CNO - Anexo_1_Acuerdo_1960 de 2025

Anexo 1 Guía de Ciberseguridad Comité de Ciberseguridad

Revisión Fecha Descripción 0 10-12-2018 Versión para Comité Tecnológico 1 14-02-209 Versión actualizada según comentarios con anexo para comité. Se complementa introducción, revisiones generales y nuevo anexo de cumplimiento. 2 18-06-2019 Versión para publicar para comentaros. Recoge observaciones del Comité de Ciberseguridad y la mesa sectorial de infraestructura crítica. Se modifica principalmente el capítulo de recuperación y Gestión de incidentes, se revisan tiempos de cumplimiento. 3 29-07-2019 Versión con respuesta a solicitudes y comentarios. Cambios asociados a las solicitudes y comentarios. 4 28-08-2019 Versión con inclusión de comentarios faltantes. Se agrega capítulo de cadena de suministros y se explicita la resiliencia. 5 9-09-2020 Versión con actualización de plazos y aclaraciones. Se actualizan las fechas contadas a partir de la fecha de expedición del Acuerdo 1241. 6 13-10-2021 Actualización de las fechas de algunas actividades de la Guía de Ciberseguridad 7 1-12-2021 Modificación del numeral 4.3 del Anexo 2 de la Guía de Ciberseguridad se modifica el artículo 8 se incluyó el plazo de cumplimiento de la Guía de Ciberseguridad de los agentes nuevos y de los agentes existentes con nuevos activos, y se amplían los plazos de las siguientes actividades a partir del 3 de octubre de 2019, fecha de expedición del Acuerdo 1241. 8 3-11-2025 Se recomendó actualizar la Guía de Ciberseguridad y algunos plazos.Anexo 1 Guía de Ciberseguridad Comité de Ciberseguridad

Acuerdo 1241. 8 3-11-2025 Se recomendó actualizar la Guía de Ciberseguridad y algunos plazos.Anexo 1 Guía de Ciberseguridad Comité de Ciberseguridad

Contenido

1. CIBERSEGURIDAD ....................................................................................................................................................4 1.1. Introducción y Antecedentes .......................................................................................................................4 1.2. Glosario ............................................................................................................................................................5

2. ÁMBITO DE APLICACIÓN ........................................................................................................................................7

3. CUMPLIMIENTO ........................................................................................................................................................7 3.1. Auditorías ........................................................................................................................................................7

4. IDENTIFICACIÓN DE ACTIVOS CRÍTICOS ..............................................................................................................7 4.1. Activos críticos ................................................................................................................................................7 4.2. Ciberactivos críticos .......................................................................................................................................8

5. GOBIERNO Y GESTIÓN DEL PERSONAL ...............................................................................................................8 5.1. Política y lineamiento de ciberseguridad ...................................................................................................8 5.2. Responsable de ciberseguridad ...................................................................................................................8 5.3. Evaluación de riesgos para el personal .......................................................................................................8 5.4. Programa de conciencia y entrenamiento en ciberseguridad ................................................................8 5.5. Administración de accesos ...........................................................................................................................8 5.6. Verificación de registros de autorización ....................................................................................................9 5.7. Verificación de cuentas y privilegios de acceso .........................................................................................9 5.8. Procedimiento de revocación de accesos ..................................................................................................9

6. PERÍMETRO ...............................................................................................................................................................9 6.1. Perímetros de seguridad lógica ...................................................................................................................9 6.2. Listas de acceso ..............................................................................................................................................9 6.3. Procedimiento de monitoreo y registro de acceso ...................................................................................9 6.4. Validación de cambios ..................................................................................................................................9 6.5. Procedimiento para habilitar los puntos de acceso ................................................................................ 10

6.2. Listas de acceso ..............................................................................................................................................9 6.3. Procedimiento de monitoreo y registro de acceso ...................................................................................9 6.4. Validación de cambios ..................................................................................................................................9 6.5. Procedimiento para habilitar los puntos de acceso ................................................................................ 10 6.6. Procedimiento para la administración de conexiones temporales ...................................................... 10 6.7. Sistema de control intermedio ................................................................................................................... 10

