• Expandir / Contraer 韓dice sistem醫ico
• INTRODUCCION
• Art韈ulo 1 燨bjeto y 醡bito de aplicaci髇
• Art韈ulo 2 燙ompetencias del Departamento
• Art韈ulo 3 燤arco legal y regulatorio
• Art韈ulo 4 燩rincipios de la seguridad de la informaci髇
• Art韈ulo 5 燛structura organizativa
• Art韈ulo 6 燣a Comisi髇 Ministerial de Administraci髇 Digital
• Art韈ulo 7 燛l Responsable de Seguridad
• Art韈ulo 8 燣os Responsables de la Informaci髇 y los Responsables del Servicio
• Art韈ulo 9 燣os Responsables del Sistema
• Art韈ulo 10 燣os Delegados de Protecci髇 de Datos
• Art韈ulo 11 燛structura normativa
• Art韈ulo 12 燝esti髇 de los riesgos
• Art韈ulo 13 燩rotecci髇 de datos personales
• Art韈ulo 14 燜ormaci髇 y concienciaci髇
• Art韈ulo 15 燗ctualizaci髇 permanente
• DISPOSICIONES ADICIONALES
  • Disposici髇 adicional primera 燦o incremento del gasto p鷅lico
  • Disposici髇 adicional segunda 燚eber de colaboraci髇 en la implantaci髇 de la PSI
• DISPOSICIONES DEROGATORIAS
  • Disposici髇 derogatoria 鷑ica 燚erogaci髇 normativa
• DISPOSICIONES FINALES
  • Disposici髇 final primera 燤odificaci髇 de la Orden CUD/458/2019, de 12 de abril, por la que se crea la Comisi髇 Ministerial de Administraci髇 Digital del Ministerio de Cultura y Deporte y se regula su composici髇 y funciones
  • Disposici髇 final segunda 營nstrucciones de ejecuci髇
  • Disposici髇 final tercera 燛ntrada en vigor y publicidad de la PSI

Art韈ulo 1 Objeto y 醡bito de aplicaci髇

1. Constituye el objeto de la presente orden la aprobaci髇 de la Pol韙ica de Seguridad de la Informaci髇 (en adelante PSI) en el 醡bito de la administraci髇 electr髇ica del Ministerio de Cultura y Deporte, as� como del marco organizativo y tecnol骻ico de la misma.

2. La PSI ser� de obligado cumplimiento para todos los 髍ganos superiores y directivos del Ministerio de Cultura y Deporte, incluidos los organismos dependientes o adscritos al mismo que no tengan establecida su propia pol韙ica de seguridad, siendo aplicable a todos los activos empleados por el Departamento.

3. La PSI ser� de obligado cumplimiento para todo el personal que acceda tanto a los sistemas de informaci髇 como a la propia informaci髇 que sea gestionada por el Departamento, con independencia de cu醠 sea su destino, adscripci髇 o relaci髇 con el mismo.

Art韈ulo 2 Competencias del Departamento

El Ministerio de Cultura y Deporte es el Departamento de la Administraci髇 General del Estado encargado de la promoci髇, protecci髇 y difusi髇 del patrimonio hist髍ico espa駉l, de los museos estatales y de las artes, del libro, la lectura y la creaci髇 literaria, de las actividades cinematogr醘icas y audiovisuales y de los archivos y bibliotecas estatales, de la promoci髇 y difusi髇 de la cultura en espa駉l, as� como de la propuesta y ejecuci髇 de la pol韙ica del Gobierno en materia de deporte. Asimismo, le corresponde a este Departamento el impulso de las acciones de cooperaci髇 cultural y, en coordinaci髇 con el Ministerio de Asuntos Exteriores, Uni髇 Europea y de Cooperaci髇, de las relaciones internacionales en materia de cultura.

Art韈ulo 3 Marco legal y regulatorio

El marco normativo en que se desarrollan las actividades del Ministerio de Cultura y Deporte, en el 醡bito de la prestaci髇 de los servicios electr髇icos a los ciudadanos, sin perjuicio de la legislaci髇 espec韋ica, se compone de:

