Orden de 5 de noviembre de 2024, por la que se establece la pol韙ica de seguridad de la informaci髇 de la Consejer韆 de Agricultura, Pesca, Agua y Desarrollo Rural

• Expandir / Contraer 韓dice sistem醫ico
• INTRODUCCION
• CAP蚑ULO I.�Disposiciones generales
  • Art韈ulo 1燨bjeto
  • Art韈ulo 2燤isi髇 de la Consejer韆
  • Art韈ulo 3犃mbito de aplicaci髇
  • Art韈ulo 4燤arco normativo
• CAP蚑ULO II.�Pol韙ica de seguridad de la informaci髇
  • Art韈ulo 5燨bjetivos de la pol韙ica de seguridad de la informaci髇
  • Art韈ulo 6燩rincipios b醩icos de la seguridad de la informaci髇
  • Art韈ulo 7燫equisitos m韓imos de seguridad
  • Art韈ulo 8燛structura organizativa de la seguridad de la informaci髇
  • Art韈ulo 9燙omit� de Seguridad de la Informaci髇 de la Consejer韆
  • Art韈ulo 10燜uncionamiento del Comit�
  • Art韈ulo 11燯nidad de seguridad de la Informaci髇
  • Art韈ulo 12燯nidad de seguridad interior y Puntos coordinadores de seguridad interior
  • Art韈ulo 13燩ersonas responsables de la informaci髇 y de los servicios de la Consejer韆
  • Art韈ulo 14燩ersonas responsables de los sistemas
  • Art韈ulo 15燩ersona responsable de Seguridad y Enlace de Infraestructuras Cr韙icas
  • Art韈ulo 16燫esponsable de Seguridad de la Informaci髇 de Servicios Esenciales
  • Art韈ulo 17燚elegado/a de Protecci髇 de Datos
  • Art韈ulo 18燫esponsables y encargados de tratamientos de datos personales
  • Art韈ulo 19燫esoluci髇 de conflictos
  • Art韈ulo 20燫esponsabilidad del Personal
  • Art韈ulo 21燭erceras partes
  • Art韈ulo 22燚esarrollo documental de la seguridad de la informaci髇
  • Art韈ulo 23燬eguridad de los Datos Personales
  • Art韈ulo 24燝esti髇 de riesgos
  • Art韈ulo 25燩revenci髇, detecci髇 y respuesta frente a incidentes de seguridad y continuidad de los servicios
  • Art韈ulo 26燜ormaci髇 y concienciaci髇 en seguridad de la informaci髇
  • Art韈ulo 27燗uditor韆s y conformidad con la normativa
  • Art韈ulo 28燙ooperaci髇 con otros 髍ganos y otras administraciones en materia de seguridad de la informaci髇
  • Art韈ulo 29燫evisi髇, actualizaci髇 permanente y difusi髇 de la Pol韙ica de Seguridad de la Informaci髇
• DISPOSICIONES ADICIONALES
  • Disposici髇 adicional 鷑ica燙onstituci髇 del Comit� de Seguridad de la Informaci髇
• DISPOSICIONES TRANSITORIAS
  • Disposici髇 transitoria 鷑ica燤antenimiento de funciones y responsabilidades
• DISPOSICIONES DEROGATORIAS
  • Disposici髇 derogatoria 鷑ica燚erogaci髇 de normas
• DISPOSICIONES FINALES
  • Disposici髇 final primera燞abilitaci髇 para ejecuci髇 y desarrollo
  • Disposici髇 final segunda燛ntrada en vigor

Art韈ulo 1 Objeto

1. La presente orden tiene por objeto establecer la pol韙ica de seguridad de la informaci髇 (en adelante PSI), en el 醡bito de la Consejer韆 de Agricultura, Pesca, Agua y Desarrollo Rural (en adelante Consejer韆), as� como su marco organizativo y tecnol骻ico. El alcance de la PSI engloba cualquier aspecto espec韋ico relativo a la pol韙ica de seguridad de las tecnolog韆s de la informaci髇 y comunicaciones (en adelante TIC), a la pol韙ica de seguridad interior y a la pol韙ica de seguridad de datos personales.

2. La presente orden constituye el documento de pol韙ica de seguridad de la informaci髇 de la Consejer韆.

Art韈ulo 2 Misi髇 de la Consejer韆

1. La misi髇 de la Consejer韆 se corresponde con la propuesta y ejecuci髇 de las directrices del Gobierno de Andaluc韆 en relaci髇 con las competencias que les son atribuidas en el art韈ulo 1 del Decreto 157/2022, de 9 de agosto, por el que se establece la estructura org醤ica de la Consejer韆, modificado por el Decreto 165/2024, de 26 de agosto.

Art韈ulo 3 羗bito de aplicaci髇

1. La pol韙ica de seguridad de la informaci髇 de la Consejer韆 ser� de aplicaci髇 adem醩 de a sus 髍ganos directivos centrales y perif閞icos, a las entidades vinculadas o dependientes de la misma en cada momento, en coordinaci髇 con lo establecido en las posibles pol韙icas de seguridad propias de estas y otras dependencias derivadas de posibles dobles adscripciones de entidades.

2. Deber� ser observada por todo el personal que acceda a sus sistemas de informaci髇 o a la propia informaci髇 que sea gestionada por la Consejer韆, mediante el uso de activos de tecnolog韆s de la informaci髇 y comunicaciones o de cualquier otro tipo, con independencia de cu醠 sea su destino, adscripci髇 o relaci髇 con la misma.

Art韈ulo 4 Marco normativo

1. Se asume como marco normativo general el que en cada momento aplique a la Consejer韆 en virtud de su naturaleza legal y sus competencias.

2. Se asume como marco normativo espec韋ico en seguridad TIC el que sea definido en cada momento por la Consejer韆 u organismo competente en este 醡bito. Se asume como marco normativo espec韋ico en seguridad interior el que sea definido en cada momento por la Consejer韆 u organismo competente en este 醡bito.

3. La normativa aplicable en los 醡bitos anteriormente mencionados deber� estar recogida en un listado de requisitos legales aplicables, disponible para su consulta y que tendr� que mantenerse actualizado.

4. La Consejer韆 podr� ampliar y desarrollar su marco documental espec韋ico en materia de seguridad de la informaci髇 en los t閞minos previstos en el art韈ulo 22 de esta orden.

Art韈ulo 5 Objetivos de la pol韙ica de seguridad de la informaci髇

1. Son objetivos de la pol韙ica de seguridad de la informaci髇 de la Consejer韆:

• a) Garantizar la seguridad de la informaci髇, protegiendo los activos o recursos de informaci髇.
• b) Crear la estructura b醩ica de organizaci髇 de la seguridad de la informaci髇 de la Consejer韆, as� como los mecanismos para su posible ampliaci髇.
• c) Marcar las directrices, los objetivos y los principios b醩icos de seguridad de la informaci髇 de la organizaci髇.
• d) Orientar la organizaci髇 hacia la prestaci髇 de servicios basados en la gesti髇 de riesgos, a trav閟 de un 鷑ico modelo integral de gesti髇 de la seguridad de la informaci髇, que cubra un ciclo continuo de mejora.
• e) Servir de base para el desarrollo de las normas, procedimientos y procesos de gesti髇 de la seguridad de la informaci髇.

2. Estos objetivos incorporan para el 醡bito de actuaci髇 de la Consejer韆 los objetivos establecidos para la Administraci髇 de la Junta de Andaluc韆 y contenidos en el art韈ulo 4 del Decreto 1/2011, de 11 de enero, relativos a la pol韙ica de seguridad de las tecnolog韆s de la informaci髇 y comunicaciones, y en el art韈ulo 4 del Decreto 171/2020, de 13 de octubre, por el que se establece la Pol韙ica de Seguridad Interior en la Administraci髇 de la Junta de Andaluc韆 contra riesgos intencionales, relativos a la pol韙ica de seguridad interior.

Art韈ulo 6 Principios b醩icos de la seguridad de la informaci髇

1. Los principios b醩icos que regir醤 la pol韙ica de seguridad de la informaci髇 de la Consejer韆 ser醤 los establecidos en el Esquema Nacional de Seguridad (en adelante ENS) por el art韈ulo 5 del Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad, en la Pol韙ica de Seguridad TIC de la Junta de Andaluc韆, en el art韈ulo 5 del Decreto 1/2011, de 11 de enero, y por la Pol韙ica de seguridad interior en la Administraci髇 de la Junta de Andaluc韆, en el art韈ulo 5 del Decreto 171/2020, de 13 de octubre, integr醤dose en los siguientes:

• a) Gesti髇 integral de la seguridad: la seguridad se definir� y gestionar� como un proceso integral constituido por todos los elementos humanos, materiales, t閏nicos, jur韉icos y organizativos relacionados con los sistemas de informaci髇 de la Consejer韆, sobre los que se procurar� el mantenimiento de sus dimensiones de confidencialidad, autenticidad, integridad, disponibilidad, trazabilidad y privacidad. Se prestar� especial atenci髇 a la concienciaci髇 de los diferentes intervinientes en el proceso y sus superiores jer醨quicos, con objeto de favorecer la necesaria coordinaci髇 imprescindible para minimizar los riesgos en la seguridad.
• b) Gesti髇 de la seguridad basada en riesgos: todos los sistemas incluidos en el alcance de esta pol韙ica deber醤 estar incluidos en un an醠isis de riesgos que se realizar� al menos anualmente, siguiendo una metodolog韆 reconocida, identificando y valorando los activos, evaluando las amenazas y las salvaguardas aplicadas. Se elaborar� un informe del an醠isis de riesgos realizado y un plan de mejora de la seguridad de la informaci髇 para el tratamiento de dichos riesgos que reval鷈 la idoneidad de las medidas de seguridad existentes y las actualice cuando sea necesario, de acuerdo con el principio de proporcionalidad en costes econ髆icos y operativos y con el principio de prioridad en la protecci髇 de las personas en relaci髇 a los activos.

