Departament de Polítiques Digitals i Administració Pública
L'article 150 de l'Estatut d'autonomia de Catalunya atribueix a la Generalitat de Catalunya la competència exclusiva sobre l'organització de l'Administració de la Generalitat, la regulació dels òrgans i directius públics, el funcionament i l'articulació territorial, i les diverses modalitats organitzatives i instrumentals per a l'actuació administrativa.
La Llei 15/2017, del 25 de juliol, de l'Agència de Ciberseguretat de Catalunya té com a finalitat la dissolució de la Fundació Centre de Seguretat de la Informació de Catalunya i la creació de l'Agència de Ciberseguretat de Catalunya, una entitat de dret públic, amb personalitat jurídica pròpia, sotmesa al dret privat, i adscrita al departament competent en matèria de ciberseguretat i societat digital.
L'esmentada Llei estableix, entre d'altres, la creació i forma jurídica pública de l'entitat, les seves funcions, els òrgans de govern, així com els recursos de què ha de disposar l'entitat.
Així mateix, l'article 6 de la Llei preveu que correspon al Govern aprovar, per mitjà d'un decret, els estatuts de l'Agència de Ciberseguretat de Catalunya, els quals han de determinar i regular les funcions dels òrgans de govern, el funcionament del Consell d'Administració i l'estructura orgànica interna i el règim de funcionament de l'Agència.
La disposició final segona de la Llei preveu que en el termini d'un any a comptar de la seva entrada en vigor, s'ha de constituir l'Agència de Ciberseguretat de Catalunya, el Govern n'ha d'aprovar els estatuts i les normes necessàries per al seu desplegament, i s'han d'adscriure a l'Agència els béns de domini públic.
Pel que fa als béns a adscriure a l'entitat, la Llei determina que s'adscriuen a l'Agència de Ciberseguretat de Catalunya els béns de l'Administració de la Generalitat i de les entitats del seu sector públic afectes a les funcions que exerceix l'Agència.
El decret d'aprovació dels estatuts de l'Agència ha de concretar els béns objecte d'adscripció i el procediment amb què s'ha de formalitzar, que necessàriament n'ha de reflectir la valoració econòmica.
La Llei 15/2017, del 25 de juliol, també estableix que l'Agència de Ciberseguretat de Catalunya se subroga als drets i les obligacions de contingut econòmic de l'Administració de la Generalitat i de les entitats del seu sector públic afectes a les funcions que exerceix l'Agència, la qual cosa s'ha de concretar en el decret d'aprovació dels estatuts.
En especial, l'Agència ha de rebre de la Fundació Centre de Seguretat de la Informació de Catalunya (Cesicat), per al compliment de les seves funcions, tots els actius materials, el personal i els recursos pressupostaris assignats a la Fundació i subrogar-se als contractes i convenis que hagi subscrit.
Per executar aquesta cessió, la Fundació ha de fer els tràmits interns necessaris des de l'aprovació d'aquesta Llei i la Generalitat ha de fer les modificacions administratives i pressupostàries necessàries.
Finalment, l'Agència de Ciberseguretat de Catalunya se subroga a la posició jurídica de l'Administració de la Generalitat i de les entitats del seu sector públic pel que fa als drets i obligacions que li corresponen en l'àmbit de les funcions que l'Agència assumeix, la qual cosa s'ha de concretar en el decret d'aprovació dels estatuts.
Els Estatuts s'estructuren en set capítols, que recullen de manera sistemàtica els aspectes que han de contenir els estatuts d'una entitat de dret públic sotmesa al dret privat, amb les particularitats derivades de les característiques especials de l'Agència de Ciberseguretat de Catalunya definides a la seva llei reguladora.
El capítol 1 recull la naturalesa jurídica, l'adscripció i el domicili de l'Agència.
El capítol 2 estableix l'objecte, els principis d'actuació, les finalitats i les funcions de l'Agència, en els termes que preveu la Llei 15/2017, del 25 de juliol.
També detalla les activitats que desenvoluparà l'Agència en execució del contracte programa, del pla estratègic, del pla d'activitats anual i com a conseqüència dels encàrrecs que rebi, així com les obligacions referents a la protecció de dades de caràcter personal i a les relacions externes i de col·laboració.
Els capítols 3 i 4 es destinen als òrgans de govern de l'Agència i als òrgans consultius, respectivament.
En el capítol 5 es detalla el règim de funcionament dels òrgans col·legiats.
En el capítol 6 es preveuen els aspectes relatius al règim econòmic i financer, als recursos humans, a la contractació i al règim de control i al contracte programa.
El capítol 7 regula aspectes relatius al codi ètic i la transparència com a instruments per desenvolupar millor les seves funcions.
Aquest Decret compleix amb els principis de bona regulació formulats a l'article 129 de la Llei 39/2015, d'1 d'octubre, del procediment administratiu comú de les administracions públiques, i a l'article 62 de la Llei 19/2014, del 29 de desembre, de transparència, accés a la informació pública i bon govern.
Aquesta norma resulta del tot necessària per aprovar els estatuts de l'Agència de Ciberseguretat de Catalunya en compliment del mandat legal contingut en la llei de creació, de conformitat amb la normativa vigent, tenint en compte els principis de proporcionalitat, seguretat jurídica i transparència.
La seva adopció resulta coherent amb el marc normatiu vigent i contribuirà a millorar l'eficàcia i l'eficiència del funcionament d'aquesta entitat.
Aquest Decret està inclòs en el Pla normatiu de l'Administració de la Generalitat de Catalunya per als anys 2019-2020, aprovat per l'Acord del Govern de 24 d'abril de 2019.
De conformitat amb el que estableixen els articles 26.o), 39.1 i 40.1 de la Llei 13/2008, del 5 de novembre, de la presidència de la Generalitat i del Govern;
A proposta del conseller de Polítiques Digitals i Administració Pública, d'acord amb el dictamen de la Comissió Jurídica Assessora, i d'acord amb el Govern,
Aprovar els Estatuts de l'Agència de Ciberseguretat de Catalunya, que consten a l'annex 1.
Aprovar l'inventari de béns i actius de l'Administració de la Generalitat i de les entitats del seu sector públic afectes a les funcions que exerceix l'Agència i que s'adscriuen a l'entitat, així com el procediment a seguir per a la seva formalització, que figura a l'annex 2.
Aprovar la llista de drets i obligacions de contingut econòmic de l'Administració de la Generalitat i de les entitats del seu sector públic afectes a les funcions que exerceix l'Agència a què se subroga l'entitat.
Les persones representants de l'Administració de la Generalitat en l'òrgan de govern de la Fundació Centre de Seguretat de la Informació de Catalunya han de promoure les actuacions necessàries per fer efectiva la dissolució de l'entitat, d'acord amb el que estableix la disposició final tercera de la Llei 15/2017, del 25 de juliol.
Els òrgans de govern de la Fundació Centre de Seguretat de la Informació de Catalunya han de dur a terme els tràmits necessaris per fer efectiva aquesta dissolució.
La Fundació Centre de Seguretat de la Informació de Catalunya adoptarà el corresponent acord d'extinció i cessió global de l'actiu i el passiu a l'Agència de Ciberseguretat de Catalunya d'acord amb el procediment establert en els Estatuts i a la normativa de fundacions.
L'Agència de Ciberseguretat de Catalunya quedarà subrogada en els contractes i convenis subscrits per la Fundació.
De conformitat amb la disposició transitòria segona de la Llei 15/2017, del 25 de juliol, la Fundació ha de continuar exercint les seves funcions a través dels mitjans tècnics i personals i dels actius propis fins que es constitueixi efectivament l'Agència i se'n completi la posada en marxa.
Constitució de l'Agència de Ciberseguretat de Catalunya
L'Agència de Ciberseguretat de Catalunya s'ha de constituir en el termini de dos mesos a comptar de l'entrada en vigor d'aquest Decret.
Integració del personal de la Fundació a l'Agència
D'acord amb les previsions de la Llei 15/2017, del 25 de juliol, de l'Agència de Ciberseguretat de Catalunya, l'Agència se subroga als contractes de treball del personal que actualment presta serveis a la Fundació Centre de Seguretat de la Informació de Catalunya, en els termes de l'article 44 del Text refós de l'Estatut dels treballadors, que regula la successió d'empresa.
Sistema sanitari integral d'utilització pública de Catalunya (SISCAT)
L'Agència de Ciberseguretat de Catalunya exerceix les seves funcions en l'àmbit de tots els centres, serveis i establiments que componen el sistema sanitari integral d'utilització pública (SISCAT), amb independència de la titularitat pública o privada de les entitats que els gestionen.
