Source: http://noticias.juridicas.com/base_datos/Admin/rd3-2010.html
Timestamp: 2016-05-30 16:21:09+00:00

Document:
Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica.
Publicado en BOE n�m. 25 de 29 de Enero de 2010
Vigencia desde 30 de Enero de 2010. Esta revisi�n vigente desde 05 de Noviembre de 2015
Vigente desde 30/Enero/2010 hasta 5/Noviembre/2015
Casos fiscales con repercusiones contables Manuel Gutiérrez Viguera 81.73 € + IVA Código electoral. 8ª Edición Enrique Arnaldo Alcubilla y Manuel Delgado-Iribarren García-Campero
120.33 € + IVA Código Administrativo. Edición 2015 Redacción LA LEY 14 € + IVA Sumario
�Definiciones y est�ndares
�Principios b�sicos del Esquema Nacional de Seguridad
�La seguridad como un proceso integral
�Gesti�n de la seguridad basada en los riesgos
�Prevenci�n, reacci�n y recuperaci�n
�L�neas de defensa
�Reevaluaci�n peri�dica
�La seguridad como funci�n diferenciada
�Requisitos m�nimos de seguridad
�Organizaci�n e implantaci�n del proceso de seguridad
�An�lisis y gesti�n de los riesgos
�Gesti�n de personal
�Profesionalidad
�Autorizaci�n y control de los accesos
�Protecci�n de las instalaciones
�Adquisici�n de productos de seguridad y contrataci�n de servicios de seguridad
�Seguridad por defecto
�Integridad y actualizaci�n del sistema
�Protecci�n de informaci�n almacenada y en tr�nsito
�Prevenci�n ante otros sistemas de informaci�n interconectados
�Incidentes de seguridad
�Continuidad de la actividad
�Mejora continua del proceso de seguridad
�Cumplimiento de requisitos m�nimos
�Infraestructuras y servicios comunes
�Instrucciones t�cnicas de seguridad y gu�as de seguridad
�Sistemas de informaci�n no afectados
�Condiciones t�cnicas de seguridad de las comunicaciones electr�nicas
�Requerimientos t�cnicos de notificaciones y publicaciones electr�nicas
�Firma electr�nica
Auditor�a de la seguridad
�Auditor�a de la seguridad
�Informe del estado de la seguridad
�Capacidad de respuesta a incidentes de seguridad de la informaci�n
�Prestaci�n de servicios de respuesta a incidentes de seguridad a las Administraciones p�blicas
�Sedes y registros electr�nicos
�Ciclo de vida de servicios y sistemas
�Mecanismos de control
�Publicaci�n de conformidad
�Actualizaci�n permanente
Categorizaci�n de los sistemas de informaci�n
�Comit� de Seguridad de la Informaci�n de las Administraciones P�blicas
�Modificaci�n del Reglamento de desarrollo de la Ley Org�nica 15/1999, de Protecci�n de Datos de Car�cter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre
�Desarrollo del Esquema Nacional de Seguridad
�Adecuaci�n de sistemas
.� Categor�as de los sistemas
.� Medidas de seguridad
.� Auditor�a de la seguridad
.� Glosario
.� Modelo de cl�usula administrativa particular
BOE 11 Marzo. Correcci�n de errores RD 3/2010 de 8 Ene. (Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica) Afectaciones recientes
RD 951/2015 de 23 Oct. (modificaci�n del RD 3/2010 de 8 Ene., Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica) Ocultar / Mostrar comentarios N�mero 1 del art�culo 11 redactado por el apartado uno del art�culo �nico del R.D. 951/2015, de 23 de octubre, de modificaci�n del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica (�B.O.E.� 4 noviembre).
N�mero 3 del art�culo 15 redactado por el apartado dos del art�culo �nico del R.D. 951/2015, de 23 de octubre, de modificaci�n del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica (�B.O.E.� 4 noviembre).
R�brica del art�culo 18 modificada por el apartado tres del art�culo �nico del R.D. 951/2015, de 23 de octubre, de modificaci�n del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica (�B.O.E.� 4 noviembre).
N�mero 1 del art�culo 18 redactado por el apartado tres del art�culo �nico del R.D. 951/2015, de 23 de octubre, de modificaci�n del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica (�B.O.E.� 4 noviembre).
N�mero 4 del art�culo 18 introducido por el apartado tres del art�culo �nico del R.D. 951/2015, de 23 de octubre, de modificaci�n del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica (�B.O.E.� 4 noviembre).
Letra a) del art�culo 19 redactada por el apartado cuatro del art�culo �nico del R.D. 951/2015, de 23 de octubre, de modificaci�n del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica (�B.O.E.� 4 noviembre).
N�mero 2 del art�culo 24 redactado por el apartado cinco del art�culo �nico del R.D. 951/2015, de 23 de octubre, de modificaci�n del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica (�B.O.E.� 4 noviembre).
N�mero 4 del art�culo 27 introducido por el apartado seis del art�culo �nico del R.D. 951/2015, de 23 de octubre, de modificaci�n del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica (�B.O.E.� 4 noviembre).
N�mero 5 del art�culo 27 introducido por el apartado seis del art�culo �nico del R.D. 951/2015, de 23 de octubre, de modificaci�n del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica (�B.O.E.� 4 noviembre).
Art�culo 29 modificado conforme establece el apartado siete del art�culo �nico del R.D. 951/2015, de 23 de octubre, de modificaci�n del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica (�B.O.E.� 4 noviembre).
Art�culo 35 modificado conforme establece el apartado ocho del art�culo �nico del R.D. 951/2015, de 23 de octubre, de modificaci�n del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica (�B.O.E.� 4 noviembre).
P�rrafo segundo del art�culo 36 introducido por el apartado nueve del art�culo �nico del R.D. 951/2015, de 23 de octubre, de modificaci�n del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica (�B.O.E.� 4 noviembre).
Letra a) del n�mero 1 del art�culo 37 redactada por el apartado diez del art�culo �nico del R.D. 951/2015, de 23 de octubre, de modificaci�n del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica (�B.O.E.� 4 noviembre).
Disposici�n adicional segunda renumerada por el apartado once del art�culo �nico del R.D. 951/2015, de 23 de octubre, de modificaci�n del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica (�B.O.E.� 4 noviembre). Su contenido literal se corresponde con el de la anterior disposici�n adicional tercera, al haberse suprimido la anterior disposici�n adicional segunda.
Disposici�n adicional tercera renumerada por el apartado once del art�culo �nico del R.D. 951/2015, de 23 de octubre, de modificaci�n del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica (�B.O.E.� 4 noviembre). Su contenido literal se corresponde con el de la anterior disposici�n adicional cuarta.
Disposici�n adicional cuarta introducida, en su actual redacci�n, por el apartado doce del art�culo �nico del R.D. 951/2015, de 23 de octubre, de modificaci�n del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica (�B.O.E.� 4 noviembre).
V�ase los apartados trece y catorce del art�culo �nico del R.D. 951/2015, de 23 de octubre, de modificaci�n del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica (�B.O.E.� 4 noviembre), que modifican, respectivamente, la tabla del apartado 2.4 y los apartados 3.4, 4.1.2, 4.1.5, 4.2.1, 4.2.5, 4.3.3, 4.3.7, 4.3.8, 4.3.9, 4.3.11, 4.4.2, 4.6.1, 4.6.2, 5.2.3, 5.3.3, 5.4.2, 5.4.3, 5.5.2, 5.5.5, 5.6.1, 5.7.4, 5.7.5, 5.7.7 y 5.8.2 del presente anexo II.
Anexo III modificado conforme establece el apartado quince del art�culo �nico del R.D. 951/2015, de 23 de octubre, de modificaci�n del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica (�B.O.E.� 4 noviembre).
V�ase el apartado diecis�is del art�culo �nico del R.D. 951/2015, de 23 de octubre, de modificaci�n del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica (�B.O.E.� 4 noviembre), que modifica la definici�n �gesti�n de incidentes� del presente anexo IV.
Anexo V modificado conforme establece el apartado diecisiete del art�culo �nico del R.D. 951/2015, de 23 de octubre, de modificaci�n del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica (�B.O.E.� 4 noviembre).