7. GESTIÓN DE LA SEGURIDAD DE CIBERACTIVOS CRÍTICOS ............................................................................ 10 7.1. Procedimiento de control de cambios y gestión de configuraciones .................................................. 10 7.2. Herramientas de prevención de programas malignos “malware” ........................................................ 10 7.3. Procedimiento de evaluación de vulnerabilidades ................................................................................. 10 7.4. Procedimiento de control ciberactivos críticos transitorios y medios extraíbles ................................ 11 7.5. Procedimiento de actualizaciones y parches de seguridad ................................................................... 11 7.6. Procedimiento para identificar y monitorear eventos ............................................................................ 11

8. PLAN DE RECUPERACIÓN DE CIBERACTIVOS CRÍTICOS................................................................................. 11 8.1. Plan de recuperación y resiliencia ............................................................................................................. 11 8.2. Ejecución y documentación de pruebas o simulacros ........................................................................... 11 8.3. Registro de cambios del procedimiento de recuperación y resiliencia ................................................ 11 8.4. Respaldos y almacenamiento de información......................................................................................... 11 8.5. Pruebas a los respaldos y mecanismos de contingencia y continuidad .............................................. 12Anexo 1 Guía de Ciberseguridad Comité de

Ciberseguridad

9. PLAN DE RESPUESTA ANTE INCIDENTES EN CIBERACTIVOS CRÍTICOS ....................................................... 12 9.1. Plan de respuesta a incidentes de ciberseguridad ................................................................................. 12

Ciberseguridad

9. PLAN DE RESPUESTA ANTE INCIDENTES EN CIBERACTIVOS CRÍTICOS ....................................................... 12 9.1. Plan de respuesta a incidentes de ciberseguridad ................................................................................. 12 9.2. Simulacros o pruebas a los planes de respuesta a incidentes de ciberseguridad .............................. 12 9.3. Mantenimientos de los planes de respuesta a incidentes de ciberseguridad .................................... 12

10. SEGURIDAD FÍSICA DE CIBERACTIVOS CRÍTICOS ....................................................................................... 12 10.1. Plan de seguridad física .............................................................................................................................. 12 10.2. Restricción de acceso físico ........................................................................................................................ 13 10.3. Procedimiento de control de visitantes .................................................................................................... 13 10.4. Procedimiento de mantenimiento y pruebas .................................................................................... 13

11. GESTIÓN DE LA CADENA DE SUMINISTRO ........................................................................................................ 13 11.1. Plan de Gestión de riesgo de la cadena de suministro ........................................................................... 13 11.2. Plan de conciencia y entrenamiento en ciberseguridad de la cadena de suministro ....................... 13

12. GESTIÓN DE RIESGOS DE CIBERSEGURIDAD EN ACTIVOS CRÍTICOS ...................................................... 14 12.1. Evaluación de riesgos .................................................................................................................................. 14 12.2. Plan de tratamiento de riesgos .................................................................................................................. 14 12.3. Monitoreo y revisión ..................................................................................................................................... 14Anexo 1 Guía de Ciberseguridad Comité de

Ciberseguridad

1. CIBERSEGURIDAD

El Plan Sectorial de Protección y Defensa para la Infraestructura Crítica Cibernética del Sector Electricidad Colombiano estable ce los lineamientos que deben adoptar los diversos agentes del sector eléctrico y los operadores de infraestructuras críticas con el propósito de coordinar acciones eficientes e integrales para

Colombiano estable ce los lineamientos que deben adoptar los diversos agentes del sector eléctrico y los operadores de infraestructuras críticas con el propósito de coordinar acciones eficientes e integrales para prevenir y mitigar potenciales amenazas cibernéticas que puedan comprometer la disponibilidad y continuidad del servicio de energía eléctrica.

Ante la modernización tecnológica de la infraestructura del sector eléctrico en Colombia, la automatización de los procesos y de sus centros de operación local y remota, en el entorno globalizado y convergente en tecnología IP, es necesario mitigar y adaptarse a los riesgos asociados a la seguridad de la operación mediante reglas y normas que determinen las buenas prácticas, las cuales son actualmente, de aplicación permanente en gran parte del mundo.