En aquest darrer cas, les funcions de l'Agència es circumscriuen a les relacions que mantinguin els centres privats amb la Generalitat.
Barcelona, 29 d'octubre de 2019
Conseller de Polítiques Digitals i Administració Pública
Estatuts de l'Agència de Ciberseguretat de Catalunya
Naturalesa jurídica i adscripció
1.1 L'Agència de Ciberseguretat de Catalunya, creada per la Llei 15/2017, del 25 de juliol, de l'Agència de Ciberseguretat de Catalunya, és una entitat de dret públic de l'Administració de la Generalitat de Catalunya, amb personalitat jurídica pròpia i diferenciada, que ajusta la seva activitat a l'ordenament jurídic privat, amb plena capacitat d'obrar i patrimoni propi i adscrit per al compliment de la seva finalitat i objectius i per a l'exercici de les seves funcions.
1.2 L'Agència de Ciberseguretat de Catalunya actua amb plena autonomia orgànica i funcional, objectivitat i independència tècnica i professional.
1.3 L'Agència de Ciberseguretat de Catalunya s'adscriu al departament competent en matèria de ciberseguretat i societat digital, que exerceix el control d'eficàcia i eficiència sobre la seva activitat.
1.4 L'Agència de Ciberseguretat de Catalunya pot adquirir, posseir i reivindicar qualsevol tipus de béns, permutar, gravar o alienar els béns propis que no estiguin afectes a l'exercici de les seves funcions; també pot concertar crèdits, subscriure contractes, formalitzar convenis, atorgar subvencions, obligar-se, interposar recursos i exercir totes les accions que siguin necessàries per al desenvolupament de les seves funcions.
1.5 L'Agència de Ciberseguretat de Catalunya ajusta la seva activitat, amb caràcter general, en les seves relacions externes, a les normes de dret civil, mercantil i laboral que li són aplicables, llevat dels actes que impliquen l'exercici de potestats públiques, que se sotmeten al dret administratiu.
L'Agència, en les relacions amb el departament al qual s'adscriu, se sotmet al dret administratiu.
2.1 L'Agència de Ciberseguretat de Catalunya té el domicili a l'Hospitalet de Llobregat, c/ Salvador Espriu, 45, sens perjudici de l'establiment de dependències en els àmbits territorials que determini el Consell d'Administració.
2.2 Correspon al Consell d'Administració acordar el domicili de l'Agència de Ciberseguretat de Catalunya, com també modificar-lo.
Objecte, principis d'actuació, finalitats i funcions
3.1 L'Agència de Ciberseguretat de Catalunya té per objecte l'execució de les polítiques públiques en matèria de ciberseguretat de la Generalitat de Catalunya.
A aquests efectes, s'entén per ciberseguretat la seguretat de les xarxes de comunicacions electròniques i dels sistemes d'informació.
3.2 L'Agència de Ciberseguretat de Catalunya, en particular, podrà:
a) Assessorar el Govern i donar-li suport en l'elaboració dels plans de ciberseguretat que ha d'aprovar i en la consecució dels objectius establerts en aquests plans.
b) Executar els plans de ciberseguretat que en cada moment estiguin vigents.
c) Coordinar-se amb altres organismes en tot allò que es consideri necessari per a la consecució dels objectius especificats en els plans de ciberseguretat.
d) Organitzar les activitats de difusió, formació i conscienciació en matèria de ciberseguretat adequades als diferents col·lectius destinataris, posant especial èmfasi en els que presenten situacions de vulnerabilitat i facilitant les eines i els programes escaients.
e) Impulsar un clima de confiança i seguretat que contribueixi al desenvolupament de l'economia i la societat digital a Catalunya.
4.1 L'Agència de Ciberseguretat de Catalunya ha d'actuar d'acord amb els principis de legalitat, seguretat jurídica, objectivitat, autonomia, competència tècnica i eficàcia, d'acord amb els estàndards internacionals en matèria de ciberseguretat.
4.2 Els criteris d'actuació que ha de seguir l'Agència de Ciberseguretat de Catalunya són els següents:
a) L'enfocament global, atenent als principals models internacionals de ciberseguretat, pel que fa a l'estratègia i operativa en el desenvolupament de les seves funcions.
b) L'adequada protecció de les persones i actius en el seu àmbit d'actuació en relació amb la ciberseguretat, garantint l'adequada prevenció dels riscos per minimitzar l'impacte dels incidents.
c) La cooperació i coordinació amb altres agències i organismes que tinguin finalitats i exerceixin funcions similars a les de l'Agència, tant en l'àmbit nacional com internacional.
d) La resiliència de les xarxes de comunicacions electròniques i dels sistemes d'informació.
e) La governabilitat del servei públic de ciberseguretat.
f) La garantia de l'expertesa i de la professionalitat del personal i dels col·laboradors de l'Agència.
g) L'acompliment, en l'exercici de les seves funcions, dels principis d'eficàcia i eficiència, actuant amb la màxima diligència i generació de valor.
4.3 Les actuacions de les persones que prestin els seus serveis o col·laborin amb l'Agència han de respectar el sistema de qualitat intern i els principis que estableixi la normativa interna.
5.1 L'Agència de Ciberseguretat de Catalunya actua en execució del seu contracte programa, del pla estratègic vigent en la matèria, del pla d'activitats anual i també per encàrrec de les institucions esmentades a l'article 6.1 d'aquests Estatuts.
De forma general, les activitats que desenvolupa l'Agència de Ciberseguretat de Catalunya estan vinculades a les seves funcions i, en particular, persegueixen les finalitats següents:
a) Establiment del servei públic de ciberseguretat.
Les activitats que desenvolupa l'Agència en aquest àmbit consisteixen a donar suport a la Generalitat de Catalunya per a la definició d'un servei públic de ciberseguretat a Catalunya, tot detallant els actors implicats, la definició dels serveis que l'Administració de la Generalitat ha d'establir per tal de garantir un nivell mínim de protecció per als seus propis serveis i actius i per als diferents col·lectius amb els quals es relaciona, així com donar suport a les autoritats competents en matèria de ciberseguretat per a garantir l'exercici de les seves funcions.
Addicionalment al suport per a la definició del servei, l'Agència participarà en la seva prestació liderant les actuacions que es determinin per a la Generalitat de Catalunya, en l'àmbit de les seves competències.
b) La millora de la protecció i la resiliència de les infraestructures tecnològiques, els sistemes d'informació i els serveis de les tecnologies de la informació i la comunicació.
L'Agència pot desenvolupar activitats per definir les mesures de ciberseguretat que han d'implementar les infraestructures tecnològiques, els sistemes d'informació, els serveis de les tecnologies de la informació i la comunicació de l'Administració de la Generalitat de Catalunya i el seu sector públic.
Així mateix, podrà donar suport en aquest àmbit a aquells col·lectius, ja siguin de caràcter públic o privat, amb què es relaciona la Generalitat de Catalunya en l'àmbit de les seves competències.
Addicionalment, l'Agència pot donar suport a la implantació de les mesures de ciberseguretat, garantint i verificant la correcta protecció de dites infraestructures, així com participar en els procediments de control, verificació i millora contínua dels models de protecció.
Els titulars d'aquestes infraestructures poden rebre també actualitzacions i notificacions de seguretat de l'Agència que puguin impactar en la seguretat de les seves infraestructures.
c) La creació d'una cultura de la ciberseguretat.
L'Agència ha d'executar activitats formatives, de sensibilització, conscienciació i de divulgació a fi de garantir que s'assoleix una autèntica cultura de ciberseguretat a Catalunya amb activitats adequades i continguts adients per a cada col·lectiu i que garanteixin el màxim impacte possible amb mesures eficients.
Així mateix, per tal de garantir aquesta adequació dels continguts, canals i activitats desenvolupades, l'Agència pot impulsar plans de comunicació, conscienciació i formació a Catalunya.
d) La definició d'un model de govern de la ciberseguretat a Catalunya.
L'Agència pot dur a terme activitats per tal de desenvolupar un marc de directrius a les quals es puguin adherir altres administracions públiques, definir models de governança operativa comuna i establir marcs de col·laboració i coordinació amb d'altres organismes nacionals i internacionals de ciberseguretat.
Així mateix, l'Agència pot mesurar el nivell de ciberseguretat a Catalunya, tot coordinant-se amb els diferents actors públics i privats.
e) El foment del sector de ciberseguretat català i la protecció del talent i la innovació.
