Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de informaci髇

• Expandir / Contraer 韓dice sistem醫ico
• INTRODUCCION
• T蚑ULO I.�Disposiciones generales
  • Art韈ulo 1燨bjeto
  • Art韈ulo 2犃mbito de aplicaci髇
  • Art韈ulo 3燚efiniciones
  • Art韈ulo 4燚irectrices y orientaciones comunitarias
  • Art韈ulo 5燬alvaguarda de funciones estatales esenciales
• T蚑ULO II.�Servicios esenciales y servicios digitales
  • Art韈ulo 6營dentificaci髇 de servicios esenciales y de operadores de servicios esenciales
  • Art韈ulo 7燙omunicaci髇 de actividad por los proveedores de servicios digitales
• T蚑ULO III.�Marco estrat間ico e institucional
  • Art韈ulo 8燤arco estrat間ico de seguridad de las redes y sistemas de informaci髇
  • Art韈ulo 9燗utoridades competentes
  • Art韈ulo 10燜unciones de las autoridades competentes
  • Art韈ulo 11燛quipos de respuesta a incidentes de seguridad inform醫ica de referencia
  • Art韈ulo 12燫equisitos y funciones de los CSIRT de referencia
  • Art韈ulo 13燩unto de contacto 鷑ico
  • Art韈ulo 14燙ooperaci髇 con otras autoridades con competencias en seguridad de la informaci髇 y con las autoridades sectoriales
  • Art韈ulo 15燙onfidencialidad de la informaci髇 sensible
• T蚑ULO IV.�Obligaciones de seguridad
  • Art韈ulo 16燨bligaciones de seguridad de los operadores de servicios esenciales y de los proveedores de servicios digitales
  • Art韈ulo 17燦ormas t閏nicas
  • Art韈ulo 18燬ectores con normativa espec韋ica equivalente
• T蚑ULO V.�Notificaci髇 de incidentes
  • Art韈ulo 19燨bligaci髇 de notificar
  • Art韈ulo 20燩rotecci髇 del notificante
  • Art韈ulo 21燜actores para determinar la importancia de los efectos de un incidente
  • Art韈ulo 22燦otificaci髇 inicial, notificaciones intermedias y notificaci髇 final
  • Art韈ulo 23燜lexibilidad en la observancia de los plazos para la notificaci髇
  • Art韈ulo 24營ncidentes que afecten a servicios digitales
  • Art韈ulo 25燭ramitaci髇 de incidentes con impacto transfronterizo
  • Art韈ulo 26營nformaci髇 al p鷅lico
  • Art韈ulo 27營nformaci髇 anual al punto de contacto 鷑ico y al grupo de cooperaci髇
  • Art韈ulo 28燨bligaci髇 de resolver los incidentes, de informaci髇 y de colaboraci髇 mutua
  • Art韈ulo 29燙ooperaci髇 en lo relativo a los incidentes que afecten a datos personales
  • Art韈ulo 30燗utorizaci髇 para la cesi髇 de datos personales
  • Art韈ulo 31燦otificaciones voluntarias
• T蚑ULO VI.�Supervisi髇
  • Art韈ulo 32燬upervisi髇 de los operadores de servicios esenciales
  • Art韈ulo 33燬upervisi髇 de los proveedores de servicios digitales
  • Art韈ulo 34燙ooperaci髇 transfronteriza
• T蚑ULO VII.�R間imen sancionador
  • Art韈ulo 35燫esponsables
  • Art韈ulo 36營nfracciones
  • Art韈ulo 37燬anciones
  • Art韈ulo 38燝raduaci髇 de la cuant韆 de las sanciones
  • Art韈ulo 39燩roporcionalidad de sanciones
  • Art韈ulo 40營nfracciones de las Administraciones p鷅licas
  • Art韈ulo 41燙ompetencia sancionadora
  • Art韈ulo 42燙oncurrencia de infracciones
• DISPOSICIONES ADICIONALES
  • Disposici髇 adicional primera燫elaci髇 inicial de servicios esenciales y operadores de servicios esenciales
  • Disposici髇 adicional segunda燙omunicaciones electr髇icas y servicios de confianza
  • Disposici髇 adicional tercera燦otificaci髇 de violaciones de seguridad de los datos personales a trav閟 de la plataforma com鷑 prevista en este real decreto-ley
  • Disposici髇 adicional cuarta燩roveedores de servicios digitales ya existentes
• DISPOSICIONES FINALES
  • Disposici髇 final primera燭韙ulo competencial
  • Disposici髇 final segunda營ncorporaci髇 del Derecho de la Uni髇 Europea
  • Disposici髇 final tercera燞abilitaci髇 para el desarrollo reglamentario
  • Disposici髇 final cuarta燛ntrada en vigor

Art韈ulo 1 Objeto

1. El presente real decreto-ley tiene por objeto regular la seguridad de las redes y sistemas de informaci髇 utilizados para la provisi髇 de los servicios esenciales y de los servicios digitales, y establecer un sistema de notificaci髇 de incidentes.

2. As� mismo, establece un marco institucional para la aplicaci髇 de este real decreto-ley y la coordinaci髇 entre autoridades competentes y con los 髍ganos de cooperaci髇 relevantes en el 醡bito comunitario.

Art韈ulo 2 羗bito de aplicaci髇

1. Este real decreto-ley se aplicar� a la prestaci髇 de:

• a) Los servicios esenciales dependientes de las redes y sistemas de informaci髇 comprendidos en los sectores estrat間icos definidos en el anexo de la Ley 8/2011, de 28 de abril, por la que se establecen medidas para la protecci髇 de las infraestructuras cr韙icas.
• b) Los servicios digitales, considerados conforme se determina en el art韈ulo 3 e), que sean mercados en l韓ea, motores de b鷖queda en l韓ea y servicios de computaci髇 en nube.

2. Estar醤 sometidos a este real decreto-ley:

• a) Los operadores de servicios esenciales establecidos en Espa馻. Se entender� que un operador de servicios esenciales est� establecido en Espa馻 cuando su residencia o domicilio social se encuentren en territorio espa駉l, siempre que 閟tos coincidan con el lugar en que est� efectivamente centralizada la gesti髇 administrativa y la direcci髇 de sus negocios o actividades.

  As� mismo, este real decreto-ley ser� de aplicaci髇 a los servicios esenciales que los operadores residentes o domiciliados en otro Estado ofrezcan a trav閟 de un establecimiento permanente situado en Espa馻.

• b) Los proveedores de servicios digitales que tengan su sede social en Espa馻 y que constituya su establecimiento principal en la Uni髇 Europea, as� como los que, no estando establecidos en la Uni髇 Europea, designen en Espa馻 a su representante en la Uni髇 para el cumplimiento de la Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo, de 6 de julio de 2016, relativa a las medidas destinadas a garantizar un elevado nivel com鷑 de seguridad de las redes y sistemas de informaci髇 en la Uni髇.

3. Este real decreto-ley no se aplicar� a:

• a) Los operadores de redes y servicios de comunicaciones electr髇icas y los prestadores de servicios electr髇icos de confianza que no sean designados como operadores cr韙icos en virtud de la Ley 8/2011, de 28 de abril.
• b) Los proveedores de servicios digitales cuando se trate de microempresas o peque馻s empresas, de acuerdo con las definiciones recogidas en la Recomendaci髇 2003/361/CE de la Comisi髇, de 6 de mayo de 2003, sobre la definici髇 de microempresas, peque馻s y medianas empresas.

