Anúnciate en Noticias Jurídicas Newsletter Colabora con nosotros

TIENDA LA LEY

LA LEY. Librería Jurídica Online Profesional

TIENDA LIBROS FORMACIÓN BASES DE DATOS REVISTAS SOFTWARE DE GESTIÓN OBRAS ACTUALIZABLES

Base de Datos de Legislaci髇

Decreto 79/2021, de 30 de septiembre, por el que se aprueba la Pol韙ica Integral de Seguridad de la Informaci髇 y la Organizaci髇 competencial para la Protecci髇 de Datos Personales de la Administraci髇 de la Comunidad Aut髇oma de Cantabria

Ficha:
  • 觬ganoCONSEJO DE GOBIERNO
  • Publicado en BOC n鷐. 193 de 06 de Octubre de 2021
  • Vigencia desde 07 de Octubre de 2021
Versiones/revisiones:

Sumario

La Administraci髇 de la Comunidad Aut髇oma de Cantabria, desde hace tiempo ha sido consciente de la importancia de las tecnolog韆s inform醫icas y de su utilidad para mejorar los servicios que se prestan a la ciudadan韆. Tambi閚 de la importancia de la seguridad de la informaci髇 y de la necesidad de establecer un marco legal para regularla y garantizarla.

Las indudables ventajas que conlleva la generalizada presencia de las herramientas y servicios inform醫icos ha supuesto afrontar importantes desaf韔s para que su utilizaci髇 sea compatible con los derechos y deberes de la ciudadan韆 en los pa韘es democr醫icos.

Entre estos desaf韔s ha cobrado en los 鷏timos a駉s una excepcional importancia la seguridad de las infraestructuras tecnol骻icas y de la informaci髇 que se almacena o se trata con ellas. Existen grupos de delincuentes y otras organizaciones criminales que practican el tr醘ico de informaci髇, el espionaje masivo o dirigido y que en ocasiones realizan sabotajes que afectan a los sistemas de informaci髇 de organizaciones p鷅licas o privadas.

La Ley 11/2007, de 22 de junio, de acceso electr髇ico de los ciudadanos a los Servicios P鷅licos, supuso el reconocimiento del derecho de los ciudadanos a relacionarse con las Administraciones P鷅licas por medios electr髇icos, regulando los aspectos b醩icos de la utilizaci髇 de las tecnolog韆s de la informaci髇 en la actividad administrativa, en las relaciones entre las Administraciones P鷅licas, as como en las relaciones de los ciudadanos con las mismas con la finalidad de garantizar sus derechos, un tratamiento com鷑 ante ellas y la validez y eficacia de la actividad administrativa en condiciones de seguridad jur韉ica. Posteriormente, con la entrada en vigor de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Com鷑 de las Administraciones P鷅licas y de la Ley 40/2015, de 1 de octubre, de R間imen Jur韉ico del Sector P鷅lico, se produce un impulso definitivo a la implantaci髇 generalizada en todo el sector p鷅lico administrativo del expediente 韓tegramente electr髇ico y de las relaciones telem醫icas entre las Administraciones P鷅licas y de estas con la ciudadan韆.

Entre los fines de actual legislaci髇, se se馻la la necesidad de crear unas condiciones de confianza en el uso de los medios electr髇icos, estableciendo las medidas necesarias para la preservaci髇 de la integridad y los derechos fundamentales, y en especial, los relacionados con la intimidad y la protecci髇 de datos de car醕ter personal.

El Esquema Nacional de Seguridad aprobado por el Real Decreto 3/2010, de 8 de enero, tiene como meta precisamente atender a esa necesidad, para permitir a los ciudadanos y a las Administraciones P鷅licas el ejercicio de derechos y el cumplimiento de deberes a trav閟 de estos medios. As, se busca garantizar la calidad de la informaci髇 y la adecuada prestaci髇 de los servicios sin interrupciones, mediante una estrategia de gesti髇 de la seguridad de la informaci髇 que combine medidas preventivas y de supervisi髇 de la actividad diaria, con procedimientos espec韋icos de respuesta ante los incidentes que pudieran presentarse y con la capacidad de adaptaci髇 a los cambios en las condiciones del entorno.

Esta gesti髇 de la seguridad de la informaci髇 debe entenderse como un proceso integral, constituido por todos los elementos t閏nicos, humanos, materiales y organizativos, relacionados con los sistemas de informaci髇, descart醤dose cualquier actuaci髇 puntual o tratamiento coyuntural. Esta gesti髇 implica directamente tanto al personal especialista en tecnolog韆, como a los gestores con capacidad de decisi髇 sobre la informaci髇 o los servicios prestados, as como al resto de personas que usan o acceden de alg鷑 modo a los sistemas de informaci髇. Por ello se debe prestar la m醲ima atenci髇 a la concienciaci髇 de las personas que intervienen en el proceso y a sus responsables jer醨quicos, para que, ni la ignorancia, ni la falta de organizaci髇 y coordinaci髇, ni instrucciones inadecuadas, sean fuentes de riesgo para la seguridad.

El Esquema Nacional de Seguridad establece la obligaci髇 para las administraciones p鷅licas de poner en marcha un conjunto de medidas de seguridad concretas, de tipo organizativo, operacional y de protecci髇.

Entre las medidas de tipo organizativo incluye la obligaci髇 de formalizar una Pol韙ica de Seguridad de la Informaci髇 para la organizaci髇, en la que se definen, entre otros aspectos, la estructura para la gesti髇 de la seguridad de la informaci髇 y la asignaci髇 de funciones y roles.

El 26 de mayo de 2015, entr en vigor el Decreto 31/2015, de 14 de mayo, por el que se aprueba la Pol韙ica de Seguridad de la Informaci髇 de la Administraci髇 de la Comunidad Aut髇oma de Cantabria, en el cual se procede a regular todos estos aspectos por primera vez en el 醡bito de nuestra Administraci髇.

Posteriormente, el 7 de diciembre de 2018 entr en vigor la Ley Org醤ica 3/2018, de 5 de diciembre, de Protecci髇 de Datos Personales y garant韆 de los derechos digitales que desarrolla en el 醡bito de nuestro pa韘 el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protecci髇 de las personas f韘icas en lo que respecta al tratamiento de datos personales y a la libre circulaci髇 de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protecci髇 de datos).

Por ello, es necesario regular en el 醡bito de nuestra Administraci髇 la organizaci髇 competencial para la Protecci髇 de Datos Personales y dentro de ello, resulta imprescindible determinar las condiciones jur韉icas que configure el estatuto jur韉ico funcional del puesto de trabajo singularizado del Delegado de Protecci髇 de Datos, que ostenta por imperativo normativo europeo de unas especiales condiciones legales de garant韆s legales para su desempe駉, adem醩 de desarrollar una funci髇 de supervisi髇 en la gesti髇 de la protecci髇 de datos por parte de cualquier 髍gano incluidos los directivos y tambi閚 todas las unidades administrativas, finalmente se detallan tambi閚 el resto de las funciones que el ordenamiento b醩ico atribuye al mismo. Asimismo, se establecen las bases de los puestos de trabajo que pueden resultar necesarios en nuestra organizaci髇 interna para el adecuado cumplimiento del referido RGP y de la LOPD, en concreto, la incorporaci髇 de los puestos singularizados de los "delegados adjuntos" bajo la supervisi髇 funcional del Delegado de Protecci髇 de Datos.

Finalmente, se ha procedido a la modificaci髇 al mismo tiempo ciertos aspectos de la vigente Pol韙ica Integral de Seguridad de la Informaci髇 de la Administraci髇 de la Comunidad Aut髇oma de Cantabria, con la finalidad de mejorar la implementaci髇 y gesti髇 de esta 醨ea, tanto en las cuestiones organizativas como en el de dise駉 de puestos de trabajo de responsables sectoriales de seguridad, delimitando sus tareas y funciones con relaci髇 a la nueva organizaci髇.

Esta nueva Pol韙ica Integral de Seguridad contribuir a garantizar el ejercicio del derecho al autogobierno reconocido a la Comunidad Aut髇oma de Cantabria, que es la misi髇 de la organizaci髇, cumpliendo con el Estatuto de Autonom韆 de Cantabria y el resto de normativa que le afecta, que constituye el marco legal en el que desarrolla sus actividades, en unas condiciones de seguridad y confianza adecuadas.

En su virtud, a propuesta de la Consejera de Presidencia, Interior, Justicia y Acci髇 Exterior, y previa deliberaci髇 del Consejo de Gobierno, en su reuni髇 del d韆 30 de septiembre de 2021,

DISPONGO

T蚑ULO I
Disposiciones generales

Art韈ulo 1 Objeto y 醡bito de aplicaci髇

1. El presente Decreto tiene por objeto establecer el marco com鷑, las directrices b醩icas y el r間imen organizativo para la gesti髇 integral de la Seguridad de la Informaci髇 y la organizaci髇 competencial para la Protecci髇 de Datos Personales, garantizando el cumplimiento de la normativa vigente en ambas materias, contribuyendo as a la misi髇 de la organizaci髇: ejercer el derecho al autogobierno reconocido constitucionalmente a la Comunidad Aut髇oma de Cantabria.

2. La Seguridad de la Informaci髇 tendr como finalidad garantizar de forma integral una adecuada salvaguarda de cualquier tipo de informaci髇 de valor utilizada por la Administraci髇, incluidos los tratamientos de datos personales de los que sean responsables 髍ganos directivos, organismos p鷅licos y entidades de derecho p鷅lico vinculadas o dependientes de la Administraci髇 de la Comunidad Aut髇oma de Cantabria en el ejercicio de sus competencias, as como de los servicios que se presten en base a esa informaci髇.

3. El presente Decreto tambi閚 es de aplicaci髇 en el 醡bito de la prestaci髇 de medios materiales y personales a la Administraci髇 de Justicia en Cantabria para el cumplimiento del Esquema Judicial de Interoperabilidad y Seguridad (EJIS), en todos aquellos aspectos en que sean coincidentes con el Esquema Nacional de Seguridad (ENS), pudi閚dose complementar con normas de Seguridad de la Informaci髇 o procedimientos de Seguridad de la Informaci髇 que recojan aspectos del EJIS o de la Pol韙ica de Seguridad de la Informaci髇 de la Administraci髇 de Justicia, no contemplados por la presente Pol韙ica o por el Esquema Nacional de Seguridad.

4. Las previsiones de este Decreto ser醤 de aplicaci髇 a la Administraci髇 de la Comunidad Aut髇oma de Cantabria, comprendiendo 閟ta, a estos efectos, a la Administraci髇 General y los organismos p鷅licos y entidades de derecho p鷅lico vinculadas o dependientes, cuando en el ejercicio de sus competencias:

  • a) Utilicen sistemas de informaci髇 implantados en las infraestructuras tecnol骻icas de la Administraci髇 de la Comunidad Aut髇oma de Cantabria.
  • b) Utilicen servicios tecnol骻icos en la nube.
  • c) Traten informaci髇, en particular datos personales.
  • d) Realicen contratos, convenios o encomiendas con terceros cuyo objeto incluya el tratamiento de informaci髇 o la prestaci髇 de un servicio empleando sistemas de informaci髇.

5. Quedan excluidos del 醡bito de aplicaci髇 del presente Decreto, el Sistema sanitario p鷅lico de Cantabria y el sector p鷅lico empresarial y fundacional.

6. Adem醩 de las exclusiones previstas en el apartado anterior, con relaci髇 a la protecci髇 de datos personales y su r間imen competencial y organizativo de gesti髇, quedan tambi閚 excluidos del 醡bito de aplicaci髇 de este Decreto:

  • a) Los Centros docentes gestionados por la Consejer韆 competente en materia de Educaci髇.
  • b) La Administraci髇 de Justicia en Cantabria, en todas sus actuaciones con fines jurisdiccionales o vinculadas directamente a los mismas, que estar醤 sometidas al marco legal y organizativo que en esta materia establezca el Consejo General del Poder Judicial.

T蚑ULO II
Seguridad de la Informaci髇

CAP蚑ULO I
Objetivos, directrices b醩icas y principios

Art韈ulo 2 Objetivos y directrices b醩icas de la Seguridad de la Informaci髇

1. Los objetivos de la Seguridad de la Informaci髇 son los siguientes:

  • a) La protecci髇 de la informaci髇 frente a accesos y modificaciones no autorizadas.
  • b) La protecci髇 de la informaci髇 y de los servicios frente a fallos en la disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad.
  • c) El adecuado tratamiento de los incidentes de seguridad.
  • d) El cumplimiento de requisitos legales.

2. Las directrices b醩icas de la Seguridad de la Informaci髇 son las siguientes:

  • a) Gesti髇 formal y racionalizada de la Seguridad de la Informaci髇.
  • b) Responsabilidades determinadas de todos los 髍ganos y personas implicadas en la Seguridad de la Informaci髇.
  • c) Adecuada coordinaci髇 y/o colaboraci髇 en la implementaci髇 de otras normas en materia de seguridad, aunque no est閚 relacionadas directamente con la Seguridad de la Informaci髇, que puedan existir en el 醡bito de la Administraci髇 de la Comunidad Aut髇oma de Cantabria.

Art韈ulo 3 Principios de la Pol韙ica de Seguridad de la Informaci髇

La Seguridad de la Informaci髇 se regir por los siguientes principios b醩icos:

  • a) Seguridad integral.
  • b) Gesti髇 de riesgos.
  • c) Prevenci髇, reacci髇 y recuperaci髇.
  • d) L韓eas de defensa.
  • e) Reevaluaci髇 peri骴ica.
  • f) Funci髇 diferenciada.

