Atenci髇 norma derogada, ver regulaci髇 posterior

Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el 醡bito de la Administraci髇 Electr髇ica

• Expandir / Contraer 韓dice sistem醫ico
• INTRODUCCION
• CAP蚑ULO I.�Disposiciones generales
  • Art韈ulo 1燨bjeto
  • Art韈ulo 2燚efiniciones y est醤dares
  • Art韈ulo 3犃mbito de aplicaci髇
• CAP蚑ULO II.�Principios b醩icos
  • Art韈ulo 4燩rincipios b醩icos del Esquema Nacional de Seguridad
  • Art韈ulo 5燣a seguridad como un proceso integral
  • Art韈ulo 6燝esti髇 de la seguridad basada en los riesgos
  • Art韈ulo 7燩revenci髇, reacci髇 y recuperaci髇
  • Art韈ulo 8燣韓eas de defensa
  • Art韈ulo 9燫eevaluaci髇 peri骴ica
  • Art韈ulo 10燣a seguridad como funci髇 diferenciada
• CAP蚑ULO III.�Requisitos m韓imos
  • Art韈ulo 11燫equisitos m韓imos de seguridad
  • Art韈ulo 12燨rganizaci髇 e implantaci髇 del proceso de seguridad
  • Art韈ulo 13燗n醠isis y gesti髇 de los riesgos
  • Art韈ulo 14燝esti髇 de personal
  • Art韈ulo 15燩rofesionalidad
  • Art韈ulo 16燗utorizaci髇 y control de los accesos
  • Art韈ulo 17燩rotecci髇 de las instalaciones
  • Art韈ulo 18燗dquisici髇 de productos de seguridad y contrataci髇 de servicios de seguridad
  • Art韈ulo 19燬eguridad por defecto
  • Art韈ulo 20營ntegridad y actualizaci髇 del sistema
  • Art韈ulo 21燩rotecci髇 de informaci髇 almacenada y en tr醤sito
  • Art韈ulo 22燩revenci髇 ante otros sistemas de informaci髇 interconectados
  • Art韈ulo 23燫egistro de actividad
  • Art韈ulo 24營ncidentes de seguridad
  • Art韈ulo 25燙ontinuidad de la actividad
  • Art韈ulo 26燤ejora continua del proceso de seguridad
  • Art韈ulo 27燙umplimiento de requisitos m韓imos
  • Art韈ulo 28營nfraestructuras y servicios comunes
  • Art韈ulo 29營nstrucciones t閏nicas de seguridad y gu韆s de seguridad
  • Art韈ulo 30燬istemas de informaci髇 no afectados
• CAP蚑ULO IV.�Comunicaciones electr髇icas
  • Art韈ulo 31燙ondiciones t閏nicas de seguridad de las comunicaciones electr髇icas
  • Art韈ulo 32燫equerimientos t閏nicos de notificaciones y publicaciones electr髇icas
  • Art韈ulo 33燜irma electr髇ica
• CAP蚑ULO V.�Auditor韆 de la seguridad
  • Art韈ulo 34燗uditor韆 de la seguridad
• CAPITULO VI.�Estado de seguridad de los sistemas
  • Art韈ulo 35營nforme del estado de la seguridad
• CAP蚑ULO VII.�Respuesta a incidentes de seguridad
  • Art韈ulo 36燙apacidad de respuesta a incidentes de seguridad de la informaci髇
  • Art韈ulo 37燩restaci髇 de servicios de respuesta a incidentes de seguridad a las Administraciones p鷅licas
• CAP蚑ULO VIII.�Normas de conformidad
  • Art韈ulo 38燬edes y registros electr髇icos
  • Art韈ulo 39燙iclo de vida de servicios y sistemas
  • Art韈ulo 40燤ecanismos de control
  • Art韈ulo 41燩ublicaci髇 de conformidad
• CAP蚑ULO IX.�Actualizaci髇
  • Art韈ulo 42燗ctualizaci髇 permanente
• CAP蚑ULO X.�Categorizaci髇 de los sistemas de informaci髇
  • Art韈ulo 43燙ategor韆s
  • Art韈ulo 44燜acultades
• DISPOSICIONES ADICIONALES
  • Disposici髇 adicional primera燜ormaci髇
  • Disposici髇 adicional segunda燙omit� de Seguridad de la Informaci髇 de las Administraciones P鷅licas
  • Disposici髇 adicional tercera燤odificaci髇 del Reglamento de desarrollo de la Ley Org醤ica 15/1999, de Protecci髇 de Datos de Car醕ter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre
  • Disposici髇 adicional cuarta燚esarrollo del Esquema Nacional de Seguridad
• DISPOSICIONES TRANSITORIAS
  • Disposici髇 transitoria燗decuaci髇 de sistemas
• DISPOSICIONES DEROGATORIAS
  • Disposici髇 derogatoria 鷑ica
• DISPOSICIONES FINALES
  • Disposici髇 final primera燭韙ulo habilitante
  • Disposici髇 final segunda燚esarrollo normativo
  • Disposici髇 final tercera燛ntrada en vigor
• ANEXOS
  • ANEXO I.� Categor韆s de los sistemas
  • ANEXO II.� Medidas de seguridad
  • ANEXO III.� Auditor韆 de la seguridad
  • ANEXO IV.� Glosario
  • ANEXO V.� Modelo de cl醬sula administrativa particular

Art韈ulo 1 Objeto

1. El presente real decreto tiene por objeto regular el Esquema Nacional de Seguridad establecido en el art韈ulo 42 de la Ley 11/2007, de 22 de junio, y determinar la pol韙ica de seguridad que se ha de aplicar en la utilizaci髇 de los medios electr髇icos a los que se refiere la citada ley.

2. El Esquema Nacional de Seguridad est� constituido por los principios b醩icos y requisitos m韓imos requeridos para una protecci髇 adecuada de la informaci髇. Ser� aplicado por las Administraciones p鷅licas para asegurar el acceso, integridad, disponibilidad, autenticidad, confidencialidad, trazabilidad y conservaci髇 de los datos, informaciones y servicios utilizados en medios electr髇icos que gestionen en el ejercicio de sus competencias.

Art韈ulo 2 Definiciones y est醤dares

A los efectos previstos en este real decreto, las definiciones, palabras, expresiones y t閞minos han de ser entendidos en el sentido indicado en el Glosario de T閞minos incluido en el anexo IV.

Art韈ulo 3 羗bito de aplicaci髇

El 醡bito de aplicaci髇 del presente real decreto ser� el establecido en el art韈ulo 2 de la Ley 11/2007, de 22 de junio.

Est醤 excluidos del 醡bito de aplicaci髇 indicado en el p醨rafo anterior los sistemas que tratan informaci髇 clasificada regulada por Ley 9/1968, de 5 de abril, de Secretos Oficiales y normas de desarrollo.

