SUPERTRANSPORTE - Anexo técnico SICOV CRC

Página 1 de 95 GJ-FR-015 V1, 24mayo -2023

ANEXO TÉCNICO PARA LA IMPLEMENTACIÓN DEL SISTEMA DE CONTROL Y VIGILANCIA PARA CENTROS DE RECONOCIMIENTO DE CONDUCTORES Este es el Anexo Técnico del Sistema de Control y Vigilancia para Centros de Reconocimiento de Conductores del que trata la Resolución 9699 de 2014 en la versión adoptada a través de la Resolución 2879 de 2026, que sustituyó integralmente la contenida en la Resolución 6246 de 2016 y las normas que la modificaron. TÍTULO 1 INFORMACIÓN GENERAL DEL SISTEMA DE CONTROL Y VIGILANCIA PARA CENTROS DE RECONOCIMIENTO DE CONDUCTORES 1.1. Introducción El presente Anexo Técnico establece el conjunto detallado de requerimientos técnicos, funcionales y operativos que deben cumplir los operadores homologados del Sistema de Control y Vigilancia para Centros de Reconocimiento de Conductores (CRC). Para facilitar su comprensión y aplicación, este documento se estructura en los siguientes títulos principales: Título 1 – Información general del SICOV: Presenta el objetivo, la definición, el marco normativo y el alcance del Sistema de Control y Vigilancia, contextualizando su importancia y propósito. Título 2 – Requerimientos para la provisión del SICOV: Detalla los requisitos de carácter jurídico, administrativo, financiero y técnico que deben satisfacer los proveedores tecnológicos homologados. Título 3 – Auditorías del SICOV: Establece las directrices para las auditorías al Sistema y a sus operadores homologados. Título 4 – Acuerdos de niveles de servicio y obligaciones de las partes: Define los niveles de servicio esperados del SICOV y sus componentes,

la política de tratamiento y conservación de la información, y las obligaciones específicas tanto de los proveedores homologados como de los Centros de Reconocimiento de Conductores frente al funcionamiento del Sistema. 1.2. Objetivo del documento El presente Anexo Técnico tiene como objetivo principal establecer los requerimientos del conjunto integral de estándares técnicos, infraestructura tecnológica (hardware y software), protocolos de seguridad y servicios de comunicaciones que garantizan la trazabilidad y autenticidad en la prestación del servicio por parte de los CRC. 1.3. Marco normativo El Sistema de Control y Vigilancia se fundamenta en las facultades constitucionales otorgadas al Presidente de la República, y en las legales otorgadas directamente a la Superintendencia de Transporte. En particular, su creación, implementación y operación se enmarcan en las siguientes normas: - El artículo 2 de la Constitución Política, que establece el deber de las autoridades de proteger a las personas y asegurar el cumplimiento de los deberes sociales del Estado y los particulares. - El artículo 24 de la Constitución Política, que consagra el derecho a la libre circulación, sujeto a la reglamentación de las autoridades para garantía de la seguridad.Página 2 de 95 GJ-FR-015 V1, 24mayo -2023

• El artículo 365 de la Constitución Política y el literal b del artículo 2 de la Ley 105 de 1993, que atribuyen al Estado las funciones de planeación, regulación, control y vigilancia del servicio público de transporte. - La Ley 769 de 2002 (Código Nacional de Tránsito), que en su parágrafo 3 del artículo 3, modificado por la Ley 1383 de 2010, asigna a la Superintendencia la función de vigilar y controlar a las autoridades, organismos de tránsito y entidades que constituyan organismos de apoyo al tránsito. - El Decreto 2409 de 2018, que modificó la estructura de la Superintendencia de Transporte y estableció la necesidad de modernizar los sistemas de inspección, vigilancia y control, facultándola para expedir los reglamentos, manuales e instructivos necesarios. - La Ley 2050 de 2020, artículo 22, que determinó la obligación para la Superintendencia de realizar visitas periódicas a los organismos de apoyo, directamente o a través del SICOV, y le ordenó adjudicar la instalación, implementación, operación y mantenimiento de los sistemas bajo contratación estatal. Así mismo, el artículo 23 de la misma ley, que adicionó un parágrafo al artículo 136 de la Ley 769 de 2002, determinó la posibilidad de cursos virtuales para infractores con autenticación biométrica a través del SICOV. - Ley 1341 de 2009 (Ley General de Tecnologías de la Información y las Comunicaciones - TIC): Es la ley marco del sector TIC en Colombia y establece principios sobre la sociedad de la información. Su inclusión contextualiza el fomento y desarrollo de TIC