Tambi閚 se regir por estos principios b醩icos el Sistema de Gesti髇 de la Seguridad de la Informaci髇 (SGSI), entendiendo por tal el sistema de gesti髇 que, basado en el estudio de los riesgos, se establece para crear, implementar, hacer funcionar, supervisar, revisar, mantener y mejorar la Seguridad de la Informaci髇. El sistema de gesti髇 incluye la estructura organizativa, las pol韙icas, las actividades de planificaci髇, las responsabilidades, las pr醕ticas, los procedimientos, los procesos y los recursos.

CAP蚑ULO II
Estructura organizativa y asignaci髇 de funciones de la Seguridad de la Informaci髇

Art韈ulo 4 Estructura organizativa

La estructura organizativa de la Seguridad de la Informaci髇 ser la siguiente:

  • 1. Nivel de coordinaci髇 y gesti髇 global:
    • a) Comisi髇 General de Seguridad de la Informaci髇.
    • b) Responsable de Seguridad de la Informaci髇 de la Administraci髇 de la Comunidad Aut髇oma de Cantabria.
    • c) Comit T閏nico de Ciberseguridad.
    • d) 觬gano directivo con rango de Direcci髇 General con competencias en materia de inform醫ica.

    Al cual le corresponder proponer a la Comisi髇 General de Seguridad de la Informaci髇 la estrategia de Seguridad de Seguridad de la Informaci髇 a aprobar, as como las dem醩 funciones que se recojan en este Decreto.

  • 2. Nivel de coordinaci髇 y gesti髇 sectorial:
    • a) Comisiones y Comit閟 Sectoriales de Seguridad de la Informaci髇.
    • b) Responsables Sectoriales de Seguridad de la Informaci髇.
    • c) Coordinadores Sectoriales de Seguridad de la Informaci髇.
  • 3. Nivel de implementaci髇 de las medidas de seguridad:
    • a) Responsables de la Informaci髇 y Responsables del Servicio.
    • b) Gestores Responsables de Seguridad de la Informaci髇.
    • c) Responsables de los Sistemas de Informaci髇.
    • d) Administradores de Ciberseguridad de los Sistemas de Informaci髇.
    • e) Responsables del Tratamiento.
    • f) Encargados del Tratamiento.

Art韈ulo 5 Creaci髇, composici髇 y r間imen de funcionamiento de la Comisi髇 General de Seguridad de la Informaci髇

1. Adscrita a la Consejer韆 con competencias en materia inform醫ica estar la Comisi髇 General de Seguridad de la Informaci髇, como 髍gano colegiado que establecer la estrategia de seguridad de la informaci髇 en el 醡bito de aplicaci髇 de la presente pol韙ica. La cual estar constituida por los siguientes miembros:

  • a) Presidente: La persona titular de la Consejer韆 con competencias en materia de inform醫ica.
  • b) Secretario: La persona que tenga asignada la funci髇 de Responsable de Seguridad de la Informaci髇 de la Administraci髇 de la Comunidad Aut髇oma de Cantabria, y como miembro de la Comisi髇, tendr as mismo derecho a voto.
  • c) Vocales: Las personas titulares de las Secretar韆s Generales de cada Consejer韆, la persona titular del 髍gano directivo con rango de Direcci髇 General con competencias en materia de inform醫ica, as como la persona que tenga asignada la funci髇 de Responsable de Seguridad de la Informaci髇 de la Administraci髇 de la Comunidad Aut髇oma de Cantabria.

2. El presidente podr convocar, con voz, pero sin voto, a otras personas con conocimientos y experiencia en los temas a tratar.

3. El Delegado de Protecci髇 de Datos de la Administraci髇 de la Comunidad Aut髇oma de Cantabria participar con voz, pero sin voto, en las reuniones de la Comisi髇 General de Seguridad de la Informaci髇 cuando en el mismo vayan a abordarse cuestiones relacionadas con la protecci髇 de datos personales, para lo que ser convocado formalmente.

4. La Comisi髇 se reunir a propuesta de su presidente o en cualquier momento a propuesta de un tercio de los vocales que la integran.

5. Esta Comisi髇 se regir por el presente Decreto, y por las normas sobre los 髍ganos colegiados de secci髇 5 del Cap韙ulo II del T韙ulo II de la Ley de Cantabria 5/2018, de 22 de noviembre, de R間imen Jur韉ico del Gobierno, de la Administraci髇 y del Sector P鷅lico Institucional de la Comunidad Aut髇oma de Cantabria y, en lo que resulte de aplicaci髇 conforme las previsiones del Cap韙ulo II de la Ley 40/2015, de 1 de octubre, de R間imen Jur韉ico del Sector P鷅lico.

Art韈ulo 6 Funciones de la Comisi髇 General de Seguridad de la Informaci髇

A la Comisi髇 General de Seguridad de la Informaci髇 le corresponden las siguientes funciones en el 醡bito de aplicaci髇 de la presente pol韙ica:

  • a) Asegurar el compromiso de la Administraci髇 de la Comunidad Aut髇oma de Cantabria con una efectiva gesti髇 de la Seguridad de la Informaci髇 y su mejora continua.
  • b) Conocer el estado de la Seguridad de la Informaci髇 en la Administraci髇 de la Comunidad de Cantabria.
  • c) Supervisar la gesti髇 de riesgos.
  • d) Aprobar la estrategia de Seguridad de la Informaci髇, propuesta por el 髍gano directivo con rango de Direcci髇 General con competencias en materia de inform醫ica y supervisar su cumplimiento.
  • e) Proponer cambios o actualizaciones en la Pol韙ica de Seguridad de la Informaci髇, incluidos los datos personales, en posesi髇 de la Comunidad Aut髇oma de Cantabria en el ejercicio de sus competencias, as como de los servicios que se presten en base a esa informaci髇, as como en su normativa de desarrollo.
  • f) Coordinar esfuerzos e iniciativas relacionadas con la Seguridad de la Informaci髇 de las diferentes Consejer韆s y organismos p鷅licos y entidades de derecho p鷅lico vinculadas o dependientes.
  • g) Resolver conflictos de funciones.
  • h) Informar al Consejo de Gobierno sobre el estado de la Seguridad de la Informaci髇, los incidentes relevantes y la estrategia en la materia.
  • i) Y las dem醩 funciones que se recojan en este Decreto.

Art韈ulo 7 Responsable de Seguridad de la Informaci髇 de la Administraci髇 de la Comunidad Aut髇oma de Cantabria

1. El Responsable de Seguridad de la Informaci髇 de la Administraci髇 de la Comunidad Aut髇oma de Cantabria se corresponde con la persona que ocupe el puesto de trabajo adscrito al 髍gano directivo con rango de Direcci髇 General con competencias en materia de inform醫ica que tenga atribuida la funci髇 de Responsable de Seguridad de la Informaci髇.

2. El Responsable de Seguridad de la Informaci髇 de la Administraci髇 de la Comunidad Aut髇oma de Cantabria determinar las decisiones para satisfacer los requisitos de seguridad de la informaci髇 y los servicios. La responsabilidad sobre la seguridad de los sistemas de informaci髇 estar diferenciada de la responsabilidad en la prestaci髇 de los servicios.

Art韈ulo 8 Funciones de los Responsables de Seguridad de la Informaci髇

1. Al Responsable de Seguridad de la Informaci髇 de la Administraci髇 de la Comunidad Aut髇oma de Cantabria le corresponden las siguientes funciones:

  • a) Coordinar el Sistema de Gesti髇 de la Seguridad de la Informaci髇 en su conjunto e impulsar su continuo y efectivo funcionamiento.
  • b) Redactar propuestas de normativa de Seguridad de la Informaci髇.
  • c) Dise馻r procedimientos de gesti髇 en la materia, as como redactar manuales, est醤dares y gu韆s de referencia.
  • d) Informar preceptivamente sobre la validez t閏nica, en materia de seguridad de la informaci髇, de los proyectos de nuevas normas que afecten a la Seguridad de la Informaci髇 y la Protecci髇 de Datos Personales, as como su adecuaci髇 al sistema de gesti髇 de la seguridad de la informaci髇 de la Administraci髇 de la Comunidad Aut髇oma de Cantabria.
  • e) Establecer las pautas metodol骻icas y criterios comunes para la realizaci髇 de categorizaciones de sistemas de informaci髇, selecci髇 de medidas de seguridad y declaraciones de aplicabilidad, evaluaciones de impacto, an醠isis de riesgos, procesos de gesti髇 del riesgo y planes de continuidad.
  • f) Supervisar, y coordinar en su caso, los proyectos de adecuaci髇 al Esquema Nacional de Seguridad y a otras disposiciones legales en materia de Seguridad de la Informaci髇, incluida la seguridad de la protecci髇 de datos personales, para garantizar la coherencia del Sistema de Gesti髇 de la Seguridad de la Informaci髇 en la Administraci髇 de la Comunidad Aut髇oma de Cantabria.
  • g) Ejercer de interlocutor con otras organizaciones en materia de Seguridad de la Informaci髇, salvo en lo que corresponda al Delegado de Protecci髇 de Datos de la Administraci髇 de la Comunidad Aut髇oma de Cantabria.
  • h) Coordinaci髇 y apoyo para el cumplimiento de las obligaciones en materia de protecci髇 de datos personales.
  • i) Realizar, coordinar y/o supervisar, seg鷑 proceda en cada caso, las acciones formativas en materia de Seguridad de la Informaci髇.
  • j) Asesorar en materia de Seguridad de la Informaci髇.
  • k) Coordinar a los Responsables Sectoriales de Seguridad de la Informaci髇.
  • l) Colaborar con el Delegado de Protecci髇 de Datos de la Administraci髇 de la Comunidad Aut髇oma de Cantabria y sus Delegados adjuntos, para procurar una coherente gesti髇 de Seguridad de la Informaci髇 de manera integral.
  • m) Y las dem醩 funciones que se recojan en este Decreto.

2. Al Responsable de Seguridad de la Informaci髇 de la Administraci髇 de la Comunidad Aut髇oma de Cantabria, as como a los Responsables Sectoriales de Seguridad de la Informaci髇, cada uno en su 醡bito de actuaci髇, les corresponden:

  • a) Procurar el mantenimiento de la Seguridad de la Informaci髇 tratada y de los servicios prestados, de acuerdo a lo establecido en la Pol韙ica de Seguridad de la Informaci髇 y la legislaci髇 vigente en la materia.
  • b) Promover una adecuada gesti髇 de la Seguridad de la Informaci髇 y la efectiva implantaci髇 de las medidas de seguridad que correspondan.
  • c) Dise馻r y proponer acciones para la mejora de la Seguridad de la Informaci髇.
  • d) Impulsar y coordinar la creaci髇 de planes de continuidad.
  • e) Promover la formaci髇 y concienciaci髇 en materia de Seguridad de la Informaci髇.
  • f) Realizar an醠isis de riesgos, evaluaciones de impacto, selecci髇 de medidas de seguridad y declaraciones de aplicabilidad.
  • g) Coordinar los procesos de gesti髇 del riesgo o asesorar sobre ellos.
  • h) Asesorar en la realizaci髇 de categorizaciones de sistemas de informaci髇.
  • i) Coordinar los incidentes de Seguridad de la Informaci髇 que desborden los casos previstos y regulados mediante procedimientos de Seguridad de la Informaci髇.
  • j) Asesorar en materia de Seguridad de la Informaci髇, en particular sobre medidas de seguridad, normativa, metodolog韆s de gesti髇 y evoluci髇 tecnol骻ica.
  • k) Elaborar informes sobre el estado de la Seguridad de la Informaci髇.
  • l) Promover auditor韆s peri骴icas y velar por que se realicen las que la normativa vigente fije como obligatorias.
  • m) Gestionar y mantener el Sistema de Gesti髇 de Seguridad de la Informaci髇 en su 醡bito de actuaci髇, procurando la consistencia de los procesos que se dise馿n, las actuaciones que se realicen, la documentaci髇 generada y los cat醠ogos de activos relevantes para la seguridad de informaci髇, incluidos los aspectos t閏nicos de los registros de actividades de tratamientos. As como procurar su progresiva mejora.
  • n) Supervisar a los Coordinadores Sectoriales de Seguridad de la Informaci髇 existentes en su 醡bito de actuaci髇.
  • o) Colaborar con los 髍ganos colegiados y aquellos funcionarios que desempe馿n puestos de trabajo que formen parte de la gesti髇 de Seguridad de la Informaci髇 de la Administraci髇 de la Comunidad de Cantabria. Y en particular, con el Delegado de Protecci髇 de Datos y sus adjuntos.
  • p) Aquellas funciones que asigne la legislaci髇 b醩ica en materia de Seguridad de la Informaci髇.
  • q) Y las dem醩 funciones que se recojan en este Decreto.

Art韈ulo 9 Medios materiales y recursos humanos del Responsable de Seguridad de la Informaci髇 de la Administraci髇 de la Comunidad Aut髇oma de Cantabria

1. El desarrollo de las funciones asignadas al Responsable de Seguridad de la Informaci髇 de la Comunidad Aut髇oma de Cantabria, corresponder al funcionario que desempe馿 el puesto de Jefe Servicio de Seguridad de la Informaci髇. Este puesto, as como los Responsables Sectoriales de Seguridad de la Informaci髇 estar醤 adscritos al 髍gano directivo, con rango Direcci髇 General, con competencias en materia inform醫ica y comunicaciones de esta Administraci髇.

2. A la unidad administrativa Servicio de Seguridad de la Informaci髇 se le asignar醤 los recursos necesarios para posibilitar el adecuado cumplimiento de sus funciones en el 醡bito de actuaci髇 asignado, dot醤dole del personal de apoyo administrativo y personal experto que resulte necesario para el adecuado desarrollo de sus funciones. Los puestos de trabajo ser醤 incorporados a la correspondiente relaci髇 de puestos de trabajo de la Consejer韆 que tenga atribuidas las competencias en materia inform醫ica. Asimismo, tambi閚 podr acudirse a contrataciones de prestaci髇 de servicios externos cuando sea necesario.