• 1. Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Com鷑 de las Administraciones P鷅licas.
• 2. Ley 40/2015, de 1 de octubre, de R間imen Jur韉ico del Sector P鷅lico.
• 3. Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en al 醡bito de la Administraci髇 Electr髇ica.
• 4. Real Decreto 4/2010, de 8 de enero, por el que se regula el Esquema Nacional de Interoperabilidad en al 醡bito de la Administraci髇 Electr髇ica.
• 5. Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protecci髇 de las personas f韘icas en lo que respecta al tratamiento de datos personales y a la libre circulaci髇 de estos datos y por el que se deroga la Directiva 95/46/CE ( Reglamento general de protecci髇 de datos).
• 6. Ley Org醤ica 3/2018, de 5 de diciembre, de Protecci髇 de Datos Personales y garant韆 de los derechos digitales.
• 7. Real Decreto 1553/2005, de 23 de diciembre, por el que se regula el documento nacional de identidad y sus certificados de firma electr髇ica.
• 8. Orden CUL/395/2010, de 17 de febrero, por la que se crea la Sede Electr髇ica del Ministerio de Cultura.
• 9. Resoluci髇 de 19 de febrero de 2010, de la Presidencia del Consejo Superior de Deportes, por la que se crea la Sede Electr髇ica del Consejo Superior de Deportes.
• 10. Orden CUL/3410/2009, de 14 de diciembre, por la que se regula el Registro Electr髇ico del Ministerio de Cultura.
• 11. Resoluci髇 de 24 de junio de 2009, de la Presidencia del Consejo Superior de Deportes, por la que se crea el registro electr髇ico del Consejo Superior de Deportes.
• 12. Ley 9/2017, de 8 de noviembre, de Contratos del Sector P鷅lico, por la que se transponen al ordenamiento jur韉ico espa駉l las Directivas del Parlamento Europeo y del Consejo 2014/23/UE y 2014/24/UE, de 26 de febrero de 2014.
• 13. Texto refundido de la Ley de Propiedad Intelectual, aprobado por Real Decreto Legislativo 1/1996, de 12 de abril, y su normativa de desarrollo.
• 14. Orden CUD/458/2019, de 12 de abril, por la que se crea la Comisi髇 Ministerial de Administraci髇 Digital del Ministerio de Cultura y Deporte y se regula su composici髇 y funciones.
• 15. Orden PCI/487/2019, de 26 de abril, por la que se publica la Estrategia Nacional de Ciberseguridad 2019, aprobada por el Consejo de Seguridad Nacional.
• 16. Real Decreto-Ley 14/2019, de 31 de octubre, por el que se adoptan medidas urgentes por razones de seguridad p鷅lica en materia de administraci髇 digital, contrataci髇 del sector p鷅lico y telecomunicaciones.

Del mismo modo, forman parte del marco regulatorio las normas aplicables a la Administraci髇 Electr髇ica del Departamento que desarrollen o complementen las anteriores y que se encuentren dentro del 醡bito de aplicaci髇 de la PSI.

Art韈ulo 4 Principios de la seguridad de la informaci髇

1. Principios b醩icos.

Los principios b醩icos son directrices fundamentales de seguridad que han de tenerse siempre presentes en cualquier actividad relacionada con el uso de los activos de informaci髇. Se establecen los siguientes:

• a) Alcance estrat間ico: la seguridad de la informaci髇 debe contar con el compromiso y apoyo de todos los niveles directivos de forma que pueda estar coordinada e integrada con el resto de iniciativas estrat間icas del Departamento para conformar un todo coherente y eficaz.
• b) Responsabilidad diferenciada: en los sistemas de informaci髇 se diferenciar� el responsable de la informaci髇, que determina los requisitos de seguridad de la informaci髇 tratada; el responsable del servicio, que determina los requisitos de seguridad de los servicios prestados; el responsable del sistema, que tiene la responsabilidad sobre la prestaci髇 de los servicios; y el responsable de seguridad, que determina las decisiones para satisfacer los requisitos de seguridad.
• c) Seguridad integral: la seguridad se entender� como un proceso integral constituido por todos los elementos t閏nicos, humanos, materiales y organizativos, relacionados con el sistema, evitando, salvo casos de urgencia o necesidad, cualquier actuaci髇 puntual o tratamiento coyuntural. La seguridad de la informaci髇 debe considerarse como parte de la operativa habitual, estando presente y aplic醤dose desde el dise駉 inicial de los sistemas de informaci髇.
• d) Gesti髇 de Riesgos: de acuerdo a lo establecido en los art韈ulos 24, 25 y 32 del Reglamento (UE) 2016/679, en el art韈ulo 28 de la Ley Org醤ica 3/2018, de 5 de diciembre, as� como en el art韈ulo 6 del Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en al 醡bito de la Administraci髇 Electr髇ica, el an醠isis y gesti髇 de riesgos ser� parte esencial del proceso de seguridad. La gesti髇 de riesgos permitir� el mantenimiento de un entorno controlado, minimizando los riesgos hasta niveles aceptables. La reducci髇 de estos niveles se realizar� mediante el despliegue de medidas de seguridad, que establecer醤 un equilibrio entre la naturaleza de los datos y los tratamientos, el impacto y la probabilidad de los riesgos a los que est閚 expuestos y la eficacia y el coste de las medidas de seguridad.
• e) Proporcionalidad: el establecimiento de medidas de protecci髇, detecci髇 y recuperaci髇 deber� ser proporcional a los potenciales riesgos y a la criticidad y valor de la informaci髇 y de los servicios afectados.
• f) Mejora continua: las medidas de seguridad se reevaluar醤 y actualizar醤 peri骴icamente para adecuar su eficacia a la constante evoluci髇 de los riesgos y sistemas de protecci髇. La seguridad de la informaci髇 ser� atendida, revisada y auditada por personal cualificado, instruido, dedicado y diferenciado.
• g) Seguridad desde el dise駉 y por defecto: los sistemas deben dise馻rse y configurarse de forma que garanticen un grado suficiente de seguridad por defecto.

