Ley 15/2017, de 25 de julio, de la Agencia de Ciberseguridad de Cataluña

• Expandir / Contraer índice sistemático
• Preámbulo
• CAPÍTULO I. Disposiciones generales
  • Artículo 1 Creación, naturaleza jurídica y régimen jurídico
  • Artículo 2 Objeto y funciones
• CAPÍTULO II. Estructura orgánica
  • Artículo 3 Órganos de gobierno
  • Artículo 4 El Consejo de Administración
  • Artículo 5 La Dirección
  • Artículo 6 Estatutos
• CAPÍTULO III. Régimen económico y financiero, de contratación, de personal y de control
  • Artículo 7 Régimen económico y financiero
  • Artículo 8 Régimen de contratación
  • Artículo 9 Régimen de personal
  • Artículo 10 Régimen de control
• CAPÍTULO IV. Relación con el departamento de adscripción
  • Artículo 11 Contrato programa
• DISPOSICIONES ADICIONALES
  • Primera Adscripción a la Agencia de los bienes de dominio público
  • Segunda Cesión a la Agencia de los activos materiales, del personal y del presupuesto y subrogación en los contratos y convenios
• DISPOSICIONES TRANSITORIAS
  • Disposición transitoria Ejercicio de las funciones de la Fundación Centro de Seguridad de la Información de Cataluña hasta la constitución de la Agencia
• DISPOSICIONES FINALES
  • Primera Modificación de la Ley 29/2010, del uso de los medios electrónicos en el sector público de Cataluña
  • Segunda Constitución de la Agencia
  • Tercera Disolución de la Fundación Centro de Seguridad de la Información de Cataluña
  • Cuarta Autorizaciones
  • Quinta Entrada en vigor

Artículo 1 Creación, naturaleza jurídica y régimen jurídico

1. Se crea la Agencia de Ciberseguridad de Cataluña, como entidad de derecho público de la Administración de la Generalidad, con personalidad jurídica propia, que ajusta su actividad al ordenamiento jurídico privado, con plena capacidad de obrar para el cumplimiento de sus fines y con plena autonomía orgánica y funcional, adscrita al departamento competente en materia de ciberseguridad y sociedad digital.

2. La Agencia de Ciberseguridad de Cataluña se rige por la presente ley y por sus estatutos, por el Estatuto de la empresa pública catalana y por las demás leyes y disposiciones que le son de aplicación.

3. La actividad de la Agencia de Ciberseguridad de Cataluña se ajusta, con carácter general, en sus relaciones externas, a las normas de derecho civil, mercantil y laboral que le son de aplicación, salvo los actos que implican el ejercicio de potestades públicas, que se someten al derecho administrativo. La Agencia, en sus relaciones con el departamento al que se adscribe, se somete al derecho administrativo.

4. Las funciones que la presente ley atribuye a la Agencia de Ciberseguridad de Cataluña tienen la consideración de esenciales y son básicas para garantizar el correcto funcionamiento de la Administración de la Generalidad y su sector público.

LE0000715872_20250703Número 4 del artículo 1 introducido por el número 1 del artículo 57 de la Ley 2/2021, 29 diciembre, de medidas fiscales, financieras, administrativas y del sector público («D.O.G.C.» 31 diciembre).Vigencia: 1 enero 2022

Artículo 2 Objeto y funciones

1. La Agencia de Ciberseguridad de Cataluña tiene por objeto garantizar la ciberseguridad en el territorio de Cataluña, entendida como la seguridad de las redes de comunicaciones electrónicas y de los sistemas de información.

