Orden HFP/873/2021, de 29 de julio, por la que se aprueba la Pol韙ica de Seguridad de la Informaci髇 en el 醡bito de la Administraci髇 digital del Ministerio de Hacienda y Funci髇 P鷅lica

• Expandir / Contraer 韓dice sistem醫ico
• INTRODUCCION
• Art韈ulo 1燨bjeto y 醡bito de aplicaci髇
• Art韈ulo 2燤isi髇 del Departamento
• Art韈ulo 3燤arco legal y regulatorio
• Art韈ulo 4燩rincipios de la seguridad de la informaci髇
• Art韈ulo 5燛structura organizativa
• Art韈ulo 6燛l Comit� de Direcci髇 de Seguridad de la Informaci髇
• Art韈ulo 7燝rupo de trabajo T閏nico de Seguridad de la Informaci髇
• Art韈ulo 8燣os Responsables de Seguridad
• Art韈ulo 9燣os Responsables de la Informaci髇 y los Responsables del Servicio
• Art韈ulo 10燣os Responsables del Sistema
• Art韈ulo 11燛l Delegado de Protecci髇 de Datos
• Art韈ulo 12燣os Responsables y Encargados de tratamiento de datos personales
• Art韈ulo 13燝rupos de trabajo
• Art韈ulo 14燝esti髇 de los riesgos
• Art韈ulo 15燛structura normativa
• Art韈ulo 16燩rotecci髇 de datos de car醕ter personal
• Art韈ulo 17燜ormaci髇 y concienciaci髇
• DISPOSICIONES ADICIONALES
  • Disposici髇 adicional primera燦o incremento del gasto p鷅lico
  • Disposici髇 adicional segunda燚eber de colaboraci髇 en la implantaci髇 de la PSI
• DISPOSICIONES DEROGATORIAS
  • Disposici髇 derogatoria 鷑ica燚erogaci髇 normativa
• DISPOSICIONES FINALES
  • Disposici髇 final 鷑ica燩ublicidad de la PSI y entrada en vigor

Art韈ulo 1 Objeto y 醡bito de aplicaci髇

1. Constituye el objeto de la presente orden la aprobaci髇 de la Pol韙ica de Seguridad de la Informaci髇 (en adelante PSI) en el 醡bito de la Administraci髇 Digital del Ministerio de Hacienda y Funci髇 P鷅lica, as� como su marco organizativo y tecnol骻ico.

2. La PSI ser� de obligado cumplimiento para todos los 髍ganos superiores y directivos del Ministerio de Hacienda y Funci髇 P鷅lica, incluidos los 髍ganos territoriales adscritos al Ministerio, que no tengan establecida su propia pol韙ica de seguridad, siendo aplicable a los activos empleados por el Departamento en la prestaci髇 de los servicios de la Administraci髇 Digital.

3. Se podr醤 adscribir a la presente PSI aquellos organismos y entidades de derecho p鷅lico vinculados o dependientes del Ministerio de Hacienda y Funci髇 P鷅lica que no tengan establecida su propia pol韙ica de seguridad y as� lo soliciten.

4. La PSI ser� de obligado cumplimiento para todo el personal que acceda tanto a los sistemas de informaci髇 como a la propia informaci髇 que sea gestionada por el Departamento, con independencia de cu醠 sea su destino, adscripci髇 o relaci髇.

Art韈ulo 2 Misi髇 del Departamento

El Ministerio de Hacienda y Funci髇 P鷅lica es el Departamento de la Administraci髇 General del Estado encargado de la propuesta y ejecuci髇 de la pol韙ica del Gobierno en las siguientes materias: hacienda p鷅lica, presupuestos y gastos, administraci髇 p鷅lica, funci髇 p鷅lica y gobernanza p鷅lica, empresas p鷅licas, aplicaci髇 y gesti髇 de los sistemas de financiaci髇 auton髆ica y local, provisi髇 de informaci髇 sobre la actividad econ髆ico-financiera de las distintas administraciones p鷅licas y estrategia, coordinaci髇 y normativa en materia de contrataci髇 p鷅lica.