Art韈ulo 3 Definiciones

A los efectos de este real decreto-ley, se entender� por:

• a) Redes y sistemas de informaci髇, cualquiera de los elementos siguientes:
  • 1.� Las redes de comunicaciones electr髇icas, tal y como vienen definidas en el n鷐ero 31 del anexo II de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones;
  • 2.� Todo dispositivo o grupo de dispositivos interconectados o relacionados entre s�, en el que uno o varios de ellos realicen, mediante un programa, el tratamiento autom醫ico de datos digitales;
  • 3.� Los datos digitales almacenados, tratados, recuperados o transmitidos mediante los elementos contemplados en los n鷐eros 1.� y 2.� anteriores, incluidos los necesarios para el funcionamiento, utilizaci髇, protecci髇 y mantenimiento de dichos elementos.
• b) Seguridad de las redes y sistemas de informaci髇: la capacidad de las redes y sistemas de informaci髇 de resistir, con un nivel determinado de fiabilidad, toda acci髇 que comprometa la disponibilidad, autenticidad, integridad o confidencialidad de los datos almacenados, transmitidos o tratados, o los servicios correspondientes ofrecidos por tales redes y sistemas de informaci髇 o accesibles a trav閟 de ellos.
• c) Servicio esencial: servicio necesario para el mantenimiento de las funciones sociales b醩icas, la salud, la seguridad, el bienestar social y econ髆ico de los ciudadanos, o el eficaz funcionamiento de las Instituciones del Estado y las Administraciones P鷅licas, que dependa para su provisi髇 de redes y sistemas de informaci髇.
• d) Operador de servicios esenciales: entidad p鷅lica o privada que se identifique considerando los factores establecidos en el art韈ulo 6 de este real decreto-ley, que preste dichos servicios en alguno de los sectores estrat間icos definidos en el anexo de la Ley 8/2011, de 28 de abril.
• e) Servicio digital: servicio de la sociedad de la informaci髇 entendido en el sentido recogido en la letra a) del anexo de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la informaci髇 y de comercio electr髇ico.
• f) Proveedor de servicios digitales: persona jur韉ica que presta un servicio digital.
• g) Riesgo: toda circunstancia o hecho razonablemente identificable que tenga un posible efecto adverso en la seguridad de las redes y sistemas de informaci髇. Se puede cuantificar como la probabilidad de materializaci髇 de una amenaza que produzca un impacto en t閞minos de operatividad, de integridad f韘ica de personas o material o de imagen.
• h) Incidente: suceso inesperado o no deseado con consecuencias en detrimento de la seguridad de las redes y sistemas de informaci髇.
• i) Gesti髇 de incidentes: procedimientos seguidos para detectar, analizar y limitar un incidente y responder ante 閟te.
• j) Representante: persona f韘ica o jur韉ica establecida en la Uni髇 Europea que ha sido designada expresamente para actuar por cuenta de un proveedor de servicios digitales no establecido en la Uni髇 Europea, a la que, en sustituci髇 del proveedor de servicios digitales, pueda dirigirse una autoridad competente nacional o un CSIRT, en relaci髇 con las obligaciones que, en virtud de este real decreto-ley, tiene el proveedor de servicios digitales.
• k) Norma t閏nica: una norma en el sentido del art韈ulo 2.1 del Reglamento (UE) n.^o 1025/2012 del Parlamento Europeo y del Consejo, de 25 de octubre de 2012, sobre la normalizaci髇 europea.
• l) Especificaci髇: una especificaci髇 t閏nica en el sentido del art韈ulo 2.4 del Reglamento (UE) n.^o 1025/2012 del Parlamento Europeo y del Consejo, de 25 de octubre de 2012.
• m) Punto de intercambio de Internet (獻XP�, por sus siglas en ingl閟 de 獻nternet eXchange Point�): una instalaci髇 de red que permite interconectar m醩 de dos sistemas aut髇omos independientes, principalmente para facilitar el intercambio de tr醘ico de Internet. Un IXP permite interconectar sistemas aut髇omos sin requerir que el tr醘ico de Internet que pasa entre cualquier par de sistemas aut髇omos participantes pase por un tercer sistema aut髇omo, y sin modificar ni interferir de otra forma en dicho tr醘ico.
• n) Sistema de nombres de dominio (獶NS�, por sus siglas en ingl閟 de 獶omain Name System�): sistema distribuido jer醨quicamente que responde a consultas proporcionando informaci髇 asociada a nombres de dominio, en particular, la relativa a los identificadores utilizados para localizar y direccionar equipos en Internet.
• o) Proveedor de servicios de DNS: entidad que presta servicios de DNS en Internet.
• p) Registro de nombres de dominio de primer nivel: entidad que administra y dirige el registro de nombres de dominio de Internet en un dominio espec韋ico de primer nivel.
• q) Mercado en l韓ea: servicio digital que permite a los consumidores y a los empresarios, tal y como se definen respectivamente en los art韈ulos 3 y 4 del texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios y otras leyes complementarias, aprobado mediante el Real Decreto Legislativo 1/2007, de 16 de noviembre, celebrar entre s� contratos de compraventa o de prestaci髇 de servicios en l韓ea con empresarios, ya sea en un sitio web espec韋ico del servicio de mercado en l韓ea, o en un sitio web de un empresario que utilice servicios inform醫icos proporcionados al efecto por el proveedor del servicio de mercado en l韓ea.
• r) Motor de b鷖queda en l韓ea: servicio digital que permite a los usuarios hacer b鷖quedas de, en principio, todos los sitios web o de sitios web en una lengua en concreto, mediante una consulta sobre un tema en forma de palabra clave, frase u otro tipo de entrada, y que, en respuesta, muestra enlaces en los que puede encontrarse informaci髇 relacionada con el contenido solicitado.
• s) Servicio de computaci髇 en nube: servicio digital que hace posible el acceso a un conjunto modulable y el醩tico de recursos de computaci髇 que se pueden compartir.

Art韈ulo 4 Directrices y orientaciones comunitarias

En la aplicaci髇 de este real decreto-ley y en la elaboraci髇 de los reglamentos y gu韆s previstos en 閘 se tendr醤 en cuenta los actos de ejecuci髇 de la Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo, de 6 de julio de 2016, as� como todas las recomendaciones y directrices emanadas del grupo de cooperaci髇 establecido por el art韈ulo 11 de la citada Directiva, y la informaci髇 sobre buenas pr醕ticas recopiladas por dicho grupo y la red de CSIRT, regulado en el art韈ulo 12 de aqu閘la.

Art韈ulo 5 Salvaguarda de funciones estatales esenciales

Lo dispuesto en este real decreto-ley se entender� sin perjuicio de las acciones emprendidas para salvaguardar la seguridad nacional y las funciones estatales esenciales, incluy閚dose las dirigidas a proteger la informaci髇 clasificada o cuya revelaci髇 fuere contraria a los intereses esenciales del Estado, o las que tengan como prop髎ito el mantenimiento del orden p鷅lico, la detecci髇, investigaci髇 y persecuci髇 de los delitos, y el enjuiciamiento de sus autores.

Art韈ulo 6 Identificaci髇 de servicios esenciales y de operadores de servicios esenciales

1. La identificaci髇 de los servicios esenciales y de los operadores que los presten se efectuar� por los 髍ganos y procedimientos previstos por la Ley 8/2011, de 28 de abril, y su normativa de desarrollo.

La relaci髇 de los servicios esenciales y de los operadores de dichos servicios se actualizar�, para cada sector, con una frecuencia bienal, en conjunci髇 con la revisi髇 de los planes estrat間icos sectoriales previstos en la Ley 8/2011, de 28 de abril.

Se identificar� a un operador como operador de servicios esenciales si un incidente sufrido por el operador puede llegar a tener efectos perturbadores significativos en la prestaci髇 del servicio, para lo que se tendr醤 en cuenta, al menos, los siguientes factores:

• a) En relaci髇 con la importancia del servicio prestado:
  • 1.� La disponibilidad de alternativas para mantener un nivel suficiente de prestaci髇 del servicio esencial;
  • 2.� La valoraci髇 del impacto de un incidente en la provisi髇 del servicio, evaluando la extensi髇 o zonas geogr醘icas que podr韆n verse afectadas por el incidente; la dependencia de otros sectores estrat間icos respecto del servicio esencial ofrecido por la entidad y la repercusi髇, en t閞minos de grado y duraci髇, del incidente en las actividades econ髆icas y sociales o en la seguridad p鷅lica.
• b) En relaci髇 con los clientes de la entidad evaluada:
  • 1.� El n鷐ero de usuarios que conf韆n en los servicios prestados por ella;
  • 2.� Su cuota de mercado.

Reglamentariamente podr醤 a馻dirse factores espec韋icos del sector para determinar si un incidente podr韆 tener efectos perturbadores significativos.

2. En el caso de tratarse de un operador cr韙ico designado en cumplimiento de la Ley 8/2011, de 28 de abril, bastar� con que se constate su dependencia de las redes y sistemas de informaci髇 para la provisi髇 del servicio esencial de que se trate.

3. En la identificaci髇 de los servicios esenciales y de los operadores de servicios esenciales se tendr醤 en consideraci髇, en la mayor medida posible, las recomendaciones pertinentes que adopte el grupo de cooperaci髇.