1.1. Introducción y Antecedentes

Casos como los apagones registrados en Ucrania en 2015 , 2016, 2022 y 2024 producidos por ciberataques, así como los ataques a infraestructuras eléctricas del Reino Unido, Irlanda, Estados Unidos, Israel, India, entre otros han demostrado que los ataques cibernéticos a estas infraestructuras son una parte activa del panorama de riesgos actual y futuro. Conscientes de su rol en la sociedad colombiana y de que el sector eléctrico se ha venido modernizando con tecnologías de operación susceptibles a ciberataques; el sector ha desarrollado acciones de concientización y protección desde el año 2011 a través del Consejo Nacional de Operación (CNO) . P rimero publicando una guía de ciberseguridad para sus agentes basados en las Normas NERC-CIP v4, luego formalizada mediante la adopción por el Acuerdo 788 de 2015, todo ello acompañado de jornadas y talleres de ciberseguridad

ciberseguridad para sus agentes basados en las Normas NERC-CIP v4, luego formalizada mediante la adopción por el Acuerdo 788 de 2015, todo ello acompañado de jornadas y talleres de ciberseguridad que han fortalecido las capacidades de los agentes para responder ante estas nuevas amenazas.

Esta guía recopila las medidas mínimas que deben establecer l os agentes del Sector Eléctrico Colombiano para prepararse, detectar, contener, responder, coordinar la reacción y la recuperación. Así como la identificación de las lecciones aprendidas y las mejores prácticas para la gestión de los incidentes cibernéticos que puedan afectar al Sistema Interconectado Nacional . El objetivo es consolidar un nivel de madurez adecuado en las capacidades de ciberseguridad y ciberdefensa del sector, contribuyendo a la operación confiable, segura y resiliente de este.

En ese contexto, el sector eléctrico necesita implementar normativas asociadas con la ciberseguridad y apropiarse del conocimiento en este ámbito para garantizar la prestación eficiente del servicio de energía eléctrica.

Para la elaboración de esta guía se utilizó principalmente como referente la normativa publicada por la NERC (North American Electric Reliability Corporation) y compuesta por los estándares CIP (Critical Infrastructure Protection ), CIP -002 a CIP -014. De estos estándares, se seleccionaron y adaptaron aspectos aplicables al caso colombiano que fueron revisados por expertos de diferentes empresas del sector asignados al Comité de Ciberseguridad del CNO.

Las normas NERC CIP-002 a la CIP-014, tratan:

CIP-002-5.1a Categorización de ciberactivos críticos CIP-003-9 Gestión de controles de seguridad CIP-004-7 Personal y entrenamiento

Las normas NERC CIP-002 a la CIP-014, tratan:

CIP-002-5.1a Categorización de ciberactivos críticos CIP-003-9 Gestión de controles de seguridad CIP-004-7 Personal y entrenamiento CIP-005-7 Perímetro(s) de seguridad electrónica CIP-006-6 Seguridad física de ciberactivos críticos CIP-007-6 Gestión de seguridad del sistema CIP-008-6 Reporte de incidentes planes de respuesta CIP-009-6 Planes de recuperación de ciberactivos críticos CIP-010-4 Gestión de la configuración, cambios y evaluación de vulnerabilidades CIP-011-3 Protección de la información CIP-012-1 Comunicación entre centros de control CIP-013-2 Ciberseguridad cadena de suministro CIP-014-3 Seguridad física

Asimismo, los agentes tendrán la libertad de usar diferentes marcos de referencia (ISO, IEC, IEEE, NIST, ENISA, otros) para la elaboración de los procedimientos de acuerdo con los criterios definidos por sus equipos de ciberseguridad, siempre que el resultado cumpla con los requerimientos de la guía y sus anexos.Anexo 1 Guía de Ciberseguridad Comité de Ciberseguridad

En este sentido, se recomienda la adopción de los requerimientos mínimos de seguridad para la protección de los activos del Sistema Interconectado Nacional (SIN) que son considerados críticos para la operación confiable del sistema eléctrico . Es necesario , identificar los activos críticos, los ciberactivos críticos, los perímetros de seguridad lógica y seguridad física , y aplicar los criterios establecidos en esta guía, la cual deberá ser revisada por lo menos cada dos años para mantener su vigencia y actualización.

ciberactivos críticos, los perímetros de seguridad lógica y seguridad física , y aplicar los criterios establecidos en esta guía, la cual deberá ser revisada por lo menos cada dos años para mantener su vigencia y actualización.

1.2. Glosario

A continuación, se describen las definiciones de los principales conceptos asociados a la gestión de la ciberseguridad.

