• Expandir / Contraer 韓dice sistem醫ico
• INTRODUCCION
• Art韈ulo 1 燨bjeto y 醡bito de aplicaci髇
• Art韈ulo 2 燤isi髇 del Departamento
• Art韈ulo 3 燤arco legal y regulatorio
• Art韈ulo 4 燩rincipios de la seguridad de la informaci髇
• Art韈ulo 5 燛structura organizativa
• Art韈ulo 6 燣a Comisi髇 Ministerial de Administraci髇 Digital
• Art韈ulo 7 燛l Responsable de Seguridad
• Art韈ulo 8 燣os Responsables de la Informaci髇 y los Responsables del Servicio
• Art韈ulo 9 燣os Responsables del Sistema
• Art韈ulo 10 燛l Delegado de Protecci髇 de Datos
• Art韈ulo 11 燛structura normativa
• Art韈ulo 12 燝esti髇 de los riesgos
• Art韈ulo 13 燩rotecci髇 de datos de car醕ter personal
• Art韈ulo 14 燜ormaci髇 y concienciaci髇
• Art韈ulo 15 燗ctualizaci髇 permanente
• DISPOSICIONES ADICIONALES
  • Disposici髇 adicional primera 營nstrucciones de ejecuci髇
  • Disposici髇 adicional segunda 燦o incremento del gasto p鷅lico
  • Disposici髇 adicional tercera 燚eber de colaboraci髇 en la implantaci髇 de la PSI
• DISPOSICIONES FINALES
  • Disposici髇 final 鷑ica 燩ublicidad de la PSI y entrada en vigor

Art韈ulo 1 Objeto y 醡bito de aplicaci髇

1. Constituye el objeto de la presente orden la aprobaci髇 de la Pol韙ica de Seguridad de la Informaci髇 (en adelante PSI) en el 醡bito de la administraci髇 electr髇ica del Ministerio de Educaci髇, Cultura y Deporte, as� como del marco organizativo y tecnol骻ico de la misma.

2. La PSI ser� de obligado cumplimiento para todos los 髍ganos superiores y directivos del Ministerio de Educaci髇, Cultura y Deporte, incluidos los 髍ganos dependientes o adscritos al mismo que no tengan establecida su propia pol韙ica de seguridad, siendo aplicable a todos los activos empleados por el Departamento.

3. Se podr醤 adherir a la presente PSI aquellos organismos p鷅licos dependientes o adscritos al Ministerio de Educaci髇, Cultura y Deporte que as� lo soliciten.

4. La PSI ser� de obligado cumplimiento para todo el personal que acceda tanto a los sistemas de informaci髇 como a la propia informaci髇 que sea gestionada por el Departamento, con independencia de cu醠 sea su destino, adscripci髇 o relaci髇 con el mismo.

Art韈ulo 2 Misi髇 del Departamento

El Ministerio de Educaci髇, Cultura y Deporte es el Departamento de la Administraci髇 General del Estado encargado de la propuesta y ejecuci髇 de la pol韙ica del Gobierno en materia educativa, de formaci髇 profesional y de universidades, as� como la promoci髇, protecci髇 y difusi髇 del patrimonio hist髍ico espa駉l, de los museos estatales y de las artes, del libro, la lectura y la creaci髇 literaria, de las actividades cinematogr醘icas y audiovisuales y de los archivos y bibliotecas estatales, la promoci髇 y difusi髇 de la cultura en espa駉l, as� como la propuesta y ejecuci髇 de la pol韙ica del Gobierno en materia de deporte. Asimismo, le corresponde a este Departamento el impulso de las acciones de cooperaci髇 y, en coordinaci髇 con el Ministerio de Asuntos Exteriores y de Cooperaci髇, de las relaciones internacionales en materia de educaci髇, cultura y deporte.