Art韈ulo 10 Creaci髇, composici髇 y r間imen de funcionamiento del Comit T閏nico de Ciberseguridad

1. Adscrito al 髍gano directivo con rango de Direcci髇 General con competencias en materia inform醫ica estar el Comit T閏nico de Ciberseguridad, como 髍gano colegiado para coordinar actuaciones destinadas al cumplimiento de los requisitos t閏nicos y operativos de la normativa de Seguridad de la Informaci髇 y Protecci髇 de Datos Personales, y de la estrategia de seguridad de la informaci髇 aprobada por la Comisi髇 General de Seguridad de la Informaci髇, en relaci髇 a los sistemas de informaci髇 y servicios tecnol骻icos dependientes del citado 髍gano directivo. El cual estar constituido por los siguientes miembros:

  • a) Presidente: La persona titular del 髍gano directivo con rango de Direcci髇 General con competencias en materia de inform醫ica.
  • b) Secretario: La persona que tenga asignada la funci髇 de Responsable de Seguridad de la Informaci髇 de la Administraci髇 de la Comunidad Aut髇oma de Cantabria, que, como miembro del comit, tendr as mismo derecho a voto.
  • c) Vocales: Las personas titulares de las jefaturas de las unidades Centro de Proceso de Datos, Servicio de Inform醫ica y Centro de Tecnolog韆s INET, la persona titular de la Subdirecci髇 General de Inform醫ica, as como la persona que tenga asignada la funci髇 de Responsable de Seguridad de la Informaci髇 de la Administraci髇 de la Comunidad Aut髇oma de Cantabria.

2. El presidente podr convocar, con voz, pero sin voto, a otras personas especializadas en los temas a tratar.

3. El Comit se reunir con car醕ter ordinario una vez al a駉 y con car醕ter extraordinario a propuesta de su presidente o de un tercio de los vocales que la integran.

4. El 髍gano directivo con rango de Direcci髇 General con competencias en materia de inform醫ica podr designar, mediante resoluci髇, a nuevos vocales que formen parte del Comit T閏nico de Ciberseguridad, entre el personal de dicho 髍gano directivo.

5. Este Comit se regir por el presente Decreto, por las normas sobre los 髍ganos colegiados de secci髇 5 del Cap韙ulo II del T韙ulo II de la Ley de Cantabria 5/2018, de 22 de noviembre, de R間imen Jur韉ico del Gobierno, de la Administraci髇 y del Sector P鷅lico Institucional de la Comunidad Aut髇oma de Cantabria y, en lo que resulte de aplicaci髇 conforme las previsiones del Cap韙ulo II de la Ley 40/2015, de 1 de octubre, de R間imen Jur韉ico del Sector P鷅lico.

Art韈ulo 11 Funciones del Comit T閏nico de Ciberseguridad

Al Comit T閏nico de Ciberseguridad, respecto a los sistemas de informaci髇 gestionados por el 髍gano directivo con rango de Direcci髇 General con competencias en materia de inform醫ica, le corresponden las siguientes funciones:

  • a) Conocer el estado global de la Seguridad de la Informaci髇, as como emitir informes, relativos a:
    • 1. El grado de cumplimiento efectivo de las normas de Seguridad de la Informaci髇 y procedimientos de Seguridad de la Informaci髇.
    • 2. El grado de implantaci髇 de las medidas de seguridad en los sistemas de informaci髇.
    • 3. La respuesta a los incidentes de seguridad acontecidos.
    • 4. Las necesidades de formaci髇 del personal inform醫ico.
    • 5. Las necesidades normativas y procedimentales.
    • 6. Las necesidades de medios materiales o personales.
  • b) Adoptar medidas de coordinaci髇 de actividades que afecten a varias unidades y, en particular, en lo relativo a planes de mejora o adecuaci髇 en materia de Seguridad de la Informaci髇.
  • c) Velar por la correcta gesti髇 de los incidentes de seguridad, especialmente cuando vinculen a personal de varias unidades.
  • d) Velar por que la Seguridad de la Informaci髇 se tenga en cuenta en todos los proyectos de tecnolog韆s de la informaci髇 y las telecomunicaciones, as como durante el ciclo de vida completo de los sistemas de informaci髇.
  • e) Promover la creaci髇 y utilizaci髇 de soluciones horizontales que reduzcan duplicidades y contribuyan al funcionamiento homog閚eos de todos los sistemas de informaci髇.
  • f) Y las dem醩 funciones que se recojan en este Decreto.

Art韈ulo 12 Creaci髇, composici髇 y r間imen de funcionamiento de las estructuras sectoriales de gesti髇 de Seguridad de la Informaci髇

1. Por orden del Consejero/a con competencias en materia de inform醫ica, a petici髇 de un 髍gano directivo, organismo o entidad de derecho p鷅lico vinculada o dependiente, pueden crearse estructuras sectoriales de gesti髇 de la Seguridad de la Informaci髇, que podr醤 incluir 髍ganos colegiados de Seguridad de la Informaci髇, Responsables Sectoriales de Seguridad de la Informaci髇, y Coordinadores Sectoriales de Seguridad de la Informaci髇.

2. El 醡bito de actuaci髇 de esta estructura corresponder a una Consejer韆, organismo p鷅lico o entidad de derecho p鷅lico vinculada o dependiente o bien a un sector de la Administraci髇 de la Comunidad Aut髇oma de Cantabria que se determine.

3. Estas estructuras sectoriales deber醤 coordinar sus actuaciones con el conjunto de la estructura de Gesti髇 de la Seguridad de la Informaci髇 y, en particular, con el Responsable de Seguridad de la Informaci髇 de la Administraci髇 de la Comunidad Aut髇oma de Cantabria.

4. Las Comisiones y Comit閟 Sectoriales de Seguridad de la Informaci髇 podr醤 designar uno o varios Coordinadores Sectoriales de Seguridad de la Informaci髇 para los 髍ganos directivos u organismos p鷅licos y entidades de derecho p鷅lico vinculadas o dependientes que est閚 en su 醡bito de actuaci髇. Sus funciones se asignar醤 a puestos de coordinadores, jefes de servicio o subdirectores o puestos de trabajo con funciones de coordinaci髇.

Art韈ulo 13 Funciones de las Comisiones o Comit閟 Sectoriales

1. En su 醡bito de actuaci髇, las funciones ser醤:

  • a) Asegurar el compromiso con una efectiva gesti髇 de la Seguridad de la Informaci髇 y su mejora continua.
  • b) Conocer el estado de la Seguridad de la Informaci髇.
  • c) Supervisar la gesti髇 de riesgos.
  • d) Aprobar la estrategia de Seguridad de la Informaci髇.
  • e) Elevar a la Comisi髇 General de Seguridad de la Informaci髇 propuestas de mejora de la gesti髇 de la Seguridad de la Informaci髇, incluyendo propuestas en el 醡bito normativo.
  • f) Aquellas otras funciones que se establezcan en la normativa de creaci髇 de cada estructura sectorial.

2. Adem醩, podr醤 establecerse funciones adicionales a las Comisiones o Comit閟, mediante Orden del Consejero/a con competencias en materia de inform醫ica.

Art韈ulo 14 Responsables Sectoriales de Seguridad de la Informaci髇

1. Los Responsables Sectoriales de Seguridad de la Informaci髇 se corresponden con las personas que ocupen puestos, existentes o de nueva creaci髇, que tengan asignada la funci髇 de Responsable Sectorial de Seguridad de la Informaci髇 para el 醡bito de una Consejer韆, organismo p鷅lico o entidad de derecho p鷅lico vinculada o dependiente o sector de la Administraci髇 de la Comunidad Aut髇oma que se determine.

2. En particular, se deber醤 nombrar Responsables Sectoriales de Seguridad de la Informaci髇 para los servicios prestados a la Administraci髇 de Justicia en Cantabria, la Consejer韆 con competencia en materia de servicios sociales y para los Centros Educativos de Cantabria. Sin perjuicio de que puedan nombrar otros Responsables Sectoriales de Seguridad para otros 醡bitos que as lo requieran.

3. Les corresponder醤 las funciones que se recojan en el art韈ulo 8.2 y en el resto de este Decreto.

Art韈ulo 15 Funciones de los Coordinadores Sectoriales de Seguridad de la Informaci髇

1. Para los 髍ganos directivos, organismos p鷅licos y entidades de derecho p鷅lico vinculadas o dependientes para los que se haya determinado su 醡bito actuaci髇, las funciones de los Coordinadores Sectoriales de Seguridad de la Informaci髇 son:

  • a) Coordinar y/o supervisar actuaciones en materia de Seguridad de la Informaci髇, en particular la revisi髇 de accesos vigentes y registros de actividad, la elaboraci髇 de cat醠ogos de activos y servicios, planes de continuidad y pruebas de verificaci髇, as como la realizaci髇 de auditor韆s o consultor韆s.
  • b) Promover la formaci髇, informaci髇 y concienciaci髇 del personal en su 醡bito sectorial.
  • c) Ser el interlocutor en la materia, para su 醡bito de actuaci髇, con el resto de participantes en la gesti髇 de la Seguridad de la Informaci髇, coordin醤dose debidamente con los Responsables de Seguridad.
  • d) Realizar, coordinar o supervisar las tareas que le sean asignadas en la orden de creaci髇 de la estructura de Seguridad de la Informaci髇 sectorial de la que forma parte.
  • e) Coordinar y/o supervisar actuaciones aprobadas por el 髍gano colegiado de la Informaci髇 al que est vinculado y realizar aquellas otras que le sean asignadas por ese 髍gano.
  • f) Supervisi髇 del cumplimiento de las obligaciones en materia de protecci髇 de datos personales, en todos los aspectos ligados a la Seguridad de la Informaci髇, con las siguientes funciones para sus respectivos 醡bitos de actuaci髇:
    • 1. Colaborar con el Delegado de Protecci髇 de Datos o Delegados adjuntos que corresponda en la supervisi髇 de los tratamientos de datos personales.
    • 2. Estar a disposici髇 de los Responsables del Tratamiento para coordinar actuaciones relacionadas con tratamientos de datos personales no automatizados y realizar las tareas de supervisi髇 o seguimiento que correspondan.
    • 3. Colaborar con los Responsables del Tratamiento en las obligaciones derivadas en materia de protecci髇 de datos personales relacionadas con seguridad de la informaci髇. En particular en la realizaci髇 de los Registros de Actividad del Tratamiento.

2. Sus actividades estar醤 coordinadas y supervisadas con el Responsable de Seguridad de la Informaci髇 que corresponda a su 醡bito de actuaci髇.

3. Para el desempe駉 de sus funciones estar醤 apoyadas por otro personal del 髍gano u 髍ganos directivos correspondientes a su 醡bito de actuaci髇, experto o con capacidad de decisi髇 en las materias afectadas por las actuaciones a realizar.

Art韈ulo 16 Responsables de la Informaci髇 y Responsables del Servicio

1. Los Responsables de la Informaci髇 y los Responsables del Servicio son los 髍ganos directivos, con rango de Direcci髇 General o Secretar韆 General, y los directores de los organismos aut髇omos y el m醲imo directivo de las entidades de derecho p鷅lico vinculadas o dependientes, en el 醡bito de sus competencias. Tendr醤 as mismo la condici髇 de Responsables del Tratamiento de Datos Personales en los t閞minos establecidos en el art韈ulo 41 de este mismo Decreto.

2. Para aquellos sistemas de informaci髇 que contengan informaci髇 o se utilicen para prestar servicios de varios 髍ganos directivos, en aquellas partes diferenciadas las funciones corresponder醤 a cada uno de ellos.

3. En aquellos aspectos de decisi髇 superpuestos entre varios 髍ganos directivos, las funciones recaer醤 en la Secretar韆 General de la Consejer韆 correspondiente, sin perjuicio de lo dispuesto en el art韈ulo 26 de este Decreto.

Art韈ulo 17 Funciones de los Responsables de la Informaci髇 y Responsables del Servicio

A los Responsables de la Informaci髇 y Responsables del Servicio, en el 醡bito de sus competencias, sin perjuicio de las obligaciones que establece el Esquema Nacional de Seguridad para tales figuras, les corresponden las siguientes funciones:

  • a) Establecer el uso que se har de la informaci髇.
  • b) Establecer las caracter韘ticas de los servicios prestados.
  • c) Establecer los requisitos de la informaci髇 en materia de seguridad, determinando los niveles de seguridad y la categor韆 de los sistemas de informaci髇 que se utilicen para tratarla, en los t閞minos que legalmente se determinen.
  • d) Establecer los requisitos de los servicios en materia de seguridad, determinando los niveles de seguridad y la categor韆 de los sistemas de informaci髇 que se utilicen para prestarlos, en los t閞minos que legalmente se determinen.
  • e) Decidir sobre la aceptaci髇 del riesgo residual de los sistemas de informaci髇 relacionados con la informaci髇 o los servicios de los que son responsables.
  • f) Procurar la existencia de planes de continuidad cuando sean necesarios.
  • g) Autorizar accesos a la informaci髇 y servicios de los que son responsables, as como decidir la modificaci髇 o cancelaci髇 de esos accesos.
  • h) Establecer los criterios para las autorizaciones a realizar por los Gestores Responsables del organismo u 髍gano directivo del que es titular, que en todo caso respetar醤 el contenido del art韈ulo 24.1 de este Decreto.
  • i) Podr醤 establecer criterios para la asignaci髇 de accesos de oficio sin que se requiera, por lo tanto, una autorizaci髇 expl韈ita para cada caso particular, respetando el contenido del art韈ulo 24.2 de este Decreto.
  • j) Velar por la implementaci髇 efectiva de las medidas de seguridad y el cumplimiento de las obligaciones que correspondan, vinculadas a la informaci髇 o los servicios de los que son responsables, tanto si se realizan tratamientos automatizados o no automatizados, se emplean elementos tecnol骻icos o se utiliza cualquier otro medio o instrumento para tratar esa informaci髇 o prestar esos servicios.

