{"id":27462,"date":"2026-02-02T17:20:10","date_gmt":"2026-02-02T17:20:10","guid":{"rendered":"https:\/\/blogemergencias.es\/index.php\/2026\/02\/02\/orden-dca-48-2026-de-23-de-enero-por-la-que-se-aprueba-la-politica-de-seguridad-de-la-informacion-en-el-ambito-de-la-administracion-electronica-del-ministerio-de-derechos-sociales-consumo-y-agenda\/"},"modified":"2026-02-02T17:20:10","modified_gmt":"2026-02-02T17:20:10","slug":"orden-dca-48-2026-de-23-de-enero-por-la-que-se-aprueba-la-politica-de-seguridad-de-la-informacion-en-el-ambito-de-la-administracion-electronica-del-ministerio-de-derechos-sociales-consumo-y-agenda","status":"publish","type":"post","link":"https:\/\/blogemergencias.es\/index.php\/2026\/02\/02\/orden-dca-48-2026-de-23-de-enero-por-la-que-se-aprueba-la-politica-de-seguridad-de-la-informacion-en-el-ambito-de-la-administracion-electronica-del-ministerio-de-derechos-sociales-consumo-y-agenda\/","title":{"rendered":"Orden DCA\/48\/2026, de 23 de enero, por la que se aprueba la Pol\u00edtica de Seguridad de la Informaci\u00f3n en el \u00e1mbito de la administraci\u00f3n electr\u00f3nica del Ministerio de Derechos Sociales, Consumo y Agenda 2030."},"content":{"rendered":"
\n

El desarrollo de la Administraci\u00f3n Electr\u00f3nica implica el tratamiento automatizado de grandes cantidades de informaci\u00f3n por los sistemas de tecnolog\u00edas de la informaci\u00f3n y de las comunicaciones, que est\u00e1 sometida a diversos tipos de amenazas y vulnerabilidades.<\/p>\n

En el contexto de la Administraci\u00f3n Electr\u00f3nica, se entiende por seguridad de la informaci\u00f3n la capacidad de las redes o de los sistemas de informaci\u00f3n para resistir, con un determinado nivel de confianza, los accidentes, ataques y acciones il\u00edcitas o malintencionadas que comprometan la disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad de los datos almacenados o transmitidos y de los servicios que dichas redes o sistemas ofrecen, o a trav\u00e9s de los cuales se realiza el acceso.<\/p>\n

La Ley\u00a040\/2015, de\u00a01 de octubre, de R\u00e9gimen Jur\u00eddico del Sector P\u00fablico, establece que las Administraciones p\u00fablicas se relacionar\u00e1n entre s\u00ed y con sus \u00f3rganos, organismos p\u00fablicos y entidades vinculados o dependientes a trav\u00e9s de medios electr\u00f3nicos. Dichos medios deben asegurar la interoperabilidad y seguridad de los sistemas y soluciones adoptadas, garantizar\u00e1n la protecci\u00f3n de los datos de car\u00e1cter personal y facilitar\u00e1n preferentemente la prestaci\u00f3n conjunta de servicios a los interesados. En este sentido, el art\u00edculo\u00a0156 de la citada Ley\u00a040\/2015, de\u00a01 de octubre, regula el Esquema Nacional de Seguridad.<\/p>\n

Por su parte, la Ley\u00a039\/2015, de\u00a01 de octubre, del Procedimiento Administrativo Com\u00fan de las Administraciones P\u00fablicas, recoge en su art\u00edculo\u00a013 sobre derechos de las personas en sus relaciones con las Administraciones p\u00fablicas, el relativo a la protecci\u00f3n de datos de car\u00e1cter personal y, en particular, a la seguridad y confidencialidad de los datos que figuren en los ficheros, sistemas y aplicaciones de las Administraciones p\u00fablicas.<\/p>\n

El Real Decreto\u00a0311\/2022, de\u00a03 de mayo, por el que se regula el Esquema Nacional de Seguridad en el \u00e1mbito de la Administraci\u00f3n Electr\u00f3nica, tiene por objeto determinar la pol\u00edtica de seguridad en la utilizaci\u00f3n de medios electr\u00f3nicos en su \u00e1mbito de aplicaci\u00f3n, sus principios b\u00e1sicos y los requisitos m\u00ednimos que permitan una protecci\u00f3n adecuada de la informaci\u00f3n.<\/p>\n

El art\u00edculo\u00a012.3 del Real Decreto\u00a0311\/2022, de\u00a03 de mayo, exige que, en la Administraci\u00f3n General del Estado, cada ministerio cuente con su pol\u00edtica de seguridad, que aprobar\u00e1 la persona titular del Ministerio. Dicha pol\u00edtica se establecer\u00e1 en base a los principios b\u00e1sicos recogidos en el cap\u00edtulo II del Esquema Nacional de Seguridad (seguridad como proceso integral; gesti\u00f3n de la seguridad basada en los riesgos; prevenci\u00f3n, detecci\u00f3n, respuesta y conservaci\u00f3n; existencia de l\u00edneas de defensa; vigilancia continua; reevaluaci\u00f3n peri\u00f3dica; diferenciaci\u00f3n de responsabilidades). Adem\u00e1s, en su art\u00edculo\u00a013 exige que la pol\u00edtica de seguridad identifique unos claros responsables de velar por su cumplimiento.<\/p>\n

La presente orden tiene la finalidad de aprobar la Pol\u00edtica de Seguridad de la Informaci\u00f3n del Ministerio de Derechos Sociales, Consumo y Agenda\u00a02030, as\u00ed como establecer la estructura organizativa para definirla, implantarla y gestionarla.<\/p>\n

Adem\u00e1s, el art\u00edculo\u00a015 de esta Pol\u00edtica de Seguridad de la Informaci\u00f3n define los tres niveles normativos que se utilizar\u00e1n para articularla, de forma que se pueda disponer de un corpus normativo com\u00fan para todos los \u00f3rganos y organismos que formen parte del \u00e1mbito de la Pol\u00edtica de Seguridad de la Informaci\u00f3n.<\/p>\n

Como requisito fundamental en la aplicaci\u00f3n de la Pol\u00edtica de seguridad ha de resaltarse el cumplimiento con la legislaci\u00f3n en materia de la protecci\u00f3n de los datos de car\u00e1cter personal, lo que permitir\u00e1 garantizar de forma consistente, la seguridad de los tratamientos de datos personales en base al art\u00edculo\u00a032 del Reglamento (UE) 2016\/679 del Parlamento Europeo y del Consejo de\u00a027 de abril de\u00a02016, relativo a la protecci\u00f3n de las personas f\u00edsicas en lo que respecta al tratamiento de datos personales y a la libre circulaci\u00f3n de estos datos y por el que se deroga la Directiva\u00a095\/46\/CE (Reglamento general de protecci\u00f3n de datos). En este sentido, la disposici\u00f3n adicional primera de la Ley Org\u00e1nica\u00a03\/2018, de\u00a05 de diciembre, de Protecci\u00f3n de Datos Personales y garant\u00eda de los derechos digitales, reconoce al Esquema Nacional de Seguridad como un instrumento para la implementaci\u00f3n de medidas que permitan garantizar la seguridad de los datos de car\u00e1cter personal.<\/p>\n

Adem\u00e1s, cabe rese\u00f1ar la importancia de que el personal del Ministerio forme parte activa de ejecuci\u00f3n de los mecanismos y buenas pr\u00e1cticas para garantizar la seguridad de la informaci\u00f3n en el \u00e1mbito corporativo. En particular, el art\u00edculo\u00a018, reconoce la necesidad de que el personal cuente con la informaci\u00f3n y formaci\u00f3n adecuadas, y conozca sus responsabilidades y deberes al respecto.<\/p>\n

Esta orden cumple con los principios de necesidad, eficacia, proporcionalidad, seguridad jur\u00eddica, transparencia y eficiencia recogidos en el art\u00edculo\u00a0129 de la Ley\u00a039\/2015, de\u00a01 de octubre. As\u00ed, atiende a la necesidad de aprobar la Pol\u00edtica de Seguridad de la Informaci\u00f3n del Ministerio de Derechos Sociales, Consumo y Agenda\u00a02030, y da cumplimiento al mandato contenido en el art\u00edculo\u00a012.3 del Real Decreto\u00a0311\/2022, de\u00a03 de mayo.<\/p>\n

Adem\u00e1s, es eficaz y proporcionada en el cumplimiento de este prop\u00f3sito sin afectar en forma alguna a los derechos y deberes de la ciudadan\u00eda. Tambi\u00e9n contribuye a dotar de mayor seguridad jur\u00eddica a la organizaci\u00f3n y funcionamiento de la Administraci\u00f3n General del Estado, en lo que se refiere al Ministerio de Derechos Sociales, Consumo y Agenda\u00a02030. Cumple tambi\u00e9n con el principio de transparencia, ya que identifica claramente su prop\u00f3sito. Al tratarse de una norma puramente organizativa, su tramitaci\u00f3n no ha requerido de consulta p\u00fablica previa y de los tr\u00e1mites de audiencia e informaci\u00f3n p\u00fablica. Finalmente, es tambi\u00e9n adecuada al principio de eficiencia, ya que no impone cargas administrativas. Durante su tramitaci\u00f3n, se han recabado los informes de la Comisi\u00f3n Ministerial de Administraci\u00f3n Digital del Ministerio de Derechos Sociales, Consumo y Agenda\u00a02030 y de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos.<\/p>\n

