2026_Anexo_5_Acuerdo 2088

ANEXO No 5 "Acuerdo de Confidencialidad para el Reporte de Incidentes de Ciberseguridad del Sector Eléctrico Colombiano"

Entre los suscritos: Agentes generadores, transmisores, distribuidores y el operador del Sistema Interconectado Nacional, Quienes podrán denominarse, bajo este acuerdo, sea en forma conjunta o separadamente, como las “Partes” o la “Parte”, o podrán denomin arse en cada caso y según como actúen, como la “Parte Reveladora” cuando es quien suministra la Información o la “Parte Receptora” cuando es quien recibe la Información, según sea el caso, han decidido celebrar el presente acuerdo de confidencialidad (el “ Acuerdo”), previas las siguientes consideraciones: Las partes se comprometen a mantener estricta confidencialidad respecto a toda la información compartida en virtud del cumplimiento del presente Acuerdo, incluyendo, pero no limitándose a, los reportes de incidentes de ciberseguridad, indicadores de compromiso (IoC), datos técnicos, estrategias de mitigación y cualquier otra información relacionada con la seguridad del Sistema Interconectado Nacional (SIN) y el Mercado de Energía Mayorista (MEM).

Dicha información podrá ser escrita, verbal, en medio digital, en cualquier forma, tangible o no. Incluye entre otras, procesos, proyectos, esbozos, fotografías, plantas, diseños, bases de datos, directorios, tablas, conceptos de producto, especificaciones, muestras (incluso de equipos y herramientas), informativos, nombres de clientes, vendedores y/o distribuidores, información de precios, definiciones de mercado, invenciones e ideas o, en cualquier otra forma y en cualquier otro medio, accesos remotos y/o físicos a máquinas, servicios,

nombres de clientes, vendedores y/o distribuidores, información de precios, definiciones de mercado, invenciones e ideas o, en cualquier otra forma y en cualquier otro medio, accesos remotos y/o físicos a máquinas, servicios, contraseñas, usuarios y toda información que se suministren o divulguen las partes en ejecución del Proyecto. De igual forma son constitutivos de información confidencial, todos los datos dentro del presente acuerdo, en cualquier forma y en cualquier medio, elaborados por las partes o sus directores, funcionarios, empleados o representantes que se deriven de, o se relacionen con la información que trata el párrafo anterior; o que contengan o se basen en todo o en parte, en dicha información; al igual que cualquier idea, concepto, know -how, conocimiento o técnica relacionada con LA

PARTE REVELADORA.

El presente acuerdo tiene como principal finalidad que LAS PARTES compartan información de incidentes de ciberseguridad de manera segura con el ánimo de promover la prevención, detección, respuesta y mitigación de incidentes de ciberseguridad que puedan af ectar al sector eléctrico colombiano dentro del alcance de la Guía de Ciberseguridad vigente expedida por el Consejo Nacional de Operación CNO.1.1. Protección de tratamiento de los datos personales (Si el IoC o los Reportes de incidente, la información tiene datos personales) Para todas las definiciones relativas a datos personales, se hace referencia a los términos y definiciones establecidos en la Ley 1581 de 2012, el Decreto 1074 de 2015 así como a cualquier otra legislación vigente aplicable. Los datos personales que se com parten recíprocamente durante y para la suscripción del presente Acuerdo son de carácter corporativo y se tratan para la exclusiva finalidad de gestión y ejecución de este, y por tanto para

datos personales que se com parten recíprocamente durante y para la suscripción del presente Acuerdo son de carácter corporativo y se tratan para la exclusiva finalidad de gestión y ejecución de este, y por tanto para dar cumplimiento con las obligaciones previstas en la Ley. Dicho tratamiento se realizará de acuerdo con las políticas de cada parte en su calidad de responsables del tratamiento de datos personales. Cada Parte declara tener autorización para el manejo, tratamiento y circulación de los datos personales compartidos a la otra Parte, en los términos del presente acuerdo. Asimismo, las Partes declaran que, para el cumplimiento y ejecución del objeto del presente acuerdo, no intercambiarán ni remitirán entre sí datos personales de personas naturales identificadas o identificables. Cada Parte, en relación con su experiencia, capacidad y confiabilidad declaradas, deberá brindar una garantía adecuada de cumplimiento de la normativa de tratamiento de datos aplicable.

1.2. Alcance Esta obligación de confidencialidad se extiende a los Agentes generadores, transmisores, distribuidores y el operador del Sistema Interconectado Nacional que tengan acceso a la información en el marco de este Acuerdo.