L'Agència ha de fomentar, protegir i promocionar la creació de talent, principalment als centres educatius i professionals de Catalunya, en coordinació i col·laboració amb els departaments competents en la matèria.
Amb aquesta finalitat, pot subscriure acords i convenis amb els centres docents i universitaris catalans, públics i privats, i donar suport a la creació d'estudis especialitzats en la matèria, entre altres iniciatives.
Així mateix, sota la coordinació del departament competent en matèria de promoció empresarial, l'Agència ha de col·laborar en iniciatives que, estimulant la contractació de serveis i atraient inversió privada, permetin impulsar el sector empresarial català.
f) El suport al teixit empresarial per protegir l'activitat econòmica que empra les TIC.
L'Agència ha de dur a terme activitats específiques dedicades a garantir el correcte desenvolupament de la societat de la informació i la confiança en les transaccions electròniques, així com la protecció dels actius i dels actors del mercat, en el marc de les funcions previstes a l'article 4 d'aquests Estatuts.
5.2 L'Agència podrà dur a terme altres activitats i prestar els serveis necessaris per a la consecució dels objectius previstos a l'article 3 d'aquests Estatuts i per al desenvolupament de les seves funcions.
5.3 Les activitats relacionades amb les funcions i els objectius de l'Agència s'han de dur a terme segons les normes que les regulen específicament, mitjançant l'obtenció, si escau, dels permisos o llicències pertinents.
L'Agència, amb el compliment previ de les autoritzacions legalment establertes i observant el marc legal aplicable, pot prestar directament o mitjançant la participació en altres societats o empreses, qualsevol activitat comercial o industrial que estigui relacionada amb qualsevol de les funcions a què es refereix l'article 6, si ho acorden els seus òrgans de Govern.
6.1 L'Agència de Ciberseguretat de Catalunya exerceix les seves funcions a Catalunya i en execució de les competències de la Generalitat.
En particular, l'Agència podrà exercir les seves funcions en relació amb la Generalitat de Catalunya i el seu sector públic, i en l'àmbit dels particulars i d'altres administracions públiques que es relacionen amb la Generalitat per mitjans electrònics.
6.2 Les funcions de l'Agència de Ciberseguretat de Catalunya són les següents:
a) Prevenir i detectar incidents de ciberseguretat i respondre-hi, desplegant les mesures de protecció pertinents davant les ciberamenaces i els riscos inherents sobre les infraestructures tecnològiques, els sistemes d'informació, els serveis de les tecnologies de la informació i la comunicació, i la informació que aquests tracten.
b) Planificar, gestionar, coordinar i supervisar la ciberseguretat en l'àmbit de l'Administració de la Generalitat i el seu sector públic.
L'Agència ha d'exercir aquestes funcions per mitjà de la prestació dels seus serveis, coordinant les actuacions que requereixin el seu suport amb el Centre de Telecomunicacions i Tecnologies de la Informació i d'altres entitats amb qui disposi d'un model de relació.
c) Exercir les funcions d'equip de resposta a emergències (CERT) competent a Catalunya que estableix la legislació vigent, en particular, la normativa de serveis de la societat de la informació, incloent-hi la relació amb altres organismes de ciberseguretat nacionals i internacionals, i la coordinació dels equips de resposta a incidents de ciberseguretat (CSIRT) i equips de resposta a emergències o entitats equivalents que actuïn en llur àmbit territorial.
Així mateix, ha d'exercir aquestes funcions com a equip de resposta a emergències del Govern.
d) Minimitzar els danys i el temps de recuperació en cas de ciberatac.
e) Actuar com a suport, en matèria de ciberseguretat, de qualsevol autoritat competent per a l'exercici de les seves funcions públiques i, en particular, en les tasques de lluita contra les conductes il·lícites, incloent-hi la intervenció directa i l'obtenció de proves electròniques.
En la investigació i repressió d'il·lícits penals, l'Agència ha de col·laborar amb els cossos policials i les autoritats judicials d'acord amb el que estableix la normativa vigent, amb el requeriment previ, i actuar d'una manera coordinada, preservant i posant a llur disposició els elements rellevants per a la investigació i els que puguin constituir una prova.
f) Investigar i analitzar tecnològicament els ciberincidents i ciberatacs sobre infraestructures tecnològiques, sistemes d'informació, serveis de tecnologies de la informació i la comunicació en els quals l'Agència intervingui per raó de la seva competència.
g) Recollir les dades pertinents de les entitats que gestionen serveis públics o essencials a Catalunya per conèixer l'estat de la seguretat de la informació, informar-ne el Govern i proposar les mesures adequades duent a terme la gestió de riscos en matèria de ciberseguretat.
h) Donar suport als responsables de la continuïtat dels serveis i les infraestructures de les tecnologies de la informació i la comunicació de la Generalitat i de les altres administracions públiques que ho requereixin.
6.3 Són funcions de l'Agència de Ciberseguretat de Catalunya, en l'àmbit del Govern i de l'Administració de la Generalitat i el seu sector públic dependent, les següents:
a) Impulsar i aprovar un marc de directrius i normes tècniques de seguretat de compliment obligatori per a l'Administració de la Generalitat i per als organismes i entitats vinculats o dependents, per tal de garantir una protecció eficaç, en particular, davant el cibercrim i els ciberatacs.
En el marc de les directrius i les normes tècniques per a la protecció dels sistemes d'informació policials, l'Agència s'ha de coordinar amb el departament competent en matèria de policia i seguretat pública.
b) Emetre informe preceptiu en els procediments d'elaboració de disposicions normatives tramitades per l'Administració de la Generalitat en matèria de ciberseguretat i governança de les tecnologies de la informació i la comunicació.
c) Prestar els serveis materials i tècnics de ciberseguretat necessaris al Govern i a l'Administració de la Generalitat i als organismes i entitats vinculats o dependents.
d) Garantir la ciberseguretat en la prestació dels serveis d'identificació electrònica i d'identitat i confiança digitals per part dels prestadors establerts a Catalunya o que, altrament, ofereixin serveis a l'Administració de la Generalitat i als organismes i entitats vinculats o dependents.
Informació i protecció de dades
7.1 L'Agència de Ciberseguretat de Catalunya, en l'exercici de les seves funcions, queda subjecta a la normativa de protecció de dades de caràcter personal i a les disposicions que la despleguen.
7.2 Pel que fa al tractament de dades de caràcter personal, l'Agència de Ciberseguretat de Catalunya queda subjecta a l'àmbit d'actuació de l'Autoritat Catalana de Protecció de Dades, i hi col·laborarà per tal de permetre l'exercici de les funcions de l'Autoritat, d'acord amb la legislació vigent.
Relacions externes i col·laboració
8.1 L'Agència de Ciberseguretat de Catalunya, per al compliment dels seus objectius i l'exercici de les seves funcions, es relaciona amb altres entitats o òrgans amb funcions similars o equivalents tant en l'àmbit nacional com internacional.
Dita relació es pot efectuar, entre d'altres, de manera directa, mitjançant la signatura de convenis de col·laboració, a través de la participació en fòrums multilaterals o a través de la participació directa en associacions o d'altres entitats.
8.2 Les relacions externes amb les agències autonòmiques, estatals, europees i internacionals s'han de fonamentar en el principi de col·laboració i tenen com a finalitat millorar el funcionament de les entitats o els òrgans respectius amb funcions en matèria de ciberseguretat, d'acord amb la normativa vigent.
8.3 L'Agència de Ciberseguretat de Catalunya, en l'exercici de les seves funcions, ha de promoure la relació i la col·laboració amb la comunitat experta en matèria de ciberseguretat, tant catalana com de fora de Catalunya.
8.4 L'Agència de Ciberseguretat de Catalunya pot establir acords de coordinació, d'intercanvi d'experiències i de reconeixement mutu amb entitats privades o amb altres agències o organismes, tant autonòmics i estatals com internacionals, que tinguin atribuïdes competències o funcions similars a les de l'Agència o que puguin contribuir a l'exercici de les seves funcions.
Aquests acords se subjectaran a les normes i directrius internes que tingui establerta l'Agència en cada moment.
8.5 Per a l'exercici de les seves funcions en l'àmbit de l'Administració local a Catalunya, l'Agència de Ciberseguretat de Catalunya ha d'establir línies de col·laboració amb els ens locals de Catalunya, així com amb aquelles entitats del sector públic de la Generalitat que destinin serveis digitals als ens locals.
Aquesta col·laboració s'ha d'instrumentar mitjançant convenis interadministratius o instruments equivalents de col·laboració interadministrativa signats entre l'Agència i les administracions locals de Catalunya o els organismes públics i entitats de dret públic que s'hi vinculen o en depenen.