  Este an醠isis se revisar� al menos cuando cambie la informaci髇 manejada o los servicios prestados, cuando ocurra un incidente grave de seguridad o se reporten vulnerabilidades cr韙icas.

• c) Prevenci髇, detecci髇, respuesta y conservaci髇. Se deben implementar las medidas de seguridad determinadas por las normas y leyes que le sean de aplicaci髇, as� como cualquier control adicional identificado a trav閟 de una evaluaci髇 de amenazas y riesgos. Estos controles estar醤 claramente definidos y documentados, en orden a reducir la posible materializaci髇 de amenazas, favorecer su r醦ida detecci髇 y permitir una eficaz gesti髇 de la respuesta y restauraci髇 de la informaci髇 y servicios afectados. Se adoptar醤 medidas que permitan detectar incidentes de seguridad y se establecer醤 canales adecuados para su comunicaci髇 y mecanismos para responder eficazmente a los incidentes en el menor tiempo posible, designando un punto de contacto para centralizar y gestionar el intercambio de informaci髇 asociada a los incidentes de seguridad, as� como estableciendo protocolos para el intercambio de informaci髇 relacionada con dichos incidentes.

  Se deber� garantizar en la medida de lo posible la disponibilidad de los servicios ofrecidos a la ciudadan韆, en funci髇 de la criticidad de los mismos, as� como la conservaci髇 de los datos e informaci髇 en soporte electr髇ico.

• d) Existencia de l韓eas de defensa. Se adoptar� una estrategia de protecci髇 basada en m鷏tiples capas de seguridad, constituidas por medidas organizativas, f韘icas y l骻icas, que permitan evitar en la medida de lo posible, que la informaci髇 o los servicios se vean perjudicados por incidentes de seguridad y desarrollar una adecuada reacci髇 ante los mismos, evitando una afectaci髇 del conjunto de activos.
• e) Principio de vigilancia continua y re-evaluaci髇 peri骴ica. Dado que los servicios se pueden degradar r醦idamente debido a incidentes que, en funci髇 de su gravedad, pueden producir desde una simple desaceleraci髇 hasta la detenci髇 de los mismos, se debe monitorizar la operaci髇 de los servicios de manera continua para detectar anomal韆s en los niveles de prestaci髇 requeridos, actuando en consecuencia. La revisi髇 de alertas, eventos y logs es especialmente relevante para establecer l韓eas de defensa. Para ello, se implantar醤 mecanismos de detecci髇, an醠isis y reporte que lleguen a las personas responsables regularmente, a efectos de detectar cu醤do se produce una desviaci髇 significativa de los par醡etros de servicio marcados.
• f) Principio de responsabilidad. Todas las personas que de una forma u otra participen en la utilizaci髇, operaci髇, administraci髇 o gesti髇 de un sistema de informaci髇, ser醤 responsables de observar las normas de seguridad establecidas. Para ello las correspondientes responsabilidades deber醤 quedar determinadas de forma expl韈ita, y ser comunicadas a cada una de ellas.

  Se diferenciar� el responsable de la informaci髇, el responsable del servicio, el responsable de la seguridad y el responsable del sistema, estando diferenciada la responsabilidad sobre la explotaci髇 de los sistemas de informaci髇 respecto a la responsabilidad de la seguridad.

• g) Gesti髇 de la seguridad en el ciclo de vida de los activos: los recursos inform醫icos y la informaci髇 se encontrar醤 inventariados, con una persona responsable asociada y, en caso de ser necesario, una persona custodia de los mismos. Los inventarios se mantendr醤 actualizados para asegurar su validez. Los activos de informaci髇 estar醤 clasificados de acuerdo a su sensibilidad y criticidad para el desarrollo de la actividad de la Consejer韆, en funci髇 de la cual se establecer醤 las medidas de seguridad exigidas para su protecci髇, teni閚dose en cuenta las especificaciones de seguridad en todas las fases del ciclo de vida de los mismos.

Art韈ulo 7 Requisitos m韓imos de seguridad

La pol韙ica de seguridad de la informaci髇 de la Consejer韆 se desarrollar� de acuerdo a los siguientes requisitos m韓imos, exigibles en proporci髇 a los riesgos identificados para cada sistema:

• a) Organizaci髇 e implantaci髇 del proceso de seguridad, que debe comprometer a todo el personal de la Consejer韆, informados y conocedores de la presente pol韙ica y de las responsabilidades de su cumplimiento.
• b) An醠isis y gesti髇 de los riesgos.
• c) Gesti髇 de personal. Se implantar醤 los mecanismos necesarios para que cualquier persona que acceda o pueda acceder a los sistemas de informaci髇 de la Consejer韆 conozca sus responsabilidades, y de este modo se reduzca el riesgo derivado de un uso indebido de dichos activos.
• d) Profesionalidad. La seguridad de los sistemas de informaci髇 estar� atendida, revisada y auditada por personal cualificado.
• e) Autorizaci髇 y control de los accesos. Se limitar� el acceso a los activos de informaci髇 mediante la implantaci髇 de los mecanismos de identificaci髇, autenticaci髇 y autorizaci髇 acordes con su calificaci髇 y sujetos a plazos de vigencia.
• f) Protecci髇 de las instalaciones. Los sistemas de informaci髇 estar醤 emplazados en 醨eas seguras, protegidas por controles de acceso f韘icos adecuados a su criticidad. Los locales donde se ubiquen los sistemas dispondr醤 de elementos adecuados para el eficaz funcionamiento del equipamiento all� instalado.
• g) Adquisici髇 de productos de seguridad y contrataci髇 de servicios de seguridad. Las diferentes unidades organizativas identificar醤 los requisitos de seguridad a incluir para la adquisici髇 de productos o la contrataci髇 de servicios.
• h) Seguridad por defecto. Con anterioridad a la puesta en servicio de cualquier sistema de informaci髇 ser� obligatorio verificar que cumple los requisitos y especificaciones de seguridad que se hubieran establecido.
• i) Integridad y actualizaci髇 del sistema. Se requerir� una autorizaci髇 formal previa a la instalaci髇 de un sistema por parte del responsable del servicio. Se deber� conocer el estado de la seguridad del sistema en relaci髇 con las recomendaciones y actualizaciones de seguridad recomendadas por el fabricante.
• j) Protecci髇 de la informaci髇 almacenada y en tr醤sito. Toda la informaci髇 almacenada de forma centralizada ser� peri骴icamente respaldada. La informaci髇 que se transmita a trav閟 de redes de comunicaciones o soportes port醫iles estar� adecuadamente protegida, teniendo en cuenta su calificaci髇 y criticidad, mediante mecanismos que garanticen su seguridad.
• k) Prevenci髇 ante otros sistemas de informaci髇 interconectados. Se dispondr� de sistemas de protecci髇 del per韒etro de los sistemas de la Consejer韆, permitiendo 鷑icamente el tr醤sito de los flujos previamente autorizados. Se asegurar� la autenticidad del otro extremo de un canal de comunicaci髇 antes de intercambiar informaci髇 alguna.
• l) Registro de actividad. Se registrar醤 aquellos eventos que se consideren de inter閟, tanto para la detecci髇 de actividades que puedan comprometer la seguridad, como para dejar constancia de aquellas otras actividades que permitan verificar y evidenciar la efectividad de los controles, las normas de seguridad establecidas por la Consejer韆 y los requisitos legales aplicables.
• m) Incidentes de seguridad, ante los que se dispondr� de un adecuado procedimiento de gesti髇.
• n) Continuidad de la actividad. Las unidades organizativas deber醤 elaborar planes de continuidad del negocio. Se implantar醤 mecanismos apropiados para asegurar la disponibilidad de los sistemas de informaci髇 teniendo en cuenta la valoraci髇 de la dimensi髇 de disponibilidad.
• �) Mejora continua del proceso de seguridad, aplicando criterios y m閠odos reconocidos en la pr醕tica nacional e internacional.

Art韈ulo 8 Estructura organizativa de la seguridad de la informaci髇

1. La gesti髇 de la seguridad de la informaci髇 va 韓timamente ligada al establecimiento de una organizaci髇 de seguridad. Dicha organizaci髇 se establece mediante la identificaci髇 de las diferentes actividades y responsabilidades en materia de gesti髇 de la seguridad y mediante su asignaci髇 formal a los agentes que correspondan, agrupadas en los siguientes bloques de responsabilidad:

• a) La especificaci髇 de las necesidades y requisitos en materia de seguridad de la informaci髇.
• b) El desarrollo y/o explotaci髇 de sistemas de informaci髇.
• c) La funci髇 de supervisi髇 de la seguridad de los sistemas de informaci髇 y de la seguridad interior.