En virtud de lo anterior, con la aprobaci\u00f3n previa de la persona titular del Ministerio para la Transformaci\u00f3n Digital y de la Funci\u00f3n P\u00fablica, dispongo:<\/p>\n

Art\u00edculo\u00a01.\u2003Objeto.<\/h5>\n

La Pol\u00edtica de Seguridad de la Informaci\u00f3n (en adelante, PSI) es el conjunto de directrices que rigen la forma en que la organizaci\u00f3n gestiona y protege la informaci\u00f3n que trata y los servicios que presta.<\/p>\n

De acuerdo con lo previsto en el art\u00edculo\u00a012.3 del Real Decreto\u00a0311\/2022, de\u00a03 de mayo, por el que se regula el Esquema Nacional de Seguridad, el objeto de la presente orden es la aprobaci\u00f3n de la PSI en el \u00e1mbito de la Administraci\u00f3n Electr\u00f3nica del Ministerio de Derechos Sociales, Consumo y Agenda\u00a02030, as\u00ed como el establecimiento del marco organizativo y tecnol\u00f3gico de la misma.<\/p>\n

Art\u00edculo\u00a02.\u2003\u00c1mbito de aplicaci\u00f3n.<\/h5>\n

1.\u2003Esta pol\u00edtica se aplica y ser\u00e1 de obligado cumplimiento para todos los \u00f3rganos del Ministerio de Derechos Sociales, Consumo y Agenda\u00a02030, as\u00ed como a todos los organismos p\u00fablicos y entidades de derecho p\u00fablico vinculados o dependientes que no tengan establecida su propia pol\u00edtica de seguridad.<\/p>\n

2.\u2003La PSI se aplica a todos los sistemas de informaci\u00f3n que gestionen las diferentes unidades de los \u00f3rganos directivos o entidades y organismo adscritos al Ministerio de Derechos Sociales, Consumo y Agenda\u00a02030. Adem\u00e1s, ser\u00e1 de obligado cumplimiento para todo el personal que acceda tanto a los sistemas de informaci\u00f3n como a la propia informaci\u00f3n que sea gestionada por el Departamento, con independencia de cu\u00e1l sea su destino, adscripci\u00f3n o relaci\u00f3n con el mismo.<\/p>\n

En el \u00e1mbito de esta PSI, se debe entender por personal a cualquier empleado p\u00fablico perteneciente al Ministerio de Derechos Sociales, Consumo y Agenda\u00a02030 o a los organismos y entidades gestoras dependientes o adscritos al mismo. Adem\u00e1s, el personal de las entidades colaboradoras, de empresas contratadas o de encargos a medios propios con vinculaci\u00f3n con los centros directivos del Ministerio de Derechos Sociales, Consumo y Agenda\u00a02030 y de los organismos y entidades dependientes o adscritos, tambi\u00e9n tendr\u00e1n la consideraci\u00f3n de personal relacionado con la PSI.<\/p>\n

Art\u00edculo\u00a03.\u2003Misi\u00f3n de la organizaci\u00f3n.<\/h5>\n

Corresponde al Ministerio de Derechos Sociales, Consumo y Agenda\u00a02030, seg\u00fan lo establecido en Real Decreto\u00a0209\/2024, de\u00a027 de febrero, por el que se establece la estructura org\u00e1nica b\u00e1sica del Ministerio de Derechos Sociales, Consumo y Agenda\u00a02030:<\/p>\n

1.\u2003La propuesta y ejecuci\u00f3n de la pol\u00edtica del Gobierno en materia de derechos sociales y bienestar social, de familia y de su diversidad, de cohesi\u00f3n social, de atenci\u00f3n a las personas dependientes o con discapacidad, as\u00ed como de protecci\u00f3n de los derechos y del bienestar de los animales.<\/p>\n

2.\u2003Igualmente, corresponde al Ministerio de Derechos Sociales, Consumo y Agenda\u00a02030 la propuesta y ejecuci\u00f3n de la pol\u00edtica del Gobierno en materia de consumo, protecci\u00f3n de las personas consumidoras y regulaci\u00f3n del juego.<\/p>\n

3.\u2003Asimismo, corresponde al Ministerio de Derechos Sociales, Consumo y Agenda\u00a02030 la propuesta y ejecuci\u00f3n de la pol\u00edtica del Gobierno en materia de impulso, seguimiento y cooperaci\u00f3n para la implementaci\u00f3n de la Agenda\u00a02030 y el cumplimiento de los Objetivos de Desarrollo Sostenible.<\/p>\n

Art\u00edculo\u00a04.\u2003Marco normativo.<\/h5>\n

El marco normativo en que se desarrollan las actividades del Ministerio de Derechos Sociales, Consumo y Agenda\u00a02030, en el \u00e1mbito de la prestaci\u00f3n de los servicios electr\u00f3nicos a la ciudadan\u00eda, sin perjuicio de la legislaci\u00f3n espec\u00edfica, se compone, fundamentalmente, de las siguientes normas:<\/p>\n

1.\u2003Ley\u00a039\/2015, de\u00a01 de octubre, del Procedimiento Administrativo Com\u00fan de las Administraciones P\u00fablicas.<\/p>\n

2.\u2003Ley\u00a040\/2015, de\u00a01 de octubre, de R\u00e9gimen Jur\u00eddico del Sector P\u00fablico.<\/p>\n

3.\u2003Real Decreto\u00a0203\/2021, de\u00a030 de marzo, por el que se aprueba el reglamento de actuaci\u00f3n y funcionamiento del sector p\u00fablico por medios electr\u00f3nicos.<\/p>\n

4.\u2003Real Decreto\u00a0311\/2022, de\u00a03 de mayo, por el que se regula el Esquema Nacional de Seguridad y las Instrucciones T\u00e9cnicas de Seguridad para su aplicaci\u00f3n dictadas por la persona titular de la Secretar\u00eda de Estado de Funci\u00f3n P\u00fablica, de acuerdo con lo previsto en la disposici\u00f3n adicional segunda de dicho real decreto.<\/p>\n

5.\u2003Real Decreto\u00a04\/2010, de\u00a08 de enero, por el que se regula el Esquema Nacional de Interoperabilidad en al \u00e1mbito de la Administraci\u00f3n Electr\u00f3nica.<\/p>\n

6.\u2003Reglamento (UE) 2016\/679 del Parlamento Europeo y del Consejo, de\u00a027 de abril de\u00a02016, relativo a la protecci\u00f3n de las personas f\u00edsicas en lo que respecta al tratamiento de datos personales y a la libre circulaci\u00f3n de estos datos (Reglamento General de Protecci\u00f3n de Datos, en adelante RGPD).<\/p>\n

7.\u2003Ley Org\u00e1nica\u00a03\/2018, de\u00a05 de diciembre, de Protecci\u00f3n de Datos Personales y garant\u00eda de los derechos digitales.<\/p>\n

8.\u2003Real Decreto\u00a0255\/2025, de\u00a01 de abril, por el que se regula el documento nacional de identidad.<\/p>\n

9.\u2003La legislaci\u00f3n sectorial reguladora de la actuaci\u00f3n de los \u00f3rganos superiores y directivos del Ministerio de Derechos Sociales, Consumo y Agenda\u00a02030, seg\u00fan lo establecido en Real Decreto\u00a0209\/2024, de\u00a027 de febrero, por el que se desarrolla la estructura org\u00e1nica b\u00e1sica del Ministerio de Derechos Sociales, Consumo y Agenda\u00a02030.<\/p>\n

10.\u2003Orden DCA\/1495\/2024, de\u00a023 de diciembre, por la que se crea y regula la Comisi\u00f3n Ministerial de Administraci\u00f3n Digital del Ministerio de Derechos Sociales, Consumo y Agenda\u00a02030.<\/p>\n

11.\u2003Resoluci\u00f3n de\u00a024 de febrero de\u00a02010, del Instituto de Mayores y Servicios Sociales, por la que se crea y regula la sede y el registro electr\u00f3nicos del Instituto de Mayores y Servicios Sociales.<\/p>\n

12.\u2003Ley\u00a09\/2017, de\u00a08 de noviembre, de Contratos del Sector P\u00fablico, por la que se transponen al ordenamiento jur\u00eddico espa\u00f1ol las Directivas del Parlamento Europeo y del Consejo\u00a02014\/23\/UE y\u00a02014\/24\/UE, de\u00a026 de febrero de\u00a02014.<\/p>\n

13.\u2003Texto refundido de la Ley de Propiedad Intelectual, aprobado por Real Decreto Legislativo\u00a01\/1996, de\u00a012 de abril, y su normativa de desarrollo.<\/p>\n

14.\u2003Orden PCI\/487\/2019, de\u00a026 de abril, por la que se publica la Estrategia Nacional de Ciberseguridad\u00a02019, aprobada por el Consejo de Seguridad Nacional.<\/p>\n

15.\u2003Real Decreto-ley\u00a014\/2019, de\u00a031 de octubre, por el que se adoptan medidas urgentes por razones de seguridad p\u00fablica en materia de administraci\u00f3n digital, contrataci\u00f3n del sector p\u00fablico y telecomunicaciones.<\/p>\n

