Source: http://www.congreso.es/portal/page/portal/Congreso/PopUpCGI?CMD=VERLST&BASE=pu12&DOCS=1-1&DOCORDER=LIFO&QUERY=%28BOCG-12-A-28-1.CODI.%29
Timestamp: 2019-11-18 05:47:19+00:00

Document:
BOCG. Congreso de los Diputados, serie A, núm. 28-1, de 28/09/2018
cve: BOCG-12-A-28-1
Núm. 28-1
121/000028 Proyecto de Ley de seguridad de las redes y sistemas de información (procedente del Real Decreto-ley 12/2018, de 7 de septiembre).
En cumplimiento de lo dispuesto en el artículo 86.2 de la Constitución, el Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información (núm. expte. 130/000039), fue sometido a debate y votación de totalidad por el Congreso de los Diputados en su sesión del día 20 de septiembre de 2018, en la que se acordó su convalidación, así como su tramitación como Proyecto de Ley (núm. expte. 121/000028).
La Mesa del Congreso de los Diputados, en su reunión del día de hoy, ha acordado su remisión a la Comisión de Economía y Empresa, para su aprobación con competencia legislativa plena, así como abrir un plazo de ocho días hábiles que expira el día 8 de octubre de 2018, en el que los Sres. Diputados y los Grupos Parlamentarios podrán presentar enmiendas.
Palacio del Congreso de los Diputados, 25 de septiembre de 2018.-P.D. El Secretario General del Congreso de los Diputados, Carlos Gutiérrez Vicén.
PROYECTO DE LEY DE SEGURIDAD DE LAS REDES Y SISTEMAS DE INFORMACIÓN (PROCEDENTE DEL REAL DECRETO-LEY 12/2018, DE 7 DE SEPTIEMBRE)
Los operadores de servicios esenciales y los proveedores de servicios digitales deberán adoptar medidas adecuadas para gestionar los riesgos que se planteen para la seguridad de las redes y sistemas de información que utilicen, aunque su gestión esté externalizada. Las obligaciones de seguridad que asuman deberán ser proporcionadas al nivel de riesgo que afronten y estar basadas en una evaluación previa de los mismos. Las normas de desarrollo de este real decreto-ley podrán concretar las obligaciones
de seguridad exigibles a los operadores de servicios esenciales, incluyendo en su caso las inspecciones a realizar o la participación en actividades y ejercicios de gestión de crisis.
Así, se aproxima el ámbito de aplicación de este real decreto-ley al de la Ley 8/2011, de 28 de abril, añadiendo a los sectores previstos por la Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo, de 6 de julio de 2016, los sectores estratégicos adicionales contemplados en esa ley; se apoya en ella para definir el concepto de "servicio esencial", y se atribuye a sus órganos colegiados la determinación de los servicios esenciales y de los operadores de servicios esenciales sujetos al presente real decreto-ley. Teniendo en cuenta la Ley 36/2015, de 28 de septiembre, se atribuye al Consejo de Seguridad Nacional la función de actuar como punto de contacto con otros países de la Unión Europea y un papel coordinador de la política de ciberseguridad a través de la Estrategia de Ciberseguridad Nacional.
El real decreto-ley delimita el ámbito funcional de actuación de los CSIRT de referencia previstos en ella. Dichos CSIRT son la puerta de entrada de las notificaciones de incidentes, lo que permitirá organizar
rápidamente la respuesta a ellos, pero el destinatario de las notificaciones es la autoridad competente respectiva, que tendrá en cuenta esta información para la supervisión de los operadores. En todo caso, el operador es responsable de resolver los incidentes y reponer las redes y sistemas de información afectados a su funcionamiento ordinario.
Esta disposición ha sido sometida al procedimiento de información de normas reglamentarias técnicas y de reglamentos relativos a los servicios de la sociedad de la información, previsto en la Directiva (UE) 2015/1535 del Parlamento Europeo y del Consejo, de 9 de septiembre de 2015, por la que se establece un procedimiento de información en materia de reglamentaciones técnicas y de reglas relativas a los servicios de la sociedad de la información, así como el Real Decreto 1337/1999, de 31 de julio, por el que se regula la remisión de información en materia de normas y reglamentaciones técnicas y reglamentos relativos a los servicios de la sociedad de la información. Así mismo, se adecua a los principios de buena regulación establecidos en el artículo 129 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, conforme a los cuales deben actuar las Administraciones Públicas en el ejercicio de la iniciativa legislativa, como son los principios de necesidad, eficacia, proporcionalidad, seguridad jurídica, transparencia y eficiencia.