Art韈ulo 18 Gestores Responsables de Seguridad de la Informaci髇

Los Gestores Responsables de Seguridad de la Informaci髇 ser醤 los 髍ganos directivos con rango de subdirecci髇, o bien, las unidades con rango de servicio o equivalentes, que, en el 醡bito de sus competencias o funciones, respectivamente, traten informaci髇 o presten servicios a trav閟 de sistemas de informaci髇, con independencia del tipo de tratamiento o del medio empleado para tratar esa informaci髇 o prestar esos servicios.

Art韈ulo 19 Funciones de los Gestores Responsables de Seguridad de la Informaci髇

A los Gestores Responsables les corresponden las siguientes funciones:

  • a) Velar por la adecuada gesti髇 y cumplimiento de las previsiones establecidas al respecto por la Pol韙ica de Seguridad y dem醩 normativa de desarrollo para la adecuada implementaci髇 de la Seguridad de la Informaci髇 en el 醡bito de las competencias de su 髍gano directivo o las funciones de su unidad.
  • a) Solicitar y, en su caso, autorizar, si se les ha encomendado esta funci髇 por el responsable de la informaci髇 o del servicio del que dependa jer醨quicamente, los accesos, as como su modificaci髇 o cancelaci髇, a informaci髇, servicios o sistemas de informaci髇, para el personal de su unidad o el personal correspondiente a contratos de prestaci髇 de servicios vinculados a su unidad.
  • b) Colaborar con los dem醩 componentes de la estructura organizativa de la Seguridad de la Informaci髇.
  • c) Informar sobre activos relevantes para el tratamiento de informaci髇 o la prestaci髇 del servicio empleados en su unidad.
  • d) Informar sobre situaciones y amenazas que afecten o puedan afectar al funcionamiento de sus unidades, as como al tratamiento de informaci髇 que realicen o los servicios que presten.
  • e) Asesorar a su 髍gano directivo con rango de Direcci髇 General o Secretar韆 General, organismos p鷅licos y entidades de derecho p鷅lico vinculadas o dependientes, respecto a los requisitos en materia de seguridad convenientes para la informaci髇 y servicios de los que estos sean responsables.
  • f) Informar sobre incidentes de seguridad.
  • g) Atender a las auditor韆s que se realicen.
  • h) Proporcionar la informaci髇 que le sea requerida para la adecuada gesti髇 de la Seguridad de la Informaci髇.
  • i) Participar en la elaboraci髇 de planes de continuidad, evaluaciones de impacto o an醠isis de riesgos.

Art韈ulo 20 Responsables de los Sistemas de Informaci髇

1. Los responsables de los sistemas de informaci髇 ser醤 los empleados p鷅licos adscritos al 髍gano directivo con rango de Direcci髇 General con competencias en materia de inform醫ica, que desempe馿n puestos de trabajo, reservados a los cuerpos facultativo superior y/o diplomados y t閏nicos medios y que tengan asignadas funciones espec韋icas en materia inform醫ica, y que se corresponden, con:

  • a) Las personas titulares de subdirecciones o unidades con rango de servicio o equivalente, para los sistemas de informaci髇 bajo su responsabilidad.
  • b) Las personas titulares de las unidades con rango de secci髇, cuando tengan responsabilidad sobre sistemas de informaci髇 y no dependa de una unidad con rango de servicio. O bien, cuando su inmediato superior le asigne esa funci髇 sobre un conjunto de sistemas de informaci髇.
  • c) Cualquier otra persona designada como tal por el 髍gano directivo con rango de Direcci髇 General con competencias en materia de inform醫ica, para determinados sistemas de informaci髇.

2. La coordinaci髇 de los Responsables de los Sistemas de Informaci髇 corresponde al titular del 髍gano directivo con rango de Direcci髇 General con competencias en materia de inform醫ica, que velar por el efectivo cumplimiento de las funciones establecidas en esta Pol韙ica de Seguridad de la Informaci髇.

Art韈ulo 21 Funciones de los Responsables de los Sistemas de Informaci髇

1. Las funciones de los Responsables de los Sistemas de Informaci髇 son:

  • a) Velar por la efectiva gesti髇 de la Seguridad de la Informaci髇 y la efectiva implementaci髇 de las medidas de seguridad que correspondan en los sistemas de informaci髇 bajo su responsabilidad durante todo el ciclo de vida de los mismos.
  • b) Informar sobre incidentes de seguridad, vulnerabilidades y anomal韆s en la gesti髇 de la Seguridad de la Informaci髇:
    • 1. En todos los casos: A la persona titular del 髍gano directivo con rango de Direcci髇 General con competencias en materia de inform醫ica y al Responsable de Seguridad de la Informaci髇 de la Administraci髇 de la Comunidad Aut髇oma de Cantabria, y en su caso a los Responsables Sectoriales de Seguridad de la Informaci髇 que correspondan y al titular de la unidad de gesti髇 con rango de servicio a la que su puesto estuviera adscrito.
    • 2. Cuando afecte al tratamiento de datos personales, adicionalmente a los anteriores, deber informar al Responsable del Tratamiento de datos personales.
  • c) Coordinar la respuesta a incidentes de seguridad y la eliminaci髇 de vulnerabilidades en los sistemas de informaci髇 bajo su responsabilidad.
  • d) Velar por la existencia de planes de contingencia y recuperaci髇 de los sistemas de informaci髇 bajo su responsabilidad.
  • e) Colaborar en la elaboraci髇 de cat醠ogos de activos y servicios, an醠isis de riesgos, evaluaciones de impacto, planes de continuidad y sus pruebas de verificaci髇 correspondientes, en la realizaci髇 de auditor韆s, en acciones de asesoramiento y en cualquier otra actividad relacionada con la Seguridad de la Informaci髇 en que sea necesaria su participaci髇.
  • f) Coordinar a los Administradores de Ciberseguridad de los Sistemas de Informaci髇 de su unidad.
  • g) Suspender el acceso a informaci髇, servicios o sistemas de informaci髇 en situaciones en la que existan deficiencias graves o el riesgo de da駉s de dif韈il reparaci髇, bajo las condiciones que se establecen en este mismo Decreto.

Art韈ulo 22 Administradores de Ciberseguridad de los Sistemas

Los Administradores de Ciberseguridad de los Sistemas de Informaci髇 ser醤 los empleados p鷅licos adscritos al 髍gano directivo con rango de Direcci髇 General con competencias en materia de inform醫ica, que desempe馿n puestos de trabajo, reservados a los cuerpos facultativo superior y/o diplomados y t閏nicos medios con responsabilidad t閏nica directa sobre los sistemas de informaci髇. Estar醤 coordinados en sus tareas por el Responsable del Sistema de Informaci髇 que corresponda para cada sistema de informaci髇.

Art韈ulo 23 Funciones de los Administradores de Ciberseguridad de los Sistemas de Informaci髇

1. Las funciones de los Administradores de Ciberseguridad de los Sistemas de Informaci髇, para los sistemas de informaci髇 que tengan asignados, son las siguientes:

  • a) Integrar los requisitos en materia de Seguridad de la Informaci髇 con el resto de requisitos funcionales, operativos, t閏nicos, regulatorios o de cualquier otro tipo que tengan que satisfacer los sistemas de informaci髇 durante todo su ciclo de vida.
  • b) Velar por que esos requisitos se cumplen y aplicar los procedimientos y controles que se establezcan.
  • c) Atender a las vulnerabilidades y a los incidentes de seguridad que se produzcan y de los que tenga conocimiento o sea notificado, informando al Responsable del Sistema y al Responsable de Seguridad de la Informaci髇 de la Administraci髇 de la Comunidad Aut髇oma de Cantabria de la situaci髇, efectos y soluci髇.
  • d) Realizar las labores t閏nicas que correspondan para la gesti髇 de accesos de usuarios debidamente autorizados.
  • e) Colaborar con el resto de componentes de la estructura organizativa de la Seguridad de la Informaci髇 en las actividades en que se le requieran y en particular, por parte del Responsable de Seguridad de la Informaci髇 de la Administraci髇 de la Comunidad Aut髇oma de Cantabria, y especialmente en labores de asesoramiento y en la elaboraci髇 de cat醠ogos de activos y servicios, categorizaciones de sistemas de informaci髇, declaraciones de aplicabilidad, an醠isis de riesgos, evaluaciones de impacto y planes de continuidad.

2. Estas funciones podr醤 ser desarrolladas directamente por los Administradores de Ciberseguridad de los Sistemas de Informaci髇, o bien coordinando a otros empleados p鷅licos asignados para realizar las tareas que correspondan o mediante la supervisi髇 y control de contratos de prestaci髇 de servicios.

CAP蚑ULO III
Criterios para la autorizaci髇 de accesos, la suspensi髇 de los servicios y la gesti髇 de conflictos

Art韈ulo 24 Autorizaci髇 de accesos

1. Las reglas para conceder autorizaciones de acceso a la informaci髇, servicios o sistemas de informaci髇 son:

  • a) Los accesos se conceder醤 exclusivamente a las personas que lo requieran para el desempe駉 de sus funciones.
  • b) El alcance de los accesos se limitar a lo estrictamente necesario para el adecuado desempe駉 de las funciones y tareas encomendadas. En el caso de personal de adjudicatarios de contratos de servicios, se limitar a lo estrictamente necesario ajustado a las tareas a realizar dentro del objeto del contrato.
  • c) Los accesos deber醤 suspenderse cuando dejen de ser necesarios.
  • d) En las autorizaciones de accesos se deber tener en consideraci髇 el cumplimiento de la Pol韙ica de Seguridad de la Informaci髇 contenida en este Decreto y las normas de Seguridad de la Informaci髇 y procedimientos de Seguridad de la Informaci髇 que la desarrollen, as como el resto de normativa en la materia.

2. Los Responsables de la Informaci髇 o Responsables del Servicio podr醤 encomendar la funci髇 de autorizar accesos a informaci髇, a los servicios o los sistemas de informaci髇 vinculados, as como cancelar o modificar esas autorizaciones, exclusivamente a los 髍ganos directivos con rango de subdirecci髇, o bien, a las unidades con rango de servicio o equivalentes.

3. Los criterios para la asignaci髇 de accesos de oficio que pueden establecer los Responsables de la Informaci髇 o Responsables del Servicio sin que se requiera, por lo tanto, que realizar una autorizaci髇 expl韈ita para cada caso particular, se regir por las siguientes reglas:

  • a) La asignaci髇 de accesos de oficio estar basada en el puesto de trabajo asignado o a las funciones desempe馻das, debiendo corresponder exclusivamente a informaci髇, servicios o sistemas de informaci髇 vinculados a las competencias del propio 髍gano directivo u organismo.
  • b) La asignaci髇 de oficio deber ser t閏nica y procedimentalmente viable.
  • c) La asignaci髇 de oficio de accesos, junto con los criterios a seguir para su aplicaci髇, ser醤 comunicados y propuestos formalmente al 髍gano directivo con rango de Direcci髇 General con competencias en materia de inform醫ica, quien valorar la viabilidad de la propuesta.
  • d) Si la propuesta es considerada viable, el Responsable de la Informaci髇 o Responsable del Servicio correspondiente deber velar por que sea correctamente aplicada, as como gestionar las modificaciones que sean oportunas en cada momento.

4. Las Secretar韆s Generales podr醤 establecer y proponer criterios para la asignaci髇 de accesos de oficio para sus empleados p鷅licos.

5. El 髍gano directivo con rango de Direcci髇 General con competencias en materia de inform醫ica, podr establecer criterios para la asignaci髇 de accesos de oficio a usuarios dados de alta en la red corporativa.

Art韈ulo 25 Suspensi髇 del acceso a informaci髇, servicios o sistemas de informaci髇

Los Responsables de los Sistemas de Informaci髇, as como la persona titular del 髍gano directivo con rango de Direcci髇 General con competencias en materia inform醫ica, podr醤 proceder a la suspensi髇 del acceso a cierta informaci髇 o la prestaci髇 de cierto servicio, cuando sea conocedor de deficiencias graves en la seguridad y exista un riesgo razonable de que puedan suceder da駉s de dif韈il reparaci髇 o que afecten gravemente a los derechos fundamentales y libertades de las personas f韘icas. Esta suspensi髇 deber realizarse bajo los siguientes condicionantes:

  • a) Debe informarse en el menor plazo posible, a poder ser antes de proceder a la suspensi髇, a:
    • 1. Los Responsable de la Informaci髇 afectados.
    • 2. Los Responsables del Servicio afectados.
    • 3. Los Responsables de Tratamiento de datos personales afectados.
    • 4. A la persona titular del 髍gano directivo con rango de Direcci髇 General con competencia en materia de inform醫ica. Y, en su caso, a la persona titular de la unidad de gesti髇 con rango de servicio a la que su puesto est adscrito.
    • 5. Al Responsable de Seguridad de la Informaci髇 de la Administraci髇 de la Comunidad Aut髇oma de Cantabria. Y, en su caso, a los Responsables Sectoriales de Seguridad que correspondan.
  • b) La suspensi髇 se mantendr el tiempo m韓imo imprescindible para eliminar el riesgo que ha provocado tal suspensi髇.
  • c) La persona titular del 髍gano directivo con rango de Direcci髇 General con competencias en materia de inform醫ica, podr determinar en cualquier momento el cese de la suspensi髇, teniendo siempre en consideraci髇 las consecuencias posibles si el riesgo a鷑 no ha sido eliminado.