Art韈ulo 3 Marco legal y regulatorio

El marco normativo en que se desarrollan las actividades del Ministerio de Educaci髇, Cultura y Deporte en el 醡bito de la prestaci髇 de los servicios electr髇icos a los ciudadanos, sin perjuicio de la legislaci髇 espec韋ica, se compone de:

• 1. Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Com鷑 de las Administraciones P鷅licas.
• 2. Ley 40/2015, de 1 de octubre, de R間imen Jur韉ico del Sector P鷅lico.
• 3. Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en al 醡bito de la Administraci髇 Electr髇ica.
• 4. Real Decreto 4/2010, de 8 de enero, por el que se regula el Esquema Nacional de Interoperabilidad en al 醡bito de la Administraci髇 Electr髇ica.
• 5. Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protecci髇 de las personas f韘icas en lo que respecta al tratamiento de datos personales y a la libre circulaci髇 de estos datos.
• 6. Real Decreto 1553/2005, de 23 de diciembre, por el que se regula el documento nacional de identidad y sus certificados de firma electr髇ica.
• 7. Orden EDU/3607/2009, de 30 de diciembre, por la que se crea la Sede Electr髇ica en el Ministerio de Educaci髇.
• 8. Orden CUL/395/2010, de 17 de febrero, por la que se crea la Sede Electr髇ica del Ministerio de Cultura.
• 9. Resoluci髇 de 19 de febrero de 2010, de la Presidencia del Consejo Superior de Deportes, por la que se crea la Sede Electr髇ica del Consejo Superior de Deportes.
• 10. Orden EDU/947/2010, de 13 de abril, por la que se crea y regula el Registro Electr髇ico del Ministerio de Educaci髇.
• 11. Orden CUL/3410/2009, de 14 de diciembre, por la que se regula el Registro Electr髇ico del Ministerio de Cultura.
• 12. Resoluci髇 de 24 de junio de 2009, de la Presidencia del Consejo Superior de Deportes, por la que se crea el registro electr髇ico del Consejo Superior de Deportes.
• 13. Ley 9/2017, de 8 de noviembre, de Contratos del Sector P鷅lico, por la que se transponen al ordenamiento jur韉ico espa駉l las Directivas del Parlamento Europeo y del Consejo 2014/23/UE y 2014/24/UE, de 26 de febrero de 2014.
• 14. Texto refundido de la Ley de Propiedad Intelectual, aprobado por Real Decreto Legislativo 1/1996, de 12 de abril, y su normativa de desarrollo.

Del mismo modo, forman parte del marco regulatorio las normas aplicables a la Administraci髇 Electr髇ica del Departamento que desarrollen o complementen las anteriores y que se encuentren dentro del 醡bito de aplicaci髇 de la PSI.

Art韈ulo 4 Principios de la seguridad de la informaci髇

1. Principios b醩icos.

Los principios b醩icos son directrices fundamentales de seguridad que han de tenerse siempre presentes en cualquier actividad relacionada con el uso de los activos de informaci髇. Se establecen los siguientes:

• a) Alcance estrat間ico: La seguridad de la informaci髇 debe contar con el compromiso y apoyo de todos los niveles directivos de forma que pueda estar coordinada e integrada con el resto de iniciativas estrat間icas del Departamento para conformar un todo coherente y eficaz.
• b) Responsabilidad diferenciada: En los sistemas de informaci髇 se diferenciar� el responsable de la informaci髇, que determina los requisitos de seguridad de la informaci髇 tratada; el responsable del servicio, que determina los requisitos de seguridad de los servicios prestados; el responsable del sistema, que tiene la responsabilidad sobre la prestaci髇 de los servicios; y el responsable de seguridad, que determina las decisiones para satisfacer los requisitos de seguridad.
• c) Seguridad integral: La seguridad se entender� como un proceso integral constituido por todos los elementos t閏nicos, humanos, materiales y organizativos, relacionados con el sistema, evitando, salvo casos de urgencia o necesidad, cualquier actuaci髇 puntual o tratamiento coyuntural. La seguridad de la informaci髇 debe considerarse como parte de la operativa habitual, estando presente y aplic醤dose desde el dise駉 inicial de los sistemas de informaci髇.
• d) Gesti髇 de Riesgos: De acuerdo a lo establecido en el art韈ulo 24 del Reglamento (UE) 2016/679, as� como en el art韈ulo 6 del Esquema Nacional de Seguridad, el an醠isis y gesti髇 de riesgos ser� parte esencial del proceso de seguridad. La gesti髇 de riesgos permitir� el mantenimiento de un entorno controlado, minimizando los riesgos hasta niveles aceptables. La reducci髇 de estos niveles se realizar� mediante el despliegue de medidas de seguridad, que establecer� un equilibrio entre la naturaleza de los datos y los tratamientos, el impacto y la probabilidad de los riesgos a los que est閚 expuestos y la eficacia y el coste de las medidas de seguridad.
• e) Proporcionalidad: El establecimiento de medidas de protecci髇, detecci髇 y recuperaci髇 deber� ser proporcional a los potenciales riesgos y a la criticidad y valor de la informaci髇 y de los servicios afectados.
• f) Mejora continua: Las medidas de seguridad se reevaluar醤 y actualizar醤 peri骴icamente para adecuar su eficacia a la constante evoluci髇 de los riesgos y sistemas de protecci髇. La seguridad de la informaci髇 ser� atendida, revisada y auditada por personal cualificado, instruido, dedicado y diferenciado.
• g) Seguridad por defecto: Los sistemas deben dise馻rse y configurarse de forma que garanticen un grado suficiente de seguridad por defecto.

2. Principios particulares y responsabilidades espec韋icas.

Las directrices fundamentales de seguridad se concretan en un conjunto de principios particulares y responsabilidades espec韋icas, que se configuran como objetivos instrumentales que garantizan el cumplimiento de los principios b醩icos de la PSI y que inspiran las actuaciones del Departamento en dicha materia. Se establecen los siguientes:

• a) Protecci髇 de datos de car醕ter personal: se adoptar醤 las medidas t閏nicas y organizativas destinadas a garantizar una adecuada protecci髇 de los datos. Tal y como establece en el Reglamento (UE) 2016/679, dichas medidas, deber醤 ser apropiadas en funci髇 del an醠isis de riesgos mencionado en el apartado 4.1.d), as� como de una evaluaci髇 de impacto en la protecci髇 de datos cuando sea probable que un tratamiento, por su naturaleza, alcance, contexto o fines, entra馿 un alto riesgo para los derechos y libertades de las personas f韘icas.
• b) Gesti髇 de activos de informaci髇: Los activos de informaci髇 del Departamento se encontrar醤 inventariados y categorizados y estar醤 asociados a un responsable.
• c) Seguridad ligada a las personas: se implantar醤 los mecanismos necesarios para que cualquier persona que acceda, o pueda acceder a los activos de informaci髇, conozca sus responsabilidades y de este modo se reduzca el riesgo derivado de un uso indebido de dichos activos.
• d) Seguridad f韘ica: Los activos de informaci髇 ser醤 emplazados en 醨eas seguras, protegidas por controles de acceso f韘icos adecuados a su nivel de criticidad. Los sistemas y los activos de informaci髇 que contienen dichas 醨eas estar醤 suficientemente protegidos frente a amenazas f韘icas o ambientales.
• e) Seguridad en la gesti髇 de comunicaciones y operaciones: se establecer醤 los procedimientos necesarios para lograr una adecuada gesti髇 de la seguridad, operaci髇 y actualizaci髇 de las Tecnolog韆s de la Informaci髇 y Comunicaciones. La informaci髇 que se transmita a trav閟 de redes de comunicaciones deber� ser adecuadamente protegida, teniendo en cuenta su nivel de sensibilidad y de criticidad, mediante mecanismos que garanticen su seguridad.
• f) Control de acceso: se limitar� el acceso a los activos de informaci髇 por parte de usuarios, procesos y otros sistemas de informaci髇 mediante la implantaci髇 de los mecanismos de identificaci髇, autenticaci髇 y autorizaci髇 acordes a la criticidad de cada activo. Adem醩, quedar� registrada la utilizaci髇 del sistema con objeto de asegurar la trazabilidad del acceso y auditar su uso adecuado, conforme a la actividad de la organizaci髇.
• g) Adquisici髇, desarrollo y mantenimiento de los sistemas de informaci髇: se contemplar醤 los aspectos de seguridad de la informaci髇 en todas las fases del ciclo de vida de los sistemas de informaci髇, garantizando su seguridad por defecto.
• h) Gesti髇 de los incidentes de seguridad: se implantar醤 los mecanismos apropiados para la correcta identificaci髇, registro y resoluci髇 de los incidentes de seguridad.
• i) Gesti髇 de la continuidad: se implantar醤 los mecanismos apropiados para asegurar la disponibilidad de los sistemas de informaci髇 y mantener la continuidad de sus procesos de negocio, de acuerdo a las necesidades de nivel de servicio de sus usuarios.
• j) Cumplimiento: se adoptar醤 las medidas t閏nicas, organizativas y procedimentales necesarias para el cumplimiento de la normativa legal vigente en materia de seguridad de la informaci髇.
• k) Derechos y deberes de los empleados p鷅licos: Los empleados p鷅licos que prestan servicio al departamento tienen el derecho y el deber de conocer y aplicar la presente PSI y todas las directrices generales, normas y procedimientos de seguridad de la informaci髇 que puedan afectar a sus funciones, as� como de participar en acciones de difusi髇 y formaci髇 orientadas a mejorar el estado de la seguridad de la informaci髇.