16.\u2003La Directiva (UE) 2022\/2555 del Parlamento europeo y del Consejo de\u00a014 de diciembre de\u00a02022 relativa a las medidas destinadas a garantizar un elevado nivel com\u00fan de ciberseguridad en toda la Uni\u00f3n.<\/p>\n

17.\u2003La Ley\u00a09\/1968, de\u00a05 de abril, sobre secretos oficiales.<\/p>\n

18.\u2003El Real Decreto Legislativo\u00a05\/2015, de\u00a030 de octubre, por el que se aprueba el texto refundido de la Ley del Estatuto B\u00e1sico del Empleado P\u00fablico.<\/p>\n

19.\u2003El Real Decreto-ley\u00a012\/2018, de\u00a07 de septiembre, de seguridad de las redes y sistemas de informaci\u00f3n que traspone la Directiva Europea NIS (Directiva (UE) 2016\/1148 del Parlamento Europeo y del Consejo, de\u00a06 de julio de\u00a02016).<\/p>\n

20.\u2003El Real Decreto\u00a01720\/2007, de\u00a021 de diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Org\u00e1nica\u00a015\/1999, de\u00a013 de diciembre, de protecci\u00f3n de datos de car\u00e1cter personal.<\/p>\n

Del mismo modo, forman parte del marco regulatorio las normas aplicables a la Administraci\u00f3n Electr\u00f3nica del Departamento que desarrollen o complementen a las anteriores y que se encuentren dentro del \u00e1mbito de aplicaci\u00f3n de la PSI.<\/p>\n

Art\u00edculo\u00a05.\u2003Principios de la seguridad de la informaci\u00f3n.<\/h5>\n

Los principios b\u00e1sicos y requisitos de la seguridad de la informaci\u00f3n desarrollados bajo el marco de esta Pol\u00edtica de Seguridad son los recogidos en el Esquema Nacional de Seguridad regulado por el Real Decreto\u00a0311\/2022, de\u00a03 de mayo, en particular, los previstos en sus cap\u00edtulos II y III, y su normativa de desarrollo.<\/p>\n

Art\u00edculo\u00a06.\u2003Organizaci\u00f3n de la seguridad.<\/h5>\n

La estructura organizativa para la gesti\u00f3n de la seguridad de la informaci\u00f3n en el \u00e1mbito descrito por la PSI del Ministerio de Derechos Sociales, Consumo y Agenda\u00a02030 est\u00e1 compuesta por los siguientes agentes:<\/p>\n

1.\u2003Comisi\u00f3n Ministerial de Administraci\u00f3n Digital (CMAD).<\/p>\n

2.\u2003Responsable de la Seguridad (RSeg).<\/p>\n

3.\u2003Comit\u00e9 de Seguridad de la Informaci\u00f3n (CSI).<\/p>\n

4.\u2003Responsable de la Informaci\u00f3n (RInf).<\/p>\n

5.\u2003Responsable del Servicio (RSer).<\/p>\n

6.\u2003Responsable del Sistema (RSis).<\/p>\n

Art\u00edculo\u00a07.\u2003La Comisi\u00f3n Ministerial de Administraci\u00f3n Digital.<\/h5>\n

1.\u2003De acuerdo con lo previsto en el art\u00edculo\u00a05 del Real Decreto\u00a01125\/2024, de\u00a05 de noviembre, por el que se regulan la organizaci\u00f3n y los instrumentos operativos para la Administraci\u00f3n Digital de la Administraci\u00f3n del Estado, la Comisi\u00f3n Ministerial de Administraci\u00f3n Digital (en adelante, CMAD), es el \u00f3rgano colegiado de \u00e1mbito departamental responsable del impulso y coordinaci\u00f3n interna en materia de administraci\u00f3n digital.<\/p>\n

2.\u2003De acuerdo con lo previsto en el art\u00edculo\u00a05.1 de la Orden DCA\/1495\/2024, de\u00a023 de diciembre, por la que se crea y regula la Comisi\u00f3n Ministerial de Administraci\u00f3n Digital del Ministerio de Derechos Sociales, Consumo y Agenda\u00a02030, \u00e9sta ser\u00e1 la encargada de realizar las siguientes funciones relacionadas con la seguridad:<\/p>\n

a)\u2003Impulsar la seguridad de la informaci\u00f3n en la organizaci\u00f3n, aportando los recursos necesarios y apoyando a los distintos roles de seguridad de la informaci\u00f3n.<\/p>\n

b)\u2003Aplicar las directrices de seguridad establecidas por el Esquema Nacional de Seguridad (en adelante ENS) y dem\u00e1s legislaci\u00f3n vigente en el \u00e1mbito de la seguridad de la informaci\u00f3n y las comunicaciones, as\u00ed como supervisar su cumplimiento.<\/p>\n

c)\u2003Elaborar la estrategia de la organizaci\u00f3n en lo que respecta a seguridad de la informaci\u00f3n y promover la mejora continua en la gesti\u00f3n de la misma.<\/p>\n

d)\u2003Impulsar y velar por el cumplimiento de la PSI y de su desarrollo normativo. As\u00ed como aprobar las propuestas de modificaci\u00f3n de esta y velar por su actualizaci\u00f3n permanente.<\/p>\n

e)\u2003Definir, dentro del marco establecido por la presente orden, la asignaci\u00f3n de roles y los criterios para alcanzar las garant\u00edas que estime pertinentes en lo relativo a la segregaci\u00f3n de tareas. As\u00ed como aprobar el nombramiento del Responsable de la Seguridad y del Responsable del Sistema.<\/p>\n

f)\u2003Aprobar las normas de desarrollo de segundo nivel de la PSI, seg\u00fan lo previsto en el art\u00edculo\u00a015.<\/p>\n

g)\u2003Aprobar el Plan de Auditor\u00eda y el Plan de Formaci\u00f3n propuestos por el Responsable de la Seguridad, as\u00ed como ordenar la realizaci\u00f3n de las auditor\u00edas o autoevaluaciones de seguridad y recibir informaci\u00f3n de los resultados de las mismas.<\/p>\n

h)\u2003Resolver los posibles conflictos que puedan derivarse del establecimiento de la estructura organizativa de seguridad, as\u00ed como aquellos conflictos de competencia que pudieran aparecer entre los diferentes centros directivos en materia de seguridad de la informaci\u00f3n, elevando aquellos casos en los que no tenga suficiente autoridad para decidir.<\/p>\n

i)\u2003Proveer los recursos y medios necesarios para asegurar la concienciaci\u00f3n y formaci\u00f3n en materia de seguridad de la informaci\u00f3n de todo el personal afectado por esta orden.<\/p>\n

j)\u2003Tomar aquellas decisiones que garanticen la seguridad de la informaci\u00f3n y de los servicios del Departamento, as\u00ed como la evaluaci\u00f3n y seguimiento de las decisiones tomadas para satisfacer los requisitos de seguridad de la informaci\u00f3n y de los servicios.<\/p>\n

k)\u2003Apoyar la coordinaci\u00f3n, cooperaci\u00f3n y colaboraci\u00f3n con la Agencia Estatal de Administraci\u00f3n Digital y otras Administraciones p\u00fablicas en materia de seguridad de la informaci\u00f3n.<\/p>\n

l)\u2003Compartir experiencias de \u00e9xito en materia de seguridad entre sus miembros para velar por el cumplimiento de la PSI y su normativa de desarrollo.<\/p>\n

m)\u2003Informar sobre el estado de las principales variables de seguridad en los sistemas de informaci\u00f3n al Comit\u00e9 de Seguridad de la Informaci\u00f3n de las Administraciones p\u00fablicas para la elaboraci\u00f3n de un perfil general del estado de seguridad de estas.<\/p>\n

3.\u2003La CMAD podr\u00e1 recabar de personal t\u00e9cnico, propio o externo, la informaci\u00f3n pertinente para la toma de sus decisiones.<\/p>\n

Art\u00edculo\u00a08.\u2003Responsable de la Seguridad.<\/h5>\n

1.\u2003Conforme a lo dispuesto en el art\u00edculo\u00a013.2.c) del Real Decreto\u00a0311\/2022, de\u00a03 de mayo, el Responsable de la Seguridad determinar\u00e1 las decisiones para satisfacer los requisitos de seguridad de la informaci\u00f3n y de los servicios, supervisar\u00e1 la implantaci\u00f3n de las medidas necesarias para garantizar la seguridad de la informaci\u00f3n manejada, de los servicios electr\u00f3nicos prestados por los sistemas de informaci\u00f3n y la protecci\u00f3n de datos de car\u00e1cter personal, adem\u00e1s de reportar sobre estas cuestiones a la CMAD.<\/p>\n

Cada \u00f3rgano superior o directivo del Ministerio de Derechos Sociales, Consumo y Agenda\u00a02030, as\u00ed como los organismos y entidades adscritas al Departamento ministerial podr\u00e1n designar un responsable de la seguridad. La designaci\u00f3n deber\u00e1 ser notificada a la CMAD. En ausencia de una designaci\u00f3n las funciones de responsable de la seguridad ser\u00e1n asumidas por el Comit\u00e9 de Seguridad de la Informaci\u00f3n.<\/p>\n

