Por el cual se adiciona el Título 21 a la Parte 2 del Libro 2 del Decreto Único 1078 de 2015, Reglamentario del Sector de Tecnologías de la Información y las Comunicaciones, con el fin de establecer los lineamientos generales para fortalecer la gobernanza de la seguridad digital, se crea el Modelo y las instancias de Gobernanza de Seguridad Digital y se dictan otras disposiciones

Adiciónese el Título 21 a la Parte 2 del Libro 2 del Decreto Único Reglamentario del Sector de Tecnologías de la Información y las Comunicaciones, Decreto 1078 de 2015, el cual quedé:lrá así: "TíTULO 21 LlNEAIVIIENTOS GENERALES PARA FORTALECER LA GOBERNANZA DE LA SEGURIDAD DIGITAL, LA IDENTIFICACiÓN DE INFRAESTRUCTURAS CRíTICAS CIBERNÉTICAS Y SERVICIOS ESENCIALES, LA GESTiÓN DE RIESGOS Y LA RESPUESTA A INCIDENTES DE SEGURIDAD DIGITAL CAPíTULO 1 LINEAMIENTOS GENERALES SECCiÓN 1 OBJETO, ÁMBITO DE APLICACiÓN, DEFINICIONES, LINEAMIENTOS GENERALES Y PRINCIPIOS Artícu lo 2.2.21.1.1.1. Objeto. El presente título tiene por objeto reglamentar parcialmente los artículos 64 de la Ley 1437 de 2011,147 de la Ley 1955 de 2019 y 230 de la Ley 1450 de 2011, modificado por el artículo 148 de la Ley 1955 de 2019, con el fin de establecer los lineamientos generales para fortalecer la gobernanza de la seguridad digital, la identificación de infraestructuras críticas cibernéticas y servicios esenciales, la gestión de riesgos y la respuesta a incidentes de seguridad digital.

Ámbito de aplicación. Los sujetos obligados a las disposiciones contenidas en el presente título serán las entidades que conforman la Administración Pública en los términos del artículo 39 de la Ley 489 de 1998 Y los DECRETO NÚMERO. 338 DE 2022 HOJA No. 5 de 18 "Por el cual se adiciona el Título 21 a la Parte 2 del Libro 2 del Decreto Único 1078 de 2015, Reglamentario del Sector de Tecnologías de la Información y las Comunicaciones, con el fin de establecer los lineamientos generales para fortalecer la gobernanza de la seguridad digital, se crea el Modelo y las instancias de Gobernanza de Seguridad Digital y se dictan otras disposiciones" particulares que cumplen funciones públicas o administrativas. Para los efectos del presente se les dará el nombre de autoridades.