Art韈ulo 3 Marco legal y regulatorio

El marco normativo en que se desarrollan las actividades del Ministerio de Hacienda y Funci髇 P鷅lica en el 醡bito de la prestaci髇 de los servicios electr髇icos a los ciudadanos, sin perjuicio de la legislaci髇 espec韋ica, se compone de:

• 1. Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protecci髇 de las personas f韘icas en lo que respecta al tratamiento de datos personales y a la libre circulaci髇 de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protecci髇 de datos).
• 2. Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electr髇icos de confianza.
• 3. Ley 8/2011, de 28 de abril, por la que se establecen medidas para la protecci髇 de las infraestructuras cr韙icas.
• 4. Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Com鷑 de las Administraciones P鷅licas.
• 5. Ley 40/2015, de 1 de octubre, de R間imen Jur韉ico del Sector P鷅lico.
• 6. Ley 9/2017, de 8 de noviembre, de Contratos del Sector P鷅lico, por la que se transponen al ordenamiento jur韉ico espa駉l las Directivas del Parlamento Europeo y del Consejo 2014/23/UE y 2014/24/UE, de 26 de febrero de 2014.
• 7. Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de informaci髇 que traspone la Directiva Europea NIS (Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo, de 6 de julio de 2016.
• 8. Ley Org醤ica 3/2018, de 5 de diciembre, de Protecci髇 de Datos Personales y garant韆 de los derechos digitales.
• 9. Real Decreto 1553/2005, de 23 de diciembre, por el que se regula el documento nacional de identidad y sus certificados de firma electr髇ica.
• 10. Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Org醤ica 15/1999, de 13 de diciembre, de Protecci髇 de Datos de Car醕ter Personal.
• 11. Real Decreto 203/2021, de 30 de marzo, por el que se aprueba el Reglamento de actuaci髇 y funcionamiento del sector p鷅lico por medios electr髇icos.
• 12. Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en al 醡bito de la Administraci髇 Electr髇ica y las Instrucciones T閏nicas de Seguridad dictadas para su aplicaci髇.
• 13. Real Decreto 4/2010, de 8 de enero, por el que se regula el Esquema Nacional de Interoperabilidad en al 醡bito de la Administraci髇 Electr髇ica y las Normas T閏nicas de Interoperabilidad dictadas su aplicaci髇.
• 14. Orden HAP/548/2013, de 2 de abril, por la que se crean y regulan sedes electr髇icas en el Ministerio de Hacienda y Administraciones P鷅licas.
• 15. Orden HAP/547/2013, de 2 de abril, por la que se crea y se regula el Registro Electr髇ico del Ministerio de Hacienda y Administraciones P鷅licas.

Del mismo modo, forman parte del marco regulatorio las normas aplicables a la Administraci髇 Electr髇ica del Departamento que desarrollen o complementen las anteriores y que se encuentren dentro del 醡bito de aplicaci髇 de la PSI.

Art韈ulo 4 Principios de la seguridad de la informaci髇

1. Principios b醩icos.

Los principios b醩icos son directrices fundamentales de seguridad que han de tenerse siempre presentes en cualquier actividad relacionada con el uso de los activos de informaci髇. Se establecen los siguientes:

• a) Alcance estrat間ico: La seguridad de la informaci髇 debe contar con el compromiso y apoyo de todos los niveles directivos de forma que pueda estar coordinada e integrada con el resto de iniciativas estrat間icas del Departamento para conformar un todo coherente y eficaz.
• b) Responsabilidad diferenciada: En los sistemas de informaci髇 se diferenciar� el responsable de la informaci髇, que determina los requisitos de seguridad de la informaci髇 tratada; el responsable del servicio, que determina los requisitos de seguridad de los servicios prestados; el responsable del sistema, que tiene la responsabilidad sobre la prestaci髇 de los servicios; y el responsable de seguridad, que determina las decisiones para satisfacer los requisitos de seguridad. En los supuestos de tratamientos de datos personales adem醩 se identificar� el responsable de tratamiento y, en su caso, el encargado de tratamiento, de acuerdo con el art韈ulo 12 de esta Orden.
• c) Seguridad integral: La seguridad se entender� como un proceso integral constituido por todos los elementos t閏nicos, humanos, materiales y organizativos, relacionados con el sistema, evitando, salvo casos de urgencia o necesidad, cualquier actuaci髇 puntual o tratamiento coyuntural. La seguridad de la informaci髇 debe considerarse como parte de la operativa habitual, estando presente y aplic醤dose desde el dise駉 inicial de los sistemas de informaci髇.
• d) Gesti髇 de Riesgos: El an醠isis y gesti髇 de riesgos ser� parte esencial del proceso de seguridad. La gesti髇 de riesgos permitir� el mantenimiento de un entorno controlado, minimizando los riesgos hasta niveles aceptables. La reducci髇 de estos niveles se realizar� mediante el despliegue de medidas de seguridad, que establecer� un equilibrio entre la naturaleza de los datos y los tratamientos, el impacto y la probabilidad de los riesgos a los que est閚 expuestos y la eficacia y el coste de las medidas de seguridad. El an醠isis y gesti髇 de riesgos, cuando se aplique al tratamiento de datos personales, tendr� especial consideraci髇 con los riesgos para los derechos y libertades de las personas f韘icas.
• e) Proporcionalidad: El establecimiento de medidas de protecci髇, detecci髇 y recuperaci髇 deber� ser proporcional a los potenciales riesgos y a la criticidad y valor de la informaci髇 y de los servicios afectados.
• f) Mejora continua: Las medidas de seguridad se reevaluar醤 y actualizar醤 peri骴icamente para adecuar su eficacia a la constante evoluci髇 de los riesgos y sistemas de protecci髇. La seguridad de la informaci髇 ser� atendida, revisada y auditada por personal cualificado, instruido y dedicado.
• g) Seguridad por defecto: Los sistemas deben dise馻rse y configurarse de forma que garanticen un grado suficiente de seguridad y protecci髇 de datos personales por defecto y desde el dise駉.