como política de Estado, relevante para cualquier sistema tecnológico gubernamental. - Ley 527 de 1999 (Ley de Comercio Electrónico): Esta ley es fundamental porque otorga validez jurídica a los mensajes de datos, las firmas digitales y, en general, a las transacciones electrónicas. Dado que el SICOV opera con información digital y transacciones electrónicas, esta ley es la base de su fuerza probatoria. - Ley 1581 de 2012 (Ley de Protección de Datos Personales): El SICOV maneja una gran cantidad de datos personales y sensibles (biométricos, de salud). Aunque se menciona la responsabilidad sobre datos personales en otros artículos de la resolución, su inclusión explícita en el "Marco legal" del Anexo Técnico es esencial por la criticidad de la información tratada. - Decreto 767 de 2022 (Actualización de la Política de Gobierno Digital): Este decreto es el marco actual de la Política de Gobierno Digital, que impulsa la transformación digital en el sector público, la interoperabilidad y el uso de TIC para la eficiencia estatal. Su inclusión refuerza el sustento de la modernización tecnológica del SICOV. En el marco de esta política, la estandarización de datos y protocolos de intercambio es un principio fundamental para el efectivo intercambio de información entre entidades públicas. - Decreto 1079 de 2015 (Decreto Único Reglamentario del Sector Transporte) - Específicamente lo relacionado con el SINITT/SIT: Aunque ya se menciona el Decreto 1079 y el SINITT, es importante que en el Marco Legal se haga una referencia explícita a la parte de este decreto que regula los Sistemas Inteligentes de Transporte (SIT)

y el Sistema Inteligente Nacional para la Infraestructura, el Tránsito y el Transporte (SINITT), pues el SICOV es un subsistema o se integrará en este marco. - Resolución 217 de 2014 del Ministerio de Transporte, por la cual reglamenta la expedición de los certificados de aptitud física, mental y de coordinación motriz para la conducción de vehículos y se dictan otras disposiciones. - Resolución 11355 de 2020 del Ministerio de Transporte, por la cual se reglamenta el registro de los Organismos de Apoyo al Tránsito ante el Sistema del Registro Único Nacional de Tránsito (RUNT) y se dictan otras disposiciones. Este marco legal confiere a la Superintendencia la atribución pública de mantener el orden y la legalidad en el sector transporte, impulsando el uso de avances tecnológicos para el fortalecimiento de sus capacidades de supervisión. 1.4. Alcance del documentoPágina 3 de 95 GJ-FR-015 V1, 24mayo -2023

El presente Anexo Técnico define los requerimientos a nivel técnico y operativo que deben cumplir los proveedores homologados para operar el Sistema de Control y Vigilancia para los Centros de Reconocimiento de Conductores. TÍTULO 2 REQUERIMIENTOS PARA LA PROVISIÓN DEL SICOV 2.1. Presentación de solicitud de homologación Los aspirantes a proveedores del Sistema de Control y Vigilancia deben presentar una solicitud formal dirigida a la Superintendencia de Transporte para su homologación, a fin de ser evaluadas y corroboradas sus condiciones jurídicas, administrativas, financieras y técnicas para la implementación y operación del Sistema de Control y Vigilancia para CRC. Carta de interés y radicación de requerimientos documentales Los aspirantes a proveedores homologados deberán enviar una carta de interés a la Superintendencia de Transporte, acompañada de la totalidad de documentos descritos en cada uno de los acápites de los diferentes tipos de requerimientos desarrollados en este documento (jurídicos, administrativos, financieros, técnicos y demás). La radicación de la carta de interés y sus anexos a través del canal virtual y de radicación física dispuesto por la Superintendencia de Transporte dará inicio al proceso de validación del cumplimiento de los requerimientos para obtener la homologación como proveedor del Sistema de Control y Vigilancia para Centros de Reconocimiento de Conductores. En el Documento guía con formatos e instrucciones para la presentación de la solicitud que publicará la entidad, se encuentra un modelo de carta de interés con especificaciones detalladas sobre la forma de presentar el documento. 2.2. REQUERIMIENTOS JURÍDICOS Los requerimientos jurídicos buscan principalmente garantizar la legalidad de los proveedores homologados que operan