Art韈ulo 4 Principios b醩icos del Esquema Nacional de Seguridad

El objeto 鷏timo de la seguridad de la informaci髇 es asegurar que una organizaci髇 administrativa podr� cumplir sus objetivos utilizando sistemas de informaci髇. En las decisiones en materia de seguridad deber醤 tenerse en cuenta los siguientes principios b醩icos:

• a) Seguridad integral.
• b) Gesti髇 de riesgos.
• c) Prevenci髇, reacci髇 y recuperaci髇.
• d) L韓eas de defensa.
• e) Reevaluaci髇 peri骴ica.
• f) Funci髇 diferenciada.

Art韈ulo 5 La seguridad como un proceso integral

1. La seguridad se entender� como un proceso integral constituido por todos los elementos t閏nicos, humanos, materiales y organizativos, relacionados con el sistema. La aplicaci髇 del Esquema Nacional de Seguridad estar� presidida por este principio, que excluye cualquier actuaci髇 puntual o tratamiento coyuntural.

2. Se prestar� la m醲ima atenci髇 a la concienciaci髇 de las personas que intervienen en el proceso y a sus responsables jer醨quicos, para que, ni la ignorancia, ni la falta de organizaci髇 y coordinaci髇, ni instrucciones inadecuadas, sean fuentes de riesgo para la seguridad.

Art韈ulo 6 Gesti髇 de la seguridad basada en los riesgos

1. El an醠isis y gesti髇 de riesgos ser� parte esencial del proceso de seguridad y deber� mantenerse permanentemente actualizado.

2. La gesti髇 de riesgos permitir� el mantenimiento de un entorno controlado, minimizando los riesgos hasta niveles aceptables. La reducci髇 de estos niveles se realizar� mediante el despliegue de medidas de seguridad, que establecer� un equilibrio entre la naturaleza de los datos y los tratamientos, los riesgos a los que est閚 expuestos y las medidas de seguridad.

Art韈ulo 7 Prevenci髇, reacci髇 y recuperaci髇

1. La seguridad del sistema debe contemplar los aspectos de prevenci髇, detecci髇 y correcci髇, para conseguir que las amenazas sobre el mismo no se materialicen, no afecten gravemente a la informaci髇 que maneja, o los servicios que se prestan.

2. Las medidas de prevenci髇 deben eliminar o, al menos reducir, la posibilidad de que las amenazas lleguen a materializarse con perjuicio para el sistema. Estas medidas de prevenci髇 contemplar醤, entre otras, la disuasi髇 y la reducci髇 de la exposici髇.

3. Las medidas de detecci髇 estar醤 acompa馻das de medidas de reacci髇, de forma que los incidentes de seguridad se atajen a tiempo.

4. Las medidas de recuperaci髇 permitir醤 la restauraci髇 de la informaci髇 y los servicios, de forma que se pueda hacer frente a las situaciones en las que un incidente de seguridad inhabilite los medios habituales.

5. Sin merma de los dem醩 principios b醩icos y requisitos m韓imos establecidos, el sistema garantizar� la conservaci髇 de los datos e informaciones en soporte electr髇ico.

De igual modo, el sistema mantendr� disponibles los servicios durante todo el ciclo vital de la informaci髇 digital, a trav閟 de una concepci髇 y procedimientos que sean la base para la preservaci髇 del patrimonio digital.

Art韈ulo 8 L韓eas de defensa

1. El sistema ha de disponer de una estrategia de protecci髇 constituida por m鷏tiples capas de seguridad, dispuesta de forma que, cuando una de las capas falle, permita:

• a) Ganar tiempo para una reacci髇 adecuada frente a los incidentes que no han podido evitarse.
• b) Reducir la probabilidad de que el sistema sea comprometido en su conjunto.
• c) Minimizar el impacto final sobre el mismo.

2. Las l韓eas de defensa han de estar constituidas por medidas de naturaleza organizativa, f韘ica y l骻ica.

Art韈ulo 9 Reevaluaci髇 peri骴ica

Las medidas de seguridad se reevaluar醤 y actualizar醤 peri骴icamente, para adecuar su eficacia a la constante evoluci髇 de los riesgos y sistemas de protecci髇, llegando incluso a un replanteamiento de la seguridad, si fuese necesario.

Art韈ulo 10 La seguridad como funci髇 diferenciada

En los sistemas de informaci髇 se diferenciar� el responsable de la informaci髇, el responsable del servicio y el responsable de la seguridad.

El responsable de la informaci髇 determinar� los requisitos de la informaci髇 tratada; el responsable del servicio determinar� los requisitos de los servicios prestados; y el responsable de seguridad determinar� las decisiones para satisfacer los requisitos de seguridad de la informaci髇 y de los servicios.

La responsabilidad de la seguridad de los sistemas de informaci髇 estar� diferenciada de la responsabilidad sobre la prestaci髇 de los servicios.

La pol韙ica de seguridad de la organizaci髇 detallar� las atribuciones de cada responsable y los mecanismos de coordinaci髇 y resoluci髇 de conflictos.

Art韈ulo 11 Requisitos m韓imos de seguridad

1. Todos los 髍ganos superiores de las Administraciones p鷅licas deber醤 disponer formalmente de su pol韙ica de seguridad que articule la gesti髇 continuada de la seguridad, que ser� aprobada por el titular del 髍gano superior correspondiente. Esta pol韙ica de seguridad, se establecer� de acuerdo con los principios b醩icos indicados y se desarrollar� aplicando los siguientes requisitos m韓imos:

• a) Organizaci髇 e implantaci髇 del proceso de seguridad.
• b) An醠isis y gesti髇 de los riesgos.
• c) Gesti髇 de personal.
• d) Profesionalidad.
• e) Autorizaci髇 y control de los accesos.
• f) Protecci髇 de las instalaciones.
• g) Adquisici髇 de productos.
• h) Seguridad por defecto.
• i) Integridad y actualizaci髇 del sistema.
• j) Protecci髇 de la informaci髇 almacenada y en tr醤sito.
• k) Prevenci髇 ante otros sistemas de informaci髇 interconectados.
• l) Registro de actividad.
• m) Incidentes de seguridad.
• n) Continuidad de la actividad.
• o) Mejora continua del proceso de seguridad.

LE0000561661_20151105 N鷐ero 1 del art韈ulo 11 redactado por el apartado uno del art韈ulo 鷑ico del R.D. 951/2015, de 23 de octubre, de modificaci髇 del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el 醡bito de la Administraci髇 Electr髇ica (獴.O.E.� 4 noviembre).Vigencia: 5 noviembre 2015

2. A los efectos indicados en el apartado anterior, se considerar醤 髍ganos superiores, los responsables directos de la ejecuci髇 de la acci髇 del gobierno, central, auton髆ico o local, en un sector de actividad espec韋ico, de acuerdo con lo establecido en la Ley 6/1997, de 14 de abril, de organizaci髇 y funcionamiento de la Administraci髇 General del Estado y Ley 50/1997, de 27 de noviembre, del Gobierno; los estatutos de autonom韆 correspondientes y normas de desarrollo; y la Ley 7/1985, de 2 de abril, reguladora de las bases del R間imen Local, respectivamente.

