ORDEN DE 30 DE SEPTIEMBRE DE 2021, POR LA QUE SE MODIFICA LA ORDEN DE 16 DE DICIEMBRE DE 2019, POR LA QUE SE ESTABLECE LA POLÍTICA DE SEGURIDAD DE LAS TECNOLOGÍAS DE LA INFORMACIÓN Y COMUNICACIONES EN EL ÁMBITO DE LA CONSEJERÍA.
El Decreto 1/2011, de 11 de enero 
, por el que se establece la política de seguridad de las tecnologías de la información y comunicaciones en el ámbito de la Junta de Andalucía, tiene por objeto definir y regular la política de seguridad de las tecnologías de la información y comunicaciones (en adelante TIC) de la Administración de la Junta de Andalucía, conformando, junto a las disposiciones y documentos técnicos que la desarrollen, el marco regulador de seguridad TIC.
El artículo 10.1 del citado decreto dispone que cada Consejería y entidad incluida en su ámbito de aplicación deberá disponer de un Comité de Seguridad TIC, que no tendrá carácter colegiado y que actuará como órgano de dirección y seguimiento en materia de seguridad de los activos de su titularidad o cuya gestión tenga encomendada.
En cumplimento de lo anterior, se aprobó la Orden de 16 de diciembre de 2019, por la que se establece la política de seguridad de las tecnologías de la información y comunicaciones en el ámbito de la Consejería de Turismo, Regeneración, Justicia y Administración Local, procediendo, entre otros aspectos, a la creación de un Comité de Seguridad TIC.
Por otro lado, el Decreto 171/2020, de 13 de octubre , por el que se establece la Política de Seguridad Interior en la Administración de la Junta de Andalucía, tiene por objeto el establecer una política de seguridad interior en la Administración de la Junta de Andalucía que defina un completo sistema para la prevención y reacción ante daños intencionadamente provocados por agentes externos, personal propio o personas usuarias, contra sus propias personas usuarias, su personal, sus activos y la continuidad de su funcionamiento y servicios.
En este decreto, y sobre la base de los principios de simplificación, economía, eficacia y eficiencia administrativa, se ha optado por evitar la creación ex novo de un Comité para la seguridad Interior en cada Consejería o entidad, incluyendo las que hubiesen sido sus funciones y tareas en los Comités de Seguridad TIC previamente creados de esta forma, el artículo 9 del precitado decreto establece que las normas de creación de los Comités de Seguridad TIC de las Consejerías modificarán su denominación, añadiendo su definición como órganos de dirección y seguimiento en materia de seguridad interior y actualizando, en caso de ser necesario, la composición y régimen de los mismos, describiendo las nuevas funciones a incorporar.
Para cumplir este mandato normativo se hace necesario modificar la Orden de 16 de diciembre de 2019, procediendo a modificar la denominación, composición y funciones del Comité de Seguridad TIC, en el marco de la política de seguridad interior de la Administración de la Junta de Andalucía.
En la elaboración de la orden se ha tenido en cuenta la integración transversal del principio de igualdad de género, de acuerdo con lo establecido en el artículo 5 de la Ley 12/2007, de 26 de noviembre, para la promoción de la igualdad de género en Andalucía.
Igualmente, para la aprobación de la presente orden se ha actuado conforme a los principios de buena regulación a los que se refiere el artículo 129.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y el artículo 7 del Decreto 622/2019, de 27 de diciembre, de administración electrónica, simplificación de procedimientos y racionalización organizativa de la Junta de Andalucía. Así, en cumplimiento del principio de necesidad responde al mandato de una norma superior, siendo además coherente con el resto del ordenamiento jurídico e integrada en el mismo. Es eficaz y proporcional ya que evita la duplicidad de órganos y, asimismo, es eficiente y su aplicación no impone cargas administrativas innecesarias o accesorias. Por otro lado, al tratarse de una norma organizativa que no afecta directamente a los derechos e intereses legítimos de la ciudadanía, se ha prescindido de los trámites de consulta, audiencia e información públicas previstos en el artículo 133 de la Ley 39/2015, de 1 de octubre.
A la vista de lo anterior y en virtud de las atribuciones conferidas por los artículos 44.2 de la Ley 6/2006, de 24 de octubre, del Gobierno de la Comunidad Autónoma de Andalucía, y 26.2.a) de la Ley 9/2007, de 22 de octubre , de la Administración de la Junta de Andalucía, en relación con el Decreto 98/2019, de 12 de febrero , por el que se establece la estructura orgánica de la Consejería de Turismo, Regeneración, Justicia y Administración Local,
DISPONGO
Artículo único. Modificación de la Orden de 16 de diciembre de 2019, por la que se establece la política de seguridad de las tecnologías de la información y comunicaciones en el ámbito de la Consejería.
