Resolución 420/38329/2026, de 14 de julio, de la Secretaría General Técnica, por la que se publica el Convenio entre el Instituto Nacional de Técnica Aeroespacial «Esteban Terradas» y S2 Grupo Soluciones de Seguridad, SLU, para la colaboración en proyectos y realización de auditorías en el ámbito de la ciberseguridad y la ciberdefensa

Primera Objeto

Este convenio tiene por objeto establecer las condiciones de colaboración entre el INTA y S2Grupo para la realización de proyectos de I+D+i en el ámbito de la ciberseguridad y la futura formación de un consorcio con el que poder optar a subvenciones públicas.

Segunda Aportaciones de las partes

1. En lo relativo a realización de ensayos, el INTA e S2Grupo disponen de infraestructuras y equipamiento para la realización de ensayos y validaciones de componentes y productos de los sectores con los cuales colaboran. Ambas partes se comprometen a poner a disposición dichos medios a través de la correspondiente oferta de servicios definida para cada ensayo específico, lo cual quedará supeditado a la formalización de los correspondientes acuerdos, contratos o adendas específicas, que definirán alcance, recursos, responsabilidades y financiación.

2. Para los proyectos de I+D+i, INTA se compromete a realizar de la forma que se pacte las siguientes actividades:

• – Diseño y ejecución de investigaciones aplicadas en ciberseguridad, ciberdefensa, inteligencia artificial y simulación avanzada.
• – Realización de auditorías, evaluaciones de seguridad y análisis de resiliencia en infraestructuras y sistemas críticos.
• – Desarrollo y validación de tecnologías innovadoras para la protección de sistemas, redes y servicios digitales.
• – Investigación en inteligencia artificial aplicada a la detección de amenazas, análisis de datos y apoyo a la toma de decisiones.
• – Diseño y desarrollo de modelos de simulación, gemelos digitales y entornos virtuales para experimentación y entrenamiento.
• – Creación y operación de laboratorios, testbeds y plataformas de validación tecnológica para tecnologías emergentes.
• – Ejecución de proyectos piloto y demostradores tecnológicos en colaboración con organismos públicos, industria y sector defensa.
• – Elaboración y coordinación de propuestas para programas nacionales e internacionales de investigación e innovación.
• – Desarrollo de soluciones en las áreas de simulación, inteligencia artificial, ciberseguridad y ciberdefensa.
• – Identificación y seguimiento de oportunidades de financiación en programas nacionales e internacionales y preparación de propuestas de proyectos para convocatorias nacionales o europeas (Horizon Europe, European Defence Found, etc.).

3. Para los proyectos de I+D+i, S2Grupo se compromete a realizar de la forma que se pacte las siguientes actividades:

• – Planificación y ejecución de auditorías de ciberseguridad, análisis de vulnerabilidades, pruebas de intrusión y evaluaciones de cumplimiento normativo.
• – Diseño e implementación de estrategias de gestión de riesgos, ciberresiliencia y respuesta ante incidentes de seguridad.
• – Desarrollo de soluciones innovadoras en ciberseguridad, ciberdefensa, inteligencia artificial y automatización de procesos de seguridad.
• – Investigación y aplicación de técnicas de inteligencia artificial para detección de amenazas, análisis predictivo y apoyo a operaciones SOC.
• – Desarrollo de plataformas, herramientas y servicios de monitorización, detección y respuesta ante ciberamenazas.
• – Diseño, despliegue y operación de entornos de experimentación, laboratorios de ciberseguridad y cyber ranges.
• – Ejecución de pruebas de concepto, proyectos piloto y validación tecnológica de productos y servicios innovadores.
• – Desarrollo de capacidades de simulación y entrenamiento para la evaluación de escenarios de ataque, defensa y resiliencia operativa.
• – Identificación de oportunidades de financiación y preparación de propuestas para programas nacionales e internacionales de I+D+i.
• – Coordinación de consorcios, gestión de proyectos de innovación y transferencia de resultados tecnológicos al mercado y a los clientes.