El \u00e1mbito de actuaci\u00f3n de cada responsable de la seguridad se limitar\u00e1 \u00fanica y exclusivamente a los sistemas de informaci\u00f3n y servicios de tecnolog\u00edas de la informaci\u00f3n y de las comunicaciones que sean competencia y responsabilidad directa del centro o centros para los que haya sido designado como responsable de la seguridad.<\/p>\n

2.\u2003Ser\u00e1n deberes y responsabilidades del Responsable de la Seguridad las siguientes:<\/p>\n

a)\u2003Promover y mantener el nivel adecuado de seguridad de la informaci\u00f3n manejada y de los servicios electr\u00f3nicos prestados por los sistemas de informaci\u00f3n en su \u00e1mbito de responsabilidad.<\/p>\n

b)\u2003Promover la formaci\u00f3n y concienciaci\u00f3n en materia de seguridad de la informaci\u00f3n.<\/p>\n

c)\u2003Elaborar la normativa de seguridad de segundo nivel definida en el art\u00edculo\u00a015 y proponer su aprobaci\u00f3n al Pleno de la CMAD.<\/p>\n

d)\u2003Velar e impulsar el cumplimiento del cuerpo normativo definido en el art\u00edculo\u00a015.<\/p>\n

e)\u2003Encargarse de que la documentaci\u00f3n de seguridad se mantenga organizada y actualizada, as\u00ed como de gestionar los mecanismos de acceso a la misma.<\/p>\n

f)\u2003Verificar que las medidas de seguridad son adecuadas para la protecci\u00f3n de la informaci\u00f3n y los servicios.<\/p>\n

g)\u2003Apoyar y supervisar la investigaci\u00f3n de los incidentes de seguridad desde su notificaci\u00f3n hasta su resoluci\u00f3n. Coordinar la comunicaci\u00f3n con el Centro Criptol\u00f3gico Nacional en la utilizaci\u00f3n de servicios de respuesta a incidentes de seguridad.<\/p>\n

h)\u2003Elaborar informes peri\u00f3dicos de seguridad que incluyan los incidentes m\u00e1s relevantes de cada per\u00edodo.<\/p>\n

i)\u2003Impulsar la mejora continua en la gesti\u00f3n de la seguridad de la informaci\u00f3n.<\/p>\n

j)\u2003Aprobar la declaraci\u00f3n de aplicabilidad, que comprende la relaci\u00f3n de medidas de seguridad seleccionadas para un sistema.<\/p>\n

k)\u2003Realizar los preceptivos an\u00e1lisis de riesgos y mantenerlos actualizados seg\u00fan la legislaci\u00f3n vigente.<\/p>\n

l)\u2003Promover auditor\u00edas peri\u00f3dicas para verificar el cumplimiento de las obligaciones en materia de seguridad de la informaci\u00f3n, y analizar los informes de auditor\u00eda, elaborando las conclusiones a presentar a los Responsables del Servicio y los Responsables de la Informaci\u00f3n para que adopten las medidas correctoras adecuadas bajo su responsabilidad.<\/p>\n

m)\u2003Realizar las tareas de coordinaci\u00f3n y comunicaci\u00f3n con los Responsables de Seguridad de los dem\u00e1s departamentos ministeriales.<\/p>\n

n)\u2003Cualesquiera otras funciones que el Real Decreto\u00a0311\/2022, de\u00a03 de mayo, asigne al Responsable de la Seguridad.<\/p>\n

3.\u2003El Responsable de la Seguridad ser\u00e1 distinto del Responsable del Sistema, no debiendo existir dependencia jer\u00e1rquica entre ambos. En aquellas situaciones excepcionales en las que la ausencia justificada de recursos requiera que ambas funciones recaigan en la misma persona o en distintas personas con relaci\u00f3n jer\u00e1rquica, se aplicar\u00e1n medidas compensatorias para garantizar la finalidad del principio de diferenciaci\u00f3n de responsabilidades previsto en el art\u00edculo\u00a011 del Real Decreto\u00a0311\/2022, de\u00a03 de mayo.<\/p>\n

Art\u00edculo\u00a09.\u2003Comit\u00e9 de Seguridad de la Informaci\u00f3n.<\/h5>\n

1.\u2003El Comit\u00e9 de Seguridad de la Informaci\u00f3n del Ministerio de Derechos Sociales, Consumo y Agenda\u00a02030 (en adelante, CSI), tiene la responsabilidad de dar seguimiento y alinear las actividades en materia de seguridad del Ministerio, adem\u00e1s de participar en la gesti\u00f3n de proyectos de mejora continua, continuidad del servicio y el cumplimiento de las medidas definidas para la obtenci\u00f3n y mantenimiento de las diferentes certificaciones.<\/p>\n

2.\u2003El CSI, \u00f3rgano colegiado que se adscribe a la Subsecretar\u00eda, ejercer\u00e1 las funciones del Responsable de la Seguridad, para todos los centros directivos del departamento ministerial que no notifiquen una designaci\u00f3n de responsable de la seguridad a la CMAD y estar\u00e1 compuesto por:<\/p>\n

a)\u2003Presidencia: La persona titular de la Divisi\u00f3n de Tecnolog\u00edas de la Informaci\u00f3n y Comunicaciones. Tendr\u00e1 voto de calidad en la toma de decisiones del grupo. En caso de ausencia, vacante o enfermedad ser\u00e1 sustituido por la persona titular de la Vicepresidencia.<\/p>\n

b)\u2003Vicepresidencia. La persona titular de la coordinaci\u00f3n del \u00c1rea de Seguridad de la Informaci\u00f3n de la Divisi\u00f3n de Tecnolog\u00edas de la Informaci\u00f3n y Comunicaciones, que tendr\u00e1 voz y voto. En caso de ausencia, vacante o enfermedad ser\u00e1 sustituido por la persona titular de la Divisi\u00f3n de Control de Juego Seguro.<\/p>\n

c)\u2003Secretar\u00eda: La persona titular de la Jefatura de \u00c1rea de Infraestructuras de la Divisi\u00f3n de Tecnolog\u00edas de la Informaci\u00f3n y Comunicaciones, que tendr\u00e1 voz y voto y que, sin perjuicio del resto de funciones que le corresponden, ejecutar\u00e1 las decisiones del grupo, convocar\u00e1 sus reuniones y preparar\u00e1 los temas a tratar. El sustituto de la persona titular de la Jefatura de \u00c1rea de Infraestructuras de la Divisi\u00f3n de Tecnolog\u00edas de la Informaci\u00f3n ser\u00e1 designado por la persona titular de dicha Divisi\u00f3n.<\/p>\n

d)\u2003Vocales: la persona titular de la Divisi\u00f3n de Control de Juego Seguro y una persona representante de cada uno de los organismos y entidades p\u00fablicos adscritos en el \u00e1mbito del Ministerio, que tendr\u00e1n voz y voto. Los vocales representantes de los organismos p\u00fablicos, as\u00ed como sus sustitutos, ser\u00e1n designados por la persona titular de la direcci\u00f3n del organismo o entidad al que representen.<\/p>\n

3.\u2003Cuando la complejidad, distribuci\u00f3n, separaci\u00f3n f\u00edsica de sus elementos o n\u00famero de usuarios de los sistemas de informaci\u00f3n lo justifiquen, el CSI podr\u00e1 designar los Responsables de Seguridad delegados que considere necesarios, que tendr\u00e1n dependencia funcional directa de aqu\u00e9l y ser\u00e1n responsables en su \u00e1mbito de todas aquellas acciones que les delegue el mismo.<\/p>\n

4.\u2003El CSI se reunir\u00e1 con car\u00e1cter ordinario con una periodicidad trimestral y con car\u00e1cter extraordinario, cuando lo decida su Presidente. En cuanto a su funcionamiento, se regir\u00e1, en todo lo no previsto en la presente orden, por lo dispuesto en el cap\u00edtulo II, secci\u00f3n\u00a03.\u00aa del t\u00edtulo preliminar de la Ley\u00a040\/2015, de\u00a01 de octubre. Sus miembros ser\u00e1n renovados cada cuatro a\u00f1os o con ocasi\u00f3n de vacante.<\/p>\n

5.\u2003A requerimiento del CSI se convocar\u00e1 cualquier otro responsable o responsables, propio o de terceras organizaciones subcontratadas para la prestaci\u00f3n de los servicios, cuya intervenci\u00f3n sea precisa por estar afectados por el ENS y por la regulaci\u00f3n en materia de Protecci\u00f3n de Datos.<\/p>\n

6.\u2003A las reuniones del CSI, podr\u00e1n acudir representantes designados por los Delegados de Protecci\u00f3n de Datos del Ministerio y de los organismos p\u00fablicos dependientes adscritos a la presente PSI. Tambi\u00e9n podr\u00e1n ser invitados puntualmente los Responsables de los Tratamientos de Datos Personales en el \u00e1mbito del Departamento. Puntualmente se podr\u00e1 invitar a personal t\u00e9cnico propio o externo a las reuniones.<\/p>\n

7.\u2003En el seno del CSI, podr\u00e1n crearse grupos de trabajo cuya funci\u00f3n ser\u00e1 la de apoyarlo en el ejercicio de sus funciones. Los grupos de trabajo tendr\u00e1n la composici\u00f3n que, en cada caso, determine el CSI.<\/p>\n