La Orden de 16 de diciembre de 2019, por la que se establece la política de seguridad de las tecnologías de la información y comunicaciones en el ámbito de la Consejería, queda modificada como sigue:
Uno. Se añade un nuevo apartado 3 al artículo 1, con la siguiente redacción:
“3. La presente orden también tiene como objeto establecer la organización funcional de la seguridad interior en la Consejería.”
Dos. Se añade un nuevo apartado 5 al artículo 2, con la siguiente redacción:
“5. Lo regulado en la presente orden en relación con la seguridad interior será de aplicación tanto en la Consejería como en sus entidades vinculadas o dependientes.”
Tres. Se añade un nuevo apartado 2 al artículo 3, pasando el párrafo único hasta ahora existente a constituir el apartado 1, del siguiente tenor literal:
“2. Los objetivos y principios básicos de la política de seguridad interior son los establecidos en los artículos 4 y 5 del Decreto 171/2020, de 13 de octubre, por el que se establece la Política de Seguridad Interior en la Administración de la Junta de Andalucía.”
Cuatro. Se modifica el artículo 4, que queda redactado como sigue:
“Artículo 4. Marco regulador de la seguridad interior y de la seguridad TIC.
El marco regulador de la seguridad interior está constituido por el Decreto 171/2020, de 13 de octubre , y sus posteriores normas de desarrollo, y en materia de seguridad TIC se atendrá a lo dispuesto por la disposición adicional primera del Decreto 1/2011, de 11 de enero , sin perjuicio de cualquier otra normativa aplicable a esta Consejería en virtud de su naturaleza legal y sus competencias.”
Cinco. Se modifica la rúbrica del Capítulo III, que pasa a denominarse “Organización de la seguridad interior y de la seguridad TIC.”
Seis. Se modifica el artículo 5, que queda redactado como sigue:
“Artículo 5. Estructura organizativa en la Consejería.
1. La organización para la gestión de la seguridad TIC se conforma mediante la siguiente estructura mínima:
a) Comité de Seguridad Interior y Seguridad TIC.
b) Unidad de Seguridad TIC. La persona responsable de esta unidad tendrá la condición de responsable de seguridad TIC.
c) Responsable de seguridad TIC y responsable delegado o delegada de seguridad TIC.
d) Responsable de la información y en su caso, del tratamiento.
e) Responsable del servicio.
f) Responsable del sistema.
g) Delegado o delegada de protección de datos, en adelante DPD.
2. En función de las necesidades y circunstancias de la organización, las funciones de algunas de estas figuras podrán recaer sobre una misma persona o grupo de personas, unidad o departamento, siempre teniendo en cuenta que la responsabilidad de la seguridad de los sistemas de información estará diferenciada de la responsabilidad sobre la prestación de los servicios y que la figura de DPD deberá recaer en una única persona, que no podrá coincidir y deberá ser independiente de cualquier otra figura en la estructura de seguridad.
3. La organización para la gestión de la seguridad interior se conforma mediante la siguiente estructura mínima:
a) Comité de Seguridad Interior y Seguridad TIC.
b) Unidad de Seguridad Interior.
c) Los puntos coordinadores de seguridad interior en cada provincia.”
Siete. Se modifica el artículo 6, que queda redactado como sigue:
“Artículo 6. Creación del Comité de Seguridad Interior y Seguridad TIC de la Consejería.
Se crea el Comité de Seguridad Interior y Seguridad TIC de la Consejería de Turismo, Regeneración, Justicia y Administración Local, en adelante Comité de Seguridad Interior y Seguridad TIC de la Consejería, como órgano para la dirección y seguimiento de la política de seguridad interior y seguridad TIC de la Consejería, correspondiendo a la persona titular de la Secretaría General Técnica su impulso y organización, así como velar por su buen funcionamiento.”
Ocho. Se modifica el artículo 7, que queda redactado como sigue:
“Artículo 7. Composición del Comité de Seguridad Interior y Seguridad TIC de la Consejería.
1. El Comité de Seguridad Interior y Seguridad TIC de la Consejería estará compuesto por los siguientes miembros:
a) Presidencia: La persona titular de la Viceconsejería.
b) Vicepresidencia: La persona titular de la Secretaría General Técnica.
c) Vocalías:
1.º Las personas titulares de cada uno de los órganos directivos centrales de la Consejería que tengan atribuidas funciones y tareas relacionadas con la custodia y la seguridad de los activos adscritos a la Consejería o sobre algún sistema de información.