R.D. 3/2010, 8 enero rectificado por Correcci�n de errores (�B.O.E.� 11 marzo). T�ngase en cuenta que por la misma tambi�n se subsanan errores padecidos en su anexo II. I
La necesaria generalizaci�n de la sociedad de la informaci�n es subsidiaria, en gran medida, de la confianza que genere en los ciudadanos la relaci�n a trav�s de medios electr�nicos.
En el �mbito de las Administraciones p�blicas, la consagraci�n del derecho a comunicarse con ellas a trav�s de medios electr�nicos comporta una obligaci�n correlativa de las mismas, que tiene, como premisas, la promoci�n de las condiciones para que la libertad y la igualdad sean reales y efectivas, y la remoci�n de los obst�culos que impidan o dificulten su plenitud, lo que demanda incorporar las peculiaridades que exigen una aplicaci�n segura de estas tecnolog�as.
A ello ha venido a dar respuesta el art�culo 42.2 de la Ley 11/2007, de 22 de junio, de acceso electr�nico de los ciudadanos a los servicios p�blicos, mediante la creaci�n del Esquema Nacional de Seguridad, cuyo objeto es el establecimiento de los principios y requisitos de una pol�tica de seguridad en la utilizaci�n de medios electr�nicos que permita la adecuada protecci�n de la informaci�n.
La finalidad del Esquema Nacional de Seguridad es la creaci�n de las condiciones necesarias de confianza en el uso de los medios electr�nicos, a trav�s de medidas para garantizar la seguridad de los sistemas, los datos, las comunicaciones, y los servicios electr�nicos, que permita a los ciudadanos y a las Administraciones p�blicas, el ejercicio de derechos y el cumplimiento de deberes a trav�s de estos medios.
El Esquema Nacional de Seguridad persigue fundamentar la confianza en que los sistemas de informaci�n prestar�n sus servicios y custodiar�n la informaci�n de acuerdo con sus especificaciones funcionales, sin interrupciones o modificaciones fuera de control, y sin que la informaci�n pueda llegar al conocimiento de personas no autorizadas. Se desarrollar� y perfeccionar� en paralelo a la evoluci�n de los servicios y a medida que vayan consolid�ndose los requisitos de los mismos y de las infraestructuras que lo apoyan.
Actualmente los sistemas de informaci�n de las administraciones p�blicas est�n fuertemente imbricados entre s� y con sistemas de informaci�n del sector privado: empresas y administrados. De esta manera, la seguridad tiene un nuevo reto que va m�s all� del aseguramiento individual de cada sistema. Es por ello que cada sistema debe tener claro su per�metro y los responsables de cada dominio de seguridad deben coordinarse efectivamente para evitar �tierras de nadie� y fracturas que pudieran da�ar a la informaci�n o a los servicios prestados.
En este contexto se entiende por seguridad de las redes y de la informaci�n, la capacidad de las redes o de los sistemas de informaci�n de resistir, con un determinado nivel de confianza, los accidentes o acciones il�citas o malintencionadas que comprometan la disponibilidad, autenticidad, integridad y confidencialidad de los datos almacenados o transmitidos y de los servicios que dichas redes y sistemas ofrecen o hacen accesibles.
El Esquema Nacional de Seguridad tiene presentes las recomendaciones de la Uni�n Europea (Decisi�n 2001/844/CE CECA, Euratom de la Comisi�n, de 29 de noviembre de 2001, por la que se modifica su Reglamento interno y Decisi�n 2001/264/CE del Consejo, de 19 de marzo de 2001, por la que se adoptan las normas de seguridad del Consejo), la situaci�n tecnol�gica de las diferentes Administraciones p�blicas, as� como los servicios electr�nicos existentes en las mismas, la utilizaci�n de est�ndares abiertos y, de forma complementaria, est�ndares de uso generalizado por los ciudadanos.
Su articulaci�n se ha realizado atendiendo a la normativa nacional sobre Administraci�n electr�nica, protecci�n de datos de car�cter personal, firma electr�nica y documento nacional de identidad electr�nico, Centro Criptol�gico Nacional, sociedad de la informaci�n, reutilizaci�n de la informaci�n en el sector p�blico y �rganos colegiados responsables de la Administraci�n Electr�nica; as� como la regulaci�n de diferentes instrumentos y servicios de la Administraci�n, las directrices y gu�as de la OCDE y disposiciones nacionales e internacionales sobre normalizaci�n.
La Ley 11/2007, de 22 de junio, posibilita e inspira esta norma, a cuyo desarrollo coadyuva, en los aspectos de la seguridad de los sistemas de tecnolog�as de la informaci�n en las Administraciones p�blicas, contribuyendo al desarrollo de un instrumento efectivo que permite garantizar los derechos de los ciudadanos en la Administraci�n electr�nica.
La Ley Org�nica 15/1999, de 13 de diciembre, de Protecci�n de Datos de Car�cter Personal y sus normas de desarrollo, determinan las medidas para la protecci�n de los datos de car�cter personal. Adem�s, aportan criterios para establecer la proporcionalidad entre las medidas de seguridad y la informaci�n a proteger.
La Ley 30/1992, de 26 de noviembre, de R�gimen Jur�dico de las Administraciones P�blicas y del Procedimiento Administrativo Com�n, referente legal imprescindible de cualquier regulaci�n administrativa, determina la configuraci�n de numerosos �mbitos de confidencialidad administrativos, diferentes a la informaci�n clasificada y a los datos de car�cter personal, que necesitan ser materialmente protegidos. Asimismo determina el sustrato legal de las comunicaciones administrativas y sus requisitos jur�dicos de validez y eficacia, sobre los que soportar los requerimientos tecnol�gicos y de seguridad necesarios para proyectar sus efectos en las comunicaciones realizadas por v�a electr�nica.
La Ley 37/2007, de 16 de noviembre, sobre reutilizaci�n de la informaci�n del sector p�blico que determina la regulaci�n b�sica del r�gimen jur�dico aplicable a la reutilizaci�n de documentos elaborados en el sector p�blico, que configura un �mbito excepcionado de su aplicaci�n, en el que se encuentra la informaci�n a la que se refiere el Esquema Nacional de Seguridad.
Junto a las disposiciones indicadas, han inspirado el contenido de esta norma, documentos de la Administraci�n en materia de seguridad electr�nica, tales como los Criterios de Seguridad, Normalizaci�n y Conservaci�n, las Gu�as CCN-STIC de Seguridad de los Sistemas de Informaci�n y Comunicaciones, la Metodolog�a y herramientas de an�lisis y gesti�n de riesgos o el Esquema Nacional de Interoperabilidad, tambi�n desarrollado al amparo de lo dispuesto en la Ley 11/2007, de 22 de junio.
Este real decreto se limita a establecer los principios b�sicos y requisitos m�nimos que, de acuerdo con el inter�s general, naturaleza y complejidad de la materia regulada, permiten una protecci�n adecuada de la informaci�n y los servicios, lo que exige incluir el alcance y procedimiento para gestionar la seguridad electr�nica de los sistemas que tratan informaci�n de las Administraciones p�blicas en el �mbito de la Ley 11/2007, de 22 de junio. Con ello, se logra un com�n denominador normativo, cuya regulaci�n no agota todas las posibilidades de normaci�n, y permite ser completada, mediante la regulaci�n de los objetivos, materialmente no b�sicos, que podr�n ser decididos por pol�ticas legislativas territoriales.
Para dar cumplimiento a lo anterior se determinan las dimensiones de seguridad y sus niveles, la categor�a de los sistemas, las medidas de seguridad adecuadas y la auditor�a peri�dica de la seguridad; se implanta la elaboraci�n de un informe para conocer regularmente el estado de seguridad de los sistemas de informaci�n a los que se refiere el presente real decreto, se establece el papel de la capacidad de respuesta ante incidentes de seguridad de la informaci�n del Centro Criptol�gico Nacional, se incluye un glosario de t�rminos y se hace una referencia expresa a la formaci�n.