4. Cuando un operador de servicios esenciales ofrezca servicios en otros Estados miembros de la Uni髇 Europea, se informar� a los puntos de contacto 鷑ico de dichos Estados sobre la intenci髇 de identificarlo como operador de servicios esenciales.

Art韈ulo 7 Comunicaci髇 de actividad por los proveedores de servicios digitales

Los proveedores de servicios digitales se馻lados en el art韈ulo 2 deber醤 comunicar su actividad a la autoridad competente en el plazo de tres meses desde que la inicien, a los meros efectos de su conocimiento.

Art韈ulo 8 Marco estrat間ico de seguridad de las redes y sistemas de informaci髇

La Estrategia de Ciberseguridad Nacional, al amparo y alineada con la Estrategia de Seguridad Nacional, enmarca los objetivos y las medidas para alcanzar y mantener un elevado nivel de seguridad de las redes y sistemas de informaci髇.

La Estrategia de Ciberseguridad Nacional abordar�, entre otras cuestiones, las establecidas en el art韈ulo 7 de la Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo, de 6 de julio de 2016.

A tal efecto, el Consejo de Seguridad Nacional impulsar� la revisi髇 de la Estrategia de Ciberseguridad Nacional, de conformidad con lo dispuesto en el art韈ulo 21.1 e) de la Ley 36/2015, de 28 de septiembre, de Seguridad Nacional.

Art韈ulo 9 Autoridades competentes

1. Son autoridades competentes en materia de seguridad de las redes y sistemas de informaci髇 las siguientes:

• a) Para los operadores de servicios esenciales:
  • 1.� En el caso de que 閟tos sean, adem醩, designados como operadores cr韙icos conforme a la Ley 8/2011, de 28 de abril, y su normativa de desarrollo, con independencia del sector estrat間ico en que se realice tal designaci髇: la Secretar韆 de Estado de Seguridad, del Ministerio del Interior, a trav閟 del Centro Nacional de Protecci髇 de Infraestructuras y Ciberseguridad (CNPIC).
  • 2.� En el caso de que no sean operadores cr韙icos: la autoridad sectorial correspondiente por raz髇 de la materia, seg鷑 se determine reglamentariamente.
• b) Para los proveedores de servicios digitales: la Secretar韆 de Estado de Digitalizaci髇 e Inteligencia Artificial del Ministerio de Asuntos Econ髆icos y Transformaci髇 Digital.LE0000723404_20220331 Letra b) del n鷐ero 1 del art韈ulo 9 redactada por el apartado uno de la disposici髇 final vig閟ima quinta del R.D.-ley 6/2022, de 29 de marzo, por el que se adoptan medidas urgentes en el marco del Plan Nacional de respuesta a las consecuencias econ髆icas y sociales de la guerra en Ucrania (獴.O.E.� 30 marzo).Vigencia: 31 marzo 2022
• c) Para los operadores de servicios esenciales y proveedores de servicios digitales que no siendo operadores cr韙icos se encuentren comprendidos en el 醡bito de aplicaci髇 de la Ley 40/2015, de 1 de octubre, de R間imen Jur韉ico del Sector P鷅lico: el Ministerio de Defensa, a trav閟 del Centro Criptol骻ico Nacional.

2. El Consejo de Seguridad Nacional, a trav閟 de su comit� especializado en materia de ciberseguridad, establecer� los mecanismos necesarios para la coordinaci髇 de las actuaciones de las autoridades competentes.

Art韈ulo 10 Funciones de las autoridades competentes

Las autoridades competentes ejercer醤 las siguientes funciones:

• a) Supervisar el cumplimiento por parte de los operadores de servicios esenciales y de los proveedores de servicios digitales de las obligaciones que se determinen, conforme a lo establecido en el t韙ulo VI.
• b) Establecer canales de comunicaci髇 oportunos con los operadores de servicios esenciales y con los proveedores de servicios digitales que, en su caso, ser醤 desarrollados reglamentariamente.
• c) Coordinarse con los CSIRT de referencia a trav閟 de los protocolos de actuaci髇 que, en su caso, se desarrollar醤 reglamentariamente.
• d) Recibir las notificaciones sobre incidentes que sean presentadas en el marco de este real decreto-ley, a trav閟 de los CSIRT de referencia, conforme a lo establecido en el t韙ulo V.
• e) Informar al punto de contacto 鷑ico sobre las notificaciones de incidentes presentadas en el marco de este real decreto-ley, conforme a lo establecido en el art韈ulo 27.
• f) Informar, en su caso, al p鷅lico sobre determinados incidentes, cuando la difusi髇 de dicha informaci髇 sea necesaria para evitar un incidente o gestionar uno que ya se haya producido, conforme a lo establecido en el art韈ulo 26.
• g) Cooperar, en el 醡bito de aplicaci髇 de este real decreto-ley, con las autoridades competentes en materia de protecci髇 de datos de car醕ter personal, seguridad p鷅lica, seguridad ciudadana y seguridad nacional, as� como con las autoridades sectoriales correspondientes, conforme a lo establecido en los art韈ulos 14 y 29.
• h) Establecer obligaciones espec韋icas para garantizar la seguridad de las redes y sistemas de informaci髇 y sobre notificaci髇 de incidentes, y dictar instrucciones t閏nicas y gu韆s orientativas para detallar el contenido de dichas obligaciones, conforme a lo establecido en los art韈ulos 16 y 19.
• i) Ejercer la potestad sancionadora en los casos previstos en el presente real decreto-ley, conforme a lo establecido en el t韙ulo VII.
• j) Promover el uso de normas y especificaciones t閏nicas, de acuerdo con lo establecido en el art韈ulo 17.
• k) Cooperar con las autoridades competentes de otros Estados miembros de la Uni髇 Europea en la identificaci髇 de operadores de servicios esenciales entre entidades que ofrezcan dichos servicios en varios Estados miembros.
• l) Informar al punto de contacto 鷑ico sobre incidentes que puedan afectar a otros Estados miembros, en los t閞minos previstos en el art韈ulo 25.

Art韈ulo 11 Equipos de respuesta a incidentes de seguridad inform醫ica de referencia

1. Son equipos de respuesta a incidentes de seguridad inform醫ica (CSIRT) de referencia en materia de seguridad de las redes y sistemas de informaci髇, los siguientes:

• a) En lo concerniente a las relaciones con los operadores de servicios esenciales:
  • 1.� El CCN-CERT, del Centro Criptol骻ico Nacional, al que corresponde la comunidad de referencia constituida por las entidades del 醡bito subjetivo de aplicaci髇 de la Ley 40/2015, de 1 de octubre.
  • 2.� El INCIBE-CERT, del Instituto Nacional de Ciberseguridad de Espa馻, al que corresponde la comunidad de referencia constituida por aquellas entidades no incluidas en el 醡bito subjetivo de aplicaci髇 de la Ley 40/2015, de 1 de octubre.

    El INCIBE-CERT ser� operado conjuntamente por el INCIBE y el CNPIC en todo lo que se refiera a la gesti髇 de incidentes que afecten a los operadores cr韙icos.

  • 3.� El ESPDEF-CERT, del Ministerio de Defensa, que cooperar� con el CCN-CERT y el INCIBE-CERT en aquellas situaciones que 閟tos requieran en apoyo de los operadores de servicios esenciales y, necesariamente, en aquellos operadores que tengan incidencia en la Defensa Nacional y que reglamentariamente se determinen.
• b) En lo concerniente a las relaciones con los proveedores de servicios digitales que no estuvieren comprendidos en la comunidad de referencia del CCN-CERT: el INCIBE-CERT.

El INCIBE-CERT ser�, as� mismo, equipo de respuesta a incidentes de referencia para los ciudadanos, entidades de derecho privado y otras entidades no incluidas anteriormente en este apartado 1.

2. Los CSIRT de referencia se coordinar醤 entre s� y con el resto de CSIRT nacionales e internacionales en la respuesta a los incidentes y gesti髇 de riesgos de seguridad que les correspondan. En los supuestos de especial gravedad que reglamentariamente se determinen y que requieran un nivel de coordinaci髇 superior al necesario en situaciones ordinarias, el CCN-CERT ejercer� la coordinaci髇 nacional de la respuesta t閏nica de los CSIRT.

Cuando las actividades que desarrollen puedan afectar de alguna manera a un operador cr韙ico, los CSIRT de referencia se coordinar醤 con el Ministerio del Interior, a trav閟 de la Oficina de Coordinaci髇 Cibern閠ica del Centro Nacional de Protecci髇 de Infraestructuras y Ciberseguridad (CNPIC), de la forma que reglamentariamente se determine.

