• Expandir / Contraer 韓dice sistem醫ico
• INTRODUCCION
• Art韈ulo 1 燨bjeto y 醡bito de aplicaci髇
• Art韈ulo 2 燛structura organizativa
• Art韈ulo 3 燩rincipios de la seguridad de la informaci髇
• Art韈ulo 4 燙onfiguraci髇 y adscripci髇 de la Comisi髇 Ministerial de Administraci髇 Digital
• Art韈ulo 5 燙omposici髇 de la Comisi髇 Ministerial de Administraci髇 Digital
• Art韈ulo 6 燜uncionamiento de la Comisi髇 Ministerial de Administraci髇 Digital
• Art韈ulo 7 燜unciones de la Comisi髇 Ministerial de Administraci髇 Digital
• Art韈ulo 8 燣os responsables de la informaci髇 y los responsables del servicio
• Art韈ulo 9 燣os responsables de seguridad
• Art韈ulo 10 燣os responsables del sistema
• DISPOSICIONES ADICIONALES
  • Disposici髇 adicional primera 營nstrucciones de ejecuci髇
  • Disposici髇 adicional segunda 燦o incremento del gasto p鷅lico
• DISPOSICIONES DEROGATORIAS
  • Disposici髇 derogatoria 鷑ica 燚erogaci髇 normativa parcial
• DISPOSICIONES FINALES
  • Disposici髇 final 鷑ica 燛ntrada en vigor

Art韈ulo 1 Objeto y 醡bito de aplicaci髇

1. Constituye el objeto de esta orden, la aprobaci髇 de la Pol韙ica de Seguridad de la Informaci髇, en adelante PSI, en el 醡bito de la Administraci髇 Electr髇ica del Ministerio para la Transici髇 Ecol骻ica, y la creaci髇 de la Comisi髇 Ministerial de Administraci髇 Digital, en adelante CMAD.

2. La PSI ser� de obligado cumplimiento para todos los 髍ganos superiores y directivos del Ministerio para la Transici髇 Ecol骻ica, incluidos los organismos p鷅licos vinculados o dependientes del Departamento, que no tengan establecida su propia pol韙ica de seguridad. En aquellos organismos que tengan su propia pol韙ica de seguridad, prevalecer� en caso de discrepancia, la definida en esta orden ministerial.

3. La PSI ser� de obligado cumplimiento para todo el personal que acceda, tanto a los sistemas de informaci髇, como a la propia informaci髇 que sea gestionada por el Departamento, con independencia de cu醠 sea su destino, adscripci髇 o relaci髇 con el mismo.

Art韈ulo 2 Estructura organizativa

La estructura organizativa para la gesti髇 de la seguridad de la informaci髇, en el 醡bito descrito por la PSI del Ministerio para la Transici髇 Ecol骻ica, est� compuesta por los siguientes agentes:

• 1. La CMAD.
• 2. Los Responsables de la Informaci髇.
• 3. Los Responsables del Servicio.
• 4. Los Responsables de Seguridad.
• 5. Los Responsables del Sistema.
• 6. Los Delegados de Protecci髇 de Datos Personales.

Art韈ulo 3 Principios de la seguridad de la informaci髇

1. Principios b醩icos.

Adem醩 de los previstos en el art韈ulo 4 del Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el 醡bito de la Administraci髇 Electr髇ica, se establecen los siguientes:

• a) Alcance estrat間ico: La seguridad de la informaci髇 cuenta con el compromiso y apoyo de todos los niveles directivos, de forma que est� coordinada e integrada con el resto de iniciativas estrat間icas del Departamento para conformar un todo coherente y eficaz.
• b) Proporcionalidad: El establecimiento de medidas de protecci髇, detecci髇 y recuperaci髇, deber� ser proporcional a los potenciales riesgos y a la criticidad y valor de la informaci髇 y de los servicios afectados.
• c) Mejora continua: Las medidas de seguridad se reevaluar醤 y actualizar醤 peri骴icamente, para adecuar su eficacia a la constante evoluci髇 de los riesgos y sistemas de protecci髇. La seguridad de la informaci髇 ser� atendida, revisada y auditada por personal cualificado, instruido y dedicado.
• d) Seguridad por defecto: Los sistemas deben dise馻rse y configurarse de forma que garanticen un grado suficiente de seguridad por defecto.