3. Aplicabilidad de los principios y requisitos m韓imos marcados en el Esquema Nacional de Seguridad.

Sin perjuicio de lo establecido en los apartados 1 y 2 del presente art韈ulo, la presente PSI se establecer� asimismo en base a los principios b醩icos y se desarrollar� aplicando los requisitos m韓imos contemplados en los art韈ulos 4 y 11 del Real Decreto 3/2010, de 8 de enero.

Art韈ulo 5 Estructura organizativa

La estructura organizativa para la gesti髇 de la seguridad de la informaci髇 en el 醡bito descrito por la PSI del Ministerio de Educaci髇, Cultura y Deporte est� compuesta por los siguientes agentes:

• 1. La Comisi髇 Ministerial de Administraci髇 Digital (en adelante CMAD).
• 2. El Responsable de Seguridad.
• 3. Los Responsables de la Informaci髇.
• 4. Los Responsables del Servicio.
• 5. Los Responsables del Sistema.
• 6. El Delegado de Protecci髇 de Datos.

Art韈ulo 6 La Comisi髇 Ministerial de Administraci髇 Digital

1. La CMAD es el 髍gano colegiado de 醡bito departamental responsable del impulso y coordinaci髇 interna en materia de Administraci髇 Digital.

2. El pleno de la CMAD ejercer� las siguientes funciones, aparte de las que le son conferidas en su Orden Ministerial de creaci髇:

• a) Elaborar las propuestas de modificaci髇 y actualizaci髇 permanente de la PSI.
• b) Velar e impulsar el cumplimiento de la PSI y de su desarrollo normativo.
• c) Promover la mejora continua en la gesti髇 de la seguridad de la informaci髇.
• d) Resolver los posibles conflictos que puedan derivarse del establecimiento de la citada estructura organizativa.
• e) Ordenar la realizaci髇 de las auditor韆s o autoevaluaciones de seguridad y recibir informaci髇 de los resultados de las mismas.
• f) Proveer los recursos y medios necesarios para asegurar la concienciaci髇 y formaci髇 en materia de seguridad de la informaci髇 de todo el personal afectado por esta Orden.
• g) Evaluaci髇 y seguimiento las decisiones tomadas para satisfacer los requisitos de seguridad de la informaci髇 y de los servicios.
• h) Coordinar la comunicaci髇 con el Centro Criptol骻ico Nacional en la utilizaci髇 de servicios de respuesta a incidentes de seguridad.
• i) Compartir experiencias de 閤ito en materia de seguridad entre sus miembros para velar por el cumplimiento de la PSI y su normativa de desarrollo.