2. Principios particulares y responsabilidades espec韋icas.

Las directrices fundamentales de seguridad se concretan en un conjunto de principios particulares y responsabilidades espec韋icas, que se configuran como objetivos instrumentales que garantizan el cumplimiento de los principios b醩icos de la PSI y que inspiran las actuaciones del Departamento en dicha materia. Se establecen los siguientes:

• a) Protecci髇 de datos personales: se adoptar醤 las medidas t閏nicas y organizativas destinadas a garantizar una adecuada protecci髇 de los datos. Tal y como se establece en el Reglamento (UE) 2016/679, y en Ley Org醤ica 3/2018, de 5 de diciembre, dichas medidas deber醤 ser apropiadas en funci髇 del an醠isis de riesgos mencionado en el apartado 4.1 d) del presente art韈ulo, as� como de una evaluaci髇 de impacto relativa a la protecci髇 de datos cuando sea probable que un tratamiento, por su naturaleza, alcance, contexto o fines, entra馿 un alto riesgo para los derechos y libertades de las personas f韘icas.
• b) Gesti髇 de activos de informaci髇: los activos de informaci髇 del Departamento se encontrar醤 inventariados y categorizados y estar醤 asociados a un responsable.
• c) Seguridad ligada a las personas: se implantar醤 los mecanismos necesarios para que cualquier persona que acceda, o pueda acceder a los activos de informaci髇, conozca sus responsabilidades y de este modo se reduzca el riesgo derivado de un uso indebido de dichos activos.
• d) Seguridad f韘ica: los activos de informaci髇 ser醤 emplazados en 醨eas seguras, protegidas por controles de acceso f韘icos adecuados a su nivel de criticidad. Los sistemas y los activos de informaci髇 que contienen dichas 醨eas estar醤 suficientemente protegidos frente a amenazas f韘icas o ambientales.
• e) Seguridad en la gesti髇 de comunicaciones y operaciones: se establecer醤 los procedimientos necesarios para lograr una adecuada gesti髇 de la seguridad, operaci髇 y actualizaci髇 de las Tecnolog韆s de la Informaci髇 y Comunicaciones. La informaci髇 que se transmita a trav閟 de redes de comunicaciones deber� ser adecuadamente protegida, teniendo en cuenta su nivel de sensibilidad y de criticidad, mediante mecanismos que garanticen su seguridad.
• f) Control de acceso: se limitar� el acceso a los activos de informaci髇 por parte de usuarios, procesos y otros sistemas de informaci髇 mediante la implantaci髇 de los mecanismos de identificaci髇, autenticaci髇 y autorizaci髇 acordes a la criticidad de cada activo. Adem醩, quedar� registrada la utilizaci髇 del sistema con objeto de asegurar la trazabilidad del acceso y auditar su uso adecuado, conforme a la actividad de la organizaci髇.
• g) Adquisici髇, desarrollo y mantenimiento de los sistemas de informaci髇: se contemplar醤 los aspectos de seguridad de la informaci髇 en todas las fases del ciclo de vida de los sistemas de informaci髇, garantizando su seguridad por defecto.
• h) Gesti髇 de los incidentes de seguridad: se implantar醤 los mecanismos apropiados para la correcta identificaci髇, registro y resoluci髇 de los incidentes de seguridad.
• i) Gesti髇 de la continuidad: se implantar醤 los mecanismos apropiados para asegurar la disponibilidad de los sistemas de informaci髇 y mantener la continuidad de sus procesos de negocio, de acuerdo a las necesidades de nivel de servicio de sus usuarios.
• j) Cumplimiento: se adoptar醤 las medidas t閏nicas, organizativas y procedimentales necesarias para el cumplimiento de la normativa legal vigente en materia de seguridad de la informaci髇.
• k) Derechos y deberes de los empleados p鷅licos: Los empleados p鷅licos que prestan servicio al departamento tienen el derecho y el deber de conocer y aplicar la presente PSI y todas las directrices generales, normas y procedimientos de seguridad de la informaci髇 que puedan afectar a sus funciones, as� como de participar en acciones de difusi髇 y formaci髇 orientadas a mejorar el estado de la seguridad de la informaci髇.