3. El Centro Criptol骻ico Nacional (CCN) ejercer� la coordinaci髇 nacional de la respuesta t閏nica de los equipos de respuesta a incidentes de seguridad inform醫ica (CSIRT) en materia de seguridad de las redes y sistemas de informaci髇 del sector p鷅lico comprendido en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Com鷑 de las Administraciones P鷅licas, y en la Ley 40/2015, de 1 de octubre, de R間imen Jur韉ico del Sector P鷅lico.

Los CSIRT de las Administraciones P鷅licas consultar醤, cuando proceda, con los 髍ganos con competencias en materia de seguridad nacional, seguridad p鷅lica, seguridad ciudadana y protecci髇 de datos de car醕ter personal y colaborar醤 con ellos en el ejercicio de sus respectivas funciones.

El CCN ejercer� la funci髇 de enlace para garantizar la cooperaci髇 transfronteriza de los CSIRT de las Administraciones P鷅licas con los CSIRT internacionales, en la respuesta a los incidentes y gesti髇 de riesgos de seguridad que les correspondan.

LE0000653286_20191106N鷐ero 3 del art韈ulo 11 introducido por el art韈ulo 7 del R.D.-ley 14/2019, de 31 de octubre, por el que se adoptan medidas urgentes por razones de seguridad p鷅lica en materia de administraci髇 digital, contrataci髇 del sector p鷅lico y telecomunicaciones (獴.O.E.� 5 noviembre).Vigencia: 6 noviembre 2019

Art韈ulo 12 Requisitos y funciones de los CSIRT de referencia

1. Los CSIRT deber醤 reunir las siguientes condiciones:

• a) Garantizar醤 un elevado nivel de disponibilidad de sus servicios de comunicaciones evitando los fallos ocasionales y contar醤 con varios medios para que se les pueda contactar y puedan contactar a otros en todo momento. Adem醩, los canales de comunicaci髇 estar醤 claramente especificados y ser醤 bien conocidos de los grupos de usuarios y los socios colaboradores.
• b) Sus instalaciones y las de los sistemas de informaci髇 de apoyo estar醤 situados en lugares seguros.
• c) Garantizar醤 la continuidad de las actividades. Para ello:
  • 1.� Estar醤 dotados de un sistema adecuado para gestionar y canalizar las solicitudes con el fin de facilitar los traspasos.
  • 2.� Contar醤 con personal suficiente para garantizar su disponibilidad en todo momento.
  • 3.� Tendr醤 acceso a infraestructuras de comunicaci髇 cuya continuidad est� asegurada. A tal fin, dispondr醤 de sistemas redundantes y espacios de trabajo de reserva.
• d) Deber醤 tener la capacidad de participar, cuando lo deseen, en redes de cooperaci髇 internacional.

2. Los CSIRT desempe馻r醤 como m韓imo, las siguientes funciones:

• a) Supervisar incidentes a escala nacional.
• b) Difundir alertas tempranas, alertas, avisos e informaci髇 sobre riesgos e incidentes entre los interesados.
• c) Responder a incidentes.
• d) Efectuar un an醠isis din醡ico de riesgos e incidentes y de conocimiento de la situaci髇.
• e) Participar en la red de CSIRT.

3. Los CSIRT establecer醤 relaciones de cooperaci髇 con el sector privado. A fin de facilitar la cooperaci髇, los CSIRT fomentar醤 la adopci髇 y utilizaci髇 de pr醕ticas comunes o normalizadas de:

• a) Procedimientos de gesti髇 de incidentes y riesgos.
• b) Sistemas de clasificaci髇 de incidentes, riesgos e informaci髇.

Art韈ulo 13 Punto de contacto 鷑ico

El Consejo de Seguridad Nacional ejercer�, a trav閟 del Departamento de Seguridad Nacional, una funci髇 de enlace para garantizar la cooperaci髇 transfronteriza de las autoridades competentes designadas conforme al art韈ulo 9, con las autoridades competentes de otros Estados miembros de la Uni髇 Europea, as� como con el grupo de cooperaci髇 y la red de CSIRT.

Art韈ulo 14 Cooperaci髇 con otras autoridades con competencias en seguridad de la informaci髇 y con las autoridades sectoriales

1. Las autoridades competentes, los CSIRT de referencia y el punto de contacto 鷑ico consultar醤, cuando proceda, con los 髍ganos con competencias en materia de seguridad nacional, seguridad p鷅lica, seguridad ciudadana y protecci髇 de datos de car醕ter personal y colaborar醤 con ellas en el ejercicio de sus respectivas funciones.

2. Consultar醤 as� mismo, cuando proceda, con los 髍ganos con competencias por raz髇 de la materia en cada uno de los sectores incluidos en el 醡bito de aplicaci髇 de este real decreto-ley, y colaborar醤 con ellos en el ejercicio de sus funciones.

3. Cuando los incidentes notificados presenten caracteres de delito, las autoridades competentes y los CSIRT de referencia dar醤 cuenta de ello, a trav閟 de la Oficina de Coordinaci髇 Cibern閠ica del Ministerio del Interior, al Ministerio Fiscal a los efectos oportunos, traslad醤dole al tiempo cuanta informaci髇 posean en relaci髇 con ello.

Art韈ulo 15 Confidencialidad de la informaci髇 sensible

Sin perjuicio de lo dispuesto en el art韈ulo 5, las autoridades competentes, los CSIRT de referencia y el punto de contacto 鷑ico preservar醤, como corresponda en Derecho, la seguridad y los intereses comerciales de los operadores de servicios esenciales y proveedores de servicios digitales, as� como la confidencialidad de la informaci髇 que recaben de 閟tos en el ejercicio de las funciones que les encomienda el presente real decreto-ley.

Cuando ello sea necesario, el intercambio de informaci髇 sensible se limitar� a aquella que sea pertinente y proporcionada para la finalidad de dicho intercambio.

Art韈ulo 16 Obligaciones de seguridad de los operadores de servicios esenciales y de los proveedores de servicios digitales

1. Los operadores de servicios esenciales y los proveedores de servicios digitales deber醤 adoptar medidas t閏nicas y de organizaci髇, adecuadas y proporcionadas, para gestionar los riesgos que se planteen para la seguridad de las redes y sistemas de informaci髇 utilizados en la prestaci髇 de los servicios sujetos a este real decreto-ley.

Sin perjuicio de su deber de notificar incidentes conforme al t韙ulo V, deber醤 tomar medidas adecuadas para prevenir y reducir al m韓imo el impacto de los incidentes que les afecten.

2. El desarrollo reglamentario de este real decreto-ley prever� las medidas necesarias para el cumplimiento de lo preceptuado en el apartado anterior por parte de los operadores de servicios esenciales.

3. Los operadores de servicios esenciales designar醤 y comunicar醤 a la autoridad competente, en el plazo que reglamentariamente se establezca, la persona, unidad u 髍gano colegiado responsable de la seguridad de la informaci髇, como punto de contacto y de coordinaci髇 t閏nica con aquella.

Sus funciones espec韋icas ser醤 las previstas reglamentariamente.

4. Las autoridades competentes podr醤 establecer mediante Orden ministerial obligaciones espec韋icas para garantizar la seguridad de las redes y sistemas de informaci髇 empleados por los operadores de servicios esenciales. As� mismo, podr醤 dictar instrucciones t閏nicas y gu韆s orientativas para detallar el contenido de dichas 髍denes.

Al elaborar las disposiciones reglamentarias, instrucciones y gu韆s, tendr醤 en cuenta las obligaciones sectoriales, las directrices relevantes que se adopten en el grupo de cooperaci髇 y los requisitos en materia de seguridad de la informaci髇, a las que estuviera sometido el operador en virtud de otras normas, como la Ley 8/2011, de 28 de abril, y el Esquema Nacional de Seguridad, aprobado por el Real Decreto 3/2010, de 8 de enero.

5. Las autoridades competentes deber醤 coordinarse entre s� y con los diferentes 髍ganos sectoriales con competencias por raz髇 de la materia, en lo relativo al contenido y a la aplicaci髇 de las 髍denes, instrucciones t閏nicas y gu韆s orientativas que dicten en sus respectivos 醡bitos de competencia, con objeto de evitar duplicidades en las obligaciones exigibles y facilitar su cumplimiento a los operadores de servicios esenciales.

