Source: https://boe.vlex.es/vid/real-decreto-951-2015-586147834
Timestamp: 2020-06-02 23:39:55+00:00

Document:
Real Decreto 951/2015, de 23 de octubre, de modificación del Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica. - BOE. Boletín Oficial del Estado - Legislación - VLEX 586147834
Fecha de Entrada en Vigor: 5 de Noviembre de 2015
Marginal: BOE-A-2015-11881
Norma citada en: una sentencia, 5 artículos doctrinales, 5 disposiciones normativas, una resolución administrativa, 3 noticias
Artículo único Modificación del Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración electrónica.
1. En la adquisición de productos de seguridad de las tecnologías de la información y comunicaciones que vayan a ser empleados por las Administraciones públicas se utilizarán, de forma proporcionada a la categoría del sistema y nivel de seguridad determinados, aquellos que tengan certificada la funcionalidad de seguridad relacionada con el objeto de su adquisición, salvo en aquellos casos en que las exigencias de proporcionalidad en cuanto a los riesgos asumidos no lo justifiquen a juicio del responsable de Seguridad.
4. Para la contratación de servicios de seguridad se estará a lo dispuesto en los apartados anteriores y en el artículo 15.
a) El sistema proporcionará la mínima funcionalidad requerida para que la organización alcance sus objetivos.
2. Se dispondrá de procedimientos de gestión de incidentes de seguridad y de debilidades detectadas en los elementos del sistema de información. Estos procedimientos cubrirán los mecanismos de detección, los criterios de clasificación, los procedimientos de análisis y resolución, así como los cauces de comunicación a las partes interesadas y el registro de las actuaciones. Este registro se empleará para la mejora continua de la seguridad del sistema.
4. La relación de medidas seleccionadas del Anexo II se formalizará en un documento denominado Declaración de Aplicabilidad, firmado por el responsable de seguridad.
5. Las medidas de seguridad referenciadas en el Anexo II podrán ser reemplazadas por otras compensatorias siempre y cuando se justifique documentalmente que protegen igual o mejor el riesgo sobre los activos (Anexo I) y se satisfacen los principios básicos y los requisitos mínimos previstos en los capítulos II y III del real decreto. Como parte integral de la Declaración de Aplicabilidad se indicará de forma detallada la correspondencia entre las medidas compensatorias implantadas y las medidas del Anexo II que compensan y el conjunto será objeto de la aprobación formal por parte del responsable de seguridad.
1. Para el mejor cumplimiento de lo establecido en el Esquema Nacional de Seguridad, el Centro Criptológico Nacional, en el ejercicio de sus competencias, elaborará y difundirá las correspondientes guías de seguridad de las tecnologías de la información y las comunicaciones.
3. Las instrucciones técnicas de seguridad tendrán en cuenta las normas armonizadas a nivel europeo que resulten de aplicación.
El Comité Sectorial de Administración Electrónica recogerá la información relacionada con el estado de las principales variables de la seguridad en los sistemas de información a los que se refiere el presente Real Decreto, de forma que permita elaborar un perfil general del estado de la seguridad en las Administraciones públicas.
El Centro Criptológico Nacional articulará los procedimientos necesarios para la recogida y consolidación de la información, así como los aspectos metodológicos para su tratamiento y explotación, a través de los correspondientes grupos de trabajo que se constituyan al efecto en el Comité Sectorial de Administración Electrónica y en la Comisión de Estrategia TIC para la Administración General del Estado.
Las Administraciones Públicas notificarán al Centro Criptológico Nacional aquellos incidentes que tengan un impacto significativo en la seguridad de la información manejada y de los servicios prestados en relación con la categorización de sistemas recogida en el Anexo I del presente real decreto.
Para el cumplimiento de los fines indicados en los párrafos anteriores se podrán recabar informes de auditoría de los sistemas afectados, registros de auditoría, configuraciones y cualquier otra información que se considere relevante, así como los soportes informáticos que se estimen necesarios para la investigación del incidente de los sistemas afectados, sin perjuicio de lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de carácter personal, y su normativa de desarrollo, así como de la posible confidencialidad de datos de carácter institucional u organizativo.
2. La aprobación de estas instrucciones se realizará de acuerdo con el procedimiento establecido en el citado artículo 29 apartados 2 y 3.
«Dimensiones Medidas de seguridad
D n.a. aplica = op.pl.4 Dimensionamiento/Gestión de capacidades
categoría n.a. aplica = op.exp.7 Gestión de incidentes
categoría n.a. aplica = op.exp.9 Registro de la gestión de incidentes
D n.a. n.a. aplica mp.s.9 Medios alternativos»
h) Utilización de servicios de terceros, bajo contrato o Convenio.
1. Validación de datos de entrada, salida y datos intermedios.
– Si se requiere un nivel ALTO en la dimensión de autenticidad (anexo I): Nivel de seguridad alto (artículo 8 del Reglamento n.º 910/2014).
c) Las credenciales utilizadas deberán haber sido obtenidas tras un registro previo presencial o telemático usando certificado electrónico cualificado en dispositivo cualificado de creación de firma.
e) El sistema reaccione a incidentes (ver [op.exp.7]).
4.3.7 Gestión de incidentes [op.exp.7].
4.3.9 Registro de la gestión de incidentes [op.exp.9].
c) Como consecuencia del análisis de los incidentes, se revisará la determinación de los eventos auditables.
c) El mecanismo y los procedimientos de coordinación en caso de incidentes y desastres (ver [op.exp.7]).
– Recursos consumidos: horas y presupuesto.
c) El procedimiento de reporte de incidentes de seguridad, sean reales o falsas alarmas.
5.5.2 Criptografía [mp.si.2].
c) Se emplearán productos certificados conforme a lo establecido en ([op. pl.5]).
2. Se emplearán productos certificados conforme a lo establecido en [op.pl.5].
5. Se emplearán "sellos cualificados de tiempo electrónicos" acordes con la normativa europea en la materia.
j) Claves utilizadas para preservar la confidencialidad de la información.
Se emplearán "certificados cualificados de autenticación del sitio web" acordes a la normativa europea en la materia.
Cláusula administrativa particular.–En cumplimiento con lo dispuesto en el artículo 115.4 del Real Decreto Legislativo 3/2011, de 14 de noviembre, por el que se aprueba el texto refundido de la Ley de Contratos del Sector Público, y en el artículo 18 del Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica, el licitador incluirá referencia precisa, documentada y acreditativa de que los productos de seguridad, servicios, equipos, sistemas, aplicaciones o sus componentes, cumplen con lo indicado en la medida op.pl.5 sobre componentes certificados, recogida en el apartado 4.1.5 del anexo II del citado Real Decreto 3/2010, de 8 de enero.
Cuando estos sean empleados para el tratamiento de datos de carácter personal, el licitador incluirá, también, lo establecido en la Disposición adicional única del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal.
Disposición transitoria única Adecuación de sistemas.
Orden SSI/1177/2014, de 27 de junio, por la que se integra en la condición de personal estatutario al personal laboral del área funcional de actividades específicas del Hospital General Básico de la Defensa 'San Carlos', en San Fernando, Cádiz.

References: Real Decreto 
 resolución 
 Real Decreto 
 artículo 15
 artículo 29
 artículo 115
 Real Decreto 
 artículo 18
 Real Decreto 
 Real Decreto 
 Real Decreto