Anúnciate en Noticias Jurídicas Newsletter Colabora con nosotros

TIENDA LA LEY

LA LEY. Librería Jurídica Online Profesional

TIENDA LIBROS FORMACIÓN BASES DE DATOS REVISTAS SOFTWARE DE GESTIÓN OBRAS ACTUALIZABLES

Base de Datos de Legislaci髇

Resoluci髇 de 27 de marzo de 2024, de la Intervenci髇 General de la Administraci髇 del Estado, por la que se regula la pol韙ica de seguridad de la informaci髇 de la Secretar韆 de Estado de Presupuestos y Gastos, de la Secretar韆 General de Fondos Europeos y de la Intervenci髇 General de la Administraci髇 del Estado

Ficha:
  • 觬ganoMINISTERIO DE HACIENDA
  • Publicado en BOE n鷐. 97 de 20 de Abril de 2024
  • Vigencia desde 21 de Abril de 2024
Versiones/revisiones:

Sumario

En un contexto en el que la tramitaci髇 electr髇ica de los procedimientos ha dejado de ser una excepcionalidad, la relaci髇 de las Administraciones P鷅licas con las personas jur韉icas, entes sin personalidad y, en algunos supuestos, con las personas f韘icas ha de ser obligatoriamente electr髇ica, debiendo garantizar que se sustentan en redes y sistemas de informaci髇 seguros y fiables, al objeto de trasladar confianza a las partes concernidas.

Es por ello que la Secretar韆 de Estado de Presupuestos y Gastos, la Secretar韆 General de Fondos Europeos y la Intervenci髇 General de la Administraci髇 del Estado, 醡bito funcional conjunto, al que, en adelante, esta resoluci髇 se refiere como Administraci髇 presupuestaria, consideran la informaci髇 un activo esencial para el cumplimiento adecuado de sus funciones. Asume, por tanto, la seguridad de la informaci髇 como una responsabilidad asociada a su protecci髇 frente a las amenazas que puedan afectar a su autenticidad, integridad, disponibilidad, confidencialidad y trazabilidad.

La Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Com鷑 de las Administraciones P鷅licas regula en su art韈ulo 13 los derechos de las personas en sus relaciones con las Administraciones P鷅licas, incluyendo en su apartado h) el relativo a la protecci髇 de datos de car醕ter personal, y en particular a la seguridad y confidencialidad de los datos que figuren en los ficheros, sistemas y aplicaciones de las Administraciones P鷅licas.

Por otra parte, la Ley 40/2015, de 1 de octubre, de R間imen Jur韉ico del Sector P鷅lico, al regular en su art韈ulo 3 los principios generales que las Administraciones P鷅licas deben respetar en su actuaci髇 y relaciones, establece en su apartado 2 que aquellas se relacionar醤 entre s y con sus 髍ganos, organismos p鷅licos y entidades vinculados o dependientes a trav閟 de medios electr髇icos, que aseguren la interoperabilidad y seguridad de los sistemas y soluciones adoptadas por cada una de ellas, garantizar醤 la protecci髇 de los datos de car醕ter personal, y facilitar醤 preferentemente la presentaci髇 conjunta de servicios a los interesados.

El art韈ulo 156.2 de la Ley 40/2015 regula el Esquema Nacional de Seguridad (en adelante, ENS) cuyo objeto es establecer la pol韙ica de seguridad en la utilizaci髇 de medios electr髇icos en el 醡bito de las Administraciones P鷅licas y est constituido por los principios b醩icos y requisitos m韓imos que garanticen adecuadamente la seguridad de la informaci髇 tratada.

El ENS est regulado por el Real Decreto 311/2022, de 3 de mayo. En el punto 1 del art韈ulo 3 establece que cuando un sistema de informaci髇 trate datos personales le ser de aplicaci髇 lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protecci髇 de las personas f韘icas en lo que respecta al tratamiento de datos personales y a la libre circulaci髇 de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protecci髇 de Datos o RGPD) y en la Ley Org醤ica 3/2018, de 5 de diciembre, de Protecci髇 de Datos Personales y garant韆 de los derechos digitales (LOPDyGDD).

En el punto 2 del art韈ulo 12 del ENS establece que todos los 髍ganos superiores de las Administraciones p鷅licas deber醤 disponer formalmente de su pol韙ica de seguridad que articule la gesti髇 continuada de la seguridad y que ser aprobada por el titular del 髍gano superior correspondiente. La Pol韙ica de Seguridad de la Informaci髇 del Ministerio de Hacienda est regulada por la Orden HFP/873/2021, de 29 de julio.