3. El pleno de la CMAD podr� recabar de personal t閏nico, propio o externo, la informaci髇 pertinente para la toma de sus decisiones.

Art韈ulo 7 El Responsable de Seguridad

1. Conforme al art韈ulo 10 del Esquema Nacional de Seguridad, el Responsable de Seguridad es quien determina las decisiones para satisfacer los requisitos de seguridad de la informaci髇 y de los servicios.

2. Las funciones del Responsable de Seguridad se ejercer醤 por el grupo t閏nico de seguridad de la informaci髇, presidido y coordinado por el Subdirector General de Tecnolog韆s de la Informaci髇 y las Comunicaciones, y compuesto por un representante de cada uno de los organismos p鷅licos adscritos a la presente pol韙ica de seguridad, en el 醡bito del Ministerio de Educaci髇, Cultura y Deporte.

3. Ser醤 funciones del Responsable de Seguridad y, por tanto, de dicho grupo t閏nico de seguridad de la informaci髇, las siguientes:

• a) Mantener la seguridad de la informaci髇 manejada y de los servicios electr髇icos prestados por los sistemas de informaci髇.
• b) Verificar que las medidas de seguridad son adecuadas para la protecci髇 de la informaci髇 y los servicios.
• c) Impulsar el cumplimiento del cuerpo normativo definido en el art韈ulo 11, as� como velar por el mantenimiento de la documentaci髇 de seguridad y la gesti髇 de mecanismos de acceso a la misma.
• d) Mantener un inventario actualizado de las normas de primer y segundo nivel detalladas en el art韈ulo 11, de los nombramientos derivados de la presente orden, as� como de los informes de auditor韆s, autoevaluaciones y an醠isis de riesgos realizados y de las declaraciones y certificaciones de seguridad.
• e) Apoyar y supervisar la investigaci髇 de los incidentes de seguridad desde su notificaci髇 hasta su resoluci髇.
• f) Elaborar informes peri骴icos de seguridad que incluyan los incidentes m醩 relevantes de cada per韔do.
• g) Promover la mejora continua en la gesti髇 de la seguridad de la informaci髇.
• h) Impulsar la formaci髇 y concienciaci髇 en materia de seguridad de la informaci髇.
• i) Aprobar la declaraci髇 de aplicabilidad, que comprende la relaci髇 de medidas de seguridad seleccionadas para un sistema.
• j) Realizar los preceptivos an醠isis de riesgos y mantenerlos actualizados seg鷑 la legislaci髇 vigente.
• k) Promover auditor韆s peri骴icas para verificar el cumplimiento de las obligaciones en materia de seguridad de la informaci髇, y analizar los informes de auditor韆, elaborando las conclusiones a presentar a los Responsables del Servicio y los Responsables de la Informaci髇 para que adopten las medidas correctoras adecuadas bajo su responsabilidad.
• l) Cualesquiera otras funciones que el Real Decreto 3/2010, de 8 de enero, asigne a los responsables de seguridad.

4. Cuando la complejidad, distribuci髇, separaci髇 f韘ica de sus elementos o n鷐ero de usuarios de los sistemas de informaci髇 lo justifiquen, el grupo t閏nico de seguridad de la informaci髇 podr� designar los responsables de seguridad delegados que considere necesarios, que tendr醤 dependencia funcional directa de aqu閘 y ser醤 responsables en su 醡bito de todas aquellas acciones que les delegue el mismo.

5. Como apoyo del grupo t閏nico de seguridad de la informaci髇 para el cumplimiento de sus funciones, 閟te contar� con un equipo de seguridad que aglutinar� las tareas de prevenci髇 de incidentes de seguridad, detecci髇 de anomal韆s, mecanismos de respuesta eficaz ante los mismos y actividades de recuperaci髇 mediante el desarrollo de planes de continuidad de los sistemas de informaci髇 para garantizar la disponibilidad de los servicios cr韙icos:

• a) A estos efectos, el equipo de seguridad realizar� las auditor韆s peri骴icas de seguridad (prevenci髇), el seguimiento y control del estado de seguridad del sistema (detecci髇), la respuesta eficaz a los incidentes de seguridad desde su notificaci髇 hasta su resoluci髇 (respuesta) y el desarrollo de los planes de continuidad de los sistemas de informaci髇 (recuperaci髇).
• b) La composici髇 del equipo de seguridad se determinar� por el grupo t閏nico de seguridad de la informaci髇, que tambi閚 podr� designar equipos de seguridad delegados para el apoyo en estas tareas de los responsables de seguridad delegados.

