidentes

Cibernéticos Comité de Ciberseguridad

3. Definiciones

Para efectos del presente acuerdo, se adoptan las definiciones establecidas en el Acuerdo 1960 de 2025, o aquel que lo modifique o sustituya, y las siguientes:

COLCERT (Colombian Computer Emergency Response Team ): Equipo de Respuesta a Emergencias Informáticas de Colombia, responsable de

el Acuerdo 1960 de 2025, o aquel que lo modifique o sustituya, y las siguientes:

COLCERT (Colombian Computer Emergency Response Team ): Equipo de Respuesta a Emergencias Informáticas de Colombia, responsable de gestionar incidentes de ciberseguridad a nivel nacional y de coordinar esfuerzos para mitigar amenazas cibernéticas. Fuente: Ministerio de Tecnologías de la Información y las Comunicaciones (MINTIC) de Colombia.

CSIRT ( Computer Security Incident Response Team ): Equipo especializado responsable de recibir, analizar y responder a las notificaciones y actividades relacionadas con incidentes de seguridad informática. Su objetivo es manejar y mitigar los impactos de incidentes de ciberseguridad para reducir el daño y acelerar la recuperación. Fuente: CERT Coordination Center (CERT/CC).

Ciberataque: intento de destruir, exponer, alterar, deshabilitar, o exfiltrar u obtener acceso o hacer uso no autorizado de un activo informático.

Evento de seguridad de la información : Presencia identificada de una condición de un sistema, servicio o red, que indica una posible violación de la política de seguridad de la información o falla de las salvaguardas, o una situación desconocida previamente que puede ser pertinente a la seguridad [ISO/IEC 27000:2014].

Incidente de Seguridad Informática o Ciberseguridad: todo evento que perjudique o comprometa la confidencialidad o integridad de la información, la disponibilidad o resiliencia de las redes y sistemas informáticos, o la autenticación de los procesos ejecutados o implementados en las redes y sistemas informáticos.

Indicadores de Compromiso ( IoC, Indicators of Compromise ): Información forense que ayuda a identificar posibles intrusiones en una

informáticos, o la autenticación de los procesos ejecutados o implementados en las redes y sistemas informáticos.

Indicadores de Compromiso ( IoC, Indicators of Compromise ): Información forense que ayuda a identificar posibles intrusiones en una red. Los IoC incluyen detalles como direcciones IP, hashes de archivos maliciosos, dominios, URL, entre otros, que son útiles para detectar y responder a incidentes de ciberseguridad. Fuente: National Institute of Standards and Technology (NIST).

Información Confidencial: significa para este Acuerdo cualquier información acerca de productos, nuevas tecnologías, datos de negocio, información técnica, financiera, comercial, de mercado, estratégica, datos personales y cualquiera otra relacionada con las operaciones de negociosAnexo 1. Procedimiento de Reporte de Incidentes

Cibernéticos Comité de Ciberseguridad

presentes y futuros de las partes, de sus socios o accionistas, incluyendo, sus matrices, filiales, subsidiarias, afiliadas o sucursales, que haya sido o sea entregada o comunicada en virtud del presente Acuerdo (Ver anexo No 5).

MISP (Malware Information Sharing Platform): Plataforma open source diseñada para la colaboración y el intercambio de información sobre amenazas de ciberseguridad, incluyendo indicadores de compromiso (IoC). MISP facilita la detección temprana y la respuesta rápida a incidentes cibernéticos mediante el intercambio de dato s estructurados entre organizaciones. Fuente: MISP Project.

Resiliencia: Capacidad de un sistema, organización o sociedad expuesta a amenazas para resistir, absorber, adaptarse y recuperarse de sus efectos de manera oportuna y eficiente. En ciberseguridad, la resiliencia implica la

Resiliencia: Capacidad de un sistema, organización o sociedad expuesta a amenazas para resistir, absorber, adaptarse y recuperarse de sus efectos de manera oportuna y eficiente. En ciberseguridad, la resiliencia implica la capacidad de continuar operando y de recupera rse rápidamente tras un incidente de seguridad. Fuente: National Institute of Standards and

Technology (NIST).

4. Alcance El alcance es establecer el reporte al operador del sistema interconectado nacional XM de los siguientes incidentes de ciberseguridad: • Que afecte (n) el (los) Ciberactivo (s) crítico(s), según la definición establecida en el Acuerdo 1960 de 2025 o aquel que lo modifique o sustituya. • Que el agente considere que puedan poner en riesgo el Sistema

Interconectado Nacional (SIN).

