INS - Resolución 0002 de 2026

REPUBLICA DE COLOMBIA

ES Mel, Ose INSTITUTO NACIONAL DE SALUD RESOLUCIÓN NúmERO ~ 0002 DE 2026 ( DS ENE 2028 =) “Por la cual se designa al Oficial de Seguridad y Privacidad de la Información ySeguridad Digital del Instituto Nacional de Salud” LA DIRECTORA GENERAL DEL INSTITUTO NACIONAL DE SALUD En ejercicio de sus facultades legales contempladas en el numeral 23 del artículo 5 delDecreto 2774 de 2012 y CONSIDERANDO Que la Constitución Política en su artículo 15 consagra el derecho fundamental quetienen todas las personas a conservar su intimidad personal y familiar, al buen nombre,conocer, actualizar y rectificar la información que se haya recogido sobre ellos en losbancos de datos y en archivos de entidades públicas y privadas. Que el Instituto Nacional de Salud — INS es un instituto científico y técnico, conpersonería jurídica, autonomía administrativa y patrimonio propio, cuya estructurainterna se define en el Decreto 2774 de 2012. Que el INS, en su carácter de autoridad científico-técnica, tiene como objeto, entreotros, la gestión del conocimiento científico en salud y biomedicina, la vigilancia. yseguridad sanitaria en temas de su competencia, la producción de insumos biológicos,y actuar como laboratorio nacional de referencia y coordinador de redes especiales, locual demanda medidas reforzadas de seguridad y privacidad de la informacióninstitucional.

Que, para el cumplimiento de su objeto y funciones, el INS participa en la planeación,desarrollo y coordinación de sistemas de información en salud pública, lo cual implicagestión integral de riesgos y controles sobre la información institucional y los datospersonales tratados por la entidad. Que de conformidad con el Decreto 2774 de 2012, el INS cuenta con Direccionesmisionales tales como Dirección de Investigación en Salud Pública, Dirección deVigilancia y Análisis del Riesgo en Salud Pública, Dirección de Redes en Salud Públicay Dirección de Producción, además de las subdirecciones misionales asociadas, cuyaoperación se apalanca en activos de información y servicios tecnológicos críticos querequieren lineamientos transversales de seguridad y privacidad. Que la Oficina de Tecnologías de la Información y las Comunicaciones tiene, de formageneral, entre sus funciones, proponer políticas TIC, asegurar la consistencia yseguridad de datos e información institucional y atender e implementar políticas yacciones relativas a la seguridad de la información y de la plataforma tecnológica delInstituto, razón por la cual su jefatura constituye un rol idóneo para ejercer la funcióntransversal de Oficial de Seguridad y Privacidad de la Información y Seguridad Digital. Que el artículo 25 de la Ley 1581 de 2012 creó el Registro Nacional de Bases de Datos(RNBD), administrado por la Superintendencia de Industria y Comercio, y se hanimpartido instrucciones para su gestión mediante la Circular Unica / circulares externasde la SIC. Que el Manual Operativo del Modelo Integrado de Planeación y Gestión (MIPG) en elnumeral 3.4.2 Política de Seguridad Digital - Lineamientos generales para laimplementación, establece (...) “se debe articularlos esfuerzos, recursos, metodologíasRESOLUCIÓN NÚMERO. D0U2 DE.“QS ENE om HOJA No 2