Téngase en cuenta que la Sentencia TC (Sala Pleno) 20 diciembre 2018 Núm. rec.: 5284/2017, declara inconstitucionales y nulos el apartado 1; el inciso "con relación a las personas físicas o jurídicas situadas en Cataluña" del apartado 3; el inciso "Planificar, gestionar, coordinar y supervisar la ciberseguridad en Cataluña, estableciendo la capacidad preventiva y reactiva necesaria para paliar los efectos de los incidentes de ciberseguridad que afecten al territorio de Cataluña, así como las pruebas que puedan organizarse en materia de ciberseguridad y continuidad" de la letra b) del apartado 4, todos ellos del presente artículo 2.JU0006262273

2. La Agencia de Ciberseguridad de Cataluña tiene por objetivo la ejecución de las políticas públicas en materia de ciberseguridad, y en particular:

• a) Asesorar al Gobierno y prestarle apoyo en la elaboración de los planes de ciberseguridad que debe aprobar y en la consecución de los objetivos establecidos en estos planes.
• b) Ejecutar los planes de ciberseguridad que en cada momento estén vigentes.
• c) Coordinarse con otros organismos en todo lo que se considere necesario para la consecución de los objetivos especificados en los planes de ciberseguridad.
• d) Organizar las actividades de difusión, formación y concienciación en materia de ciberseguridad adecuadas a los diferentes colectivos destinatarios, poniendo especial énfasis en los que presentan situaciones de vulnerabilidad y facilitando las herramientas y los programas adecuados.
• e) Impulsar un clima de confianza y seguridad que contribuya al desarrollo de la economía y la sociedad digital en Cataluña.

Téngase en cuenta que la Sentencia TC (Sala Pleno) 20 diciembre 2018 Núm. rec.: 5284/2017 declara que el presente art. 2.2 no es contrario a la Constitución interpretado en los términos del fundamento jurídico 7.b.i) de la citada Sentencia.JU0006262273

3. La Agencia de Ciberseguridad de Cataluña, en la ejecución de los objetivos a que se refiere el apartado 2, puede ejercer sus funciones con relación a las personas físicas o jurídicas situadas en Cataluña y establecer la colaboración necesaria con los prestadores de servicios de la sociedad de la información y de comunicaciones electrónicas que actúen o tengan infraestructura en Cataluña.

Téngase en cuenta que la Sentencia TC (Sala Pleno) 20 diciembre 2018 Núm. rec.: 5284/2017, declara inconstitucionales y nulos el apartado 1; el inciso "con relación a las personas físicas o jurídicas situadas en Cataluña" del apartado 3; el inciso "Planificar, gestionar, coordinar y supervisar la ciberseguridad en Cataluña, estableciendo la capacidad preventiva y reactiva necesaria para paliar los efectos de los incidentes de ciberseguridad que afecten al territorio de Cataluña, así como las pruebas que puedan organizarse en materia de ciberseguridad y continuidad" de la letra b) del apartado 4, todos ellos del presente artículo 2.JU0006262273