3. Aplicabilidad de los principios y requisitos m韓imos marcados en el Esquema Nacional de Seguridad.

Sin perjuicio de lo establecido en los apartados 1 y 2, la presente PSI se establecer� asimismo en base a los principios b醩icos y se desarrollar� aplicando los requisitos m韓imos contemplados en los art韈ulos 4 y 11 del Real Decreto 3/2010, de 8 de enero.

Art韈ulo 5 Estructura organizativa

La estructura organizativa para la gesti髇 de la seguridad de la informaci髇 en el 醡bito descrito por la PSI del Ministerio de Cultura y Deporte est� compuesta por los siguientes agentes:

• 1. La Comisi髇 Ministerial de Administraci髇 Digital (en adelante CMAD).
• 2. El Responsable de Seguridad.
• 3. Los Responsables de la Informaci髇.
• 4. Los Responsables del Servicio.
• 5. Los Responsables del Sistema.
• 6. Los Delegados de Protecci髇 de Datos.

Art韈ulo 6 La Comisi髇 Ministerial de Administraci髇 Digital

1. La Comisi髇 Ministerial de Administraci髇 Digital (CMAD) es el 髍gano colegiado de 醡bito departamental responsable del impulso y coordinaci髇 interna en materia de Administraci髇 Digital.

2. El pleno de la CMAD gestionar� y coordinar� todas las actividades relacionadas con la seguridad de los sistemas de informaci髇, de forma adicional al ejercicio de las funciones que le corresponden de acuerdo con el art韈ulo 4 de la Orden CUD/458/2019, de 12 de abril, por la que se crea la Comisi髇 Ministerial de Administraci髇 Digital del Ministerio de Cultura y Deporte y se regula su composici髇 y funciones. En particular, ejercer� las siguientes funciones:

• a) Elaborar las propuestas de modificaci髇 y actualizaci髇 permanente de la PSI.
• b) Velar e impulsar el cumplimiento de la PSI y de su desarrollo normativo.
• c) Aprobar las normas de desarrollo de la PSI de segundo nivel, seg鷑 lo previsto en el art韈ulo 11 de esta orden.
• d) Promover la mejora continua en la gesti髇 de la seguridad de la informaci髇.
• e) Resolver los posibles conflictos que puedan derivarse del establecimiento de la estructura organizativa de seguridad, as� como aquellos conflictos de competencia que pudieran aparecer entre los diferentes centros directivos en materia de seguridad de la informaci髇.
• f) Ordenar la realizaci髇 de las auditor韆s o autoevaluaciones de seguridad y recibir informaci髇 de los resultados de las mismas.
• g) Proveer los recursos y medios necesarios para asegurar la concienciaci髇 y formaci髇 en materia de seguridad de la informaci髇 de todo el personal afectado por esta orden.
• h) Tomar aquellas decisiones que garanticen la seguridad de la informaci髇 y de los servicios del Departamento, as� como la evaluaci髇 y seguimiento de las decisiones tomadas para satisfacer los requisitos de seguridad de la informaci髇 y de los servicios.
• i) Apoyar la coordinaci髇, cooperaci髇 y colaboraci髇 con otras Administraciones P鷅licas en materia de Seguridad de la Informaci髇 a trav閟 de los 髍ganos que se creen al respecto en las Administraciones P鷅licas.
• j) Compartir experiencias de 閤ito en materia de seguridad entre sus miembros para velar por el cumplimiento de la PSI y su normativa de desarrollo.

3. El pleno de la CMAD podr� recabar de personal t閏nico, propio o externo, la informaci髇 pertinente para la toma de sus decisiones.

Art韈ulo 7 El Responsable de Seguridad

1. Conforme al art韈ulo 10 del Esquema Nacional de Seguridad, el Responsable de Seguridad es quien determina las decisiones para satisfacer los requisitos de seguridad de la informaci髇 y de los servicios.