1.3. Seguridad Las partes se comprometen a implementar medidas de seguridad adecuadas para proteger la información confidencial contra accesos no autorizados, divulgación, alteración o destrucción. Las partes garantizan que aplicarán las mismas medidas de seguridad razonables para evitar divulgación, fuga o uso no autorizado de información confidencial o patentada y aceptan que protegerán la Información Confidencial de cada una, de la misma manera y en el mismo grado en que protegen su propia Información Confidencial. Se conviene que toda la Información Confidencial sea guardada por la

información confidencial o patentada y aceptan que protegerán la Información Confidencial de cada una, de la misma manera y en el mismo grado en que protegen su propia Información Confidencial. Se conviene que toda la Información Confidencial sea guardada por la PARTE RECEPTORA en un lugar con acceso limitado únicamente a los Representantes o a quienes en forma razonable requieran conocer laInformación Confidencial en relación con el presente Acuerdo. Si así lo considera, La PARTE REVELADORA solicitará por escrito las medidas de seguridad requeridas para el acceso y protección de la información confidencial, así como para su transporte, almacenamiento o procesamiento.

1.4. Excepciones La obligación de confidencialidad no aplicará a información que: a) Sea de dominio público al momento de su divulgación o se haga pública por medios ajenos a las partes. b) Antes de revelarla estuviera en posesión legítima de la PARTE RECEPTORA. c) Deba ser divulgada por mandato legal o por orden de autoridad competente. d) Sea desarrollada independientemente por una de las partes sin uso de la información confidencial. e) Sea revelada con la aprobación previa y escrita de la PARTE

REVELADORA.

1.5. Incidentes, consultas y resolución de conflictos sobre confidencialidad de la información Es una obligación de la PARTE RECEPTORA realizar el reporte de cualquier hecho que amenace las condiciones del presente acuerdo, el compromiso de la, seguridad o la violación de leyes aplicables a la información de propiedad de la PARTE REVELADORA dentro de los dos (2) días calendario siguientes a la ocurrencia de cualquier incidente. La PARTE REVELADORA designará una persona, así como los medios

de la, seguridad o la violación de leyes aplicables a la información de propiedad de la PARTE REVELADORA dentro de los dos (2) días calendario siguientes a la ocurrencia de cualquier incidente. La PARTE REVELADORA designará una persona, así como los medios necesarios para recibir los reportes, consultas o conflictos sobre el manejo de la información. Si surgiere alguna diferencia, disputa o controversia entre LAS PARTES por razón o con ocasión del presente Acuerdo, LAS PARTES buscarán de buena fe un arreglo directo antes de acudir a la justicia ordinaria. En consecuencia, si surgiere alguna diferencia, cualquiera de LAS PARTES notificará a la otra la existencia de dicha diferencia y la etapa de arreglo directo surgirá desde el día siguiente a la respectiva notificación. Esta etapa de arreglo directo culminará a los treinta (30) días siguientes a la fech a de su comienzo. En caso de no lograrse acuerdo en el citado término, la controversia será resuelta por los jueces de la República de Colombia.1.6. Responsabilidad El incumplimiento de las obligaciones de confidencialidad establecidas en este artículo dará lugar a las acciones legales correspondientes y a la indemnización por los daños y perjuicios causados.

1.7. Propiedad de información Las Partes admiten y consienten que toda la Información Confidencial que se trata en virtud del presente Acuerdo, es propiedad exclusiva de la Parte Reveladora.

1.8. Clasificación de la información Información de los IOC: La clasificación de los datos contenido en los IoCs se consideran públicos y es responsabilidad de la PARTE REVELADORA o empresa que lo publica el aplicar todas las medidas de seguridad para evitar que se publique información CONFIDENCIAL.

Información de los IOC: La clasificación de los datos contenido en los IoCs se consideran públicos y es responsabilidad de la PARTE REVELADORA o empresa que lo publica el aplicar todas las medidas de seguridad para evitar que se publique información CONFIDENCIAL.

Otra información relacionada con los incidentes: Detalles Técnicos, Informes, Reportes, Lecciones Aprendidas del Incidente, Cualquier otra Información relacionada con el Incidente se considera CONFIDENCIAL y será compartida discrecionalmente por las partes.

1.9. Vigencia del acuerdo de confidencialidad La información que se haya compartido en cumplimiento de este acuerdo será mantenida en común acuerdo entre las partes, considerando la normatividad legal que aplique.