4. Las funciones de la Agencia de Ciberseguridad de Cataluña son las siguientes:

• a) Prevenir y detectar incidentes de ciberseguridad en Cataluña y responder a ellos, desplegando las medidas de protección pertinentes ante las ciberamenazas y los riesgos inherentes sobre las infraestructuras tecnológicas, los sistemas de información, los servicios de las tecnologías de la información y la comunicación, y la información que estos tratan.
• b) Planificar, gestionar, coordinar y supervisar la ciberseguridad en Cataluña, estableciendo la capacidad preventiva y reactiva necesaria para paliar los efectos de los incidentes de ciberseguridad que afecten al territorio de Cataluña, así como las pruebas que puedan organizarse en materia de ciberseguridad y continuidad. En el ámbito de la Administración de la Generalidad y su sector público, la Agencia debe ejercer estas funciones mediante la prestación de sus servicios, coordinando las actuaciones que requieran su apoyo con el Centro de Telecomunicaciones y Tecnologías de la Información.
  Téngase en cuenta que la Sentencia TC (Sala Pleno) 20 diciembre 2018 Núm. rec.: 5284/2017, declara inconstitucionales y nulos el apartado 1; el inciso "con relación a las personas físicas o jurídicas situadas en Cataluña" del apartado 3; el inciso "Planificar, gestionar, coordinar y supervisar la ciberseguridad en Cataluña, estableciendo la capacidad preventiva y reactiva necesaria para paliar los efectos de los incidentes de ciberseguridad que afecten al territorio de Cataluña, así como las pruebas que puedan organizarse en materia de ciberseguridad y continuidad" de la letra b) del apartado 4, todos ellos del presente artículo 2.JU0006262273
• c) Ejercer las funciones de equipo de respuesta a emergencias (CERT) competente en Cataluña que establece la legislación vigente, en particular la normativa de servicios de la sociedad de la información, incluyendo la relación con otros organismos de ciberseguridad nacionales e internacionales, y la coordinación de los equipos de respuesta a incidentes de ciberseguridad (CSIRT) y equipos de respuesta a emergencias o entidades equivalentes que actúen en su ámbito territorial. Asimismo, debe ejercer estas funciones como equipo de respuesta a emergencias del Gobierno.
• d) Minimizar los daños y el tiempo de recuperación en caso de ciberataque.
• e) Actuar como apoyo, en materia de ciberseguridad, de cualquier autoridad competente para el ejercicio de sus funciones públicas y, en particular, en las tareas de lucha contra las conductas ilícitas, incluidas la intervención directa y la obtención de pruebas electrónicas. En la investigación y represión de ilícitos penales, la Agencia debe colaborar con los cuerpos policiales y las autoridades judiciales de acuerdo con lo establecido por la normativa vigente, previo requerimiento, actuando de forma coordinada, y preservando y poniendo a su disposición los elementos relevantes para la investigación y los que puedan constituir una prueba.
• f) Investigar y analizar tecnológicamente los ciberincidentes y ciberataques sobre infraestructuras tecnológicas, sistemas de información, servicios de tecnologías de la información y la comunicación o la propia información en los que la Agencia intervenga por razón de su competencia.
• g) Recoger los datos pertinentes de las entidades que gestionan servicios públicos o esenciales en Cataluña para conocer el estado de la seguridad de la información, informar al Gobierno y proponer las medidas adecuadas llevando a cabo la gestión de riesgos en materia de ciberseguridad.
• h) Apoyar a los responsables de la continuidad de los servicios e infraestructuras de las tecnologías de la información y la comunicación de la Generalidad y de las demás administraciones públicas que lo requieran.
• i) Auditar y certificar el cumplimiento de los requisitos que establece la normativa vigente respecto de los sistemas de información incluidos en el ámbito de actuación de la Agencia.
  LE0001006048_20260714Letra i) del número 4 del artículo 2 introducida por el artículo 56 de la Ley 11/2026, 9 julio, de medidas fiscales, financieras, administrativas y del sector público («D.O.G.C.» 13 julio).Vigencia: 14 julio 2026

5. Son funciones de la Agencia de Ciberseguridad de Cataluña, en el ámbito del Gobierno y de la Administración de la Generalidad y su sector público dependiente, las siguientes:

• a) Impulsar y aprobar un marco de directrices y normas técnicas de seguridad de cumplimiento obligatorio para la Administración de la Generalidad y para los organismos y entidades vinculados o dependientes, para garantizar una protección eficaz, en particular ante el cibercrimen y los ciberataques. En el marco de las directrices y normas técnicas para la protección de los sistemas de información policiales, la Agencia debe coordinarse con el departamento competente en materia de policía y seguridad pública.
• b) Informar preceptivamente en los procedimientos de elaboración de disposiciones normativas tramitadas por la Administración de la Generalidad en materia de ciberseguridad y gobernanza de las tecnologías de la información y la comunicación.
• c) Prestar los servicios materiales y técnicos de ciberseguridad necesarios al Gobierno y a la Administración de la Generalidad y a los organismos y entidades vinculados o dependientes.
• d) Garantizar la ciberseguridad en la prestación de los servicios de identificación electrónica y de identidad y confianza digitales por parte de los prestadores establecidos en Cataluña o que, en otro caso, ofrezcan servicios a la Administración de la Generalidad y a los organismos y entidades vinculados o dependientes.

6. La Agencia de Ciberseguridad de Cataluña debe colaborar con los organismos judiciales y policiales de acuerdo con lo establecido por la normativa vigente. En el ejercicio de sus funciones, la Agencia debe coordinarse con los cuerpos policiales y de seguridad pública, sin perjuicio de las funciones propias del departamento competente en esta materia. En especial, la Agencia debe coordinarse con los cuerpos policiales para la ciberseguridad y protección de los sistemas de información policiales, de acuerdo con las competencias que dichos cuerpos tienen reconocidas en esta materia.