La Pol韙ica de Seguridad regulada en esta resoluci髇 se redacta tomando en consideraci髇 el punto 3 del antedicho art韈ulo 12 del ENS (玊ambi閚 podr醤 contar con su propia pol韙ica de seguridad, aprobada por el 髍gano competente, coherente con la del Departamento del que dependan o al que est閚 adscritos, los centros directivos de la propia Administraci髇 General del Estado que gestionen servicios bajo la declaraci髇 de servicios compartidos), habi閚dose asegurado su coherencia con la Pol韙ica de Seguridad de la Informaci髇 del Ministerio de Hacienda.

La primera pol韙ica de seguridad de la Administraci髇 presupuestaria data del a駉 2009 y se regul mediante la Resoluci髇 de 27 de febrero de 2009, de la Secretar韆 de Estado de Hacienda y Presupuestos. Su redacci髇 se ciment en las Resoluciones de la Secretar韆 de Estado de Presupuestos y Gastos, de 8 de julio de 2002 y de la Secretar韆 de Estado de Hacienda y Presupuestos de 24 de mayo de 2005, de acceso a las bases de datos de la Secretar韆 General de Presupuestos y Gastos y de la Intervenci髇 General de la Administraci髇 del Estado que sentaron las bases organizativas y t閏nicas para la instrumentaci髇 de la seguridad inform醫ica en la vertiente del control de accesos a las bases de datos, en el 醡bito de la Administraci髇 presupuestaria. Posteriormente, la pol韙ica de seguridad fue actualizada mediante la Resoluci髇 de 21 de diciembre de 2015, de la Secretar韆 de Estado de Presupuestos y Gastos, por la que se regula la pol韙ica de seguridad de los sistemas de informaci髇 de la Secretar韆 de Estado de Presupuestos y Gastos y de la Intervenci髇 General de la Administraci髇 del Estado.

La seguridad es una funci髇 transversal en las Administraciones P鷅licas, habi閚dose convertido en un proceso integral constituido por todos los elementos t閏nicos, humanos, materiales y organizativos, relacionados con un sistema. Es por ello que la seguridad debe abarcar cada etapa del ciclo de vida del sistema (an醠isis, dise駉, desarrollo, implementaci髇, operaci髇, mantenimiento y obsolescencia) y sus documentos (generaci髇, distribuci髇, almacenamiento, procesamiento, transporte, consulta y destrucci髇).

En este contexto, la presente Pol韙ica de Seguridad de la Informaci髇 constituye el marco normativo y organizativo orientado a facilitar la definici髇, gesti髇, administraci髇 e implementaci髇 de los mecanismos y procedimientos de seguridad en el 醡bito de la Administraci髇 presupuestaria, adaptados al ENS, dentro del marco de referencia establecido por la pol韙ica de seguridad del Ministerio de Hacienda.

El Real Decreto 206/2024, de 27 de febrero, por el que se desarrolla la estructura org醤ica b醩ica del Ministerio de Hacienda, establece en su art韈ulo 11, apartado 1.h), que la Intervenci髇 General de la Administraci髇 del Estado es el centro directivo encargado de la planificaci髇, dise駉 y ejecuci髇 de la pol韙ica inform醫ica de la Secretar韆 de Estado de Presupuestos y Gastos, de la Secretar韆 General de Fondos Europeos y de la Intervenci髇 General de la Administraci髇 del Estado, el soporte inform醫ico de sus respectivas actividades y el asesoramiento, coordinaci髇 e instrumentaci髇 de los proyectos inform醫icos de sus 髍ganos.

As mismo, el antedicho Real Decreto en el art韈ulo 11, apartado 5.f)1. le atribuye a la Oficina de Inform醫ica Presupuestaria la funci髇 de la seguridad de la informaci髇.

Esta norma se ajusta a los principios de buena regulaci髇 contenidos en el art韈ulo 129 de la Ley 39/2015, de 1 de octubre. En particular, a los principios de necesidad, eficacia, proporcionalidad, seguridad jur韉ica, transparencia y eficiencia.

En virtud de lo anterior, esta Intervenci髇 General de la Administraci髇 del Estado adopta la siguiente resoluci髇:

Primero. Objeto.

Constituye el objeto de la presente resoluci髇 la aprobaci髇 de la Pol韙ica de Seguridad de la Informaci髇 (en adelante, PSI) en el 醡bito de la Administraci髇 presupuestaria.

El objetivo de la PSI es lograr la protecci髇, proporcional al riesgo, de la informaci髇 y documentos manejados en la Administraci髇 presupuestaria, y de los sistemas, dispositivos y elementos que la elaboran, presentan, almacenan, procesan, transportan o destruyen, mediante la preservaci髇 de las dimensiones de seguridad de la informaci髇 o de los servicios, es decir, su autenticidad, confidencialidad, integridad, disponibilidad y trazabilidad.