2. Principios particulares.

Las directrices fundamentales de seguridad se concretan en un conjunto de principios particulares y responsabilidades espec韋icas, que se configuran como objetivos instrumentales que garantizan el cumplimiento de los principios b醩icos de la PSI y que inspiran las actuaciones del Departamento en dicha materia. Se establecen los siguientes:

• a) Protecci髇 de datos de car醕ter personal: se adoptar醤 las medidas t閏nicas y organizativas destinadas a garantizar y poder demostrar que la seguridad del tratamiento es conforme con la normativa vigente en materia de protecci髇 de datos personales
• b) Gesti髇 de activos de informaci髇: Los activos de informaci髇 del Departamento se encontrar醤 inventariados y categorizados y estar醤 asociados a un responsable.
• c) Seguridad ligada a las personas: se implantar醤 los mecanismos necesarios para que cualquier persona que acceda o pueda acceder a los activos de informaci髇, conozca sus responsabilidades y de este modo se reduzca el riesgo derivado de un uso indebido de dichos activos.
• d) Seguridad f韘ica: Los activos de informaci髇 ser醤 emplazados en 醨eas seguras, protegidas por controles de acceso f韘icos adecuados a su nivel de criticidad. Los sistemas y los activos de informaci髇 que contienen dichas 醨eas estar醤 suficientemente protegidos frente a amenazas f韘icas o ambientales.
• e) Seguridad en la gesti髇 de comunicaciones y operaciones: se establecer醤 los procedimientos necesarios para lograr una adecuada gesti髇 de la seguridad, operaci髇 y actualizaci髇 de las Tecnolog韆s de la Informaci髇 y Comunicaciones. La informaci髇 que se transmita a trav閟 de redes de comunicaciones deber� ser adecuadamente protegida, teniendo en cuenta su nivel de sensibilidad y de criticidad, mediante mecanismos que garanticen su seguridad.
• f) Control de acceso: se limitar� el acceso a los activos de informaci髇 por parte de usuarios, procesos y otros sistemas de informaci髇 mediante la implantaci髇 de los mecanismos de identificaci髇, autenticaci髇 y autorizaci髇 acordes a la criticidad de cada activo. Adem醩, quedar� registrada la utilizaci髇 del sistema con objeto de asegurar la trazabilidad del acceso y auditar su uso adecuado, conforme a la actividad de la organizaci髇.
• g) Adquisici髇, desarrollo y mantenimiento de los sistemas de informaci髇: se contemplar醤 los aspectos de seguridad de la informaci髇 en todas las fases del ciclo de vida de los sistemas de informaci髇, garantizando su seguridad por defecto.
• h) Gesti髇 de los incidentes de seguridad: se implantar醤 los mecanismos apropiados para la correcta identificaci髇, registro, notificaci髇 y resoluci髇 de los incidentes de seguridad.
• i) Gesti髇 de la continuidad: se implantar醤 los mecanismos apropiados para asegurar la disponibilidad de los sistemas de informaci髇 y mantener la continuidad de sus procesos de negocio, de acuerdo a las necesidades de nivel de servicio de sus usuarios.
• j) Cumplimiento: se adoptar醤 las medidas t閏nicas, organizativas y procedimentales necesarias para el cumplimiento de la normativa legal vigente en materia de seguridad de la informaci髇 y protecci髇 de datos personales.