y aspiran operar el SICOV y de sus representantes, validar la capacidad jurídica necesaria para actuar como proveedor homologado , a saber: (i) Obligarse a cumplir el objeto que motivó la creación e implementación del SICOV; y (ii) no estar incursa en inhabilidades o incompatibilidades que impidan el ejercicio de las actividades que involucrada ser proveedor del Sistema. Se presentan a continuación algunas consideraciones que se deben tener en cuenta. a) Persona natural. Las personas naturales mayores de dieciocho (18) años son capaces jurídicamente a menos que estén expresamente inhabilitadas por decisión judicial o administrativa y que no estén incursas en inhabilidades, incompatibilidades o prohibiciones para contratar derivadas de la ley. b) Persona jurídica. La capacidad jurídica de las personas jurídicas está relacionada con: (i) la posibilidad de adelantar actividades en el marco de su objeto social; (ii) las facultades de su representante legal y la autorización del órgano social competente cuando esto es necesario de acuerdo con sus estatutos sociales; y (iii) la ausencia de inhabilidades, incompatibilidades o prohibiciones para contratar, derivadas de la ley. En el evento de que la solicitud se presente a través de apoderado, éste debe encontrarse debidamente facultado para presentarla. Cuando se trate de personas naturales o jurídicas extranjeras sin domicilio oPágina 4 de 95 GJ-FR-015 V1, 24mayo -2023

sucursal en Colombia, deberán además acreditar un apoderado domiciliado en Colombia, debidamente facultado para presentar la solicitud, participar y comprometer a su representado en las diferentes instancias del proceso de solicitud y hasta la homologación, suscribir los documentos y declaraciones que se requieran, así como notificarse, suministrar la información que le sea solicitada, y demás actos necesarios. Dicho apoderado podrá ser el mismo apoderado único para el caso de personas extranjeras que participen en consorcio o unión temporal, y en tal caso, bastará para todos los efectos, la presentación del poder común otorgado por todos los integrantes del consorcio, unión temporal, u otra figura asociativa cumpliendo los requisitos relacionados con la autenticación, consularización y traducción; particularmente con lo exigido en el Código de Comercio de Colombia. El poder a que se refiere este párrafo podrá otorgarse en el mismo acto de constitución del consorcio o unión temporal, promesa de sociedad futura u otra figura asociativa. c) Inhabilidades e incompatibilidades: Las inhabilidades e incompatibilidades están establecidas para asegurar los intereses públicos y proteger la transparencia, objetividad e imparcialidad en las relaciones entre el Estado y los particulares. El régimen de inhabilidades e incompatibilidades es de aplicación restrictiva, por lo cual cuando existen varias interpretaciones posibles sobre una inhabilidad o incompatibilidad, debe preferirse la que menos limita los derechos de las personas. Todas las entidades estatales sometidas o no a la Ley 80 de 1993, a la Ley 1150 de 2007 y a la Ley 1474 de 2011 y la normatividad vigente, están obligadas a respetar el régimen de inhabilidades e incompatibilidades para contratar o participar en cualquier proceso con el Estado. Las inhabilidades son una limitación a la capacidad de contratar o participar con Entidades Estatales y están expresamente señaladas en la Ley 80 de 1993. El proceso de