“Por fa cual se designa al Oficial de Seguridad y Privacidad de la información y Seguridad Digital del instituto Nacional deSalud" y estrategias para asegurar la implementación de la política. Para ello, se debedesignar un responsable de Seguridad Digital que también es el responsable de laSeguridad de la Información en la entidad, el cual debe pertenecer a un áreatransversal que haga parte de la Alta Dirección” (...). Que el Manual de Gobierno Digital, del que trata el Decreto 1008 de 2018 (cuyasdisposiciones se encuentran compiladas en el Decreto 1078 de 2015, capítulo 1, título9, libro 2, parte 2), establece en el numeral 1.6. los Roles e instancias importantes parala implementación de la política, entre los cuales se encuentra el responsable deSeguridad de la Información, en el cual se dicta que (...) en la respectiva entidad, sedebe designar un responsable de Seguridad de la Información que a su vez responderápor la Seguridad Digital en la entidad, el cual debe pertenecer a un área que haga partedel direccionamiento estratégico o Alta Dirección (...). Que el Decreto 1008 de 2018, el cual establece los lineamientos generales de lapolítica de Gobierno Digital y se subroga-el Capítulo 1 del Título 9 de la Parte 2 delLibro 2 del Decreto número 1078 de 2015, Decreto Unico Reglamentario del Sector deTecnologías de la Información y las Comunicaciones, determina que (...) “la seguridadde la información busca crear condiciones de uso confiable en el entorno digital,mediante un enfoque basado en la gestión de riesgos preservando la confidencialidad,integridad y disponibilidad de la información de las entidades del Estado, y de losservicios que prestan al ciudadano’...).

Que, el Ministerio de Tecnologías de la Información y las Comunicaciones estableció, através de la Resolución 500 de 2021 los lineamientos y estándares para la estrategiade seguridad digital, y la adopción del Modelo de Seguridad y Privacidad de laInformación - MSPI, como habilitador de la política de Gobierno Digital, el cual conducea la preservación de la confidencialidad, integridad, disponibilidad de la información,permitiendo garantizar la privacidad de los datos, mediante la aplicación de un procesode gestión del riesgo, brindando confianza a las partes interesadas acerca de laadecuada gestión de riesgos. Que mediante la adopción del Modelo de Seguridad y privacidad por parte de lasentidades del Estado se busca contribuir al incremento de la transparencia en laGestión Pública, promoviendo el uso de las mejores prácticas de seguridad de lainformación, cumpliendo con la aplicación del concepto de Seguridad Digital. Que mediante la Resolución 1457 de 2025 el Instituto Nacional de Salud actualiza laPolítica de Seguridad y Privacidad de la Información, Seguridad Digital y continuidad dela operación de los servicios tecnológicos como uno de los habilitadores de la políticade Gobierno Digital, así como las políticas generales de manejo y los lineamientosfrente a su uso y administración, con el fin de garantizar la protección de los activos deinformación, la prestación continua de los servicios institucionales, la seguridad de losdatos de terceros obtenidos bajo el desarrollo de las actividades misionales y elcumplimiento de los principios de confidencialidad, integridad, privacidad y disponibilidad de la información. Que por todo lo anterior el Instituto Nacional de Salud requiere designar el Oficial deSeguridad y privacidad de la Información y de Seguridad Digital, definir lasresponsabilidades para la implementación de la política de seguridad digital, para darcumplimiento al Modelo de Seguridad y Privacidad de la Información — MSPI delMinTIC, habilitador transversal de la Política de Gobierno Digital.

Que, en mérito de lo expuesto,resoLución número. 0002 pg = aan, HOJA No 3O 5 'ENE 2025 “Por la cual se designa al Oficial de Seguridad y Privacidad de la Información y Seguridad Digitaf del Instituto Nacional deSalud” RESUELVE ARTÍCULO 1. Designar al Jefe de la Oficina de Tecnologías de la Información y lasComunicaciones - OTIC, el rol de Oficial de Seguridad y Privacidad de la Información ySeguridad Digital. ARTÍCULO 2. El funcionario delegado, en su rol de Oficial de Seguridad y Privacidadde la Información y de Seguridad Digital, tendrá a su cargo las siguientes funciones: Respecto a Seguridad y Privacidad de la Información: ’