Los activos tecnol骻icos asignados por la Administraci髇 presupuestaria para el desempe駉 de las funciones de los puestos de trabajo estar醤 sujetos a la presente PSI.

Segundo. 羗bito de aplicaci髇.

La PSI se aplicar a todo el personal y en todas las dependencias e instalaciones de la Administraci髇 presupuestaria, y de sus organizaciones delegadas y territoriales, a sus sistemas de informaci髇 y telecomunicaciones, y a las entidades con las que la Administraci髇 presupuestaria se relaciona en lo relativo a la prestaci髇 de servicios en uno u otro sentido.

La PSI ser observada asimismo por aquellas personas que, aun no perteneciendo a la Administraci髇 presupuestaria, dispongan de acceso a sus sistemas de informaci髇.

Tercero. Definiciones.

Con car醕ter general, a efectos, de esta resoluci髇, se asumen las definiciones recogidas en el art韈ulo 6 de la Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo de 14 de diciembre de 2022 relativa a las medidas destinadas a garantizar un elevado nivel com鷑 de ciberseguridad en toda la Uni髇, por la que se modifican el Reglamento (UE) n.o 910/2014 y la Directiva (UE) 2018/1972 y por la que se deroga la Directiva (UE) 2016/1148 (NIS2) en el art韈ulo 4 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protecci髇 de las personas f韘icas en lo que respecta al tratamiento de datos personales y a la libre circulaci髇 de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protecci髇 de Datos); y en el anexo IV del Real Decreto 311/2022 (ENS).

Adicionalmente se introducen las siguientes definiciones a efectos de esta resoluci髇:

Servicios centrales de la Administraci髇 presupuestaria: los centros directivos que constituyen la misma.

Organizaciones delegadas y territoriales: las unidades que tengan ese car醕ter y que dependan de los centros directivos de la Administraci髇 presupuestaria.

Oficina de Inform醫ica Presupuestaria (en adelante, OIP): unidad de la Intervenci髇 General de la Administraci髇 del Estado encargada del desarrollo y ejecuci髇 de las actividades inform醫icas de la Administraci髇 presupuestaria y de la seguridad de la informaci髇.

Cuarto. Misi髇.

La misi髇 del 醡bito corporativo al que se refiere la pol韙ica de seguridad regulada en esta resoluci髇 ser la que corresponda a la Secretar韆 de Estado de Presupuestos y Gastos, a la Secretar韆 General de Fondos Europeos y a la Intervenci髇 General de la Administraci髇 del Estado, seg鷑 lo establecido en el vigente Real Decreto de estructura org醤ica b醩ica del Ministerio de Hacienda para estos 髍ganos.

Quinto. Marco normativo.

El marco normativo en que se desarrollan las actividades de la Administraci髇 presupuestaria, y, en particular, la prestaci髇 de sus servicios electr髇icos a los ciudadanos y a las Administraciones P鷅licas, est integrado por:

La normativa sobre la estructura organizativa del 醡bito de esta resoluci髇.

La normativa sobre el procedimiento administrativo com鷑 de las Administraciones P鷅licas y respecto al r間imen jur韉ico del sector p鷅lico.

La normativa de estabilidad presupuestaria y sostenibilidad financiera, presupuestaria, de costes de personal, contable, de contrataci髇 del sector p鷅lico, de subvenciones, y de control de la actividad econ髆ico-presupuestaria del sector p鷅lico estatal, incluida la normativa comunitaria al respecto.

El marco normativo de la Administraci髇 electr髇ica, y en particular el ENS, el Esquema Nacional de Interoperabilidad y de redes y sistemas de informaci髇.

La normativa de la protecci髇 de datos personales y de garant韆 de los derechos digitales.

La normativa de protecci髇 de las infraestructuras cr韙icas.

La normativa departamental en materia de Administraci髇 electr髇ica y respecto a la pol韙ica de seguridad.

La normativa del 醡bito de la Administraci髇 presupuestaria en materia de Administraci髇 electr髇ica y respecto a la pol韙ica de seguridad.

Sexto. Principios de la seguridad de la informaci髇.

La pol韙ica de seguridad de la informaci髇 de la Administraci髇 presupuestaria asume los principios b醩icos y particulares que se establecen en la Orden HFP/873/2021, de 29 de julio, por la que se aprueba la Pol韙ica de Seguridad de la Informaci髇 en el 醡bito de la Administraci髇 digital del Ministerio de Hacienda y Funci髇 P鷅lica (en adelante, PSI-MINHAC).

S閜timo. Estructura organizativa para la administraci髇 de la seguridad de la informaci髇.