En cada proyecto que se proponga ya sea por iniciativa de cualquiera de las partes o en el marco de una convocatoria pública, se definirán los requisitos aplicables, propios de las partes o derivados de la convocatoria, previa aceptación expresa de las partes mediante el instrumento jurídico correspondiente.

Tercera Financiación

Para cada actividad específica se realizará un presupuesto por la parte ofertante o se recurrirá a convocatorias públicas para financiar las actividades en el caso de proyectos de I+D+i, que se materializarán a través del negocio jurídico que corresponda.

La ejecución de dichas actividades quedará en todo caso supeditada a la formalización de los correspondientes acuerdos, contratos o adendas específicas, que definirán alcance, recursos, responsabilidades y financiación.

En ausencia de financiación específica o acuerdo expreso, cada parte asumirá sus propios costes.

Cuarta Medidas de control y seguimiento

De conformidad con lo establecido en el artículo 49.f) de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, se crea una Comisión Mixta de Seguimiento del convenio.

Dicha comisión se constituirá como mecanismo de seguimiento del convenio y dentro de sus competencias estará proponer, aclarar y decidir cuantas dudas o controversias puedan plantearse en la interpretación y ejecución del presente convenio, así como velar por su ejecución y la adecuada aplicación de los medios. Sus decisiones se adoptarán por mayoría y, en caso de no obtenerse la misma, se estará a lo dispuesto en la legislación vigente.

La Comisión Mixta de Seguimiento se reunirá regularmente al menos con una periodicidad anual, o cuando lo solicite alguna de las partes, y su composición será la siguiente:

• 1. Por parte del INTA: el jefe del departamento TICS de la Subdirección de Sistemas Terrestres y el jefe del Área de Comunicaciones y Ciberseguridad o personas en quien ellos deleguen.
• 2. Por parte de S2Grupo: el Director de Investigación y Desarrollo y el Director de Defensa o personas en quienes estos deleguen.

La Presidencia de la Comisión Mixta de Seguimiento será anual y rotatoria entre ambas partes, empezando por S2Grupo. También se designará un secretario entre los asistentes que será el responsable de levantar acta de las sesiones de la Comisión Mixta de Seguimiento que se celebren.

Cada una de las partes podrá modificar la designación para esta comisión mixta mediante notificación a la otra en un plazo tres (3) días.

No tendrá consideración de modificación del convenio los cambios que se produzcan en la designación.

Quinta Legislación aplicable y jurisdicción competente

El presente convenio es de naturaleza jurídico-administrativa, de conformidad con lo dispuesto en el artículo 47 y siguientes de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, rigiéndose por sus propios términos y condiciones y aplicándose los principios de la citada disposición para resolver las dudas y problemas que pudieran presentarse. Además, el convenio también está amparado en el artículo 34.1.a) de la Ley 14/2011, de 1 de junio, de la Ciencia, la Tecnología y la Innovación.

Las cuestiones litigiosas que pudieran surgir entre las partes como consecuencia de la ejecución del convenio deberán solventarse por mutuo acuerdo. Si no pudiera alcanzarse dicho acuerdo, las posibles cuestiones litigiosas serán de conocimiento y competencia del orden jurisdiccional contencioso-administrativo.

Sexta Causas de extinción del convenio

El convenio se extingue por el cumplimiento de las actuaciones que constituyen su objeto o por incurrir en alguna de las causas de resolución establecidas en el artículo 51.2 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público.

Son causas de resolución:

• a) El transcurso del plazo de vigencia del convenio sin haberse acordado la prórroga del mismo.
• b) El acuerdo unánime de todas las partes.
• c) El incumplimiento de las obligaciones y compromisos asumidos por parte de alguna de las partes.

  En este caso, cualquiera de las partes podrá notificar a la parte incumplidora un requerimiento para que cumpla en un determinado plazo con las obligaciones o compromisos que se consideran incumplidos. Este requerimiento será comunicado al responsable del mecanismo de seguimiento, vigilancia y control de la ejecución del convenio y a la otra parte firmante.