Art韈ulo 8 Los Responsables de la Informaci髇 y los Responsables del Servicio

1. Los Responsables de la Informaci髇 y los Responsables del Servicio tienen la potestad, dentro de su 醡bito de actuaci髇 y de sus competencias, de establecer los requisitos, en materia de seguridad, de los servicios y de la informaci髇 que manejan. A los efectos previstos en el Reglamento (UE) 2016/679, los Responsables de la Informaci髇 tendr醤 asimismo la consideraci髇 de responsables del tratamiento respecto de los datos personales contenidos en la informaci髇 incluida en su 醡bito de actuaci髇. En particular, los Responsables de la Informaci髇 deber醤 mantener los registros de las actividades de tratamiento a los que se refiere el art韈ulo 30 del citado Reglamento (UE) 2016/679.

2. Los 髍ganos superiores o directivos del Ministerio de Educaci髇, Cultura y Deporte as� como los organismos p鷅licos dependientes del Departamento a los que, conforme al art韈ulo 1, les sea de aplicaci髇 la presente PSI, designar醤 estos perfiles de acuerdo con su propia organizaci髇 interna. Se comunicar醤 los nombramientos al Responsable de Seguridad, para que pueda mantener el inventario mencionado en el art韈ulo 7.3.d.

Art韈ulo 9 Los Responsables del Sistema

1. El Responsable del Sistema es quien tiene la responsabilidad de desarrollar, operar y mantener el sistema de informaci髇 durante todo su ciclo de vida.

2. En conformidad con la disposici髇 adicional sexta del Real Decreto 284/2017, de 24 de marzo, por el que se desarrolla la estructura org醤ica b醩ica del Ministerio de Educaci髇, Cultura y Deporte, la Subdirecci髇 General de Tecnolog韆s de la Informaci髇 y Comunicaciones actuar� como responsable del sistema para todos aquellos activos de informaci髇 que hayan sido sometidos a un proceso de consolidaci髇 de recursos TIC. En el resto de casos, cada unidad u organismo p鷅lico dependiente del Departamento a los que, conforme al art韈ulo 1, les sea de aplicaci髇 la presente PSI, designar� este perfil de acuerdo con su propia organizaci髇 interna. Se comunicar醤 los nombramientos al Responsable de Seguridad, para que pueda mantener el inventario mencionado en el art韈ulo 7.3.d.

Art韈ulo 10 El Delegado de Protecci髇 de Datos

1. El Delegado de Protecci髇 de Datos ejerce las funciones detalladas en la Secci髇 4 del Cap韙ulo IV del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protecci髇 de las personas f韘icas en lo que respecta al tratamiento de datos personales y a la libre circulaci髇 de estos datos. Tendr� en todo caso acceso al registro de las actividades de tratamientos de datos de car醕ter personal al que se refiere el art韈ulo 30 del Reglamento (UE) 2016/679.

2. La designaci髇 de los Delegados de Protecci髇 de Datos del Ministerio de Educaci髇, Cultura y Deporte y de los organismos adheridos a la presente PSI se efectuar� conforme con el art韈ulo 37 del Reglamento (UE) 2016/679. En consecuencia, ser醤 designados atendiendo a sus cualidades profesionales y, en particular, a sus conocimientos especializados del Derecho y la pr醕tica en materia de protecci髇 de datos y a su capacidad para desempe馻r las funciones que tiene encomendadas. Se comunicar醤 los nombramientos al Responsable de Seguridad, para que pueda mantener el inventario mencionado en el art韈ulo 7.3.d.