Acceso remoto: Acceso iniciado por el usuario empleando un software cliente u otra tecnología que utilice protocolos enrutables para obtener acceso remoto. El acceso remoto se origina desde un Ciberactivo que no es un Sistema intermedio y no está ubicado dentro del perímetro de seguridad de los Sistemas lógicos en el agente del SIN o entidades operativas del sector eléctrico. El acceso remoto puede ser iniciado a partir de: • Ciberactivos utilizados o propiedad de la Entidad Responsable, • Ciberactivos utilizados o propiedad de empleados, y • Ciberactivos utilizados o propiedad de proveedores, contratistas o consultores. El acceso remoto interactivo no incluye el proceso de sistema a sistema.

Activo crítico: Instalaciones con sistemas o equipos eléctricos que , si son destruidos, degradados o puestos fuera de servicio , afect arían la confiabilidad (suficiencia y seguridad), operatividad, o comprometerían la seguridad de la operación del SIN, según lo establecido en el Anexo “Criterios de activos críticos” (Anexo 2) de este Acuerdo.

Auditoría: Es la actividad mediante la cual un ente de control revisa y valida los registros y reportes de un procedimiento, con el fin de garantizar la calidad del mismo. En consecuencia, se generan acciones y los planes de mejoramiento.

Ciberactivo: Dispositivo electrónico programable y elementos de las redes de comunicaciones

un procedimiento, con el fin de garantizar la calidad del mismo. En consecuencia, se generan acciones y los planes de mejoramiento.

Ciberactivo: Dispositivo electrónico programable y elementos de las redes de comunicaciones incluyendo hardware, software, datos e información. Así como aquellos elementos con protocolos de comunicación enrutables, que permitan el acceso al mismo de forma local o remota.

Ciberactivo crítico: Dispositivo para la operación confiable de activos críticos que cumple los atributos descritos en el numeral 4.2.2.

Ciberactivo transitorio: Puede ser uno de los muchos tipos de dispositivos que son especialmente diseñados para dar soporte o mantenimiento a los ciberactivos críticos existentes, que puede ejecutarse desde un computador portátil o una tableta y que además puede interactuar o eje cutar aplicaciones compatibles con los ciberactivos críticos existentes o con la red en donde éstos se encuentran conectados.

Ciberespacio: Dominio global dentro del entorno de la información conformado por redes interdependientes de infraestructuras de sistemas de información que incluyen: internet, redes de telecomunicaciones, sistemas informáticos, procesadores embebidos y controladores integrados.

Ciberseguridad: Es la práctica para la prevención de daños, uso no autorizado, explotación y, si es necesario, la restauración de los sistemas electrónicos de información, comunicaciones, y la información que contienen, con el fin de fortalecer la confidencialidad, integridad y disponibilidad de estos sistemas.

Control compensatorio: Un control de gestión, operativo y/o técnico (salvaguarda o contramedida) empleado por una organización como reemplazo o complemento de otro control de seguridad recomendado y que proporciona una protección equivalente o comparable.

estos sistemas.

Control compensatorio: Un control de gestión, operativo y/o técnico (salvaguarda o contramedida) empleado por una organización como reemplazo o complemento de otro control de seguridad recomendado y que proporciona una protección equivalente o comparable.

Entidad Responsable: Hace referencia a los agentes generadores, transmisores, distribuidores y el operador del Sistema Interconectado Nacional responsables de activos y ciberactivos críticos que deben dar cumplimiento al Acuerdo CNO.Anexo 1 Guía de Ciberseguridad Comité de

Ciberseguridad

Evento: Ocurrencia o cambio de un conjunto particular de circunstancias, puede ocurrir una o varias veces en sistemas o servicios y puede tener múltiples causas, puede ser algo que no ha sucedido y algunas veces se puede referir a "incidente" o "accidente". (ISO/IEC 27000:2016, 2.25).

Gestión de vulnerabilidades: Capacidad del monitoreo continuo de la ciberseguridad por la cual se identifican vulnerabilidades (vulnerabilidades y exposiciones comunes - CVE) en dispositivos que podrían ser explotados por atacantes, para comprometer un dispositivo y usarlo como una plataforma desde la cual extender el compromiso a la red.

Incidente de Ciberseguridad: Cualquier acto que compromete o intente comprometer, la seguridad física o electrónica de un ciberactivo crítico o su perímetro.