Definiciones. Para efectos de lo establecido en este título, se tendrán en cuenta las siguientes definiciones: 1. CERT: (Computer Emergency Response Team) Equipo de Respuesta a Emergencias cibernéticas, por su sigla en inglés. Es el equipo que dispone de la capacidad centralizada para la coordinación de gestión de incidentes de seguridad digital. 2. Ciberespacio: Red interdependiente de infraestructuras de tecnología de la información que incluye Internet, redes de telecomunicaciones, sistemas informáticos, procesadores y controladores integrados en industrias. 3. Ciberdefensa: Capacidad del Estado para prevenir y contrarrestar toda amenaza o incidente de naturaleza cibernética que afecte la sociedad, la soberanía nacional, la independencia, la integridad territorial, el orden constitucional y los intereses nacionales. Implica el empleo de las capacidades militares ante amenazas cibernéticas, ataques cibernéticos o ante actos hostiles de naturaleza cibernética. 4. CSIRT: (Computer Security Incident & Response Team) Equipo de Respuesta a Incidentes de Seguridad Cibernética, por su sigla en inglés. Es el equipo que provee las capacidades de gestión de incidentes a una organización/sector en especial. Esta capacidad permitir minimizar y controlar el daño resultante de incidentes, proveyendo la respuesta, contención y recuperación efectiva, así como trabajar en pro de prevenir la ocurrencia de futuros incidentes. 5. CSIRT sectorial: Son los equipos de respuesta a incidentes de cada uno de los sectores, para el adecuado de:;arrollo de sus actividades DECRETO NÚMERO 338 DE 2022 HOJA No. 6 de 18 "Por el cual se adiciona el Título 21 a la Parte 2 del Libro 2 del Decreto Único 1078 de 2015, Reglamentario del Sector de Tecnologfas de la Información y las Comunicaciones, con el fin de establecer los lineamientos generales para fortalecer la gobernanza de la seguridad digital, se crea el Modelo y las instancias de Gobernanza de Seguridad Digital y se dictan otras disposiciones" económicas y sociales, a partir del uso de las tecnologías de la información y las comunicaciones. 6. CSIRT sectorial crítico: Son los equipos de respuesta a incidentes sectoriales de cada uno de los sectores identificados como críticos. 7. Gobernanza de la seguridad digital para Colombia: Corresponde al conjunto de interacciones y enfoques entre las múltiples partes interesadas para identificar, enmarcar, proponer, y coordinar respuestas proactivas y reactivas a posibles amenazas a la confidencialidad, integridad o disponibilidad de los servicios tecnológicos, sistemas de información, infraestructura tecnológica, redes e información que en conjunto constituyen el entorno digital. 8. Incidente de seguridad digital: Ocurrencia de una situación que pone en peligro la confidencialidad, integridad o disponibilidad de un sistema de información o la información que el sistema procesa, almacena o transmite; o que constituye una violación a las políticas de seguridad, procedimientos de seguridad o políticas de uso aceptable. 9. Infraestructura crítica cibernética: Sistemas y activos, físicos o virtuales, soportados por Tecnologías de la Información y las Comunicaciones, cuya afectación significativa tendría un impacto grave en el bienestar social o económico de los ciudadanos, o en el funcionamiento efectivo del gobierno o la economía. 10. Modelo de Gobernanza de Seguridad digital: Es el esquema de trabajo compuesto por un conjunto de políticas de operación, principios, normas, reglas, procedimientos de toma de decisiones y programas compartidos por las múltiples partes interesadas de la seguridad digital del pais, con el fin de fortalecer las capacidades para la gestión de riesgos e incidentes de seguridad digital y para la respuesta proactiva y reactiva a posibles amenazas a la confidencialidad, integridad o disponibilidad de los servicios tecnológicos, sistemas de información, infraestructura tecnológica y las redes e información que, en conjunto, constituyen el entorno digital en el país. 11. Múltiples partes interesadas: Corresponde al conjunto de actores que dependen del entorno digital para todas o algunas de sus actividades, económicas y sociales. Comprende a las autoridades, las organizaciones privadas, los operadores o propietarios de las infraestructuras críticas cibernéticas nacionales, los prestadores de servicios esenciales, la academia y la sociedad civil. ' 12. Riesgo de seguridad digital: Es la combinación de amenazas y/o vulnerabilidades que se pueden materializar en el curso de cualquier actividad en el entorno digital y que puede afectar el logro de los objetivos económicos o sociales al alterar la confidencialidad, integridad y dispon ibilidad. 13. Seguridad de la información: Preservación de la autenticidad, confidencialidad, integridad, y disponibilidad de la información, en cualquier DECRETO NÚMERO. 338 DE 2022 HOJA No. 7 de 18 "Por el cual se adiciona el Título 21 a la Parte 2 del Libro 2 del Decreto Único 1078 de 2015, Reglamentario del Sector de Tecnologías de la Información y las Comunicaciones, con el fin de establecer los lineamientos generales para fortalecer la gobernanza de la seguridad digital, se crea el Modelo y las instancias de Gobernanza de Seguridad Digital y se dictan otras disposiciones" medio de almacenamiento: impreso o digital, y la aplicación de procesos de resiliencia operativa. 14. Seguridad digital: Es la situación de normalidad y de tranquilidad en el entorno digital, a través de la apropiación de políticas, buenas prácticas, y mediante: (i) la gestión del riesgo de seguridad digital; (ii) la implementación efectiva de medidas de ciberseguridad; y (iii) el uso efectivo de las capacidades; que demanda la voluntad social y política de las múltiples partes interesadas. 15. Servicio esencial: En el marco de la gestión de riesgos de la seguridad digital es aquel servicio necesario para el mantenimiento de las actividades sociales y económicas del país, que dependen del uso de tecnologías de la información y las comunicaciones, y un incidente en su infraestructura o servicio podría generar un daño significativo que afecte la prestación de dicho servicio y la consecuente parálisis de las actividades. 16. Vulnerabilidad de seguridad digital: Debilidad, atributo o falta de aplicación de un control que permite o facilita la actuación de una amenaza contra los servicios tecnológicos, sistemas de información, infraestructura tecnológica y las redes e información de la organización.