En concordancia con la PSI-MINHAC, el ENS, y las Gu韆s CCN–STIC elaboradas por el Centro Criptol骻ico Nacional que desarrollan el ENS, se identifican tres grandes bloques de responsabilidad: la especificaci髇 de las necesidades o requisitos, de la cual se encargan los responsables de la informaci髇 y del servicio, que a efectos de esta resoluci髇 se denominar醤 responsables de sistemas de informaci髇; la operaci髇 del sistema de informaci髇, encomendada al responsable del sistema, que en esta resoluci髇 se asigna al titular de la Direcci髇 de la OIP; y la funci髇 supervisora de la seguridad, encargada a la persona que ejerza el rol de responsable de seguridad de la informaci髇.

De conformidad con el art韈ulo 11 de la PSI-MINHAC el Delegado de Protecci髇 de Datos es 鷑ico para todo el Departamento, sin perjuicio de la existencia de Delegados de Protecci髇 de Datos en los organismos p鷅licos adscritos al Departamento y del nombramiento de coordinadores en todos los 髍ganos superiores del Departamento y en la Intervenci髇 General de la Administraci髇 del Estado; la funci髇 de coordinaci髇 recae sobre qui閚 tenga el rol de responsable de seguridad de la informaci髇.

La gesti髇 de la seguridad en la Administraci髇 presupuestaria requiere, adem醩 de la implicaci髇 activa de todas las personas que utilizan los sistemas de informaci髇, la existencia de un marco organizativo orientado a dicha gesti髇 en el que desempe馻r醤 un papel primordial las siguientes entidades y agentes:

Comit de coordinaci髇 de la seguridad de la informaci髇.

Responsable de seguridad de la informaci髇 que asume las funciones de ese rol en los t閞minos establecidos por el RGPD, el ENS y la PSI-MINHAC.

Responsables de seguridad en los centros directivos, organizaciones delegadas o territoriales de la Administraci髇 presupuestaria que, a efectos de esta resoluci髇, se denominar醤 responsables de centro.

Responsables de seguridad de los sistemas de informaci髇 de los centros directivos, organizaciones delegadas o territoriales de la Administraci髇 presupuestaria que, a efectos de esta resoluci髇, se denominar醤 responsables de sistemas de informaci髇.

Direcci髇 y Divisiones de la OIP, a trav閟 de las que la OIP ejercer las funciones asignadas al responsable del sistema y al encargado de tratamiento por el ENS y sus gu韆s de desarrollo, en el primer caso, y por el RGPD en el segundo.

Para la gesti髇 adecuada de la seguridad de la informaci髇 en el 醡bito de la Administraci髇 presupuestaria, en la estructura organizativa tambi閚 se contemplan los agentes que se indican a continuaci髇:

Administradores de seguridad de los accesos a las redes departamentales de cada uno de los centros directivos, organizaciones delegadas o territoriales de la Administraci髇 presupuestaria que, a efecto de esta resoluci髇, se denominar醤 administradores de centro.

Administradores de seguridad de los accesos a las bases de datos de la red de la Administraci髇 presupuestaria que, a efectos de esta resoluci髇, se denominar醤 administradores de sistemas de informaci髇.

Las funciones y obligaciones reguladas en el Real decreto 311/2022, el RGPD y la Ley Org醤ica 3/2018, debido a su extensi髇, as como las de Administrador de centro y de sistemas de informaci髇 se recogen detalladamente en una pol韙ica de desarrollo de la presente resoluci髇.

Octavo. Comit de coordinaci髇 de la seguridad de la informaci髇.

El comit de coordinaci髇 de la seguridad de la informaci髇 (en adelante, Comit) es un 髍gano colegiado de car醕ter horizontal en materia de seguridad de la informaci髇 para el 醡bito de la Administraci髇 presupuestaria. Estar formado por:

Las personas titulares de la Intervenci髇 General de la Administraci髇 del Estado, de la Secretar韆 General de Fondos Europeos y de las Direcciones Generales de Presupuestos y de Costes de Personal que ocupar醤 rotatoriamente, cada seis meses, la presidencia del Comit. Para cada reuni髇 se podr delegar esta funci髇 en una persona del centro al que le corresponda la presidencia.

La persona titular de la Direcci髇 de la OIP, como vicepresidente del Comit.

La persona titular de la Divisi髇 de Explotaci髇 de la OIP.

La persona responsable de la seguridad de la informaci髇.

Los responsables de centros, previstos en el apartado d閏imo, designados por la persona titular de cada uno de los centros directivos de la Administraci髇 presupuestaria.

Tres interventores delegados en representaci髇 del conjunto de las Intervenciones delegadas en Ministerios, Agencias y Organismos p鷅licos, Intervenciones regionales y territoriales, designados por la persona titular de la Intervenci髇 General de la Administraci髇 del Estado.