La norma se estructura en diez cap�tulos, cuatro disposiciones adicionales, una disposici�n transitoria, una disposici�n derogatoria y tres disposiciones finales. A los cuatro primeros anexos dedicados a la categor�a de los sistemas, las medidas de seguridad, la auditor�a de la seguridad, y el glosario de t�rminos, se les une un quinto que establece un modelo de cl�usula administrativa particular a incluir en las prescripciones administrativas de los contratos correspondientes.
En este real decreto se concibe la seguridad como una actividad integral, en la que no caben actuaciones puntuales o tratamientos coyunturales, debido a que la debilidad de un sistema la determina su punto m�s fr�gil y, a menudo, este punto es la coordinaci�n entre medidas individualmente adecuadas pero deficientemente ensambladas. La informaci�n tratada en los sistemas electr�nicos a los que se refiere este real decreto estar� protegida teniendo en cuenta los criterios establecidos en la Ley Org�nica 15/1999, de 13 de diciembre.
El presente real decreto se aprueba en aplicaci�n de lo dispuesto en la disposici�n final octava de la Ley 11/2007, de 22 de junio y, de acuerdo con lo dispuesto en el art�culo 42 apartado 3 y disposici�n final primera de dicha norma, se ha elaborado con la participaci�n de todas las Administraciones p�blicas a las que les es de aplicaci�n, ha sido informado favorablemente por la Comisi�n Permanente del Consejo Superior de Administraci�n Electr�nica, la Conferencia Sectorial de Administraci�n P�blica y la Comisi�n Nacional de Administraci�n Local; y ha sido sometido al previo informe de la Agencia Espa�ola de Protecci�n de Datos. Asimismo, se ha sometido a la audiencia de los ciudadanos seg�n las previsiones establecidas en el art�culo 24 de la Ley 50/1997, de 27 de noviembre, del Gobierno.
En su virtud, a propuesta de la Ministra de la Presidencia, de acuerdo con el Consejo de Estado y previa deliberaci�n del Consejo de Ministros en su reuni�n del d�a 8 de enero de 2010,
Objeto 1. El presente real decreto tiene por objeto regular el Esquema Nacional de Seguridad establecido en el art�culo 42 de la Ley 11/2007, de 22 de junio, y determinar la pol�tica de seguridad que se ha de aplicar en la utilizaci�n de los medios electr�nicos a los que se refiere la citada ley.
2. El Esquema Nacional de Seguridad est� constituido por los principios b�sicos y requisitos m�nimos requeridos para una protecci�n adecuada de la informaci�n. Ser� aplicado por las Administraciones p�blicas para asegurar el acceso, integridad, disponibilidad, autenticidad, confidencialidad, trazabilidad y conservaci�n de los datos, informaciones y servicios utilizados en medios electr�nicos que gestionen en el ejercicio de sus competencias.
Definiciones y est�ndares A los efectos previstos en este real decreto, las definiciones, palabras, expresiones y t�rminos han de ser entendidos en el sentido indicado en el Glosario de T�rminos incluido en el anexo IV.
�mbito de aplicaci�n El �mbito de aplicaci�n del presente real decreto ser� el establecido en el art�culo 2 de la Ley 11/2007, de 22 de junio.
Est�n excluidos del �mbito de aplicaci�n indicado en el p�rrafo anterior los sistemas que tratan informaci�n clasificada regulada por Ley 9/1968, de 5 de abril, de Secretos Oficiales y normas de desarrollo.
CAP�TULO IIPrincipios b�sicos
Principios b�sicos del Esquema Nacional de Seguridad El objeto �ltimo de la seguridad de la informaci�n es asegurar que una organizaci�n administrativa podr� cumplir sus objetivos utilizando sistemas de informaci�n. En las decisiones en materia de seguridad deber�n tenerse en cuenta los siguientes principios b�sicos:
b) Gesti�n de riesgos.
c) Prevenci�n, reacci�n y recuperaci�n.
d) L�neas de defensa.
e) Reevaluaci�n peri�dica.
f) Funci�n diferenciada.
La seguridad como un proceso integral 1. La seguridad se entender� como un proceso integral constituido por todos los elementos t�cnicos, humanos, materiales y organizativos, relacionados con el sistema. La aplicaci�n del Esquema Nacional de Seguridad estar� presidida por este principio, que excluye cualquier actuaci�n puntual o tratamiento coyuntural.
2. Se prestar� la m�xima atenci�n a la concienciaci�n de las personas que intervienen en el proceso y a sus responsables jer�rquicos, para que, ni la ignorancia, ni la falta de organizaci�n y coordinaci�n, ni instrucciones inadecuadas, sean fuentes de riesgo para la seguridad.
Gesti�n de la seguridad basada en los riesgos 1. El an�lisis y gesti�n de riesgos ser� parte esencial del proceso de seguridad y deber� mantenerse permanentemente actualizado.
2. La gesti�n de riesgos permitir� el mantenimiento de un entorno controlado, minimizando los riesgos hasta niveles aceptables. La reducci�n de estos niveles se realizar� mediante el despliegue de medidas de seguridad, que establecer� un equilibrio entre la naturaleza de los datos y los tratamientos, los riesgos a los que est�n expuestos y las medidas de seguridad.
Prevenci�n, reacci�n y recuperaci�n 1. La seguridad del sistema debe contemplar los aspectos de prevenci�n, detecci�n y correcci�n, para conseguir que las amenazas sobre el mismo no se materialicen, no afecten gravemente a la informaci�n que maneja, o los servicios que se prestan.
2. Las medidas de prevenci�n deben eliminar o, al menos reducir, la posibilidad de que las amenazas lleguen a materializarse con perjuicio para el sistema. Estas medidas de prevenci�n contemplar�n, entre otras, la disuasi�n y la reducci�n de la exposici�n.
3. Las medidas de detecci�n estar�n acompa�adas de medidas de reacci�n, de forma que los incidentes de seguridad se atajen a tiempo.
4. Las medidas de recuperaci�n permitir�n la restauraci�n de la informaci�n y los servicios, de forma que se pueda hacer frente a las situaciones en las que un incidente de seguridad inhabilite los medios habituales.
5. Sin merma de los dem�s principios b�sicos y requisitos m�nimos establecidos, el sistema garantizar� la conservaci�n de los datos e informaciones en soporte electr�nico.
De igual modo, el sistema mantendr� disponibles los servicios durante todo el ciclo vital de la informaci�n digital, a trav�s de una concepci�n y procedimientos que sean la base para la preservaci�n del patrimonio digital.
L�neas de defensa 1. El sistema ha de disponer de una estrategia de protecci�n constituida por m�ltiples capas de seguridad, dispuesta de forma que, cuando una de las capas falle, permita:
a) Ganar tiempo para una reacci�n adecuada frente a los incidentes que no han podido evitarse.
2. Las l�neas de defensa han de estar constituidas por medidas de naturaleza organizativa, f�sica y l�gica.
Reevaluaci�n peri�dica Las medidas de seguridad se reevaluar�n y actualizar�n peri�dicamente, para adecuar su eficacia a la constante evoluci�n de los riesgos y sistemas de protecci�n, llegando incluso a un replanteamiento de la seguridad, si fuese necesario.
La seguridad como funci�n diferenciada En los sistemas de informaci�n se diferenciar� el responsable de la informaci�n, el responsable del servicio y el responsable de la seguridad.
El responsable de la informaci�n determinar� los requisitos de la informaci�n tratada; el responsable del servicio determinar� los requisitos de los servicios prestados; y el responsable de seguridad determinar� las decisiones para satisfacer los requisitos de seguridad de la informaci�n y de los servicios.
La responsabilidad de la seguridad de los sistemas de informaci�n estar� diferenciada de la responsabilidad sobre la prestaci�n de los servicios.
La pol�tica de seguridad de la organizaci�n detallar� las atribuciones de cada responsable y los mecanismos de coordinaci�n y resoluci�n de conflictos.