obligadas a respetar el régimen de inhabilidades e incompatibilidades para contratar o participar en cualquier proceso con el Estado. Las inhabilidades son una limitación a la capacidad de contratar o participar con Entidades Estatales y están expresamente señaladas en la Ley 80 de 1993. El proceso de homologación no constituye una delegación de funciones públicas de inspección, vigilancia o control, sino una certificación de idoneidad tecnológica para la operación del Sistema de Control y Vigilancia que deben utilizar los organismos de apoyo a las autoridades de tránsito. Condiciones que se deben demostrar a través de los soportes documentales correspondientes: 2.2.1. Certificado de existencia y representación expedido por la Cámara de Comercio Es aquel mediante el cual se acredita la inscripción del contrato social, las reformas y nombramientos de administradores y representantes legales en la cámara de comercio con jurisdicción en el domicilio de la respectiva sociedad. Este tipo de certificación tiene un valor eminentemente probatorio y está encaminada a demostrar la existencia y representación de las personas jurídicas (art. 117 C. de Co.). 2.2.2. Autorización del órgano social Si el estatuto social impone algún tipo de restricción al representante legal para la presentación de una solicitud como la de homologación, se debe adjuntar copia del documento de autorización correspondiente, emitido por la junta de socios u órgano superior de gobierno social.Página 5 de 95 GJ-FR-015 V1, 24mayo -2023

Para el caso de consorcios o uniones temporales, dicho documento es exigible a cada uno de los integrantes, si sus estatutos individuales contienen la misma limitante. La autorización en comento debe expresar en forma clara que el representante legal está autorizado por la junta de socios u órgano societario competente para comprometer a la Sociedad en la presentación de la solicitud y realizar todos los actos necesarios en el proceso. Adicional a lo anterior, debe autorizarse expresamente la facultad de constituir y hacer parte de un consorcio o unión temporal, si a ello hubiere lugar, documento que deberá cumplir con los requisitos solicitados en el artículo 189 del Código de Comercio. 2.2.3. Registro Único Tributario Es el mecanismo único para identificar, ubicar y clasificar a las personas y entidades que deban cumplir con obligaciones tributarias administradas por la DIAN, así como a quienes, por disposiciones legales, deban hacerlo o por decisión de la DIAN conforme con las normas legales y reglamentarias vigentes. El operador homologado debe presentar fotocopia legible del Registro Único Tributario (RUT) expedido por la DIAN. El Sistema de Control y Vigilancia para los Centros de Reconocimiento de Conductores requiere para su operación de actividades tales como desarrollo de software, seguridad de la información y suministro e implementación de hardware y software, las cuales se encuentran consignadas en las siguientes secciones: Sección J “Información y Comunicaciones”, en su división 62 “Desarrollo de sistemas informáticos (planificación, análisis, diseño, programación, pruebas), consultoría informática y actividades relacionadas” en la división 63 “Actividades de servicios de información”. Los operadores

del Sistema de Control y Vigilancia deberán tener dentro de sus actividades económicas registradas en el RUT las actividades del grupo J que se definen en este numeral en las especificaciones de la entrega del documento. 2.2.4. Copia del documento de identidad del representante legal Para el caso de los ciudadanos colombianos mayores de edad, el documento de identidad es la Cédula de Ciudadanía. En el caso de los extranjeros, es la Cédula de Extranjería que expide Migración de Colombia a manera de documento de identificación, con los mismos efectos que la Cédula de Ciudadanía. Toda persona natural colombiana que funja como representante legal del operador homologado, deberá allegar copia legible de su cédula de ciudadanía, o cédula digital de conformidad con el Decreto 620 de 2020. Igualmente, lo deberá hacer el representante legal de la persona jurídica, el representante legal de la unión temporal o consorcio y el representante legal de cada uno de los integrantes del consorcio o unión temporal que se haya constituido para el efecto, cuando así sea, y de cada uno de los integrantes de las figuras asociativas. Cuando las mismas estén conformadas por personas jurídicas y/o personas naturales constituidas en Colombia, deberán presentar en forma individual copia legible de su cédula. Las personas naturales extranjeras, deben acreditar su existencia mediante la presentación de copia de su pasaporte y si se encuentran residenciadas en Colombia, presentarán copia de la cédula de extranjería expedida por la autoridad colombiana competente. En el Documento guía con formatos e instrucciones para la presentación de la solicitud que publicará la entidad, se encuentra un modelo de presentación del documento de identidad del representante legal con especificaciones detalladas sobre la forma de presentar el documento. 2.2.5. Certificado de pago de aportes parafiscalesPágina 6 de 95 GJ-FR-015 V1, 24mayo -2023