2. La estructura organizativa b醩ica de gesti髇 de la seguridad de la informaci髇 en el 醡bito de la Consejer韆 estar� compuesta por los siguientes agentes:

• a) Comit� de Seguridad de la Informaci髇.
• b) Unidad de Seguridad de la Informaci髇.
• c) Unidad de Seguridad Interior y Puntos Coordinadores de Seguridad Interior.
• d) Personas responsables de la Informaci髇.
• e) Personas responsables de los Servicios.
• f) Personas responsables de los Sistemas.
• g) Persona responsable de Seguridad y Enlace de Infraestructuras Cr韙icas.
• h) Responsable de Seguridad de la Informaci髇 de Servicios Esenciales.
• i) Delegado/a de Protecci髇 de Datos.
• j) Responsables o encargados de tratamientos de datos personales.

3. En cada una de las entidades vinculadas o dependientes existir� una estructura organizativa de gesti髇 de la seguridad de la informaci髇 que estar� compuesta al menos por:

• a) Comit� de Seguridad Interior y de Seguridad TIC.
• b) Personas responsables de la Informaci髇.
• c) Personas responsables de los Servicios.
• d) Personas responsables de los Sistemas.
• e) Persona responsable de Seguridad.
• f) Unidad de Seguridad Interior y Puntos Coordinadores de Seguridad Interior, si el Comit� los considera necesarios por virtud del volumen o singularidad de los activos de la entidad.
• g) Delegado/a de Protecci髇 de Datos.
• h) Responsables o encargados de tratamientos de datos personales.

4. Dependiendo de las necesidades y circunstancias de la organizaci髇, en ciertos casos, la funci髇 de algunos de estos agentes podr� recaer sobre una misma persona, unidad o departamento, teniendo en cuenta las siguientes salvedades:

• a) De acuerdo con el art韈ulo 11.2 del Real Decreto 311/2022, de 3 de mayo, y art韈ulo 5.j) del Decreto 1/2011, de 11 de enero, la responsabilidad de la seguridad de los sistemas de tecnolog韆s de la informaci髇 y comunicaciones estar� diferenciada de la responsabilidad sobre la prestaci髇 de los servicios, no pudiendo recaer en una misma persona la condici髇 de responsable de seguridad y la de responsable de la informaci髇, servicios o sistemas.
• b) Las que se deriven de la normativa reguladora en materia de Infraestructuras Cr韙icas, Servicios Esenciales, Protecci髇 de Datos Personales y, en particular. la posible existencia de conflicto de intereses.
• c) De conformidad con la organizaci髇 interna de la Consejer韆, las responsabilidades que esta orden asocie a las personas titulares de los centros directivos ser醤 incompatibles con las de responsable de sistemas, de seguridad o de delegado/a de protecci髇 de datos.

5. Este modelo organizativo tiene el car醕ter de m韓imo, pudiendo la Consejer韆 o sus entidades vinculadas o dependientes crear subcomit閟 o perfiles adicionales con responsabilidad en seguridad, para una mejor consecuci髇 de los objetivos y principios establecidos en esta Pol韙ica mediante la ejecuci髇 de las funciones que se le puedan encomendar. Las propuestas de nuevas estructuras o perfiles de seguridad deber醤 ser remitidas, para su estudio y aprobaci髇, al Comit� de Seguridad de la Informaci髇, especificando las funciones que se le asignar醤 y, en caso de perfiles, las competencias requeridas para su desempe駉.

6. Con sujeci髇 al marco previsto por el ENS, por la normativa en materia de protecci髇 de datos, por la pol韙icas de seguridad TIC y de seguridad interior de la Junta de Andaluc韆 y por sus normativas de desarrollo, en las entidades vinculadas o dependientes de la Consejer韆 la responsabilidad de la conformaci髇 y designaci髇 de estas figuras, recaer� sobre las propias entidades vinculadas o dependientes.

Art韈ulo 9 Comit� de Seguridad de la Informaci髇 de la Consejer韆

1. Se crea el Comit� de Seguridad de la Informaci髇 de la Consejer韆, que no tiene car醕ter colegiado para la direcci髇 y seguimiento en materia de seguridad de los activos f韘icos y de informaci髇 de los que la Consejer韆 sea titular o cuya gesti髇 tenga encomendada. Estar� adscrito al 髍gano directivo de la Consejer韆 que ostente las competencias en materia de Seguridad de la Informaci髇.

2. El Comit� de Seguridad de la Informaci髇 de la Consejer韆 estar� formado por los siguientes miembros:

• a) La persona titular del 髍gano directivo de la Consejer韆 que ostente las competencias en materia de Seguridad de la Informaci髇, que ejercer� la presidencia del Comit�; la cual tendr� voto de calidad en la toma de decisiones del Comit� en caso de empate.
• b) La persona titular de la Coordinaci髇 del 髍gano directivo de la Consejer韆 que ostente las competencias en materia de Seguridad de la Informaci髇, que ejercer� la vicepresidencia del Comit�.
• c) La persona titular de cada uno de los Centros Directivos de la Consejer韆 con rango de Viceconsejer韆 o un representante, de nivel 28 o superior, por designaci髇 de la anterior, que actuar� como vocal.
• d) La persona titular del 髍gano directivo de la Consejer韆 al que corresponda la direcci髇 del Organismo Pagador de Andaluc韆 de Fondos Europeos Agrarios o un representante, de nivel 28 o superior, por designaci髇 de la anterior, que actuar� como vocal.
• e) La persona designada por la Agencia Digital de Andaluc韆, de nivel 28 o superior, como responsable del soporte que proporciona a la Consejer韆 en materia de Tecnolog韆s de la Informaci髇 y Comunicaciones, que actuar� como vocal.
• f) Dos representantes, por designaci髇 de la persona titular de la Secretar韆 General T閏nica, seleccionados entre las personas que ostenten las jefaturas de los Servicios de la Secretar韆 General T閏nica con competencias en Legislaci髇, Contrataci髇, Personal y Administraci髇 General, que actuar醤 como vocales.
• g) La persona que hubiere sido designada Delegado/a de Protecci髇 de Datos, que actuar� como vocal, con voz pero sin voto.
• h) La persona que hubiere sido designada Responsable de Seguridad y Enlace de las infraestructuras cr韙icas responsabilidad de la Consejer韆, que actuar� como vocal.
• i) La persona que hubiere sido designada Responsable de Seguridad de la Informaci髇 de los servicios de informaci髇 de la Consejer韆 categorizados como esenciales, que actuar� como vocal. Si dicha designaci髇 hubiese reca韉o en un unidad u 髍gano colegiado, actuar� como vocal la persona titular de la unidad o una persona designada por la presidencia del 髍gano colegiado.
• j) La persona titular de la Unidad de Seguridad Interior, que actuar� como vocal.
• k) La persona titular de la Unidad de Seguridad de la Informaci髇, que actuar� como vocal y que ejercer� la secretar韆 del Comit�; podr� delegar esta funci髇 en un t閏nico/a de su Unidad, que asistir韆 a las reuniones del Comit� con voz pero sin voto.

3. Se habilita el siguiente esquema de suplencias para el caso de que las personas titulares no puedan acudir a las reuniones del mismo.

a) Los vocales titulares de centros directivos podr醤 ser sustituidos por las personas titulares de las correspondientes Coordinaciones. Los vocales que ostenten la Coordinaci髇 de un 髍gano directivo podr醤 ser sustituidos por la persona que designe de su propio 髍gano de nivel 28 o superior.

b) Las personas titulares de centros directivos que designen vocales, deber醤 igualmente proponer sus posibles sustitutos.

c) Los restantes miembros podr醤 designar a una persona suplente que asuma sus funciones interinamente por ausencia o enfermedad; en caso de vacante, la designaci髇 se har� por la persona titular de la presidencia. Se procurar� que la persona suplente pertenezca al mismo 髍gano directivo que la persona vocal a la que suple y deber� contar adem醩 con similar cualificaci髇 y requisitos establecidos para el cargo.

4. En las designaciones de vocales y suplentes del Comit� de Seguridad de la Informaci髇 se procurar� tener en cuenta la composici髇 de g閚ero que permita la representaci髇 equilibrada de mujeres y hombres.

5. Ser醤 funciones propias del Comit� de Seguridad de la Informaci髇 en el 醡bito de la Consejer韆 y sus entidades vinculadas o dependientes:

• a) Impulsar el conocimiento y cumplimiento de la pol韙ica de seguridad de la informaci髇 y su desarrollo normativo, estableciendo las directrices comunes y de supervisi髇 de seguridad de la informaci髇.
• b) Aprobar las propuestas de creaci髇 de nuevas estructuras o perfiles de seguridad y ofrecer asesoramiento, de ser requerido, respecto al nombramiento de perfiles de seguridad.
• c) Realizar tareas de coordinaci髇 con los Comit閟 de Seguridad Interior y Seguridad TIC de las entidades instrumentales vinculadas o dependientes de la Consejer韆.
• d) Velar por la coordinaci髇 entre los diferentes planes estrat間icos en materia de seguridad de la informaci髇 que puedan coexistir tanto en la Consejer韆 como en sus entidades vinculadas o dependientes.
• e) Informar regularmente a la persona titular de la Consejer韆 del estado de la seguridad de la informaci髇 en su 醡bito.
• f) Elevaci髇 de propuestas de revisi髇 de la pol韙ica de seguridad de la informaci髇 de la Consejer韆, de directrices y normas de seguridad de la Consejer韆, o de revisi髇 de los marcos normativos de seguridad interior y de seguridad TIC de la Junta de Andaluc韆, a los 髍ganos competentes para su reglamentaria tramitaci髇.