Cuando el agente identifique alguno de los anteriores incidentes de ciberseguridad, deberá hacer el reporte, considerando sus procedimientos de gestión de incidentes de ciberseguridad.

5. Reporte de incidentes de ciberseguridad

El agente debe hacer el reporte del incidente de ciberseguridad a través del "Formato de reporte de incidentes” previsto en el Anexo 2 del presente Acuerdo, el cual se hará a través de correo seguro al buzón isoc@xm.com.co, para lo cual deberán tener en cuenta e l Anexo No 4 “Reporte de incidente mediante correo electrónico seguro” del presente Acuerdo.Anexo 1. Procedimiento de Reporte de Incidentes Cibernéticos Comité de Ciberseguridad

El mecanismo oficial para el reporte de Indicadores de Compromiso (IoC) ,

mediante correo electrónico seguro” del presente Acuerdo.Anexo 1. Procedimiento de Reporte de Incidentes Cibernéticos Comité de Ciberseguridad

El mecanismo oficial para el reporte de Indicadores de Compromiso (IoC) , tanto de los incidentes como de las alertas, será la Plataforma MISP del sector eléctrico (Ver anexo 3 del presente Acuerdo). El responsable de ciberseguridad del agente o quien corresponda de acuerdo con los procedimientos internos de cada agente, debe reportar el incidente de ciberseguridad dentro de las veinticuatro (24) horas calendario siguientes a su detección, de acuerdo con los procedimientos internos de gestión y comunicación de incidentes de cada agente. Este plazo es crítico para garantizar una respuesta oportuna y coordinada que minimice el impacto en el Sistema Interconectado Nacional (SIN).

6. Responsabilidades en el reporte de incidentes

A continuación, se establecen los roles y las responsabilidades en el reporte de incidentes de ciberseguridad por parte del emisor y receptor del reporte, así como las actividades para el seguimiento y monitoreo de los incidentes de ciberseguridad.

6.1. Emisor del reporte

6.1.1. Rol: XM y Agentes. 6.1.2. Descripción: • Todos los agentes del SIN deben realizar el reporte del incidente de ciberseguridad o de alerta preventiva mediante el formato de reporte de incidentes de ciberseguridad del Anexo 2 del presente Acuerdo. • Cada agente debe suscribirse a la plataforma MISP mediante el procedimiento que se establece en el Anexo 3 del presente Acuerdo. • La suscripción al MISP debe hacerse en un plazo de tres (3) meses

Acuerdo. • Cada agente debe suscribirse a la plataforma MISP mediante el procedimiento que se establece en el Anexo 3 del presente Acuerdo. • La suscripción al MISP debe hacerse en un plazo de tres (3) meses después de la expedición del presente acuerdo. • El emisor debe realizar una actualización al estado del incidente por correo electrónico al menos cada 3 días hábiles, o cuando haya información relevante para actualizarlo, hasta que se cierre el incidente de ciberseguridad. • El emisor debe realizar el cierre del incidente de ciberseguridad. • El emisor d eterminará la información que va a compartir del incidente de ciberseguridad en las reuniones del Comité de Ciberseguridad. • En caso de que el operador del sistema requiera implementar medidas de seguridad que involucren al agente que reporta el incidente, estas deberán ser comunicadas previamente alAnexo 1. Procedimiento de Reporte de Incidentes Cibernéticos Comité de Ciberseguridad

contacto designado por dicho agente, a través de los canales oficiales establecidos, siempre que este se encuentre disponible. De no ser posible establecer dicha comunicación por razones de urgencia o indisponibilidad, se procederá conforme a los protocolos de contingencia establecidos en el marco de la gestión de incidentes de cada agente , notificando a la mayor brevedad posible las acciones tomadas.

Parágrafo: Los agentes nuevos deberán realizar el registro en la plataforma MISP e iniciar el cumplimiento de las disposiciones establecidas en el presente acuerdo en un plazo máximo de tres (3) meses, contados a partir de la fecha de su registro como agentes del mercado ante el ASIC (ver anexos 2 y 3 del presente Acuerdo).

establecidas en el presente acuerdo en un plazo máximo de tres (3) meses, contados a partir de la fecha de su registro como agentes del mercado ante el ASIC (ver anexos 2 y 3 del presente Acuerdo).