Toda empresa o unidad productiva que tenga trabajadores vinculados mediante contrato de trabajo debe hacer los aportes que correspondan por concepto de aportes parafiscales, de conformidad con lo previsto en la normatividad vigente. De acuerdo con lo señalado en el artículo 50 de la Ley 789 de 2002, modificado por la Ley 828 de 2003, y en el artículo 23 de la Ley 1150 de 2007, el operador homologado que desee extender en el tiempo su autorización, deberá entregar una certificación de cumplimiento de sus obligaciones con los sistemas de salud, riesgos profesionales, pensiones y aportes a las Cajas de Compensación Familiar, Instituto Colombiano de Bienestar Familiar y Servicio Nacional de Aprendizaje, expedida por el revisor fiscal, cuando exista según los requerimientos de ley, o por el representante legal de la sociedad interesada, en la que se acredite que dicha compañía se encuentra al día en el pago de aportes al Sistema de Seguridad Social Integral. El Documento guía con formatos e instrucciones para la presentación de la solicitud que publicará la entidad se incluye un modelo de certificación de pago de aportes parafiscales y las especificaciones para la entrega del documento. 2.2.6. Certificación de composición de socios o accionistas Certificado firmado por el representante legal o el revisor fiscal dependiendo del tipo de empresa, en el que se relacionan los socios y/o accionistas o asociados que tengan directa o indirectamente el 5% o más del capital social, aporte o participación. La certificación debe haber sido expedida con una antelación de máximo treinta (30) días antes de la fecha de presentación de la solicitud. Si dentro de la composición accionaria de la empresa se encuentra una

persona jurídica cuya participación sea igual o superior al 5% del capital, se deberá aportar documento con la información de la composición de participación accionaria de esa empresa, proceso que deberá repetirse hasta que identifique el nombre de los accionistas personas naturales. De cada accionista se debe incluir: Nombre o razón social, identificación y porcentaje de participación, siempre y cuando esta sea igual o superior al 5%. En el Documento guía con formatos e instrucciones para la presentación de la solicitud que publicará la entidad, se encuentra un modelo de presentación de la certificación de composición accionaria con especificaciones detalladas sobre la forma de presentar el documento. 2.3. REQUERIMIENTOS ADMINISTRATIVOS Los requerimientos administrativos incluyen mecanismos que permitan la validación de aspectos tales como la trayectoria del actual operador homologado, experiencia en proyectos similares de tecnología, experiencia del equipo de trabajo entre otros. 2.3.1. Experiencia del operador homologado La experiencia se entiende como el conocimiento y la capacidad, adquiridos a través la participación previa en actividades iguales o similares a las previstas para la provisión y soporte de la infraestructura tecnológica integrada a la operación de los OAT. Esta experiencia constituye un criterio fundamental para evaluar su idoneidad para satisfacer las necesidades descritas. Los aspirantes a operador homologado deben presentar los contratos o actividades que hayan celebrado para prestar servicios que pretenden ofrecer y esta puede ser experiencia adquirida de forma directa o a través de la participación del aspirante en consorcios o uniones temporales. Esta experiencia se obtiene con entidades públicas, privadas, de ámbito nacional o extranjero. En el evento de que el proponente sea

una persona jurídica puede acreditar la experiencia de sus accionistas, socios o constituyentes, así como, contratos ejecutados celebrados por consorcios, uniones temporales en que tenga o haya tenido participación.Página 7 de 95 GJ-FR-015 V1, 24mayo -2023