Lineamientos generales. Las autoridades deberán adoptar medidas técnicas, humanas y administrativas para garantizar la gobernanza de la seguridad digital, la gestión de riesgos de seguridad digital, la identificación y reporte de infraestructuras críticas cibernéticas y servicios esenciales, y la gestión y respuesta a incidentes de seguridad digital.

Principios. Además de los principios previstos en los artículos 209 de la Constitución Política, 2° de la Ley 1341 de 2009,3° de la Ley 1437 de 2011,4° de la Ley 1581 de 2012, los atinentes a la Política de Gobierno Digital contenidos en el artículo 2.2.9.1.1.3 del Decreto 1078 de 2015, y los principios de gestión documental contenidos en el artículo 2.8.2.8.5.5 del Decreto 1080 de 2015, a los efectos del presente decreto se aplicarán los siguientes: 1. Confianza. La seguridad digital debe fomentar la confianza mediante la buena comunicación, el intercambio de información y la concreción de acuerdos claros sobre la división de tareas y acciones a realizar. 2. Coordinación. Las actuaciones que se realicen en materia de seguridad digital deberán integrar de manera coordinada a las múltiples partes interesadas, para garantizar la armonía en el ejercicio de sus funciones y el logro del objeto del presente título. 3. Colaboración entre las múltiples partes interesadas. En la aplicación e interpretación de los presentes lineamientos se deben involucrar activamente a las múltiples partes interesadas, y permitir establecer condiciones para el desarrollo eficiente de alianzas, con el fin de promover la seguridad digital del país y sus habitantes, y aumentar la capacidad de resiliencia nacional frente a eventos no deseados en el entorno digital y con ello fomentar la prosperidad económica y social, buscando la generación de riqueza, DECRETO NÚMERO 338 2022 DE HOJA No. 8 de 18 " "Por el cual se adiciona el Título 21 a la Parte 2 del Libro 2 del Decreto Único 1078 de 2015, Reglamentaría del Sector de Tecnologías de la Información y las Comunicaciones, con el fin de establecer los lineamientos generales para fortalecer la gobernanza de la seguridad digital, se crea el Modelo y las instancias de Gobernanza de Seguridad Digital y se dictan otras disposiciones" innovación, productividad, competitividad, y empleo en todos los sectores de la econom ía. 4. Cooperación. En el marco de las relaciones nacionales e internacionales en materia de seguridad digital a través del ciberespacio, Las autoridades aunarán esfuerzos para el logro de los objetivos institucionales o comunes. 5. Enfoque basado en la gestión de riesgos. Las autoridades deben gestionar el riesgo de forma que el uso de tecnologías de la información y las comunicaciones fomente la confianza en el entorno digital, la prosperidad económica y social, genere riqueza, innovación, productividad, competitividad, y empleo en todos los sectores de la economía, y ello no suponga la materialización de infracciones a los derechos de los ciudadanos. 6. Gradualidad. Las autoridades desarrollarán herramientas estratégicas y operativas, de alcance definido en tiempo, espacio y recursos presupuestales que permitan la implementación gradual y sostenida de estrategias, programas, planes y proyectos, que requiera el país para garantizar la seguridad y protección del ciberespacio. 7. Inclusión. La seguridad digital debe incluir a todas las partes interesadas, fomentar su participación y establecer condiciones necesarias para el desarrollo eficiente de alianzas. 8. Proporcionalidad. Las acciones y operaciones en el ciberespacio serán proporcionales con la gestión dinámica de los riesgos derivados de los avances o usos de la ciencia y la tecnología, ponderando circunstancias de necesidad, derechos e intereses en juego, oportunidad, capacidades, amenazas y riesgos. 9. Salvaguarda de los derechos humanos y los valores fundamentales de los ciudadanos. En la aplicación e interpretación de los lineamientos generales para fortalecer la gobernanza de la seguridad digital, la gestión de riesgos de seguridad digital, la identificación de infraestructuras críticas cibernéticas y servicios esenciales, y la respuesta a incidentes de seguridad digital, primará la alternativa de solución más garantista en el marco del respeto por los derechos humanos, la libre competencia económica, y valores incorporados en la Constitución Política y los tratados internacionales ratificados por Colombia. 10. Uso eficiente de la infraestructura y de los recursos para protección de las infraestructuras críticas cibernéticas y los servicios esenciales. Las autoridades velarán por las infraestructuras y los recursos tendientes a la protección de las infraestructuras críticas cibernéticas y los servicios esenciales para que sean aprovechados de forma eficiente yen beneficio de los derechos de los ciudadanos en el ciberespacio. DECRETO NÚMER.O 2022 HOJA No. 9 de 18 "Por el cual se adiciona el Título 21 a la Parte 2 del Libro 2 del Decreto Único 1078 de 2015, Reglamentario del Sector de Tecnologías de la Información y las Comunicaciones, con el fin de establecer los lineamientos generales para fortalecer la gobernanza de la seguridad digital, se crea el Modelo y las instancias de Gobernanza de Seguridad Digital y se dictan otras disposiciones" SECCiÓN 2 MODELO DE GOBERNANZA DE SEGURIDAD DIGITAL