Los municipios podr醤 disponer de una pol韙ica de seguridad com鷑 elaborada por la Diputaci髇, Cabildo, Consejo Insular u 髍gano unipersonal correspondiente de aquellas otras corporaciones de car醕ter representativo a las que corresponda el gobierno y la administraci髇 aut髇oma de la provincia o, en su caso, a la entidad comarcal correspondiente a la que pertenezcan.

3. Todos estos requisitos m韓imos se exigir醤 en proporci髇 a los riesgos identificados en cada sistema, pudiendo algunos no requerirse en sistemas sin riesgos significativos, y se cumplir醤 de acuerdo con lo establecido en el art韈ulo 27.

V閍se la Orden AUC/1147/2021, de 15 de octubre, por la que se aprueba la Pol韙ica de Seguridad de la Informaci髇 en el 醡bito de la administraci髇 digital del Ministerio de Asuntos Exteriores, Uni髇 Europea y Cooperaci髇, y se modifica la Orden AEC/1372/2016, de 19 de julio, por la que se crea y regula la Comisi髇 Ministerial para la Administraci髇 Digital del Ministerio de Asuntos Exteriores y de Cooperaci髇 (獴.O.E.� 25 octubre).LE0000710233_20211026

V閍se la Orden HFP/873/2021, de 29 de julio, por la que se aprueba la Pol韙ica de Seguridad de la Informaci髇 en el 醡bito de la Administraci髇 digital del Ministerio de Hacienda y Funci髇 P鷅lica (獴.O.E.� 11 agosto).LE0000705460_20210812

V閍se la Orden CUD/1313/2019, de 27 de diciembre, por la que se aprueba la Pol韙ica de Seguridad de la Informaci髇 en el 醡bito de la administraci髇 electr髇ica del Ministerio de Cultura y Deporte (獴.O.E.� 13 enero 2020).LE0000657611_20200114

V閍se la Orden TEC/469/2019, de 15 de abril, por la que se aprueba la Pol韙ica de Seguridad de la Informaci髇 en el 醡bito de la administraci髇 electr髇ica y se crea la Comisi髇 Ministerial de Administraci髇 Digital del Ministerio para la Transici髇 Ecol骻ica (獴.O.E.� 26 abril).LE0000643341_20190427

V閍se la Orden INT/424/2019, de 10 de abril, por la que se aprueba la pol韙ica de seguridad de la informaci髇 en el 醡bito de la administraci髇 electr髇ica del Ministerio del Interior y las directrices generales en materia de seguridad de la informaci髇 para la difusi髇 de resultados provisionales en procesos electorales �(獴.O.E.� 12 abril).LE0000642400_20190413

V閍se la Orden JUS/1293/2017, de 14 de diciembre, por la que se aprueba la Pol韙ica de Seguridad de la Informaci髇 en el 醡bito de la administraci髇 electr髇ica (獴.O.E.� 28 diciembre).LE0000611297_20171229

V閍se Orden AAA/991/2015, de 21 de mayo, por la que se aprueba la pol韙ica de seguridad de la informaci髇 en el 醡bito de la Administraci髇 Electr髇ica del Ministerio de Agricultura, Alimentaci髇 y Medio Ambiente (獴.O.E.� 29 mayo).LE0000553798_20150530

Art韈ulo 12 Organizaci髇 e implantaci髇 del proceso de seguridad

La seguridad deber� comprometer a todos los miembros de la organizaci髇. La pol韙ica de seguridad seg鷑 se detalla en el anexo II, secci髇 3.1, deber� identificar unos claros responsables de velar por su cumplimiento y ser conocida por todos los miembros de la organizaci髇 administrativa.

Art韈ulo 13 An醠isis y gesti髇 de los riesgos

1. Cada organizaci髇 que desarrolle e implante sistemas para el tratamiento de la informaci髇 y las comunicaciones realizar� su propia gesti髇 de riesgos.

2. Esta gesti髇 se realizar� por medio del an醠isis y tratamiento de los riesgos a los que est� expuesto el sistema. Sin perjuicio de lo dispuesto en el anexo II, se emplear� alguna metodolog韆 reconocida internacionalmente.

3. Las medidas adoptadas para mitigar o suprimir los riesgos deber醤 estar justificadas y, en todo caso, existir� una proporcionalidad entre ellas y los riesgos.

Art韈ulo 14 Gesti髇 de personal

1. Todo el personal relacionado con la informaci髇 y los sistemas deber� ser formado e informado de sus deberes y obligaciones en materia de seguridad. Sus actuaciones deben ser supervisadas para verificar que se siguen los procedimientos establecidos.

2. El personal relacionado con la informaci髇 y los sistemas, ejercitar� y aplicar� los principios de seguridad en el desempe駉 de su cometido.

3. El significado y alcance del uso seguro del sistema se concretar� y plasmar� en unas normas de seguridad.

4. Para corregir, o exigir responsabilidades en su caso, cada usuario que acceda a la informaci髇 del sistema debe estar identificado de forma 鷑ica, de modo que se sepa, en todo momento, qui閚 recibe derechos de acceso, de qu� tipo son 閟tos, y qui閚 ha realizado determinada actividad.

Art韈ulo 15 Profesionalidad

1. La seguridad de los sistemas estar� atendida, revisada y auditada por personal cualificado, dedicado e instruido en todas las fases de su ciclo de vida: instalaci髇, mantenimiento, gesti髇 de incidencias y desmantelamiento.

2. El personal de las Administraciones p鷅licas recibir� la formaci髇 espec韋ica necesaria para garantizar la seguridad de las tecnolog韆s de la informaci髇 aplicables a los sistemas y servicios de la Administraci髇.

3. Las Administraciones p鷅licas exigir醤, de manera objetiva y no discriminatoria, que las organizaciones que les presten servicios de seguridad cuenten con profesionales cualificados y con unos niveles id髇eos de gesti髇 y madurez en los servicios prestados.

LE0000561661_20151105 N鷐ero 3 del art韈ulo 15 redactado por el apartado dos del art韈ulo 鷑ico del R.D. 951/2015, de 23 de octubre, de modificaci髇 del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el 醡bito de la Administraci髇 Electr髇ica (獴.O.E.� 4 noviembre).Vigencia: 5 noviembre 2015

Art韈ulo 16 Autorizaci髇 y control de los accesos

El acceso al sistema de informaci髇 deber� ser controlado y limitado a los usuarios, procesos, dispositivos y otros sistemas de informaci髇, debidamente autorizados, restringiendo el acceso a las funciones permitidas.

Art韈ulo 17 Protecci髇 de las instalaciones

Los sistemas se instalar醤 en 醨eas separadas, dotadas de un procedimiento de control de acceso. Como m韓imo, las salas deben estar cerradas y disponer de un control de llaves.