7. La Agencia de Ciberseguridad de Cataluña debe establecer líneas de colaboración en el ámbito de la ciberseguridad con los entes locales de Cataluña.

8. La Agencia de Ciberseguridad de Cataluña puede ejercer sus funciones con relación al Parlamento, las instituciones que establece el capítulo V del título II del Estatuto de autonomía de Cataluña y los organismos independientes de la Generalitat en los términos que acuerden.

LE0000993343_20260714Número 8 del artículo 2 introducido por el número 2 del artículo 16 del D ley 3/2026, 24 marzo, de medidas urgentes en materia fiscal, de simplificación y agilización en la gestión, en el ámbito del urbanismo y la vivienda, en el ámbito de personal y otras medidas urgentes en prórroga presupuestaria («D.O.G.C.» 25 marzo).Vigencia: 26 marzo 2026

Artículo 3 Órganos de gobierno

Los órganos de gobierno de la Agencia de Ciberseguridad de Cataluña son el Consejo de Administración y la Dirección.

Artículo 4 El Consejo de Administración

El Consejo de Administración de la Agencia de Ciberseguridad de Cataluña está integrado por diez miembros designados por el Gobierno.

LE0000993343_20260714Artículo 4 redactado por el número 1 del artículo 16 del D ley 3/2026, 24 marzo, de medidas urgentes en materia fiscal, de simplificación y agilización en la gestión, en el ámbito del urbanismo y la vivienda, en el ámbito de personal y otras medidas urgentes en prórroga presupuestaria («D.O.G.C.» 25 marzo).Vigencia: 26 marzo 2026

Artículo 5 La Dirección

1. El director de la Agencia de Ciberseguridad de Cataluña es designado libremente por el Gobierno, una vez oído el Consejo de Administración, que tiene las potestades correspondientes para su contratación y separación, si procede.

2. El director de la Agencia de Ciberseguridad de Cataluña, entre el momento de la designación y el de la contratación efectiva, debe comparecer ante la comisión del Parlamento de Cataluña competente en materia de ciberseguridad.

Artículo 6 Estatutos

Corresponde al Gobierno aprobar, mediante decreto, los estatutos de la Agencia de Ciberseguridad de Cataluña, los cuales deben determinar y regular las funciones de los órganos de gobierno, el funcionamiento del Consejo de Administración y la estructura orgánica interna y el régimen de funcionamiento de la Agencia.

Véase D [CATALUÑA] 223/2019, 29 octubre, por el que se aprueban los Estatutos de la Agencia de Ciberseguridad de Cataluña, los bienes y activos que se adscriben a la Agencia, así como los derechos y obligaciones en los que la Agencia se subroga («D.O.G.C.» 30 octubre).LE0000653077_20260130

Artículo 7 Régimen económico y financiero

1. La Agencia de Ciberseguridad de Cataluña goza de la autonomía financiera establecida por la normativa de las finanzas de la Generalidad.

2. Constituyen el patrimonio de la Agencia de Ciberseguridad de Cataluña los bienes y derechos que le son adscritos y los bienes y derechos propios de cualquier naturaleza que adquiera por cualquier título.

3. Los recursos de la Agencia de Ciberseguridad de Cataluña están integrados por:

• a) Los bienes y valores que constituyan su patrimonio y los productos y rentas de este.
• b) Los ingresos obtenidos por la realización de actividades y la prestación de servicios en el ejercicio de las competencias y funciones establecidas por la presente ley y el desarrollo reglamentario en materia de ciberseguridad.
• c) Las transferencias que, si procede, efectúe el departamento al que está adscrita con cargo a los presupuestos de la Generalidad.

4. El presupuesto de la Agencia de Ciberseguridad de Cataluña es anual y único, y debe sujetarse al régimen presupuestario establecido por el texto refundido de la Ley del Estatuto de la empresa pública catalana, aprobado por el Decreto legislativo 2/2002, de 24 de diciembre.