Art韈ulo 26 Resoluci髇 de conflictos en la Gesti髇 de la Seguridad de la Informaci髇

En caso de conflictos en la gesti髇 de la Seguridad de la Informaci髇, se resolver醤 atendiendo a las siguientes reglas de atribuci髇:

  • a) Si el conflicto es entre Gestores Responsables de un mismo 髍gano directivo u organismo p鷅lico o entidad de derecho p鷅lico vinculada o dependiente, decidir el Responsable de la Informaci髇 o Responsable del Servicio superior a las partes.
  • b) Si el conflicto es entre Gestores Responsables o bien entre Responsables de la Informaci髇 o Responsables del Servicio de 髍ganos directivos, u organismos p鷅licos y entidades de derecho p鷅lico vinculadas o dependientes, de una misma Consejer韆, decidir la Secretar韆 General de la Consejer韆 correspondiente, en el caso de que este 鷏timo 髍gano directivo sea parte en el conflicto, decidir el Consejero/a.
  • c) Si el conflicto es entre Gestores Responsables o bien entre Responsables de la Informaci髇 o Responsables del Servicio de 髍ganos directivos, organismos p鷅licos o entidades de derecho p鷅lico vinculadas o dependientes, de diferentes Consejer韆s, decidir la Secretar韆 General de la Consejer韆 con competencias en Inform醫ica.
  • d) Si el conflicto es entre Administradores de Ciberseguridad de los Sistemas de Informaci髇, decidir el Responsable de los Sistema de Informaci髇 del que dependan.
  • e) Si el conflicto es entre Responsables del Sistema de Informaci髇, decidir el 髍gano directivo con rango de Direcci髇 General con competencias en materia de inform醫ica, asesorado por el Responsable de Seguridad de la Informaci髇 de la Administraci髇 de la Comunidad Aut髇oma de Cantabria.
  • f) Si el conflicto es entre Responsables Sectoriales de Seguridad de la Informaci髇, decidir el Responsable de Seguridad de la Informaci髇 de la Administraci髇 de la Comunidad Aut髇oma de Cantabria.
  • g) Ante otro tipo de conflictos, decidir la Comisi髇 General de Seguridad de la Informaci髇.

T蚑ULO III
Implementaci髇 de la gesti髇 integral de la seguridad de la informaci髇

Art韈ulo 27 Gesti髇 basada en riesgos

1. La gesti髇 de riesgos es un factor esencial para una exitosa gesti髇 de la Seguridad de la Informaci髇. En ella deber醤 colaborar todos los participantes en la gesti髇 de la Seguridad de la Informaci髇, debiendo participar o bien colaborar en su caso los miembros de la estructura organizativa de gesti髇 de la protecci髇 de datos personales, seg鷑 sus competencias y funciones.

2. En el establecimiento de pautas metodol骻icas y criterios comunes para la realizaci髇 de categorizaciones de sistemas de informaci髇, an醠isis de riesgos y evaluaciones de impacto, se tendr醤 en consideraci髇, cuando se realicen tratamientos de datos personales, el riesgo para los derechos y libertades de las personas f韘icas.

3. Los 髍ganos colegiados con competencia sobre la gesti髇 de Seguridad de la Informaci髇 ser醤 informados de los an醠isis de riegos que les correspondan.

4. Los Responsables del Tratamiento de datos personales podr醤 solicitar el asesoramiento en la realizaci髇 de an醠isis de riesgos y evaluaciones de impacto de tratamientos de datos personales a los Responsables de Seguridad, o bien, al Delegado de Protecci髇 de Datos o sus adjuntos, dentro de los l韒ites competenciales que legalmente corresponde a cada uno, y ello, sin perjuicio de sus responsabilidades respecto a disponer de esos an醠isis de riesgos o evaluaciones de impacto de tratamientos de datos personales.

Art韈ulo 28 Desarrollo de la Pol韙ica de Seguridad de la Informaci髇

1. La Pol韙ica de Seguridad de la Informaci髇 que establece este Decreto se desarrollar por medio de las Normas de Seguridad de la Informaci髇 y los Procedimientos de Seguridad de la Informaci髇 espec韋icos, en aquellos 醡bitos en que sea conveniente para su correcta gesti髇.

  • a) Las Normas de Seguridad de la Informaci髇 desarrollan la Pol韙ica de Seguridad de la Informaci髇.
  • b) Las Normas de Seguridad de la Informaci髇, aprobadas mediante Orden del Consejero/a con competencias en materia de inform醫ica, regular醤 aspectos necesarios para garantizar la implantaci髇 de la Pol韙ica de Seguridad y uniformizar su aplicaci髇 y gesti髇. Se desarrollar醤 aquellas normas que sean obligatorias por la legislaci髇 en materia de Seguridad de la Informaci髇 o Protecci髇 de Datos Personales y aquellas otras que se consideren convenientes para garantizar esa aplicaci髇 y gesti髇 uniforme.

2. Los Procedimientos de Seguridad de la Informaci髇 son aquellos que incorporan criterios o instrucciones para la correcta aplicaci髇 de la Pol韙ica de Seguridad o de las Normas de Seguridad de la Informaci髇 y que, o bien regulan los detalles operativos o t閏nicos; o bien definen aspectos tecnol骻icos o metodol骻icos relacionados con la Seguridad de la Informaci髇, aplicados al desarrollo, implantaci髇 o gesti髇 de sistemas, aplicaciones o servicios. Tambi閚 se pueden establecer actuaciones o m閠odos a aplicar en el tratamiento de informaci髇 de manera automatizada o no automatizada.

Ser醤 aprobados mediante instrucci髇 del 髍gano directivo con rango de Direcci髇 General con competencias en materia de inform醫ica, pudiendo recabarse el previo informe del Comit T閏nico de Ciberseguridad en los casos que dicho 髍gano directivo lo considere conveniente.

3. La Pol韙ica de Seguridad de la Informaci髇, Normas de Seguridad de la Informaci髇 y Procedimientos de Seguridad de la Informaci髇, se complementar醤 con la documentaci髇 t閏nica, metodol骻ica u operativa que resulte necesaria para la adecuaci髇 gesti髇 de la Seguridad de la Informaci髇 y la implantaci髇 de las medidas de seguridad que sean oportunas.

Art韈ulo 29 Seguridad en la Protecci髇 de Datos Personales

Todos los tratamientos de datos personales, ya sean realizados de manera automatizada, no automatiza o mixta, as como los sistemas de informaci髇 empleados para el tratamiento de datos personales, se ajustar醤 a los requisitos de seguridad requeridos por la normativa en materia de Protecci髇 de Datos Personales.

Los realizados de manera automatizada, deber醤 tambi閚 cumplir con los requisitos de seguridad establecidos por el Esquema Nacional de Seguridad.

Toda informaci髇 en soporte no electr髇ico, que haya sido causa o consecuencia directa de la informaci髇 electr髇ica, y por lo tanto afectada por el Esquema Nacional de Seguridad, deber estar protegida con el mismo grado de seguridad que 閟ta.

Art韈ulo 30 Formaci髇, concienciaci髇 e informaci髇

1. La Administraci髇 de la Comunidad Aut髇oma de Cantabria deber adoptar las medidas necesarias para que su personal reciba la formaci髇 espec韋ica necesaria para garantizar la seguridad de las tecnolog韆s de la informaci髇 aplicables a los sistemas y servicios de la Administraci髇

2. El 髍gano directivo con rango de Direcci髇 General con competencias en materia de inform醫ica:

  • a) Desarrollar acciones de formaci髇, concienciaci髇 e informaci髇 en materia de Seguridad de la Informaci髇.
  • b) Procurar que las personas que utilicen los sistemas de informaci髇 gestionados en al 醡bito de sus competencias, o que accedan a la informaci髇 en ellos contenidos, reciban de forma efectiva informaci髇 sobre las obligaciones que suponen ese uso o acceso.
  • c) Dispondr los medios necesarios para que las personas con responsabilidad en la administraci髇 u operaci髇 tecnol骻ica de los sistemas de informaci髇 reciban la formaci髇 necesaria para desarrollar su actividad acorde a los requisitos y necesidades de una correcta gesti髇 de la Seguridad de la Informaci髇 y una efectiva aplicaci髇 de las medidas de protecci髇 que correspondan.

3. Los 髍ganos colegiados de Seguridad de la Informaci髇 promover醤 la formaci髇 y concienciaci髇 del personal en estas materias dentro de su 醡bito de actuaci髇.

4. La supervisi髇 y coordinaci髇 de las acciones formativas e informativas que realicen los Responsables Sectoriales de Seguridad de la Informaci髇 corresponder al Responsable de Seguridad de la Informaci髇 de la Administraci髇 de la Comunidad de Cantabria.

5. El Responsable de Seguridad de la Informaci髇 de la Administraci髇 de la Comunidad de Cantabria y el Delegado de Protecci髇 de Datos de la Administraci髇 de la Comunidad de Cantabria colaborar醤 en el dise駉 y planificaci髇 de las acciones formativas e informativas que afecten a la materia de protecci髇 de datos de car醕ter personal, para garantizar la coherencia, evitar redundancias y adecuarlas a las necesidades reales de la organizaci髇.

Art韈ulo 31 Obligaciones del personal

1. Todas las personas que traten informaci髇 de la Administraci髇 de la Comunidad Aut髇oma de Cantabria, de manera automatizada o no automatizada, o tengan acceso a sus sistemas de informaci髇, tienen las siguientes obligaciones:

  • a) Conocer y respetar la Pol韙ica de Seguridad de la Informaci髇, as como las normas de Seguridad de la Informaci髇 y procedimientos de Seguridad de la Informaci髇 que la desarrollen y que le afecten, y en particular, las normas de Seguridad de la Informaci髇 sobre utilizaci髇 de los recursos y sistemas tecnol骻icos y de informaci髇.
  • b) Atender a las acciones de concienciaci髇 o formaci髇 en materia de Seguridad de la Informaci髇 y Protecci髇 de Datos Personales que se realicen.
  • c) Velar por la confidencialidad de la informaci髇 a la que tenga acceso seg鷑 la clasificaci髇 y caracter韘ticas de la misma.
  • d) Notificar eventos que puedan suponer un incidente de seguridad o evidencien una debilidad que pueda implicar posteriores incidentes.
  • e) Colaborar, en su caso, en la resoluci髇 de incidentes de seguridad y en la realizaci髇 de acciones preventivas.
  • f) Participar en la gesti髇 de la Seguridad de la Informaci髇 cuando corresponda seg鷑 las funciones de su puesto de trabajo.
  • g) No realizar acciones intencionadas que perjudiquen la seguridad de los sistemas tecnol骻icos o de informaci髇, ni la informaci髇 que contienen.
  • h) Colaborar y participar en las auditor韆s sobre Seguridad de la Informaci髇 y Protecci髇 de Datos Personales cuando sea requerido.

2. El incumplimiento de estas obligaciones podr ser sancionado de conformidad con la normativa disciplinaria correspondiente.

Art韈ulo 32 Obligaciones de personas externas a la Administraci髇 de la Comunidad Aut髇oma de Cantabria

1. En el caso de personas vinculadas a entidades externas, el uso se limitar a las tareas o actividades circunscritas en los t閞minos del contrato o acuerdo que regula la relaci髇 entre esa entidad y la Administraci髇 de la Comunidad Aut髇oma de Cantabria.

2. Los ciudadanos que realicen tr醡ites utilizando los servicios de Administraci髇 Electr髇ica, o que accedan a p醙inas web o sistemas p鷅licos de la Administraci髇 de la Comunidad Aut髇oma de Cantabria, no est醤 afectados por las obligaciones se馻ladas en el apartado 1 de este art韈ulo, si bien, podr醤 aprobarse normas o recomendaciones espec韋icas para el uso o acceso a esos servicios o sistemas que les pudieran afectar, en cuyo caso ser韆n debidamente informados en el acceso a los mismos.

Art韈ulo 33 Terceras partes

1. Cuando la Administraci髇 de la Comunidad Aut髇oma de Cantabria preste servicios a otras entidades de derecho p鷅lico o ceda informaci髇 a terceros:

  • a) Se les har part韈ipes de la Pol韙ica de Seguridad de la Informaci髇 y de Protecci髇 de Datos Personales establecida en el presente Decreto y de las normas de Seguridad de la Informaci髇 o procedimientos de Seguridad de la Informaci髇 relacionados con el servicio o la informaci髇 afectados.
  • b) Se establecer醤 canales de informaci髇 y coordinaci髇 entre los respectivos Responsables de la Seguridad de la Informaci髇 y se establecer醤 procedimientos de seguridad para la reacci髇 ante incidentes.

2. En los contratos de adquisici髇 de sistemas o aplicaciones inform醫icas, de prestaci髇 de servicios tecnol骻icos, y tambi閚 en el caso de contratos de prestaci髇 de servicios de otro tipo que implique el uso de servicios, aplicaciones o sistemas inform醫icos internos, as como el tratamiento de informaci髇, se deber醤 tener en cuenta las medidas y consideraciones de Seguridad de la Informaci髇 que resulten de aplicaci髇, seg鷑 la normativa vigente en la materia y especialmente lo se馻lado en el Decreto 60/2018, de 12 de julio, por el que se regula el R間imen Jur韉ico de la Administraci髇 de la Comunidad Aut髇oma de Cantabria en el uso de medios electr髇icos en la actividad administrativa y sus relaciones con los ciudadanos. Tambi閚 se deber醤 tener en cuenta las medidas y consideraciones de Seguridad de la Informaci髇 que resulten de aplicaci髇 legal, en caso de acuerdos de cesi髇 de sistemas, aplicaciones o acceso a servicios de otros organismos o entidades.