6. Ser醤 funciones propias del Comit� de Seguridad de la Informaci髇 en el 醡bito de la Consejer韆:

• a) Impulsar el conocimiento y cumplimiento de la pol韙ica de seguridad de la informaci髇 y su desarrollo normativo, estableciendo las directrices comunes y de supervisi髇 de seguridad de la informaci髇.
• b) Definir, aprobar y realizar el seguimiento de los objetivos, iniciativas y planes estrat間icos en materia de seguridad de la informaci髇.
• c) Promover la implantaci髇 y mejora continua del sistema de gesti髇 de la seguridad de la informaci髇 (en adelante SGSI) de la Consejer韆.
• d) Velar por la disponibilidad de los recursos necesarios para desarrollar las iniciativas y planes estrat間icos definidos y priorizar las actuaciones en materia de seguridad en la Consejer韆.
• e) Designar la Unidad de Seguridad de la Informaci髇 de la Consejer韆 entre las unidades existentes en la misma o ratificar la propuesta de cobertura de esta Unidad realizada por la Agencia Digital de Andaluc韆, de entre sus propias unidades y previa solicitud del Comit�, garantiz醤dose siempre el principio de funci髇 diferenciada.
• f) Designar la Unidad de Seguridad Interior de la Consejer韆.
• g) Designar a las personas responsables de los sistemas, o ratificar la propuesta de designaci髇 realizada por la Agencia Digital de Andaluc韆 previa solicitud del Comit�.
• h) Dirimir cualquier posible conflicto respecto a la asignaci髇 de responsabilidades sobre la informaci髇 y los servicios.
• i) Establecer las normas b醩icas de funcionamiento del Grupo de Respuesta ante Incidentes de Seguridad de la Informaci髇 y, en su caso, designar entre sus miembros a participantes en el mismo, adicionales a la composici髇 m韓ima establecida en esta Pol韙ica.
• j) Identificaci髇 de la normativa aplicables a la Consejer韆 en el 醡bito de la Seguridad de la Informaci髇, manteniendo actualizado y aprobando el listado de requisitos legales aplicables.
• k) Determinar los niveles de calificaci髇 de la informaci髇 gestionada por la Consejer韆, estableciendo y documentando los criterios de aplicaci髇.
• l) Aprobaci髇 de los documentos del SGSI de la Consejer韆 correspondientes al segundo y tercer nivel de los definidos en el art韈ulo 22 de esta Pol韙ica.
• m) Coordinar los esfuerzos de todo el equipo humano con responsabilidad en materia de seguridad, elevando propuesta para la resoluci髇 de los conflictos de competencia que se puedan suscitar entre ellos, o resolvi閚dolos cuando el superior jer醨quico de los mismos no pueda hacerlo o delegue su resoluci髇.
• n) Promoci髇 de formaci髇, entrenamiento y concienciaci髇 sobre las medidas legales y organizativas relativas a la seguridad de la informaci髇 entre el personal de la Consejer韆, aprobando los planes anuales de formaci髇.
• o) Coordinar y aprobar los planes de continuidad de la Consejer韆.
• p) Promover, aprobar y realizar el seguimiento de la planificaci髇 de auditor韆s peri骴icas para verificar el correcto cumplimiento de la pol韙ica, la normativa y los procedimientos de seguridad.
• q) Supervisar el nivel de riesgo y la toma de decisiones en la respuesta a incidentes de seguridad que afecten a los activos de informaci髇, monitorizando el desempe駉 de los procesos de gesti髇 de incidentes de seguridad.
• r) Impulsar la determinaci髇 de los niveles de seguridad de la informaci髇 tratada, en la que se valorar醤 los impactos que tendr韆n los incidentes que afectaran a la seguridad de la informaci髇, todo ello con la participaci髇 de las personas Responsables de la Informaci髇 correspondientes y de la Unidad de Seguridad de la Informaci髇.
• s) Impulsar los preceptivos an醠isis de riesgos, junto a las personas Responsables de la Informaci髇 y de los Servicios que correspondan, contando con la participaci髇 de la Unidad de Seguridad de la Informaci髇.
• t) Establecer el nivel de riesgo aceptable, por encima del cual deber韆n adoptarse medidas enfocadas a la reducci髇 del riesgo de las amenazas identificadas, y la aprobaci髇 de los planes de tratamiento que se definan a este respecto.
• u) Coordinar la aceptaci髇 de los riesgos residuales por sus responsables correspondientes respecto de la informaci髇 y/o servicios de su competencia, obtenidos en el an醠isis de riesgos.
• v) Coordinar las medidas t閏nicas y organizativas establecidas para el cumplimiento de la normativa de protecci髇 de datos personales, de acuerdo con los correspondientes an醠isis de riesgos y, en su caso, las evaluaciones de impacto en la protecci髇 de datos, contando con el asesoramiento de la persona delegada de protecci髇 de datos.

Art韈ulo 10 Funcionamiento del Comit�

1. El Comit� se reunir� con car醕ter ordinario al menos dos veces al a駉 y, con car醕ter extraordinario cuando lo decida la persona titular de la presidencia, de oficio o a propuesta de alguno de sus miembros, y siempre que se produzcan incidencias de seguridad graves o surjan nuevas necesidades de seguridad que requieran la participaci髇 del Comit�.

2. El Comit� podr� constituirse, convocar y celebrar sus sesiones, adoptar acuerdos y remitir actas, tanto de forma presencial como a distancia, utilizando redes de comunicaci髇, con las medidas adecuadas que garanticen la identidad de las personas comunicantes, as� como la integridad, confidencialidad y la autenticidad de la informaci髇 entre ellas transmitida. Para su v醠ida constituci髇 y a todos los efectos, se requerir� la asistencia de la presidencia y la secretar韆 del Comit� o en su caso, de quienes les suplan, y la de la mitad, al menos de sus miembros; los acuerdos ser醤 adoptados por mayor韆 de votos, teniendo la presidencia voto dirimente en caso de empate.

3. Cuando el tratamiento de determinadas cuestiones lo requiera, se podr� convocar a las reuniones del Comit� a personal t閏nico especializado, a los efectos de prestar asesoramiento experto, sin que en ning鷑 caso pueda ocasionar coste econ髆ico.

4. La persona que ostente la secretar韆 del Comit� levantar� acta de cada reuni髇 del mismo, pudiendo estar soportada 閟ta en documentaci髇 y evidencias electr髇icas generadas en el desarrollo de la reuni髇, que deber醤 conservarse de forma que se garantice su integridad y autenticidad y la posibilidad de acceso a los mismos por parte de los miembros del Comit�.

Las personas miembros del Comit� de Seguridad y cualquier asistente a sus reuniones est醤 obligadas a respetar la confidencialidad de toda la informaci髇 a la que tengan acceso.

5. El Comit� de Seguridad de la Informaci髇 establecer� entre sus miembros un grupo de respuesta a incidentes de seguridad de la informaci髇, cuya funci髇 ser� la toma urgente de decisiones en caso de contingencia grave que afecte a la seguridad de los activos o sistemas de informaci髇 cr韙icos de la Consejer韆.

Sus normas b醩icas de funcionamiento, que pueden ser ampliadas por el propio Comit�, son las siguientes:

• - El grupo ser� convocado a reuni髇, presencial o a distancia, por el Presidente del Comit�, ante la sospecha de la existencia de tales contingencias.
• - Las decisiones se adoptar醤 por mayor韆 simple de sus miembros, tras la exposici髇 y discusi髇 de las circunstancias existentes, disponiendo el Presidente del Comit� voto dirimente en caso de empate.
• - Las decisiones ser醤 comunicadas al personal y 髍ganos directivos afectados a la mayor urgencia posible, por el miembro del grupo que reciba ese encargo, en funci髇 de su 醡bito habitual de competencias.
• - Las decisiones adoptadas por este grupo ser醤 sometidas con prontitud al conocimiento del Comit� y a la revisi髇 posterior de su eficacia por 閟te, quedando documentadas por la persona que ejerza la secretar韆 del Comit�.

  La composici髇 m韓ima inicial de este grupo, que puede ser ampliada por el propio Comit�, es la siguiente:

• - Persona titular de la presidencia del Comit� de Seguridad de la Informaci髇.
• - Persona responsable de la Unidad de Seguridad de la Informaci髇 de la Consejer韆.
• - Persona responsable de la Unidad de Seguridad Interior de la Consejer韆.
• - Persona o personas responsables de los Sistemas.
• - Delegado/a de Protecci髇 de Datos, realizando funciones de asesor韆

Art韈ulo 11 Unidad de seguridad de la Informaci髇

1. Es la unidad administrativa que asume la responsabilidad de que los servicios y sistemas de informaci髇 se mantengan con el mayor grado de seguridad, atendiendo a los principios establecidos en esta Pol韙ica y supervisando el SGSI implantado. Esta unidad tendr� las atribuciones en materia de seguridad TIC que establece el art韈ulo 11.1 del Decreto 1/2011, de 11 de enero.