Modelo de Gobernanza de la Seguridad Digital. Las autoridades adoptarán el modelo de gobernanza descrito en la presente sección y, desde sus competencias, aplicarán los objetivos, principios, niveles e instancias, que permitan su materialización, con el fin de fortalecer la seguridad digital, la protección de las redes, las infraestructuras críticas, los servicios esenciales y los sistemas de información en el ciberespacio. Parágrafo. El Ministerio de Tecnologías de la Información y las Comunicaciones señalará los lineamientos y estándares que deberán cumplir las autoridades para la adopción del modelo de gobernanza de que trata la presente sección, en los términos establecidos en el título 9 del Decreto 1078 de 2015.

Objetivos del Modelo de Gobernanza de la Seguridad Digital: El Modelo de Gobernanza de la Seguridad Digital tiene como objetivo facilitar la participación, articulación e interacción de las múltiples partes interesadas para fortalecer las capacidades en la gestión de riesgos de seguridad digital y de esta manera lograr un abordaje integral que promueva el adecuado aprovechamiento de las oportunidades que ofrece el entorno digital. Los objetivos específicos del Modelo de Gobernanza de Seguridad digital son los siguientes: 1. Fortalecer el liderazgo y orientación estratégica de la seguridad digital del país con un enfoque participativo y colaborativo. 2. Impulsar un enfoque integral para la gestión de riesgos de Seguridad digital. 3. Proveer mecanismos para coordinar la gestión y respuesta a incidentes de seguridad digital. 4. Promover la confianza para el intercambio de información y la gestión del conocimiento sobre seguridad digital en el país. 5. Impulsar la generación de capacidades de seguridad digital de las partes interesadas de manera eficiente y colaborativa.