6. Los proveedores de servicios digitales determinar醤 las medidas de seguridad que aplicar醤, teniendo en cuenta, como m韓imo, los avances t閏nicos y los siguientes aspectos:

• a) La seguridad de los sistemas e instalaciones;
• b) La gesti髇 de incidentes;
• c) La gesti髇 de la continuidad de las actividades;
• d) La supervisi髇, auditor韆s y pruebas;
• e) El cumplimiento de las normas internacionales.

Los proveedores de servicios digitales atender醤 igualmente a los actos de ejecuci髇 por los que la Comisi髇 europea detalle los aspectos citados.

7. Los operadores de servicios esenciales y proveedores de servicios digitales que no siendo operadores cr韙icos se encuentren comprendidos en el 醡bito de aplicaci髇 de la Ley 40/2015, de 1 de octubre, de R間imen Jur韉ico del Sector P鷅lico que utilizan servicios ofrecidos por proveedores de servicios digitales, en particular servicios de computaci髇 en nube, podr醤 exigir a los proveedores de tales servicios medidas de seguridad adicionales, m醩 estrictas que las que dichos proveedores han adoptado en cumplimiento de la legislaci髇 en materia de seguridad de las redes y sistemas de informaci髇. En particular, las citadas medidas podr醤 ser exigidas mediante obligaciones contractuales, previo informe preceptivo y vinculante del Centro Criptol骻ico Nacional.

LE0000723404_20220331 N鷐ero 7 del art韈ulo 16 introducido por el apartado dos de la disposici髇 final vig閟ima quinta del R.D.-ley 6/2022, de 29 de marzo, por el que se adoptan medidas urgentes en el marco del Plan Nacional de respuesta a las consecuencias econ髆icas y sociales de la guerra en Ucrania (獴.O.E.� 30 marzo).Vigencia: 31 marzo 2022

Art韈ulo 17 Normas t閏nicas

Las autoridades competentes promover醤 la utilizaci髇 de regulaciones, normas o especificaciones t閏nicas en materia de seguridad de las redes y sistemas de informaci髇 elaboradas en el marco del Reglamento (UE) 1025/2012 del Parlamento Europeo y del Consejo de 25 de octubre de 2012 sobre la normalizaci髇 europea.

En ausencia de dichas normas o especificaciones, promover醤 la aplicaci髇 de las normas o recomendaciones internacionales aprobadas por los organismos internacionales de normalizaci髇, y, en su caso, de las normas y especificaciones t閏nicas aceptadas a nivel europeo o internacional que sean pertinentes en esta materia.

Art韈ulo 18 Sectores con normativa espec韋ica equivalente

Cuando una normativa nacional o comunitaria establezca para un sector obligaciones de seguridad de las redes y sistemas de informaci髇 o de notificaci髇 de incidentes que tengan efectos, al menos, equivalentes a los de las obligaciones previstas en este real decreto-ley, prevalecer醤 aquellos requisitos y los mecanismos de supervisi髇 correspondientes.

Ello no afectar� al deber de cooperaci髇 entre autoridades competentes, a la coordinaci髇 ejercida por el Consejo de Seguridad Nacional ni, en la medida en que no sea incompatible con la legislaci髇 sectorial, a la aplicaci髇 del t韙ulo V sobre notificaci髇 de incidentes.

Art韈ulo 19 Obligaci髇 de notificar

1. Los operadores de servicios esenciales notificar醤 a la autoridad competente, a trav閟 del CSIRT de referencia, los incidentes que puedan tener efectos perturbadores significativos en dichos servicios.

Las notificaciones podr醤 referirse tambi閚, conforme se determine reglamentariamente, a los sucesos o incidencias que puedan afectar a las redes y sistemas de informaci髇 empleados para la prestaci髇 de los servicios esenciales, pero que a鷑 no hayan tenido un efecto adverso real sobre aqu閘los.

2. As� mismo, los proveedores de servicios digitales notificar醤 a la autoridad competente, a trav閟 del CSIRT de referencia, los incidentes que tengan efectos perturbadores significativos en dichos servicios.

La obligaci髇 de la notificaci髇 del incidente 鷑icamente se aplicar� cuando el proveedor de servicios digitales tenga acceso a la informaci髇 necesaria para valorar el impacto de un incidente.

3. Las notificaciones tanto de operadores de servicios esenciales como de proveedores de servicios digitales se referir醤 a los incidentes que afecten a las redes y sistemas de informaci髇 empleados en la prestaci髇 de los servicios indicados, tanto si se trata de redes y servicios propios como si lo son de proveedores externos, incluso si 閟tos son proveedores de servicios digitales sometidos a este real decreto-ley.

4. Las autoridades competentes y los CSIRT de referencia utilizar醤 una plataforma com鷑 para facilitar y automatizar los procesos de notificaci髇, comunicaci髇 e informaci髇 sobre incidentes.

5. El desarrollo reglamentario de este real decreto-ley prever� las medidas necesarias para el cumplimiento de lo preceptuado en este art韈ulo por parte de los operadores de servicios esenciales. Las autoridades competentes podr醤 establecer, mediante Orden ministerial, obligaciones espec韋icas de notificaci髇 por los operadores de servicios esenciales. As� mismo, podr醤 dictar instrucciones t閏nicas y gu韆s orientativas para detallar el contenido de dichas 髍denes.

Al elaborar las disposiciones reglamentarias, instrucciones y gu韆s, se tendr醤 en cuenta las obligaciones sectoriales, las directrices relevantes que se adopten en el grupo de cooperaci髇 y los requisitos en materia de notificaci髇 de incidentes a los que estuviera sometido el operador en virtud de otras normas, como la Ley 8/2011, de 28 de abril, y el Esquema Nacional de Seguridad, aprobado por el Real Decreto 3/2010, de 8 de enero.

6. La obligaci髇 de notificaci髇 de incidentes prevista en los apartados anteriores no obsta al cumplimiento de los deberes legales de denuncia de aquellos hechos que revistan caracteres de delito ante las autoridades competentes, de acuerdo con lo dispuesto en los art韈ulos 259 y siguientes de la Ley de Enjuiciamiento Criminal y teniendo en cuenta lo previsto en el art韈ulo 14.3 de este real decreto-ley.

Art韈ulo 20 Protecci髇 del notificante

1. Las notificaciones consideradas en este t韙ulo no sujetar醤 a la entidad que las efect鷈 a una mayor responsabilidad.

2. Los empleados y el personal que, por cualquier tipo de relaci髇 laboral o mercantil, participen en la prestaci髇 de los servicios esenciales o digitales, que informen sobre incidentes no podr醤 sufrir consecuencias adversas en su puesto de trabajo o con la empresa, salvo en los supuestos en que se acredite mala fe en su actuaci髇.

Se entender醤 nulas y sin efecto legal las decisiones del empleador tomadas en perjuicio o detrimento de los derechos laborales de los trabajadores que hayan actuado conforme a este apartado.

Art韈ulo 21 Factores para determinar la importancia de los efectos de un incidente

1. A los efectos de las notificaciones a las que se refiere el art韈ulo 19.1, primer p醨rafo, la importancia de un incidente se determinar� teniendo en cuenta, como m韓imo, los siguientes factores:

• a) El n鷐ero de usuarios afectados por la perturbaci髇 del servicio esencial.
• b) La duraci髇 del incidente.
• c) La extensi髇 o 醨eas geogr醘icas afectadas por el incidente.
• d) El grado de perturbaci髇 del funcionamiento del servicio.
• e) El alcance del impacto en actividades econ髆icas y sociales cruciales.
• f) La importancia de los sistemas afectados o de la informaci髇 afectada por el incidente para la prestaci髇 del servicio esencial.
• g) El da駉 a la reputaci髇.

2. En las notificaciones a las que se refiere el art韈ulo 19.2, la importancia de un incidente se determinar� conforme a lo que establezcan los actos de ejecuci髇 previstos en los apartados 8 y 9 del art韈ulo 16 de la Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo, de 6 de julio de 2016.

Art韈ulo 22 Notificaci髇 inicial, notificaciones intermedias y notificaci髇 final

1. Los operadores de servicios esenciales deber醤 realizar una primera notificaci髇 de los incidentes a los que se refiere el art韈ulo 19.1 sin dilaci髇 indebida.

La notificaci髇 incluir�, entre otros datos, informaci髇 que permita determinar cualquier efecto transfronterizo del incidente.