Adem醩, el Comit podr convocar a representantes de unidades organizativas internas o externas que accedan a sistemas de informaci髇 de la Administraci髇 presupuestaria.

A este Comit, que se reunir al menos dos veces al a駉, le corresponde aprobar las directrices, normas y actuaciones de orden organizativo que sean precisas en desarrollo de lo dispuesto en esta resoluci髇, ajustadas a las directrices y criterios generales en el 醡bito de la Administraci髇 General del Estado, que emanen de la Comisi髇 de Estrategia TIC y del Comit de Direcci髇 TIC de la Administraci髇 General del Estado, o del Departamento, a trav閟 de la Comisi髇 Ministerial de Administraci髇 digital, dirigidas a garantizar la disponibilidad, integridad, confidencialidad, autenticidad y trazabilidad de la informaci髇 en la red de la Administraci髇 presupuestaria, todo ello sin perjuicio del ejercicio de las competencias decisorias por los 髍ganos superiores o directivos del Departamento que las tengan atribuidas.

En particular, el procedimiento de control de accesos a la red y a los sistemas de informaci髇 de la Administraci髇 presupuestaria, ser aprobado por el Comit a propuesta de la OIP.

Noveno. Responsable de seguridad de la informaci髇.

La persona designada como responsable de seguridad de la informaci髇 velar por la aplicaci髇 de las medidas de seguridad a los sistemas de informaci髇 de la Administraci髇 presupuestaria de acuerdo con las directrices establecidas por el Comit. Ser designada por el Comit a propuesta de la persona titular de la Direcci髇 de la OIP, y llevar a cabo las funciones asociadas a la secretar韆 del Comit.

Son funciones asociadas al/la responsable de seguridad de la informaci髇:

  • a) Impulsar y velar por el cumplimiento y difusi髇 de la pol韙ica de seguridad y de su cuerpo normativo.
  • b) Elaborar la normativa t閏nica de seguridad de tercer nivel.
  • c) Promover las actividades de concienciaci髇 y formaci髇 en materia de seguridad para todo el personal afectado por la pol韙ica de seguridad.
  • d) Aprobar la Declaraci髇 de Aplicabilidad elaborada en los t閞minos establecidos por el ENS.
  • e) Asesorar, en colaboraci髇 con el Responsable del sistema, a los Responsables de seguridad de los centros directivos, en la realizaci髇 de los preceptivos an醠isis de riesgos.
  • f) Promover auditor韆s peri骴icas para verificar el cumplimiento de las obligaciones en materia de seguridad de la informaci髇, analizar los informes resultantes con objeto de asignar a los agentes concernidos la subsanaci髇 de las no conformidades, recomendaciones u observaciones identificadas.
  • g) Cualesquiera otras funciones que la PSI-MINHAC asigne a los responsables de seguridad.

El dise駉, construcci髇, implantaci髇 y mantenimiento de las pol韙icas, directrices, normativa, procedimientos, gu韆s, instrucciones y herramientas que, en aplicaci髇 de lo dispuesto en esta resoluci髇 y en sus normas de desarrollo, se implementen para la administraci髇 de la seguridad de los sistemas de informaci髇 corresponder a la OIP bajo la iniciativa y coordinaci髇 de la persona responsable de seguridad de la informaci髇, que las pondr en conocimiento de los responsables de centro de los centros directivos u organizaciones delegadas o territoriales de la Administraci髇 presupuestaria, de los administradores de centro y de sistemas de informaci髇 y, en general, las difundir a todo el 醡bito de aplicaci髇.

D閏imo. Responsable de centro.

A efectos de esta resoluci髇 se considera responsable de centro a la persona que designe el titular del centro directivo o al titular de la organizaci髇 delegada o territorial de la Administraci髇 presupuestaria.

El responsable de centro asumir las funciones y obligaciones que se indican a continuaci髇:

  • a) Adoptar las medidas necesarias para el cumplimiento, en su 醡bito de competencia, de las normas, instrucciones y procedimientos que, en aplicaci髇 de lo establecido en esta resoluci髇, se desarrollen para la administraci髇 de la seguridad y la gesti髇 de accesos a la red de la Administraci髇 presupuestaria.
  • b) Adoptar las medidas necesarias para que el personal de su 醡bito de competencia conozca las normas y procedimientos de seguridad que afecten al desarrollo de sus funciones.
  • c) En el caso de los centros directivos, el Responsable de centro designar a los responsables de sistemas de informaci髇 relativos al 醡bito competencial del centro directivo.
  • d) Designar a un administrador 鷑ico de centro y a los suplentes que considere precisos. En el caso de los centros directivos, la designaci髇 del administrador de centro podr efectuarse, si la estructura as lo aconseja, a nivel de subdirecci髇 general o de ubicaciones administrativas diferentes.
  • e) Autorizar el acceso de usuarios a la red departamental. Asimismo, comunicar la anulaci髇 de los accesos permitidos a la red departamental de su centro.
  • f) Autorizar la solicitud de acceso de su personal a los sistemas de informaci髇 de la Administraci髇 presupuestaria, distintos de aquellos de su centro, que se requiera para el ejercicio de las funciones encomendadas.
  • g) Autorizar la solicitud de acceso de su personal a sistemas de informaci髇 externos al 醡bito de la Administraci髇 presupuestaria, cuando se requiera para el ejercicio de las funciones encomendadas.