3. Cuando la Administraci髇 de la Comunidad Aut髇oma de Cantabria: implante o utilice sistemas de informaci髇 cedidos por otras Administraciones u organismos p鷅licos de ellas dependientes, deber:

  • a) Tener en consideraci髇 las obligaciones que sean oportunas en materia de Seguridad de la Informaci髇 y Protecci髇 de Datos Personales.
  • b) As mismo deber醤 establecerse canales de informaci髇 y coordinaci髇 en materia de Seguridad de la Informaci髇 y Protecci髇 de Datos Personales.

4. Cuando alg鷑 aspecto de la Pol韙ica de Seguridad de la Informaci髇 no pueda ser satisfecho por una tercera parte, el Responsable de Seguridad de la Informaci髇 de la Administraci髇 de la Comunidad Aut髇oma de Cantabria emitir informe sobre los riesgos en que se puede incurrir y la forma de tratarlos, a petici髇 expresa del responsable del servicio o responsable de la informaci髇 beneficiario de la cesi髇.

5. A la vista de dicho informe y antes de que se haga efectiva la prestaci髇, uso, acceso o cesi髇 de que se trate, los Responsables de la Informaci髇 o de los Servicios decidir醤 las medidas que se adoptar醤 para reducir los riesgos y el nivel de los mismos que asumen.

Art韈ulo 34 Colaboraci髇 con otras entidades p鷅licas

Se promover醤 convenios de colaboraci髇 con otras entidades p鷅licas con competencias en materia de Seguridad de la Informaci髇, especialmente con el Centro Criptol骻ico Nacional (CCN), el Instituto Nacional de Ciberseguridad (INCIBE) y la Agencia Espa駉la de Protecci髇 de Datos [AEPD].

Art韈ulo 35 Categorizaci髇 de los Sistemas de Informaci髇

1. Corresponde a los Responsables de la Informaci髇 y los Responsables del Servicio la determinaci髇 de los requisitos de seguridad de los sistemas de informaci髇 vinculados a su 醡bito competencial, determinando los niveles de seguridad y su categor韆, seg鷑 lo establecido en el art韈ulo 17 del presente Decreto. Sin perjuicio de lo anterior, se establecen a continuaci髇 unos criterios para fijar unos niveles y una categor韆 por defecto, a aplicar cuando los Responsables de la Informaci髇 y los Responsables del Servicio no se hayan pronunciado expl韈itamente al respecto, de forma que solo sea necesario que lo hagan cuando consideren que los requisitos de un determinado sistema de informaci髇 deban ser diferentes:

  • a) Aquellos sistemas de informaci髇 que ofrezcan informaci髇 p鷅lica, tales como las p醙inas web informativas, tendr醤 asignada por defecto la Categor韆 B醩ica, con los niveles de las dimensiones Confidencialidad, Integridad, Disponibilidad, Autenticidad y Trazabilidad, en Nivel Bajo.
  • b) Los sistemas de informaci髇 utilizados para la gesti髇 administrativa, destinados fundamentalmente a ser utilizados por los empleados p鷅licos, tendr醤 asignada por defecto la Categor韆 Media, con los niveles de las dimensiones Confidencialidad, Integridad, Disponibilidad, Autenticidad y Trazabilidad, en Nivel Medio.
  • c) Los m骴ulos que permitan realizar gestiones por parte de los ciudadanos o terceros y que est閚 t閏nicamente segregados de los sistemas de informaci髇 utilizados por los empleados p鷅licos, se considerar醤 sistemas de informaci髇 aut髇omos y tendr醤 asignada por defecto la Categor韆 B醩ica, con los niveles de las dimensiones Confidencialidad, Integridad, Disponibilidad, Autenticidad y Trazabilidad, en Nivel Bajo, siempre y cuando permitan exclusivamente el acceso a datos de un 鷑ico ciudadano o tercero, tras un proceso de autenticaci髇 y no se manejen datos personales que supongan un alto riesgo para los derechos y libertades de las personas f韘icas.

2. Cuando concurra cualquier circunstancia por la que no resulte adecuado aplicar estos criterios por defecto, se deber proceder a realizar la determinaci髇 de los requisitos de seguridad que precisa el sistema de informaci髇 por parte del Responsable de Seguridad o del Responsable del Servicio, determinando la categor韆 y niveles de seguridad que correspondan.

3. Los criterios por defecto aqu establecidos podr醤 desarrollarse de forma m醩 detallada o modificarse mediante una norma de seguridad de la informaci髇, aprobada por la persona titular de la Consejer韆 con competencias en materia inform醫ica.

T蚑ULO IV
De la organizaci髇 y gesti髇 competencial para la Protecci髇 de Datos Personales de la Administraci髇 de la Comunidad Aut髇oma de Cantabria

CAP蚑ULO I
Objetivos, directrices y principios de la Protecci髇 de Datos Personales

Art韈ulo 36 Objetivos y directrices b醩icas de la Protecci髇 de Datos Personales

1. Los objetivos de la Protecci髇 de Datos Personales son los siguientes:

  • a) Garantizar y poder demostrar que el tratamiento de datos personales es conforme a la normativa vigente en materia de protecci髇 de datos.
  • b) Garantizar los datos personales contra el tratamiento no autorizado o il韈ito, su p閞dida, destrucci髇 o acceso accidental.
  • c) Garantizar el ejercicio de derechos por parte de los interesados.
  • d) Garantizar la adecuada gesti髇 de incidentes de seguridad en los aspectos que afecten a datos personales.
  • e) Garantizar la libre circulaci髇 de los datos personales en los t閞minos que fija le legislaci髇 vigente en la materia.

2. Las directrices b醩icas de la Protecci髇 de Datos Personales son las siguientes:

Aplicar medidas t閏nicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo asociado a cada tratamiento de datos personales y para cumplir con el resto de obligaciones de la legislaci髇 en materia de protecci髇 de datos personales.

  • a) La coordinaci髇 con otras normas que afecten a la Protecci髇 de Datos Personales en el 醡bito de la Administraci髇 de la Comunidad Aut髇oma de Cantabria.
  • b) Responsabilidades definidas y delimitadas en materia de Protecci髇 de Datos Personales de todos los 髍ganos y personas implicadas.

Art韈ulo 37 Principios de la Protecci髇 de Datos Personales

El tratamiento de datos personales se realizar conforme a los principios recogidos en el Cap韙ulo II del Reglamento General de Protecci髇 de Datos y en el T韙ulo II de la Ley Org醤ica 3/2018, de 5 de diciembre, de Protecci髇 de Datos Personales y Garant韆 de los Derechos Digitales.

CAP蚑ULO II
Organizaci髇 de la gesti髇 de la Protecci髇 de Datos Personales

Art韈ulo 38 Estructura organizativa de la Protecci髇 de Datos Personales

La organizaci髇 para la gesti髇 de la Protecci髇 de Datos Personales en la Administraci髇 de la Comunidad Aut髇oma de Cantabria se estructura en:

  • 1. Nivel de coordinaci髇 de la Protecci髇 de Datos Personales:
    • a) Comisi髇 General de Protecci髇 de Datos.
    • b) 觬gano directivo, de rango Direcci髇 General, con competencias en la coordinaci髇 de las actuaciones relativas al cumplimiento de las obligaciones legales en materia de protecci髇 de datos personales en la Administraci髇 de la Comunidad Aut髇oma de Cantabria.
  • 2. Nivel de implementaci髇 de la protecci髇 de datos personales:
    • a) Responsables del tratamiento de datos personales.
    • b) Encargados del tratamiento de datos personales.
  • 3. Nivel de supervisi髇 de la Protecci髇 de Datos Personales:
    • a) Gestores responsables de Protecci髇 de Datos.
    • b) Delegado de Protecci髇 de Datos de la Administraci髇 de la Comunidad Aut髇oma de Cantabria.
    • c) Delegados Adjuntos de Protecci髇 de Datos.
    • d) Referentes de Protecci髇 de Datos.

Art韈ulo 39 Creaci髇, composici髇 y r間imen de funcionamiento de la Comisi髇 General de Protecci髇 de Datos

1. Se crea la Comisi髇 General de Protecci髇 de Datos, que estar constituida por los siguientes miembros:

  • a) Presidente: El Delegado de Protecci髇 de Datos de la Administraci髇 de la Comunidad Aut髇oma de Cantabria.
  • b) Vocales:
    • - Los Delegados Adjuntos de Protecci髇 de Datos.
    • - Los empleados p鷅licos que ejerzan las funciones de referentes de protecci髇 de datos.
  • c) Secretario: Un funcionario adscrito a la Oficina de asistencia t閏nica para la protecci髇 de datos personales.

2. El presidente podr convocar, con voz, pero sin voto, a otras personas especializadas en los temas a tratar.

3. La Comisi髇 General de protecci髇 de datos se convocar a petici髇 del Delegado de Protecci髇 de Datos cuando lo estime oportuno, y en todo caso, como m韓imo dos veces al a駉.

4. Esta Comisi髇 se regir por el presente Decreto, por las normas sobre los 髍ganos colegiados de secci髇 5 del Cap韙ulo II del T韙ulo II de la Ley de Cantabria 5/2018, de 22 de noviembre, de R間imen Jur韉ico del Gobierno, de la Administraci髇 y del Sector P鷅lico Institucional de la Comunidad Aut髇oma de Cantabria y, en lo que resulte de aplicaci髇 conforme las previsiones del Cap韙ulo II de la Ley 40/2015, de 1 de octubre, de R間imen Jur韉ico del Sector P鷅lico.

Art韈ulo 40 Funciones de la Comisi髇 General de Protecci髇 de Datos

A la Comisi髇 General de Protecci髇 de Datos le corresponden las siguientes funciones en el 醡bito de aplicaci髇 de la presente pol韙ica:

  • a) Coordinarse con el Delegado de Protecci髇 de Datos en las pol韙icas de protecci髇 de datos y su aplicaci髇 legal.
  • b) Comunicar las instrucciones del Delegado de Protecci髇 de Datos para que los empleados p鷅licos referentes de protecci髇 de datos puedan realizar sus actividades de manera coordinada eficaz y eficiente.
  • c) Exponer, ante los dem醩 integrantes de la Comisi髇 General de protecci髇 de datos, cuestiones planteadas por las personas Responsables de tratamiento de cada organizaci髇 a los efectos de unificar doctrina, cuando sea solicitado por el Delegado de Protecci髇 de Datos.
  • d) Analizar las informaciones relevantes que se hayan producido en materia de protecci髇 de datos.
  • e) Examinar los 鷏timos avances y/o interpretaciones efectuadas por las instituciones de control y otras administraciones p鷅licas en relaci髇 con la protecci髇 de datos personales.
  • f) Conocer el estado de la gesti髇 desarrollada en la implementaci髇 de la Pol韙ica de Seguridad de la Informaci髇, y en su caso, acordar medidas de colaboraci髇 con los responsables de la seguridad de la informaci髇.

Art韈ulo 41 Responsables del Tratamiento de Datos Personales

1. Los Responsables del Tratamiento de Datos Personales ser醤 los 髍ganos directivos, con rango de direcci髇 general o secretar韆 general, y los directores de los organismos aut髇omos y el m醲imo directivo de las entidades de derecho p鷅lico vinculadas o dependientes, en el 醡bito de sus competencias, cuando determinen los fines y medios del tratamiento de datos personales.

2. En el caso de que dos o m醩 responsables de Tratamientos de Datos Personales determinen conjuntamente los objetivos y los medios para el tratamiento, ser醤 considerados corresponsables.

3. A los Responsables del Tratamiento les corresponden las obligaciones que establece la legislaci髇 en materia de Protecci髇 de Datos Personales para esta figura.

Art韈ulo 42 Gestores Responsables de Protecci髇 de Datos Personales

Los Gestores Responsables de Protecci髇 de Datos Personales ser醤 los 髍ganos directivos con rango de subdirecci髇, o bien, las unidades con rango de servicio o equivalentes, que, en el 醡bito de sus competencias o funciones, respectivamente, ejecuten operaciones con datos personales, velando por el adecuado cumplimiento de las obligaciones legales en este 醡bito.

Art韈ulo 43 Encargados del Tratamiento

1. Los Encargados del Tratamiento ser醤 los 髍ganos directivos, organismos p鷅licos y entidades de derecho p鷅lico vinculadas o dependientes, cuando traten datos personales de los que no son responsables, de forma que estos act鷄n por cuenta del correspondiente responsable de tratamiento de datos.

2. Estos tratamientos deber醤 realizarse dentro del 醡bito de competencias de cada 髍gano directivo, organismo p鷅lico y entidad de derecho p鷅lico vinculada o dependiente, y deber醤 estar atribuidas por decretos de estructura org醤ica o por acuerdos que vinculen a las partes y de los que se derive la funci髇 de cada una de ellas en lo relativo a los tratamientos de datos personales.

3. Deber醤 cumplir con las obligaciones establecidas por la legislaci髇 en materia de Protecci髇 de Datos Personales para los Encargados del Tratamiento, incluyendo el registro de todas las categor韆s de actividades de tratamiento efectuadas por cuenta de un responsable del tratamiento.

4. Cuando un 髍gano directivo realice operaciones con datos personales correspondiente a tratamientos de los que es Responsable del Tratamiento otro 髍gano directivo, organismo p鷅lico y entidad de derecho p鷅lico vinculada o dependiente, tendr la funci髇 de Encargado del Tratamiento en los t閞minos establecidos en el presente Decreto, y adem醩, se deber醤 cumplir las condiciones establecidas en el art韈ulo 28.3 del Reglamento General de Protecci髇 de Datos. As mismo, en cumplimiento de lo previsto en el art韈ulo 28.2 del Reglamento General de Protecci髇 de Datos, el 髍gano directivo competente en materia de inform醫ica cuando act鷈 como encargado de tratamiento, cuenta con la autorizaci髇 de todos los responsables de tratamiento de datos personales afectados, salvo manifestaci髇 expresa en sentido contrario y que deber comunicarse oficialmente al 髍gano directivo competente en materia de inform醫ica, para acudir a otro encargado de tratamiento diferente.