Art韈ulo 18 Adquisici髇 de productos de seguridad y contrataci髇 de servicios de seguridad

1. En la adquisici髇 de productos de seguridad de las tecnolog韆s de la informaci髇 y comunicaciones que vayan a ser empleados por las Administraciones p鷅licas se utilizar醤, de forma proporcionada a la categor韆 del sistema y nivel de seguridad determinados, aquellos que tengan certificada la funcionalidad de seguridad relacionada con el objeto de su adquisici髇, salvo en aquellos casos en que las exigencias de proporcionalidad en cuanto a los riesgos asumidos no lo justifiquen a juicio del responsable de Seguridad.

LE0000561661_20151105 N鷐ero 1 del art韈ulo 18 redactado por el apartado tres del art韈ulo 鷑ico del R.D. 951/2015, de 23 de octubre, de modificaci髇 del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el 醡bito de la Administraci髇 Electr髇ica (獴.O.E.� 4 noviembre).Vigencia: 5 noviembre 2015

2. La certificaci髇 indicada en el apartado anterior deber� estar de acuerdo con las normas y est醤dares de mayor reconocimiento internacional, en el 醡bito de la seguridad funcional.

3. El Organismo de Certificaci髇 del Esquema Nacional de Evaluaci髇 y Certificaci髇 de Seguridad de las Tecnolog韆s de la Informaci髇, constituido al amparo de lo dispuesto en el art韈ulo 2.2.c) del Real Decreto 421/2004, de 12 de marzo, y regulado por la orden PRE/2740/2007, de 19 de septiembre, dentro de sus competencias, determinar� el criterio a cumplir en funci髇 del uso previsto del producto a que se refiera, en relaci髇 con el nivel de evaluaci髇, otras certificaciones de seguridad adicionales que se requieran normativamente, as� como, excepcionalmente, en los casos en que no existan productos certificados. El proceso indicado, se efectuar� teniendo en cuenta los criterios y metodolog韆s de evaluaci髇, determinados por las normas internacionales que recoge la orden ministerial citada.

4. Para la contrataci髇 de servicios de seguridad se estar� a lo dispuesto en los apartados anteriores y en el art韈ulo 15.

LE0000561661_20151105 N鷐ero 4 del art韈ulo 18 introducido por el apartado tres del art韈ulo 鷑ico del R.D. 951/2015, de 23 de octubre, de modificaci髇 del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el 醡bito de la Administraci髇 Electr髇ica (獴.O.E.� 4 noviembre).Vigencia: 5 noviembre 2015

Art韈ulo 19 Seguridad por defecto

Los sistemas deben dise馻rse y configurarse de forma que garanticen la seguridad por defecto:

• a) El sistema proporcionar� la m韓ima funcionalidad requerida para que la organizaci髇 alcance sus objetivos.LE0000561661_20151105 Letra a) del art韈ulo 19 redactada por el apartado cuatro del art韈ulo 鷑ico del R.D. 951/2015, de 23 de octubre, de modificaci髇 del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el 醡bito de la Administraci髇 Electr髇ica (獴.O.E.� 4 noviembre).Vigencia: 5 noviembre 2015
• b) Las funciones de operaci髇, administraci髇 y registro de actividad ser醤 las m韓imas necesarias, y se asegurar� que s髄o son accesibles por las personas, o desde emplazamientos o equipos, autorizados, pudiendo exigirse en su caso restricciones de horario y puntos de acceso facultados.
• c) En un sistema de explotaci髇 se eliminar醤 o desactivar醤, mediante el control de la configuraci髇, las funciones que no sean de inter閟, sean innecesarias e, incluso, aquellas que sean inadecuadas al fin que se persigue.
• d) El uso ordinario del sistema ha de ser sencillo y seguro, de forma que una utilizaci髇 insegura requiera de un acto consciente por parte del usuario.

Art韈ulo 20 Integridad y actualizaci髇 del sistema

1. Todo elemento f韘ico o l骻ico requerir� autorizaci髇 formal previa a su instalaci髇 en el sistema.

2. Se deber� conocer en todo momento el estado de seguridad de los sistemas, en relaci髇 a las especificaciones de los fabricantes, a las vulnerabilidades y a las actualizaciones que les afecten, reaccionando con diligencia para gestionar el riesgo a la vista del estado de seguridad de los mismos.

Art韈ulo 21 Protecci髇 de informaci髇 almacenada y en tr醤sito

1. En la estructura y organizaci髇 de la seguridad del sistema, se prestar� especial atenci髇 a la informaci髇 almacenada o en tr醤sito a trav閟 de entornos inseguros. Tendr醤 la consideraci髇 de entornos inseguros los equipos port醫iles, asistentes personales (PDA), dispositivos perif閞icos, soportes de informaci髇 y comunicaciones sobre redes abiertas o con cifrado d閎il.

2. Forman parte de la seguridad los procedimientos que aseguren la recuperaci髇 y conservaci髇 a largo plazo de los documentos electr髇icos producidos por las Administraciones p鷅licas en el 醡bito de sus competencias.

3. Toda informaci髇 en soporte no electr髇ico, que haya sido causa o consecuencia directa de la informaci髇 electr髇ica a la que se refiere el presente real decreto, deber� estar protegida con el mismo grado de seguridad que 閟ta. Para ello se aplicar醤 las medidas que correspondan a la naturaleza del soporte en que se encuentren, de conformidad con las normas de aplicaci髇 a la seguridad de los mismos.

Art韈ulo 22 Prevenci髇 ante otros sistemas de informaci髇 interconectados

El sistema ha de proteger el per韒etro, en particular, si se conecta a redes p鷅licas. Se entender� por red p鷅lica de comunicaciones la red de comunicaciones electr髇icas que se utiliza, en su totalidad o principalmente, para la prestaci髇 de servicios de comunicaciones electr髇icas disponibles para el p鷅lico, de conformidad a la definici髇 establecida en el apartado 26 del anexo II, de la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones. En todo caso se analizar醤 los riesgos derivados de la interconexi髇 del sistema, a trav閟 de redes, con otros sistemas, y se controlar� su punto de uni髇.

Art韈ulo 23 Registro de actividad

Con la finalidad exclusiva de lograr el cumplimiento del objeto del presente real decreto, con plenas garant韆s del derecho al honor, a la intimidad personal y familiar y a la propia imagen de los afectados, y de acuerdo con la normativa sobre protecci髇 de datos personales, de funci髇 p鷅lica o laboral, y dem醩 disposiciones que resulten de aplicaci髇, se registrar醤 las actividades de los usuarios, reteniendo la informaci髇 necesaria para monitorizar, analizar, investigar y documentar actividades indebidas o no autorizadas, permitiendo identificar en cada momento a la persona que act鷄.