El real decreto-ley constituye un instrumento constitucionalmente lícito, siempre que el fin que justifica la legislación de urgencia, sea, tal como reiteradamente ha exigido nuestro Tribunal Constitucional (sentencias 6/1983, de 4 de febrero, F. 5; 11/2002, de 17 de enero, F. 4, 137/2003, de 3 de julio, F. 3, y 189/2005, de 7 julio, F.3), subvenir a un situación concreta, dentro de los objetivos gubernamentales, que por razones difíciles de prever requiere una acción normativa inmediata en un plazo más breve que el requerido por la vía normal o por el procedimiento de urgencia para la tramitación parlamentaria de las Leyes.
En efecto, el plazo de transposición de la mencionada Directiva (UE) 2016/1148, del Parlamento Europeo y del Consejo, de 6 de julio de 2016, se encuentra ya vencido a 9 de mayo de 2018. La finalización del plazo de transposición de esta Directiva ha motivado la iniciación por parte de la Comisión Europea de un procedimiento formal de infracción número 2018/168.
b) Los servicios digitales, considerados conforme se determina en el artículo 3.e), que sean mercados en línea, motores de búsqueda en línea y servicios de computación en nube.
1.º Las redes de comunicaciones electrónicas, tal y como vienen definidas en el número 31 del anexo II de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones.
2.º Todo dispositivo o grupo de dispositivos interconectados o relacionados entre sí, en el que uno o varios de ellos realicen, mediante un programa, el tratamiento automático de datos digitales.
k) Norma técnica: una norma en el sentido del artículo 2.1 del Reglamento (UE) n.º 1025/2012 del Parlamento Europeo y del Consejo, de 25 de octubre de 2012, sobre la normalización europea.
l) Especificación: una especificación técnica en el sentido del artículo 2.4 del Reglamento (UE) n.º 1025/2012 del Parlamento Europeo y del Consejo, de 25 de octubre de 2012.
m) Punto de intercambio de Internet ("IXP", por sus siglas en inglés de "Internet eXchange Point"): una instalación de red que permite interconectar más de dos sistemas autónomos independientes, principalmente para facilitar el intercambio de tráfico de Internet. Un IXP permite interconectar sistemas autónomos sin requerir que el tráfico de Internet que pasa entre cualquier par de sistemas autónomos participantes pase por un tercer sistema autónomo, y sin modificar ni interferir de otra forma en dicho tráfico.
n) Sistema de nombres de dominio ("DNS", por sus siglas en inglés de "Domain Name System"): sistema distribuido jerárquicamente que responde a consultas proporcionando información asociada a nombres de dominio, en particular, la relativa a los identificadores utilizados para localizar y direccionar equipos en Internet.
Artículo 4. Directrices y orientaciones comunitarias.
Artículo 5. Salvaguarda de funciones estatales esenciales.
Artículo 6. Identificación de servicios esenciales y de operadores de servicios esenciales.
1.º La disponibilidad de alternativas para mantener un nivel suficiente de prestación del servicio esencial.
2.º La valoración del impacto de un incidente en la provisión del servicio, evaluando la extensión o zonas geográficas que podrían verse afectadas por el incidente; la dependencia de otros sectores
estratégicos respecto del servicio esencial ofrecido por la entidad y la repercusión, en términos de grado y duración, del incidente en las actividades económicas y sociales o en la seguridad pública.
1.º El número de usuarios que confían en los servicios prestados por ella.
Artículo 7. Comunicación de actividad por los proveedores de servicios digitales.
Artículo 8. Marco estratégico de seguridad de las redes y sistemas de información.
Artículo 10. Funciones de las autoridades competentes.
Artículo 11. Equipos de respuesta a incidentes de seguridad informática de referencia.