La experiencia requerida debe ser adecuada y proporcional a la naturaleza, alcance, valor y complejidad de las actividades a ejecutar. Se considerará experiencia adecuada aquella que guarde afinidad con el tipo de actividades previstas y proporcional, aquella cuya magnitud sea coherente con la cuantía, complejidad técnica y operativa del servicio a prestar. Experiencia del operador plural (Unión Temporal, Consorcio y promesa de Sociedad Futura): La experiencia acreditable será la suma de la experiencia individual de cada uno de sus integrantes. Cuando la experiencia haya sido adquirida como parte de un contratista plural, se considerará únicamente la proporción correspondiente al porcentaje de participación que dicho integrante haya tenido en el contrato o actividad. Asimismo, la experiencia acreditada deberá estar compuesta por una combinación de actividades que garantice la cobertura integral de todos los componentes funcionales y operativos requeridos para la implementación del Sistema de Control y Vigilancia para los Centros de Reconocimiento de Conductores. La Superintendencia considera que el cumplimiento de los requisitos que se exponen a continuación permitirá verificar la idoneidad técnica de los operadores para la provisión y soporte de la infraestructura tecnológica integrada a la operación de los CRC. De este modo, se garantizará que el solicitante cuente con las capacidades mínimas necesarias para soportar la operación del Sistema de Control y Vigilancia. 1. Cuantía total de la experiencia requerida: La cuantía de la sumatoria de las experiencias debe ser igual o superior a 10.000 SMMLV (salarios mínimos mensuales legales vigentes), calculados. El valor total, será aquel contemplado a la fecha de suscripción del informe de recibo final o la del acta de recibo

final o la fecha de terminación del contrato, por parte del ente contratante o su representante, y la conversión a salarios mínimos mensuales legales vigentes (SMMLV) se hará conforme al vigente en el año de recibo final o terminación. 2. Cuando el valor del contrato esté dado en dólares americanos (USD) se convertirá a pesos colombianos utilizando para esa conversión la tasa representativa del mercado (TRM) vigente para la fecha en que se suscribió el contrato certificado. 3. En caso de presentar certificaciones globales, deberán desglosar el monto o porcentaje y objeto para el cual aplica dicha certificación. 4. Número de contratos a certificar: Los proveedores deberán acreditar experiencia mediante certificación firmada por los contratantes o entes gubernamentales en máximo cuatro (4) certificaciones. 5. Antigüedad en celebración de contratos: Las certificaciones de experiencia ejecutada deberán tener una antigüedad máxima de seis (6) años a la fecha de radicación de la carta de interés. 6. Acreditación de la experiencia: Acreditar experiencia mediante certificación firmada por los clientes o entidades gubernamentales en por lo menos un proyecto en sistemas que incluyan alguna de las siguientes funcionalidades: a. Seguridad Informática y/o Seguridad de la Información: Manejo de Riesgo, Protección de Datos, Cifrado de Información, Auditoría de Bases de Datos, Centro de Operaciones de Seguridad (SOC), Correlación de Eventos, Servicios de confianza y/o de validación de identidad b. Software: Instalación, integración, desarrollo, actualización de licenciamiento, mantenimiento, soporte y/o Implantación de Software, solución tecnológica o servicio web. 7.

Cumplimiento de contratos: Aquellas certificaciones de experiencia que califiquen el cumplimiento del contrato como “malo”, “regular”, o expresiones similares que demuestren el cumplimiento no satisfactorio del mismo o que indiquen que durante su ejecución fueron sujetas a multasPágina 8 de 95 GJ-FR-015 V1, 24mayo -2023