2. Principios particulares y responsabilidades espec韋icas.

Las directrices fundamentales de seguridad se concretan en un conjunto de principios particulares y responsabilidades espec韋icas, que se configuran como objetivos instrumentales, que garantizan el cumplimiento de los principios b醩icos de la PSI y que inspiran las actuaciones del Departamento en dicha materia. Se establecen los siguientes:

• a) Gesti髇 de activos de informaci髇: Los activos de informaci髇 del Departamento se encontrar醤 inventariados y categorizados, y estar醤 asociados a un responsable.
• b) Seguridad ligada a las personas: Se implantar醤 los mecanismos necesarios para que cualquier persona que acceda o pueda acceder a los activos de informaci髇, conozca sus responsabilidades y de este modo se reduzca el riesgo derivado de un uso indebido de dichos activos.
• c) Seguridad en la gesti髇 de comunicaciones y operaciones: Se establecer醤 los procedimientos necesarios para lograr una adecuada gesti髇 de la seguridad, operaci髇 y actualizaci髇 de las tecnolog韆s de la informaci髇 y comunicaciones. La informaci髇 que se transmita a trav閟 de redes de comunicaciones deber� ser adecuadamente protegida, teniendo en cuenta su nivel de sensibilidad y de criticidad, mediante mecanismos que garanticen su seguridad.
• d) Control de acceso: Se limitar� el acceso a los activos de informaci髇 por parte de usuarios, procesos y otros sistemas de informaci髇 mediante la implantaci髇 de los mecanismos de identificaci髇, autenticaci髇 y autorizaci髇 acordes a la criticidad de cada activo. Adem醩, quedar� registrada la utilizaci髇 del sistema con objeto de asegurar la trazabilidad del acceso y auditar su uso adecuado, conforme a la actividad de la organizaci髇.
• e) Adquisici髇, desarrollo y mantenimiento de los sistemas de informaci髇: Se contemplar醤 los aspectos de seguridad de la informaci髇 en todas las fases del ciclo de vida de los sistemas de informaci髇, garantizando su seguridad por defecto.
• f) Gesti髇 de los incidentes de seguridad: Se implantar醤 los mecanismos apropiados para la correcta identificaci髇, registro y resoluci髇 de los incidentes de seguridad.
• g) Gesti髇 de la continuidad: Se implantar醤 los mecanismos apropiados, para asegurar la disponibilidad de los sistemas de informaci髇 y mantener la continuidad de sus procesos de negocio, de acuerdo a las necesidades de nivel de servicio de sus usuarios.
• h) Gesti髇 de riesgos: Debe realizarse de manera continua sobre los sistemas de informaci髇 y contemplar un an醠isis de riesgos avanzado que eval鷈 los riesgos residuales y proponga tratamientos adecuados. Para la realizaci髇 del an醠isis de riesgos, se tendr醤 en cuenta las recomendaciones publicadas para el 醡bito de la Administraci髇 P鷅lica y en especial las gu韆s elaboradas por el Centro Criptol骻ico Nacional.
• i) Cumplimiento: Se adoptar醤 las medidas t閏nicas, organizativas y procedimentales necesarias para el cumplimiento de la normativa en materia de seguridad de la informaci髇.

Art韈ulo 4 Configuraci髇 y adscripci髇 de la Comisi髇 Ministerial de Administraci髇 Digital

La CMAD del Ministerio para la Transici髇 Ecol骻ica, se configura como Comit� de Direcci髇 de Seguridad de la Informaci髇 y como instrumento para la coordinaci髇 interna del Departamento en materia de Administraci髇 Digital, as� como 髍gano de enlace y colaboraci髇 con la Secretar韆 General de Administraci髇 Digital, en adelante SGAD.

La Comisi髇 se adscribe a la Subsecretar韆 del Departamento y su 醡bito de actuaci髇 comprender� a todos los 髍ganos del Ministerio y sus organismos p鷅licos adscritos. La Divisi髇 de Sistemas y Tecnolog韆s de la Informaci髇 y de las Comunicaciones, dependiente de la Subsecretar韆, prestar� a la CMAD el apoyo que precise para el desempe駉 de sus funciones.