8.\u2003El CSI colaborar\u00e1 con la CMAD en las cuestiones que \u00e9sta le encomiende y en particular ejercer\u00e1 las siguientes funciones, que podr\u00e1n ser ampliadas dentro su \u00e1mbito competencial:<\/p>\n

a)\u2003Implantar las directrices de la CMAD dentro del \u00e1mbito de seguridad de la informaci\u00f3n.<\/p>\n

b)\u2003Preparar las normas y procedimientos en materia de seguridad de la informaci\u00f3n. Elaborar, promover y mantener la pol\u00edtica de seguridad de la informaci\u00f3n y proponer su aprobaci\u00f3n al Pleno de la Comisi\u00f3n.<\/p>\n

c)\u2003Validar el Plan de Seguridad y presentarlo a la CMAD para que sea aprobado.<\/p>\n

d)\u2003Supervisar el desarrollo y mantenimiento del Plan de Continuidad de negocio.<\/p>\n

e)\u2003Velar por el cumplimento de la legislaci\u00f3n y regulaci\u00f3n vigente.<\/p>\n

f)\u2003Promover la concienciaci\u00f3n y formaci\u00f3n de los empleados en materia de seguridad de la informaci\u00f3n.<\/p>\n

g)\u2003Gestionar, coordinar y supervisar, en conjunto con otros departamentos ministeriales, la ciberseguridad de todas las actividades relacionadas con la seguridad de las TIC del Ministerio.<\/p>\n

h)\u2003Seguimiento y control de la gesti\u00f3n de incidentes de seguridad.<\/p>\n

i)\u2003Validar la correcta ejecuci\u00f3n de los planes de acci\u00f3n y ciclo de mejora continua de cara a la seguridad de la informaci\u00f3n y protecci\u00f3n de datos personales.<\/p>\n

j)\u2003Hacer part\u00edcipe al Delegado de Protecci\u00f3n de Datos (DPD) en caso de afectaci\u00f3n sobre datos personales.<\/p>\n

k)\u2003Elaborar el plan de riesgos y las posibles soluciones para mitigar las amenazas.<\/p>\n

l)\u2003Proponer nuevos objetivos en materia de seguridad de la informaci\u00f3n.<\/p>\n

m)\u2003Velar por el cumplimiento de la documentaci\u00f3n de seguridad, manteni\u00e9ndola organizada y actualizada, as\u00ed como de gestionar los mecanismos de acceso a la misma.<\/p>\n

n)\u2003Validar la implantaci\u00f3n de los requisitos de seguridad necesarios.<\/p>\n

\u00f1)\u2003Establecer los controles y las medidas t\u00e9cnicas y organizativas para asegurar los sistemas de informaci\u00f3n y revisar peri\u00f3dicamente el estado de la seguridad de la informaci\u00f3n.<\/p>\n

o)\u2003Controlar que las auditor\u00edas de seguridad se realicen con la frecuencia necesaria.<\/p>\n

p)\u2003Reportar a la CMAD y Comit\u00e9 de Seguridad de los dem\u00e1s departamentos ministeriales las cuestiones relevantes en materia de seguridad de la informaci\u00f3n del Ministerio.<\/p>\n

Art\u00edculo\u00a010.\u2003Responsable de la Informaci\u00f3n.<\/h5>\n

1.\u2003En base a lo dispuesto en el art\u00edculo\u00a013.2 a) del Real Decreto\u00a0311\/2022, de\u00a03 de mayo, el Responsable de la Informaci\u00f3n determinar\u00e1 los requisitos de la informaci\u00f3n tratada por la organizaci\u00f3n en materia de seguridad, es decir, determinar\u00e1 y aprobar\u00e1 los niveles de seguridad aplicables a la informaci\u00f3n. Si esta informaci\u00f3n incluye datos de car\u00e1cter personal, adem\u00e1s deber\u00e1n tenerse en cuenta las medidas de seguridad que corresponda implantar, atendidos los riesgos generados por el tratamiento, de acuerdo a lo exigido por el RGPD.<\/p>\n

2.\u2003Ser\u00e1n deberes y responsabilidades del Responsable de la Informaci\u00f3n, las siguientes:<\/p>\n

a)\u2003Determinar, respecto de la informaci\u00f3n, los niveles en cada dimensi\u00f3n de seguridad seg\u00fan el marco establecido en el anexo I del ENS y valorar el impacto de los incidentes que afecten a la seguridad de la informaci\u00f3n.<\/p>\n

b)\u2003Se encargar\u00e1, junto al Responsable del Servicio y contando con la participaci\u00f3n del Responsable de la Seguridad, de realizar los preceptivos an\u00e1lisis de riesgos y seleccionar las salvaguardas que se han de implantar.<\/p>\n

c)\u2003Ser\u00e1 responsable de aceptar los riesgos residuales respecto de la informaci\u00f3n, calculados en el an\u00e1lisis de riesgos.<\/p>\n

d)\u2003Para la determinaci\u00f3n de los niveles de seguridad de la informaci\u00f3n, el Responsable de la Informaci\u00f3n solicitar\u00e1 informe del Responsable de la Seguridad.<\/p>\n

3.\u2003Los \u00f3rganos superiores o directivos del Ministerio y los \u00f3rganos responsables de los organismos y entidades vinculados o dependientes que no cuenten con PSI propia, designar\u00e1n al Responsable o Responsables de la Informaci\u00f3n, sin que implique, en ning\u00fan caso, un aumento de las actuales dotaciones ni de las retribuciones de dichos efectivos por ning\u00fan concepto. Se comunicar\u00e1n los nombramientos al Responsable de la Seguridad.<\/p>\n

4.\u2003A los efectos previstos en el RGPD, y en la medida en que sea el que determine, s\u00f3lo o junto con otros, los fines y medios del correspondiente tratamiento de datos personales, el Responsable de la Informaci\u00f3n podr\u00e1 tener la consideraci\u00f3n de responsable o encargado del tratamiento respecto de los datos personales contenidos en la informaci\u00f3n incluida en su \u00e1mbito de actuaci\u00f3n. Cuando se d\u00e9 esta circunstancia, el Responsable de la Informaci\u00f3n deber\u00e1 mantener los registros de las actividades de tratamiento a los que se refiere el art\u00edculo\u00a030 del RGPD.<\/p>\n

5.\u2003Este rol podr\u00e1 coincidir con el Responsable del Servicio. De igual forma, este rol no podr\u00e1 coincidir con el de Responsable del Sistema.<\/p>\n

Art\u00edculo\u00a011.\u2003Responsable del Servicio.<\/h5>\n

1.\u2003De acuerdo con lo previsto en el art\u00edculo\u00a013.2.b) del Real Decreto\u00a0311\/2022, de\u00a03 de mayo, se asigna al Responsable del Servicio la potestad de establecer los requisitos del servicio en materia de seguridad, es decir, la potestad de determinar y aprobar los requisitos aplicables al servicio en cada dimensi\u00f3n de seguridad.<\/p>\n

2.\u2003Ser\u00e1n deberes y responsabilidades del Responsable del Servicio, las siguientes:<\/p>\n

a)\u2003Tiene la responsabilidad \u00faltima de la prestaci\u00f3n de un cierto nivel de servicio y su protecci\u00f3n, para ello debe contar con las competencias suficiente para decidir sobre la finalidad y prestaci\u00f3n de dicho servicio.<\/p>\n

b)\u2003Dentro del marco establecido Real Decreto\u00a0311\/2022, de\u00a03 de mayo, tiene la potestad de establecer y aprobar los requisitos del servicio en materia de seguridad.<\/p>\n

3.\u2003El Responsable de la Informaci\u00f3n y el Responsable del Servicio coincidir\u00e1n cuando la prestaci\u00f3n del servicio dependa de la unidad que es responsable de la informaci\u00f3n o cuando el servicio no maneje informaci\u00f3n de diferentes procedencias. Sin embargo, su diferenciaci\u00f3n tendr\u00e1 sentido si se cumplen los siguientes puntos:<\/p>\n

a)\u2003Cuando el servicio maneja informaci\u00f3n de diferentes procedencias, no necesariamente de la misma unidad departamental que la que presta el servicio.<\/p>\n

b)\u2003Cuando la prestaci\u00f3n del servicio no depende de la unidad que es responsable de la informaci\u00f3n.<\/p>\n

4.\u2003Los \u00f3rganos superiores o directivos del Ministerio, y los \u00f3rganos responsables de los organismos y entidades vinculados o dependientes que no cuenten con PSI propia, designar\u00e1n al Responsable o Responsables de los servicios, sin que implique, en ning\u00fan caso, un aumento de las actuales dotaciones ni de las retribuciones de dichos efectivos por ning\u00fan concepto. Se comunicar\u00e1n los nombramientos al Responsable de la Seguridad.<\/p>\n

5.\u2003Este rol no podr\u00e1 coincidir con el de Responsable de la Seguridad, ni con el de Responsable del Sistema, ni siquiera cuando se trate de organizaciones de reducida dimensi\u00f3n que funcionen de forma aut\u00f3noma.<\/p>\n