Niveles del Modelo de Gobernanza de la Seguridad Digital: Los niveles que enmarcan las acciones para la implementación de la Gobernanza de Seguridad digital en el país, son los siguientes: 1. Nivel estratégico: Es el nivel en el que se definen las políticas y las prioridades estratégicas de la estrategia nacional. Determina los objetivos a largo plazo y el modo en que las múltiples partes interesadas han de interactuar entre sí. 2. Nivel táctico: Es el nivel en el que se elaboran los planes, procesos y procedimientos para coordinar las actividades de seguridad digital. Efectúa el control de la gestión realizada por el nivel operacional y soporta las decisiones que se toman y que afectan a las múltiples partes interesadas. 3. Nivel operacional: Es el nivel en el que se implementan y llevan a cabo actividades y tareas rutinarias definidas por el nivel táctico. DECRETO NÚMERO DE 2022 HOJA No. 10 de 18 "Por el cual se adiciona el Titulo 21 a la Parte 2 del Libro 2 del Decreto Único 1078 de 2015, Reglamentario del Sector de Tecnologras de la Información y las Comunicaciones, con el fin de establecer los lineamientos generales para fortalecer la gobernanza de la seguridad digital, se crea el Modelo y las instancias de Gobernanza de Seguridad Digital y se dictan otras disposiciones" SECCiÓN 3 INSTANCIAS DEL MODELO DE GOBERNANZA DE LA SEGURIDAD DIGITAL

Instancias de decisión del Modelo de Gobernanza: El modelo de Gobernanza de Seguridad Digital se implementará a partir de las siguientes instancias: 1. 2. 3. 4. 5. Coordinación Nacional de Seguridad Digital. Comité Nacional de Seguridad Digital. Grupos de Trabajo de Seguridad Digital. Las Mesas de Trabajo de Seguridad Digital. Puestos de Mando Unificado de Seguridad Digital.

Coordinación Nacional de Seguridad Digital: El Presidente de la República designará al responsable de la Coordinación Nacional de Seguridad Digital el cual será la persona o dependencia responsable de coordinar los asuntos de seguridad digital en el Gobierno Nacional.

Funciones de la Coordinación Nacional de Seguridad Digital: Son funciones de la Coordinación Nacional de Seguridad Digital: 1. Coordinar la implementación de políticas, iniciativas y programas estratégicos nacionales e internacionales de seguridad digital. 2. Identificar y desarrollar las prioridades e iniciativas de seguridad digital. 3. Coordinar esfuerzos para la convergencia de todas las actividades y programas de seguridad digital desarrollados o en implementación por las diferentes partes interesadas para someterlos a un monitoreo y evaluación constante. 4. Promover el desarrollo de alianzas y cooperación en materia de seguridad digital entre las mLlltiples partes interesadas. 5. Efectuar recomendaciones al Comité Nacional de Seguridad Digital con respecto a la priorización y asignación de recursos para mejorar la seguridad digital del país. 6. Apoyar el monitoreo y evaluación a la implementación de las políticas y estrategias nacionales de seguridad digital. 7. Promover el respeto a los derechos humanos en las actividades realizadas en el marco de la seguridad digital del país.

Comité Nacional de Seguridad Digital: Créase el Comité Nacional de Seguridad digital como una instancia de coordinación interinstitucional que tendrá como propósito impulsar la política de seguridad digital del país, y la orientación de acciones tendientes a fortalecer el entorno digital.