2. Los operadores de servicios esenciales efectuar醤 las notificaciones intermedias que sean precisas para actualizar la informaci髇 incorporada a la notificaci髇 inicial e informar sobre la evoluci髇 del incidente, mientras 閟te no est� resuelto.

3. Los operadores de servicios esenciales enviar醤 una notificaci髇 final del incidente tras su resoluci髇.

Un incidente se considerar� resuelto cuando se hayan restablecido las redes y sistemas de informaci髇 afectados y el servicio opere con normalidad.

Art韈ulo 23 Flexibilidad en la observancia de los plazos para la notificaci髇

Los operadores de servicios esenciales y los proveedores de servicios digitales podr醤 omitir, en las comunicaciones que realicen sobre los incidentes que les afecten, la informaci髇 de la que a鷑 no dispongan relativa a su repercusi髇 sobre servicios esenciales u otros servicios que dependan de ellos para su prestaci髇, u otra informaci髇 de la que no dispongan. Tan pronto como conozcan dicha informaci髇 deber醤 remitirla a la autoridad competente.

Si, transcurrido un tiempo prudencial desde la notificaci髇 inicial del incidente, el operador de servicios esenciales o el proveedor de servicios digitales no hubiera podido reunir la informaci髇 pertinente, enviar� a la autoridad competente, sin demora, un informe justificativo de las actuaciones realizadas para reunir la informaci髇 y de los motivos por los que no ha sido posible obtenerla.

Art韈ulo 24 Incidentes que afecten a servicios digitales

Los operadores de servicios esenciales y los proveedores de servicios digitales sometidos a este real decreto-ley, as� como cualquier otra parte interesada, que tengan noticia de incidentes que afecten de modo significativo a servicios digitales ofrecidos en Espa馻 por proveedores establecidos en otros Estados miembros de la Uni髇 Europea, podr醤 notificarlo a la autoridad competente aportando la informaci髇 pertinente, al objeto de facilitar la cooperaci髇 con el Estado miembro en el que estuviese establecido el citado proveedor.

Del mismo modo, si tienen noticia de que dichos proveedores han incumplido los requisitos de seguridad o de notificaci髇 de incidentes ocurridos en Espa馻 que les son aplicables, podr醤 notificarlo a la autoridad competente aportando la informaci髇 pertinente.

Art韈ulo 25 Tramitaci髇 de incidentes con impacto transfronterizo

1. Cuando las autoridades competentes o los CSIRT de referencia tengan noticia de incidentes que pueden afectar a otros Estados miembros de la Uni髇 Europea, informar醤 a trav閟 del punto de contacto 鷑ico a los Estados miembros afectados, precisando si el incidente puede tener efectos perturbadores significativos para los servicios esenciales prestados en dichos Estados.

2. Cuando a trav閟 de dicho punto de contacto se reciba informaci髇 sobre incidentes notificados en otros pa韘es de la Uni髇 Europea que puedan tener efectos perturbadores significativos para los servicios esenciales prestados en Espa馻, se remitir� la informaci髇 relevante a la autoridad competente y al CSIRT de referencia, para que adopten las medidas pertinentes en el ejercicio de sus funciones respectivas.

3. Las actuaciones consideradas en los apartados anteriores se entienden sin perjuicio de los intercambios de informaci髇 que las autoridades competentes o los CSIRT de referencia puedan realizar de modo directo con sus hom髄ogos de otros Estados miembros de la Uni髇 Europea en relaci髇 con aquellos incidentes que puedan resultar de inter閟 mutuo.

Art韈ulo 26 Informaci髇 al p鷅lico

1. La autoridad competente podr� exigir a los operadores de servicios esenciales o a los proveedores de servicios digitales que informen al p鷅lico o a terceros potencialmente interesados sobre los incidentes cuando su conocimiento sea necesario para evitar nuevos incidentes o gestionar uno que ya se haya producido, o cuando la divulgaci髇 de un incidente redunde en beneficio del inter閟 p鷅lico.

2. La autoridad competente tambi閚 podr� decidir informar de modo directo al p鷅lico o a terceros sobre el incidente.

En estos casos la autoridad competente consultar� y se coordinar� con el operador de servicios esenciales o el proveedor de servicios digitales antes de informar al p鷅lico.

Art韈ulo 27 Informaci髇 anual al punto de contacto 鷑ico y al grupo de cooperaci髇

1. Las autoridades competentes transmitir醤 al punto de contacto 鷑ico un informe anual sobre el n鷐ero y tipo de incidentes comunicados, sus efectos en los servicios prestados o en otros servicios y su car醕ter nacional o transfronterizo dentro de la Uni髇 Europea.

Las autoridades competentes elaborar醤 el informe siguiendo las instrucciones que dicte el punto de contacto 鷑ico teniendo en cuenta las indicaciones del grupo de cooperaci髇 respecto al formato y contenido de la informaci髇 a transmitir.

2. El punto de contacto 鷑ico remitir� al grupo de cooperaci髇 antes del 9 de agosto de cada a駉 un informe anual resumido sobre las notificaciones recibidas, y lo remitir� ulteriormente a las autoridades competentes y a los CSIRT de referencia, para su conocimiento.

Art韈ulo 28 Obligaci髇 de resolver los incidentes, de informaci髇 y de colaboraci髇 mutua

1. Los operadores de servicios esenciales y los proveedores de servicios digitales tienen la obligaci髇 de resolver los incidentes de seguridad que les afecten, y de solicitar ayuda especializada, incluida la del CSIRT de referencia, cuando no puedan resolver por s� mismos los incidentes.

En tales casos deber醤 atender a las indicaciones que reciban del CSIRT de referencia para resolver el incidente, mitigar sus efectos y reponer los sistemas afectados.

2. Los operadores de servicios esenciales y los proveedores de servicios digitales han de suministrar al CSIRT de referencia y a la autoridad competente toda la informaci髇 que se les requiera para el desempe駉 de las funciones que les encomienda el presente real decreto-ley.

En particular, podr� requerirse informaci髇 adicional a los operadores de servicios esenciales y a los proveedores de servicios digitales para analizar la naturaleza, causas y efectos de los incidentes notificados, y para elaborar estad韘ticas y reunir los datos necesarios para elaborar los informes anuales considerados en el art韈ulo 27.

Cuando las circunstancias lo permitan, la autoridad competente o el CSIRT de referencia proporcionar醤 a los operadores de servicios esenciales o a los proveedores de servicios digitales afectados por incidentes la informaci髇 derivada de su seguimiento que pueda serles relevante, en particular, para resolver el incidente.

Art韈ulo 29 Cooperaci髇 en lo relativo a los incidentes que afecten a datos personales

Las autoridades competentes y los CSIRT de referencia cooperar醤 estrechamente con la Agencia Espa駉la de Protecci髇 de Datos para hacer frente a los incidentes que den lugar a violaciones de datos personales.

Las autoridades competentes y los CSIRT de referencia comunicar醤 sin dilaci髇 a la Agencia Espa駉la de Protecci髇 de Datos los incidentes que puedan suponer una vulneraci髇 de datos personales y la mantendr醤 informada sobre la evoluci髇 de tales incidentes.

Art韈ulo 30 Autorizaci髇 para la cesi髇 de datos personales

Si la notificaci髇 de incidentes o su gesti髇, an醠isis o resoluci髇 requiriera comunicar datos personales, su tratamiento se restringir� a los que sean estrictamente adecuados, pertinentes y limitados a lo necesario en relaci髇 con la finalidad, de las indicadas, que se persiga en cada caso.

Su cesi髇 para estos fines se entender� autorizada en los siguientes casos:

• a) De los operadores de servicios esenciales y los proveedores de servicios digitales a las autoridades competentes, a trav閟 de los CSIRT de referencia.
• b) Entre los CSIRT de referencia y las autoridades competentes, y viceversa.
• c) Entre los CSIRT de referencia, y entre 閟tos y los CSIRT designados en otros Estados miembros de la Uni髇 Europea.
• d) Entre los CSIRT de referencia y otros CSIRT nacionales o internacionales.
• e) Entre el punto de contacto 鷑ico y los puntos de contacto 鷑icos de otros Estados miembros de la Uni髇 Europea.

Art韈ulo 31 Notificaciones voluntarias

1. Los operadores de servicios esenciales y los proveedores de servicios digitales podr醤 notificar los incidentes para los que no se establezca una obligaci髇 de notificaci髇.