Art韈ulo 5 Composici髇 de la Comisi髇 Ministerial de Administraci髇 Digital

1. La CMAD tendr� la siguiente composici髇:

• a) Presidencia: La persona titular de la Subsecretar韆 para la Transici髇 Ecol骻ica.
• b) Vicepresidencia: La persona titular de la Subdirecci髇 General de Servicios y Coordinaci髇.
• c) Vocal韆s:
  • - El director del Gabinete del Ministro.
  • - El titular del Gabinete de la Secretar韆 de Estado de Energ韆.
  • - El titular del Gabinete de la Secretar韆 de Estado de Medio Ambiente.
  • - Un representante de cada una de las Direcciones Generales del Departamento, designados por sus titulares, con rango m韓imo de subdirector general o asimilado.
  • - Un representante de cada uno de los organismos p鷅licos adscritos al Departamento, designados por sus titulares, con rango m韓imo de subdirector general o asimilado.
  • - La persona titular de la Divisi髇 de Sistemas y Tecnolog韆s de la Informaci髇 y de las Comunicaciones, que ejercer� adem醩 la Secretar韆 de la CMAD y actuar� con voz y voto.
  • - Cada vocal titular podr� designar como suplente a un funcionario con rango m韓imo de Subdirector General o asimilado.

2. El representante de cada uno de los centros directivos, representar� y coordinar� al resto de unidades dentro del 醡bito de su centro directivo, pudiendo asistir a las reuniones, acompa馻dos de funcionarios expertos en las materias a tratar que actuar醤 como asesores con voz pero sin voto.

3. Se crear� un grupo de trabajo, a nivel interno, preparatorio de las reuniones de la CMAD.

Art韈ulo 6 Funcionamiento de la Comisi髇 Ministerial de Administraci髇 Digital

1. La CMAD del Ministerio para la Transici髇 Ecol骻ica podr� constituir, convocar, celebrar sesiones, adoptar acuerdos y remitir actas tanto de forma presencial como a distancia.

2. La CMAD se regir� por las normas previstas para los 髍ganos colegiados en la secci髇 3� del cap韙ulo II del T韙ulo Preliminar de la Ley 40/2015, de 1 de octubre, de R間imen Jur韉ico del Sector P鷅lico.

3. La CMAD se reunir�, al menos, una vez al a駉, mediante convocatoria de su Presidente, bien a iniciativa propia, a iniciativa de su Vicepresidente o cuando lo soliciten, al menos, la mitad de sus miembros.

Art韈ulo 7 Funciones de la Comisi髇 Ministerial de Administraci髇 Digital

La CMAD desempe馻r� las siguientes funciones:

• a) Ejercer las actuaciones determinadas por la Pol韙ica de Seguridad de la Informaci髇 del Departamento (PSI) y espec韋icamente:
  • 1.� Elaborar las propuestas de modificaci髇 y actualizaci髇 permanente que se hagan sobre la PSI.
  • 2.� Aprobar el resto de la normativa de seguridad de primer nivel.
  • 3.� Elaborar estudios, an醠isis previos y propuestas sobre la normativa de seguridad de segundo y tercer nivel.
  • 4.� Velar e impulsar el cumplimiento de la PSI y de su desarrollo normativo.
  • 5.� Promover la mejora continua en la gesti髇 de la seguridad de la informaci髇.
  • 6.� Coordinar la comunicaci髇 con el Centro Criptol骻ico Nacional en la utilizaci髇 de servicios de respuesta a incidentes de seguridad.
  • 7.� Aprobar el Plan de Auditor韆 y el Plan de Formaci髇 propuestos por el Responsable de Seguridad.
  • 8.� Resolver los posibles conflictos que puedan derivarse del establecimiento de la citada estructura organizativa.
• b) Ejercer� las funciones incluidas dentro del art韈ulo 7, sobre 獿as Comisiones Ministeriales de Administraci髇 Digital� del Real Decreto 806/2014, de 19 de septiembre, sobre organizaci髇 e instrumentos operativos de las tecnolog韆s de la informaci髇 y las comunicaciones en la Administraci髇 General del Estado y sus Organismos P鷅licos, y espec韋icamente:
  • 1.� Informar los proyectos de disposiciones de car醕ter general del Departamento sobre su oportunidad, costes y necesidad de recursos humanos y tiempos de desarrollo, que se puedan derivar de la aprobaci髇 del proyecto, desde la perspectiva de la utilizaci髇 de medios y servicios TIC. Este informe ser� remitido a la SGAD, para su conocimiento y valoraci髇, con periodicidad semestral.
  • 2.� Con la finalidad de conocer todas las propuestas de contrataci髇 relacionadas con las TIC, la CMAD ser� la encargada de canalizar la solicitud de informe preceptivo a la SGAD, conforme a lo establecido en el art韈ulo 16.2 del Real Decreto 806/2014, de 19 de septiembre. Igualmente, y en base a la prestaci髇 de servicios mutuos, enviar� estas propuestas a la Divisi髇 de Sistemas y Tecnolog韆s de la Informaci髇 y de las Comunicaciones del Ministerio para la Transici髇 Ecol骻ica.
  • 3.� Coordinar la recogida, agregaci髇 e incorporaci髇 de la informaci髇 requerida por la SGAD.
  • 4.� Elaborar, con periodicidad anual, un informe de avance de los Planes de actuaci髇 en materia TIC del Departamento y sus organismos p鷅licos para la transformaci髇 digital, que recoja el estado de las actuaciones previstas y las contrataciones efectuadas.

La CMAD, para el ejercicio de estas funciones, podr� recabar cuanta informaci髇 estime precisa de todas las unidades y organismos p鷅licos del Ministerio, que vendr醤 obligados a facilitarla, de acuerdo con la legislaci髇 vigente.

Art韈ulo 8 Los responsables de la informaci髇 y los responsables del servicio

1. Los responsables de la informaci髇 y los responsables del servicio tienen la potestad, dentro de su 醡bito de actuaci髇 y de sus competencias, de establecer los requisitos en materia de seguridad de la informaci髇 que manejan y de los servicios que prestan. Si esta informaci髇 incluye datos de car醕ter personal, adem醩 deber醤 tenerse en cuenta los requisitos derivados de la legislaci髇 correspondiente sobre protecci髇 de datos.

2. Cada 髍gano superior o directivo del Ministerio para la Transici髇 Ecol骻ica, as� como cada organismo p鷅lico dependiente del Departamento, a los que conforme al art韈ulo 1 les sea de aplicaci髇 esta PSI, designar� estos perfiles de acuerdo con su propia organizaci髇 interna.

Art韈ulo 9 Los responsables de seguridad

1. El responsable de seguridad, es la persona que determina las decisiones para satisfacer los requisitos de seguridad de la informaci髇 y de los servicios. Cada 髍gano superior o directivo del Ministerio para la Transici髇 Ecol骻ica, as� como cada organismo p鷅lico vinculado o dependiente del Departamento a los que sea de aplicaci髇 esta PSI, designar� un Responsable de Seguridad. En el 醡bito de la protecci髇 de datos de car醕ter personal se denomina responsable del tratamiento.

2. El 醡bito de actuaci髇 de cada responsable de seguridad, se limitar� 鷑ica y exclusivamente, a los sistemas de informaci髇 y servicios de tecnolog韆s de la informaci髇 y de las comunicaciones, que sean competencia y responsabilidad directa del centro al que pertenezca dicho responsable de seguridad.

3. Ser醤 funciones de cada responsable de seguridad, dentro del 醡bito de actuaci髇 enunciado en el punto anterior, las siguientes:

• a) Promover la seguridad de la informaci髇 manejada y de los servicios electr髇icos prestados, por los sistemas de informaci髇.
• b) Elaborar la normativa de seguridad de segundo y tercer nivel, definida en el art韈ulo 9 y velar e impulsar su cumplimiento por parte de Responsables del Sistema del art韈ulo 8 y de cualquier otro agente del sistema.
• c) Encargarse de que la documentaci髇 de seguridad se mantenga organizada y actualizada, y de gestionar los mecanismos de acceso a la misma. En el 醡bito de la protecci髇 de datos se denominar� encargado del tratamiento.
• d) Promover la mejora continua en la gesti髇 de la seguridad de la informaci髇.
• e) Impulsar la formaci髇 y concienciaci髇 en materia de seguridad de la informaci髇.