2. La Unidad de Seguridad de la Informaci髇 de la Consejer韆 ser� nombrada o renovada, en caso de tratarse de una unidad administrativa perteneciente a la Consejer韆, o ratificada, en caso de unidad administrativa externa propuesta por el organismo con competencias en esta materia, por el Comit� de Seguridad de la Informaci髇, mediante acto documentado que se comunicar� a la persona responsable que se encuentre a su frente. Esta designaci髇 deber� garantizar el cumplimiento del principio de funci髇 diferenciada recogido en el art韈ulo 11 del Esquema Nacional de Seguridad y en el art韈ulo 5.j) del Decreto 1/2011, de 11 de enero.

3. Sus funciones dentro del 醡bito de la Consejer韆 son:

• a) Labores de soporte, asesoramiento e informaci髇 al Comit� de Seguridad de la Informaci髇, as� como de ejecuci髇 de las decisiones y acuerdos adoptados por 閟te.
• b) Supervisar el cumplimiento de la presente Pol韙ica, y de sus normas y procedimientos derivados.
• c) Asesorar en materia de seguridad de la informaci髇 a los integrantes de la Consejer韆 que as� lo requieran.
• d) Coordinaci髇 en materia de seguridad de la informaci髇 en la Consejer韆 y con otros organismos especializados.
• e) Tomar conocimiento y supervisar la investigaci髇 y monitorizaci髇 de los incidentes de seguridad.
• f) Categorizar los diferentes sistemas de informaci髇 existentes en el 醡bito de la Consejer韆 y establecer las medidas de seguridad adecuadas y eficaces para cumplir los requisitos de seguridad definidos por las personas Responsables de los Servicios y de la Informaci髇 afectados por el ENS, siguiendo en todo momento lo exigido en el Anexo II del ENS (Medidas de Seguridad).
• g) Establecer las medidas de seguridad adecuadas y eficaces para cumplir los requisitos de protecci髇 de datos personales, siguiendo en todo momento lo dispuesto en la normativa de Protecci髇 de Datos Personales y contando con el asesoramiento del delegado/a de protecci髇 de datos.
• h) Trasladar los requisitos y medidas de seguridad a aplicar durante el desarrollo de la actividad a las personas Responsables de sistemas, velando por su cumplimiento, para lo que deber� establecer directrices que posibiliten su demostraci髇.
• i) Desarrollo y seguimiento de programas de formaci髇 y concienciaci髇 en su 醡bito de competencia.
• j) Asesorar y participar en el proceso de la gesti髇 de los riesgos a realizar por las personas Responsables de la Informaci髇, de los Servicios o de los Sistemas, en relaci髇 con la adquisici髇, incorporaci髇, desarrollo o modificaci髇 de productos o sistemas de informaci髇 o en el desarrollo de nuevos proyectos.
• k) Elaborar el an醠isis de riesgos de la Consejer韆 y elevar un informe anual sobre el estado del proceso de gesti髇 de riesgos al Comit� de Seguridad de la Informaci髇.
• l) Promover y realizar el seguimiento de las auditor韆s peri骴icas que den cumplimiento a las obligaciones en materia de seguridad de la informaci髇.
• m) Analizar los informes de auditor韆, presentando las conclusiones al Comit� de Seguridad de la Informaci髇, transmitiendo con posterioridad los resultados a las diferentes personas responsables para que adopten las medidas correctoras oportunas.
• n) Elaborar informes peri骴icos de seguridad para el Comit� de Seguridad de la Informaci髇, con inclusi髇 y estudio de los incidentes m醩 relevantes de cada per韔do y la gesti髇 realizada de los mismos, as� como de los principales riesgos residuales asumidos por la organizaci髇, recomendando posibles actuaciones respecto de ellos.

4. Tendr� la condici髇 de Responsable de Seguridad la persona responsable de la Unidad de Seguridad de la Informaci髇, o la designada desde ella para el ejercicio de estas funciones, y en virtud del art韈ulo 10.4 del Decreto 1/2011, de 11 de enero, la presente pol韙ica establece que le corresponder醤 los deberes y responsabilidades correspondientes en los t閞minos recogidos en el ENS y la gu韆 CCN-STIC-801.

5. La Unidad de Seguridad de la Informaci髇 de la Consejer韆 elaborar� y mantendr� un inventario de servicios y sistemas, con indicaci髇 expresa de su categorizaci髇 seg鷑 el ENS y las personas u 髍ganos que asumen, para cada uno de ellos, las figuras de responsable de la informaci髇, responsable del servicio y responsable del sistema. Dicho listado se entregar�, actualizado, al Comit� de Seguridad TIC del organismo en cada una de sus reuniones, con indicaci髇 de aquellas deficiencias o faltas de informaci髇 que se produzcan, de modo que el Comit� disponga de informaci髇 completa y pueda arbitrar los mecanismos necesarios para la subsanaci髇 de las mismas.

Art韈ulo 12 Unidad de seguridad interior y Puntos coordinadores de seguridad interior

1. La Unidad de seguridad interior es la unidad administrativa de la Consejer韆 que asume la responsabilidad ejecutiva para la seguridad interior del conjunto de los activos en su 醡bito, atendiendo a los principios establecidos en esta Pol韙ica. Esta unidad tendr� las atribuciones y funciones que establece el art韈ulo 10 del Decreto 171/2020, de 13 de octubre.

2. La Unidad de Seguridad interior de la Consejer韆 ser� nombrada o renovada por el Comit� de Seguridad de la Informaci髇, mediante acto documentado que se comunicar� a la persona responsable que se encuentre a su frente.

3. Los Puntos coordinadores de seguridad interior tendr醤 las atribuciones y funciones que establece el art韈ulo 13 del Decreto 171/2020, de 13 de octubre. Ser醤 nombrados por la persona titular del 髍gano directivo con competencias en materia de seguridad interior.

Art韈ulo 13 Personas responsables de la informaci髇 y de los servicios de la Consejer韆

1. Las personas Responsables de la informaci髇 y/o de los servicios ser醤 las personas titulares de los centros directivos que decidan sobre la finalidad, contenido y uso de la informaci髇 y/o sobre las caracter韘ticas de los servicios a prestar, as� como las que determinen los niveles de seguridad dentro del marco establecido en el Anexo I del ENS.

2. En virtud del art韈ulo 10.4 del Decreto 1/2011, de 11 de enero, los deberes y responsabilidades principales de estos perfiles de responsabilidad, dentro de su 醡bito de actuaci髇 y sin perjuicio de otras previstas en el ENS y la gu韆 CCN-STIC-801, son los siguientes:

• a) Determinar los requisitos de seguridad de la informaci髇 y/o de los servicios a prestar, identificando los niveles de seguridad de la informaci髇 y/o servicios mediante la valoraci髇 del impacto sobre los mismos de los incidentes que pudieran producirse.
• b) Determinar el nivel de calificaci髇 que debe aplicarse a la informaci髇 bajo su responsabilidad y promover el correcto etiquetado de sus posibles soportes.
• c) Proporcionar la informaci髇 necesaria a la Unidad de Seguridad de la Informaci髇 para realizar los preceptivos an醠isis de riesgos, con la finalidad de establecer las salvaguardas a implantar. Para ello contar� con la ayuda de la persona Responsable del Sistema (o las personas Responsables si hubiere varias).
• d) En relaci髇 con los an醠isis de riesgos de los sistemas de informaci髇, aceptar los riesgos residuales de las informaciones manejadas y/o servicios prestados que sean de su competencia.

3. El nombramiento o renovaci髇 de estas figuras responsables se realiza en virtud de la presente pol韙ica de seguridad de la informaci髇, estando aparejados autom醫icamente a la toma de posesi髇 de la titularidad de los correspondientes centros directivos o unidades organizativas y a la adscripci髇 a los mismos en cada momento de las distintas informaciones manejadas y servicios prestados.

Art韈ulo 14 Personas responsables de los sistemas

1. La figura de Responsable del sistema, desde la perspectiva del ENS, de cada sistema de informaci髇 que gestione la Consejer韆, deber� ser asignada a la persona titular de un Servicio, o cargo equivalente, con competencias en Tecnolog韆s de la Informaci髇 y Comunicaciones, de la Consejer韆 o del organismo de la Junta de Andaluc韆 que le preste soporte TIC.

2. La asignaci髇 de dicha responsabilidad se realizar� por decisi髇 del Comit� de Seguridad de la Informaci髇 de la Consejer韆 y se comunicar�, mediante acto documentado, a la persona o personas designadas.

3. En el caso de aquellos sistemas de informaci髇 cuya implantaci髇, explotaci髇 y mantenimiento se haga fuera de la Consejer韆, mediante empresa externa, 閟ta deber� asumir la responsabilidad de esta figura, debiendo formalizarse a trav閟 de los correspondientes acuerdos y contratos, de los que deber� ser informado el Comit� de Seguridad de la Informaci髇 de la Consejer韆.

4. En virtud del art韈ulo 10.4 del Decreto 1/2011, de 11 de enero, la presente pol韙ica establece que los deberes y responsabilidades de este perfil de responsabilidad ser醤 los previstos en el ENS y la gu韆 CCN-STIC-801 para la figura del Responsable del Sistema.