En los centros directivos, las funciones e), f) y g) podr醤 ser desempe馻das por las personas que ejerzan de jefes de divisi髇, subdirectores generales, asimilados o adjuntos, respecto a las redes, bases de datos y 醡bito de personal de su respectiva competencia. Para tales funciones, y a los efectos de esta resoluci髇, dichos jefes de divisi髇 o subdirectores generales ser醤 considerados como responsables de centro.

El acceso a la red de la Administraci髇 presupuestaria podr ser autorizado por los responsables de recursos humanos de los centros directivos en la toma de posesi髇 de nuevo personal. Se proceder de la misma forma cuando una persona deje de prestar servicio en un centro directivo o en alguna de sus oficinas delegadas o territoriales.

Und閏imo. Responsable de sistemas de informaci髇.

El responsable de sistemas de informaci髇 asumir en materia de seguridad de la informaci髇 las funciones y obligaciones que el ENS y la PSI-MINHAC asignan a los responsables de la informaci髇 y del servicio, y en el 醡bito de la Administraci髇 presupuestaria las funciones y obligaciones que se indican a continuaci髇:

  • a) Adoptar las medidas necesarias para el cumplimiento, en su 醡bito de competencia, de las normas, instrucciones y procedimientos que, en aplicaci髇 de lo establecido en esta resoluci髇, se desarrollen para la administraci髇 de la seguridad de los sistemas de informaci髇 de la Administraci髇 presupuestaria.
  • b) Adoptar las medidas necesarias para que el personal de su 醡bito de competencia conozca las normas y procedimientos de seguridad que afecten al desarrollo de sus funciones.
  • c) Designar a los administradores de sistemas de informaci髇 de su 醡bito de competencia.
  • d) Autorizar el acceso de usuarios a los sistemas de informaci髇 de su responsabilidad. Asimismo, comunicar la anulaci髇 de los accesos permitidos a dichos sistemas.

Quien ostente la funci髇 de autorizaci髇 de accesos a la informaci髇 actuar as mismo como Responsable de tratamiento en los t閞minos del RGPD o designar a dicho responsable.

En los centros directivos, las precitadas funciones podr醤 ser desempe馻das por las personas que ejerzan de jefes de divisi髇, subdirectores generales, asimilados o adjuntos.

Duod閏imo. Resoluci髇 de conflictos.

En caso de conflicto entre los diferentes responsables, 閟te ser resuelto por el superior jer醨quico de los mismos y, en su defecto, prevalecer la decisi髇 adoptada colegiadamente por el Comit.

Decimotercero. Gesti髇 de riesgos.

El an醠isis y gesti髇 de riesgos ser parte esencial del proceso de seguridad, siendo la base para determinar las medidas de seguridad que se deben adoptar, adem醩 de los m韓imos establecidos por el ENS.

Cuando el an醠isis de riesgos se realice sobre sistemas de informaci髇 que traten datos personales, se tendr醤 en cuenta los riesgos que puedan afectar a los derechos y libertades de las personas f韘icas.

La gesti髇 de riesgos permitir el mantenimiento de un entorno controlado, minimizando los riesgos hasta niveles aceptables. La reducci髇 de estos niveles se realizar mediante el despliegue de medidas de seguridad, que establecer醤 un equilibrio entre la naturaleza de la informaci髇 y los tratamientos, los riesgos a los que est閚 expuestos y las medidas de seguridad.

La gesti髇 de riesgos debe realizarse de manera continua sobre el sistema de informaci髇, conforme a los principios de gesti髇 de la seguridad basada en los riesgos y se someter a una reevaluaci髇 peri骴ica.

El proceso de gesti髇 de riesgos comprende las fases de categorizaci髇 de los sistemas, an醠isis de riesgos y selecci髇 de medidas de seguridad a aplicar, las cuales deber醤 ser proporcionadas a los riesgos y estar justificadas; y deber revisarse y aprobarse cada a駉 por el Comit, a trav閟 de un plan de adecuaci髇 al ENS. Las medidas adoptadas para mitigar o suprimir los riesgos deber醤 estar justificadas y, en todo caso, existir una proporcionalidad entre ellas y los riesgos.