Conformación del Comité Nacional de Seguridad Digital. El Comité Nacional de Seguridad digital estará conformado por: 1. El Coordinador Nacional de Seguridad Digital o su delegado, quien presidirá el comité. 2. El Ministro de Relaciones Exteriores o su delegado. DECRETO NÚMERO f"j Q (') DE 0v O 2022 HOJA No. 11 de 18 "Por el cual se adiciona el Título 21 a la Parte 2 del Libro 2 del Decreto Único 1078 de 2015, Reglamentario del Sector de Tecnologias de la Información y las Comunicaciones, con el fin de establecer los lineamientos generales para fortalecer la gobernanza de la seguridad digital, se crea el Modelo y las instancias de Gobernanza de Seguridad Digital y se dictan otras disposiciones" 3. El Ministro de Hacienda y Crédito Público o su delegado. 4. El Ministro de Justicia y del Derecho o su delegado. 5. El Ministro de Defensa Nacional o su delegado. 6. El Ministro de Minas y Energía o su delegado. 7. El Ministro de Salud y Protección Social o su delegado. 8. El Ministro de Educación Nacional o su delegado. 9. Ministerio de Ambiente y Desarrollo Sostenible o su delegado. 10. El Ministro de Vivienda, Ciudad y Territorio o su delegado. 11. El Ministro de Tecnologías de la Información y las Comunicaciones o su delegado. 12. El Ministro de Transporte o su delegado. 13. El Ministro de Cultura o su delegado. 14. El Ministro de Ciencia Tecnología e Innovación o su delegado. 15. El Director del Departamento Nacional de Planeación o su delegado. 16. El Director del Departamento Administrativo Nacional de Estadística o su delegado. 17. El Comandante General de las Fuerzas Militares o su delegado. 18. El Director General de la Policía Nacional o su delegado. 19. El Director de la Dirección Nacional de Inteligencia o su delegado. 20. Un representante de las autoridades de cada uno de los sectores catalogados como titulares de infraestructura crítica cibernética o de servicios esenciales.

Funciones del Comité Nacional de Seguridad Digital: Son funciones del Comité Nacional de Seguridad Digital 1. Recomendar al gobierno, sobre todos los asuntos de política y las medidas estratégicas a nivel nacional con el fin de disuadir, detectar, prevenir, resistir, responder y recuperarse de acciones que comprometan o amenazan los sistemas informáticos, redes, infraestructuras, servicios digitales y la información. 2. Apoyar la adecuada articulación y coordinación entre las entidades, autoridades y órganos, de todos los niveles, para facilitar la actuación, colaboración, comunicación y trabajo en equipo, con el fin de optimizar el ejercicio de sus competencias y funciones. 3. Proponer al gobierno acciones que permitan fortalecer el desarrollo de las capacidades de las múltiples partes interesadas, para identificar, gestionar, tratar y mitigar los riesgos de seguridad digital. DECRETO NÚMERO 338 DE 2022 HOJA No. 12 de 18 "Por el cual se adiciona el Título 21 a la Parte 2 del Libro 2 del Decreto Único 1078 de 2015, Reglamentario del Sector de Tecnologlas de la Información y las Comunicaciones, con el fin de establecer los lineamientos generales para fortalecer la gobernanza de la seguridad digital, se crea el Modelo y las instancias de Gobernanza de Seguridad Digital y se dictan otras disposiciones" 4. Presentar al gobierno las recomendaciones que sirvan de apoyo al proceso de toma de decisiones en materia de seguridad digital, defensa del ciberespacio, protección de las redes, las infraestructuras críticas cibernéticas, los servicios esenciales y los sistemas de información en el ciberespacio colombiano. 5. Articular el desarrollo de políticas y capacidades de seguridad digital para reducir el cibercrimen y el ciberdelito. 6. Darse su propio reglamento de funcionamiento, en el marco de sus competencias. 7. Evaluar y disponer la conformación de puestos de mando unificado ante eventos de seguridad digital. 8. Crear los grupos de trabajo necesarios para el cumplimiento de los fines señalados. 9. Promover el respeto a los derechos humanos en las actividades realizadas en el marco de la seguridad digital. 10. Las demás que sean señaladas en normas especiales.