Medios extraíbles: Medios de almacenamiento que: 1) No son ciberactivos, 2) Son capaces de transferir código ejecutable, 3) Pueden usarse para almacenar, copiar, mover o acceder a datos, y 4) Están conectados directamente a: • Ciberactivos críticos,

1. No son ciberactivos, 2) Son capaces de transferir código ejecutable, 3) Pueden usarse para almacenar, copiar, mover o acceder a datos, y 4) Están conectados directamente a: • Ciberactivos críticos, • La red dentro de un Perímetro de Seguridad lógica de los ciberactivos críticos o • Ciberactivos protegidos asociados a los ciberactivos críticos.

Ejemplos de medios extraíbles incluyen, entre otros, disquetes, discos compactos, unidades flash USB, discos duros externos y otras tarjetas/unidades de memoria flash.

Perímetro de Seguridad lógica: Es la frontera lógica, que rodea, aísla y protege la red donde se conectan los ciberactivos críticos de las conexiones de otras redes.

Perímetro de Seguridad Física: Es la frontera física, con acceso controlado, completamente contenida (“seis paredes”) que rodea cuartos de control, cuartos de comunicaciones, centros de operación y otros sitios que alojan ciberactivos críticos.

Pista de auditoría: Es la evidencia o resultado de la actividad de registrar y generar reportes durante la ejecución de un procedimiento.

Plantas menores: Plantas de generación de energía con capacidad mayor a 5MW y menor a 20 MW.

Para efectos del cumplimiento del presente acuerdo, se tendrá en cuenta la definición “Generación con plantas menores” del artículo 1 Definiciones de la resolución CREG 086 de 19961 o aquella que la modifique o sustituya.

Procedimiento operativo: Un documento que identifica los pasos generales para lograr una meta operativa genérica. Un proceso operativo incluye pasos con opciones que pueden seleccionarse dependiendo de las condiciones en tiempo real (por ejemplo, una guía para controlar el alto voltaje

Procedimiento operativo: Un documento que identifica los pasos generales para lograr una meta operativa genérica. Un proceso operativo incluye pasos con opciones que pueden seleccionarse dependiendo de las condiciones en tiempo real (por ejemplo, una guía para controlar el alto voltaje se puede considerar como un proceso operativo).

Programa: Es un conjunto de iniciativas, planes o proyectos desarrollados para el logro de objetivos comunes y concretos.

Perímetro de Seguridad lógica: Es la frontera lógica, que rodea, aísla y protege la red donde se conectan los ciberactivos críticos de las conexiones de otras redes.

Responsable de Ciberseguridad: Persona con la autoridad para dirigir la implementación de la guía de ciberseguridad.

Riesgo: Amenaza evaluada en términos de impacto y probabilidad, conforme a la política de riesgos de cada entidad, con el fin de minimizar posibles impactos en la operación confiable (suficiencia y seguridad) del SIN.

Seguridad de la información: Es la preservación de las características descritas a continuación. • Confidencialidad: Se garantiza que la información sea accesible sólo a aquellas personas autorizadas a tener acceso a ella.

1 https://gestornormativo.creg.gov.co/gestor/entorno/docs/resolucion_creg_0086_1996.htmAnexo 1 Guía de Ciberseguridad Comité de Ciberseguridad

• Disponibilidad: Se garantiza que los usuarios autorizados tengan acceso y puedan usar la información y los recursos relacionados con ella cada vez que se requiera. • Integridad: Se salvaguarda la exactitud y completitud de la información y los métodos de procesamiento. • No-repudio: Se previene la negación de la autoría de una acción que tuvo lugar o reclamar

• Integridad: Se salvaguarda la exactitud y completitud de la información y los métodos de procesamiento. • No-repudio: Se previene la negación de la autoría de una acción que tuvo lugar o reclamar la autoría de una acción que no se llevó a cabo.

Sistema de control intermedio: Un Ciberactivo o grupo de ciberactivos que realizan control de acceso para restringir las actividades de Acceso remoto solo a usuarios autorizados. El Sistema Intermedio no debe ubicarse dentro el Perímetro de Seguridad lógica.

2. ÁMBITO DE APLICACIÓN

Los criterios y requisitos establecidos en esta guía son aplicables a l os siguientes agentes prestadores del servicio público de energía eléctrica y al operador del Sistema Interconectado Nacional, que cumplen con el Anexo “Criterios de activos críticos” (Anexo 2).

a) Operador del sistema. b) Generadores. c) Transportadores. d) Distribuidores.

Para efecto de este documento, se entiende que las anteriores empresas de servicios públicos domiciliarios son entidades responsables.