CAP�TULO IIIRequisitos m�nimos
Requisitos m�nimos de seguridad 1. Todos los �rganos superiores de las Administraciones p�blicas deber�n disponer formalmente de su pol�tica de seguridad que articule la gesti�n continuada de la seguridad, que ser� aprobada por el titular del �rgano superior correspondiente. Esta pol�tica de seguridad, se establecer� de acuerdo con los principios b�sicos indicados y se desarrollar� aplicando los siguientes requisitos m�nimos: a) Organizaci�n e implantaci�n del proceso de seguridad.
b) An�lisis y gesti�n de los riesgos.
c) Gesti�n de personal.
e) Autorizaci�n y control de los accesos.
f) Protecci�n de las instalaciones.
g) Adquisici�n de productos.
i) Integridad y actualizaci�n del sistema.
j) Protecci�n de la informaci�n almacenada y en tr�nsito.
k) Prevenci�n ante otros sistemas de informaci�n interconectados.
N�mero 1 del art�culo 11 redactado por el apartado uno del art�culo �nico del R.D. 951/2015, de 23 de octubre, de modificaci�n del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica (�B.O.E.� 4 noviembre).Vigencia: 5 noviembre 2015
2. A los efectos indicados en el apartado anterior, se considerar�n �rganos superiores, los responsables directos de la ejecuci�n de la acci�n del gobierno, central, auton�mico o local, en un sector de actividad espec�fico, de acuerdo con lo establecido en la Ley 6/1997, de 14 de abril, de organizaci�n y funcionamiento de la Administraci�n General del Estado y Ley 50/1997, de 27 de noviembre, del Gobierno; los estatutos de autonom�a correspondientes y normas de desarrollo; y la Ley 7/1985, de 2 de abril, reguladora de las bases del R�gimen Local, respectivamente.
Los municipios podr�n disponer de una pol�tica de seguridad com�n elaborada por la Diputaci�n, Cabildo, Consejo Insular u �rgano unipersonal correspondiente de aquellas otras corporaciones de car�cter representativo a las que corresponda el gobierno y la administraci�n aut�noma de la provincia o, en su caso, a la entidad comarcal correspondiente a la que pertenezcan.
3. Todos estos requisitos m�nimos se exigir�n en proporci�n a los riesgos identificados en cada sistema, pudiendo algunos no requerirse en sistemas sin riesgos significativos, y se cumplir�n de acuerdo con lo establecido en el art�culo 27.
V�ase Orden AAA/991/2015, de 21 de mayo, por la que se aprueba la pol�tica de seguridad de la informaci�n en el �mbito de la Administraci�n Electr�nica del Ministerio de Agricultura, Alimentaci�n y Medio Ambiente (�B.O.E.� 29 mayo).
Organizaci�n e implantaci�n del proceso de seguridad La seguridad deber� comprometer a todos los miembros de la organizaci�n. La pol�tica de seguridad seg�n se detalla en el anexo II, secci�n 3.1, deber� identificar unos claros responsables de velar por su cumplimiento y ser conocida por todos los miembros de la organizaci�n administrativa.
An�lisis y gesti�n de los riesgos 1. Cada organizaci�n que desarrolle e implante sistemas para el tratamiento de la informaci�n y las comunicaciones realizar� su propia gesti�n de riesgos.
2. Esta gesti�n se realizar� por medio del an�lisis y tratamiento de los riesgos a los que est� expuesto el sistema. Sin perjuicio de lo dispuesto en el anexo II, se emplear� alguna metodolog�a reconocida internacionalmente.
3. Las medidas adoptadas para mitigar o suprimir los riesgos deber�n estar justificadas y, en todo caso, existir� una proporcionalidad entre ellas y los riesgos.
Gesti�n de personal 1. Todo el personal relacionado con la informaci�n y los sistemas deber� ser formado e informado de sus deberes y obligaciones en materia de seguridad. Sus actuaciones deben ser supervisadas para verificar que se siguen los procedimientos establecidos.
2. El personal relacionado con la informaci�n y los sistemas, ejercitar� y aplicar� los principios de seguridad en el desempe�o de su cometido.
3. El significado y alcance del uso seguro del sistema se concretar� y plasmar� en unas normas de seguridad.
4. Para corregir, o exigir responsabilidades en su caso, cada usuario que acceda a la informaci�n del sistema debe estar identificado de forma �nica, de modo que se sepa, en todo momento, qui�n recibe derechos de acceso, de qu� tipo son �stos, y qui�n ha realizado determinada actividad.
Profesionalidad 1. La seguridad de los sistemas estar� atendida, revisada y auditada por personal cualificado, dedicado e instruido en todas las fases de su ciclo de vida: instalaci�n, mantenimiento, gesti�n de incidencias y desmantelamiento.
2. El personal de las Administraciones p�blicas recibir� la formaci�n espec�fica necesaria para garantizar la seguridad de las tecnolog�as de la informaci�n aplicables a los sistemas y servicios de la Administraci�n.
3. Las Administraciones p�blicas exigir�n, de manera objetiva y no discriminatoria, que las organizaciones que les presten servicios de seguridad cuenten con profesionales cualificados y con unos niveles id�neos de gesti�n y madurez en los servicios prestados.
N�mero 3 del art�culo 15 redactado por el apartado dos del art�culo �nico del R.D. 951/2015, de 23 de octubre, de modificaci�n del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica (�B.O.E.� 4 noviembre).Vigencia: 5 noviembre 2015
Autorizaci�n y control de los accesos El acceso al sistema de informaci�n deber� ser controlado y limitado a los usuarios, procesos, dispositivos y otros sistemas de informaci�n, debidamente autorizados, restringiendo el acceso a las funciones permitidas.
Protecci�n de las instalaciones Los sistemas se instalar�n en �reas separadas, dotadas de un procedimiento de control de acceso. Como m�nimo, las salas deben estar cerradas y disponer de un control de llaves.
Adquisici�n de productos de seguridad y contrataci�n de servicios de seguridad
1. En la adquisici�n de productos de seguridad de las tecnolog�as de la informaci�n y comunicaciones que vayan a ser empleados por las Administraciones p�blicas se utilizar�n, de forma proporcionada a la categor�a del sistema y nivel de seguridad determinados, aquellos que tengan certificada la funcionalidad de seguridad relacionada con el objeto de su adquisici�n, salvo en aquellos casos en que las exigencias de proporcionalidad en cuanto a los riesgos asumidos no lo justifiquen a juicio del responsable de Seguridad.
N�mero 1 del art�culo 18 redactado por el apartado tres del art�culo �nico del R.D. 951/2015, de 23 de octubre, de modificaci�n del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica (�B.O.E.� 4 noviembre).Vigencia: 5 noviembre 2015
2. La certificaci�n indicada en el apartado anterior deber� estar de acuerdo con las normas y est�ndares de mayor reconocimiento internacional, en el �mbito de la seguridad funcional.
3. El Organismo de Certificaci�n del Esquema Nacional de Evaluaci�n y Certificaci�n de Seguridad de las Tecnolog�as de la Informaci�n, constituido al amparo de lo dispuesto en el art�culo 2.2.c) del Real Decreto 421/2004, de 12 de marzo, y regulado por la orden PRE/2740/2007, de 19 de septiembre, dentro de sus competencias, determinar� el criterio a cumplir en funci�n del uso previsto del producto a que se refiera, en relaci�n con el nivel de evaluaci�n, otras certificaciones de seguridad adicionales que se requieran normativamente, as� como, excepcionalmente, en los casos en que no existan productos certificados. El proceso indicado, se efectuar� teniendo en cuenta los criterios y metodolog�as de evaluaci�n, determinados por las normas internacionales que recoge la orden ministerial citada.
4. Para la contrataci�n de servicios de seguridad se estar� a lo dispuesto en los apartados anteriores y en el art�culo 15.
N�mero 4 del art�culo 18 introducido por el apartado tres del art�culo �nico del R.D. 951/2015, de 23 de octubre, de modificaci�n del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica (�B.O.E.� 4 noviembre).Vigencia: 5 noviembre 2015
R�brica del art�culo 18 modificada por el apartado tres del art�culo �nico del R.D. 951/2015, de 23 de octubre, de modificaci�n del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica (�B.O.E.� 4 noviembre).Vigencia: 5 noviembre 2015
Seguridad por defecto Los sistemas deben dise�arse y configurarse de forma que garanticen la seguridad por defecto:
a) El sistema proporcionar� la m�nima funcionalidad requerida para que la organizaci�n alcance sus objetivos.