Grupos de Trabajo de Seguridad Digital: Son grupos de personas conformados por representantes asignados de las múltiples partes interesadas, en los términos señalados por el Comité Nacional de Seguridad Digital. Los grupos tienen la función de coordinar y asesorar al Comité Nacional de Seguridad Digital desde el punto de vista táctico y procedimental en torno a la seguridad digital a nivel nacional. Los grupos harán recomendaciones detalladas para fortalecer la seguridad digital, aumentar la confianza digital, mejorar las capacidades, mejorar la cooperación internacional, y promoverán el respeto a los derechos humanos en las actividades realizadas en el marco de la seguridad digital. El propósito de los grupos es apoyar la redacción de documentación técnica relevante y proporcionar información a la Coordinación Nacional de Seguridad digital sobre el estado de los aspectos individuales de la implementación de las políticas y estrategias nacionales en las organizaciones y en la sociedad con base en los requerimientos de la Coordinación Nacional de Seguridad digital. Artícu lo 2.2.21.1.3.8. Mesas de Trabajo de Seguridad digital: Son espacios técnicos especializados, definidos por los grupos de trabajo, en los que se estudian y generan insumos a partir de la elaboración, ejecución, implementación y operación de los planes y/o documentación técnica requeridos en materia de Seguridad digital. Los espacios técnicos propenderán para que toda la actividad realizada sea bajo el respeto de los derechos humanos. Parágrafo. El Ministerio de Tecnologías de la Información y las Comunicaciones orientará a los Comités Sectoriales y los Comités Departamentales, Distritales y Municipales de Gestión y Desempeño en la implementación y operación de las políticas de seguridad digital.

Puestos de Mando Unificado de Seguridad Digital. Instancia de colaboración y coordinación interinstitucional que tiene como objetivo articular y facilitar la toma de decisiones estratégicas y operaciones necesarias, para prevenir o gestionar incidentes cibernéticos sobre las infraestructuras críticas DECRETO NÚMERO. 338 DE 2022 HOJA No. 13 de 18 "Por el cual se adiciona el Título 21 a la Parte 2 del Ubro 2 del Decreto Único 1078 de 2015, Reglamentario del Sector de Tecnologías de la Información y las Comunicaciones, con el fin de establecer los lineamientos generales para fortalecer la gobernanza de la seguridad digital, se crea el Modelo y las instancias de Gobernanza de Seguridad Digital y se dictan otras disposiciones" y los servicios esenciales, y que permiten la garantía de los derechos ciudadanos cuando actúan en el ciberespacio. Las autoridades que intervengan en los puestos de mando unificado lo harán para el cumplimiento coordinado de las funciones que señala la constitución, la ley, y bajo el respeto y protección de los derechos humanos. SECCiÓN 4 IDENTIFICACiÓN DE INFRAESTRUCTURAS CRíTICAS CIBERNÉTICAS Y SERVICIOS ESENCIALES

Infraestructuras críticas cibernéticas y servIcIos esenciales. El Ministerio de Tecnologías de la Información y las Comunicaciones, levantará el inventario de infraestructuras críticas públicas cibernéticas nacionales y de servicios esenciales en el ciberespacio. Dicho inventario se deberá actualizar como mínimo una vez cada dos años. Para ello, deberá identificar los sectores y subsectores que cuentan con infraestructuras críticas cibernéticas o prestan servicios esenciales para el mantenimiento de las actividades económicas y sociales a partir de: 1. Que la autoridad desarrolle o preste una actividad o servicio fundamental para el mantenimiento de actividades sociales o económicas nacionales, o cuente con información privilegiada del nivel estratégico para el estado o la seguridad. 2. La prestación de dicha actividad o servicio depende de las redes y sistemas de información, o de la utilización de Tecnologías de la Información y las Comunicaciones. 3. Un ataque o incidente en las redes y sistemas de información traería como consecuencia efectos significativos en la prestación de dicho servicio. Parágrafo. Dentro de los doce (12) meses siguientes a la expedición del presente decreto, el Ministerio de Tecnologías de la Información y las Comunicaciones definirá la metodología para realizar el levantamiento del inventario de infraestructuras críticas cibernéticas y de servicios esenciales a cargo de las autoridades, y deberá incorporar las mejores prácticas que le sean aplicables. Dicha metodología incorporará el mecanismo a través del cual se seleccionará el representante de las autoridades de cada uno de los sectores catalogados como titulares de infraestructura crítica cibernética o de servicios esenciales, ante el Comité Nacional de Seguridad Digital.