As� mismo, las entidades que presten servicios esenciales y no hayan sido identificadas como operadores de servicios esenciales y que no sean proveedores de servicios digitales podr醤 notificar los incidentes que afecten a dichos servicios.

Estas notificaciones obligan a la entidad que las efect鷈 a resolver el incidente de acuerdo con lo establecido en el art韈ulo 28.

2. Las notificaciones a las que se refiere el apartado anterior se regir醤 por lo dispuesto en este t韙ulo, y se informar� sobre ellas al punto de contacto 鷑ico en el informe anual previsto en el art韈ulo 27.1.

3. Las notificaciones obligatorias gozar醤 de prioridad sobre las voluntarias a los efectos de su gesti髇 por los CSIRT y por las autoridades competentes.

Art韈ulo 32 Supervisi髇 de los operadores de servicios esenciales

1. Las autoridades competentes podr醤 requerir a los operadores de servicios esenciales para que les proporcionen toda la informaci髇 necesaria para evaluar la seguridad de las redes y sistemas de informaci髇, incluida la documentaci髇 sobre pol韙icas de seguridad.

Podr醤 requerirles informaci髇 sobre la aplicaci髇 efectiva de su pol韙ica de seguridad, as� como auditar o exigir al operador que someta la seguridad de sus redes y sistemas de informaci髇 a una auditor韆 por una entidad externa, solvente e independiente.

2. A la vista de la informaci髇 recabada, la autoridad competente podr� requerir al operador que subsane las deficiencias detectadas e indicarle c髆o debe hacerlo.

Art韈ulo 33 Supervisi髇 de los proveedores de servicios digitales

1. La autoridad competente para la supervisi髇 de los servicios digitales s髄o inspeccionar� el cumplimiento de las obligaciones derivadas de este real decreto-ley cuando tenga noticia de alg鷑 incumplimiento, incluyendo por petici髇 razonada de otros 髍ganos o denuncia.

En tal caso, la autoridad competente podr� requerir al proveedor de servicios digitales para que le proporcione toda la informaci髇 necesaria para evaluar la seguridad de sus redes y sistemas de informaci髇, incluida la documentaci髇 sobre pol韙icas de seguridad, y para que subsane las deficiencias detectadas.

2. Cuando la autoridad competente tenga noticia de incidentes que perturben de modo significativo a servicios digitales ofrecidos en otros Estados miembros por proveedores establecidos en Espa馻, adoptar� las medidas de supervisi髇 pertinentes.

A estos efectos, tendr� especialmente en cuenta la informaci髇 facilitada por las autoridades competentes de otros Estados miembros.

Art韈ulo 34 Cooperaci髇 transfronteriza

1. La supervisi髇 se llevar� a cabo, cuando proceda, en cooperaci髇 con las autoridades competentes de los Estados miembros en los que se ubiquen las redes y sistemas de informaci髇 empleados para la prestaci髇 del servicio, o en que est� establecido el operador de servicios esenciales, el proveedor de servicios digitales o su representante.

2. Las autoridades competentes colaborar醤 con las autoridades competentes de otros Estados miembros cuando 閟tas requieran su cooperaci髇 en la supervisi髇 y adopci髇 de medidas por operadores de servicios esenciales y proveedores de servicios digitales en relaci髇 con las redes y sistemas de informaci髇 ubicados en Espa馻, as� como respecto a los proveedores de servicios digitales establecidos en Espa馻 o cuyo representante en la Uni髇 Europea tenga su residencia o domicilio social en Espa馻.

Art韈ulo 35 Responsables

Ser醤 responsables los operadores de servicios esenciales y los proveedores de servicios digitales comprendidos en el 醡bito de aplicaci髇 de este real decreto-ley.

Art韈ulo 36 Infracciones

1. Las infracciones de los preceptos de este real decreto-ley se clasifican en muy graves, graves y leves.

2. Son infracciones muy graves:

• a) La falta de adopci髇 de medidas para subsanar las deficiencias detectadas, de acuerdo con lo dispuesto en los art韈ulos 32.2 o 33.1, cuando 閟tas le hayan hecho vulnerable a un incidente con efectos perturbadores significativos en el servicio y el operador de servicios esenciales o el proveedor de servicios digitales no hubiera atendido los requerimientos dictados por la autoridad competente con anterioridad a la producci髇 del incidente.
• b) El incumplimiento reiterado de la obligaci髇 de notificar incidentes con efectos perturbadores significativos en el servicio. Se considerar� que es reiterado a partir del segundo incumplimiento.
• c) No tomar las medidas necesarias para resolver los incidentes con arreglo a lo dispuesto en el art韈ulo 28.1 cuando 閟tos tengan un efecto perturbador significativo en la prestaci髇 servicios esenciales o de servicios digitales en Espa馻 o en otros Estados miembros.

3. Son infracciones graves:

• a) El incumplimiento de las disposiciones reglamentarias o de las instrucciones t閏nicas de seguridad dictadas por la autoridad competente referidas a las precauciones m韓imas que los operadores de servicios esenciales han de adoptar para garantizar la seguridad de las redes y sistemas de informaci髇.
• b) La falta de adopci髇 de medidas para subsanar las deficiencias detectadas en respuesta a un requerimiento dictado de acuerdo con los art韈ulos 32.2 o 33.1, cuando ese sea el tercer requerimiento desatendido que se dicta en los cinco 鷏timos a駉s.
• c) El incumplimiento de la obligaci髇 de notificar incidentes con efectos perturbadores significativos en el servicio.
• d) La demostraci髇 de una notoria falta de inter閟 en la resoluci髇 de incidentes con efectos perturbadores significativos notificados cuando d� lugar a una mayor degradaci髇 del servicio.
• e) Proporcionar informaci髇 falsa o enga駉sa al p鷅lico sobre los est醤dares que cumple o las certificaciones de seguridad que mantiene en vigor.
• f) Poner obst醕ulos a la realizaci髇 de auditor韆s por la autoridad competente.

4. Son infracciones leves:

• a) El incumplimiento de las disposiciones reglamentarias o de las instrucciones t閏nicas de seguridad dictadas por la autoridad competente al amparo de este real decreto-ley, cuando no suponga una infracci髇 grave.
• b) La falta de adopci髇 de medidas para corregir las deficiencias detectadas en respuesta a un requerimiento de subsanaci髇 dictado de acuerdo con los art韈ulos 32.2 o 33.1.
• c) No facilitar la informaci髇 que sea requerida por las autoridades competentes sobre sus pol韙icas de seguridad, o proporcionar informaci髇 incompleta o tard韆 sin justificaci髇.
• d) No someterse a una auditor韆 de seguridad seg鷑 lo ordenado por la autoridad competente.
• e) No proporcionar al CSIRT de referencia o a la autoridad competente la informaci髇 que soliciten en virtud del art韈ulo 28.2.
• f) La falta de notificaci髇 de los sucesos o incidencias para los que, aunque no hayan tenido un efecto adverso real sobre los servicios, exista obligaci髇 de notificaci髇 en virtud del p醨rafo segundo del art韈ulo 19.2.
• g) No completar la informaci髇 que debe reunir la notificaci髇 de incidentes teniendo en cuenta lo dispuesto en el art韈ulo 23, o no remitir el informe justificativo sobre la imposibilidad de reunir la informaci髇 previsto en dicho art韈ulo.
• h) No seguir las indicaciones que reciba del CSIRT de referencia para resolver un incidente, de acuerdo con el art韈ulo 28.

Art韈ulo 37 Sanciones

1. Por la comisi髇 de las infracciones recogidas en el art韈ulo anterior, se impondr醤 las siguientes sanciones:

• a) Por la comisi髇 de infracciones muy graves, multa de 500.001 hasta 1.000.000 euros.
• b) Por la comisi髇 de infracciones graves, multa de 100.001 hasta 500.000 euros.
• c) Por la comisi髇 de infracciones leves, amonestaci髇 o multa hasta 100.000 euros.

2. Las sanciones firmes en v韆 administrativa por infracciones muy graves y graves podr醤 ser publicadas, a costa del sancionado, en el 獴olet韓 Oficial del Estado� y en el sitio de Internet de la autoridad competente, en atenci髇 a los hechos concurrentes y de conformidad con el art韈ulo siguiente.