5. La Agencia de Ciberseguridad de Cataluña debe ordenar su contabilidad de conformidad con el régimen establecido por la normativa de las finanzas públicas de la Generalidad, atendiendo a la forma jurídica de la Agencia. Asimismo, el régimen contable de aplicación debe someterse a las instrucciones y la normativa de desarrollo que dicte la Intervención de la Generalidad, de acuerdo con el artículo 75 del texto refundido de la Ley de finanzas públicas de Cataluña, aprobado por el Decreto legislativo 3/2002, de 24 de diciembre.

Artículo 8 Régimen de contratación

1. La contratación de la Agencia de Ciberseguridad de Cataluña se rige por la normativa vigente en materia de contratos de las administraciones públicas. A los efectos de lo dispuesto por el artículo 24.6 del texto refundido de la Ley de contratos del sector público, aprobado por el Real decreto legislativo 3/2011, de 14 de noviembre, la Agencia tiene la condición de medio propio y servicio técnico de las instituciones y los departamentos en que se estructura la Administración de la Generalidad, y de los organismos y entidades que dependen de ella y que tengan la condición de poder adjudicador. Pueden encomendar a la Agencia la prestación de los servicios de ciberseguridad, si procede, de acuerdo con el régimen previsto en los documentos de encargo, que como mínimo debe incluir el alcance del encargo, la previsión de los costes y el sistema de financiación.

2. El órgano de contratación de la Agencia de Ciberseguridad de Cataluña es la Dirección.

Artículo 9 Régimen de personal

1. El personal de la Agencia de Ciberseguridad de Cataluña se rige por el derecho laboral, sin perjuicio de la adscripción de personal funcionario para el ejercicio de potestades administrativas. En el ejercicio de las potestades administrativas que correspondan a las funciones de inspección y control que cumpla la Agencia, el personal funcionario tiene la consideración de autoridad pública, en particular respecto a las funciones establecidas por las letras e y f del artículo 2.4.

2. El personal de la Agencia de Ciberseguridad de Cataluña está sujeto a la normativa del personal laboral de la Generalidad.

Artículo 10 Régimen de control

1. El control financiero de la Agencia de Ciberseguridad de Cataluña, que tiene por objeto comprobar su funcionamiento económico-financiero, se efectúa por el procedimiento de auditoría, de acuerdo con lo establecido por el artículo 71 del texto refundido de la Ley de finanzas públicas de Cataluña.

2. La Agencia de Ciberseguridad de Cataluña aprueba anualmente una memoria de actividades, que debe entregar al Gobierno y al Parlamento y que el director de la Agencia debe presentar ante la comisión del Parlamento competente en materia de ciberseguridad o, si procede, ante la Comisión de Materias Secretas y Reservadas.

3. La Sindicatura de Cuentas, el Síndic de Greuges, la Agencia de Protección de Datos de Cataluña y la Oficina Antifraude de Cataluña, cada una dentro del ámbito de sus competencias, deben elaborar anualmente una memoria sobre la actividad de la Agencia de Ciberseguridad de Cataluña, que deben entregar al Gobierno y al Parlamento como máximo un mes después de la entrega de la memoria anual elaborada por la propia Agencia.

Artículo 11 Contrato programa

La Agencia de Ciberseguridad de Cataluña y la Administración de la Generalidad, mediante el departamento al que está adscrita la Agencia, deben establecer un contrato programa plurianual que debe incluir, como mínimo, la definición de los objetivos, la previsión de los resultados en la gestión y los instrumentos de seguimiento, control y evaluación a los que debe someterse la actividad de la Agencia durante la vigencia del contrato, así como la política de gestión de los recursos humanos de la Agencia necesarios para la consecución de los objetivos establecidos en el contrato, sin perjuicio de la competencia de los órganos de gobierno de la Agencia para determinar las líneas generales de gestión de sus recursos humanos.

Primera Adscripción a la Agencia de los bienes de dominio público

1. Se adscriben a la Agencia de Ciberseguridad de Cataluña los bienes de la Administración de la Generalidad y de las entidades de su sector público afectados a las funciones que ejerce la Agencia. Los bienes de dominio público conservan esta naturaleza y las exenciones fiscales y económicas que tengan reconocidas. El decreto de aprobación de los estatutos de la Agencia debe concretar los bienes objeto de adscripción y el procedimiento con el que debe formalizarse, que necesariamente debe reflejar su valoración económica.