2. Las funciones del Responsable de Seguridad se ejercer醤 por el Grupo T閏nico de Seguridad de la Informaci髇 (en adelante GTSI), 髍gano colegiado que se adscribe la Subsecretar韆, y que estar� compuesto por los siguientes miembros:

• a) Presidente: La persona titular de la Direcci髇 de la Divisi髇 de Tecnolog韆s de la Informaci髇. Tendr� voto de calidad en la toma de decisiones del Grupo. En caso de ausencia, vacante o enfermedad ser� sustituido por el Vicepresidente.
• b) Vicepresidente. La persona titular de la Subdirecci髇 General Adjunta de la Divisi髇 de Tecnolog韆s de la Informaci髇.
• c) Vocales: La persona titular de la Jefatura de 羠ea de Infraestructuras de la Divisi髇 de Tecnolog韆s de la Informaci髇 y un representante de cada uno de los organismos p鷅licos adscritos a la presente pol韙ica de seguridad, en el 醡bito del Ministerio de Cultura y Deporte.

  Los vocales representantes anteriormente indicados, as� como sus sustitutos, ser醤 designados por el titular de la Direcci髇 del Organismo adscrito a la presente PSI. El sustituto del la persona titular de la Jefatura de 羠ea de Infraestructuras de la Divisi髇 de Tecnolog韆s de la Informaci髇 ser� designado por la persona titular de dicha Divisi髇.

• d) Secretario: La persona titular de la Jefatura de 羠ea de Infraestructuras de la Divisi髇 de Tecnolog韆s de la Informaci髇, que tendr� voz y voto y que, sin perjuicio del resto de funciones que le corresponden, ejecutar� las decisiones del Grupo, convocar� sus reuniones y preparar� los temas a tratar.

3. Ser醤 funciones del Responsable de Seguridad y, por tanto, de dicho GTSI, las siguientes:

• a) Promover y mantener la seguridad de la informaci髇 manejada y de los servicios electr髇icos prestados por los sistemas de informaci髇.
• b) Elaborar la normativa de seguridad de segundo nivel definida en el art韈ulo 11 de la presente orden y proponer su aprobaci髇 al Pleno de la CMAD.
• c) Verificar que las medidas de seguridad son adecuadas para la protecci髇 de la informaci髇 y los servicios.
• d) Impulsar el cumplimiento del cuerpo normativo definido en el art韈ulo 11, as� como velar por el mantenimiento de la documentaci髇 de seguridad y la gesti髇 de mecanismos de acceso a la misma.
• e) Mantener un inventario actualizado de las normas de segundo nivel detalladas en el art韈ulo 11 de la presente orden, con referencia a los responsables designados, as� como a los informes de auditor韆s, autoevaluaciones y an醠isis de riesgos realizados y de las declaraciones y certificaciones de seguridad.
• f) Apoyar y supervisar la investigaci髇 de los incidentes de seguridad desde su notificaci髇 hasta su resoluci髇. Coordinar la comunicaci髇 con el Centro Criptol骻ico Nacional en la utilizaci髇 de servicios de respuesta a incidentes de seguridad.
• g) Elaborar informes peri骴icos de seguridad que incluyan los incidentes m醩 relevantes de cada per韔do.
• h) Promover la mejora continua en la gesti髇 de la seguridad de la informaci髇.
• i) Impulsar la formaci髇 y concienciaci髇 en materia de seguridad de la informaci髇.
• j) Aprobar la declaraci髇 de aplicabilidad, que comprende la relaci髇 de medidas de seguridad seleccionadas para un sistema.
• k) Realizar los preceptivos an醠isis de riesgos y mantenerlos actualizados seg鷑 la legislaci髇 vigente.
• l) Promover auditor韆s peri骴icas para verificar el cumplimiento de las obligaciones en materia de seguridad de la informaci髇, y analizar los informes de auditor韆, elaborando las conclusiones a presentar a los Responsables del Servicio y los Responsables de la Informaci髇 para que adopten las medidas correctoras adecuadas bajo su responsabilidad.
• m) Realizar las tareas de coordinaci髇 y comunicaci髇 con el Responsable de Seguridad del Ministerio de Educaci髇 y Formaci髇 Profesional, as� como con los Responsables de Seguridad de los dem醩 Departamentos Ministeriales.
• n) Cualesquiera otras funciones que el Real Decreto 3/2010, de 8 de enero, asigne a los responsables de seguridad.

4. Cuando la complejidad, distribuci髇, separaci髇 f韘ica de sus elementos o n鷐ero de usuarios de los sistemas de informaci髇 lo justifiquen, el GTSI podr� designar los responsables de seguridad delegados que considere necesarios, que tendr醤 dependencia funcional directa de aqu閘 y ser醤 responsables en su 醡bito de todas aquellas acciones que les delegue el mismo.