Art韈ulo 10 Los responsables del sistema

1. El responsable del sistema es la persona cuya responsabilidad es desarrollar, operar y mantener el sistema de informaci髇 durante todo su ciclo de vida.

2. Cada 髍gano superior o directivo del Ministerio para la Transici髇 Ecol骻ica contar� con la Divisi髇 de Sistemas y Tecnolog韆s de la Informaci髇 y de las Comunicaciones como responsable del sistema, para aquellos sistemas que se hayan desarrollado con su coordinaci髇. Para el resto de sistemas deber� designar este responsable del desarrollo realizado, operado o mantenido con recursos externos del departamento.

3. Cada organismo p鷅lico vinculado o dependiente del Departamento a los que, conforme al art韈ulo 1, le sea de aplicaci髇 esta PSI, designar� este perfil.

Disposici髇 adicional primera Instrucciones de ejecuci髇

En conformidad con la disposici髇 adicional cuarta del Real Decreto 864/2018, de 13 de julio, por el que se desarrolla la estructura org醤ica b醩ica del Ministerio para la Transici髇 Ecol骻ica, sobre Consolidaci髇 de las Unidades TIC, la Subsecretar韆 del Departamento podr� dictar las instrucciones necesarias para la consolidaci髇 de recursos TIC y el mejor cumplimiento de esta orden.

Disposici髇 adicional segunda No incremento del gasto p鷅lico

La aprobaci髇 de la PSI, el funcionamiento de la CMAD o la puesta en marcha de medidas de seguridad no supondr� incremento de gasto p鷅lico, y ser� atendido con los medios materiales y de personal existentes en el Ministerio para la Transici髇 Ecol骻ica, y con las disponibilidades presupuestarias existentes en cada ejercicio, sin que pueda suponer incremento de dotaciones, ni de retribuciones, ni de otros gastos de personal.

Disposici髇 derogatoria 鷑ica Derogaci髇 normativa parcial

Se derogan cuantas disposiciones de igual o inferior rango se opongan a lo establecido en esta orden, y en particular en aquellas materias de 醡bito competencial del Ministerio para la Transici髇 Ecol骻ica, las siguientes de manera parcial:

• 1. La Orden AAA/1231/2015, de 17 de junio, por la que se crea la Comisi髇 Ministerial de Administraci髇 Digital del Ministerio de Agricultura, Alimentaci髇 y Medio Ambiente (CMAD) y se regula su composici髇 y funciones y la Orden AAA/991/2015, de 21 de mayo, por la que se aprueba la pol韙ica de seguridad de la informaci髇 en el 醡bito de la Administraci髇 Electr髇ica del Ministerio de Agricultura, Alimentaci髇 y Medio Ambiente, quedan sin efecto en relaci髇 a la participaci髇 en sus 髍ganos y obligaciones de unidades dependientes del Ministerio para la Transici髇 Ecol骻ica.
• 2. Igualmente la Orden IET/1934/2014, de 14 de octubre, por la que se establece la pol韙ica de seguridad de la informaci髇 en el 醡bito de la administraci髇 electr髇ica del Ministerio de Industria, Energ韆 y Turismo y la Orden ETU/433/2018, de 17 de abril, por la que se crea la Comisi髇 Ministerial de Administraci髇 Digital en el Ministerio de Energ韆, Turismo y Agenda Digital, y se regula su composici髇 y funcionamiento, quedan sin efecto en relaci髇 a la participaci髇 en sus 髍ganos y obligaciones de unidades dependientes del Ministerio para la Transici髇 Ecol骻ica.

Disposici髇 final 鷑ica Entrada en vigor

Esta orden entrar� en vigor el d韆 siguiente al de su publicaci髇 en el 獴olet韓 Oficial del Estado�.