5. El responsable del tratamiento podr exigir de forma motivada al encargado del tratamiento la emisi髇 de un compromiso sobre el cumplimiento de ciertas condiciones en las operaciones de tratamiento que realice.

Art韈ulo 44 Notificaci髇 de violaciones de seguridad que afecten a datos personales

1. Los Encargados del Tratamiento, informar醤 sin dilaci髇 indebida al Responsable del Tratamiento correspondiente las violaciones de la seguridad de los datos personales de las que tengan conocimiento.

2. Los Responsables del Tratamiento de Datos Personales informar醤 sobre violaciones de la seguridad de datos personales al Delegado de Protecci髇 de Datos Personales, a los Delegados Adjuntos de Protecci髇 de Datos personales si corresponde a su 醡bito de actuaci髇, al Responsable de Seguridad de la Informaci髇, y a los Responsables Sectoriales de Seguridad de la Informaci髇 si corresponde a su 醡bito de actuaci髇.

3. Adem醩, deber醤 notificar a la autoridad de control y a los interesados en aquellos casos establecidos por la legislaci髇 en materia de protecci髇 de datos.

Art韈ulo 45 Independencia, autonom韆 y adscripci髇 organizativa del Delegado de Protecci髇 de Datos

1. El Delegado de Protecci髇 Datos ejercer sus funciones con plena independencia y autonom韆 jer醨quica y funcional, en los t閞minos establecidos en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protecci髇 de las personas f韘icas en lo que respecta al tratamiento de datos personales y a la libre circulaci髇 de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protecci髇 de datos), y el art韈ulo 36 de la Ley Org醤ica 3/2018, de 5 de diciembre, de Protecci髇 de Datos Personales y garant韆 de los derechos digitales.

2. El Delegado de Protecci髇 de Datos se adscribe org醤icamente de forma directa al Consejero/a que tenga atribuidas las competencias generales sobre tecnolog韆 y protecci髇 de datos, pero por exigencia legal, sin integrarse funcionalmente ni jer醨quicamente en su estructura. El puesto de trabajo de Delegado de Protecci髇 de Datos tendr la consideraci髇 de puesto de trabajo singularizado.

3. El Delegado de Protecci髇 de Datos elaborara un informe anual sobre la actividad desarrollada que se remitir al Consejero/a que tenga atribuidas las competencias generales sobre protecci髇 de datos.

4. El portal web institucional del Gobierno de Cantabria recoger en lugar visible los datos de contacto de la persona designada como Delegado de Protecci髇 de Datos y de sus adjuntos.

Art韈ulo 46 Requisitos y procedimiento para su nombramiento y cese

1. El puesto de trabajo de Delegado de Protecci髇 de Datos se encuentra reservado su desempe駉 a funcionario/a de carrera del Subgrupo A1, y, como requisitos de desempe駉 deber estar en posesi髇 de titulaci髇 acad閙ica superior en Derecho y pertenecer a cualquier de los siguientes cuerpos: al Cuerpo T閏nico Superior, Cuerpo Facultativo Superior, Cuerpo Superior de Inspectores de Finanzas y Cuerpo de Letrados.

2. El Procedimiento de provisi髇 del puesto de trabajo de Delegado de Protecci髇 de Datos ser mediante la convocatoria p鷅lica del procedimiento de provisi髇 de concurso de m閞itos espec韋ico, de acuerdo con la legislaci髇 de empleo p鷅lico que resulte de aplicaci髇 en la Administraci髇 de la Comunidad Aut髇oma de Cantabria.

3. El Delegado de Protecci髇 de Datos se mantendr inamovible salvo renuncia o que incurriera en dolo o negligencia grave en el ejercicio de sus funciones, lo que originar韆 el correspondiente expediente de remoci髇 de su puesto de trabajo conforme lo establecido por la legislaci髇 sobre empleo p鷅lico para el procedimiento de provisi髇 utilizado para su nombramiento.

Art韈ulo 47 Funciones del Delegado de Protecci髇 de Datos

1. En el ejercicio de las funciones que le son propias, el Delegado de Protecci髇 de Datos tendr las funciones principales siguientes:

  • a) La colaboraci髇 y apoyo a los 髍ganos responsables del Sistema de Gesti髇 de la Seguridad de la informaci髇 de la Administraci髇 de la Comunidad Aut髇oma de Cantabria, en el desarrollo y mantenimiento de dicho sistema y en la elaboraci髇 de la normativa que resulte necesaria sobre protecci髇 de datos.
  • b) Informar y asesorar a los referentes de protecci髇 de datos, responsables o encargados del tratamiento y a sus empleados de las obligaciones que les incumben en aplicaci髇 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protecci髇 de las personas f韘icas en lo que respecta al tratamiento de datos personales y a la libre circulaci髇 de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protecci髇 de datos) y dem醩 normativa en materia de protecci髇 de datos que resulte de aplicaci髇.
  • c) Supervisar el cumplimiento del reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protecci髇 de las personas f韘icas en lo que respecta al tratamiento de datos personales y a la libre circulaci髇 de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protecci髇 de datos), del resto de disposiciones normativas aplicables y de las pol韙icas por los responsables o los encargados en materia de protecci髇 de datos personales, incluidas la asignaci髇 de responsabilidades, la concienciaci髇, formaci髇 del personal as como la realizaci髇 de las auditorias correspondientes.
  • d) La interlocuci髇 de los 髍ganos responsables o encargados del tratamiento ante las diversas Autoridades de Protecci髇 de Datos.
  • e) Actuar como punto de contacto de la autoridad de control en cuestiones relacionadas con los tratamientos, incluyendo la consulta previa a que se refiere el art韈ulo 36 del RGPD.
  • f) Realizar consultas a la autoridad de control, en su caso, sobre cualquier otro asunto.
  • g) Emitir recomendaciones a las personas responsables o encargadas del tratamiento en materia de protecci髇 de datos.
  • h) Supervisar, seg鷑 proceda en cada caso, las acciones formativas en materia de Protecci髇 de Datos personales con el Responsable de Seguridad de la informaci髇.
  • i) La comunicaci髇 inmediata al Consejero/a que tenga atribuidas las competencias generales sobre protecci髇 de datos, a los 髍ganos directivos afectados y a la persona responsable o encargada del tratamiento cuando sea conocedor de la existencia de una vulneraci髇 relevante en materia de protecci髇 de datos personales.
  • j) Las resoluciones que le sean atribuidas por el ordenamiento jur韉ico en relaci髇 con las reclamaciones sobre protecci髇 de datos.
  • k) Las dem醩 funciones que le atribuyan las normas en materia de protecci髇 de datos.

2. El Delegado de Protecci髇 de Datos desempe馻r sus funciones prestando la debida atenci髇 a los riesgos asociados a las operaciones de tratamiento, teniendo en cuenta la naturaleza, el alcance, el contexto y fines del tratamiento.

Art韈ulo 48 Gesti髇 sectorial de la Protecci髇 de Datos Personales: Delegados adjuntos

1. A propuesta de la Consejer韆 con competencias en materia de protecci髇 de datos personales, podr醤 crearse puestos de trabajo de Delegados Adjuntos de Protecci髇 de Datos, conforme los tr醡ites legalmente establecidos, que estar醤 tambi閚 reservados a funcionarios de carrera del Subgrupo A1, y como requisito de desempe駉 deber estar en posesi髇 de titulaci髇 acad閙ica superior en Derecho y pertenecer a cualquiera de los siguientes cuerpos: al Cuerpo T閏nico Superior, Cuerpo Facultativo Superior, Cuerpo Superior de Inspectores de Finanzas y Cuerpo de Letrados. Estos estar醤 adscritos org醤icamente de forma directa al Consejero/a que tenga atribuidas las competencias generales sobre tecnolog韆 y protecci髇 de datos, correspondiendo al Delegado de Protecci髇 de Datos la supervisi髇 funcional de sus actuaciones.

2. El Procedimiento de provisi髇 del puesto de trabajo de Delegado Adjunto de Protecci髇 de Datos ser mediante la convocatoria p鷅lica del procedimiento de provisi髇 de concurso de m閞itos espec韋ico, de acuerdo con la legislaci髇 de empleo p鷅lico que resulte de aplicaci髇 en la Administraci髇 de la Comunidad Aut髇oma de Cantabria.

3. El 醡bito de actuaci髇 de los Delegados Adjuntos de Protecci髇 de Datos puede corresponder a una Consejer韆, organismo p鷅lico o entidad de derecho p鷅lico vinculada o dependiente, o tambi閚 al 醨ea general o una espec韋ica de la actividad administrativa de la Administraci髇 de la Comunidad Aut髇oma de Cantabria, seg鷑 se determine en el momento de su creaci髇.

4. A los Delegados adjuntos les corresponde en su respectivo 醡bito de actuaci髇, entre otras, las siguientes funciones:

  • a) Pedir informaci髇 sobre las actividades de tratamiento de datos en colaboraci髇 con las personas responsables o encargadas del tratamiento y los empleados que lleven a cabo el tratamiento.
  • b) Analizar y comprobar la conformidad con la normativa de las actividades de tratamiento.
  • c) Asesorar y supervisar, a los referentes de protecci髇 de datos, responsables o encargados del tratamiento y a sus empleados de las obligaciones que les incumben en aplicaci髇 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protecci髇 de las personas f韘icas en lo que respecta al tratamiento de datos personales y a la libre circulaci髇 de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protecci髇 de datos) y dem醩 normativa en materia de protecci髇 de datos personales que resulte de aplicaci髇.
  • d) La comunicaci髇 inmediata al Delegado de Protecci髇 de datos, a los 髍ganos directivos afectados y a la persona responsable o encargada del tratamiento de la existencia de una vulneraci髇 relevante en materia de protecci髇 de datos personales.
  • e) La colaboraci髇 y apoyo a los 髍ganos responsables del sistema de seguridad de la informaci髇 de la Administraci髇 de la Comunidad Aut髇oma de Cantabria, a fin de desarrollar, operar y mantener dicho sistema.
  • f) Cualquier otra que se les encomiende por el Delegado de Protecci髇 de Datos en relaci髇 con las materias que les son propias.

Art韈ulo 49 Medios materiales y recursos humanos

1. Para el desarrollo de las funciones asignadas al Delegado de Protecci髇 de Datos este contar con la colaboraci髇 de la Oficina de asistencia t閏nica para la protecci髇 de datos personales que contar con el personal administrativo y de apoyo t閏nico que se estimen necesarios para una adecuada prestaci髇 de sus funciones, as, al menos, est contar con un jefe de oficina y un asesor jur韉ico. Esta unidad estar adscrita org醤icamente de forma directa al Consejero/a que tenga atribuidas las competencias generales sobre tecnolog韆 y protecci髇 de datos personales. Asimismo, por la Direcci髇 General competente en materia de inform醫ica se prestar el apoyo para asesoramiento t閏nico cuando as se le requiera por el Delegado de Protecci髇 de Datos, bien de forma continua o temporal. Tambi閚 podr acudirse a contrataciones de prestaci髇 de servicios externos cuando sea necesario.

2. El Gobierno de Cantabria deber adoptar todas las medidas necesarias para la implementaci髇 del derecho y deber de formaci髇 del Delegado de Protecci髇 de Datos y de los Delegados Adjuntos.

Art韈ulo 50 Referentes de protecci髇 de datos

1. Por las Secretarias Generales de cada Consejer韆 u 髍gano directivo de los organismos objeto de este Decreto, se deber nombrar formalmente a una o varias personas a su cargo, dentro del 醡bito de su organizaci髇, que desarrollen las funciones de Referente de protecci髇 de datos.

2. Las funciones de los empleados p鷅licos que ejerzan el cargo de Referentes de protecci髇 de datos ser la de asistir al Delegado de Protecci髇 de Datos y sus adjuntos en el 醡bito de la actividad de la organizaci髇 a la que pertenezcan.

3. Las funciones de quienes ejerzan el cargo de Referentes de protecci髇 de datos ser醤 las siguientes:

  • a) Coordinar y atender en la organizaci髇 en la que presta sus servicios el cumplimiento del RGPD y normativa de desarrollo dando cuenta al Delegado de Protecci髇 de Datos y sus adjuntos de cualquier disfunci髇 detectada.
  • b) Hacer el seguimiento de los tratamientos de datos que se realizan en su organizaci髇, cotejando los mismos con el registro de tratamientos y dando cuenta de ello al Delegado/a de protecci髇 de datos y sus adjuntos.
  • c) Acudir a las reuniones de coordinaci髇 a las que sea citado por el Delegado/a de protecci髇 de datos, debiendo aportar a las mismas la documentaci髇 o informaci髇 que el Delegado de Protecci髇 de Datos y sus adjuntos le soliciten.
  • d) Prestar su colaboraci髇 al Delegado de Protecci髇 de Datos y sus adjuntos en todas las tareas que se le encomienden.

CAP蚑ULO III
Otras cuestiones sobre la gesti髇 procedimental de la protecci髇 de datos personales

Art韈ulo 51 Registro de Actividades del Tratamiento Centralizado

A los efectos de cumplir con la obligaci髇 de llevar un Registro de Actividades de Tratamiento efectuadas por los Responsables del Tratamiento bajo su responsabilidad, se podr crear por el 髍gano directivo con competencias en materia de inform醫ica, un Registro Centralizado de Actividades del Tratamiento de la Administraci髇 de la Comunidad Aut髇oma de Cantabria, que podr醤 utilizar los Responsables del Tratamiento para ejercitar su obligaci髇 de contar con un Registro de las Actividades del Tratamiento efectuadas bajo su responsabilidad.