1. Fomentar la implementación del habilitador transversal de seguridad y privacidadde la Política de Gobierno Digital y la política de Seguridad Digital al interior delINS.2. Asesorar a la Entidad en el diseño, implementación y mantenimiento del Modelode Seguridad y Privacidad de la Información (MSPI) y seguridad digital(ciberseguridad) para la misma, de conformidad con la regulación vigente.3. Identificar y gestionar la brecha de Seguridad y privacidad de la información yseguridad digital entre el MSPI y la situación actual de la Entidad.4. Realizar la estimación, planificación y cronograma de la implementación del MSPI.5. Liderar la implementación y hacer seguimiento a las tareas y cronograma definidodel Modelo de Seguridad y Privacidad de la Información al interior de la Entidad.6. Definir, elaborar e implementar las políticas, procedimientos, estándares odocumentos que sean de su competencia para la operación del MSPI.7. Liderar y brindar acompañamiento a los procesos de la Entidad en la gestión deriesgos de seguridad y privacidad de la información y seguridad digital(ciberseguridad), así como los controles correspondientes para su mitigación yseguimiento al plan de tratamiento de riesgos, de acuerdo con las disposiciones ymetodologías en la materia.8. Proponer la formulación de políticas y lineamientos de seguridad y privacidad de lainformación y seguridad digital.9. Definir e implementar en coordinación con las dependencias de la Entidad, lasestrategias de sensibilización, concienciación y divulgación de la seguridad yprivacidad de la información para servidores públicos y contratistas.10.Apoyar a los procesos de la Entidad en los planes de mejoramiento para darcumplimiento a los

planes de acción en materia de seguridad y privacidad de lainformación y seguridad digital (ciberseguridad).11. Definir, socializar e implementar el procedimiento de Gestión de Incidentes deseguridad y privacidad de la información y seguridad digital en la entidad.12.Efectuar acompañamiento a la alta dirección, para asegurar el liderazgo ycumplimiento de los roles y responsabilidades de los líderes de los procesos enseguridad y privacidad de la información y seguridad digital (ciberseguridad).13.Poner en conocimiento de las dependencias con competencia funcional, cuandose detecten irregularidades, incidentes o prácticas que atenten contra la seguridady privacidad de la información y seguridad digital (ciberseguridad) de acuerdo conla normativa vigente.14. Reportar al Registro Nacional de Bases de Datos (RNBD) de la Superintendenciade Industria y Comercio (SIC) o quien haga sus veces, de conformidad con lodispuesto en la norma, las bases de datos con datos personales que reposan enla Entidad.15.Atender, en representación de la Entidad, las visitas de inspección y losrequerimientos que realice la autoridad designada para la verificación delcumplimiento del MSP! y de la Ley de protección de datos personales.16.Mantener y documentar los contactos con autoridades (policía Nacional,INTERPOL, Bomberos, Defensa Civil, Grupos de atención de desastres, SIC, etc.)RESOLUCIÓN NUMERO. 0002 DE. O5:ENE 2006 HOJA No 4

“Por la cual se designa al Oficial de Seguridad y Privacidad de la Información y Seguridad Digital del Instituto Nacional deSalud”

u otros especializados y asociaciones profesionales para que puedan sercontactados de manera oportuna en el caso de que se presente un incidente deseguridad y privacidad de la información que requiera de asesoría externa.17.Mantener contacto con grupos de interés especializados en seguridad y privacidadde la información y seguridad digital, con el fin de compartir e intercambiarconocimientos en pro a la mejora continua del MSPI de la Entidad.18.Reportar al Comité Directivo el estado de la implementación del MSPI.19.Atender las peticiones, quejas, reclamos, sugerencias y denuncias (PQRSD) enmateria de seguridad y privacidad de la información, seguridad digital.20. Asistir a los eventos en representación de la Entidad que le sean designados porel despacho de la Dirección.21.Coordinar el equipo de trabajo de gestión e implementación en seguridad yprivacidad de a información y seguridad digital al interior de la Entidad.22. Participar en las mesas de trabajo del Comando Conjunto de OperacionesCibernéticas e Infraestructuras Críticas Cibernéticas Nacionales (CCOCI) del paísy en aquellas mesas de trabajo que designe el Despacho de la Dirección.23.Revisar y verificar el cumplimiento de los requisitos legales y reglamentarios enmateria de Seguridad y Privacidad de la Información y seguridad digital.24. Liderar en conjunto con los líderes de proceso, la actualización y publicación delos instrumentos de gestión de la información, en conjunto con sus respectivosactos administrativos, en atención a los lineamientos dispuestos por la Ley 1712de 2014 y el anexo 2 de la Resolución 1519 de 2020 de MinTIC.25.Aplicar los estándares mínimos técnicos y de seguridad