Art韈ulo 5 Estructura organizativa

La estructura organizativa para la gesti髇 de la seguridad de la informaci髇 en el 醡bito descrito por la PSI del Ministerio de Hacienda y Funci髇 P鷅lica est� compuesta por los siguientes agentes:

• 1. El Comit� de Direcci髇 de Seguridad de la Informaci髇.
• 2. El Grupo de trabajo T閏nico de Seguridad de la Informaci髇.
• 3. Los Responsables de Seguridad.
• 4. Los Responsables de la Informaci髇.
• 5. Los Responsables del Servicio.
• 6. Los Responsables del Sistema.
• 7. El Delegado de la Protecci髇 de Datos del departamento y los Delegados de Protecci髇 de Datos de los organismos p鷅licos adscritos al departamento.

Art韈ulo 6 El Comit� de Direcci髇 de Seguridad de la Informaci髇

1. El Comit� de Direcci髇 de Seguridad de la Informaci髇 (en adelante CDSI), adscrito a la Subsecretar韆 del Ministerio de Hacienda y Funci髇 P鷅lica, est� compuesto por los siguientes miembros:

• a) Presidente: La persona titular de la Subsecretar韆 del Ministerio de Hacienda y Funci髇 P鷅lica.
• b) Vicepresidente Primero: La persona titular de la Inspecci髇 General del Ministerio de Hacienda y Funci髇 P鷅lica.
• c) Vicepresidente Segundo: La persona titular del Departamento de Servicios y Coordinaci髇 Territorial.
• d) Vocales:
  • 1.� Dos representantes de la Secretar韆 de Estado de Hacienda, nombrados por el titular de dicho 髍gano superior, de los que al menos uno de ellos tenga rango m韓imo de director general y el otro con rango m韓imo de subdirector general.
  • 2.� Dos representantes de la Secretar韆 de Estado de Presupuestos y Gastos, nombrados por el titular de dicho 髍gano superior, de los que al menos uno de ellos tenga rango m韓imo de director general y el otro con rango m韓imo de subdirector general.
  • 3.� Dos representantes de la Secretar韆 de Estado de Funci髇 P鷅lica, nombrados por el titular de dicho 髍gano superior, de los que al menos uno de ellos tenga rango m韓imo de director general y el otro con rango m韓imo de subdirector general.
  • 4.� Un representante de la Intervenci髇 General de la Administraci髇 del Estado, nombrado por el titular de dicho 髍gano, con rango m韓imo de subdirector general.
  • 5.� La persona titular de la Subdirecci髇 General de Tecnolog韆s de la Informaci髇 y de las Comunicaciones, que actuar� como Secretario.
  • 6.� El Delegado de Protecci髇 de Datos del departamento, que participar� con voz pero sin voto, haci閚dose constar en acta su parecer si no coincide con la decisi髇 adoptada por el CDSI.

2. El CDSI ejercer� las siguientes funciones:

• a) Aprobar las propuestas de modificaci髇 y actualizaci髇 permanente que se hagan sobre la PSI.
• b) Aprobar el resto de la normativa de seguridad de primer nivel definida en el art韈ulo 15.
• c) Velar e impulsar el cumplimiento de la PSI y de su desarrollo normativo.
• d) Promover la mejora continua en la gesti髇 de la seguridad de la informaci髇 y la protecci髇 de datos personales.
• e) Seguimiento del estado de la pol韙ica de continuidad del negocio e impulso de su mejora
• f) Resolver los posibles conflictos que puedan derivarse del establecimiento de la citada estructura organizativa.

3. El CDSI se reunir� con car醕ter ordinario al menos una vez al a駉, y con car醕ter extraordinario cuando lo decida su Presidente y las sesiones se celebrar醤 de forma presencial o a distancia, lo que se especificar� necesariamente en la convocatoria.

4. El CDSI podr� recabar del personal t閏nico, propio o externo, la informaci髇 pertinente para la toma de sus decisiones.

5. En lo no previsto en esta Orden, el funcionamiento del CDSI se ajustar� a lo dispuesto en materia de 髍ganos colegiados por la secci髇 3.� del cap韙ulo II del t韙ulo preliminar de la Ley 40/2015, de 1 de octubre.