En el Anexo “Lista de cumplimiento” (Anexo 3) del presente Acuerdo, se indican los numerales de esta Guía con los requisitos mínimos de ciberseguridad que aplican a los agentes generadores con plantas menores.

3. CUMPLIMIENTO

La entidad responsable deberá revisar, actualizar y conservar toda la documentación de l cumplimiento de las acciones de la guía, basado en el Anexo “Lista de cumplimiento” (Anexo 3), por un periodo mínimo de tres (3) años calendario.

Todo nuevo ciberactivo crítico deberá considerar la implementación de todos los aspectos de ciberseguridad

acciones de la guía, basado en el Anexo “Lista de cumplimiento” (Anexo 3), por un periodo mínimo de tres (3) años calendario.

Todo nuevo ciberactivo crítico deberá considerar la implementación de todos los aspectos de ciberseguridad solicitados en esta Guía. Para los ciberactivos críticos existentes, donde técnicamente no sea factible implementar algún control, esto deberá estar debidamente documentado. Además, deberán documentarse e implementarse controles compensatorios y de monitoreo, que disminuyan el riesgo de explotación de las vulnerabilidades, e incluirlo en el plan de modernización, si aplica.

3.1. Auditorías

Cada entidad responsable debe contar con un programa de auditoría que incluya la verificación de los requisitos previstos en esta guía. La auditoría debe realizarse cada 2 años.

Cada entidad responsable debe revisar, actualizar y conservar toda la documentación de soporte del cumplimiento de las acciones de la guía, bas ándose en el Anexo “Lista de cumplimiento” (Anexo 3) Lista de cumplimiento, por un mínimo de tres (3) años calendario.

4. IDENTIFICACIÓN DE ACTIVOS CRÍTICOS

En este numeral se define un marco de referencia y actuación en ciberseguridad para la identificación de ciberactivos críticos que soportan la operación confiable del Sistema Interconectado Nacional.

Su propósito es identificar y documentar los ciberactivos críticos asociados con los activos críticos que garantizan la operación confiable del Sistema Interconectado Nacional. Estos activos críticos deben ser identificados mediante la aplicación de los elementos establecidos en el Anexo “Criterios de Activos Críticos” (Anexo 2).

garantizan la operación confiable del Sistema Interconectado Nacional. Estos activos críticos deben ser identificados mediante la aplicación de los elementos establecidos en el Anexo “Criterios de Activos Críticos” (Anexo 2).

4.1. Activos críticosAnexo 1 Guía de Ciberseguridad Comité de Ciberseguridad

Cada entidad responsable debe identifica r, documentar e inventariar sus activos críticos basada en los criterios del Anexo “Criterios de activos críticos” (Anexo 2).

4.2. Ciberactivos críticos

Usando la lista de activos críticos desarrollada según el requisito anterior, cada entidad responsable identificará y documentará sus ciberactivos críticos, esenciales para la operación de los activos críticos. Los ciberactivos críticos son calificados como aquellos que usan un protocolo enrutable o de comunicación para comunicarse afuera o dentro del perímetro de seguridad lógica.

La información del inventario de ciberactivos críticos debe contener la información que permita la identificación del ciberactivo de manera única en la red y el activo crítico al que pertenece.

5. GOBIERNO Y GESTIÓN DEL PERSONAL

Este numeral define un marco de referencia y/o actuación de ciberseguridad para la definición de gobierno, roles y responsabilidades.

Tiene como propósito requerir al personal que tiene acceso lógico o acceso físico no escoltado a ciberactivos críticos, una evaluación del nivel de riesgo de personal, entrenamiento y sensibilización en seguridad, así como las pautas para la protección de la información.

5.1. Política y lineamiento de ciberseguridad

La entidad responsable debe definir y documentar una política o lineamiento de ciberseguridad que

las pautas para la protección de la información.

5.1. Política y lineamiento de ciberseguridad

La entidad responsable debe definir y documentar una política o lineamiento de ciberseguridad que establezca los compromisos de la empresa y la asignación de recursos para cumplir con la guía de ciberseguridad. Esta política debe ser aprobada a nivel organizacional para garantizar su cumplimiento.

5.2. Responsable de ciberseguridad

La entidad responsable debe identificar y nombrar un responsable de ciberseguridad y notificarlo al CNO, mediante comunicación escrita dirigid