Source: https://www.boe.es/diario_boe/txt.php?id=BOE-A-2014-10732
Timestamp: 2019-04-25 05:59:35+00:00

Document:
BOE.es - Documento BOE-A-2014-10732
Documento BOE-A-2014-10732
«BOE» núm. 256, de 22 de octubre de 2014, páginas 85848 a 85855 (8 págs.)
BOE-A-2014-10732
https://www.boe.es/eli/es/o/2014/10/14/iet1934
1. Constituye el objeto de la presente orden la aprobación de la Política de Seguridad de la Información (en adelante, PSI) en el ámbito de la administración electrónica del Ministerio de Industria, Energía y Turismo, así como el establecimiento del marco organizativo y tecnológico de la misma.
El Real Decreto 344/2012, de 10 de febrero, por el que se desarrolla la estructura orgánica básica del Ministerio de Industria, Energía y Turismo dispone que corresponde al Ministerio de Industria, Energía y Turismo la propuesta y ejecución de la política del Gobierno en materia de energía, de telecomunicaciones y de la sociedad de la información, de turismo y de desarrollo industrial y de la pequeña y mediana empresa.
Artículo 3. Estructura organizativa de la PSI.
La estructura organizativa de la gestión de la seguridad de la información en el ámbito de la administración electrónica del Ministerio de Industria, Energía y Turismo está compuesta por los siguientes agentes:
Artículo 4. El Comité Director de la Seguridad de la Información.
1. Se crea el Comité Director de la Seguridad de la Información (en adelante, el Comité), que gestionará y coordinará todas las actividades relacionadas con la seguridad de los sistemas de información y ejercerá las siguientes funciones:
Artículo 5. El Responsable de Seguridad.
1. Las funciones del Responsable de Seguridad se ejercerán por el grupo técnico de seguridad de la información, presidido y coordinado por el Subdirector General de Tecnologías de la Información y de las Comunicaciones y estará compuesto por los siguientes miembros, cada uno de los cuales podrá delegar en un suplente en caso necesario:
Artículo 6. Equipo de seguridad.
1. Las funciones de Responsable de la Información recaerán en la persona titular del órgano o unidad administrativa que gestione cada procedimiento administrativo, pudiendo una misma persona acumular las responsabilidades de la información de todos los procedimientos que gestione, y serán las siguientes:
Las funciones del Responsable del Servicio recaerán en los titulares de los órganos responsables del desarrollo, mantenimiento y explotación del sistema de información que soporte los servicios correspondientes y serán las siguientes:
Artículo 10. Gestión de riesgos.
1. La gestión de riesgos debe realizarse de manera continua sobre el sistema de información, conforme a los principios de gestión de la seguridad basada en los riesgos (artículo 6 Real Decreto 3/2010, de 8 de enero) y reevaluación periódica (artículo 9 Real Decreto 3/2010, de 8 de enero), siendo el Responsable del Servicio el encargado de que se realice el preceptivo análisis de riesgos y se proponga el tratamiento adecuado, calculando los riesgos residuales.
Artículo 11. Desarrollo normativo.
b) Segundo nivel normativo. Normativa y recomendaciones de seguridad. Está constituido por la normativa y recomendaciones de seguridad que se definan en cada ámbito organizativo de aplicación específico (órganos superiores y directivos, organismos públicos dependientes, etc.).
c) Tercer nivel normativo. Procedimientos técnicos (Guías STIC). Está constituido por el conjunto de procedimientos técnicos orientados a resolver las tareas, consideradas críticas por el perjuicio que causaría una actuación inadecuada, de seguridad, desarrollo, mantenimiento y explotación de los sistemas de información. Son recomendaciones o informaciones relativas a temas concretos de seguridad basadas en instrucciones previas, que establecen las configuraciones mínimas de seguridad de los diferentes elementos de un sistema de información, recomendaciones de uso o de otro tipo.
La responsabilidad de aprobación de estos procedimientos técnicos dependerá de su ámbito de aplicación, que podrá ser en un ámbito específico o en un sistema de información determinado. Se consideran incluidas en este nivel normativo las guías CCN-STIC de las series 400, 500 y 600.
1. Respecto a la protección de datos de carácter personal, el Responsable de la Información asumirá las funciones de responsable del fichero y el Responsable del Servicio las del responsable del tratamiento, siendo asumidas por el Responsable de Seguridad las funciones enumeradas en el artículo 5.
Artículo 13. Formación y concienciación.
Artículo 14. Actualización permanente y revisiones periódicas de la PSI.
La PSI deberá mantenerse actualizada permanentemente para adecuarla al progreso de los servicios de administración electrónica, a la evolución tecnológica y al desarrollo de la sociedad de la información, así como a los estándares internacionales de seguridad.
La aplicación de esta orden no conllevará incremento de gasto público, atendiéndose el funcionamiento del Comité con los recursos humanos y materiales de que dispone el Ministerio de Industria, Energía y Turismo.
Quedan derogadas cuantas disposiciones de igual o inferior rango se opongan a lo establecido en la presente orden y, en particular, la Orden ITC/657/2011, de 11 de marzo, por la que se aprueba la política de seguridad de la información en el ámbito de la administración electrónica del Ministerio de Industria, Turismo y Comercio.
La presente orden se publicará, además de en el «Boletín Oficial del Estado», en la sede electrónica del Departamento.
Disposición final tercera. Aplicabilidad.
Aplicable desde el 23 de octubre de 2014.
SE MODIFICA el art. 1, por Orden IET/2377/2015, de 5 de noviembre (Ref. BOE-A-2015-12153).
DEROGA la Orden ITC/657/2011, de 11 de marzo (Ref. BOE-A-2011-5575).

References: Real Decreto 

Artículo 3

Artículo 4

Artículo 5

Artículo 6

Artículo 10
 Real Decreto 
 Real Decreto 

Artículo 11
 artículo 5

Artículo 13

Artículo 14