8.6 L'Agència de Ciberseguretat de Catalunya pot subscriure contractes i convenis, amb l'autorització prèvia del Govern quan correspongui, d'acord amb la normativa aplicable, amb entitats de fora de Catalunya en compliment dels seus objectius i funcions.
A aquest efecte, el contracte o el conveni ha d'establir el règim jurídic aplicable.
8.7 En l'exercici de les seves funcions, l'Agència de Ciberseguretat de Catalunya ha de col·laborar amb els organismes judicials i policials d'acord amb el que estableix la normativa vigent.
A aquest efecte podrà establir models de relació per determinar els detalls, aspectes i escenaris d'aquesta col·laboració.
8.8 En l'exercici de les seves funcions, l'Agència s'ha de coordinar amb els cossos policials i de seguretat pública, sens perjudici de les funcions pròpies del departament competent en matèria de seguretat pública.
En especial, l'Agència s'ha de coordinar amb els cossos policials per a la ciberseguretat i protecció dels sistemes d'informació policials, d'acord amb les competències que els dits cossos tenen reconegudes en aquesta matèria.
Els òrgans de govern de l'Agència de Ciberseguretat de Catalunya són:
10.1 El Consell d'Administració és l'òrgan superior de govern de l'Agència de Ciberseguretat de Catalunya.
10.2 El Consell d'Administració, que ha de tenir composició paritària, està integrat pels vuit membres següents:
a) La persona titular del departament competent en matèria de ciberseguretat i societat digital, que n'exercirà la Presidència.
b) La persona titular de la secretaria general del departament competent en matèria de ciberseguretat i societat digital, i la persona titular de la secretaria general del departament competent en matèria de seguretat pública, que n'exerciran les dues vicepresidències respectivament.
d) La persona titular de la direcció general o òrgan jeràrquicament superior del departament competent en matèria d'administracions locals, nomenada pel Govern a proposta del president o presidenta del Consell d'Administració.
e) La persona titular de la direcció general o òrgan jeràrquicament superior del departament competent en matèria de seguretat pública, nomenada pel Govern a proposta del president o presidenta del Consell d'Administració.
f) La persona titular de la direcció general o òrgan jeràrquicament superior del departament competent en matèria de tecnologies de la informació i la comunicació, nomenada pel Govern a proposta del president o presidenta del Consell d'Administració.
g) El director o directora de l'Agència de Ciberseguretat de Catalunya.
10.3 A aquests efectes, els membres del Consell d'Administració cessen en llur representació quan cessen en el càrrec que justifica la seva designació.
10.4 Podran assistir a les sessions del Consell d'Administració i participar en les seves deliberacions, amb veu però sense vot, totes aquelles persones que, a instància de qualsevol dels membres, siguin convocades per la Presidència.
10.5 El Consell d'Administració s'ha de reunir, de manera ordinària, un cop al trimestre, com a mínim.
Perquè es pugui reunir en sessió extraordinària cal la decisió del president o presidenta o l'acord d'una tercera part dels membres del Consell d'Administració.
10.6 Els membres del Consell d'Administració de l'Agència de Ciberseguretat de Catalunya no tenen dret a rebre cap indemnització, dieta o compensació per assistir a les reunions d'aquest òrgan.
11.1 Corresponen al Consell d'Administració les funcions següents:
a) Aprovar el pla estratègic de l'Agència de Ciberseguretat de Catalunya, per a la posterior ratificació pel departament d'adscripció.
b) Aprovar els reglaments interns de l'Agència, com a instrument per desenvolupar millor les seves funcions.
Aquesta normativa ha de respectar i desenvolupar els principis d'actuació i els valors que garanteixen la seguretat corporativa i el correcte funcionament de l'Agència de Ciberseguretat de Catalunya.
c) Aprovar el catàleg de serveis i la memòria anual de les activitats de l'Agència que, un cop aprovada, s'ha de lliurar al Govern i al Parlament i que el director o directora de l'Agència ha de presentar davant la comissió del Parlament competent en matèria de ciberseguretat o, si escau, davant la Comissió de Matèries Secretes i Reservades.
d) Aprovar el pla d'activitats anual que s'ha d'adjuntar a l'avantprojecte de pressupost de l'Agència.
e) Aprovar l'avantprojecte de pressupost de l'Agència, a proposta de la Direcció, i elevar-lo al departament competent en matèria de ciberseguretat o societat digital, perquè el tramiti, d'acord amb la normativa vigent.
f) Aprovar el pla d'inversions, que s'ha d'adjuntar a l'avantprojecte de pressupost de l'Agència.
g) Aprovar les bases d'execució del pressupost.
h) Aprovar el balanç, el compte de resultats, la memòria econòmica i la liquidació del pressupost, que s'ha de trametre al departament competent en matèria de ciberseguretat o societat digital, i conèixer l'auditoria anual de comptes.
i) Aprovar, a proposta del director o directora, la plantilla de personal o la relació de llocs de treball de l'Agència.
j) Aprovar l'inventari anual dels béns i drets de l'Agència, així com els acords d'adquisició, d'alienació i de gravamen dels béns immobles i mobles que passin a integrar el patrimoni de l'Agència, d'acord amb la normativa aplicable.
k) Proposar al departament competent en matèria de ciberseguretat o societat digital, quan escaigui, les operacions d'endeutament i la prestació d'avals, perquè s'elevin al Govern de la Generalitat perquè els aprovi, d'acord amb la normativa vigent, i autoritzar les operacions de crèdit i de tresoreria durant l'exercici.
l) Proposar al departament competent en matèria de ciberseguretat o societat digital, la creació, la modificació i la supressió de taxes i de preus públics, d'acord amb la normativa reguladora de les taxes i els preus públics de la Generalitat.
m) Aprovar el contracte programa que s'ha de formalitzar amb el departament competent en matèria de ciberseguretat o societat digital.
n) Aprovar les bases reguladores de les subvencions que, si és el cas, atorgui l'Agència, així com les seves convocatòries i resolucions.
o) Fixar la retribució i les funcions del director o directora quant a la gestió econòmica.
p) Autoritzar les despeses d'acord amb els llindars que estableixi el Consell d'Administració.
q) Adoptar la iniciativa de modificació dels Estatuts de l'Agència de Ciberseguretat de Catalunya.
r) Aprovar el codi ètic de l'Agència, així com designar els membres que formen part del Comitè d'Ètica.
s) Nomenar fins a sis persones expertes de reconegut prestigi acadèmic, científic o professional, amb experiència acreditada en matèria de ciberseguretat, com a membres de la Comissió Assessora.
t) Proposar a la Direcció de l'Agència la iniciació de procediments de contractació.
u) Determinar les àrees de serveis operatius i les respectives funcions.
v) Qualsevol altre funció que li atribueixin aquests Estatuts i la resta de normativa vigent.
11.2 El Consell d'Administració pot delegar en la Direcció les seves funcions, a excepció de les descrites a les lletres a), b), c), e), h), i), j), m), n), o), p), q), r), s), t) i u) de l'apartat anterior.
11.3 El president o presidenta del Consell d'Administració exerceix la representació institucional de l'Agència de Ciberseguretat de Catalunya, la qual pot ser delegada en la Direcció.
12.1 La persona que ocupi la Direcció de l'Agència de Ciberseguretat de Catalunya és designada lliurement pel Govern, una vegada escoltat el Consell d'Administració, que té les potestats corresponents per contractar-lo i separar-lo, si escau.
12.2 La persona que ocupi la Direcció de l'Agència de Ciberseguretat de Catalunya, entre el moment de la designació i el de la contractació efectiva, ha de comparèixer davant la comissió del Parlament de Catalunya competent en matèria de ciberseguretat.