Art韈ulo 24 Incidentes de seguridad

1. Se establecer� un sistema de detecci髇 y reacci髇 frente a c骴igo da駃no.

2. Se dispondr� de procedimientos de gesti髇 de incidentes de seguridad y de debilidades detectadas en los elementos del sistema de informaci髇. Estos procedimientos cubrir醤 los mecanismos de detecci髇, los criterios de clasificaci髇, los procedimientos de an醠isis y resoluci髇, as� como los cauces de comunicaci髇 a las partes interesadas y el registro de las actuaciones. Este registro se emplear� para la mejora continua de la seguridad del sistema.

LE0000561661_20151105 N鷐ero 2 del art韈ulo 24 redactado por el apartado cinco del art韈ulo 鷑ico del R.D. 951/2015, de 23 de octubre, de modificaci髇 del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el 醡bito de la Administraci髇 Electr髇ica (獴.O.E.� 4 noviembre).Vigencia: 5 noviembre 2015

Art韈ulo 25 Continuidad de la actividad

Los sistemas dispondr醤 de copias de seguridad y establecer醤 los mecanismos necesarios para garantizar la continuidad de las operaciones, en caso de p閞dida de los medios habituales de trabajo.

Art韈ulo 26 Mejora continua del proceso de seguridad

El proceso integral de seguridad implantado deber� ser actualizado y mejorado de forma continua. Para ello, se aplicar醤 los criterios y m閠odos reconocidos en la pr醕tica nacional e internacional relativos a gesti髇 de las tecnolog韆s de la informaci髇.

Art韈ulo 27 Cumplimiento de requisitos m韓imos

1. Para dar cumplimiento a los requisitos m韓imos establecidos en el presente real decreto, las Administraciones p鷅licas aplicar醤 las medidas de seguridad indicadas en el Anexo II, teniendo en cuenta:

• a) Los activos que constituyen el sistema.
• b) La categor韆 del sistema, seg鷑 lo previsto en el art韈ulo 43.
• c) Las decisiones que se adopten para gestionar los riesgos identificados.

2. Cuando un sistema al que afecte el presente real decreto maneje datos de car醕ter personal le ser� de aplicaci髇 lo dispuesto en la Ley Org醤ica 15/1999, de 13 de diciembre, y normativa de desarrollo, sin perjuicio de los requisitos establecidos en el Esquema Nacional de Seguridad.

3. Los medidas a las que se refieren los apartados 1 y 2 tendr醤 la condici髇 de m韓imos exigibles, y podr醤 ser ampliados por causa de la concurrencia indicada o del prudente arbitrio del responsable de la seguridad del sistema, habida cuenta del estado de la tecnolog韆, la naturaleza de los servicios prestados y la informaci髇 manejada, y los riesgos a que est醤 expuestos.

4. La relaci髇 de medidas seleccionadas del Anexo II se formalizar� en un documento denominado Declaraci髇 de Aplicabilidad, firmado por el responsable de seguridad.

LE0000561661_20151105 N鷐ero 4 del art韈ulo 27 introducido por el apartado seis del art韈ulo 鷑ico del R.D. 951/2015, de 23 de octubre, de modificaci髇 del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el 醡bito de la Administraci髇 Electr髇ica (獴.O.E.� 4 noviembre).Vigencia: 5 noviembre 2015

5. Las medidas de seguridad referenciadas en el Anexo II podr醤 ser reemplazadas por otras compensatorias siempre y cuando se justifique documentalmente que protegen igual o mejor el riesgo sobre los activos (Anexo I) y se satisfacen los principios b醩icos y los requisitos m韓imos previstos en los cap韙ulos II y III del real decreto. Como parte integral de la Declaraci髇 de Aplicabilidad se indicar� de forma detallada la correspondencia entre las medidas compensatorias implantadas y las medidas del Anexo II que compensan y el conjunto ser� objeto de la aprobaci髇 formal por parte del responsable de seguridad.

LE0000561661_20151105 N鷐ero 5 del art韈ulo 27 introducido por el apartado seis del art韈ulo 鷑ico del R.D. 951/2015, de 23 de octubre, de modificaci髇 del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el 醡bito de la Administraci髇 Electr髇ica (獴.O.E.� 4 noviembre).Vigencia: 5 noviembre 2015

Art韈ulo 28 Infraestructuras y servicios comunes

La utilizaci髇 de infraestructuras y servicios comunes reconocidos en las Administraciones P鷅licas facilitar� el cumplimiento de los principios b醩icos y los requisitos m韓imos exigidos en el presente real decreto en condiciones de mejor eficiencia. Los supuestos concretos de utilizaci髇 de estas infraestructuras y servicios comunes ser醤 determinados por cada Administraci髇.

Art韈ulo 29 Instrucciones t閏nicas de seguridad y gu韆s de seguridad

1. Para el mejor cumplimiento de lo establecido en el Esquema Nacional de Seguridad, el Centro Criptol骻ico Nacional, en el ejercicio de sus competencias, elaborar� y difundir� las correspondientes gu韆s de seguridad de las tecnolog韆s de la informaci髇 y las comunicaciones.

2. El Ministerio de Hacienda y Administraciones P鷅licas, a propuesta del Comit� Sectorial de Administraci髇 Electr髇ica previsto en el art韈ulo 40 de la Ley 11/2007, de 22 de junio, y a iniciativa del Centro Criptol骻ico Nacional, aprobar� las instrucciones t閏nicas de seguridad de obligado cumplimiento y se publicar醤 mediante resoluci髇 de la Secretar韆 de Estado de Administraciones P鷅licas. Para la redacci髇 y mantenimiento de las instrucciones t閏nicas de seguridad se constituir醤 los correspondientes grupos de trabajo en los 髍ganos colegiados con competencias en materia de administraci髇 electr髇ica.

V閍se la Res. de 27 de marzo de 2018, de la Secretar韆 de Estado de Funci髇 P鷅lica, por la que se aprueba la Instrucci髇 T閏nica de Seguridad de Auditor韆 de la Seguridad de los Sistemas de Informaci髇 (獴.O.E.� 3 abril).LE0000618024_20180404

V閍se la Res. de 7 de octubre de 2016, de la Secretar韆 de Estado de Administraciones P鷅licas, por la que se aprueba la Instrucci髇 T閏nica de Seguridad de Informe del Estado de la Seguridad (獴.O.E.� 2 noviembre).LE0000584659_20161103

V閍se la Res. de 13 de octubre de 2016, de la Secretar韆 de Estado de Administraciones P鷅licas, por la que se aprueba la Instrucci髇 T閏nica de Seguridad de conformidad con el Esquema Nacional de Seguridad (獴.O.E.� 2 noviembre).LE0000584660_20161103

3. Las instrucciones t閏nicas de seguridad tendr醤 en cuenta las normas armonizadas a nivel europeo que resulten de aplicaci髇.