Decimocuarto. Obligaciones del personal. Formaci髇 y concienciaci髇.

Los datos e informaciones de la Administraci髇 presupuestaria, cualquiera que sea su soporte, ser醤 de uso exclusivamente reservado para el cumplimiento de los fines que le atribuye el ordenamiento jur韉ico.

Las autoridades, empleados p鷅licos y dem醩 personal al que resulte de aplicaci髇 esta resoluci髇 y que por raz髇 de su cargo o funci髇 tuviesen conocimiento de los datos o informaciones a que se refiere el p醨rafo anterior, est醤 obligados a guardar sigilo riguroso y observar estricto secreto respecto de los mismos.

El personal autorizado s髄o deber acceder a aquellos datos e informaci髇 que deba conocer por razones del servicio, debiendo abstenerse de hacerlo por cualquier otra motivaci髇.

Cada persona, debidamente autorizada, adquiere el compromiso de utilizaci髇 de los datos e informaci髇 con los fines exclusivos de gesti髇 para los que ha sido autorizado. Asimismo, ser responsable de todos los accesos que se realicen mediante el uso de sus credenciales de identificaci髇 l骻ica de usuario. A tal fin deber mantener la custodia y secreto de las credenciales, as como vigilar posibles usos ajenos, denunciando cualquier trasgresi髇.

En ning鷑 caso deber facilitar las credenciales a otra persona, ni deber acceder a la informaci髇 utilizando credenciales ajenas, incluso disponiendo del consentimiento de la persona titular.

El acceso a los datos e informaci髇 de la Administraci髇 presupuestaria por una persona no autorizada, la realizaci髇 de transacciones digitales que no est閚 relacionadas con un objetivo concreto de gesti髇, la asignaci髇 de perfiles de utilizaci髇 a otras personas para el uso de transacciones no necesarias para la gesti髇 que tengan encomendada, o la revelaci髇 o falta de diligencia en la custodia y secreto de sus credenciales dar醤 lugar a la exigencia de las responsabilidades administrativas o de otra naturaleza en que se hubiese podido incurrir.

En el supuesto en que las actuaciones se馻ladas en el p醨rafo anterior hubiesen sido cometidas por un empleado p鷅lico, las mismas podr醤 dar lugar a la incoaci髇 del oportuno expediente disciplinario a tenor de lo previsto en los art韈ulos 6, 7 y 8 del Reglamento de R間imen Disciplinario de los Funcionarios de la Administraci髇 del Estado, aprobado por el Real Decreto 33/1986, de 10 de enero y en el T韙ulo VII del Real Decreto Legislativo 5/2015, de 30 de octubre, por el que se aprueba el texto refundido de la Ley del Estatuto B醩ico del Empleado P鷅lico.

De igual modo, las conductas se馻ladas en los p醨rafos anteriores dar醤 lugar a la supresi髇 de las autorizaciones previamente concedidas por quien las hubiera otorgado en su momento.

Todos los miembros de la Administraci髇 presupuestaria tienen la obligaci髇 de conocer y cumplir esta PSI y la normativa de seguridad que la desarrolle y, en consecuencia, todo el personal relacionado con la informaci髇 y los sistemas deber ser formado e informado de sus deberes y obligaciones en materia de seguridad.

La Administraci髇 Presupuestaria desarrollar actividades espec韋icas orientadas a la formaci髇 y concienciaci髇 de su personal en materia de seguridad de la informaci髇, en la medida en que la necesiten para realizar su trabajo. La responsabilidad derivada del acceso y uso de los sistemas de informaci髇 conlleva la correspondiente responsabilidad de la organizaci髇 y de las personas en su formaci髇. Todos los 髍ganos y unidades de la Administraci髇 presupuestaria prestar醤 su colaboraci髇 en las actuaciones de implementaci髇 de la PSI aprobada por esta resoluci髇.

Decimoquinto. Actualizaci髇 permanente y revisiones peri骴icas de la PSI.

La PSI definida en esta resoluci髇 deber mantenerse actualizada permanentemente para adecuarla al progreso de los servicios de Administraci髇 electr髇ica, a la evoluci髇 tecnol骻ica y al desarrollo de la sociedad digital, as como a los est醤dares internacionales de seguridad.

Las propuestas de las sucesivas revisiones de la PSI ser醤 aprobadas por el Comit.

Decimosexto. Desarrollo de la pol韙ica de seguridad de la informaci髇.

La PSI regulada en esta resoluci髇 ser desarrollada y complementada para poder afrontar aspectos espec韋icos, constituyendo lo que se denominar en adelante normativa de seguridad de la informaci髇 de la Administraci髇 presupuestaria.