Letra a) del art�culo 19 redactada por el apartado cuatro del art�culo �nico del R.D. 951/2015, de 23 de octubre, de modificaci�n del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica (�B.O.E.� 4 noviembre).Vigencia: 5 noviembre 2015
b) Las funciones de operaci�n, administraci�n y registro de actividad ser�n las m�nimas necesarias, y se asegurar� que s�lo son accesibles por las personas, o desde emplazamientos o equipos, autorizados, pudiendo exigirse en su caso restricciones de horario y puntos de acceso facultados.
c) En un sistema de explotaci�n se eliminar�n o desactivar�n, mediante el control de la configuraci�n, las funciones que no sean de inter�s, sean innecesarias e, incluso, aquellas que sean inadecuadas al fin que se persigue.
d) El uso ordinario del sistema ha de ser sencillo y seguro, de forma que una utilizaci�n insegura requiera de un acto consciente por parte del usuario.
Integridad y actualizaci�n del sistema 1. Todo elemento f�sico o l�gico requerir� autorizaci�n formal previa a su instalaci�n en el sistema.
2. Se deber� conocer en todo momento el estado de seguridad de los sistemas, en relaci�n a las especificaciones de los fabricantes, a las vulnerabilidades y a las actualizaciones que les afecten, reaccionando con diligencia para gestionar el riesgo a la vista del estado de seguridad de los mismos.
Protecci�n de informaci�n almacenada y en tr�nsito 1. En la estructura y organizaci�n de la seguridad del sistema, se prestar� especial atenci�n a la informaci�n almacenada o en tr�nsito a trav�s de entornos inseguros. Tendr�n la consideraci�n de entornos inseguros los equipos port�tiles, asistentes personales (PDA), dispositivos perif�ricos, soportes de informaci�n y comunicaciones sobre redes abiertas o con cifrado d�bil.
2. Forman parte de la seguridad los procedimientos que aseguren la recuperaci�n y conservaci�n a largo plazo de los documentos electr�nicos producidos por las Administraciones p�blicas en el �mbito de sus competencias.
3. Toda informaci�n en soporte no electr�nico, que haya sido causa o consecuencia directa de la informaci�n electr�nica a la que se refiere el presente real decreto, deber� estar protegida con el mismo grado de seguridad que �sta. Para ello se aplicar�n las medidas que correspondan a la naturaleza del soporte en que se encuentren, de conformidad con las normas de aplicaci�n a la seguridad de los mismos.
Prevenci�n ante otros sistemas de informaci�n interconectados El sistema ha de proteger el per�metro, en particular, si se conecta a redes p�blicas. Se entender� por red p�blica de comunicaciones la red de comunicaciones electr�nicas que se utiliza, en su totalidad o principalmente, para la prestaci�n de servicios de comunicaciones electr�nicas disponibles para el p�blico, de conformidad a la definici�n establecida en el apartado 26 del anexo II, de la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones. En todo caso se analizar�n los riesgos derivados de la interconexi�n del sistema, a trav�s de redes, con otros sistemas, y se controlar� su punto de uni�n.
Registro de actividad Con la finalidad exclusiva de lograr el cumplimiento del objeto del presente real decreto, con plenas garant�as del derecho al honor, a la intimidad personal y familiar y a la propia imagen de los afectados, y de acuerdo con la normativa sobre protecci�n de datos personales, de funci�n p�blica o laboral, y dem�s disposiciones que resulten de aplicaci�n, se registrar�n las actividades de los usuarios, reteniendo la informaci�n necesaria para monitorizar, analizar, investigar y documentar actividades indebidas o no autorizadas, permitiendo identificar en cada momento a la persona que act�a.
Incidentes de seguridad 1. Se establecer� un sistema de detecci�n y reacci�n frente a c�digo da�ino.
2. Se dispondr� de procedimientos de gesti�n de incidentes de seguridad y de debilidades detectadas en los elementos del sistema de informaci�n. Estos procedimientos cubrir�n los mecanismos de detecci�n, los criterios de clasificaci�n, los procedimientos de an�lisis y resoluci�n, as� como los cauces de comunicaci�n a las partes interesadas y el registro de las actuaciones. Este registro se emplear� para la mejora continua de la seguridad del sistema.
N�mero 2 del art�culo 24 redactado por el apartado cinco del art�culo �nico del R.D. 951/2015, de 23 de octubre, de modificaci�n del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica (�B.O.E.� 4 noviembre).Vigencia: 5 noviembre 2015
Continuidad de la actividad Los sistemas dispondr�n de copias de seguridad y establecer�n los mecanismos necesarios para garantizar la continuidad de las operaciones, en caso de p�rdida de los medios habituales de trabajo.
Mejora continua del proceso de seguridad El proceso integral de seguridad implantado deber� ser actualizado y mejorado de forma continua. Para ello, se aplicar�n los criterios y m�todos reconocidos en la pr�ctica nacional e internacional relativos a gesti�n de las tecnolog�as de la informaci�n.
Cumplimiento de requisitos m�nimos 1. Para dar cumplimiento a los requisitos m�nimos establecidos en el presente real decreto, las Administraciones p�blicas aplicar�n las medidas de seguridad indicadas en el Anexo II, teniendo en cuenta:
b) La categor�a del sistema, seg�n lo previsto en el art�culo 43.
2. Cuando un sistema al que afecte el presente real decreto maneje datos de car�cter personal le ser� de aplicaci�n lo dispuesto en la Ley Org�nica 15/1999, de 13 de diciembre, y normativa de desarrollo, sin perjuicio de los requisitos establecidos en el Esquema Nacional de Seguridad.
3. Los medidas a las que se refieren los apartados 1 y 2 tendr�n la condici�n de m�nimos exigibles, y podr�n ser ampliados por causa de la concurrencia indicada o del prudente arbitrio del responsable de la seguridad del sistema, habida cuenta del estado de la tecnolog�a, la naturaleza de los servicios prestados y la informaci�n manejada, y los riesgos a que est�n expuestos.
4. La relaci�n de medidas seleccionadas del Anexo II se formalizar� en un documento denominado Declaraci�n de Aplicabilidad, firmado por el responsable de seguridad.
N�mero 4 del art�culo 27 introducido por el apartado seis del art�culo �nico del R.D. 951/2015, de 23 de octubre, de modificaci�n del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica (�B.O.E.� 4 noviembre).Vigencia: 5 noviembre 2015
5. Las medidas de seguridad referenciadas en el Anexo II podr�n ser reemplazadas por otras compensatorias siempre y cuando se justifique documentalmente que protegen igual o mejor el riesgo sobre los activos (Anexo I) y se satisfacen los principios b�sicos y los requisitos m�nimos previstos en los cap�tulos II y III del real decreto. Como parte integral de la Declaraci�n de Aplicabilidad se indicar� de forma detallada la correspondencia entre las medidas compensatorias implantadas y las medidas del Anexo II que compensan y el conjunto ser� objeto de la aprobaci�n formal por parte del responsable de seguridad.
N�mero 5 del art�culo 27 introducido por el apartado seis del art�culo �nico del R.D. 951/2015, de 23 de octubre, de modificaci�n del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica (�B.O.E.� 4 noviembre).Vigencia: 5 noviembre 2015
Infraestructuras y servicios comunes La utilizaci�n de infraestructuras y servicios comunes reconocidos en las Administraciones P�blicas facilitar� el cumplimiento de los principios b�sicos y los requisitos m�nimos exigidos en el presente real decreto en condiciones de mejor eficiencia. Los supuestos concretos de utilizaci�n de estas infraestructuras y servicios comunes ser�n determinados por cada Administraci�n.
Instrucciones t�cnicas de seguridad y gu�as de seguridad
1. Para el mejor cumplimiento de lo establecido en el Esquema Nacional de Seguridad, el Centro Criptol�gico Nacional, en el ejercicio de sus competencias, elaborar� y difundir� las correspondientes gu�as de seguridad de las tecnolog�as de la informaci�n y las comunicaciones.