LE0000561661_20151105 Art韈ulo 29 modificado conforme establece el apartado siete del art韈ulo 鷑ico del R.D. 951/2015, de 23 de octubre, de modificaci髇 del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el 醡bito de la Administraci髇 Electr髇ica (獴.O.E.� 4 noviembre).Vigencia: 5 noviembre 2015

Art韈ulo 30 Sistemas de informaci髇 no afectados

Las Administraciones p鷅licas podr醤 determinar aquellos sistemas de informaci髇 a los que no les sea de aplicaci髇 lo dispuesto en el presente de real decreto por tratarse de sistemas no relacionados con el ejercicio de derechos ni con el cumplimiento de deberes por medios electr髇icos ni con el acceso por medios electr髇icos de los ciudadanos a la informaci髇 y al procedimiento administrativo, de acuerdo con lo previsto en la Ley 11/2007, de 22 de junio.

Art韈ulo 31 Condiciones t閏nicas de seguridad de las comunicaciones electr髇icas

1. Las condiciones t閏nicas de seguridad de las comunicaciones electr髇icas en lo relativo a la constancia de la transmisi髇 y recepci髇, de sus fechas, del contenido integro de las comunicaciones y la identificaci髇 fidedigna del remitente y destinatario de las mismas, seg鷑 lo establecido en la Ley 11/2007, de 22 de junio, ser醤 implementadas de acuerdo con lo establecido en el Esquema Nacional de Seguridad.

2. Las comunicaciones realizadas en los t閞minos indicados en el apartado anterior, tendr醤 el valor y la eficacia jur韉ica que corresponda a su respectiva naturaleza, de conformidad con la legislaci髇 que resulte de aplicaci髇.

Art韈ulo 32 Requerimientos t閏nicos de notificaciones y publicaciones electr髇icas

1. Las notificaciones y publicaciones electr髇icas de resoluciones y actos administrativos se realizar醤 de forma que cumplan, de acuerdo con lo establecido en el presente real decreto, las siguientes exigencias t閏nicas:

• a) Aseguren la autenticidad del organismo que lo publique.
• b) Aseguren la integridad de la informaci髇 publicada.
• c) Dejen constancia de la fecha y hora de la puesta a disposici髇 del interesado de la resoluci髇 o acto objeto de publicaci髇 o notificaci髇, as� como del acceso a su contenido.
• d) Aseguren la autenticidad del destinatario de la publicaci髇 o notificaci髇.

Art韈ulo 33 Firma electr髇ica

1. Los mecanismos de firma electr髇ica se aplicar醤 en los t閞minos indicados en el Anexo II de esta norma y de acuerdo con lo preceptuado en la pol韙ica de firma electr髇ica y de certificados, seg鷑 se establece en el Esquema Nacional de Interoperabilidad.

2. La pol韙ica de firma electr髇ica y de certificados concretar� los procesos de generaci髇, validaci髇 y conservaci髇 de firmas electr髇icas, as� como las caracter韘ticas y requisitos exigibles a los sistemas de firma electr髇ica, los certificados, los servicios de sellado de tiempo, y otros elementos de soporte de las firmas, sin perjuicio de lo previsto en el Anexo II, que deber� adaptarse a cada circunstancia.

Art韈ulo 34 Auditor韆 de la seguridad

1. Los sistemas de informaci髇 a los que se refiere el presente real decreto ser醤 objeto de una auditor韆 regular ordinaria, al menos cada dos a駉s, que verifique el cumplimiento de los requerimientos del presente Esquema Nacional de Seguridad.

Con car醕ter extraordinario, deber� realizarse dicha auditor韆 siempre que se produzcan modificaciones sustanciales en el sistema de informaci髇, que puedan repercutir en las medidas de seguridad requeridas. La realizaci髇 de la auditoria extraordinaria determinar� la fecha de c髆puto para el c醠culo de los dos a駉s, establecidos para la realizaci髇 de la siguiente auditor韆 regular ordinaria, indicados en el p醨rafo anterior.

2. Esta auditor韆 se realizar� en funci髇 de la categor韆 del sistema, determinada seg鷑 lo dispuesto en el anexo I y de acuerdo con lo previsto en el anexo III.

3. En el marco de lo dispuesto en el art韈ulo 39, de la ley 11/2007, de 22 de junio, la auditor韆 profundizar� en los detalles del sistema hasta el nivel que considere que proporciona evidencia suficiente y relevante, dentro del alcance establecido para la auditor韆.

4. En la realizaci髇 de esta auditor韆 se utilizar醤 los criterios, m閠odos de trabajo y de conducta generalmente reconocidos, as� como la normalizaci髇 nacional e internacional aplicables a este tipo de auditor韆s de sistemas de informaci髇.

5. El informe de auditor韆 deber� dictaminar sobre el grado de cumplimiento del presente real decreto, identificar sus deficiencias y sugerir las posibles medidas correctoras o complementarias necesarias, as� como las recomendaciones que se consideren oportunas. Deber�, igualmente, incluir los criterios metodol骻icos de auditor韆 utilizados, el alcance y el objetivo de la auditor韆, y los datos, hechos y observaciones en que se basen las conclusiones formuladas.

6. Los informes de auditor韆 ser醤 presentados al responsable del sistema y al responsable de seguridad competentes. Estos informes ser醤 analizados por este 鷏timo que presentar� sus conclusiones al responsable del sistema para que adopte las medidas correctoras adecuadas.

7. En el caso de los sistemas de categor韆 ALTA, visto el dictamen de auditor韆, el responsable del sistema podr� acordar la retirada de operaci髇 de alguna informaci髇, de alg鷑 servicio o del sistema en su totalidad, durante el tiempo que estime prudente y hasta la satisfacci髇 de las modificaciones prescritas.

8. Los informes de auditor韆 podr醤 ser requeridos por los responsables de cada organizaci髇 con competencias sobre seguridad de las tecnolog韆s de la informaci髇.

Art韈ulo 35 Informe del estado de la seguridad

El Comit� Sectorial de Administraci髇 Electr髇ica recoger� la informaci髇 relacionada con el estado de las principales variables de la seguridad en los sistemas de informaci髇 a los que se refiere el presente Real Decreto, de forma que permita elaborar un perfil general del estado de la seguridad en las Administraciones p鷅licas.

El Centro Criptol骻ico Nacional articular� los procedimientos necesarios para la recogida y consolidaci髇 de la informaci髇, as� como los aspectos metodol骻icos para su tratamiento y explotaci髇, a trav閟 de los correspondientes grupos de trabajo que se constituyan al efecto en el Comit� Sectorial de Administraci髇 Electr髇ica y en la Comisi髇 de Estrategia TIC para la Administraci髇 General del Estado.