Art\u00edculo\u00a012.\u2003Responsable del Sistema.<\/h5>\n

1.\u2003De acuerdo con lo previsto en el art\u00edculo\u00a013.2.d) del Real Decreto\u00a0311\/2022, de\u00a03 de mayo, el Responsable del Sistema, por s\u00ed o mediante recursos propios o contratados, desarrollar\u00e1 la forma concreta de implementar la seguridad en el sistema y la supervisi\u00f3n de la operaci\u00f3n diaria del mismo, pudiendo delegar en administradores u operadores bajo su responsabilidad.<\/p>\n

2.\u2003Ser\u00e1n deberes y responsabilidades del Responsable del Sistema, las siguientes:<\/p>\n

a)\u2003Definir la topolog\u00eda y sistema de gesti\u00f3n del sistema de informaci\u00f3n estableciendo los criterios de uso y los servicios disponibles en el mismo.<\/p>\n

b)\u2003Cerciorarse de que las medidas espec\u00edficas de seguridad se integren adecuadamente dentro del marco general de seguridad.<\/p>\n

c)\u2003Desarrollar, operar y mantener el sistema de informaci\u00f3n durante todo su ciclo de vida, incluyendo sus especificaciones, instalaci\u00f3n y verificaci\u00f3n de su correcto funcionamiento. Pudiendo delegar en administradores u operadores bajo su responsabilidad.<\/p>\n

d)\u2003Proponer la suspensi\u00f3n del tratamiento de una cierta informaci\u00f3n o la prestaci\u00f3n de un determinado servicio si aprecia deficiencias graves de seguridad que pudieran afectar a la satisfacci\u00f3n de los requisitos establecidos.<\/p>\n

3.\u2003La CMAD, ser\u00e1 la encargada de designar este perfil de acuerdo con su propia organizaci\u00f3n interna, sin que, esto implique, en ning\u00fan caso, un aumento de las actuales dotaciones ni de las retribuciones de dichos efectivos por ning\u00fan concepto. Se comunicar\u00e1 el nombramiento o nombramientos al Responsable de la Seguridad.<\/p>\n

4.\u2003El rol de Responsable del Sistema no podr\u00e1 coincidir con el de Responsable de la Informaci\u00f3n, Responsable del Servicio ni con el de Responsable de la Seguridad de la Informaci\u00f3n.<\/p>\n

Art\u00edculo\u00a013.\u2003Resoluci\u00f3n de conflictos.<\/h5>\n

1.\u2003La resoluci\u00f3n de conflictos entre los diferentes responsables, ser\u00e1n resueltos por el superior jer\u00e1rquico de los mismos. En su defecto, ser\u00e1 la CMAD quien resuelva.<\/p>\n

2.\u2003En la resoluci\u00f3n de estos conflictos, prevalecer\u00e1n las mayores exigencias derivadas de la protecci\u00f3n de datos de car\u00e1cter personal.<\/p>\n

Art\u00edculo\u00a014.\u2003Obligaciones del personal.<\/h5>\n

1.\u2003Todo el personal que presta servicios en el Ministerio de Derechos Sociales, Consumo y Agenda\u00a02030 y sus organismos y entidades adscritos, tienen la obligaci\u00f3n de conocer y cumplir esta PSI y la normativa de seguridad derivada, siendo responsabilidad de la CMAD disponer los medios necesarios para que la informaci\u00f3n llegue a los afectados.<\/p>\n

2.\u2003Todo el personal que se incorpore al Ministerio de Derechos Sociales, Consumo y Agenda\u00a02030 o vaya a tener acceso a alguno de sus sistemas de informaci\u00f3n o la informaci\u00f3n gestionada por ellos deber\u00e1 ser informado y deber\u00e1 cumplir la PSI y la normativa de seguridad derivada.<\/p>\n

3.\u2003El incumplimiento manifiesto de la PSI o la normativa de seguridad derivada podr\u00e1 acarrear el inicio de las medidas disciplinarias oportunas y, en su caso, las responsabilidades contractuales y legales correspondientes.<\/p>\n

Art\u00edculo\u00a015.\u2003Gobernanza de la estructura normativa.<\/h5>\n

1.\u2003El cuerpo normativo sobre seguridad de la informaci\u00f3n es de obligado cumplimiento y se estructura en los siguientes niveles relacionados jer\u00e1rquicamente, seg\u00fan su \u00e1mbito de aplicaci\u00f3n y grado de detalle t\u00e9cnico, de manera que cada norma de un determinado nivel de desarrollo se fundamente en las normas de nivel superior:<\/p>\n

a)\u2003Primer nivel normativo:<\/p>\n

Est\u00e1 constituido por la presente Pol\u00edtica de Seguridad de la Informaci\u00f3n y las directrices generales de seguridad de la informaci\u00f3n aplicables a los \u00f3rganos del Ministerio y los organismos y entidades comprendidos en el \u00e1mbito de esta PSI.<\/p>\n

b)\u2003Segundo nivel normativo:<\/p>\n

Est\u00e1 constituido por la normativa y las recomendaciones de seguridad de la informaci\u00f3n, en desarrollo de la PSI, que se definan para cada \u00e1mbito organizativo de aplicaci\u00f3n espec\u00edfico. Dicho \u00e1mbito podr\u00e1 corresponder a uno o m\u00e1s \u00f3rganos superiores o directivos del Ministerio, as\u00ed como a los \u00f3rganos responsables de los organismos o entidades de derecho p\u00fablico vinculados o dependientes.<\/p>\n

En cuanto a la normativa de seguridad de la informaci\u00f3n de este segundo nivel, comprender\u00e1 la regulaci\u00f3n de procedimientos sobre \u00abSeguridad en las Tecnolog\u00edas de la Informaci\u00f3n y las Comunicaciones\u00bb (en adelante, STIC), y normas e instrucciones t\u00e9cnicas STIC, dictadas, por las personas titulares de los \u00f3rganos superiores o directivos del ministerio y de las personas responsables de los organismos y entidades adscritas o dependientes en cuyo \u00e1mbito se hayan de aplicar.<\/p>\n

En cuanto a las recomendaciones, versar\u00e1n sobre buenas pr\u00e1cticas y consejos no vinculantes para la mejora de las condiciones de seguridad de la informaci\u00f3n en soporte electr\u00f3nico. Las recomendaciones las propone el Responsable de la Seguridad, dentro de su \u00e1mbito de competencia, y las aprueba la CMAD.<\/p>\n

c)\u2003Tercer nivel normativo: Procesos y Procedimientos T\u00e9cnicos.<\/p>\n

Corresponden al desarrollo del segundo nivel normativo y est\u00e1 constituido por Procesos y Procedimientos que detallan los aspectos t\u00e9cnicos para realizar una determinada tarea respetando los principios de seguridad de la informaci\u00f3n de la organizaci\u00f3n y los procesos internos en ella establecidos. Incluyen aspectos de configuraci\u00f3n, implementaci\u00f3n y tecnol\u00f3gicos relativos a la seguridad, desarrollo, mantenimiento y explotaci\u00f3n de los sistemas de informaci\u00f3n.<\/p>\n

Su \u00e1mbito de aplicaci\u00f3n podr\u00e1 ser general o corresponder a un \u00e1mbito org\u00e1nico espec\u00edfico o un sistema de informaci\u00f3n determinado. La aprobaci\u00f3n de los Procedimientos t\u00e9cnicos corresponde al Responsable de la Seguridad.<\/p>\n

Se consideran incluidas en este nivel normativo:<\/p>\n

i.\u2003Las gu\u00edas de seguridad de las tecnolog\u00edas de la informaci\u00f3n y la comunicaci\u00f3n elaboradas por el Centro Criptol\u00f3gico Nacional (en adelante gu\u00edas CCN-STIC).<\/p>\n

ii.\u2003Las normas o recomendaciones aprobadas por \u00f3rganos y organismos con competencias regulatorias en materia de seguridad o de protecci\u00f3n de datos, como son el Centro Criptol\u00f3gico Nacional, la Secretar\u00eda de Estado de Digitalizaci\u00f3n e Inteligencia Artificial, la Agencia Estatal de Administraci\u00f3n Digital, o la AEPD.<\/p>\n

iii.\u2003Conjunto de procedimientos t\u00e9cnicos elaborados y aprobados por los Responsables de Seguridad en sus \u00e1mbitos de actuaci\u00f3n.<\/p>\n

iv.\u2003Recomendaciones, gu\u00edas de configuraci\u00f3n y buenas pr\u00e1cticas publicadas por organismos u organizaciones internacionales y por los fabricantes de productos de seguridad.<\/p>\n

2.\u2003El personal de cada uno de los \u00f3rganos, organismos y entidades comprendidos en la presente PSI tendr\u00e1 la obligaci\u00f3n de conocer y cumplir, adem\u00e1s de \u00e9sta, todas las directrices generales, normas y procedimientos de seguridad de la informaci\u00f3n que puedan afectar a sus funciones.<\/p>\n

3.\u2003La CMAD establecer\u00e1 los mecanismos necesarios para compartir la documentaci\u00f3n derivada del desarrollo normativo con el prop\u00f3sito de normalizarlo, en la medida de lo posible, en todo el \u00e1mbito de aplicaci\u00f3n de la PSI.<\/p>\n