Art韈ulo 15 Persona responsable de Seguridad y Enlace de Infraestructuras Cr韙icas

1. La Consejer韆 tiene la consideraci髇 de Operador de Infraestructuras Cr韙icas, por lo que se encuentra obligada a la designaci髇 de una persona Responsable de Seguridad y Enlace con la Administraci髇 y a su comunicaci髇 formal a la autoridad competente, en base a lo dispuesto en el art韈ulo 16.1 de la Ley 8/2011, de 28 de abril, por la que se establecen medidas para la protecci髇 de las infraestructuras cr韙icas.

2. La persona Responsable de Seguridad y Enlace velar� en el marco organizativo de la Consejer韆 por la garant韆 de la seguridad de la informaci髇 relativa a las infraestructuras cr韙icas y a sus planes de protecci髇, seg鷑 la clasificaci髇 de la informaci髇 almacenada.

3. Deber� ser informado y participar en el an醠isis y tratamiento de cualquier incidente de seguridad que afecte a la informaci髇 y sistemas relativos a infraestructuras cr韙icas, debiendo velar por su correcta resoluci髇.

4. Los sistemas, las comunicaciones y la informaci髇 referida a la protecci髇 de las infraestructuras cr韙icas contar醤 con las medidas de seguridad necesarias que garanticen su confidencialidad, integridad y disponibilidad, seg鷑 el nivel de clasificaci髇 que les sea asignado.

5. El Comit� de Seguridad de la Informaci髇 actuar� como punto de coordinaci髇 respecto de otros posibles Operadores de Infraestructuras Cr韙icas en el caso de que las mismas se localicen f韘icamente en instalaciones de la Consejer韆.

Art韈ulo 16 Responsable de Seguridad de la Informaci髇 de Servicios Esenciales

1. La Consejer韆 puede tener la consideraci髇 de Operador de Servicios Esenciales, por lo que se encontrar韆 obligada a la designaci髇 del Responsable de Seguridad de la Informaci髇 de los Servicios Esenciales y su comunicaci髇 formal a la autoridad competente, respecto a la que actuar� como punto de contacto y de coordinaci髇 t閏nica, en base a lo dispuesto en el art韈ulo 16.3 del Real Decreto-Ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de informaci髇.

2. El Responsable de Seguridad de la Informaci髇 de Servicios Esenciales velar� en el marco organizativo de seguridad de la Consejer韆 por la adopci髇 de medidas t閏nicas y de organizaci髇, adecuadas y proporcionadas, para gestionar los riesgos que se planteen para la seguridad de las redes y sistemas de informaci髇 utilizados en la prestaci髇 de los servicios esenciales por parte de la Consejer韆, as� como la notificaci髇 de incidentes y la adopci髇 de medidas adecuadas para prevenir y reducir al m韓imo el impacto de los incidente les afecten.

3. El rol de responsable de Seguridad de la Informaci髇 de Servicios Esenciales puede ser desempe馻do por una persona, unidad u 髍gano colegiado.

Art韈ulo 17 Delegado/a de Protecci髇 de Datos

1. La figura del Delegado/a de Protecci髇 de Datos, en los t閞minos establecidos en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protecci髇 de las personas f韘icas en lo que respecta al tratamiento de datos personales y a la libre circulaci髇 de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protecci髇 de Datos, en adelante RGPD), podr� ser asumida por una persona o grupo de personas de la Consejer韆, en base a la existencia de una plaza espec韋ica en la Relaci髇 de Puestos de Trabajo o por simple asignaci髇 de funciones, o por una persona externa, f韘ica o jur韉ica. En cualquiera de estos casos, se deber� acreditar a nivel personal conocimientos especializados en derecho y competencia en materia de protecci髇 de datos. Tendr� una adscripci髇 dentro de la estructura de la organizaci髇 a un 髍gano con competencias y funciones de car醕ter horizontal, a los efectos de poder relacionarse adecuadamente con la direcci髇 de la organizaci髇 y con las autoridades de control, contando con plena independencia de actuaci髇 en el ejercicio de sus funciones.

2. En los casos en que la figura est� atribuida a un grupo de personas de la Consejer韆, una de ellas ostentar� la responsabilidad de su coordinaci髇, convocar� sus reuniones y ejercer� la funci髇 de su representaci髇, quedando este hecho expl韈itamente recogido en el acto de nombramiento. Este grupo de trabajo podr� celebrar sus reuniones y adoptar acuerdos, tanto de forma presencial como a distancia, utilizando redes de comunicaci髇, con las medidas adecuadas que garanticen la identidad de las personas comunicantes, as� como la integridad, confidencialidad y la autenticidad de la informaci髇 entre ellas transmitida. Los acuerdos ser醤 adoptados por mayor韆 de votos, teniendo la persona coordinadora del grupo voto dirimente en caso de empate.

3. El nombramiento o cese de la figura del Delegado/a de Protecci髇 de Datos se realizar� y comunicar�, mediante acto documentado, por la persona titular de la Viceconsejer韆, con el parecer, si es requerido, del Comit� de Seguridad de la Informaci髇 de la Consejer韆. En el nombramiento deber� especificarse el alcance de su designaci髇, indicando los responsables de tratamiento para los que ejercer� sus funciones. El nombramiento o cese de la figura del Delegado/a de Protecci髇 de Datos se comunicar� a la autoridad de control correspondiente de acuerdo con el art韈ulo 34.3 de la Ley Org醤ica 3/2018, de 5 de diciembre, de Protecci髇 de Datos Personales y garant韆 de los derechos digitales.

4. El Delegado/a de Protecci髇 de Datos deber� desempe馻r las funciones y responsabilidades asignadas a dicha figura por la normativa en materia de protecci髇 de datos recogida en el art韈ulo 22 de esta orden.

5. El Delegado/a de Protecci髇 de Datos de la Consejer韆 velar� por la elaboraci髇 y mantenimiento de un registro unificado de tratamientos de datos personales, para lo que contar醤 con la colaboraci髇 de los responsables del tratamiento. En dicho registro constar� indicaci髇 expresa de las personas u 髍ganos que asumen las figuras de responsable del tratamiento, encargado del tratamiento y resto de requisitos exigidos por el art韈ulo 30 del RGPD y por el art韈ulo. 31 de la Ley Org醤ica 3/2018, de 5 de diciembre (LOPDGDD). Dicho listado se entregar� actualizado al Comit� de Seguridad de la Informaci髇 de la Consejer韆 en sus reuniones en caso de que haya sido modificado. Asimismo deber� informar de posibles deficiencias o faltas de informaci髇 que se produzcan, de modo que el Comit� pueda arbitrar los mecanismos necesarios para la subsanaci髇 de las mismas.

Art韈ulo 18 Responsables y encargados de tratamientos de datos personales

1. Los Responsables de los Tratamientos de datos personales de la Consejer韆 ser醤 los 髍ganos directivos que determinen los fines y medios de los tratamientos, de conformidad con el art韈ulo 4.7 del RGPD.

2. Los 髍ganos directivos que realicen tratamientos de datos personales cuya responsabilidad resida en un tercero tendr醤 la consideraci髇 de encargado de tratamiento de conformidad con el art韈ulo 4.8 del RGPD.

3. Los centros directivos, responsables o encargados de tratamientos, deber醤 desempe馻r las funciones y responsabilidades asignadas a dichas figuras por la normativa en materia de protecci髇 de datos recogida en el articulo 23 de esta orden.

Art韈ulo 19 Resoluci髇 de conflictos

1. En caso de conflicto entre diferentes personas, unidades u 髍ganos responsables, 閟te ser� resuelto por el 髍gano superior jer醨quico de los mismos. En defecto de lo anterior, prevalecer� la decisi髇 del Comit� de Seguridad de la Informaci髇.

2. En los conflictos entre las personas responsables que componen la estructura organizativa de la pol韙ica de seguridad de la informaci髇 de la Consejer韆 y las personas responsables definidas en virtud de la normativa de protecci髇 de datos personales prevalecer� la decisi髇 que presente un mayor nivel de exigencia respecto a la protecci髇 de los datos personales. En caso de conflicto en la determinaci髇 de dicho nivel de exigencia, prevalecer� la decisi髇 del Comit� de Seguridad de la Informaci髇.

3. En caso de conflicto de atribuciones se actuar� de acuerdo a lo previsto en el art韈ulo 110 de la Ley 9/2007, de 22 de octubre, de la Administraci髇 de la Junta de Andaluc韆.

Art韈ulo 20 Responsabilidad del Personal

1. La preservaci髇 de la seguridad de la informaci髇 ser� considerada objetivo com鷑 de todas las personas al servicio de los 髍ganos contemplados en el 醡bito de aplicaci髇 de esta norma, siendo 閟tas responsables del uso correcto de los activos, de informaci髇 y/o tecnol骻icos, puestos a su disposici髇.

2. Todas las personas que presten servicios a la Consejer韆 tienen la obligaci髇 de conocer y cumplir, en sus respectivos 醡bitos de actuaci髇, la presente pol韙ica de seguridad, as� como la normativa de seguridad que emana de la misma, siendo responsabilidad del Comit� de Seguridad de la Consejer韆 facilitar los medios necesarios para que la informaci髇 llegue a los interesados.

3. El incumplimiento manifiesto de la Pol韙ica de Seguridad de la Informaci髇 o la normativa y procedimientos derivados de 閟ta podr� acarrear el inicio de las oportunas medidas disciplinarias y, en su caso, las responsabilidades legales correspondientes.