12.3 Corresponen a la persona que ocupi la Direcció de l'Agència de Ciberseguretat de Catalunya les funcions següents:
a) Dirigir, organitzar i gestionar els serveis de l'Agència, d'acord amb les directrius del Consell d'Administració.
b) Executar i fer complir els acords del Consell d'Administració.
c) Aprovar circulars, instruccions i disposicions de funcionament ordinari en desenvolupament de la normativa aprovada pel Consell d'Administració.
d) Elaborar la proposta del contracte programa, del pla estratègic, del pla d'activitats anual i del catàleg de serveis de l'Agència, i presentar-los al Consell d'Administració, perquè els aprovi, si escau.
e) Crear, modificar i suprimir les comissions de caràcter consultiu, diferents de la Comissió Assessora, necessàries per avaluar i coordinar el compliment de les funcions de l'Agència.
f) Elaborar la proposta de plantilla de personal o la relació de llocs de treball.
g) Exercir les funcions de contractació, direcció, gestió i supervisió del personal que presti serveis a l'Agència.
h) Elaborar i elevar l'avantprojecte de pressupost anual i les seves modificacions (sens perjudici del que estableix l'article 22.4), a l'efecte que el Consell d'Administració l'examini i, si escau, l'aprovi; dirigir la gestió econòmica de l'Agència, autoritzar les despeses dins dels límits fixats pel Consell d'Administració i ordenar els pagaments, i la formulació dels comptes anuals.
i) Executar i fer complir el Pla d'inversions de l'Agència.
j) Administrar el patrimoni de l'Agència, d'acord amb les directrius fixades pel Consell d'Administració, i en el marc de les delegacions que en aquesta matèria li siguin efectuades, i vetllar per la conservació i el manteniment de les seves instal·lacions i del seu equipament.
k) Exercir les competències pròpies com a òrgan de contractació, d'acord amb els llindars establerts pel Consell d'Administració, d'acord amb el que preveu l'article 24 d'aquests Estatuts i la normativa de contractes del sector públic.
l) Subscriure convenis de col·laboració, i informar-ne al Consell d'Administració.
m) Exercir la representació legal de l'Agència de Ciberseguretat de Catalunya.
n) Exercir tota mena d'accions, recursos i reclamacions judicials i administratives en defensa dels drets i interessos de l'Agència, i donar-ne compte al Consell d'Administració en la primera reunió que es convoqui.
o) Informar al president o presidenta del Consell d'Administració i als presidents de les comissions de tot el que sigui necessari per tal d'assegurar la coordinació adequada i el funcionament de les activitats que efectuen, i per a l'exercici adequat de les funcions que tenen encomanades, així com formular les propostes que consideri adequades per al bon funcionament de l'Agència.
p) Vetllar per la millora i la qualitat dels procediments i els mètodes de treball i per a la introducció de les innovacions tecnològiques.
q)Exercir les funcions de cap de personal de l'Agencia i les funcions com a responsable de l'aplicació de la normativa interna de l'Agència i, en particular, de la transversalitat de la perspectiva de gènere en la direcció, organització i gestió dels seus serveis, mitjançant l'exercici, dins l'àmbit de les seves competències, de les funcions establertes a l'article 8.2 de la Llei 17/2015, del 21 de juliol, d'igualtat efectiva de dones i homes.
r) Resoldre els expedients de responsabilitat patrimonial, així com nomenar l'instructor o instructora del procediment.
s) Qualsevol altre funció que li sigui expressament encomanada o delegada pel Consell d'Administració, o que li atribueixin aquests Estatuts i la resta de normativa vigent, així com totes aquelles funcions que no estiguin atribuïdes expressament a altres òrgans de l'Agència.
13.1 El Consell d'Administració nomena, d'entre el personal al servei de l'Agència de Ciberseguretat de Catalunya, una persona que ocupi la Secretaria, a proposta del president o presidenta, la qual ha d'assistir a les reunions del Consell d'Administració, amb veu però sense vot.
13.2 La persona que ocupi la Secretaria del Consell d'Administració de l'Agència de Ciberseguretat de Catalunya pot, així mateix, desenvolupar les funcions pròpies d'aquest càrrec a les comissions de l'Agència que no hagin designat secretaris propis.
13.3 A la persona que ocupi la Secretaria li corresponen les funcions següents:
a) Fer la convocatòria de les sessions per ordre del president o presidenta.
c) Tenir cura que es practiquin els actes de comunicació necessaris.
d) Estendre els certificats pertinents.
f) Facilitar als membres dels òrgans dels quals formi part la informació necessària per a l'exercici de llurs funcions.
g) Vetllar per la legalitat formal i material de les actuacions de l'òrgan col·legiat i garantir que es respectin els procediments i les regles de constitució i adopció d'acords.
h) Complir les altres funcions pròpies dels secretaris dels òrgans col·legiats de l'Administració de la Generalitat.
La persona que ocupi la Secretaria de l'Agència ha de donar suport al director o directora en l'exercici de les seves funcions i coordinar les tasques de secretaria que, si és el cas, desenvolupin els secretaris de les diferents comissions.
14.1 La Comissió Assessora és l'òrgan consultiu que col·labora amb els òrgans de govern de l'Agència de Ciberseguretat de Catalunya en l'assessorament de les estratègies, en la definició i el millorament dels procediments i en l'elaboració de propostes d'actuació, amb la finalitat de garantir la qualitat, eficàcia i deguda actualització de les activitats de l'Agència, d'acord amb referents internacionals.
14.2 La Comissió Assessora està constituïda pels membres següents:
a) El director o directora de l'Agència de Ciberseguretat de Catalunya, que n'ocupa la Presidència.
b) Un directiu o directiva de l'Agència de Ciberseguretat de Catalunya designat per la Direcció.
c) Fins a sis persones expertes de reconegut prestigi acadèmic, científic o professional, amb experiència acreditada en matèria de ciberseguretat, nomenades pel Consell d'Administració, a proposta del director o directora de l'Agència.
14.3 El president o presidenta de la Comissió Assessora ha d'informar anualment al Consell d'Administració del desenvolupament de les seves activitats.
14.4 Els membres de la Comissió Assessora previstos a la lletra c) de l'apartat 2 són nomenats per un període de quatre anys, renovable una sola vegada, i sempre que mantinguin les condicions per les quals van ser nomenats.
Una vegada finalitzat llur mandat, han de continuar en el càrrec en funcions fins que no en prenguin possessió llurs successors.
Les comissions d'avaluació i coordinació del compliment de les funcions de l'Agència de Ciberseguretat de Catalunya
15.1 Correspon al director o directora de l'Agència de Ciberseguretat de Catalunya, la creació, modificació i supressió d'altres comissions, diferents a la Comissió Assessora, específicament creades amb caràcter consultiu per avaluar i coordinar el compliment de les funcions de l'Agència de Ciberseguretat de Catalunya.
15.2 Les comissions han de ser presidides i integrades per persones de reconegut prestigi acadèmic, científic o professional.
Els membres i els presidents d'aquestes comissions són nomenats pel director o directora de l'Agència de Ciberseguretat de Catalunya.
15.3 Els presidents de les comissions han d'informar anualment al director o directora de l'Agència de Ciberseguretat de Catalunya del desenvolupament de les seves activitats, així com dels acords adoptats.
15.4 Els presidents i els membres de les comissions creades pel director o directora són nomenats per un període de quatre anys, renovable una sola vegada.
Una vegada finalitzat llur mandat, han de continuar en el càrrec en funcions fins que no prenguin possessió llurs successors.
Règim de funcionament dels òrgans col·legiats
Convocatòria i celebració de les reunions
16.1 Els òrgans col·legiats de l'Agència de Ciberseguretat de Catalunya, ja siguin de govern o consultius, poden celebrar les seves reunions i adoptar el seus acords presencialment, a distància o de manera mixta.
Es consideren inclosos entre els mitjans electrònics vàlids per a la gestió de les reunions el correu electrònic, el vot electrònic, les audioconferències i les videoconferències, entre d'altres.
En tots els casos aquests mitjans hauran de comptar amb els elements d'identificació i seguretat necessaris per autoritzar-ne la validesa i la confidencialitat, garantint en tot cas el dret d'informació i de vot.
16.2 La convocatòria de les reunions dels òrgans col·legiats s'ha de notificar als seus membres amb una antelació mínima de 48 hores, llevat del cas d'urgència apreciada pel president o presidenta, la qual cosa s'ha de fer constar a la convocatòria.
La convocatòria de la sessió s'ha de fer preferentment per mitjans electrònics, s'hi ha de fer constar l'ordre del dia, les condicions en què se celebrarà la reunió i el sistema de connexió, i ha d'anar acompanyada de la documentació necessària per a la deliberació i l'adopció d'acords, sens perjudici que aquesta documentació estigui disponible en un lloc web o sistema similar, del qual s'ha de garantir l'accessibilitat i la seguretat.
16.3 Per tal que els òrgans col·legiats es considerin vàlidament constituïts en primera convocatòria, cal la presència de les persones que ocupin la Presidència i la Secretaria, i la de la meitat, com a mínim, dels seus membres.
En segona convocatòria, el quòrum s'assoleix amb la presència de les persones que ocupin la Presidència i la Secretaria i de la tercera part dels seus membres, amb un mínim de tres.
16.4 En cas d'urgència, la convocatòria s'ha de fer, almenys, amb 24 hores d'antelació, mitjançant qualsevol procediment amb el qual pugui quedar constància de la recepció.