digital aplicables a lossujetos obligados en sus sitios web, definidas en el Anexo 3 de la Resolución 1519de 2020 de MinTIC.26.Realizar seguimiento a las vulnerabilidades identificadas en la plataformatecnológica de la entidad y sistemas de información, y coordinar los respectivosplanes de remediación de acuerdo con los resultados obtenidos

ARTÍCULO 3. Ámbito de aplicación. Las disposiciones mencionadas en la presenteresolución serán aplicables a todos los procesos del Instituto Nacional de Salud, enatención a los lineamientos emitidos por el Oficial de Seguridad y Privacidad de laInformación y Seguridad Digital. ARTÍCULO 4. Responsabilidades de los propietarios de los activos deinformación. El propietario del activo de información corresponde al nombre delcargo, dependencia, o al nombre de la entidad externa quien decide sobre el activode información, establece controles, lo modifica, crea, cambia, ajusta, elimina otransforma, el cual deberá:

1. Dar cumplimiento a las políticas de seguridad y privacidad de la información yseguridad digital establecidas.2. Definir el nivel de clasificación y criticidad de la información, dar las directrices deuso del activo, autorizar privilegios y definir el ciclo de vida de este.3. Informar al Oficial de Seguridad y Privacidad de la Información y Seguridad Digital,cuando detecte cualquier incidente, para que sea tratado y corregido mediante laaplicación de controles.4. Implementar las medidas de seguridad y privacidad de la información necesariasen su área para evitar eventos, incidentes de seguridad o violaciones a laprivacidad de los activos de información.5. En los casos en que aplique, asegurarse de que el personal (servidores públicos,contratistas o proveedores) tenga cláusulas de confidencialidad en los contratos ysea consciente de sus responsabilidades.RESOLUCIÓN NÚMERO” 0092 DE Pen og HOJA No 5

“Por la cual se designa al Oficial de Seguridad y Privacidad de la Información y Seguridad Digital del Instituto Nacional deSalud" ARTÍCULO 5. Responsabilidades de los usuarios de la información. Se entiendepor usuario de. látinformación cualquier servidor público, contratista, proveedor otercero, que utiliza la información procesada y suministrada por el INS para ejercersus funciones o actividades contratadas en las dependencias y procesos de laentidad, y tienen responsabilidad de:

1. Conocer, comprender y aplicar las políticas de seguridad y privacidad de lainformación y seguridad digital establecidas por el INS.2. Participar en las campañas de sensibilización, concienciación y capacitación enseguridad y privacidad de la información y seguridad digital del INS.3. Aplicar las medidas de protección de la información a su cargo, de acuerdo con suclasificación y valor para garantizar la confidencialidad, integridad, privacidad ydisponibilidad de la información.4. Reportar las debilidades, eventos, riesgos o los incidentes de seguridadidentificados en la operación de su proceso, a través de la mesa de ayuda, segúnlo establecido en el procedimiento.5. Cumplir con el acuerdo de confidencialidad y manejo de la información firmadocon la entidad.

ARTÍCULO 6. Vigencia. La presente resolución rige a partir de la fecha de supublicación y deroga las disposiciones que le sean contrarias.

COMUNÍQUESE Y CÚMPLASE

Dada en Bogotá D.C., a los 5 días del mes de enero de 2026 mn,DIANA MARCE A on pdDirectora General Revisó: Carlos Andrés López Fernández - Jefe ondProyecto: Sergio Andrés Ramos P - Contratista OTICE2—