Art韈ulo 11 Estructura normativa

1. El cuerpo normativo sobre seguridad de la informaci髇 es de obligado cumplimiento y se podr� estructurar como m醲imo en los siguientes niveles relacionados jer醨quicamente:

• a) Primer nivel normativo: PSI y directrices. Est� constituido por la PSI y las directrices generales de seguridad aplicables a los 髍ganos superiores o directivos del Ministerio de Educaci髇, Cultura y Deporte a los que, conforme al art韈ulo 1, sea de aplicaci髇 la presente PSI.
• b) Segundo nivel normativo: Normativa y recomendaciones de seguridad. – Est� constituido por la normativa y recomendaciones de seguridad que se definan en cada 醡bito organizativo de aplicaci髇 espec韋ico (髍ganos superiores y directivos, y organismos p鷅licos dependientes a los que sea de aplicaci髇 la presente PSI, conforme al art韈ulo 1). La normativa, que comprende los procedimientos, las normas y las instrucciones t閏nicas de seguridad, es de obligado cumplimiento y se formalizar� mediante instrucciones o resoluciones de los titulares de los 髍ganos correspondientes, previa aprobaci髇 del presidente del grupo t閏nico de seguridad de la informaci髇, mientras que las recomendaciones consistir醤 en buenas pr醕ticas y consejos no vinculantes para mejorar las condiciones de seguridad.
• c) Tercer nivel normativo. Procedimientos t閏nicos. Est� constituido por el conjunto de procedimientos t閏nicos orientados a resolver las tareas, consideradas cr韙icas por el perjuicio que causar韆 una actuaci髇 inadecuada, de seguridad, desarrollo, mantenimiento y explotaci髇 de los sistemas de informaci髇. Son recomendaciones o informaciones relativas a temas concretos de seguridad basadas en Instrucciones previas, que establecen las configuraciones m韓imas de seguridad de los diferentes elementos de un sistema de informaci髇, recomendaciones de uso o de otro tipo. La responsabilidad de aprobaci髇 de estos procedimientos t閏nicos depender� de su 醡bito de aplicaci髇, que podr� ser en un 醡bito espec韋ico o en un sistema de informaci髇 determinado. Se consideran incluidas en este nivel normativo las gu韆s CCN-STIC elaboradas por el Centro Criptol骻ico Nacional.

2. Adem醩 de la normativa enunciada en el presente art韈ulo, la estructura normativa podr� disponer, a criterio de cada uno de los 髍ganos u organismos adscritos a la presente PSI, y siempre dentro del 醡bito de sus competencias y responsabilidades, de otros documentos tales como: informes t閏nicos, registros, evidencias, etc.

Art韈ulo 12 Gesti髇 de los riesgos

1. La gesti髇 de riesgos debe realizarse de manera continua sobre el sistema de informaci髇, conforme a los principios de gesti髇 de la seguridad basada en los riesgos ( art韈ulo 6 Real Decreto 3/2010, de 8 de enero) y reevaluaci髇 peri骴ica ( art韈ulo 9 Real Decreto 3/2010, de 8 de enero), siendo el Responsable del Servicio el encargado de solicitar el preceptivo an醠isis de riesgos y se proponga el tratamiento adecuado, calculando los riesgos residuales. El Responsable de Seguridad, tras la calificaci髇 de la informaci髇 y la determinaci髇 del nivel de seguridad del sistema, obtendr� la matriz de aplicabilidad y el conjunto de medidas para garantizar la confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de la informaci髇 y del servicio. Se realizar� la evaluaci髇 de riesgo, identificando los riesgos residuales y, en base a ellos, se determinar� el Plan de Tratamiento de Riesgo, que le ser� comunicado al Responsable de la Informaci髇 y del Servicio.

2. El Responsable de Seguridad es el encargado de realizar dicho an醠isis en tiempo y forma a petici髇 del Responsable del Servicio, as� como de identificar carencias y debilidades y ponerlas en conocimiento de los Responsables de la Informaci髇 y del Servicio.