5. A las reuniones del GTSI, podr醤 acudir representantes designados por los Delegados de Protecci髇 de Datos del departamento y de los organismos p鷅licos dependientes, adscritos a la presente PSI. Tambi閚 podr醤 ser invitados puntualmente los Responsables de los Tratamientos de Datos Personales en el 醡bito del departamento y de los organismos p鷅licos adscritos. Puntualmente se podr� invitar a personal t閏nico propio o externo a las reuniones.

6. En el seno del GTSI, podr醤 crearse grupos de trabajo cuya funci髇 ser� la de apoyarlo en el ejercicio de sus funciones. Los grupos de trabajo tendr醤 la composici髇 que, en cada caso, determine el GTSI.

7. El GTSI se reunir� con car醕ter ordinario con una periodicidad trimestral y con car醕ter extraordinario, cuando lo decida su Presidente. En cuanto a su funcionamiento, se regir�, en todo lo no previsto en la presente orden, por lo dispuesto en el Cap韙ulo II, Secci髇 3.� del T韙ulo Preliminar de la Ley 40/2015, de 1 de octubre, de R間imen Jur韉ico del Sector P鷅lico.

Art韈ulo 8 Los Responsables de la Informaci髇 y los Responsables del Servicio

1. Los Responsables de la Informaci髇 y los Responsables del Servicio tienen la potestad, dentro de su 醡bito de actuaci髇 y de sus competencias, de establecer los requisitos, en materia de seguridad, de los servicios y de la informaci髇 que manejan.

2. Los 髍ganos superiores o directivos del Ministerio de Cultura y Deporte, as� como los organismos dependientes o adscritos al mismo a los que, conforme al art韈ulo 1, les sea de aplicaci髇 la presente PSI, designar醤 estos responsables de acuerdo con su propia organizaci髇 interna. Se comunicar醤 los nombramientos al Responsable de Seguridad, para que pueda mantener el inventario mencionado en el art韈ulo 7.3.e).

Art韈ulo 9 Los Responsables del Sistema

1. El Responsable del Sistema es quien tiene la responsabilidad de desarrollar, operar y mantener el sistema de informaci髇 durante todo su ciclo de vida.

2. De conformidad con la disposici髇 adicional cuarta del Real Decreto 817/2018, de 6 de julio, por el que se desarrolla la estructura org醤ica b醩ica del Ministerio de Cultura y Deporte y se modifica el Real Decreto 595/2018, de 22 de junio, por el que se establece la estructura org醤ica b醩ica de los departamentos ministeriales, la Divisi髇 de Tecnolog韆s de la Informaci髇 actuar� como responsable del sistema para todos aquellos activos de informaci髇 que hayan sido sometidos a un proceso de consolidaci髇 de recursos TIC. En el resto de casos, cada unidad u organismo dependiente o adscrito al Departamento a los que, conforme al art韈ulo 1, les sea de aplicaci髇 la presente PSI, designar� este responsable de acuerdo con su propia organizaci髇 interna. Se comunicar醤 los nombramientos al Responsable de Seguridad, para que pueda mantener el inventario mencionado en el art韈ulo 7.3.e).

Art韈ulo 10 Los Delegados de Protecci髇 de Datos

1. El Delegado de Protecci髇 de Datos ejerce las funciones detalladas en la Secci髇 4 del Cap韙ulo IV del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 y en el Cap韙ulo III del T韙ulo V de la Ley Org醤ica 3/2018, de 5 de diciembre. Tendr� en todo caso acceso al registro de las actividades de tratamiento de datos personales al que se refiere el art韈ulo 30 del Reglamento (UE) 2016/679.

2. La designaci髇 de los Delegados de Protecci髇 de Datos del Ministerio de Cultura y Deporte y de los organismos dependientes o adscritos al mismo a los que, conforme al art韈ulo 1, les sea de aplicaci髇 la presente PSI, se efectuar� de conformidad con el art韈ulo 37 del Reglamento (UE) 2016/679 y el art韈ulo 34 de la Ley Org醤ica 3/2018, de 5 de diciembre. En consecuencia, ser醤 designados atendiendo a sus cualidades profesionales y, en particular, a sus conocimientos especializados del Derecho y la pr醕tica en materia de protecci髇 de datos y a su capacidad para desempe馻r las funciones que tienen encomendadas. Se comunicar醤 los nombramientos al Responsable de Seguridad, para que pueda mantener el inventario mencionado en el art韈ulo 7.3.e).