L'òrgan col·legiat ha d'apreciar per unanimitat dels membres presents l'existència de la urgència, un cop considerat l'ordre del dia.
Si es considera que no n'hi ha, s'ha de convocar la reunió d'acord amb el que preveu l'apartat 2.
16.5 En les reunions a distància s'ha de poder assegurar la disponibilitat dels mitjans electrònics durant la reunió, la identitat dels membres assistents, el contingut i el temps en què es produeixen les seves manifestacions, així com la interactivitat i la intercomunicació entre ells en temps real o bé amb intervencions successives en un fòrum virtual dins dels límits temporals marcats pel president o presidenta.
S'entén que les reunions a distància tenen lloc a la seu de l'Agència de Ciberseguretat de Catalunya.
16.6 Malgrat que no s'hagin complert els requisits de la convocatòria, el Consell d'Administració resta vàlidament constituït quan estan presents, o representats, tots els seus membres i ho acorden per unanimitat.
16.7 En cas de vacant, absència o malaltia, la persona que ocupa la Presidència pot ser substituïda per la persona que ocupa la Vicepresidència o, en cas que no sigui possible, pel membre de l'òrgan en qui delegui el president o presidenta.
La persona que ocupa la Secretaria serà substituïda per la persona que designi la Presidència.
16.8 L'assistència als òrgans col·legiats es personal, si bé pot ser delegada en el president o presidenta o en un altre membre de l'òrgan, la qual cosa haurà de ser comunicada per escrit a la Presidència.
17.1 Amb caràcter general, els acords dels òrgans col·legiats de l'Agència de Ciberseguretat de Catalunya s'adopten per majoria simple de vots.
En cas d'empat dirimeix els resultats de les votacions el vot de la persona que ocupi la Presidència.
17.2 No obstant el que preveu l'apartat anterior, per als acords relatius a la modificació dels Estatuts és necessari el vot favorable de dos terços del nombre legal de membres del Consell d'Administració.
17.3 S'ha d'aixecar acta de cada reunió, la qual ha de reflectir el lloc de la reunió, el dia, el mes, l'any i l'hora de començament, els assistents, la descripció succinta de les qüestions debatudes, les incidències, les conclusions, els acords adoptats i l'hora d'aixecament de la sessió.
17.4 Els membres de l'òrgan col·legiat que fan constar en acta el seu vot contrari o la seva abstenció en relació amb un acord adoptat, resten exempts de la responsabilitat que se'n pugui derivar, i poden formular un vot particular per escrit en el termini de 72 hores, el qual s'ha d'incorporar al text de l'acord.
17.5 Les actes s'han d'aprovar en la mateixa sessió o en la següent immediata.
El secretari o secretària ha d'elaborar les actes amb el vistiplau de la persona que ocupi la Presidència i les ha de remetre per mitjans electrònics als membres de l'òrgan de govern, els quals poden manifestar pels mateixos mitjans la seva conformitat o les objeccions al text.
En cas que en el termini de deu dies des de la recepció de l'acta cap dels membres de l'òrgan col·legiat presenti objeccions, es considerarà que l'acta ha estat aprovada en la mateixa reunió.
En aquests casos, l'ordre del dia de la següent reunió de l'òrgan col·legiat haurà d'incloure un punt relatiu a la ratificació de l'aprovació de l'acta de la reunió anterior.
Un cop aprovades, les actes han de ser signades pel secretari o secretària i autoritzades amb el vistiplau del president o presidenta.
Cal garantir que els membres puguin accedir a les actes en format electrònic per consultar-hi el contingut dels acords adoptats.
S'acceptaran els mitjans esmentats per a la gestió de les reunions per mitjans electrònics en l'article anterior.
17.6 En tot el que no estableixin la Llei 15/2017, del 25 de juliol, de l'Agència de Ciberseguretat de Catalunya, aquests Estatuts i els reglaments de funcionament intern respectius, els òrgans col·legiats de l'Agència de Ciberseguretat de Catalunya han d'ajustar el seu funcionament al que estableix el règim jurídic dels òrgans col·legiats de la Generalitat.
Règim econòmic i financer, de contractació, de personal, de control i contracte programa
L'Agència de Ciberseguretat de Catalunya gaudeix de l'autonomia financera que estableix la normativa de les finances de la Generalitat.
19.1 Els recursos de l'Agència de Ciberseguretat de Catalunya són integrats per:
a) El rendiment dels béns que li siguin adscrits i dels béns i els valors propis que adquireixi en exercici de les seves funcions.
b) Els ingressos obtinguts per l'acompliment d'activitats i la prestació de serveis en l'exercici de les competències i funcions que estableix la Llei 15/2017, del 25 de juliol, de l'Agència de Ciberseguretat de Catalunya i el seu desplegament reglamentari en matèria de ciberseguretat.
c) Les transferències que, si escau, faci el departament al qual està adscrita l'Agència amb càrrec als pressupostos de la Generalitat, així com les assignacions pressupostàries d'altres departaments o entitats del sector públic de la Generalitat relacionats amb les funcions pròpies de l'Agència.
d) Les subvencions, les aportacions voluntàries o les donacions d'entitats públiques i privades o de particulars.
e) Els ingressos obtinguts per operacions de crèdit i de préstec, d'acord amb la normativa vigent.
f) Qualsevol altre que li pertoqui d'acord amb les lleis que siguin aplicables.
19.2 L'obtenció i gestió d'aquests recursos econòmics es regirà per la seva normativa específica i s'hauran d'observar els principis de publicitat, concurrència, transparència, confidencialitat, igualtat i no discriminació quan sigui procedent, d'acord amb el pla d'activitats i el pla d'inversions, així com el pressupost, aprovats o segons es determini en el contracte programa de l'Agència.
19.3 L'Agència també pot subscriure operacions de crèdit, de préstec i qualsevol altre tipus d'endeutament o emprèstit, d'acord amb el que estableix la legislació vigent, el pla d'activitats, el pla d'inversions, així com el pressupost, aprovats o segons es determini en el contracte programa de l'Agència.
19.4 El tractament dels resultats d'explotació obtinguts per l'Agència és acordat pel Consell d'Administració de conformitat amb les lleis de pressupostos de la Generalitat i els contractes programa que hagi subscrit l'entitat.
20.1 Constitueixen el patrimoni de l'Agència de Ciberseguretat de Catalunya els béns i drets que li són adscrits o cedits i els béns i drets propis de qualsevol naturalesa que adquireixi per qualsevol títol.
Aquests béns poden ser demanials o patrimonials, d'acord amb el que estableix la normativa patrimonial vigent.
20.2 El règim patrimonial de l'Agència de Ciberseguretat de Catalunya està subjecte a l'Estatut de l'empresa pública catalana i, supletòriament, a la normativa del patrimoni de l'Administració de la Generalitat.
20.3 Els béns i drets adscrits a l'Agència de Ciberseguretat de Catalunya conserven la qualificació jurídica originària, sense que l'adscripció impliqui la transmissió del domini ni la seva desafectació.
Els béns i els drets que se li adscriguin han de revertir en les condicions que es pactin en el moment de l'adscripció, d'acord amb la normativa patrimonial vigent.
20.4 L'Agència de Ciberseguretat de Catalunya ha d'elaborar i mantenir actualitzat l'inventari dels seus béns i drets.
L'inventari s'ha de fer anualment amb referència al 31 de desembre i s'ha de sotmetre a l'aprovació del Consell d'Administració.
Procediment d'adscripció a l'Agència de béns de l'Administració de la Generalitat i de les entitats del seu sector
21.1 L'adscripció a l'Agència de Ciberseguretat de Catalunya dels béns de l'Administració de la Generalitat afectes a les funcions que exerceix l'Agència, s'iniciarà mitjançant una sol·licitud de la Direcció, d'acord amb la normativa patrimonial vigent.
21.2 En el cas de les entitats del seu sector públic, se seguirà el procediment establert per la normativa patrimonial vigent per a l'adscripció dels béns assignats als departaments de la Generalitat de Catalunya i, en tot cas, s'iniciarà mitjançant una sol·licitud de la Direcció a l'òrgan de direcció de l'entitat del sector públic.
Pressupost, comptabilitat i control financer
22.1 El pressupost de l'Agència de Ciberseguretat de Catalunya és anual i únic, i s'ha de subjectar al règim pressupostari que estableix la normativa reguladora de les entitats que formen part del sector públic de la Generalitat de Catalunya, la normativa reguladora de les seves finances públiques i les successives lleis de pressupostos, i de manera coherent amb el contracte programa que estigui en vigor.