  Si transcurrido el plazo indicado en el requerimiento persistiera el incumplimiento, la parte que lo dirigió notificara a la otra parte firmante la concurrencia de la causa de resolución y se entenderá resuelto el convenio. En el seno de la Comisión Mixta de Seguimiento podrá proponerse la indemnización por los perjuicios causados.

• d) Por decisión judicial declaratoria de la nulidad del convenio.
• e) Por cualquier otra causa prevista en otras leyes.

La presente colaboración estará siempre supeditada a las necesidades de la Defensa Nacional, por lo que, surgida tal necesidad, el convenio quedará suspendido en tanto persista dicha necesidad o, en su caso, resuelto por parte del INTA, sin que sea preciso aviso o denuncia previa en este sentido por parte del INTA y sin derecho a reclamación la otra parte, o de concesión de indemnización o compensación a su favor.

Dadas las características del convenio, en caso de resolución por incumplimiento de las obligaciones y compromisos de las partes, éste quedará resuelto sin que ninguna de las partes pueda reclamar daños y perjuicios a la otra con motivo de la resolución, salvo dolo o negligencia grave.

No obstante lo anterior, si cuando concurra cualquiera de las causas de resolución del convenio existieran actuaciones en curso de ejecución, las partes, a propuesta de la Comisión Mixta de Seguimiento del convenio, podrán acordar la continuación y finalización de las actuaciones en curso que consideren oportunas, estableciendo un plazo improrrogable para su finalización, transcurrido el cual deberá realizarse la liquidación de las mismas.

Séptima Modificación del convenio

La modificación del contenido del convenio requerirá acuerdo unánime de los firmantes, de acuerdo con lo previsto en el artículo 49.g) de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, y se formalizará mediante la suscripción de la correspondiente adenda, conforme a los requisitos legalmente establecidos y previa autorización prevista en el artículo 50 de la citada ley.

Octava Titularidad de los resultados

La suscripción y ejecución del presente convenio no implicará, en ningún caso, la cesión, licencia o transmisión de derechos de propiedad intelectual o industrial preexistentes de ninguna de las partes, que seguirán siendo titularidad exclusiva de quien los ostente, salvo acuerdo expreso en contrario formalizado por escrito.

En cada oferta o proyecto se establecerá el régimen aplicable a los derechos de propiedad intelectual sobre los resultados, así como los derechos de uso, modificación y explotación que correspondan, pudiendo preverse, en su caso, la titularidad conjunta de tales derechos.

Novena Vigencia

Este convenio, con arreglo al artículo 48.8 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, se perfecciona con el consentimiento de las partes y resultará eficaz una vez inscrito, en el plazo de cinco días hábiles desde su formalización, en el Registro Electrónico estatal de Órganos e Instrumentos de Cooperación del sector público estatal (REOICO). Asimismo, será publicado en el plazo de diez días hábiles desde su formalización en el «Boletín Oficial del Estado».

Tendrá una vigencia de cinco años, de acuerdo con lo establecido en el apartado 2 del artículo 34 de la Ley 14/2011, de 1 de junio, de la Ciencia, la Tecnología y la Innovación, tras la modificación operada por el Real Decreto-ley 3/2019, de 8 de febrero, de medidas urgentes en el ámbito de la Ciencia, la Tecnología, la Innovación y la Universidad, pudiendo prorrogarse antes de su finalización por mutuo acuerdo expreso de las partes, mediante adenda de prórroga, por un periodo de hasta cinco años adicionales.

Décima Legislación aplicable en materia de protección de datos

Las partes se comprometen a cumplir, en los términos que sea de aplicación, lo que está establecido en el Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos, RGPD), y en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, así como en las disposiciones de desarrollo que se dicten durante la vigencia del presente convenio.