4.\u2003El cuerpo normativo de seguridad se encontrar\u00e1 a disposici\u00f3n del personal de la organizaci\u00f3n, teniendo en cuenta los principios de m\u00ednimo privilegio y de necesidad de conocer y responsabilidad de compartir. Adem\u00e1s, estar\u00e1 sujeto a revisiones peri\u00f3dicas para garantizar su actualizaci\u00f3n.<\/p>\n

Art\u00edculo\u00a016.\u2003Protecci\u00f3n de datos de car\u00e1cter personal.<\/h5>\n

1.\u2003El tratamiento de datos de car\u00e1cter personal en el \u00e1mbito del Ministerio de Derechos Sociales, Consumo y Agenda\u00a02030 se efectuar\u00e1 conforme a los principios de licitud, transparencia y lealtad, finalidad, minimizaci\u00f3n, exactitud, limitaci\u00f3n del plazo de conservaci\u00f3n, integridad y confidencialidad, as\u00ed como responsabilidad proactiva y seguridad.<\/p>\n

2.\u2003Se aplicar\u00e1n a los datos de car\u00e1cter personal que sean objeto de tratamiento por parte de los \u00f3rganos superiores y directivos del Ministerio de Derechos Sociales, Consumo y Agenda\u00a02030, adem\u00e1s de los \u00f3rganos responsables de los organismos y entidades adscritas o dependientes, ya sean tratamientos automatizados o no automatizados, las medidas de seguridad t\u00e9cnicas y organizativas apropiadas derivadas del an\u00e1lisis de riesgos, as\u00ed como de las evaluaciones de impacto relativas a la protecci\u00f3n de datos personales, conforme se detalla en el Reglamento (UE) 2016\/679 del Parlamento Europeo y del Consejo, de\u00a027 de abril de\u00a02016, relativo a la protecci\u00f3n de las personas f\u00edsicas en lo que respecta al tratamiento de datos personales y a la libre circulaci\u00f3n de estos datos y por el que se deroga la Directiva\u00a095\/46\/CE (Reglamento general de protecci\u00f3n de datos). Adem\u00e1s, en cumplimiento de la disposici\u00f3n adicional primera de la Ley Org\u00e1nica\u00a03\/2018, de\u00a05 de diciembre, se aplicar\u00e1n las medidas de seguridad correspondientes a la categor\u00eda del Sistema seg\u00fan el anexo II del Real Decreto\u00a0311\/2022, de\u00a03 de mayo, por el que se regula el Esquema Nacional de Seguridad en el \u00e1mbito de la Administraci\u00f3n Electr\u00f3nica. En el caso de que el an\u00e1lisis de riesgos determine medidas agravadas respecto a la normativa recogida en el anexo II del Real Decreto\u00a0311\/2022, de\u00a03 de mayo, dichas medidas derivadas del an\u00e1lisis de riesgos ser\u00e1n las que se implementar\u00e1n en la protecci\u00f3n de datos de car\u00e1cter personal.<\/p>\n

3.\u2003En relaci\u00f3n con los sistemas de informaci\u00f3n que, para soportar la prestaci\u00f3n de servicios de administraci\u00f3n electr\u00f3nica, manejen datos de car\u00e1cter personal, prevalecer\u00e1n las mayores exigencias contenidas en la normativa de protecci\u00f3n de datos en vigor que afecte al sistema de informaci\u00f3n concreto.<\/p>\n

Art\u00edculo\u00a017.\u2003Gesti\u00f3n de los riesgos.<\/h5>\n

1.\u2003La gesti\u00f3n de riesgos debe realizarse de manera continua sobre los sistemas de informaci\u00f3n, conforme a los principios de gesti\u00f3n de la seguridad y protecci\u00f3n de datos, basada en los riesgos y al principio de vigilancia continua y reevaluaci\u00f3n peri\u00f3dica, reconocidos por la legislaci\u00f3n vigente en materia de seguridad de la informaci\u00f3n y protecci\u00f3n de datos personales, siendo el Responsable del Servicio, el encargado de solicitar el preceptivo an\u00e1lisis de riesgos y de que se proponga el tratamiento adecuado, calculando los riesgos residuales.<\/p>\n

El Responsable de la Seguridad, tras la calificaci\u00f3n de la informaci\u00f3n y la determinaci\u00f3n del nivel de seguridad del sistema, obtendr\u00e1 la declaraci\u00f3n de aplicabilidad y el conjunto de medidas para garantizar la confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de la informaci\u00f3n y del servicio. Se realizar\u00e1 la evaluaci\u00f3n de riesgo, identificando los riesgos residuales y, en base a ellos, se determinar\u00e1 el Plan de Tratamiento de Riesgo, que le ser\u00e1 comunicado al Responsable de la Informaci\u00f3n y del Servicio.<\/p>\n

2.\u2003El Responsable de la Seguridad es el encargado de realizar dicho an\u00e1lisis en tiempo y forma a petici\u00f3n del Responsable del Servicio, as\u00ed como de identificar carencias y debilidades y ponerlas en conocimiento de los Responsables de la Informaci\u00f3n y del Servicio, as\u00ed como de la CMAD.<\/p>\n

3.\u2003Los Responsables de la Informaci\u00f3n y del Servicio son los encargados de los riesgos sobre la informaci\u00f3n y sobre los servicios, respectivamente, siendo responsables de su seguimiento y control, sin perjuicio de la posibilidad de delegar esta tarea.<\/p>\n

4.\u2003El proceso de gesti\u00f3n de riesgos, que comprende las fases de categorizaci\u00f3n de los sistemas, an\u00e1lisis de riesgos y selecci\u00f3n de medidas de seguridad a aplicar, que deber\u00e1n ser proporcionales a los riesgos y estar justificadas, deber\u00e1 revisarse y validarse cada a\u00f1o por el titular del \u00f3rgano o unidad administrativa o, en su caso, organismo dependiente o adscrito.<\/p>\n

5.\u2003Los an\u00e1lisis de riesgos, as\u00ed como su tratamiento, se realizar\u00e1n tambi\u00e9n cuando se detecten incidentes de seguridad o se identifiquen cambios organizativos, metodol\u00f3gicos, legales o tecnol\u00f3gicos que pudieran suponer un incremento del riesgo al que se encuentren expuestos los activos.<\/p>\n

6.\u2003Las indicadas fases del proceso de gesti\u00f3n de riesgos se realizar\u00e1n seg\u00fan lo dispuesto en los anexos I y II del Real Decreto\u00a0311\/2022, de\u00a03 de mayo, y siguiendo las normas, instrucciones, gu\u00edas CCN-STIC y recomendaciones para la aplicaci\u00f3n de este, elaboradas por el Centro Criptol\u00f3gico Nacional.<\/p>\n

7.\u2003Al menos con una periodicidad anual, y siempre que se realicen modificaciones sustanciales en los sistemas de informaci\u00f3n, la CMAD aprobar\u00e1 la definici\u00f3n de las medidas de seguridad, las cuales se deber\u00e1n reevaluar y actualizar, de modo que su eficacia est\u00e9 adaptada a la constante evoluci\u00f3n de los riesgos y sistemas de protecci\u00f3n.<\/p>\n

8.\u2003Los an\u00e1lisis de riesgos y de impacto, desde el enfoque relativo a la protecci\u00f3n de datos especificado en RGPD, se realizar\u00e1n seg\u00fan lo establecido en la normativa vigente en materia de protecci\u00f3n de datos personales, debiendo seguir tambi\u00e9n las indicaciones de la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos y dem\u00e1s autoridades competentes al respecto.<\/p>\n

Art\u00edculo\u00a018.\u2003Formaci\u00f3n y concienciaci\u00f3n.<\/h5>\n

1.\u2003Todo el personal relacionado con la informaci\u00f3n, los servicios y los sistemas de informaci\u00f3n, deber\u00e1 ser formado e informado de sus deberes y obligaciones en materia de seguridad de la informaci\u00f3n.<\/p>\n

2.\u2003Para garantizar la seguridad de las tecnolog\u00edas de la informaci\u00f3n aplicables a los sistemas y servicios del Ministerio de Derechos Sociales, Consumo y Agenda\u00a02030, se articular\u00e1n los mecanismos necesarios para llevar a la pr\u00e1ctica la concienciaci\u00f3n y la formaci\u00f3n espec\u00edfica necesaria e imprescindible en todos los niveles de la organizaci\u00f3n, as\u00ed como a la difusi\u00f3n de la PSI y de su desarrollo normativo.<\/p>\n

Art\u00edculo\u00a019.\u2003Pol\u00edtica de seguridad de la informaci\u00f3n de los organismos y entidades vinculados, dependientes o adscritos al Ministerio de Derechos Sociales, Consumo y Agenda\u00a02030.<\/h5>\n

1.\u2003De acuerdo con lo previsto en el art\u00edculo\u00a012.3 del Real Decreto\u00a0311\/2022, de\u00a03 de mayo, y el apartado\u00a01 del art\u00edculo\u00a02 de esta PSI, los organismos y entidades vinculados, dependientes o adscritos al Ministerio de Derechos Sociales, Consumo y Agenda\u00a02030 podr\u00e1n contar con su propia pol\u00edtica de seguridad, aprobada por el \u00f3rgano competente, que ser\u00e1 coherente con la del Departamento aprobada por esta orden.<\/p>\n