Art韈ulo 7 Grupo de trabajo T閏nico de Seguridad de la Informaci髇

1. El 獹rupo de Trabajo T閏nico de Seguridad de la Informaci髇� (GTTSI en adelante), dependiente del CDSI, es competente, con car醕ter permanente, para conocer las cuestiones t閏nicas que deban de abordarse en relaci髇 con la PSI.

2. El GTTSI estar� compuesto por los siguientes miembros: el titular de la Subdirecci髇 General de Tecnolog韆s de la Informaci髇 y de las Comunicaciones, un Inspector de los Servicios, los responsables de Seguridad definidos en el art韈ulo 8 y el Delegado de Protecci髇 de Datos ministerial. Asimismo, y con el fin de asegurar la coordinaci髇 en materia de seguridad de la informaci髇 con el conjunto del Ministerio y con otras instancias de la AGE, el GTTSI contar� con la participaci髇 del responsable de del seguridad de la Agencia Estatal de la Administraci髇 Tributaria y, en el mismo, podr醤 participar representantes de 髍ganos superiores o directivos del Ministerio de Hacienda y Funci髇 P鷅lica y organismos y entidades de derecho p鷅lico vinculados o dependientes Departamento a las que no les sea de aplicaci髇 la PSI.

3. El GTTSI colaborar� con el CDSI en las cuestiones que 閟te le encomiende y, de forma particular le corresponder�:

• a) Elaborar estudios, an醠isis previos y propuestas de modificaci髇 y actualizaci髇 de la PSI.
• b) Elaborar estudios, an醠isis previos y propuestas para el resto de la normativa de seguridad de primer nivel definida en el art韈ulo 15.
• c) Analizar el cumplimiento de la PSI y de su desarrollo normativo.
• d) Analizar las medidas de seguridad de la informaci髇, de protecci髇 de datos personales y de los servicios electr髇icos prestados por los sistemas de informaci髇.
• e) Analizar el estado de la pol韙ica de continuidad del negocio.
• f) Estudiar las actividades de concienciaci髇 y formaci髇 en materia de seguridad.

4. El GTTSI se reunir� con car醕ter ordinario con una frecuencia m韓ima de dos veces al a駉 y m醲ima de cuatro, y con car醕ter extraordinario cuando lo decida el presidente del CDSI. Las sesiones se celebrar醤 de forma presencial o a distancia, lo que se especificar� necesariamente en la convocatoria.

5. En lo no previsto en esta Orden el funcionamiento del grupo de trabajo se ajustar� a lo dispuesto en materia de 髍ganos colegiados por la secci髇 3.� del cap韙ulo II del t韙ulo preliminar de la Ley 40/2015, de 1 de octubre.

Art韈ulo 8 Los Responsables de Seguridad

1. Conforme al art韈ulo 10 del ENS, el Responsable de Seguridad es la persona que determina las decisiones para satisfacer los requisitos de seguridad de la informaci髇 y de los servicios.

Cada 髍gano superior o directivo del Ministerio de Hacienda y Funci髇 P鷅lica, as� como cada organismo o entidad de derecho p鷅lico vinculado o dependiente del Departamento a los que sea de aplicaci髇 la presente PSI designar� un Responsable de Seguridad, sin que, de acuerdo con lo previsto en la disposici髇 adicional primera de la presente Orden, implique, en ning鷑 caso, un aumento de las actuales dotaciones ni de las retribuciones de dichos efectivos por ning鷑 concepto.

2. El 醡bito de actuaci髇 de cada Responsable de Seguridad se limitar� 鷑ica y exclusivamente a los sistemas de informaci髇 y servicios de tecnolog韆s de la informaci髇 y de las comunicaciones que sean competencia y responsabilidad directa del centro o centros para los que haya sido designado Responsable de Seguridad.

3. Ser醤 funciones de cada Responsable de Seguridad, dentro del 醡bito de actuaci髇 enunciado en el punto anterior, las siguientes:

• a) Promover la seguridad de la informaci髇 manejada, la protecci髇 de datos personales y de los servicios electr髇icos prestados por los sistemas de informaci髇.
• b) Elaborar la normativa de seguridad de segundo y tercer nivel definida en el art韈ulo 15.
• c) Velar e impulsar el cumplimiento del cuerpo normativo definido en el art韈ulo 15.
• d) Encargarse de que la documentaci髇 de seguridad se mantenga organizada y actualizada, y de gestionar los mecanismos de acceso a dicha documentaci髇.
• e) Promover la mejora continua en la gesti髇 de la seguridad de la informaci髇.
• f) Impulsar la formaci髇 y concienciaci髇 en materia de seguridad de la informaci髇.
• g) Cualesquiera otras funciones que el Real Decreto 3/2010, de 8 de marzo, asigne a los responsables de seguridad.