Este sistema de informaci髇 tambi閚 servir como registro centralizado de todas las categor韆s de actividades de tratamiento efectuadas por Encargados del Tratamiento, por cuenta de un Responsable del Tratamiento.

Para la creaci髇 de este sistema de informaci髇 y su posterior gesti髇 contar con el asesoramiento del Delegado de Protecci髇 de Datos de la Administraci髇 de la Comunidad Aut髇oma de Cantabria.

La implantaci髇 y gesti髇 de este sistema de informaci髇 ser dirigida por el Responsable de Seguridad de la Informaci髇 de la Administraci髇 de la Comunidad Aut髇oma de Cantabria, que velar por que su estructura y contenido sea 鷗il para la gesti髇 de la Protecci髇 de Datos Personales y la gesti髇 de la Seguridad de la Informaci髇, particularmente en lo relativo a inventario de activos, an醠isis de riesgos y evaluaciones de impacto.

Desde el momento de su puesta en producci髇, los Responsables del Tratamiento, y en su caso los Encargados del Tratamiento, podr醤 emplear este Registro de Actividades del Tratamiento centralizado, volcando en 閘 la informaci髇 preexistente.

Art韈ulo 52 Resoluci髇 de conflictos en la gesti髇 de la seguridad de la informaci髇 de la Protecci髇 de Datos Personales

En caso de conflictos en la gesti髇 de la seguridad de la informaci髇 de la Protecci髇 de Datos Personales, estas se resolver醤 seg鷑 las reglas establecidas en el art韈ulo 26 de este Decreto.

Art韈ulo 53 Colaboraci髇 sobre actuaciones en materia de Seguridad de la Informaci髇 y la gesti髇 de la Protecci髇 de Datos Personales

Debido a que estas dos 醨eas de actividad est醤 fuertemente interrelacionadas, con implicaciones tecnol骻icas y organizativas, y en su gesti髇 completa concurren dos tipos de actores, en concreto, los denominados "Responsable de Seguridad de la informaci髇" y el "Delegado de Protecci髇 de Datos", se establece como criterio de relaci髇 entre los mismos, el principio de cooperaci髇 y colaboraci髇 en todas aquellas actuaciones que afecten a los campos de actuaci髇 de ambas partes, de forma que se consensuar醤 las decisiones a tomar, con pleno respeto al reparto competencial legalmente establecido, a la legislaci髇 vigente y el contenido de la presente Pol韙ica de Seguridad de la Informaci髇.

DISPOSICIONES ADICIONALES

Disposici髇 adicional primera Incoaci髇 de expediente para la modificaci髇 de la Relaci髇 de Puestos de Trabajo de la Consejer韆 de Presidencia, Interior, Justicia y Acci髇 Exterior

Por la Consejer韆 de Presidencia, Interior, Justicia y Acci髇 Exterior, con car醕ter de urgencia, y en el plazo m醲imo de tres meses, se proceder a iniciar la tramitaci髇 de un expediente para la aprobaci髇 de una modificaci髇 de la Relaci髇 de Puestos de Trabajo de esa Consejer韆, que incorporar al mismo una propuesta de creaci髇 de los siguientes puestos de trabajo:

  • a) De acuerdo con lo establecido en el art韈ulo 14 de este Decreto, se proceder a la creaci髇 inicial de los puestos de trabajo de Responsables Sectoriales de Seguridad de la Informaci髇, en concreto:
    • 1. Responsable Sectorial de Seguridad de la Informaci髇 de la Administraci髇 de Justicia en Cantabria.
    • 2. Responsable Sectorial de Seguridad de la Informaci髇 para los servicios prestados a la Consejer韆 con competencias en materia de Asuntos Sociales.
    • 3. Responsable Sectorial de Seguridad de la Informaci髇 para los servicios prestados a la consejer韆 con competencias sobre los Centros Educativos de Cantabria.
  • b) De acuerdo con lo establecido en el art韈ulo 46 de este Decreto, se proceder a la creaci髇 del puesto de trabajo de Delegado de Protecci髇 de Datos del Gobierno de Cantabria.
  • c) De acuerdo con lo establecido en el art韈ulo 48 de este Decreto, se proceder a la creaci髇 de los puestos de trabajo de Delegados Adjuntos de protecci髇 de datos, para el 醡bito de:
    • 1. La Consejer韆 con competencia en materia de empleo y pol韙icas sociales.
    • 2. General para la Administraci髇 de la Comunidad Aut髇oma de Cantabria.

Disposici髇 adicional segunda Expediente para la modificaci髇 de la Estructura Org醤ica y la Relaci髇 de Puestos de Trabajo de la Consejer韆 de Presidencia, Interior, Justicia y Acci髇 Exterior con relaci髇 a la Oficina de Asistencia T閏nica

1. Con posterioridad a la creaci髇 de los puestos de trabajo prevista en la disposici髇 adicional primera de este Decreto se iniciar el correspondiente expediente para la creaci髇 de los siguientes puestos de trabajo:

  • a) Un puesto de trabajo de Jefe de la Oficina de Asistencia T閏nica para la protecci髇 de datos personales.
  • b) Un puesto de trabajo de Asesor jur韉ico adscrito a la oficina de asistencia t閏nica para la protecci髇 de datos personales.

Disposici髇 adicional tercera Medidas presupuestarias

Por la Consejer韆 de Econom韆 y Hacienda se proceder a realizar cuantas actuaciones presupuestarias sean necesarias para la financiaci髇, ejecuci髇 y desarrollo del presente Decreto, como asimismo de las modificaciones de la Estructura Org醤ica y Relaci髇 de Puestos de Trabajo de la Consejer韆 de Presidencia, Interior, Justicia y Acci髇 Exterior.

Disposici髇 adicional cuarta Plazo para convocatoria de concursos espec韋icos

En el plazo m醲imo de 3 meses desde la aprobaci髇 de la creaci髇 de los puestos de trabajo previstos en este Decreto, se proceder a la publicaci髇 en el Bolet韓 Oficial de Cantabria de la convocatoria del procedimiento de concurso de m閞itos espec韋ico para la provisi髇 de los puestos de trabajo de Responsables Sectoriales de Seguridad de la Informaci髇, Delegado de Protecci髇 de Datos y Delegados adjuntos.

Disposici髇 adicional quinta Adhesiones a la Pol韙ica Integral de Seguridad de la Informaci髇 de la Administraci髇 de la Comunidad Aut髇oma de Cantabria

El Servicio C醤tabro de Salud, las entidades del sector p鷅lico empresarial y fundacional, y otros organismos p鷅licos y entidades de derecho p鷅lico vinculadas o dependientes de la Administraci髇 de la Comunidad Aut髇oma de Cantabria que no est閚 en el 醡bito de aplicaci髇 de la presente Pol韙ica de Seguridad de la Informaci髇, podr醤 adherirse a ella, estableciendo su propia gesti髇 de la Seguridad de la Informaci髇, y especificando los mecanismos de desarrollo y adaptaci髇 que sean precisos para atender a sus necesidades espec韋icas. As mismo, deber醤 dotarse de los medios humanos y materiales necesarios para su efectiva implantaci髇.

Disposici髇 adicional sexta Coordinadores Sectoriales de Seguridad de la Informaci髇 del Organismo Pagador y del Servicio C醤tabro de Empleo

Para adecuar a la presente Pol韙ica Integral de Seguridad la "Orden PRE/49/2016, de 22 de julio, por la que regula la estructura de gesti髇 de seguridad de la informaci髇 y de la continuidad de los servicios del Organismo Pagador" y la "Orden PRE/50/2016, de 22 de julio, por la que regula la estructura de gesti髇 de seguridad de la informaci髇 y de la continuidad de los servicios del Servicio C醤tabro de Empleo", las figuras creadas con estas 髍denes denominadas "Responsable Sectorial de Seguridad de la Informaci髇 del Organismo Pagador" y "Responsable Sectorial de Seguridad de la Informaci髇 del Servicio C醤tabro de Empleo", pasar醤 a denominarse "Coordinador Sectorial de Seguridad de la Informaci髇 del Organismo Pagador" y "Coordinador Sectorial de Seguridad de la Informaci髇 del Servicio C醤tabro de Empleo". Conservar醤 las mismas funciones especificadas en ambas 髍denes, adem醩 de tener asignadas las funciones correspondientes a la figura de Coordinador Sectorial de Seguridad que se establecen en el presente Decreto.

Disposici髇 adicional s閜tima La Protecci髇 de Datos personales relativos a los Centros docentes gestionados por la Consejer韆 competente en materia de Educaci髇

Mediante Orden de la Consejera de Educaci髇 y Formaci髇 Profesional se establecer醤 las medidas de gesti髇 integral y organizaci髇 de la protecci髇 de datos de los Centros docentes gestionados por la Consejer韆.

Disposici髇 adicional octava La seguridad de la informaci髇 y los datos personales relativos a la salud

Mediante Orden del Consejero competente en materia de sanidad se establecer醤 las medidas de gesti髇 integral y organizaci髇 de la seguridad de la informaci髇 sanitaria y de la protecci髇 de datos de salud en el 醡bito del sistema sanitario p鷅lico de Cantabria.

DISPOSICIONES TRANSITORIAS

Disposici髇 transitoria primera Del ejercicio del cargo de Delegado de Protecci髇 de Datos hasta el nombramiento definitivo conforme las previsiones del presente Decreto

El ejercicio del cargo de Delegado de Protecci髇 de Datos hasta el momento del nombramiento legal conforme las previsiones del presente Decreto de un nuevo Delegado de Protecci髇 de Datos, continuar醤 siendo desempe馻das por el funcionario de carrera que tenga otorgado el nombramiento para el desempe駉 de este cargo, o bien, por la persona jur韉ica a la que se le hubiera podido contratar estos servicios.

Disposici髇 transitoria segunda Desempe駉 temporal de las funciones asignadas otras unidades u 髍ganos

Hasta que se proceda a las adaptaciones y modificaciones legales necesarias de los 髍ganos y puestos de trabajo afectados por la asignaci髇 de las nuevas funciones y tareas previstas en el presente Decreto, 閟tas deber醤 ser prestadas por los actuales titulares de los mismos, desde el momento de entrada en vigor del presente Decreto.

Disposici髇 transitoria tercera Desempe駉 transitorio del cargo de Delegados Adjuntos de Protecci髇 de Datos

Hasta la creaci髇 y posterior provisi髇 definitiva de los puestos de trabajo de Delegados Adjuntos de Protecci髇 de Datos, en el plazo m醲imo de tres meses desde la publicaci髇 de este Decreto, se deber proceder al nombramiento por resoluci髇 de la Secretaria General de la Consejer韆 con competencia en materia de empleo y pol韙icas sociales para los tratamientos vinculados a la misma y, por la Secretaria General de la Consejer韆 de Presidencia, Interior, Justicia y Acci髇 Exterior, a funcionarios p鷅licos adscritos a cada una de ellas, que ostenten, al menos, la cualificaci髇 de titulaci髇 exigida por este Decreto para esta clase de puestos.

Disposici髇 transitoria cuarta Desempe駉 del cargo de Responsable de Seguridad de la Informaci髇 de la Administraci髇 de la Comunidad Aut髇oma de Cantabria

El cargo de Responsable de Seguridad de la Informaci髇 de la Comunidad Aut髇oma de Cantabria, ser desempe馻do por la persona adscrita al 髍gano directivo con competencias en materia que inform醫ica que ocupe el puesto de Jefe de Servicio de Seguridad de la Informaci髇 adscrito a este 髍gano o en su defecto por la persona a la que se le haya encomendado dicha funci髇 mediante el correspondiente nombramiento por resoluci髇 de la Secretaria General.

Disposici髇 transitoria quinta Desempe駉 del cargo de Responsables Sectoriales de Seguridad de la Informaci髇

El cargo de Responsables Sectoriales de Seguridad de la Informaci髇, ser desempe馻do por las personas adscritas al 髍gano directivo con competencias en materia que inform醫ica a puestos que incluyan esas funciones o en su defecto por la persona a la que se le haya encomendado dicho cargo funci髇 mediante el correspondiente nombramiento por resoluci髇 de la Secretaria General.

DISPOSICIONES DEROGATORIAS

Disposici髇 derogatoria 鷑ica Derogaci髇 Normativa

1. Quedan derogadas cuantas disposiciones de igual o inferior rango que se opongan o contradigan lo dispuesto en este Decreto.

2. En particular, quedan derogados el Decreto 31/2015, de 14 de mayo, por el que se aprueba la Pol韙ica de Seguridad de la Informaci髇 de la Administraci髇 de la Comunidad Aut髇oma de Cantabria y el Decreto 48/1994, de 18 de octubre, por el que se regulan los ficheros informatizados con datos personales dependientes de los 髍ganos de la Administraci髇 de la Comunidad Aut髇oma de Cantabria y sus organismos aut髇omos.

LE0000553388_20150526Ir a Norma afectadaLE0000052225_19941025Ir a Norma afectada

DISPOSICIONES FINALES

Disposici髇 final primera Desarrollo normativo

Se faculta a la persona titular de la Consejer韆 de Presidencia, Interior, Justicia y Acci髇 Exterior para dictar cuantas disposiciones sean precisas para la aplicaci髇 y desarrollo del presente Decreto.

Disposici髇 final segunda Cl醬sula de G閚ero

Todas las referencias contenidas en este Decreto expresadas en masculino gramatical, cuando se refieran a personas f韘icas deben entenderse referidas indistintamente a hombres y mujeres y a sus correspondientes adjetivaciones masculinas o femeninas.

Disposici髇 final tercera Entrada en vigor

El presente Decreto entrar en vigor el d韆 siguiente de su publicaci髇 en el Bolet韓 Oficial de Cantabria.