En concreto, las partes se comprometen a:

• a) Comunicar a la otra parte datos personales de interesados solo en la medida en que dichos datos personales se hayan recopilado y tratado legalmente.
• b) Garantizar que los interesados han sido debidamente informados de conformidad con la legislación aplicable en materia de protección de datos y que, según proceda, se ha obtenido la autorización válida de los interesados, de forma particular en relación con el tratamiento realizado por las partes a efectos del presente convenio.
• c) Utilizar los datos personales solo para los fines estrictamente necesarios para cumplir el presente convenio y tal como acuerden las partes.
• d) Compartir los datos personales recabados y tratados como resultado del presente convenio solo con terceros que proporcionen las mismas garantías que se definen a continuación cuando la cesión deba tener lugar conforme a la legalidad.
• e) Abstenerse de transferir datos personales a terceros ubicados fuera del Espacio Económico Europeo sin obtener el consentimiento previo de la otra parte, debiendo, en su caso, tener lugar la transferencia internacional de datos conforme a la legalidad.
• f) Adoptar medidas técnicas y organizativas para garantizar un nivel de protección adecuado de los datos personales tratados.
• g) Eliminar los datos personales cuando dejen de ser necesarios a efectos del presente convenio o a instancias de la otra parte.

Los datos personales que se traten con motivo del presente convenio se incorporarán a los Registros de Actividades de Tratamiento de las partes intervinientes, con la finalidad de gestionar las actuaciones que se prevén en el propio convenio. Los titulares de los datos personales podrán ejercitar ante los responsables de los datos personales los derechos de acceso, rectificación, supresión y portabilidad de los datos personales, y de limitación u oposición al tratamiento.

Sobre ambas partes recaen las responsabilidades que deriven de la condición de responsables del tratamiento de datos personales. Ambas partes asumen la obligación de informar a los interesados sobre las características del tratamiento de los datos personales, y las obligaciones que se deriven de la implantación de medidas técnicas y organizativas de cada corresponsable y el mecanismo establecido en caso de violaciones de seguridad; así como el establecimiento de los oportunos mecanismos de respuesta al ejercicio de derechos por parte de los interesados.

Si cualquiera de las partes destinase o tratase los datos personales a finalidad distinta de la prevista en el presente convenio, los comunicaran o los utilizaran incumpliendo lo estipulado en el acuerdo y/o la normativa de protección de datos personales, cada uno de los antes citados responderá de las responsabilidades que deriven de los daños y perjuicios en que pueda haber incurrido, a fin de garantizar la indemnización efectiva del interesado, sin perjuicio de lo previsto en el artículo 82.5 RGPD europeo.

El acceso de una de las partes a los datos personales de la otra parte se hará en concepto de encargado de tratamiento, en los términos y condiciones previstos en el artículo 28 del RGPD.

Las garantías que, en orden a los datos personales se establecen, tendrán validez durante la vigencia del presente convenio y de sus prórrogas.

Undécima Actividad Editorial

Los representantes del INTA en la Comisión Mixta de Seguimiento velarán por que se dé cumplimiento a lo dispuesto en la Instrucción 1/2022, de 12 de enero, de la Subsecretaria de Defensa, que regula la actividad editorial en el ámbito del Ministerio de Defensa.

Para el uso, en su caso, de elementos de imagen institucional en publicaciones derivadas de lo establecido en el convenio, dichos representantes solicitarán previamente la conformidad de la Subdirección General de Publicaciones y Patrimonio Cultural.

Sin perjuicio de lo anterior, con carácter previo a cualquier publicación, las partes consensuarán el alcance y contenido de la misma con el fin de evitar, a modo de ejemplo, la publicación de secretos empresariales o información confidencial.

Duodécima Imagen institucional

Ambas partes se comprometen a lo dispuesto en la disposición adicional segunda del Real Decreto 1465/1999, de 17 de septiembre, por el que se establecen criterios de imagen institucional y se regula la producción documental y el material impreso de la Administración General del Estado, sobre la utilización de la imagen institucional en los instrumentos contractuales y convencionales.

En todo caso, nade en este convenio otorga a cualquiera de las partes derecho alguno de uso de los nombres comerciales, marcas, logos o derechos análogos de la otra parte, salvo autorización expresa y con sujeción a la normativa aplicable.