4. Con car醕ter general, para el personal de la Consejer韆, regir醤 las normas de comportamiento de los empleados p鷅licos en el uso de los sistemas inform醫icos y redes de comunicaciones de la Administraci髇 de la Junta de Andaluc韆 vigentes en cada momento.

5. Las normas de uso de los recursos derivadas de esta Pol韙ica ser醤 trasladadas convenientemente, en la medida en que pueda resultar necesario o recomendable, al clausulado de los contratos suscritos por la Consejer韆.

Art韈ulo 21 Terceras partes

1. Cuando la Consejer韆 preste servicios a otros organismos o maneje informaci髇 de estos, se les har� part韈ipes de esta pol韙ica de seguridad de la informaci髇, estableci閚dose los canales que procedan para la comunicaci髇 y coordinaci髇 entre las respectivas organizaciones, en especial para una r醦ida y eficaz reacci髇 ante incidentes de seguridad.

2. Cuando la Consejer韆 utilice servicios de terceros o ceda informaci髇 a terceros, se les har� part韈ipes de esta pol韙ica de seguridad de la Informaci髇 y de la normativa de seguridad que ata馻 a dichos servicios o informaci髇. Dicha tercera parte quedar� sujeta, a trav閟 de cl醬sulas contractuales o acuerdos de nivel de servicio, a las obligaciones generales establecidas en dicha normativa y, espec韋icamente, a la obligaci髇 de comunicar incidentes de seguridad que puedan afectar la seguridad de los sistemas o informaci髇 de la Consejer韆, pudiendo disponer la tercera parte de sus propios procedimientos operativos para satisfacerlas. Se establecer醤 mecanismos de comunicaci髇 y resoluci髇 de incidencias. Se velar� por que el personal de terceros est� adecuadamente concienciado en materia de seguridad, al menos, al mismo nivel que el establecido en esta pol韙ica de seguridad de la informaci髇.

3. Cuando alg鷑 aspecto de esta pol韙ica de seguridad de la informaci髇 no pueda ser satisfecho por una tercera parte seg鷑 se requiere en el p醨rafo anterior, se requerir� un informe de la Unidad de Seguridad de la Informaci髇 que precise los riesgos en que se incurre y la forma de tratarlos. Se requerir� que, antes de continuar con las actuaciones, las personas responsables de la informaci髇 y/o los servicios afectados asuman expresa y plenamente el informe.

Art韈ulo 22 Desarrollo documental de la seguridad de la informaci髇

1. El conjunto de documentos que integran el SGSI se desarrollar� en cinco niveles, seg鷑 el 醡bito de aplicaci髇 y nivel de detalle t閏nico requerido, de manera que cada documento de un determinado nivel se fundamente en los documentos del nivel superior. Dichos niveles de desarrollo documental son los siguientes:

• a) Primer nivel: Pol韙ica de Seguridad de la Informaci髇. Documento de obligado cumplimiento por todo el personal de la Consejer韆, aprobado por la persona titular de la Consejer韆.
• b) Segundo nivel: Normativas de seguridad, que desarrollan y detallan la Pol韙ica de Seguridad de la Informaci髇, estableciendo premisas que deben cumplir las personas usuarias en un 醨ea o aspecto determinado. Son documentos de car醕ter horizontal y de obligado cumplimiento para todo el personal de la Consejer韆 en sus respectivos 醡bitos de actuaci髇; ser醤 aprobadas por el Comit� de Seguridad de la Informaci髇.
• c) Tercer nivel: Procedimientos de seguridad, que detallan las anteriores normativas de seguridad especificando sus procesos de realizaci髇. Son documentos de obligado cumplimiento de acuerdo al 醡bito organizativo, t閏nico o legal correspondiente. Los procedimientos se aprobar醤 por el Comit� de Seguridad de la Informaci髇; en su redacci髇 podr醤 participar las unidades organizativas que participen en el proceso normalizado con la supervisi髇 de la Unidad de Seguridad de la Informaci髇.
• d) Cuarto nivel: Instrucciones T閏nicas de Seguridad de la informaci髇, documentos muy detallados a nivel t閏nico, orientados a pautar determinadas tareas, consideradas cr韙icas por el perjuicio que causar韆 una actuaci髇 inadecuada en las mismas. Su aprobaci髇 recae en la persona responsable del 醨ea donde se desarrollen las actividades descritas en cada instrucci髇.
• e) Quinto nivel: Informes, registros y otras evidencias, documentaci髇 que permite probar el cumplimiento de requisitos y la puesta en pr醕tica de los procedimientos e instrucciones establecidos en los niveles anteriores. La responsabilidad de su generaci髇 es de las personas responsables de las 醨eas donde se desarrollen cada una de las actividades.

2. Al amparo de la presente orden, la Consejer韆 podr� ampliar y desarrollar, sobre la base de los m韓imos establecidos, sus propias normas en materia de seguridad TIC, en virtud del art韈ulo 2.5 de la Orden de 9 de junio de 2016, por la que se efect鷄 el desarrollo de la pol韙ica de seguridad de las tecnolog韆s de la informaci髇 y comunicaciones en la Administraci髇 de la Junta de Andaluc韆.

3. Adem醩 de los documentos citados en el apartado 1, la documentaci髇 de seguridad de la informaci髇 de los 髍ganos contemplados en el 醡bito de aplicaci髇 de esta norma podr� contar, bajo criterio de la Unidad de Seguridad de la Informaci髇 con otros documentos de car醕ter no vinculante: recomendaciones, buenas pr醕ticas, etc.

4. La Unidad de Seguridad de la Informaci髇 deber� mantener la documentaci髇 de seguridad actualizada y organizada, y gestionar los mecanismos de acceso a la misma, de conformidad con las normas y procedimientos de gesti髇 que se establezcan.

5. El Comit� de Seguridad de la Informaci髇 establecer� los mecanismos necesarios para compartir la documentaci髇 derivada del desarrollo documental con el prop髎ito de normalizarlo, en la medida de lo posible, en todo el 醡bito de aplicaci髇 de la Pol韙ica.

Art韈ulo 23 Seguridad de los Datos Personales

1. Para el tratamiento de datos personales por parte de la Consejer韆 se seguir� en todo momento lo establecido en el RGPD, en la Ley Org醤ica 3/2018, de 5 de diciembre, de Protecci髇 de Datos Personales y garant韆 de los derechos digitales y en la restante legislaci髇 europea, nacional y auton髆ica vigente en cada momento en relaci髇 con esta materia. En aplicaci髇 del principio de responsabilidad proactiva establecido en el RGPD, la Consejer韆 debe ser capaz de demostrar la conformidad de los tratamientos de datos realizados con dicha normativa.

2. La gesti髇 de la seguridad de los datos personales se basar� en implantaci髇 de medidas t閏nicas y organizativas desde el dise駉 y por defecto, con vistas a la reducci髇 del riesgo asociado a la tipolog韆 y volumen de los mismos y a la naturaleza de los tratamientos efectuados.

Art韈ulo 24 Gesti髇 de riesgos

1. La gesti髇 de riesgos debe realizarse de manera continua sobre los activos de informaci髇 e infraestructuras de la Consejer韆, conforme a los principios de gesti髇 de la seguridad basada en los riesgos y de re-evaluaci髇 peri骴ica.

2. El proceso de gesti髇 de riesgos comprende las fases de identificaci髇 y valoraci髇 de la informaci髇 manejada y de los servicios prestados, categorizaci髇 de los sistemas, an醠isis de riesgos y selecci髇 de medidas de seguridad a aplicar, las cuales deber醤 ser proporcionales a los riesgos y estar justificadas.

3. Este an醠isis de riesgos deber� realizarse por parte de la Unidad de Seguridad de la informaci髇, a partir de la informaci髇 proporcionada y con la participaci髇 de las personas responsables de servicios, de la informaci髇 y de los sistemas, al menos de forma anual o cuando se produzcan cambios importantes en la informaci髇 manejada o los servicios prestados o ante vulnerabilidades e incidentes de seguridad graves. Como resultado, se elevar� el correspondiente informe al Comit� de Seguridad de la informaci髇, para el establecimiento del nivel de riesgo aceptable y, cuando proceda, la propuesta de medidas a aplicar para evitar los riesgos identificados, as� como de planes de tratamiento pertinentes.

4. Las personas responsables de la informaci髇 y/o servicios son responsables de los riesgos sobre su informaci髇 y/o servicios y, por tanto, de aceptar los riesgos residuales calculados en el an醠isis de riesgos, as� como de realizar su seguimiento y control, sin perjuicio de la posibilidad de delegar esta tarea.

5. En los supuestos de sistemas de informaci髇 que traten datos personales, el responsable o el encargado del tratamiento, asesorado por la figura del delegado/a de protecci髇 de datos, realizar� un an醠isis de riesgos teniendo en cuenta la naturaleza, el 醡bito, el contexto y los fines del tratamiento conforme al art韈ulo 24 del RGPD y, en los supuestos de su art韈ulo 35, una evaluaci髇 de impacto en la protecci髇 de datos. Los responsables del tratamiento, ser醤 responsables de aplicar las medidas t閏nicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo.

6. El Comit� de Seguridad de la informaci髇 realizar� un seguimiento de los riesgos y de la eficacia de las medidas adoptadas para su tratamiento.

7. Para la realizaci髇 de an醠isis de riesgos se utilizar醤 metodolog韆s y herramientas reconocidas en el 醡bito de la Administraci髇 P鷅lica.