2. La Agencia de Ciberseguridad de Cataluña se subroga en los derechos y obligaciones de contenido económico de la Administración de la Generalidad y de las entidades de su sector público afectos a las funciones que ejerce la Agencia, lo cual debe concretarse en el decreto de aprobación de los estatutos.

Segunda Cesión a la Agencia de los activos materiales, del personal y del presupuesto y subrogación en los contratos y convenios

1. La Fundación Centro de Seguridad de la Información de Cataluña cede a la Agencia de Ciberseguridad de Cataluña, para el cumplimiento de sus funciones, todos los activos materiales, el personal y los recursos presupuestarios asignados a la Fundación. Para ejecutar esta cesión, la Fundación debe realizar los trámites internos necesarios desde la aprobación de la presente ley y la Generalidad debe realizar las modificaciones administrativas y presupuestarias necesarias.

2. La Agencia de Ciberseguridad de Cataluña se subroga en los contratos y convenios suscritos por la Fundación Centro de Seguridad de la Información de Cataluña.

3. La Agencia de Ciberseguridad de Cataluña se subroga en la posición jurídica de la Administración de la Generalidad y de las entidades de su sector público en cuanto a los derechos y obligaciones que le corresponden en el ámbito de las funciones que la Agencia asume, lo cual debe concretarse en el decreto de aprobación de los estatutos.

Disposición transitoria Ejercicio de las funciones de la Fundación Centro de Seguridad de la Información de Cataluña hasta la constitución de la Agencia

1. La Fundación Centro de Seguridad de la Información de Cataluña (Cesicat) debe continuar ejerciendo sus funciones a través de los medios técnicos y personales y de los activos propios hasta que se constituya efectivamente la Agencia de Ciberseguridad de Cataluña y se complete la puesta en marcha.

2. El personal laboral que, en la fecha de constitución de la Agencia de Ciberseguridad de Cataluña, esté prestando servicios en la Fundación Centro de Seguridad de la Información de Cataluña se integra en la Agencia por el mecanismo de sucesión de empresa, de acuerdo con lo establecido por la normativa laboral correspondiente.

Primera Modificación de la Ley 29/2010, del uso de los medios electrónicos en el sector público de Cataluña

1. Se añade una letra, la e, al artículo 6.2 de la Ley 29/2010, de 3 de agosto, del uso de los medios electrónicos en el sector público de Cataluña, con el siguiente texto:

LE0000424343_20200313

2. Se añade una letra, la g, al artículo 6.3 de la Ley 29/2010, con el siguiente texto:

LE0000424343_20200313

3. Se añade un apartado, el 5, al artículo 7 de la Ley 29/2010, con el siguiente texto:

LE0000424343_20200313

Segunda Constitución de la Agencia

En el plazo de un año a contar de la entrada en vigor de la presente ley, la Agencia de Ciberseguridad de Cataluña debe constituirse, el Gobierno debe aprobar sus estatutos y las normas necesarias para su desarrollo, y deben adscribirse a la Agencia los bienes de dominio público.

Tercera Disolución de la Fundación Centro de Seguridad de la Información de Cataluña

La Fundación Centro de Seguridad de la Información de Cataluña (Cesicat) debe iniciar el procedimiento de disolución en el momento de la constitución de la Agencia de Ciberseguridad de Cataluña, y esta debe aceptar los bienes, derechos y obligaciones que le ceda la Fundación.

Cuarta Autorizaciones

1. Se autoriza al Gobierno para que realice las modificaciones presupuestarias y patrimoniales necesarias para traspasar a la Agencia de Ciberseguridad de Cataluña los recursos a que se refieren las disposiciones adicionales primera y segunda.

2. Se autoriza a los representantes de la Administración de la Generalidad en los órganos de gobierno de la Fundación Centro de Seguridad de la Información de Cataluña para que realicen todos los actos necesarios para su disolución y liquidación.

Quinta Entrada en vigor

La presente ley entra en vigor al día siguiente de su publicación en el Diari Oficial de la Generalitat de Catalunya.