3. Los Responsables de la Informaci髇 y del Servicio son los propietarios de los riesgos sobre la informaci髇 y sobre los servicios, respectivamente, siendo responsables de su seguimiento y control, sin perjuicio de la posibilidad de delegar esta tarea.

4. El proceso de gesti髇 de riesgos, que comprende las fases de categorizaci髇 de los sistemas, an醠isis de riesgos y selecci髇 de medidas de seguridad a aplicar, que deber醤 ser proporcionales a los riesgos y estar justificadas, deber� revisarse y aprobarse cada a駉 por el titular del 髍gano o unidad administrativa o, en su caso, organismo aut髇omo, a trav閟 de un Plan de Adecuaci髇 al Esquema Nacional de Seguridad.

5. Las indicadas fases del proceso de gesti髇 de riesgos se realizar醤 seg鷑 lo dispuesto en los anexos I y II del Real Decreto 3/2010, de 8 de enero y siguiendo las normas, instrucciones, gu韆s CCN-STIC y recomendaciones para la aplicaci髇 del mismo elaboradas por el Centro Criptol骻ico Nacional.

Art韈ulo 13 Protecci髇 de datos de car醕ter personal

Se aplicar醤 a los datos de car醕ter personal que sean objeto de tratamiento por parte del Ministerio de Educaci髇, Cultura y Deporte las medidas de seguridad apropiadas derivadas del an醠isis de riesgos as� como de la evaluaci髇 de impacto relativa a la protecci髇 de datos, tal cual se detalla en Reglamento (UE) 2016/679. Adem醩, se aplicar醤 las medidas correspondientes al Anexo II del Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el 醡bito de la Administraci髇 Electr髇ica. En el caso de que el an醠isis de riesgos determine medidas agravadas respecto a la normativa recogida en el Anexo II del Real Decreto 3/2010, dichas medidas derivadas del an醠isis de riesgos ser醤 las que se implementar醤 en la protecci髇 de datos de car醕ter personal.

Art韈ulo 14 Formaci髇 y concienciaci髇

1. Se desarrollar醤 actividades formativas espec韋icas orientadas a la concienciaci髇 y formaci髇 de los empleados p鷅licos del Departamento, as� como a la difusi髇 entre los mismos de la PSI y de su desarrollo normativo.

2. La CMAD y los Responsables de Seguridad se encargar醤 de promover las actividades de formaci髇 y concienciaci髇 en materia de seguridad, seg鷑 lo indicado en el art韈ulo 6.2.f y en el art韈ulo 7.3.h.

Art韈ulo 15 Actualizaci髇 permanente

La presente orden deber� mantenerse actualizada permanentemente para adecuarla al progreso de los servicios de Administraci髇 Electr髇ica, a la evoluci髇 tecnol骻ica y al desarrollo de la sociedad de la informaci髇, as� como a los est醤dares internacionales de seguridad.

Disposici髇 adicional primera Instrucciones de ejecuci髇

La Subsecretar韆 del Departamento podr� dictar las instrucciones necesarias para el mejor cumplimiento de esta Orden.

Disposici髇 adicional segunda No incremento del gasto p鷅lico

Las medidas descritas en esta orden no supondr醤 incremento del gasto, siendo atendidas con los medios materiales y humanos de que dispone el Ministerio de Educaci髇, Cultura y Deporte.

Disposici髇 adicional tercera Deber de colaboraci髇 en la implantaci髇 de la PSI

Todos los 髍ganos y unidades del Departamento prestar醤 su colaboraci髇 en las actuaciones de implementaci髇 de la PSI aprobada por esta orden.

Disposici髇 final 鷑ica Publicidad de la PSI y entrada en vigor

1. La presente orden entrar� en vigor el d韆 siguiente al de su publicaci髇 en el 獴olet韓 Oficial del Estado�.

2. Esta orden se publicar� en las sedes electr髇icas del Ministerio de Educaci髇, Cultura y Deporte en cuyo 醡bito sea de aplicaci髇.