Normativa Aplicable al Registro al Portal de Ciberseguridad para Cumplir con los Requisitos de la Regla Núm. 108.

P.O. Box 195415 . San Juan, PR 00919-5415 - Teléfono 787-304.8686 - Fax 787.273.6082 - www.ocs.pr.gov 7 de noviembre de 2024 CARTA NORMATIVA NÚM. CN-2024- 362-D A TODOS LOS REGULADOS POR LA OFICINA DEL COMISIONADO DE SEGUROS DE PUERTO RICO COMPLEIDOS A CUMPLIR CON LAS DISPOSICIONES DE LA REGLA NÚM. 108 TITULADA “NORMAS DE CIBERSEGURIDAD PARA LA INDUSTRIA DE SEGUROS”. NORMATIVA APLICABLE AL REGISTRO AL PORTAL DE CIBERSEGURIDAD PARA CUMPLIR CON LOS REQUISITOS DE LA REGLA NÚM. 108. Estimados señores y señoras: La Oficina del Comisionado de Seguros de Puerto Rico (OCS) implementó la Regla Núm. 108 del Reglamento del Código de Seguros de Puerto Rico titulada “Normas de Ciberseguridad para la Industria de Seguros” (Regla 108) aprobada el 10 de septiembre de 2024 (Reg. Núm. 9590 Departamento de Estado). La Regla 108 tiene el propósito de establecer las normas de ciberseguridad de la industria de seguros y las normas para la investigación y notificación al Comisionado de un incidente de Ciberseguridad relacionada con el negocio de los regulados. Con la intención de establecer parámetros de regulación efectivos de ciberseguridad en la industria de seguros, y en ánimos de facilitar la adopción de la Regla 108 por parte de los Regulados, se ha publicado un Portal de Ciberseguridad. En este Portal se incluyen recursos libres de costo, como los del Instituto Nacional de Normas y Tecnología (NIST, por sus siglas en inglés), el Centro para la Seguridad del Internet (CIS), la Agencia de Ciberseguridad y Seguridad de la Infraestructura (CISA), la Comisión Federal de Comercio (FTC) y la Asociación Nacional de Comisionados de Seguros (NAIC), e incluyen las mejores prácticas y procesos que aportan a mejorar y mantener una buena higiene cibernética. Entre los recursos que forman parte del portal de ciberseguridad, la OCS también ha incluido una “Guía de Implementación de Controles de Ciberseguridad”, donde se alinean los requisitos de la Regla 108 a las mejores prácticas del NIST con algunos ejemplos prácticos. Para facilitar el cumplimiento con las normas de ciberseguridad de la industria de seguros se incluye también en el Portal una “Lista de Cotejo Para Cumplir con la Regla Núm. 108”. La implementación del Portal de Ciberseguridad contiene una sección de acceso privado para los regulados que posean una licencia de seguros, autorización o certificado de autoridad para tramitar negocios de seguros en Puerto Rico con más de quince (15) empleados. Esta sección es designada para que los regulados radiquen su Certificación Anual de Cumplimiento, notifiquen al Comisionado en caso de un incidente de ciberseguridad, y radiquen los resultados de sus pruebas bianuales de vulnerabilidades, según corresponda. La 2 radicación electrónica de estas certificaciones o de una notificación deberá ser realizada únicamente mediante este portal. El acceso a los regulados para el uso del Portal de Ciberseguridad de la OCS se obtendrá de la siguiente manera: a) Los regulados tendrán acceso al Portal de Ciberseguridad visitando la siguiente dirección de página web (URL): https://ciberseguridad.ocs.pr.gov/ b) Le corresponde registrarse en el Portal de Ciberseguridad a los regulados, ya sea persona natural o jurídica, que posean una licencia de seguros, autorización o certificado de autoridad para tramitar negocios de seguros en Puerto Rico con más de quince (15) empleados. Estarán exentos los regulados con quince (15) o menos empleados. c) El regulado se registrará identificando su número de licencia aprobada por la OCS o Código NAIC más deberá registrar a su personal autorizado. Para registrarse deberá utilizar el Formulario de autorización de acceso disponible al presionar aquí: Formulario de Autorización de acceso al Portal de Ciberseguridad. d) De ser aplicable, el regulado deberá divulgar si es una entidad cubierta por la ley Health Insurance Portability and Accountability Act of 1996 (HIPAA) o si es una entidad afiliada a una institución financiera según establece la ley Ley Gramm-Leach- Bliley (GLBA). e) El regulado deberá proveer el nombre, apellido, correo electrónico corporativo, título o puesto del personal autorizado e identificar la calidad de accesos de cada uno. Se permitirá únicamente el registro mediante los correos corporativos de las personas autorizadas. (No se aprobará autorización a cuentas de correo electrónico personal, como lo son cuentas de Gmail, Hotmail, Yahoo, etc.). f) Al completar el formulario, el regulado certificará que los usuarios requieren el acceso solicitado como parte del desempeño de sus funciones. Reconocerá que el usuario administrador tendrá la autoridad de añadir, revisar y eliminar usuarios, así como otros administradores. Cualquier cambio que ocurra relevante a los deberes del personal autorizado para revocar o revisar sus accesos al Portal de Ciberseguridad deberá ser notificado a la OCS en un término no mayor de dos (2) días laborables. Será responsable de cumplir con las leyes estatales y federales, las políticas gubernamentales que regulan el acceso y uso de la información de la OCS, así como la Política de Privacidad del Portal de Ciberseguridad. 3 Todo regulado, con más de quince (15) empleados, compelido a cumplir con las disposiciones de la Regla 108 deberá obtener su acceso al Portal de Ciberseguridad en o antes del 1 de diciembre de 2024, siguiendo las instrucciones que se detallan en la presente normativa. Se requiere el más estricto cumplimiento con lo aquí establecido. Cordialmente, Lcdo. Alexander Adams Vega Comisionado de Seguros de Puerto Rico