Source: https://www.boe.es/buscar/act.php?id=BOE-A-2018-5370&p=20180419&tn=0
Timestamp: 2019-06-25 18:18:02
Document Index: 347079030

Matched Legal Cases: ['artículo 37', 'artículo 6', 'artículo 37', 'artículo 43', 'artículo 37', 'artículo 6', 'artículo 6', 'artículo 5', 'artículo 24', 'artículo 23']

BOE.es - Documento consolidado BOE-A-2018-5370
Documento consolidado BOE-A-2018-5370
«BOE» núm. 95, de 19/04/2018.
https://www.boe.es/eli/es/res/2018/04/13/(2)/con
Texto inicial publicado el 19/04/2018
TEXTO CONSOLIDADO: «Texto inicial publicado el 19/04/2018»
III. Criterios de determinación del nivel de impacto.
IV. Notificación obligatoria de los incidentes con nivel de impacto Alto, Muy alto y Crítico.
V. Evidencias a entregar en el caso de incidentes nivel Alto, Muy alto y Crítico.
VI. Obligación de remisión de estadísticas de incidentes.
VII. Notificación de impactos recibidos.
VIII. Desarrollo de herramientas automatizadas para facilitar las notificaciones.
IX. Régimen legal de las notificaciones y comunicación de información.
X. Disposición adicional.
III. Criterios de determinación del nivel de Impacto
IV.1 Las notificaciones efectuadas por las entidades del ámbito de aplicación de la presente Instrucción Técnica de Seguridad al Centro Criptológico Nacional (CCN), en el marco de la articulación de respuesta a los incidentes de seguridad y la prestación de servicios de respuesta por parte del Equipo de Respuesta a Incidentes de Seguridad del CCN-CERT, (Centro Criptológico Nacional - Computer Emergency Response Team) se realizará en los términos indicados en los artículos 36 y 37 del Real Decreto 3/2010, de 8 de enero.
IV.2 Para ello, se notificarán los incidentes de seguridad que tengan un impacto significativo en la seguridad de la información manejada o los servicios prestados en relación con la categoría del sistema, determinada de acuerdo con lo dispuesto en los artículos 43, 44 y Anexo I del Real Decreto 3/2010, de 8 de enero. Se dice que un incidente tiene impacto significativo cuando, por su magnitud o características, impide el tratamiento de la información o los servicios prestados. A estos efectos, se considerará que tienen un impacto significativo los niveles Alto, Muy Alto y Crítico recogidos en la tabla Criterios de Determinación del Nivel de Impacto de la Guía CCN-STIC 817.
IV.3 En todo caso, serán de obligatoria notificación al CCN en el momento en que se produzcan, los incidentes de seguridad que por su nivel de impacto potencial sean calificados con el nivel de CRÍTICO, MUY ALTO o ALTO, mediante el empleo de las herramientas desarrolladas al efecto de la notificación de incidentes.
V. Evidencias a entregar en el caso de incidentes nivel Alto, Muy alto y Crítico
V.1 Tras la detección de un incidente de seguridad y con carácter inmediato se recopilarán evidencias del incidente, que serán documentadas y custodiadas de forma que se pueda determinar el modo de obtención, se garantice la cadena de custodia, y respetando el ordenamiento jurídico que resulte de aplicación. En la recolección y custodia de evidencia se aplicarán las recomendaciones establecidas al efecto en la Guía CCN-STIC 817.
V.2 De acuerdo con lo dispuesto en el artículo 37 del Real Decreto 3/2010, de 8 de enero, el CCN podrá recabar éstas y cualesquiera otras informaciones que se consideren relevantes para el análisis del incidente, así como los soportes informáticos que se estimen necesarios para la investigación, sin perjuicio de lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de carácter personal y su normativa de desarrollo, así como la posible confidencialidad de datos de carácter institucional u organizativo.
VI. Obligación de remisión de estadísticas de incidentes
VII. Notificación de impactos recibidos
VIII. Desarrollo de herramientas automatizadas para facilitar las notificaciones
IX. Régimen legal de las notificaciones y comunicación de información
a) La comunicación de información que tenga la consideración de datos de carácter personal se efectuará con pleno cumplimiento de lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre y su normativa de desarrollo, atendiendo a que la comunicación de datos se realiza para el cumplimiento de fines directamente relacionados con la función legítima de las entidades cedentes y del CCN como cesionario, sin que sea preciso el consentimiento del afectado toda vez que tales datos han sido recabados para el ejercicio de las funciones propias de unos y otro, en los términos previstos en el artículo 6.2 de la citada Ley Orgánica.
b) La comunicación de información de datos de carácter institucional u organizativo a la que se refiere el artículo 37.1.a) último párrafo, del Real Decreto 3/2010, de 8 de enero, será suministrada y comunicada en función de su confidencialidad, atendiendo a lo dispuesto en el artículo 43 y anexo I, en relación con el citado artículo 37.1.a) del ENS.
X. Disposición adicional
X.1 Las referencias contenidas en la presente Instrucción a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo se entenderán hechas, a partir del 25 de mayo de 2018, al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos).
X.2 Se añade un segundo párrafo al apartado VII de la Instrucción, con efectos a partir del 25 de mayo de 2018, con la siguiente redacción:
X.3 La referencia contenida en el apartado IX, letra a), primer párrafo, de la Instrucción, al artículo 6.2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, se entenderá realizada, a partir del 25 de mayo de 2018, al artículo 6.1.c) del Reglamento General de Protección de Datos.
X.4 La referencia contenida en el apartado IX, letra a), segundo párrafo, a «los párrafos uno y dos del artículo 5 de la reiterada Ley Orgánica, en base a lo dispuesto en su artículo 24.1», se entenderá sustituida, a partir del 25 de mayo de 2018, por «el capítulo III del Reglamento General de Protección de Datos, en base a lo dispuesto en el artículo 23.1.a) del mismo».