Art韈ulo 9 Los Responsables de la Informaci髇 y los Responsables del Servicio

1. Los Responsables de la Informaci髇 tienen la potestad, dentro de su 醡bito de actuaci髇 y de sus competencias, de establecer los requisitos de la informaci髇 que manejan y, por lo tanto, de su protecci髇.

2. Los Responsables del Servicio tienen la potestad, dentro de su 醡bito de actuaci髇 y de sus competencias, de establecer los requisitos del servicio en materia de seguridad y, por tanto, la potestad de determinar los niveles de seguridad del servicio

3. Si la informaci髇 manejada incluye datos de car醕ter personal, los Responsables de la Informaci髇 y los Responsables del Servicio deber醤 tener en cuenta, adem醩, los requisitos derivados de la legislaci髇 correspondiente sobre protecci髇 de datos.

4. Cada 髍gano superior o directivo del Ministerio de Hacienda y Funci髇 P鷅lica, as� como cada organismo o entidad de derecho p鷅lico vinculado o dependiente del Departamento a los que, conforme al art韈ulo 1, les sea de aplicaci髇 la presente PSI, designar� estos perfiles de acuerdo con su propia organizaci髇 interna, sin que, de acuerdo con lo previsto en la disposici髇 adicional primera de la presente Orden, implique, en ning鷑 caso, un aumento de las actuales dotaciones ni de las retribuciones de dichos efectivos por ning鷑 concepto.

Art韈ulo 10 Los Responsables del Sistema

1. El Responsable del Sistema es la persona cuya responsabilidad es desarrollar, operar y mantener el sistema de informaci髇 durante todo su ciclo de vida.

2. Cada 髍gano superior o directivo del Ministerio de Hacienda y Funci髇 P鷅lica, as� como cada organismo o entidad de derecho p鷅lico vinculado o dependiente del Departamento a los que, conforme al art韈ulo 1, les sea de aplicaci髇 la presente PSI, designar� este perfil de acuerdo con su propia organizaci髇 interna, sin que, de acuerdo con lo previsto en la disposici髇 adicional primera de la presente Orden, implique, en ning鷑 caso, un aumento de las actuales dotaciones ni de las retribuciones de dichos efectivos por ning鷑 concepto.

Art韈ulo 11 El Delegado de Protecci髇 de Datos

El Delegado de Protecci髇 de Datos, designado en virtud de lo dispuesto en los apartados 1.s) y 2.e) del art韈ulo 14 del Real Decreto 1113/2018, de 7 de septiembre, por el que se desarrolla la estructura org醤ica b醩ica del Ministerio de Hacienda, en virtud de lo establecido en el Reglamento General de Protecci髇 de Datos (Reglamento UE 2016/679) y la Ley Org醤ica 3/2018, de 5 de diciembre, de Protecci髇 de Datos Personales y garant韆 de los derechos digitales, es 鷑ico para todo el Departamento, sin perjuicio de la existencia de Delegados de Protecci髇 de Datos en los organismos p鷅licos adscritos al Departamento y del nombramiento de coordinadores en todos los 髍ganos superiores del Departamento y en la Intervenci髇 General de la Administraci髇 del Estado.

Art韈ulo 12 Los Responsables y Encargados de tratamiento de datos personales

1. El responsable de tratamiento es la persona f韘ica o jur韉ica, autoridad p鷅lica, servicio u otra entidad que, solo o junto con otros, determina los fines y medios del tratamiento y aplica las medidas t閏nicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con la normativa vigente en materia de protecci髇 de datos personales.

La identidad del responsable de tratamiento figura en el registro de las actividades de tratamiento efectuadas bajo su responsabilidad, de acuerdo con lo dispuesto en el art韈ulo 30 del Reglamento General de Protecci髇 de Datos.

2. El encargado de tratamiento es la persona f韘ica o jur韉ica, autoridad p鷅lica, servicio u otro organismo que trata datos personales por cuenta del responsable del tratamiento.

Art韈ulo 13 Grupos de trabajo

El CDSI podr� articular la creaci髇 de grupos de trabajo para la realizaci髇 de actividades tales como: estudios, trabajos e informes, que se estimen convenientes.