Vinculación de los sectores críticos y prestadores de servicios esenciales. Las autoridades que sean identificadas como titulares de infraestructuras críticas cibernéticas o prestadores de servicios esenciales para el mantenimiento de las actividades económicas y sociales del país deberán vincularse como tales ante el Ministerio de Tecnologías de la Información y las Comunicaciones - Grupo de Respuesta a Emergencias Cibernéticas de Colombia (COLCERT) DECRETO NÚMERO. 338 DE 2022 HOJA No. 14 de 18 "Por el cual se adiciona el Título 21 a la Parte 2 del Libro 2 del Decreto Único 1078 de 2015, Reglamentario del Sector de Tecnologfas de la Información y las Comunicaciones, con el fin de establecer los lineamientos generales para fortalecer la gobernanza de la seguridad digital, se crea el Modelo y las instancias de Gobernanza de Seguridad Digital y se dictan otras disposiciones" El Ministerio de Tecnologías de la Información y las Comunicaciones señalará los lineamientos y estándares que deberán cumplir las autoridades para el proceso de vinculación, en los términos establecidos en el título 9 del Decreto 1078 de 2015. El proceso de intercambio de información se realizará dando cumplimiento a la política de gobierno digital, particularmente, a los habilitadores de arquitectura, servicios ciudadanos digitales, y, seguridad y privacidad de la información.

Obligaciones de seguridad de las autoridades titulares de infraestructura crítica, o que presten servicios esenciales. Las autoridades, definidos como titulares de infraestructura crítica o que presten servicios esenciales, propenderán por contar con un plan de seguridad digital, protección de las redes, las infraestructuras críticas cibernéticas, los servicios esenciales y los sistemas de información en el ciberespacio y deberán hacer periódicamente una evaluación del riesgo de seguridad digital. Para lo anterior, deben contar con normas, políticas, procedimientos, recursos técnicos, administrativos y humanos necesarios para gestionar efectivamente el riesgo, y en cumplimiento de las mejores prácticas y estándares que le sean exigibles.

Afectación significativa. Para los efectos del presente Título, se entenderá por afectación significativa, aquella que se ocasiona a las Infraestructuras críticas cibernéticas, servicios esenciales e intereses nacionales para la seguridad digital, protección de las redes, de las infraestructuras, y los sistemas de información en el ciberespacio El Ministerio de Tecnologías de la información y las Comunicaciones determinará los umbrales y variables cualitativas o cuantitativas de una afectación significativa, teniendo en cuenta los siguientes factores: 1. El número de usuarios que confían en los servicios prestados por la entidad de que se trate. 2. La dependencia a otros sectores que se consideran críticos. 3. La repercusión que podría tener un incidente de seguridad digital, en términos de grado y duración, en las actividades económicas y sociales o en la seguridad pública . .4. La cuota de mercado que represente la entidad. 5. La extensión geográfica con respecto a la zona que podría verse afectada por un incidente de seguridad digital. 6. La puesta en riesgo o violación a los derechos humanos que se podría ocasionar. 7. La capacidad de la entidad para mantener un nivel suficiente del servicio, teniendo en cuenta la disponibilidad de alternativas para la prestación de este. DECRETO NÚMERO 338 DE 2022 HOJA No. 15 de 18 "Por el cual se adiciona el Título 21 a la Parte 2 del Libro 2 del Decreto Único 1078 de 2015, Reglamentario del Sector de Tecnologlas de la Información y las Comunicaciones, con el fin de establecer los lineamientos generales para fortalecer la gobernanza de la seguridad digital, se crea el Modelo y las instancias de Gobernanza de Seguridad Digital y se dictan otras disposiciones" SECCiÓN 5 MODELO NACIONAL DE ATENCiÓN Y GESTiÓN DE INCIDENTES.