2. El Ministerio de Hacienda y Administraciones P�blicas, a propuesta del Comit� Sectorial de Administraci�n Electr�nica previsto en el art�culo 40 de la Ley 11/2007, de 22 de junio
, y a iniciativa del Centro Criptol�gico Nacional, aprobar� las instrucciones t�cnicas de seguridad de obligado cumplimiento y se publicar�n mediante resoluci�n de la Secretar�a de Estado de Administraciones P�blicas. Para la redacci�n y mantenimiento de las instrucciones t�cnicas de seguridad se constituir�n los correspondientes grupos de trabajo en los �rganos colegiados con competencias en materia de administraci�n electr�nica.
3. Las instrucciones t�cnicas de seguridad tendr�n en cuenta las normas armonizadas a nivel europeo que resulten de aplicaci�n.
Art�culo 29 modificado conforme establece el apartado siete del art�culo �nico del R.D. 951/2015, de 23 de octubre, de modificaci�n del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica (�B.O.E.� 4 noviembre).Vigencia: 5 noviembre 2015
Sistemas de informaci�n no afectados Las Administraciones p�blicas podr�n determinar aquellos sistemas de informaci�n a los que no les sea de aplicaci�n lo dispuesto en el presente de real decreto por tratarse de sistemas no relacionados con el ejercicio de derechos ni con el cumplimiento de deberes por medios electr�nicos ni con el acceso por medios electr�nicos de los ciudadanos a la informaci�n y al procedimiento administrativo, de acuerdo con lo previsto en la Ley 11/2007, de 22 de junio.
CAP�TULO IVComunicaciones electr�nicas
Condiciones t�cnicas de seguridad de las comunicaciones electr�nicas 1. Las condiciones t�cnicas de seguridad de las comunicaciones electr�nicas en lo relativo a la constancia de la transmisi�n y recepci�n, de sus fechas, del contenido integro de las comunicaciones y la identificaci�n fidedigna del remitente y destinatario de las mismas, seg�n lo establecido en la Ley 11/2007, de 22 de junio, ser�n implementadas de acuerdo con lo establecido en el Esquema Nacional de Seguridad.
2. Las comunicaciones realizadas en los t�rminos indicados en el apartado anterior, tendr�n el valor y la eficacia jur�dica que corresponda a su respectiva naturaleza, de conformidad con la legislaci�n que resulte de aplicaci�n.
Requerimientos t�cnicos de notificaciones y publicaciones electr�nicas 1. Las notificaciones y publicaciones electr�nicas de resoluciones y actos administrativos se realizar�n de forma que cumplan, de acuerdo con lo establecido en el presente real decreto, las siguientes exigencias t�cnicas:
b) Aseguren la integridad de la informaci�n publicada.
c) Dejen constancia de la fecha y hora de la puesta a disposici�n del interesado de la resoluci�n o acto objeto de publicaci�n o notificaci�n, as� como del acceso a su contenido.
d) Aseguren la autenticidad del destinatario de la publicaci�n o notificaci�n.
Firma electr�nica 1. Los mecanismos de firma electr�nica se aplicar�n en los t�rminos indicados en el Anexo II de esta norma y de acuerdo con lo preceptuado en la pol�tica de firma electr�nica y de certificados, seg�n se establece en el Esquema Nacional de Interoperabilidad.
2. La pol�tica de firma electr�nica y de certificados concretar� los procesos de generaci�n, validaci�n y conservaci�n de firmas electr�nicas, as� como las caracter�sticas y requisitos exigibles a los sistemas de firma electr�nica, los certificados, los servicios de sellado de tiempo, y otros elementos de soporte de las firmas, sin perjuicio de lo previsto en el Anexo II, que deber� adaptarse a cada circunstancia.
CAP�TULO VAuditor�a de la seguridad
Auditor�a de la seguridad 1. Los sistemas de informaci�n a los que se refiere el presente real decreto ser�n objeto de una auditor�a regular ordinaria, al menos cada dos a�os, que verifique el cumplimiento de los requerimientos del presente Esquema Nacional de Seguridad.
Con car�cter extraordinario, deber� realizarse dicha auditor�a siempre que se produzcan modificaciones sustanciales en el sistema de informaci�n, que puedan repercutir en las medidas de seguridad requeridas. La realizaci�n de la auditoria extraordinaria determinar� la fecha de c�mputo para el c�lculo de los dos a�os, establecidos para la realizaci�n de la siguiente auditor�a regular ordinaria, indicados en el p�rrafo anterior.
2. Esta auditor�a se realizar� en funci�n de la categor�a del sistema, determinada seg�n lo dispuesto en el anexo I y de acuerdo con lo previsto en el anexo III.
3. En el marco de lo dispuesto en el art�culo 39, de la ley 11/2007, de 22 de junio, la auditor�a profundizar� en los detalles del sistema hasta el nivel que considere que proporciona evidencia suficiente y relevante, dentro del alcance establecido para la auditor�a.
4. En la realizaci�n de esta auditor�a se utilizar�n los criterios, m�todos de trabajo y de conducta generalmente reconocidos, as� como la normalizaci�n nacional e internacional aplicables a este tipo de auditor�as de sistemas de informaci�n.
5. El informe de auditor�a deber� dictaminar sobre el grado de cumplimiento del presente real decreto, identificar sus deficiencias y sugerir las posibles medidas correctoras o complementarias necesarias, as� como las recomendaciones que se consideren oportunas. Deber�, igualmente, incluir los criterios metodol�gicos de auditor�a utilizados, el alcance y el objetivo de la auditor�a, y los datos, hechos y observaciones en que se basen las conclusiones formuladas.
6. Los informes de auditor�a ser�n presentados al responsable del sistema y al responsable de seguridad competentes. Estos informes ser�n analizados por este �ltimo que presentar� sus conclusiones al responsable del sistema para que adopte las medidas correctoras adecuadas.
7. En el caso de los sistemas de categor�a ALTA, visto el dictamen de auditor�a, el responsable del sistema podr� acordar la retirada de operaci�n de alguna informaci�n, de alg�n servicio o del sistema en su totalidad, durante el tiempo que estime prudente y hasta la satisfacci�n de las modificaciones prescritas.
8. Los informes de auditor�a podr�n ser requeridos por los responsables de cada organizaci�n con competencias sobre seguridad de las tecnolog�as de la informaci�n.
El Comit� Sectorial de Administraci�n Electr�nica recoger� la informaci�n relacionada con el estado de las principales variables de la seguridad en los sistemas de informaci�n a los que se refiere el presente Real Decreto, de forma que permita elaborar un perfil general del estado de la seguridad en las Administraciones p�blicas.
El Centro Criptol�gico Nacional articular� los procedimientos necesarios para la recogida y consolidaci�n de la informaci�n, as� como los aspectos metodol�gicos para su tratamiento y explotaci�n, a trav�s de los correspondientes grupos de trabajo que se constituyan al efecto en el Comit� Sectorial de Administraci�n Electr�nica y en la Comisi�n de Estrategia TIC para la Administraci�n General del Estado.
Art�culo 35 modificado conforme establece el apartado ocho del art�culo �nico del R.D. 951/2015, de 23 de octubre, de modificaci�n del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica (�B.O.E.� 4 noviembre).Vigencia: 5 noviembre 2015
CAP�TULO VIIRespuesta a incidentes de seguridad
Capacidad de respuesta a incidentes de seguridad de la informaci�n El Centro Criptol�gico Nacional (CCN) articular� la respuesta a los incidentes de seguridad en torno a la estructura denominada CCN-CERT (Centro Criptol�gico Nacional-Computer Emergency Reaction Team), que actuar� sin perjuicio de las capacidades de respuesta a incidentes de seguridad que pueda tener cada administraci�n p�blica y de la funci�n de coordinaci�n a nivel nacional e internacional del CCN.
Las Administraciones P�blicas notificar�n al Centro Criptol�gico Nacional aquellos incidentes que tengan un impacto significativo en la seguridad de la informaci�n manejada y de los servicios prestados en relaci�n con la categorizaci�n de sistemas recogida en el Anexo I del presente real decreto.