Art韈ulo 11 Estructura normativa

1. El cuerpo normativo sobre seguridad de la informaci髇 es de obligado cumplimiento y se podr� estructurar como m醲imo en los siguientes niveles relacionados jer醨quicamente:

• a) Primer nivel normativo: PSI y directrices. Est� constituido por la PSI y las directrices fundamentales de seguridad aplicables a los 髍ganos superiores o directivos del Ministerio de Cultura y Deporte a los que, conforme al art韈ulo 1, sea de aplicaci髇 la presente PSI.
• b) Segundo nivel normativo: Normativa y recomendaciones de seguridad. Est� constituido por la normativa y recomendaciones de seguridad que se definan en cada 醡bito organizativo de aplicaci髇 espec韋ico (髍ganos superiores y directivos, y organismos p鷅licos dependientes a los que sea de aplicaci髇 la presente PSI), conforme al art韈ulo 1. La normativa, que comprende los procedimientos, las normas y las instrucciones t閏nicas de seguridad, es de obligado cumplimiento y se formalizar� mediante instrucciones o resoluciones de los titulares de los 髍ganos correspondientes, previa aprobaci髇 del presidente del grupo t閏nico de seguridad de la informaci髇, mientras que las recomendaciones consistir醤 en buenas pr醕ticas y consejos no vinculantes para mejorar las condiciones de seguridad.
• c) Tercer nivel normativo: Procedimientos t閏nicos. Est� constituido por el conjunto de procedimientos t閏nicos orientados a resolver las tareas, consideradas cr韙icas por el perjuicio que causar韆 una actuaci髇 inadecuada, de seguridad, desarrollo, mantenimiento y explotaci髇 de los sistemas de informaci髇. Son recomendaciones o informaciones relativas a temas concretos de seguridad basadas en Instrucciones previas, que establecen las configuraciones m韓imas de seguridad de los diferentes elementos de un sistema de informaci髇, recomendaciones de uso o de otro tipo. La responsabilidad de aprobaci髇 de estos procedimientos t閏nicos depender� de su 醡bito de aplicaci髇, que podr� ser en un 醡bito espec韋ico o en un sistema de informaci髇 determinado. Se consideran incluidas en este nivel normativo las gu韆s CCN-STIC elaboradas por el Centro Criptol骻ico Nacional.

2. Adem醩 de la normativa enunciada en el presente art韈ulo, la estructura normativa podr� disponer, a criterio de cada uno de los 髍ganos u organismos adscritos a la presente PSI, y siempre dentro del 醡bito de sus competencias y responsabilidades, de otros documentos tales como: informes t閏nicos, registros, evidencias, etc.

Art韈ulo 12 Gesti髇 de los riesgos

1. La gesti髇 de riesgos debe realizarse de manera continua sobre el sistema de informaci髇, conforme a los principios de gesti髇 de la seguridad y protecci髇 de datos, basada en los riesgos ( art韈ulo 6 del Real Decreto 3/2010, de 8 de enero, y art韈ulo 24 del Reglamento (UE) 2016/679, y art韈ulo 28 de la Ley Org醤ica 3/2018, de 5 de diciembre) y reevaluaci髇 peri骴ica ( art韈ulo 9 del Real Decreto 3/2010, de 8 de enero), siendo el Responsable del Servicio el encargado de solicitar el preceptivo an醠isis de riesgos y de que se proponga el tratamiento adecuado, calculando los riesgos residuales. El Responsable de Seguridad, tras la calificaci髇 de la informaci髇 y la determinaci髇 del nivel de seguridad del sistema, obtendr� la matriz de aplicabilidad y el conjunto de medidas para garantizar la confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de la informaci髇 y del servicio. Se realizar� la evaluaci髇 de riesgo, identificando los riesgos residuales y, en base a ellos, se determinar� el Plan de Tratamiento de Riesgo, que le ser� comunicado al Responsable de la Informaci髇 y del Servicio.

2. El Responsable de Seguridad es el encargado de realizar dicho an醠isis en tiempo y forma a petici髇 del Responsable del Servicio, as� como de identificar carencias y debilidades y ponerlas en conocimiento de los Responsables de la Informaci髇 y del Servicio.

3. Los Responsables de la Informaci髇 y del Servicio son los encargados de los riesgos sobre la informaci髇 y sobre los servicios, respectivamente, siendo responsables de su seguimiento y control, sin perjuicio de la posibilidad de delegar esta tarea.

4. El proceso de gesti髇 de riesgos, que comprende las fases de categorizaci髇 de los sistemas, an醠isis de riesgos y selecci髇 de medidas de seguridad a aplicar, que deber醤 ser proporcionales a los riesgos y estar justificadas, deber� revisarse y aprobarse cada a駉 por el titular del 髍gano o unidad administrativa o, en su caso, organismo adscrito, a trav閟 de un Plan de Adecuaci髇 al Esquema Nacional de Seguridad.