22.2 L'Agència de Ciberseguretat de Catalunya ha d'elaborar anualment un pressupost d'explotació i de capital.
L'elaboració, execució i liquidació del pressupost s'ha d'ajustar a la normativa pressupostària i d'estabilitat vigent de la Generalitat de Catalunya i a les instruccions establertes pel departament de la Generalitat de Catalunya competent en finances públiques.
22.3 L'Agència de Ciberseguretat de Catalunya ha d'ordenar la seva comptabilitat de conformitat amb el règim que estableix la normativa de les finances públiques de la Generalitat de Catalunya.
Així mateix, el règim comptable aplicable s'ha de sotmetre a les instruccions i la normativa de desplegament que dicti la Intervenció de la Generalitat, d'acord amb la normativa de finances públiques de la Generalitat de Catalunya.
22.4 Les bases d'execució del pressupost han de contenir l'adaptació de les disposicions generals en aquesta matèria a l'organització i les circumstàncies de l'Agència de Ciberseguretat de Catalunya, així com les previsions que estimi oportunes per a la millor realització de la despesa i recaptació dels ingressos.
Règim jurídic de la contractació
El règim jurídic de la contractació de l'Agència de Ciberseguretat de Catalunya s'ajusta a la normativa en matèria de contractes del sector públic.
24.1 L'òrgan de contractació de l'Agència de Ciberseguretat de Catalunya és la Direcció.
24.2 Sens perjudici de les facultats que corresponen a la Direcció de l'Agència, el Consell d'Administració podrà proposar-li la iniciació de procediments de contractació.
24.3 L'òrgan de contractació ha d'integrar clàusules socials, ambientals i d'innovació en els procediments de contractació amb la finalitat de fer un ús estratègic de la contractació pública, així com integrar la visió de gènere en tots els estadis del procés de contractació amb la finalitat d'utilitzar la contractació pública per promoure la igualtat de les dones i els homes.
Règim de personal i estructura organitzativa
Personal de l'Agència de Ciberseguretat de Catalunya
25.1 El personal de l'Agència està format per:
a) El personal propi, contractat en règim de dret laboral.
La selecció d'aquest personal s'haurà d'ajustar als principis d'igualtat, mèrit, capacitat i publicitat.
b) El personal de l'Administració de la Generalitat adscrit a l'Agència per a l'exercici de les potestats administratives corresponents, d'acord amb la normativa vigent.
25.2 L'Agència s'ha de dotar del personal necessari per al compliment del seu objecte i finalitats.
El seu nombre, classificació professional i funció s'ha de determinar en la plantilla o altres instruments de gestió i planificació.
25.3 L'Agència promourà mesures per garantir la igualtat efectiva entre homes i dones en compliment de la normativa sobre igualtat de tracte i oportunitats entre dones i homes, i vetllarà especialment perquè les dones no estiguin infrarepresentades en l'ocupació de llocs de treball relatius a les TIC.
Règim aplicable al personal de l'Agència de Ciberseguretat de Catalunya
26.1 El personal de l'Agència de Ciberseguretat de Catalunya es regeix pel dret laboral, sens perjudici de l'adscripció de personal funcionari per a l'exercici de potestats administratives.
En l'exercici de les potestats administratives que corresponguin a les funcions d'inspecció i control que compleixi l'Agència, el personal funcionari té la consideració d'autoritat pública, en particular, respecte a les funcions que estableixen les lletres e) i f) de l'article 2.4 de la Llei 15/2017, del 25 de juliol, de l'Agència de Ciberseguretat de Catalunya.
26.2 El personal de l'Agència de Ciberseguretat de Catalunya està sotmès a la normativa del personal laboral de la Generalitat.
Les condicions retributives del personal de l'Agència són les establertes en el conveni col·lectiu aplicable i en els respectius contractes de treball.
La massa salarial s'ha de sotmetre a les limitacions i principis que estableixin la normativa bàsica en matèria de personal, la legislació pressupostària de la Generalitat i al que disposi el contracte programa de l'Agència.
26.3 La contractació del director o directora de l'Agència ha de regir-se per la normativa de règim laboral vigent i, en concret, pel règim laboral d'alta direcció.
27.1 De la Direcció en depenen les àrees següents:
a) L'Àrea de Serveis Corporatius
b) Les àrees de serveis operatius
27.2 L'Àrea de Serveis Corporatius té les funcions següents:
a) Gestionar l'activitat administrativa i corporativa de l'entitat, incloent-hi la comunicació pública.
b) Elaborar, fer el seguiment i avaluar els plans en matèria d'organització i dimensionament de recursos de l'entitat, així com gestionar els elements bàsics del personal.
c) Dur a terme el control financer, comptable i d'aprovisionament i la contractació de l'entitat.
d) Altres funcions de naturalesa anàloga i, en general, totes aquelles que estiguin relacionades amb els elements corporatius de l'entitat.
27.3 Les àrees de serveis operatius tenen les funcions següents:
a) Establir els models de govern dels serveis que es prestin en l'àmbit de les competències de l'entitat.
b) Executar la prestació de les actuacions i els serveis operatius que dugui a terme l'entitat per acomplir les seves finalitats.
c) Altres funcions de naturalesa anàloga.
27.4 Correspon al Consell d'Administració determinar les àrees de serveis operatius i les seves respectives funcions.
28.1 L'Agència de Ciberseguretat de Catalunya resta sotmesa al control financer mitjançant auditories, d'acord amb el que disposa la normativa aplicable a les entitats que integren el sector públic de la Generalitat de Catalunya.
28.2 L'Agència de Ciberseguretat de Catalunya ha d'elaborar una memòria anual de les seves activitats, que, un cop aprovada pel Consell d'Administració, ha de lliurar al Govern i al Parlament i que el director o directora de l'Agència ha de presentar davant la comissió del Parlament competent en matèria de ciberseguretat o, si escau, davant la Comissió de Matèries Secretes i Reservades.
29.1 Els actes dictats pel Consell d'Administració i per la Direcció de l'Agència de Ciberseguretat de Catalunya no exhaureixen la via administrativa i poden ser objecte de recurs d'alçada davant la persona titular del departament d'adscripció.
29.2 Les reclamacions de responsabilitat patrimonial s'han d'adreçar al director o directora de l'Agència, que és l'òrgan competent per nomenar l'instructor o instructora, així com per a la seva resolució.
30.1 L'Agència de Ciberseguretat de Catalunya i l'Administració de la Generalitat han de subscriure un contracte programa, per mitjà del qual s'articulen les relacions de l'Agència de Ciberseguretat de Catalunya amb el Govern, mitjançant el departament competent en matèria de ciberseguretat, d'acord amb l'article 11 de la Llei 15/2017, del 25 de juliol, de l'Agència de Ciberseguretat de Catalunya.
30.2 El contracte programa té una durada màxima de quatre anys, sens perjudici que les parts puguin instar-ne la modificació, la resolució o pròrroga, si escau.
30.3 El contracte programa queda sotmès a la legislació sobre finances públiques de Catalunya i ha d'incorporar, com a mínim i pel període de vigència, els elements següents:
a) Els objectius estratègics i operatius i els resultats que ha d'assolir l'entitat.
c) La previsió dels resultats en la gestió i els instruments de seguiment, control i avaluació a què s'ha de sotmetre l'activitat de l'Agència durant la vigència del contracte.
d) L'escenari pressupostari complert i detallat, les previsions d'aportacions anuals (amb el detall de la programació per anys) que cal incloure en els pressupostos de la Generalitat, el pla d'inversions i els mecanismes de vinculació d'aquestes aportacions al compliment dels objectius i els resultats.
e) Els mecanismes de seguiment anual entre l'Agència de Ciberseguretat de Catalunya i el departament competent en matèria de ciberseguretat.
f) Els indicadors i els criteris per avaluar l'assoliment dels objectius i els resultats establerts.
g) Les funcions i la composició de la Comissió de Seguiment i Coordinació del contracte programa
h) La política de gestió dels recursos humans de l'Agència necessaris per a l'assoliment dels objectius establerts en el contracte, sens perjudici de la competència dels òrgans de govern de l'Agència per determinar les línies generals de gestió dels seus recursos humans.
30.4 En cas que el pressupost de la Generalitat d'un exercici estableixi unes aportacions recurrents diferents a les previstes al contracte programa vigent, caldrà tramitar-ne la modificació per tal d'ajustar-lo a la previsió pressupostària.