P�rrafo segundo del art�culo 36 introducido por el apartado nueve del art�culo �nico del R.D. 951/2015, de 23 de octubre, de modificaci�n del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica (�B.O.E.� 4 noviembre).Vigencia: 5 noviembre 2015
Prestaci�n de servicios de respuesta a incidentes de seguridad a las Administraciones p�blicas 1. De acuerdo con lo previsto en el art�culo 36, el CCN-CERT prestar� a las Administraciones p�blicas los siguientes servicios:
a) Soporte y coordinaci�n para el tratamiento de vulnerabilidades y la resoluci�n de incidentes de seguridad que tengan la Administraci�n General del Estado, las Administraciones de las comunidades aut�nomas, las entidades que integran la Administraci�n Local y las Entidades de Derecho p�blico con personalidad jur�dica propia vinculadas o dependientes de cualquiera de las administraciones indicadas.
El CCN-CERT, a trav�s de su servicio de apoyo t�cnico y de coordinaci�n, actuar� con la m�xima celeridad ante cualquier agresi�n recibida en los sistemas de informaci�n de las Administraciones p�blicas.
Para el cumplimiento de los fines indicados en los p�rrafos anteriores se podr�n recabar informes de auditor�a de los sistemas afectados, registros de auditor�a, configuraciones y cualquier otra informaci�n que se considere relevante, as� como los soportes inform�ticos que se estimen necesarios para la investigaci�n del incidente de los sistemas afectados, sin perjuicio de lo dispuesto en la Ley Org�nica 15/1999, de 13 de diciembre
, de Protecci�n de Datos de car�cter personal, y su normativa de desarrollo, as� como de la posible confidencialidad de datos de car�cter institucional u organizativo.
Letra a) del n�mero 1 del art�culo 37 redactada por el apartado diez del art�culo �nico del R.D. 951/2015, de 23 de octubre, de modificaci�n del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica (�B.O.E.� 4 noviembre).Vigencia: 5 noviembre 2015
b) Investigaci�n y divulgaci�n de las mejores pr�cticas sobre seguridad de la informaci�n entre todos los miembros de las Administraciones p�blicas. Con esta finalidad, las series de documentos CCN-STIC (Centro Criptol�gico Nacional-Seguridad de las Tecnolog�as de Informaci�n y Comunicaciones), elaboradas por el Centro Criptol�gico Nacional, ofrecer�n normas, instrucciones, gu�as y recomendaciones para aplicar el Esquema Nacional de Seguridad y para garantizar la seguridad de los sistemas de tecnolog�as de la informaci�n en la Administraci�n.
c) Formaci�n destinada al personal de la Administraci�n especialista en el campo de la seguridad de las tecnolog�as de la informaci�n, al objeto de facilitar la actualizaci�n de conocimientos del personal de la Administraci�n y de lograr la sensibilizaci�n y mejora de sus capacidades para la detecci�n y gesti�n de incidentes.
d) Informaci�n sobre vulnerabilidades, alertas y avisos de nuevas amenazas a los sistemas de informaci�n, recopiladas de diversas fuentes de reconocido prestigio, incluidas las propias.
2. El CCN desarrollar� un programa que ofrezca la informaci�n, formaci�n, recomendaciones y herramientas necesarias para que las Administraciones p�blicas puedan desarrollar sus propias capacidades de respuesta a incidentes de seguridad, y en el que, aqu�l, ser� coordinador a nivel p�blico estatal.
CAP�TULO VIIINormas de conformidad
Sedes y registros electr�nicos La seguridad de las sedes y registros electr�nicos, as� como la del acceso electr�nico de los ciudadanos a los servicios p�blicos, se regir�n por lo establecido en el Esquema Nacional de Seguridad.
Ciclo de vida de servicios y sistemas Las especificaciones de seguridad se incluir�n en el ciclo de vida de los servicios y sistemas, acompa�adas de los correspondientes procedimientos de control.
Mecanismos de control Cada �rgano de la Administraci�n p�blica o Entidad de Derecho P�blico establecer� sus mecanismos de control para garantizar de forma real y efectiva el cumplimiento del Esquema Nacional de Seguridad.
Publicaci�n de conformidad Los �rganos y Entidades de Derecho P�blico dar�n publicidad en las correspondientes sedes electr�nicas a las declaraciones de conformidad, y a los distintivos de seguridad de los que sean acreedores, obtenidos respecto al cumplimiento del Esquema Nacional de Seguridad.
CAP�TULO IXActualizaci�n
Actualizaci�n permanente El Esquema Nacional de Seguridad se deber� mantener actualizado de manera permanente. Se desarrollar� y perfeccionar� a lo largo del tiempo, en paralelo al progreso de los servicios de Administraci�n electr�nica, de la evoluci�n tecnol�gica y nuevos est�ndares internacionales sobre seguridad y auditor�a en los sistemas y tecnolog�as de la informaci�n y a medida que vayan consolid�ndose las infraestructuras que le apoyan.
CAP�TULO XCategorizaci�n de los sistemas de informaci�n
Categor�as 1. La categor�a de un sistema de informaci�n, en materia de seguridad, modular� el equilibrio entre la importancia de la informaci�n que maneja, los servicios que presta y el esfuerzo de seguridad requerido, en funci�n de los riesgos a los que est� expuesto, bajo el criterio del principio de proporcionalidad.
2. La determinaci�n de la categor�a indicada en el apartado anterior se efectuar� en funci�n de la valoraci�n del impacto que tendr�a un incidente que afectara a la seguridad de la informaci�n o de los servicios con perjuicio para la disponibilidad, autenticidad, integridad, confidencialidad o trazabilidad, como dimensiones de seguridad, siguiendo el procedimiento establecido en el Anexo I.
3. La valoraci�n de las consecuencias de un impacto negativo sobre la seguridad de la informaci�n y de los servicios se efectuar� atendiendo a su repercusi�n en la capacidad de la organizaci�n para el logro de sus objetivos, la protecci�n de sus activos, el cumplimiento de sus obligaciones de servicio, el respeto de la legalidad y los derechos de los ciudadanos.
Facultades 1. La facultad para efectuar las valoraciones a las que se refiere el art�culo 43, as� como la modificaci�n posterior, en su caso, corresponder�, dentro del �mbito de su actividad, al responsable de cada informaci�n o servicio.
2. La facultad para determinar la categor�a del sistema corresponder� al responsable del mismo.
Formaci�n El personal de las Administraciones p�blicas recibir�, de acuerdo con lo previsto en la disposici�n adicional segunda de la Ley 11/2007, de 22 de junio, la formaci�n necesaria para garantizar el conocimiento del presente Esquema Nacional de Seguridad, a cuyo fin los �rganos responsables dispondr�n lo necesario para que la formaci�n sea una realidad efectiva.
Comit� de Seguridad de la Informaci�n de las Administraciones P�blicas
El Comit� de Seguridad de la Informaci�n de las Administraciones P�blicas, dependiente del Comit� Sectorial de Administraci�n electr�nica, contar� con un representante de cada una de las entidades presentes en dicho Comit� Sectorial. Tendr� funciones de cooperaci�n en materias comunes relacionadas con la adecuaci�n e implantaci�n de lo previsto en el Esquema Nacional de Seguridad y en las normas, instrucciones, gu�as y recomendaciones dictadas para su aplicaci�n.
Disposici�n adicional segunda renumerada por el apartado once del art�culo �nico del R.D. 951/2015, de 23 de octubre, de modificaci�n del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica (�B.O.E.� 4 noviembre). Su contenido literal se corresponde con el de la anterior disposici�n adicional tercera, al haberse suprimido la anterior disposici�n adicional segunda.Vigencia: 5 noviembre 2015
Modificaci�n del Reglamento de desarrollo de la Ley Org�nica 15/1999, de Protecci�n de Datos de Car�cter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre
Se modifica la letra b) del apartado 5 del art�culo 81 del Reglamento de desarrollo de la Ley Org�nica 15/1999, de 13 de diciembre
, de Protecci�n de Datos de Car�cter Personal aprobado por Real Decreto 1720/2007
, de 21 de diciembre
, que pasa a tener la siguiente redacci�n:
Se trate de ficheros o tratamientos en los que de forma incidental o accesoria se contengan aquellos datos sin guardar relaci�n con su finalidad.�
Disposici�n adicional tercera renumerada por el apartado once del art�culo �nico del R.D. 951/2015, de 23 de octubre, de modificaci�n del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica (�B.O.E.� 4 noviembre). Su contenido literal se corresponde con el de la anterior disposici�n adicional cuarta.Vigencia: 5 noviembre 2015
Desarrollo del Esquema Nacional de Seguridad
1. Sin perjuicio de las propuestas que pueda acordar el Comit� Sectorial de Administraci�n Electr�nica seg�n lo establecido en el art�culo 29, apartado 2, se desarrollar�n las siguientes instrucciones t�cnicas de seguridad que ser�n de obligado cumplimiento por parte de las Administraciones p�blicas:
b) Notificaci�n de incidentes de seguridad.
c) Auditor�a de la seguridad.
e) Adquisici�n de productos de seguridad.
f) Criptolog�a de empleo en el Esquema Nacional de Seguridad.
g) Interconexi�n en el Esquema Nacional de Seguridad.