Art韈ulo 14 Gesti髇 de los riesgos

1. La gesti髇 de riesgos debe realizarse de manera continua sobre los sistemas de informaci髇 y contemplar un an醠isis de riesgos avanzado que eval鷈 los riesgos residuales y proponga tratamientos adecuados. Cuando el an醠isis de riesgos se aplique a tratamientos de datos personales, se tendr醤 en cuenta los riesgos posibles que afecten a los derechos y libertades de las personas f韘icas.

2. Cada 髍gano superior o directivo del Ministerio de Hacienda y Funci髇 P鷅lica, as� como cada organismo o entidad de derecho p鷅lico vinculado o dependiente del Departamento a los que, conforme al art韈ulo 1, les sea de aplicaci髇 la presente PSI, y siempre dentro de su 醡bito de actuaci髇 y de sus competencias, se encargar� de analizar y evaluar los riesgos de funcionamiento de los servicios a fin de establecer las correspondientes medidas preventivas.

3. Para la realizaci髇 del an醠isis de riesgos se tendr醤 en cuenta las recomendaciones publicadas para el 醡bito de la Administraci髇 P鷅lica y en especial las gu韆s elaboradas por el Centro Criptol骻ico Nacional y la Agencia Espa駉la de Protecci髇 de Datos.

Art韈ulo 15 Estructura normativa

1. El cuerpo normativo sobre seguridad de la informaci髇 es de obligado cumplimiento y se estructura en los siguientes niveles relacionados jer醨quicamente:

• a) Primer nivel normativo: constituido por la PSI y las directrices generales de seguridad aplicables a los 髍ganos superiores o directivos del Ministerio de Hacienda y Funci髇 P鷅lica a los que, conforme al art韈ulo 1, sea de aplicaci髇 la presente PSI.
• b) Segundo nivel normativo: constituido por las normas de seguridad desarrolladas por cada 髍gano superior o directivo del Ministerio de Hacienda y Funci髇 P鷅lica, as� como por cada organismo p鷅lico dependiente del Departamento a los que, conforme al art韈ulo 1, les sea de aplicaci髇 la presente PSI. Estas normas de seguridad deber醤:
  • 1.� Limitarse 鷑ica y exclusivamente al 醡bito espec韋ico de las competencias de cada uno de dichos 髍ganos u organismos adscritos a la presente PSI. Este 醡bito vendr� determinado por los sistemas de informaci髇, los tratamientos de datos personales y servicios de tecnolog韆s de la informaci髇 y de las comunicaciones que sean prestados y gestionados directamente por dicho 髍gano u organismo.
  • 2.� Cumplir estrictamente con lo indicado en el ENS, con la normativa vigente en materia de protecci髇 de datos personales y con el primer nivel normativo enunciado en el presente art韈ulo.
  • 3.� Ser aprobadas dentro del 醡bito de cada uno de los citados 髍ganos u organismos adscritos a la presente PSI.
• c) Tercer nivel normativo: Procedimientos, gu韆s e instrucciones t閏nicas. Son documentos que, cumpliendo con lo expuesto en la PSI, determinan las acciones o tareas a realizar en el desempe駉 de un proceso. Este tercer nivel normativo deber�:
  • 1.� Limitarse 鷑ica y exclusivamente al 醡bito espec韋ico de las competencias de cada uno de dichos 髍ganos u organismos adscritos a la presente PSI. Este 醡bito vendr� determinado por los sistemas de informaci髇, los tratamientos de datos personales y servicios de tecnolog韆s de la informaci髇 y de las comunicaciones que sean prestados y gestionados directamente por dicho 髍gano u organismo.
  • 2.� Cumplir estrictamente con lo indicado en el ENS, con la normativa vigente en materia de protecci髇 de datos personales y con el primer y segundo nivel normativos enunciados en el presente art韈ulo.
  • 3.� Ser aprobado dentro del 醡bito de cada uno de los citados 髍ganos u organismos adscritos a la presente PSI.

2. Adem醩 de la normativa enunciada con anterioridad, la estructura normativa podr� disponer, a criterio de cada uno de los 髍ganos u organismos adscritos a la presente PSI, y siempre dentro del 醡bito de sus competencias y responsabilidades, de otros documentos tales como: est醤dares de seguridad, buenas pr醕ticas, informes t閏nicos, etc.