La normativa de seguridad de la informaci髇 se desarrollar en cuatro niveles, estableciendo un orden jer醨quico y de dependencia entre ellos, y deber estar a disposici髇 de todos los miembros de la organizaci髇 que necesiten conocerla. Dichos niveles de desarrollo normativo son los siguientes:

Primer nivel normativo constituido por la PSI-MINHAC del departamento ministerial al que pertenece la Administraci髇 presupuestaria y las directrices generales de seguridad aplicables a los 髍ganos superiores o directivos del departamento ministerial.

Segundo nivel normativo constituido por la PSI de la Administraci髇 presupuestaria, adem醩 de la normativa y recomendaciones de seguridad que se definan en este 醡bito organizativo.

Tercer nivel normativo formado por los procedimientos, gu韆s e instrucciones t閏nicas que determinan acciones o tareas a realizar para garantizar la seguridad de la informaci髇 a lo largo del ciclo de vida de los sistemas de informaci髇 de la Administraci髇 presupuestaria.

La aprobaci髇 de estos procedimientos t閏nicos corresponder a la OIP.

Adicionalmente se tendr醤 en cuenta los informes que recojan las conclusiones, observaciones y recomendaciones de una auditor韆, de un estudio o de una evaluaci髇; registros de actividad o alertas de seguridad que informen de amenazas y vulnerabilidades que afecten a los sistemas de informaci髇, y las evidencias electr髇icas que se generan durante todas las fases del ciclo de vida de los sistemas de informaci髇 y en sus distintos procesos, pudiendo abarcar uno o m醩 sistemas en funci髇 del aspecto tratado.

Decimos閜timo. Terceras partes.

En los casos en que la Administraci髇 presupuestaria preste servicios o gestione informaci髇 de otros organismos, se les har part韈ipes de la PSI, y se establecer醤 canales para el reporte y coordinaci髇 de los respectivos comit閟 de seguridad as como procedimientos de actuaci髇 para la reacci髇 ante los ciberincidentes de seguridad.

En los casos en que la Administraci髇 presupuestaria utilice servicios de terceros o les ceda informaci髇, les har part韈ipes de esta PSI y de la normativa de seguridad que afecte a dichos servicios o informaci髇. Los terceros quedar醤 sujetos a las obligaciones establecidas en dicha normativa, pudiendo desarrollar sus propios procedimientos operativos para cumplirla. Adem醩, se establecer醤 procedimientos espec韋icos de reporte y resoluci髇 de incidencias y se garantizar que el personal de la tercera parte est adecuadamente concienciado en materia de seguridad, al menos al mismo nivel que el establecido en esta pol韙ica.

Cuando alg鷑 aspecto de la pol韙ica no pueda ser abordado por una tercera parte seg鷑 se establece en los p醨rafos anteriores, se requerir un informe del responsable de seguridad de la informaci髇 que precise los riesgos en que se incurre y la forma de tratarlos. Se requerir la aprobaci髇 de este informe por los responsables de la informaci髇 y los servicios afectados antes de seguir adelante.

Decimoctavo. Compromiso de la Direcci髇.

1. Los 髍ganos directivos de la Administraci髇 presupuestaria se comprometen a proteger la disponibilidad, integridad, confidencialidad y autenticidad de la informaci髇 utilizada en la organizaci髇, as como sus canales de transmisi髇 y/o comunicaci髇, implantando para ello las medidas organizativas y t閏nicas necesarias y estableciendo responsabilidades sobre el acceso y utilizaci髇 de la informaci髇.

2. Se debe prestar la m醲ima atenci髇 a la concienciaci髇 de las personas que intervienen en la seguridad y a sus responsables jer醨quicos para evitar fuentes de riesgo para la seguridad. Es por ello que la presente resoluci髇 y sus normas de desarrollo estar醤 accesibles y tratar醤 de ser comprensibles para todas las personas pertenecientes o no a la Administraci髇 presupuestaria.

Decimonoveno. Derogaci髇.

A la entrada en vigor de la presente resoluci髇 quedar derogada la Resoluci髇 de 21 de diciembre de 2015, de la Secretar韆 de Estado de Presupuestos y Gastos, por la que se regula la pol韙ica de seguridad de los sistemas de informaci髇 de la Secretar韆 de Estado de Presupuestos y Gastos y de la Intervenci髇 General de la Administraci髇 del Estado, as como todos aquellos procedimientos e instrucciones de rango inferior que contradigan o se opongan a lo dispuesto en la presente resoluci髇.

LE0000566066_20160108Ir a Norma afectada

Vig閟imo. Entrada en vigor.

La presente resoluci髇 entrar en vigor el d韆 siguiente al de su publicaci髇 en el 獴olet韓 Oficial del Estado.