2. La aprobaci�n de estas instrucciones se realizar� de acuerdo con el procedimiento establecido en el citado art�culo 29 apartados 2 y 3.
Disposici�n adicional cuarta introducida, en su actual redacci�n, por el apartado doce del art�culo �nico del R.D. 951/2015, de 23 de octubre, de modificaci�n del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica (�B.O.E.� 4 noviembre).Vigencia: 5 noviembre 2015
Adecuaci�n de sistemas 1. Los sistemas existentes a la entrada en vigor del presente real decreto se adecuar�n al Esquema Nacional de Seguridad de forma que permitan el cumplimiento de lo establecido en la disposici�n final tercera de la Ley 11/2007, de 22 de junio. Los nuevos sistemas aplicar�n lo establecido en el presente real decreto desde su concepci�n.
2. Si a los doce meses de la entrada en vigor del Esquema Nacional de Seguridad hubiera circunstancias que impidan la plena aplicaci�n de lo exigido en el mismo, se dispondr� de un plan de adecuaci�n que marque los plazos de ejecuci�n los cuales, en ning�n caso, ser�n superiores a 48 meses desde la entrada en vigor.
El plan indicado en el p�rrafo anterior ser� elaborado con la antelaci�n suficiente y aprobado por los �rganos superiores competentes.
3. Mientras no se haya aprobado una pol�tica de seguridad por el �rgano superior competente ser�n de aplicaci�n las pol�ticas de seguridad que puedan existir a nivel de �rgano directivo.
T�tulo habilitante El presente real decreto se dicta en virtud de lo establecido en el art�culo 149.1.18.� de la Constituci�n, que atribuye al Estado la competencia sobre las bases del r�gimen jur�dico de las Administraciones p�blicas.
Desarrollo normativo Se autoriza al titular del Ministerio de la Presidencia, para dictar las disposiciones necesarias para la aplicaci�n y desarrollo de lo establecido en el presente real decreto, sin perjuicio de las competencias de las comunidades aut�nomas de desarrollo y ejecuci�n de la legislaci�n b�sica del Estado.
ANEXO I Categor�as de los sistemas
V�ase Orden TIN/3016/2011, de 28 de octubre, por la que se crea el Comit� de Seguridad de las Tecnolog�as de la Informaci�n y las Comunicaciones del Ministerio de Trabajo e Inmigraci�n (�B.O.E.� 10 noviembre).
Auditor�a de la seguridad 1. Objeto de la auditor�a.
1.1 La seguridad de los sistemas de informaci�n de una organizaci�n ser� auditada en los siguientes t�rminos:
a) Que la pol�tica de seguridad define los roles y funciones de los responsables de la informaci�n, los servicios, los activos y la seguridad del sistema de informaci�n.
b) Que existen procedimientos para resoluci�n de conflictos entre dichos responsables.
c) Que se han designado personas para dichos roles a la luz del principio de "separaci�n de funciones".
d) Que se ha realizado un an�lisis de riesgos, con revisi�n y aprobaci�n anual.
e) Que se cumplen las recomendaciones de protecci�n descritas en el anexo II, sobre Medidas de Seguridad, en funci�n de las condiciones de aplicaci�n en cada caso.
f) Que existe un sistema de gesti�n de la seguridad de la informaci�n, documentado y con un proceso regular de aprobaci�n por la direcci�n.
1.2 La auditor�a se basar� en la existencia de evidencias que permitan sustentar objetivamente el cumplimiento de los puntos mencionados:
a) Documentaci�n de los procedimientos.
d) Productos certificados. Se considerar� evidencia suficiente el empleo de productos que satisfagan lo establecido en el art�culo 18 �Adquisici�n de productos y contrataci�n de servicios de seguridad�.
2. Niveles de auditor�a.
Los niveles de auditor�a que se realizan a los sistemas de informaci�n, ser�n los siguientes:
2.1 Auditor�a a sistemas de categor�a B�SICA.
a) Los sistemas de informaci�n de categor�a B�SICA, o inferior, no necesitar�n realizar una auditor�a. Bastar� una autoevaluaci�n realizada por el mismo personal que administra el sistema de informaci�n, o en quien �ste delegue.
El resultado de la autoevaluaci�n debe estar documentado, indicando si cada medida de seguridad est� implantada y sujeta a revisi�n regular y las evidencias que sustentan la valoraci�n anterior.
b) Los informes de autoevaluaci�n ser�n analizados por el responsable de seguridad competente, que elevar� las conclusiones al responsable del sistema para que adopte las medidas correctoras adecuadas.
2.2 Auditor�a a sistemas de categor�a MEDIA O ALTA.
a) El informe de auditor�a dictaminar� sobre el grado de cumplimiento del presente real decreto, identificar� sus deficiencias y sugerir� las posibles medidas correctoras o complementarias que sean necesarias, as� como las recomendaciones que se consideren oportunas. Deber�, igualmente, incluir los criterios metodol�gicos de auditor�a utilizados, el alcance y el objetivo de la auditor�a, y los datos, hechos y observaciones en que se basen las conclusiones formuladas.
b) Los informes de auditor�a ser�n analizados por el responsable de seguridad competente, que presentar� sus conclusiones al responsable del sistema para que adopte las medidas correctoras adecuadas.
3. Interpretaci�n.
La interpretaci�n del presente anexo se realizar� seg�n el sentido propio de sus palabras, en relaci�n con el contexto, antecedentes hist�ricos y legislativos, entre los que figura lo dispuesto en la instrucci�n t�cnica CCN-STIC correspondiente, atendiendo al esp�ritu y finalidad de aquellas
Anexo III modificado conforme establece el apartado quince del art�culo �nico del R.D. 951/2015, de 23 de octubre, de modificaci�n del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica (�B.O.E.� 4 noviembre).Vigencia: 5 noviembre 2015
Modelo de cl�usula administrativa particular
Cl�usula administrativa particular.–En cumplimiento con lo dispuesto en el art�culo 115.4 del Real Decreto Legislativo 3/2011, de 14 de noviembre, por el que se aprueba el texto refundido de la Ley de Contratos del Sector P�blico
, y en el art�culo 18 del Real Decreto 3/2010, de 8 de enero
, por el que se regula el Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica, el licitador incluir� referencia precisa, documentada y acreditativa de que los productos de seguridad, servicios, equipos, sistemas, aplicaciones o sus componentes, cumplen con lo indicado en la medida op.pl.5 sobre componentes certificados, recogida en el apartado 4.1.5 del anexo II del citado Real Decreto 3/2010, de 8 de enero
Cuando estos sean empleados para el tratamiento de datos de car�cter personal, el licitador incluir�, tambi�n, lo establecido en la Disposici�n adicional �nica del Real Decreto 1720/2007
, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Org�nica 15/1999, de 13 de diciembre
Anexo V modificado conforme establece el apartado diecisiete del art�culo �nico del R.D. 951/2015, de 23 de octubre, de modificaci�n del R.D. 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica (�B.O.E.� 4 noviembre).Vigencia: 5 noviembre 2015

References: Real Decreto 
 real decreto 
 real decreto 
 real decreto 
 real decreto 
 real decreto 
 real decreto 
 Real Decreto 
 real decreto 
 real decreto 
 real decreto 
 real decreto 
 Real Decreto 
 Real Decreto 
 real decreto 
 real decreto 
 real decreto 
 Real Decreto 
 Real Decreto 
 Real Decreto 
 Real Decreto