o sanciones debidamente impuestas por la administración o que a las mismas se les haya hecho efectiva la cláusula penal estipuladas en los contratos, no se aceptarán por el ente evaluador. En el Documento guía con formatos e instrucciones para la presentación de la solicitud que publicará la entidad, se encuentra un modelo de presentación de la certificación de experiencia del aspirante con especificaciones detalladas sobre la forma de presentar el documento. 2.3.2. Certificaciones exigibles El operador homologado del Sistema de Control y Vigilancia deberá acreditar, como mínimo, certificación en gestión de la calidad bajo la norma ISO 9001 e ISO 27001 y alguna de las mencionadas en líneas siguientes, correspondientes a la seguridad de la información, gestión de servicios de tecnología, modelos de madurez y capacidad o ciclo de vida de construcción y mantenimiento de software. Estas certificaciones deberán haber sido otorgadas por organismos de certificación reconocidos y debidamente acreditados. Las certificaciones deberán encontrarse vigentes al momento de la evaluación de las solicitudes y corresponder a normas reconocidas a nivel nacional e internacional, que evidencian la implementación de procesos orientados a la mejora continua, el aseguramiento de la calidad en la prestación de servicios y el cumplimiento de requisitos normativos aplicables. Cuando se trate de operadores plurales, cada uno de los integrantes deberá contar con cada una de las certificaciones obligatorias y al menos uno de ellos debe contar con alguna de las certificaciones adicionales. Las certificaciones deberán estar vigentes durante la el tiempo en que se mantenga vigente la homologación. El cumplimiento de este requisito se demuestra presentando las certificaciones expedidas por el ente que las otorga. Certificaciones obligatorias: ISO 9001:

Es la base del sistema de gestión de la calidad ya que es una norma internacional y que se centra en todos los elementos de administración de calidad con los que una empresa debe contar para tener un sistema efectivo que le permita administrar y mejorar la calidad de sus productos o servicios. Los clientes se inclinan por los proveedores que cuentan con esta acreditación porque de este modo se aseguran de que la empresa seleccionada disponga de un buen Sistema de Gestión de Calidad (SGC). ISO 27001: Es una certificación que define cómo organizar la seguridad de la información en cualquier tipo de organización, con o sin fines de lucro, privada o pública, pequeña o grande. Es posible afirmar que esta norma constituye la base para la gestión de la seguridad de la información. La ISO 27001 es para la seguridad de la información lo mismo que la ISO 9001 es para la calidad: es una norma redactada por los mejores especialistas del mundo en el campo de seguridad de la información y su objetivo es proporcionar una metodología para la implementación de la seguridad de la información en una organización. También permite que una organización sea certificada, lo cual significa que una entidad de certificación independiente ha confirmado que la seguridad de la información se ha implementado en esa organización de la mejor forma posible. La operación del SICOV mejorado deberá garantizar la planificación, provisión, implementación y operación integral de los servicios de ciberseguridad, cubriendo de manera continua y eficiente la gestión de los centros de operación SOC y NOC, así como las operaciones de mesa de servicio orientadas al soporte técnico, atención de incidentes, gestión de eventos, monitoreo de infraestructura y mantenimiento operativo. El alcance contempla la definición y despliegue de capacidades técnicas,Página 9 de 95 GJ-FR-015 V1, 24mayo -2023

procesos, herramientas y recursos necesarios para asegurar la confidencialidad, integridad y disponibilidad de los activos tecnológicos y de información, incluyendo modelos de monitoreo 7x24, respuesta a incidentes, administración de plataformas de seguridad, gestión de vulnerabilidades, correlación de eventos, escalamiento oportuno y la operación coordinada entre NOC, SOC y Mesa de Servicio. Asimismo, se deberán establecer indicadores, acuerdos de nivel de servicio (ANS), roles, responsabilidades y mecanismos de seguimiento que garanticen la continuidad, eficacia y mejora continua del servicio. Certificaciones adicionales: El operador homologado del Sistema de Control y Vigilancia deberá contar por lo menos con una de las siguientes certificaciones: CMMI nivel 3 o superior en cualquier de sus áreas, ISO 20000, ISO 15504 y/o SOC 2. 1. CMMI: Es un modelo para la mejora y evaluación de procesos para el desarrollo, mantenimiento y operación de sistemas de software. Es un modelo de evaluación de los procesos de una organización y se ha convertido en un estándar para promocionar la capacidad de desarrollar software de alta criticidad, una ventaja para las empresas qu