LE0000561661_20151105 Art韈ulo 35 modificado conforme establece el apartado ocho del art韈ulo 鷑ico del R.D. 951/2015, de 23 de octubre, de modificaci髇 del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el 醡bito de la Administraci髇 Electr髇ica (獴.O.E.� 4 noviembre).Vigencia: 5 noviembre 2015

Art韈ulo 36 Capacidad de respuesta a incidentes de seguridad de la informaci髇

El Centro Criptol骻ico Nacional (CCN) articular� la respuesta a los incidentes de seguridad en torno a la estructura denominada CCN-CERT (Centro Criptol骻ico Nacional-Computer Emergency Reaction Team), que actuar� sin perjuicio de las capacidades de respuesta a incidentes de seguridad que pueda tener cada administraci髇 p鷅lica y de la funci髇 de coordinaci髇 a nivel nacional e internacional del CCN.

Las Administraciones P鷅licas notificar醤 al Centro Criptol骻ico Nacional aquellos incidentes que tengan un impacto significativo en la seguridad de la informaci髇 manejada y de los servicios prestados en relaci髇 con la categorizaci髇 de sistemas recogida en el Anexo I del presente real decreto.LE0000561661_20151105 P醨rafo segundo del art韈ulo 36 introducido por el apartado nueve del art韈ulo 鷑ico del R.D. 951/2015, de 23 de octubre, de modificaci髇 del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el 醡bito de la Administraci髇 Electr髇ica (獴.O.E.� 4 noviembre).Vigencia: 5 noviembre 2015

Art韈ulo 37 Prestaci髇 de servicios de respuesta a incidentes de seguridad a las Administraciones p鷅licas

1. De acuerdo con lo previsto en el art韈ulo 36, el CCN-CERT prestar� a las Administraciones p鷅licas los siguientes servicios:

• a) Soporte y coordinaci髇 para el tratamiento de vulnerabilidades y la resoluci髇 de incidentes de seguridad que tengan la Administraci髇 General del Estado, las Administraciones de las comunidades aut髇omas, las entidades que integran la Administraci髇 Local y las Entidades de Derecho p鷅lico con personalidad jur韉ica propia vinculadas o dependientes de cualquiera de las administraciones indicadas.

  El CCN-CERT, a trav閟 de su servicio de apoyo t閏nico y de coordinaci髇, actuar� con la m醲ima celeridad ante cualquier agresi髇 recibida en los sistemas de informaci髇 de las Administraciones p鷅licas.

  Para el cumplimiento de los fines indicados en los p醨rafos anteriores se podr醤 recabar informes de auditor韆 de los sistemas afectados, registros de auditor韆, configuraciones y cualquier otra informaci髇 que se considere relevante, as� como los soportes inform醫icos que se estimen necesarios para la investigaci髇 del incidente de los sistemas afectados, sin perjuicio de lo dispuesto en la Ley Org醤ica 15/1999, de 13 de diciembre, de Protecci髇 de Datos de car醕ter personal, y su normativa de desarrollo, as� como de la posible confidencialidad de datos de car醕ter institucional u organizativo.

  LE0000561661_20151105 Letra a) del n鷐ero 1 del art韈ulo 37 redactada por el apartado diez del art韈ulo 鷑ico del R.D. 951/2015, de 23 de octubre, de modificaci髇 del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el 醡bito de la Administraci髇 Electr髇ica (獴.O.E.� 4 noviembre).Vigencia: 5 noviembre 2015
• b) Investigaci髇 y divulgaci髇 de las mejores pr醕ticas sobre seguridad de la informaci髇 entre todos los miembros de las Administraciones p鷅licas. Con esta finalidad, las series de documentos CCN-STIC (Centro Criptol骻ico Nacional-Seguridad de las Tecnolog韆s de Informaci髇 y Comunicaciones), elaboradas por el Centro Criptol骻ico Nacional, ofrecer醤 normas, instrucciones, gu韆s y recomendaciones para aplicar el Esquema Nacional de Seguridad y para garantizar la seguridad de los sistemas de tecnolog韆s de la informaci髇 en la Administraci髇.
• c) Formaci髇 destinada al personal de la Administraci髇 especialista en el campo de la seguridad de las tecnolog韆s de la informaci髇, al objeto de facilitar la actualizaci髇 de conocimientos del personal de la Administraci髇 y de lograr la sensibilizaci髇 y mejora de sus capacidades para la detecci髇 y gesti髇 de incidentes.
• d) Informaci髇 sobre vulnerabilidades, alertas y avisos de nuevas amenazas a los sistemas de informaci髇, recopiladas de diversas fuentes de reconocido prestigio, incluidas las propias.

2. El CCN desarrollar� un programa que ofrezca la informaci髇, formaci髇, recomendaciones y herramientas necesarias para que las Administraciones p鷅licas puedan desarrollar sus propias capacidades de respuesta a incidentes de seguridad, y en el que, aqu閘, ser� coordinador a nivel p鷅lico estatal.

Art韈ulo 38 Sedes y registros electr髇icos

La seguridad de las sedes y registros electr髇icos, as� como la del acceso electr髇ico de los ciudadanos a los servicios p鷅licos, se regir醤 por lo establecido en el Esquema Nacional de Seguridad.

Art韈ulo 39 Ciclo de vida de servicios y sistemas

Las especificaciones de seguridad se incluir醤 en el ciclo de vida de los servicios y sistemas, acompa馻das de los correspondientes procedimientos de control.

Art韈ulo 40 Mecanismos de control

Cada 髍gano de la Administraci髇 p鷅lica o Entidad de Derecho P鷅lico establecer� sus mecanismos de control para garantizar de forma real y efectiva el cumplimiento del Esquema Nacional de Seguridad.

Art韈ulo 41 Publicaci髇 de conformidad

Los 髍ganos y Entidades de Derecho P鷅lico dar醤 publicidad en las correspondientes sedes electr髇icas a las declaraciones de conformidad, y a los distintivos de seguridad de los que sean acreedores, obtenidos respecto al cumplimiento del Esquema Nacional de Seguridad.

Art韈ulo 42 Actualizaci髇 permanente

El Esquema Nacional de Seguridad se deber� mantener actualizado de manera permanente. Se desarrollar� y perfeccionar� a lo largo del tiempo, en paralelo al progreso de los servicios de Administraci髇 electr髇ica, de la evoluci髇 tecnol骻ica y nuevos est醤dares internacionales sobre seguridad y auditor韆 en los sistemas y tecnolog韆s de la informaci髇 y a medida que vayan consolid醤dose las infraestructuras que le apoyan.

Art韈ulo 43 Categor韆s

1. La categor韆 de un sistema de informaci髇, en materia de seguridad, modular� el equilibrio entre la importancia de la informaci髇 que maneja, los servicios que presta y el esfuerzo de seguridad requerido, en funci髇 de los riesgos a los que est� expuesto, bajo el criterio del principio de proporcionalidad.

2. La determinaci髇 de la categor韆 indicada en el apartado anterior se efectuar� en funci髇 de la valoraci髇 del impacto que tendr韆 un incidente que afectara a la seguridad de la informaci髇 o de los servicios con perjuicio para la disponibilidad, autenticidad, integridad, confidencialidad o trazabilidad, como dimensiones de seguridad, siguiendo el procedimiento establecido en el Anexo I.