5. Las indicadas fases del proceso de gesti髇 de riesgos se realizar醤 seg鷑 lo dispuesto en los anexos I y II del Real Decreto 3/2010, de 8 de enero y siguiendo las normas, instrucciones, gu韆s CCN-STIC y recomendaciones para la aplicaci髇 del mismo elaboradas por el Centro Criptol骻ico Nacional.

Art韈ulo 13 Protecci髇 de datos personales

Se aplicar醤 a los datos personales que sean objeto de tratamiento por parte del Ministerio de Cultura y Deporte las medidas de seguridad apropiadas derivadas del an醠isis de riesgos as� como de las evaluaciones de impacto relativas a la protecci髇 de datos, conforme se detalla en el Reglamento (UE) 2016/679 y en la Ley Org醤ica 3/2018, de 5 de diciembre. Adem醩, se aplicar醤 las medidas correspondientes al Anexo II del Real Decreto 3/2010, de 8 de enero. En el caso de que el an醠isis de riesgos determine medidas agravadas respecto a la normativa recogida en el Anexo II del Real Decreto 3/2010, de 8 de enero, dichas medidas derivadas del an醠isis de riesgos ser醤 las que se implementar醤 en la protecci髇 de datos personales.

Art韈ulo 14 Formaci髇 y concienciaci髇

1. Se desarrollar醤 actividades formativas espec韋icas orientadas a la concienciaci髇 y formaci髇 de los empleados p鷅licos del Departamento, as� como a la difusi髇 entre los mismos de la PSI y de su desarrollo normativo.

2. La CMAD y el Responsable de Seguridad se encargar醤 de promover las actividades de formaci髇 y concienciaci髇 en materia de seguridad, seg鷑 lo indicado en el art韈ulo 6.2.g) y en el art韈ulo 7.3.i).

Art韈ulo 15 Actualizaci髇 permanente

La PSI que se aprueba mediante la presente orden deber� mantenerse actualizada permanentemente para adecuarla al progreso de los servicios de Administraci髇 Electr髇ica, a la evoluci髇 tecnol骻ica y al desarrollo de la sociedad de la informaci髇, as� como a los est醤dares internacionales de seguridad.

Disposici髇 adicional primera No incremento del gasto p鷅lico

Las medidas descritas en esta orden no supondr醤 incremento del gasto, siendo atendidas con los medios materiales y humanos de que dispone el Ministerio de Cultura y Deporte.

Disposici髇 adicional segunda Deber de colaboraci髇 en la implantaci髇 de la PSI

Todos los 髍ganos y unidades del Departamento prestar醤 su colaboraci髇 en las actuaciones de implementaci髇 de la PSI aprobada por esta orden.

Disposici髇 derogatoria 鷑ica Derogaci髇 normativa

Se derogan cuantas disposiciones de igual o inferior rango se opongan a lo establecido en la presente orden, y en particular, se considera parcialmente derogada la Orden ECD/298/2018, de 12 de marzo, por la que se aprueba la Pol韙ica de Seguridad de la Informaci髇 en el 醡bito de la administraci髇 electr髇ica del Ministerio de Educaci髇, Cultura y Deporte, en todos aquellos aspectos que afecten al Ministerio de Cultura y Deporte o a sus organismos adscritos.

Disposici髇 final primera Modificaci髇 de la Orden CUD/458/2019, de 12 de abril, por la que se crea la Comisi髇 Ministerial de Administraci髇 Digital del Ministerio de Cultura y Deporte y se regula su composici髇 y funciones

La Orden CUD/458/2019, de 12 de abril, por la que se crea la Comisi髇 Ministerial de Administraci髇 Digital del Ministerio de Cultura y Deporte y se regula su composici髇 y funciones, se modifica del modo siguiente:

Se a馻de una letra f) al art韈ulo 2.1, con la siguiente redacci髇:

Disposici髇 final segunda Instrucciones de ejecuci髇

Por parte del titular de la Subsecretar韆 de Cultura y Deporte se podr醤 dictar las instrucciones necesarias para el mejor cumplimiento de esta orden.

Disposici髇 final tercera Entrada en vigor y publicidad de la PSI

1. La presente orden entrar� en vigor el d韆 siguiente al de su publicaci髇 en el 獴olet韓 Oficial del Estado�.

2. Esta orden se publicar� en las sedes electr髇icas del Ministerio de Cultura y Deporte en cuyo 醡bito sea de aplicaci髇.