Art韈ulo 38 Graduaci髇 de la cuant韆 de las sanciones

El 髍gano sancionador establecer� la sanci髇 teniendo en cuenta los siguientes criterios:

• a) El grado de culpabilidad o la existencia de intencionalidad.
• b) La continuidad o persistencia en la conducta infractora.
• c) La naturaleza y cuant韆 de los perjuicios causados.
• d) La reincidencia, por comisi髇 en el 鷏timo a駉 de m醩 de una infracci髇 de la misma naturaleza, cuando as� haya sido declarado por resoluci髇 firme en v韆 administrativa.
• e) El n鷐ero de usuarios afectados.
• f) El volumen de facturaci髇 del responsable.
• g) La utilizaci髇 por el responsable de programas de recompensa por el descubrimiento de vulnerabilidades en sus redes y sistemas de informaci髇.
• h) Las acciones realizadas por el responsable para paliar los efectos o consecuencias de la infracci髇.

Art韈ulo 39 Proporcionalidad de sanciones

1. El 髍gano sancionador podr� establecer la cuant韆 de la sanci髇 aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:

• a) Cuando se aprecie una cualificada disminuci髇 de la culpabilidad del imputado como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el art韈ulo 38.
• b) Cuando la entidad infractora haya regularizado la situaci髇 irregular de forma diligente.
• c) Cuando el infractor haya reconocido espont醤eamente su culpabilidad.

2. Los 髍ganos con competencia sancionadora, atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, podr醤 no acordar el inicio del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el 髍gano sancionador determine, acredite la adopci髇 de las medidas correctoras que, en cada caso, resulten pertinentes, siempre que concurran los siguientes presupuestos:

• a) Que los hechos fuesen constitutivos de infracci髇 leve o grave conforme a lo dispuesto en este real decreto-ley.
• b) Que el 髍gano competente no hubiese sancionado o apercibido al infractor en los dos a駉s previos como consecuencia de la comisi髇 de infracciones previstas en este real decreto-ley.

Si el apercibimiento no fuera atendido en el plazo que el 髍gano sancionador hubiera determinado, proceder� la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.

3. No podr醤 ser objeto de apercibimiento las infracciones leves descritas en el art韈ulo 36.4 c), d) y e) y la infracci髇 grave prevista en el art韈ulo 36.3 e).

Art韈ulo 40 Infracciones de las Administraciones p鷅licas

1. Cuando las infracciones a que se refiere el art韈ulo 36 fuesen cometidas por 髍ganos o entidades de las Administraciones P鷅licas, el 髍gano sancionador dictar� una resoluci髇 estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracci髇. Esta resoluci髇 se notificar� al 髍gano o entidad infractora y a los afectados, si los hubiera.

Adem醩 de lo anterior, el 髍gano sancionador podr� proponer tambi閚 la iniciaci髇 de actuaciones disciplinarias, si procedieran.

2. Se deber醤 comunicar al 髍gano sancionador las resoluciones que recaigan en relaci髇 con las medidas y actuaciones a que se refiere el apartado anterior.

Art韈ulo 41 Competencia sancionadora

1. La imposici髇 de sanciones corresponder�, en el caso de infracciones muy graves, al Ministro competente en virtud de lo dispuesto en el art韈ulo 9, y en el caso de infracciones graves y leves al 髍gano de la autoridad competente que se determine mediante el reglamento de desarrollo de este real decreto-ley.

2. La potestad sancionadora se ejercer� con arreglo a los principios y al procedimiento previstos en las Leyes 39/2015, de 1 de octubre, del Procedimiento Administrativo Com鷑 de las Administraciones P鷅licas, y 40/2015, de 1 de octubre, de R間imen Jur韉ico del Sector P鷅lico.

3. El ejercicio de la potestad sancionadora se sujetar� al procedimiento aplicable, con car醕ter general, a la actuaci髇 de las Administraciones p鷅licas. No obstante, el plazo m醲imo de duraci髇 del procedimiento ser� de un a駉 y el plazo de alegaciones no tendr� una duraci髇 inferior a un mes.

Art韈ulo 42 Concurrencia de infracciones

1. No proceder� la imposici髇 de sanciones seg鷑 lo previsto en este real decreto-ley cuando los hechos constitutivos de infracci髇 lo sean tambi閚 de otra tipificada en la normativa sectorial a la que est� sujeto el prestador del servicio y exista identidad del bien jur韉ico protegido.

2. Cuando, como consecuencia de una actuaci髇 sancionadora, se tuviera conocimiento de hechos que pudieran ser constitutivos de infracciones tipificadas en otras leyes, se dar� cuenta de los mismos a los 髍ganos u organismos competentes para su supervisi髇 y sanci髇.

Disposici髇 adicional primera Relaci髇 inicial de servicios esenciales y operadores de servicios esenciales

La Comisi髇 Nacional para la Protecci髇 de las Infraestructuras Cr韙icas aprobar� una primera lista de servicios esenciales dentro de los sectores incluidos en el 醡bito de aplicaci髇 de este real decreto-ley e identificar� a los operadores que los presten que deban sujetarse a este real decreto-ley en el siguiente orden:

• a) Antes del 9 de noviembre de 2018: los servicios esenciales y los operadores correspondientes a los sectores estrat間icos energ韆, transporte, salud, sistema financiero, agua, e infraestructuras digitales.
• b) Antes del 9 de noviembre de 2019: los servicios esenciales y los operadores correspondientes al resto de los sectores estrat間icos recogidos en el anexo de la Ley 8/2011, de 28 de abril.

Disposici髇 adicional segunda Comunicaciones electr髇icas y servicios de confianza

La aplicaci髇 de este real decreto-ley a los operadores de redes y servicios de comunicaciones electr髇icas y de servicios electr髇icos de confianza que sean designados como operadores cr韙icos en virtud de la Ley 8/2011, de 28 de abril, no obstar� a la aplicaci髇 de su normativa espec韋ica en materia de seguridad.

El Ministerio de Econom韆 y Empresa, como 髍gano competente para la aplicaci髇 de dicha normativa, y el Ministerio del Interior actuar醤 de manera coordinada en el establecimiento de obligaciones que recaigan sobre los operadores cr韙icos. As� mismo, mantendr醤 un intercambio fluido de informaci髇 sobre incidentes que les afecten.

Disposici髇 adicional tercera Notificaci髇 de violaciones de seguridad de los datos personales a trav閟 de la plataforma com鷑 prevista en este real decreto-ley

La plataforma com鷑 para la notificaci髇 de incidentes prevista en este real decreto-ley podr� ser empleada para la notificaci髇 de vulneraciones de la seguridad de datos personales seg鷑 el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protecci髇 de las personas f韘icas en lo que respecta al tratamiento de datos personales y a la libre circulaci髇 de estos datos y por el que se deroga la Directiva 95/46/CE, en los t閞minos que acuerden la Agencia Espa駉la de Protecci髇 de Datos y los 髍ganos que gestionen dicha plataforma.

Disposici髇 adicional cuarta Proveedores de servicios digitales ya existentes

Los proveedores de servicios digitales que ya vinieran prestando servicios deber醤 comunicar su actividad a la Secretar韆 de Estado para el Avance Digital del Ministerio de Econom韆 y Empresa, en el plazo de tres meses desde la entrada en vigor de este real decreto-ley.

Disposici髇 final primera T韙ulo competencial

Este real decreto-ley se dicta en virtud de las competencias exclusivas atribuidas al Estado en materia de r間imen general de telecomunicaciones y seguridad p鷅lica, por el art韈ulo 149.1.21.� y 29.� de la Constituci髇.

Disposici髇 final segunda Incorporaci髇 del Derecho de la Uni髇 Europea

Este real decreto-ley incorpora al ordenamiento jur韉ico interno la Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo, de 6 de julio de 2016, relativa a las medidas destinadas a garantizar un elevado nivel com鷑 de seguridad de las redes y sistemas de informaci髇 en la Uni髇.

Disposici髇 final tercera Habilitaci髇 para el desarrollo reglamentario

Se habilita al Gobierno para desarrollar reglamentariamente lo previsto en este real decreto-ley sin perjuicio de la competencia de los Ministros para fijar las obligaciones espec韋icas mediante Orden Ministerial en los supuestos previstos en el articulado de esta norma.

V閍se el R.D. 43/2021, de 26 de enero, por el que se desarrolla el R.D.-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de informaci髇 (獴.O.E.� 28 enero).LE0000687406_20210129

Disposici髇 final cuarta Entrada en vigor

El presente real decreto-ley entrar� en vigor el d韆 siguiente al de su publicaci髇 en el 獴olet韓 Oficial del Estado�.