3. La valoraci髇 de las consecuencias de un impacto negativo sobre la seguridad de la informaci髇 y de los servicios se efectuar� atendiendo a su repercusi髇 en la capacidad de la organizaci髇 para el logro de sus objetivos, la protecci髇 de sus activos, el cumplimiento de sus obligaciones de servicio, el respeto de la legalidad y los derechos de los ciudadanos.

Art韈ulo 44 Facultades

1. La facultad para efectuar las valoraciones a las que se refiere el art韈ulo 43, as� como la modificaci髇 posterior, en su caso, corresponder�, dentro del 醡bito de su actividad, al responsable de cada informaci髇 o servicio.

2. La facultad para determinar la categor韆 del sistema corresponder� al responsable del mismo.

Disposici髇 adicional primera Formaci髇

El personal de las Administraciones p鷅licas recibir�, de acuerdo con lo previsto en la disposici髇 adicional segunda de la Ley 11/2007, de 22 de junio, la formaci髇 necesaria para garantizar el conocimiento del presente Esquema Nacional de Seguridad, a cuyo fin los 髍ganos responsables dispondr醤 lo necesario para que la formaci髇 sea una realidad efectiva.

Disposici髇 adicional segunda Comit� de Seguridad de la Informaci髇 de las Administraciones P鷅licas

El Comit� de Seguridad de la Informaci髇 de las Administraciones P鷅licas, dependiente del Comit� Sectorial de Administraci髇 electr髇ica, contar� con un representante de cada una de las entidades presentes en dicho Comit� Sectorial. Tendr� funciones de cooperaci髇 en materias comunes relacionadas con la adecuaci髇 e implantaci髇 de lo previsto en el Esquema Nacional de Seguridad y en las normas, instrucciones, gu韆s y recomendaciones dictadas para su aplicaci髇.

LE0000561661_20151105 Disposici髇 adicional segunda renumerada por el apartado once del art韈ulo 鷑ico del R.D. 951/2015, de 23 de octubre, de modificaci髇 del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el 醡bito de la Administraci髇 Electr髇ica (獴.O.E.� 4 noviembre). Su contenido literal se corresponde con el de la anterior disposici髇 adicional tercera, al haberse suprimido la anterior disposici髇 adicional segunda.Vigencia: 5 noviembre 2015

Disposici髇 adicional tercera Modificaci髇 del Reglamento de desarrollo de la Ley Org醤ica 15/1999, de Protecci髇 de Datos de Car醕ter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre

Se modifica la letra b) del apartado 5 del art韈ulo 81 del Reglamento de desarrollo de la Ley Org醤ica 15/1999, de 13 de diciembre, de Protecci髇 de Datos de Car醕ter Personal aprobado por Real Decreto 1720/2007, de 21 de diciembre, que pasa a tener la siguiente redacci髇:

LE0000561661_20151105 Disposici髇 adicional tercera renumerada por el apartado once del art韈ulo 鷑ico del R.D. 951/2015, de 23 de octubre, de modificaci髇 del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el 醡bito de la Administraci髇 Electr髇ica (獴.O.E.� 4 noviembre). Su contenido literal se corresponde con el de la anterior disposici髇 adicional cuarta.Vigencia: 5 noviembre 2015

Disposici髇 adicional cuarta Desarrollo del Esquema Nacional de Seguridad

1. Sin perjuicio de las propuestas que pueda acordar el Comit� Sectorial de Administraci髇 Electr髇ica seg鷑 lo establecido en el art韈ulo 29, apartado 2, se desarrollar醤 las siguientes instrucciones t閏nicas de seguridad que ser醤 de obligado cumplimiento por parte de las Administraciones p鷅licas:

• a) Informe del estado de la seguridad.
• b) Notificaci髇 de incidentes de seguridad.
• c) Auditor韆 de la seguridad.
• d) Conformidad con el Esquema Nacional de Seguridad.
• e) Adquisici髇 de productos de seguridad.
• f) Criptolog韆 de empleo en el Esquema Nacional de Seguridad.
• g) Interconexi髇 en el Esquema Nacional de Seguridad.
• h) Requisitos de seguridad en entornos externalizados.

2. La aprobaci髇 de estas instrucciones se realizar� de acuerdo con el procedimiento establecido en el citado art韈ulo 29 apartados 2 y 3.

LE0000561661_20151105 Disposici髇 adicional cuarta introducida, en su actual redacci髇, por el apartado doce del art韈ulo 鷑ico del R.D. 951/2015, de 23 de octubre, de modificaci髇 del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el 醡bito de la Administraci髇 Electr髇ica (獴.O.E.� 4 noviembre).Vigencia: 5 noviembre 2015

Disposici髇 transitoria Adecuaci髇 de sistemas

1. Los sistemas existentes a la entrada en vigor del presente real decreto se adecuar醤 al Esquema Nacional de Seguridad de forma que permitan el cumplimiento de lo establecido en la disposici髇 final tercera de la Ley 11/2007, de 22 de junio. Los nuevos sistemas aplicar醤 lo establecido en el presente real decreto desde su concepci髇.

2. Si a los doce meses de la entrada en vigor del Esquema Nacional de Seguridad hubiera circunstancias que impidan la plena aplicaci髇 de lo exigido en el mismo, se dispondr� de un plan de adecuaci髇 que marque los plazos de ejecuci髇 los cuales, en ning鷑 caso, ser醤 superiores a 48 meses desde la entrada en vigor.

El plan indicado en el p醨rafo anterior ser� elaborado con la antelaci髇 suficiente y aprobado por los 髍ganos superiores competentes.

3. Mientras no se haya aprobado una pol韙ica de seguridad por el 髍gano superior competente ser醤 de aplicaci髇 las pol韙icas de seguridad que puedan existir a nivel de 髍gano directivo.

Disposici髇 derogatoria 鷑ica

Quedan derogadas las disposiciones de igual o inferior rango que se opongan a lo dispuesto en el presente reglamento.

Disposici髇 final primera T韙ulo habilitante

El presente real decreto se dicta en virtud de lo establecido en el art韈ulo 149.1.18.� de la Constituci髇, que atribuye al Estado la competencia sobre las bases del r間imen jur韉ico de las Administraciones p鷅licas.

Disposici髇 final segunda Desarrollo normativo

Se autoriza al titular del Ministerio de la Presidencia, para dictar las disposiciones necesarias para la aplicaci髇 y desarrollo de lo establecido en el presente real decreto, sin perjuicio de las competencias de las comunidades aut髇omas de desarrollo y ejecuci髇 de la legislaci髇 b醩ica del Estado.

Disposici髇 final tercera Entrada en vigor

El presente real decreto entrar� en vigor el d韆 siguiente al de su publicaci髇 en el 獴olet韓 Oficial del Estado�.