2.\u2003En caso de discrepancia, prevalecer\u00e1 la pol\u00edtica de seguridad de la informaci\u00f3n definida en esta orden ministerial.<\/p>\n

3.\u2003En todo caso, los organismos p\u00fablicos o entidades vinculados o dependientes del Departamento deber\u00e1n informar de forma inmediata a la Divisi\u00f3n de Tecnolog\u00edas de la Informaci\u00f3n y Comunicaciones sobre cualquier incidencia o riesgo que pueda poner en peligro la seguridad de los sistemas inform\u00e1ticos del Departamento.<\/p>\n

Art\u00edculo\u00a020.\u2003Terceras partes.<\/h5>\n

1.\u2003En los casos en que el Ministerio de Derechos Sociales, Consumo y Agenda\u00a02030 preste servicios o gestione informaci\u00f3n de otros organismos, se les har\u00e1 part\u00edcipes de la PSI y de la normativa de seguridad que afecte a dichos servicios o informaci\u00f3n, estableciendo canales para el reporte y coordinaci\u00f3n de los respectivos Comit\u00e9s de Seguridad y, en su caso, procedimientos de actuaci\u00f3n para la reacci\u00f3n ante los ciberincidentes de seguridad.<\/p>\n

2.\u2003En los casos en que el Ministerio de Derechos Sociales, Consumo y Agenda\u00a02030 utilice servicios de terceros o les ceda informaci\u00f3n, se les har\u00e1 part\u00edcipes de la PSI y de la normativa de seguridad que afecte a dichos servicios o informaci\u00f3n. Los terceros quedar\u00e1n sujetos a las obligaciones establecidas en dicha normativa, pudiendo desarrollar sus propios procedimientos operativos para cumplirla. Adem\u00e1s, se establecer\u00e1n procedimientos espec\u00edficos de reporte y resoluci\u00f3n de incidencias y se garantizar\u00e1 que el personal de la tercera parte est\u00e9 adecuadamente concienciado y formado en materia de seguridad, al menos al mismo nivel que el establecido en esta pol\u00edtica.<\/p>\n

3.\u2003Cuando alg\u00fan aspecto de la pol\u00edtica no pueda ser abordado por una tercera parte seg\u00fan se establece en los p\u00e1rrafos anteriores, se requerir\u00e1 un informe del Responsable de la Seguridad de la Informaci\u00f3n que precise los riesgos en que se incurre y la forma de tratarlos. Se requerir\u00e1 la aprobaci\u00f3n de este informe por los Responsables de la Informaci\u00f3n y los Servicios afectados.<\/p>\n

4.\u2003Los servicios de ciberseguridad y administraci\u00f3n de sistemas, dependientes de los respectivos Responsables de los Sistemas, podr\u00e1n implementar tratamientos de datos personales como consecuencia de la implantaci\u00f3n de medidas de seguridad que tengan un objeto distinto que la protecci\u00f3n de los datos personales.<\/p>\n

5.\u2003Corresponde al delegado de Protecci\u00f3n de Datos (DPD) del Ministerio de Derechos Sociales, Consumo y Agenda\u00a02030 informar y asesorar a los Responsables del Tratamiento de las obligaciones que les incumben en virtud del RGPD, adem\u00e1s de supervisar el cumplimiento de la normativa en materia de protecci\u00f3n de datos de car\u00e1cter personal del departamento, ofrecer asesoramiento y actuar como interlocutor de los Responsables del Tratamiento con la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos.<\/p>\n

Disposici\u00f3n adicional primera.\u2003Revisi\u00f3n y Actualizaci\u00f3n de la PSI.<\/h5>\n

La Pol\u00edtica de Seguridad de la Informaci\u00f3n que aprueba esta orden deber\u00e1 mantenerse actualizada para adecuarla a la evoluci\u00f3n normativa, al progreso de los servicios de la administraci\u00f3n, a la evoluci\u00f3n tecnol\u00f3gica y al desarrollo de la sociedad de la informaci\u00f3n, as\u00ed como a los est\u00e1ndares internacionales de seguridad y las gu\u00edas de seguridad de las tecnolog\u00edas de la informaci\u00f3n y las comunicaciones.<\/p>\n

Disposici\u00f3n adicional segunda.\u2003No incremento del gasto p\u00fablico.<\/h5>\n

La aplicaci\u00f3n de esta orden no conllevar\u00e1 incremento del gasto p\u00fablico. Las medidas incluidas en la presente orden no supondr\u00e1n incremento de dotaciones ni de retribuciones ni de otros gastos de personal.<\/p>\n

Disposici\u00f3n derogatoria \u00fanica.\u2003Derogaci\u00f3n normativa.<\/h5>\n

Quedan derogadas cuantas disposiciones de igual o inferior rango se opongan a lo establecido en la presente orden, y en particular, la Orden DSA\/1142\/2021, de\u00a08 de octubre, por la que se aprueba la Pol\u00edtica de Seguridad de la Informaci\u00f3n en el \u00e1mbito de la administraci\u00f3n electr\u00f3nica del Ministerio de Derechos Sociales y Agenda\u00a02030, as\u00ed como la Orden CSM\/418\/2022, de\u00a010 de mayo, por la que se aprueba la Pol\u00edtica de Seguridad de la Informaci\u00f3n en el \u00e1mbito de la administraci\u00f3n electr\u00f3nica del Ministerio de Consumo.<\/p>\n

Disposici\u00f3n final primera.\u2003Publicidad de la PSI.<\/h5>\n

La presente orden se publicar\u00e1, adem\u00e1s de en el \u00abBolet\u00edn Oficial del Estado\u00bb, en la sede electr\u00f3nica del Ministerio de Derechos Sociales, Consumo y Agenda\u00a02030 y de sus organismos adscritos.<\/p>\n

Disposici\u00f3n final segunda.\u2003Entrada en vigor.<\/h5>\n

La presente orden entrar\u00e1 en vigor el d\u00eda siguiente al de su publicaci\u00f3n en el \u00abBolet\u00edn Oficial del Estado\u00bb.<\/p>\n

Madrid, 23 de enero de\u00a02026.\u2013El Ministro de Derechos Sociales, Consumo y Agenda\u00a02030, Pablo Bustinduy Amador.<\/p>\n<\/p><\/div>\n

source<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

El desarrollo de la Administraci\u00f3n Electr\u00f3nica implica el tratamiento automatizado de grandes cantidades de informaci\u00f3n por los sistemas<\/p>\n","protected":false},"author":1,"featured_media":27463,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_bbp_topic_count":0,"_bbp_reply_count":0,"_bbp_total_topic_count":0,"_bbp_total_reply_count":0,"_bbp_voice_count":0,"_bbp_anonymous_reply_count":0,"_bbp_topic_count_hidden":0,"_bbp_reply_count_hidden":0,"_bbp_forum_subforum_count":0,"_joinchat":[],"footnotes":""},"categories":[1],"tags":[],"class_list":["post-27462","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias"],"featured_image_urls":{"full":["https:\/\/blogemergencias.es\/wp-content\/uploads\/2026\/02\/wp-header-logo-31.png",0,0,false],"thumbnail":["https:\/\/blogemergencias.es\/wp-content\/uploads\/2026\/02\/wp-header-logo-31.png",1,1,false],"medium":["https:\/\/blogemergencias.es\/wp-content\/uploads\/2026\/02\/wp-header-logo-31.png",1,1,false],"medium_large":["https:\/\/blogemergencias.es\/wp-content\/uploads\/2026\/02\/wp-header-logo-31.png",1,1,false],"large":["https:\/\/blogemergencias.es\/wp-content\/uploads\/2026\/02\/wp-header-logo-31.png",1,1,false],"1536x1536":["https:\/\/blogemergencias.es\/wp-content\/uploads\/2026\/02\/wp-header-logo-31.png",1,1,false],"2048x2048":["https:\/\/blogemergencias.es\/wp-content\/uploads\/2026\/02\/wp-header-logo-31.png",1,1,false],"morenews-large":["https:\/\/blogemergencias.es\/wp-content\/uploads\/2026\/02\/wp-header-logo-31.png",1,1,false],"morenews-medium":["https:\/\/blogemergencias.es\/wp-content\/uploads\/2026\/02\/wp-header-logo-31.png",1,1,false]},"author_info":{"info":["admin"]},"category_info":"Noticias<\/a>","tag_info":"Noticias","comment_count":0,"_links":{"self":[{"href":"https:\/\/blogemergencias.es\/index.php\/wp-json\/wp\/v2\/posts\/27462","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/blogemergencias.es\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/blogemergencias.es\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/blogemergencias.es\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/blogemergencias.es\/index.php\/wp-json\/wp\/v2\/comments?post=27462"}],"version-history":[{"count":0,"href":"https:\/\/blogemergencias.es\/index.php\/wp-json\/wp\/v2\/posts\/27462\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/blogemergencias.es\/index.php\/wp-json\/wp\/v2\/media\/27463"}],"wp:attachment":[{"href":"https:\/\/blogemergencias.es\/index.php\/wp-json\/wp\/v2\/media?parent=27462"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/blogemergencias.es\/index.php\/wp-json\/wp\/v2\/categories?post=27462"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/blogemergencias.es\/index.php\/wp-json\/wp\/v2\/tags?post=27462"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}