Artículo 12. Requisitos y funciones de los CSIRT de referencia.
Artículo 13. Punto de contacto único.
El Consejo de Seguridad Nacional ejercerá, a través del Departamento de Seguridad Nacional, una función de enlace para garantizar la cooperación transfronteriza de las autoridades competentes
designadas conforme al artículo 9, con las autoridades competentes de otros Estados miembros de la Unión Europea, así como con el grupo de cooperación y la red de CSIRT.
Artículo 14. Cooperación con otras autoridades con competencias en seguridad de la información y con las autoridades sectoriales.
Artículo 15. Confidencialidad de la información sensible.
Artículo 16. Obligaciones de seguridad de los operadores de servicios esenciales y de los proveedores de servicios digitales.
a) La seguridad de los sistemas e instalaciones.
b) La gestión de incidentes.
c) La gestión de la continuidad de las actividades.
d) La supervisión, auditorías y pruebas.
Artículo 17. Normas técnicas.
Artículo 18. Sectores con normativa específica equivalente.
Artículo 19. Obligación de notificar.
3. Las notificaciones tanto de operadores de servicios esenciales como de proveedores de servicios digitales se referirán a los incidentes que afecten a las redes y sistemas de información empleados en la prestación de los servicios indicados, tanto si se trata de redes y servicios propios como si lo son de
proveedores externos, incluso si éstos son proveedores de servicios digitales sometidos a este real decreto-ley.
Artículo 20. Protección del notificante.
Artículo 21. Factores para determinar la importancia de los efectos de un incidente.
Artículo 22. Notificación inicial, notificaciones intermedias y notificación final.
Artículo 23. Flexibilidad en la observancia de los plazos para la notificación.
Artículo 24. Incidentes que afecten a servicios digitales.
Artículo 25. Tramitación de incidentes con impacto transfronterizo.
Artículo 26. Información al público.
Artículo 27. Información anual al punto de contacto único y al grupo de cooperación.
Artículo 28. Obligación de resolver los incidentes, de información y de colaboración mutua.
Artículo 29. Cooperación en lo relativo a los incidentes que afecten a datos personales.
Artículo 30. Autorización para la cesión de datos personales.
Artículo 31. Notificaciones voluntarias.
Artículo 32. Supervisión de los operadores de servicios esenciales.
Artículo 33. Supervisión de los proveedores de servicios digitales.
Artículo 34. Cooperación transfronteriza.
2. Las sanciones firmes en vía administrativa por infracciones muy graves y graves podrán ser publicadas, a costa del sancionado, en el "Boletín Oficial del Estado" y en el sitio de Internet de la autoridad competente, en atención a los hechos concurrentes y de conformidad con el artículo siguiente.
Artículo 38. Graduación de la cuantía de las sanciones.
Artículo 39. Proporcionalidad de sanciones.
3. No podrán ser objeto de apercibimiento las infracciones leves descritas en el artículo 36.4.c), d) y e) y la infracción grave prevista en el artículo 36.3.e).
Artículo 40. Infracciones de las Administraciones Públicas.
Artículo 41. Competencia sancionadora.
Artículo 42. Concurrencia de infracciones.
Disposición adicional primera. Relación inicial de servicios esenciales y operadores de servicios esenciales.
Disposición adicional segunda. Comunicaciones electrónicas y servicios de confianza.
Disposición adicional tercera. Notificación de violaciones de seguridad de los datos personales a través de la plataforma común prevista en este real decreto-ley.
Disposición adicional cuarta. Proveedores de servicios digitales ya existentes.

References: artículo 86
 Real Decreto 
 artículo 129
 artículo 3
 artículo 2
 artículo 2

Artículo 4

Artículo 5

Artículo 6

Artículo 7

Artículo 8

Artículo 10

Artículo 11

Artículo 12

Artículo 13
 artículo 9

Artículo 14

Artículo 15

Artículo 16

Artículo 17

Artículo 18

Artículo 19

Artículo 20

Artículo 21

Artículo 22

Artículo 23

Artículo 24

Artículo 25

Artículo 26

Artículo 27

Artículo 28

Artículo 29

Artículo 30

Artículo 31

Artículo 32

Artículo 33

Artículo 34

Artículo 38

Artículo 39
 artículo 36
 artículo 36

Artículo 40

Artículo 41

Artículo 42