3. El personal de cada uno de los 髍ganos, organismos o entidades adscritos a la presente PSI tendr� la obligaci髇 de conocer y cumplir, adem醩 de la presente PSI, todas las directrices generales, normas y procedimientos de seguridad de la informaci髇 que puedan afectar a sus funciones.

Art韈ulo 16 Protecci髇 de datos de car醕ter personal

1. La seguridad de los datos personales, incluida la protecci髇 contra el tratamiento no autorizado o il韈ito y contra su p閞dida, destrucci髇 o da駉 accidental, constituye uno de los principios que deben regir su tratamiento, aplic醤dose para ello las medidas t閏nicas u organizativas apropiadas que garanticen un nivel de seguridad adecuado al riesgo, teniendo en cuenta el estado de la t閏nica, los costes de aplicaci髇, y la naturaleza, el alcance, el contexto y los fines del tratamiento, as� como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas f韘icas. El cumplimiento de este principio corresponde al responsable del tratamiento que, adicionalmente, debe ser capaz de demostrarlo y aplicarlo de forma temprana en la fase de dise駉 del tratamiento y garantizando que su aplicaci髇 sea efectiva por defecto.

Esta responsabilidad se articular� a trav閟 del marco organizativo establecido en la presente Pol韙ica de Seguridad y se llevar� a cabo de conformidad con la normativa aplicable en materia de protecci髇 de datos personales relacionada en el art. 3 de esta Orden y el Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el 醡bito de la Administraci髇 Electr髇ica, prevaleciendo las medidas derivadas de la aplicaci髇 de la normativa de protecci髇 de datos cuando, tras un an醠isis de riesgos, se estime que las mismas son superiores a las previstas en el Esquema Nacional de Seguridad.

2. La observaci髇 del principio de seguridad del tratamiento de los datos personales cobrar� especial relevancia cuando sea probable que un determinado tratamiento entra馿 un alto riesgo para los derechos y libertades de las personas f韘icas, en cuyo caso el responsable del tratamiento recabar� el asesoramiento del delegado de protecci髇 de datos al realizar la preceptiva evaluaci髇 de impacto relativa a la protecci髇 de datos.

3. Las auditor韆s de seguridad previstas en el Esquema Nacional de Seguridad incorporar醤 la revisi髇 de las medidas t閏nicas y organizativas de seguridad de los datos personales a las que se refiere este art韈ulo.

Art韈ulo 17 Formaci髇 y concienciaci髇

1. Se desarrollar醤 actividades formativas espec韋icas orientadas a la concienciaci髇 y formaci髇 de los empleados p鷅licos del Departamento, as� como a la difusi髇 entre los empleados de la PSI y de su desarrollo normativo.

2. El Grupo de trabajo t閏nico de Seguridad de la Informaci髇 y los Responsables de Seguridad se encargar醤 de promover las actividades de formaci髇 y concienciaci髇 en materia de seguridad, seg鷑 lo indicado en el art韈ulo 7, apartado 3, letra f), y en el art韈ulo 8, apartado 3, letra f), de esta Orden.

Disposici髇 adicional primera No incremento del gasto p鷅lico

Las medidas descritas en esta orden no supondr醤 incremento del gasto, siendo atendidas con los medios personales, t閏nicos y presupuestarios asignados al Ministerio de Hacienda y Funci髇 P鷅lica.

Disposici髇 adicional segunda Deber de colaboraci髇 en la implantaci髇 de la PSI

Todos los 髍ganos y unidades del Departamento prestar醤 su colaboraci髇 en las actuaciones de implementaci髇 de la PSI aprobada por esta orden.

Disposici髇 derogatoria 鷑ica Derogaci髇 normativa

Quedan derogadas las disposiciones de igual o inferior rango en lo que se opongan a lo dispuesto en esta orden ministerial y, en particular, la Orden HAP/1953/2014, de 15 de octubre, por la que se aprueba la pol韙ica de seguridad de la informaci髇 en el 醡bito de la administraci髇 electr髇ica del Ministerio de Hacienda y Administraciones P鷅licas.

LE0000538398_20141028

Disposici髇 final 鷑ica Publicidad de la PSI y entrada en vigor

1. La presente Orden entrar� en vigor el d韆 siguiente al de su publicaci髇 en el 獴olet韓 Oficial del Estado�.

2. Esta Orden se publicar� en las sedes electr髇icas del Ministerio de Hacienda y Funci髇 P鷅lica en cuyo 醡bito sea de aplicaci髇.