30.5 El director o directora de l'Agència de Ciberseguretat de Catalunya elabora la proposta de contracte programa que ha de ser aprovat pel Consell d'Administració i s'ha d'elevar al departament competent en matèria de ciberseguretat perquè el tramiti i, si escau, el subscrigui amb l'aprovació prèvia del Govern de la Generalitat.
30.6 El contracte programa s'ha de publicar pels mitjans establerts a la normativa de transparència i bon govern, sens perjudici d'aquells elements que per motius justificats siguin confidencials.
31.1 L'Agència de Ciberseguretat de Catalunya ha de comptar amb un codi ètic, aprovat pel Consell d'Administració, en el qual quedin reflectits els compromisos de l'entitat envers la societat, els treballadors i les bones pràctiques empresarials.
31.2 L'aprovació del Codi ètic de l'Agència ha d'anar acompanyada de la constitució del Comitè d'Ètica, del procediment d'actuació d'aquest Comitè, així com d'un programa d'accions de sensibilització i formació als diferents col·lectius de la plantilla de l'Agència.
31.3 El Codi Ètic de l'Agència és de compliment obligat per a tots els membres dels òrgans de govern de l'entitat i els seus treballadors.
L'Agència de Ciberseguretat de Catalunya resta subjecta a les normes de transparència aplicables a les entitats integrants del sector públic de la Generalitat.
Inventari de béns i actius de l'Administració de la Generalitat i de les entitats del seu sector públic afectes a les funcions que exerceix l'Agència i que s'adscriuen a l'entitat
D'acord amb el que estableix la Llei 15/2017, del 25 de juliol, de l'Agència de Ciberseguretat de Catalunya i el Decret d'aprovació dels seus Estatuts, es detallen els actius identificats de l'Administració de la Generalitat i el seu sector públic que s'adscriuen a l'entitat.
Així mateix, es descriu el procediment d'identificació i adscripció d'actius que no es detallen en el present annex amb les entitats dels sector públic de la Generalitat de Catalunya.
Aquesta llista no inclou béns a adscriure de l'Administració de la Generalitat sinó que només determina els actius identificats del sector públic.
Maquinari de suport a la ciberseguretat (cabines EVA, servidors, etc.)
Procediment d'adscripció d'actius de ciberseguretat de les entitats del sector públic de la Generalitat de Catalunya
Per tal de donar compliment al que estableix la disposició addicional primera de la Llei 15/2017, del 25 de juliol, de l'Agència de Ciberseguretat de Catalunya, es descriu en aquest annex el procediment pel qual es farà efectiva l'adscripció dels actius tecnològics de les entitats del sector públic de la Generalitat de Catalunya afectes a les funcions de l'Agència de Ciberseguretat de Catalunya i, si s'escau, els drets o crèdits que hi estiguin vinculats.
Així mateix, aquest procediment que es regeix en tot cas pel que preveu l'Estatut de l'Empresa Pública Catalana, aprovat per Decret Legislatiu 2/2002, de 24 de desembre, així com a la legislació patrimonial, també s'aplicarà als actius no descrits en aquest annex que es puguin identificar amb posterioritat i que compleixin els requisits establerts en la Llei esmentada.
Per tal de procedir a l'adscripció dels actius afectats caldrà dur a terme les actuacions següents:
–Identificació dels actius, incloent-hi el detall i la valoració econòmica.
–Establiment d'un grup de treball per acordar les condicions de l'adscripció.
–Justificació de l'ús i les finalitats que condicionen l'adscripció.
–Negociació i acord de les condicions de l'adscripció i la gestió dels actius.
El procediment s'iniciarà amb la identificació dels actius del sector públic de la Generalitat de Catalunya subjectes al que estableix la disposició addicional primera de la Llei 15/2017, del 25 de juliol.
En aquest annex es fa una descripció d'actius ja identificats.
Un cop identificat l'actiu o els actius, ambdues parts establiran un grup de treball per fer una relació de les característiques de l'actiu i fixar les accions posteriors per executar la seva adscripció i la seva gestió per l'Agència de Ciberseguretat de Catalunya.
En qualsevol cas, les persones designades disposaran de la capacitat, dins les entitats respectives, per gestionar i negociar les condicions a assolir en l'acord d'adscripció.
El grup de treball es reunirà per determinar les condicions efectives de l'adscripció i el model de gestió de l'actiu, d'acord amb les polítiques i els models de govern de l'Agència de Ciberseguretat de Catalunya.
Aquestes condicions inclouran necessàriament la valoració econòmica de l'acord d'adscripció i el seu abast.
Aquest haurà de ser assolit en el termini màxim de tres mesos des de la identificació de l'actiu o actius.
L'acord d'adscripció ha d'indicar l'obligatorietat d'utilitzar-los exclusivament per al compliment dels fins que determina l'adscripció, d'una manera directa.
En el cas que el bé adscrit no es dediqui al compliment de les finalitats previstes, s'ha d'incorporar al patrimoni de la Generalitat, o, si s'escau, de l'ens que sigui titular, amb la taxació prèvia del seu valor pericial, i, d'acord amb la normativa patrimonial, es podran exigir els detriments avaluats.
Un cop establertes les condicions, aquestes s'aprovaran pels òrgans de govern de les corresponents entitats i es procedirà a l'execució efectiva de l'adscripció mitjançant l'acta de lliurament i acceptació, sens perjudici del que estableix l'article 21 dels Estatuts de l'Agència de Ciberseguretat de Catalunya.
Llista de drets i obligacions de contingut econòmic de l'Administració de la Generalitat i de les entitats del seu sector públic afectes a les funcions que exerceix l'Agència a què se subroga l'entitat
D'acord amb el que estableix la Llei 15/2017, del 25 de juliol, de l'Agència de Ciberseguretat de Catalunya i el Decret d'aprovació dels seus estatuts, es detallen els drets i obligacions de contingut econòmic actius identificats de l'Administració de la Generalitat i el seu sector públic a què es subroga l'entitat.
Així mateix, es descriu el procediment d'identificació i traspàs de drets i obligacions de contingut econòmic que no es detallen en el present annex amb les entitats del sector públic de la Generalitat de Catalunya.
Serveis de gestió de la seguretat al nus
Procediment de subrogació de drets i obligacions de ciberseguretat de les entitats del sector públic de la Generalitat de Catalunya
Per tal de donar compliment al que estableix la disposició addicional primera de la Llei 15/2017, del 25 de juliol, es descriu en aquest annex el procediment pel qual es farà efectiva la subrogació dels drets i obligacions de contingut econòmic de les entitats del sector públic de la Generalitat de Catalunya adscrits a les funcions de l'Agència de Ciberseguretat de Catalunya i, si s'escau, els drets o crèdits que hi estan vinculats.
Així mateix, aquest procediment també s'aplicarà als elements no descrits en aquest annex que es puguin identificar amb posterioritat i que compleixin els requisits establerts a la Llei esmentada.
Per tal de procedir a la subrogació dels drets i obligacions afectats caldrà dur a terme les actuacions següents:
–Identificació dels drets i obligacions, incloent-hi el detall i la valoració econòmica.
–Establiment d'un grup de treball per acordar les condicions de la subrogació.
–Negociació i acord de les condicions de subrogació i gestió dels actius.
Identificació dels drets i obligacions
El procediment s'iniciarà amb la identificació dels drets i obligacions del sector públic de la Generalitat de Catalunya subjectes al que estableix la disposició addicional primera de la Llei 15/2017, del 25 de juliol.
En aquest annex es fa una descripció de drets i obligacions ja identificats.
Un cop identificat l'actiu o els actius, ambdues parts establiran un grup de treball per fer una relació de les característiques dels drets i obligacions i fixar les accions posteriors per executar la seva subrogació i/o la seva gestió a l'Agència de Ciberseguretat de Catalunya.
En qualsevol cas, les persones designades disposaran de les capacitats, dins les entitats respectives, per gestionar i negociar les condicions a assolir en aquest acord.
El grup de treball es reunirà per determinar les condicions efectives de la subrogació o el model de gestió de l'actiu, d'acord amb les polítiques i els models de govern de l'Agència de Ciberseguretat de Catalunya.
Aquestes condicions inclouran necessàriament la valoració econòmica de l'acord i el seu abast.
Aquest acord es documentarà per escrit (per exemple, mitjançant les actes de les reunions del grup de treball) i haurà de ser assolit en el termini màxim de tres mesos des de la identificació dels elements corresponents.
Un cop establertes les condicions, aquestes s'aprovaran pels òrgans de govern de les corresponents entitats, tant cedent com cessionària, i es procedirà a l'execució efectiva de la subrogació sobre els elements corresponents.