Art韈ulo 25 Prevenci髇, detecci髇 y respuesta frente a incidentes de seguridad y continuidad de los servicios

1. La Consejer韆 deber� estar preparado para prevenir, detectar, reaccionar y recuperarse de incidentes, seg鷑 los t閞minos previstos en los art韈ulos 8 y 25 del ENS.

2. El Comit� de Seguridad de la Informaci髇 deber� aprobar y revisar peri骴icamente un plan para mantener la continuidad de los procesos y sistemas cr韙icos y garantizar su recuperaci髇 en caso de desastre. La finalidad de este plan es reducir el tiempo de indisponibilidad a niveles aceptables mediante la combinaci髇 de controles de car醕ter organizativo, tecnol骻ico y procedimental tanto preventivos como de recuperaci髇.

3. A los efectos de una mejor gesti髇 de los incidentes, se actuar� de forma coordinada con el Centro de Respuesta a Incidentes de Seguridad de la Junta de Andaluc韆.

Art韈ulo 26 Formaci髇 y concienciaci髇 en seguridad de la informaci髇

El Comit� de Seguridad de la Informaci髇 aprobar� un Plan anual de formaci髇 y concienciaci髇 en seguridad de la informaci髇 que, salvaguardando las competencias espec韋icas de los organismos corporativos con funciones en este 醡bito, contemplar� las actividades necesarias, destinadas a las personas contempladas en el 醡bito de aplicaci髇 de esta pol韙ica, para fomentar la conciencia de seguridad integral, sensibilizada respecto a los riesgos de seguridad que afectan a todo el personal y en todas sus actividades de tratamiento de la informaci髇. Entre tales actividades se incluir醤 las de difusi髇 de esta pol韙ica de seguridad y de su desarrollo normativo.

Art韈ulo 27 Auditor韆s y conformidad con la normativa

1. La Consejer韆 realizar� revisiones peri骴icas independientes sobre su SGSI, establecido para implementar esta Pol韙ica de Seguridad, con objeto de garantizar el cumplimiento normativo vigente y su adecuaci髇 respecto a est醤dares internacionales de seguridad.

2. Los sistemas de informaci髇 de la Consejer韆 ser醤 objeto, al menos cada dos a駉s, de una auditor韆 regular ordinaria interna y externa que verifique el cumplimiento de los requisitos del ENS. Independientemente, se realizar醤 aquellas auditor韆s que sean requeridas por otras normas o est醤dares que apliquen o se implanten en la Consejer韆. La Unidad de Seguridad de la Informaci髇 realizar� o, en su caso, coordinar�, estas actividades de auditor韆.

3. El sistema de seguridad interior de la Consejer韆 ser� objeto de una auditor韆 regular ordinaria interna o externa que verifique su funcionamiento respecto de las normas o est醤dares que apliquen o se implanten en la Consejer韆. La Unidad de Seguridad Interior realizar� o, en su caso, coordinar�, estas actividades de auditor韆.

4. Con car醕ter extraordinario deber醤 realizarse dichas auditor韆s siempre que se realicen modificaciones sustanciales en el SGSI, en los sistemas de informaci髇 y, en general, en los activos de la Consejer韆, que puedan repercutir en el cumplimiento de las medidas de seguridad requeridas.

5. Los informes de auditor韆 quedar醤 a disposici髇 del Comit� de Seguridad de la Informaci髇. Por su parte, la Unidad de Seguridad de la Informaci髇 y la Unidad de Seguridad Interior deber醤 analizar cada informe y elevar al Comit� de Seguridad de la Informaci髇 las conclusiones que procedan para que 閟te adopte las medidas correctoras adecuadas.

6. La Consejer韆 auditar� su cumplimiento de la normativa de protecci髇 de datos de forma peri骴ica, al menos cada dos a駉s. La persona con funciones de Delegado de Protecci髇 de Datos realizar� o, en su caso, coordinar�, estas actividades de auditor韆, trasladando el informe de auditor韆 y sus conclusiones a la Direcci髇 de la Consejer韆, as� como a los responsables del tratamiento, a fin de que adopten las medidas correctivas necesarias.

Art韈ulo 28 Cooperaci髇 con otros 髍ganos y otras administraciones en materia de seguridad de la informaci髇

A efectos de coordinaci髇, obtenci髇 de asesoramiento e intercambio de experiencias para la mejora continua de la gesti髇 de la seguridad de la informaci髇, se fomentar� el establecimiento de mecanismos de comunicaci髇 por parte de los agentes definidos en el art韈ulo 8 de esta orden con otros agentes especializados en esta materia, en base a sus respectivas funciones y 醡bitos de actuaci髇. En especial, se contemplar醤 los siguientes:

• - El Comit� de Seguridad TIC de la Junta de Andaluc韆 y el Comit� Corporativo de Seguridad Interior de la Junta de Andaluc韆.
• - La Unidad de Seguridad TIC de la Junta de Andaluc韆 y la Unidad Corporativa de Seguridad Interior.
• - La Agencia Digital de Andaluc韆.
• - El Centro de Ciberseguridad de Andaluc韆 y su Centro de Operaciones de Seguridad (SOC).
• - El Centro de Respuesta a Incidentes de Seguridad de la Informaci髇 del Centro Criptol骻ico Nacional (CCN), como soporte y coordinaci髇 para la resoluci髇 de incidentes que sufran las administraciones p鷅licas.
• - El Instituto Nacional de Ciberseguridad.
• - El Grupo de Delitos Telem醫icos de la Guardia Civil y la Brigada de Investigaci髇 Tecnol骻ica del Cuerpo Nacional de Polic韆, para la investigaci髇 de acciones relacionadas con la delincuencia inform醫ica y los fraudes en el sector de las telecomunicaciones.
• - La Agencia Espa駉la de Protecci髇 de Datos y el Consejo de Transparencia y Protecci髇 de Datos de Andaluc韆.

Art韈ulo 29 Revisi髇, actualizaci髇 permanente y difusi髇 de la Pol韙ica de Seguridad de la Informaci髇

1. La pol韙ica de seguridad de la informaci髇 deber� mantenerse actualizada para adecuarla a la evoluci髇 tecnol骻ica y al desarrollo de la sociedad de la informaci髇, as� como a los est醤dares internacionales de seguridad.

2. Las revisiones de la pol韙ica de seguridad de la informaci髇 se har醤 al menos con car醕ter anual por el Comit� de Seguridad de la informaci髇, proponiendo su revisi髇 o el mantenimiento de la misma. Las modificaciones en la pol韙ica de seguridad ser醤 aprobadas por la persona titular de la Consejer韆.

3. A los efectos de su mejor difusi髇 entre el personal de la organizaci髇 y de otras partes interesadas, la pol韙ica de seguridad de la informaci髇 se publicar� y divulgar�, adem醩 de en el Bolet韓 Oficial de la Junta de Andaluc韆, a trav閟 de los medios que se establezcan por el Comit� de Seguridad de la Informaci髇.

Disposici髇 adicional 鷑ica Constituci髇 del Comit� de Seguridad de la Informaci髇

La primera reuni髇 del Comit� de Seguridad de la Informaci髇 tendr� por objeto la constituci髇 del mismo y se celebrar� en un plazo m醲imo de un mes a partir de la entrada en vigor de la presente orden. En dicha reuni髇 se proceder� a la designaci髇 o confirmaci髇 de la Unidad de Seguridad de la Informaci髇 y de la Unidad de Seguridad Interior, a propuesta de la persona titular de la Presidencia del Comit�.

Disposici髇 transitoria 鷑ica Mantenimiento de funciones y responsabilidades

Los agentes que a la fecha de entrada en vigor de esta orden conformen la estructura organizativa de la seguridad de la informaci髇 en la Consejer韆 mantendr醤 sus funciones y responsabilidades, de manera transitoria, hasta la efectiva constituci髇 del nuevo Comit� de Seguridad de la Informaci髇 y la designaci髇 de nuevos agentes que sean requeridas por esta pol韙ica de seguridad de la informaci髇.

Disposici髇 derogatoria 鷑ica Derogaci髇 de normas

Quedan derogadas cuantas disposiciones de igual o inferior rango se opongan a lo establecido en la presente orden y, en particular, la Orden de 30 de marzo de 2021, por la que se establece la pol韙ica de seguridad de la informaci髇 de la Consejer韆 de Agricultura, Ganader韆, Pesca y Desarrollo Sostenible, salvo por su posible utilizaci髇 con car醕ter transitorio por la Consejer韆 de Sostenibilidad y Medio Ambiente en base a la disposici髇 transitoria quinta del Decreto 162/2022, de 9 de agosto, por el que se establece su estructura org醤ica, modificado por el Decreto 170/2024, de 26 de agosto.

LE0000693730_20210408

Disposici髇 final primera Habilitaci髇 para ejecuci髇 y desarrollo

Se habilita a la persona titular del 髍gano directivo de la Consejer韆 con competencias en materia de seguridad de la informaci髇 para dictar cuantas actuaciones sean necesarias para la ejecuci髇 y desarrollo de lo establecido en la presente orden.

Disposici髇 final segunda Entrada en vigor

La presente orden entrar� en vigor el d韆 siguiente al de su publicaci髇 en el Bolet韓 Oficial de la Junta de Andaluc韆.