6.2. Receptor del reporte

6.2.1. Rol: XM. 6.2.2. Descripción: • XM debe mantener disponible el canal de reporte (Buzón isoc@xm.com.co) de los incidentes de ciberseguridad o alertas preventivas. • XM debe validar el emisor del reporte y la información que se está reportando. • El medio de reporte de los incidentes de ciberseguridad definido por XM debe propender por mantener la confidencialidad e integridad de la información reportada. • XM, como operador del SIN (Sistema Interconectado Nacional) y en ejercicio de su deber legal, podrá compartir información relacionada con incidentes de ciberseguridad cuando estos representen una amenaza grave e inminente para la operación segura y confiable del Sistema Interconectado Nacional. Esta facultad se ej ercerá de manera proporcional a la gravedad del incidente, compartiendo únicamente la información estrictamente necesar ia previamente compartida en el anexo (Anexo No 2 ) para prevenir o mitigar imp actos sistémicos, y manteniendo la confidencialidad de datos sensibles que no sean esenciales para este propósito. XM notificará a l agente que reportó el incidente sobre la información que será compartida. Los destinatarios de la información que se deba compartir deben estar restringidos a los agentes destinatarios de este acuerdo, al CNO y autoridades pertinentes.Anexo 1. Procedimiento de Reporte de Incidentes Cibernéticos Comité de Ciberseguridad

estar restringidos a los agentes destinatarios de este acuerdo, al CNO y autoridades pertinentes.Anexo 1. Procedimiento de Reporte de Incidentes Cibernéticos Comité de Ciberseguridad

6.3. Seguimiento del incidente

6.3.1. Rol: Agentes. 6.3.2. Descripción: • De ser necesario el agente afectado podría seguir los procedimientos para establecer comunicación con entidades como el COLCERT, CCOCI, Policía y demás autoridades que se identifiquen puedan apoyar la gestión y respuesta de incidente de ciberseguridad del agente afectado, necesarias para mitigar el posible impacto del incidente reportado, manteniendo los criterios de seguridad, confiabilidad y resiliencia del SIN y de confidencialidad de la información. En este enlace se encuentra la Infografía Procedimient o de Gestión de Incidentes de Seguridad Digital del ColCERT: https://colcert.gov.co/800/w3article-282135.html.

6.4. Monitoreo de incidentes

6.4.1. Rol: XM y Agentes. 6.4.2. Descripción: • XM de manera mensual presenta al Comité de Ciberseguridad del CNO un informe estadístico de las alertas compartidas a través de la plataforma MISP y la usabilidad de esta plataforma. • XM informa de manera mensual al Comité de Ciberseguridad del CNO si se han reportado incidentes de ciberseguridad. • El Comité de Ciberseguridad define anualmente la realización de una sesión para compartir las lecciones aprendidas de los incidentes que se hayan presentado. • XM, de manera anual, presenta al Comité de Ciberseguridad del

• El Comité de Ciberseguridad define anualmente la realización de una sesión para compartir las lecciones aprendidas de los incidentes que se hayan presentado. • XM, de manera anual, presenta al Comité de Ciberseguridad del CNO, informe estadístico de los incidentes y alertas reportadas, el cual servirá para evaluar la efectividad del acuerdo y revisar requerimientos de actualización del mismo.

7. Acuerdo de Confidencialidad de la información 7.1. Las partes acuerdan que toda la información compartida en el marco del reporte de incidentes de ciberseguridad estará sujeta a las disposiciones de

confidencialidad establecidas en el Anexo No. 5 "Acuerdo de Confidencialidad para el Reporte de Incidentes de Ciberseguridad del Sector Eléctrico Colombiano".Anexo 1. Procedimiento de Reporte de Incidentes Cibernéticos Comité de Ciberseguridad

7.2. El Anexo No. 5 forma parte integral del presente acuerdo y sus disposiciones son de carácter vinculante para todos los destinatarios, incluyendo, pero no limitándose a los agentes generadores, transmisores, distribuidores y el operador del Sistema Interconectado Nacional.Anexo 1. Procedimiento de Reporte de Incidentes Cibernéticos Comité de Ciberseguridad

ANEXOS

Anexo No 2: Formato de reporte de incidentes de ciberseguridad

Anexo No 3: Guía de suscripción al MISP

Anexo No 4: Guía de r eporte de incidente mediante correo electrónico seguro

Anexo No 5 Acuerdo de confidencialidad