2.º Una persona en representación de los órganos periféricos de la Consejería, designada por la persona titular de la presidencia, a propuesta de la persona titular de la vicepresidencia entre las distintas personas responsable delegado o delegada de seguridad TIC en dichos órganos.
3.º La persona que ostente el perfil de responsable de seguridad TIC de la Consejería.
4.º La persona designada como responsable de la Unidad de Seguridad Interior.
5.º Las personas titulares de las Coordinaciones Generales de la Viceconsejería y de la Secretaría General Técnica.
6.º La persona que ostente el perfil responsable de seguridad TIC en cada entidad vinculada o dependiente de la Consejería.
7.º La persona que ostente el perfil responsable de seguridad interior en cada entidad vinculada o dependiente de la Consejería.
d) Secretaría: La persona titular de la Jefatura del Servicio de Informática, con voz y voto, que ejercerá las funciones propias de dicho cargo, entre otras convocar las reuniones por orden de la persona titular de la presidencia, preparar el orden del día y elaborar el acta de las sesiones.
2. El Comité de Seguridad Interior y Seguridad TIC de la Consejería podrá convocar a sus reuniones a las personas que en cada caso autorice la presidencia, por propia iniciativa o a propuesta de alguno de sus miembros. Asimismo, podrá recabar de personal técnico especializado, propio o externo, en calidad de asesores, la información pertinente para la toma de decisiones, así como invitar a dicho personal a las reuniones con voz y sin voto.
Igualmente el Comité, cuando proceda en función de los asuntos a tratar en el orden del día de la reunión, podrá convocar a la persona que desempeñe las funciones del DPD de la Consejería, en calidad de asesora en materia de protección de datos.
3. Todo el personal participante deberá guardar el debido secreto respecto de los asuntos de que hayan tenido conocimiento.
4. Conforme a lo expuesto en el artículo 3.3 de la Ley 12/2007, de 26 de noviembre, para la Promoción de la Igualdad de Género en Andalucía, la composición del Comité de Seguridad Interior y Seguridad TIC de la Consejería deberá garantizar la representación equilibrada de mujeres y hombres.”
Nueve. Se modifica el artículo 8, que queda redactado como sigue:
“Artículo 8. Funciones del Comité de Seguridad Interior y Seguridad TIC de la Consejería.
1. En el ámbito de la seguridad TIC, el Comité de Seguridad Interior y Seguridad TIC de la Consejería tendrá asignadas las siguientes funciones:
a) Aprobar el desarrollo de la normativa de seguridad TIC de segundo nivel según lo previsto en el artículo 19, mediante Normas que amplíen y desarrollen, sobre la base de los mínimos establecidos, las resoluciones que se aprueben por parte de la Dirección General competente en materia de coordinación y ejecución de las políticas de seguridad de los sistemas de información y telecomunicaciones de la Administración de la Junta de Andalucía, en conformidad con el artículo 2.5 de la Orden de 9 de junio de 2016, por la que se efectúa el desarrollo de la política de seguridad de las tecnologías de la información y comunicaciones en la Administración de la Junta de Andalucía.
b) Coordinar a alto nivel todas las actuaciones de seguridad, velando para que la definición y el desarrollo de las mismas se adecuen en todo momento a las directrices marcadas por la política de seguridad TIC, involucrando a las diferentes áreas implicadas.
c) Definir, aprobar y realizar el seguimiento de los objetivos, iniciativas y planes estratégicos en materia de seguridad TIC.
d) Velar para que todos los ámbitos de responsabilidad y actuación en relación a la seguridad TIC y su tratamiento queden perfectamente definidos. Especialmente, para asegurar que todos y cada uno de los miembros de la estructura de seguridad definida conozcan sus funciones y responsabilidades.
e) Proporcionar, dentro de los límites establecidos en los programas asignados por las leyes anuales de presupuestos a la Consejería, los medios y recursos necesarios para posibilitar la realización de las iniciativas planificadas. Entre ellas, la evaluación por parte de la Unidad de Seguridad TIC de los aspectos de seguridad de nuevos sistemas de información o de evolutivos de los existentes antes de su puesta en producción, como se recoge en el apartado e) del artículo 11.1 del Decreto 1/2011, de 11 de enero.
f) Velar por el desarrollo, aprobación, implantación, concienciación, formación y divulgación, así como por el cumplimiento y actualización de la política de seguridad TIC en la Consejería. Para su actualización, elevará las propuestas de revisión de la política de seguridad TIC de la Consejería, o de revisión del marco regulador de seguridad TIC de la Junta de Andalucía, a los órganos competentes para su tramitación reglamentaria.
g) Nombrar a los miembros de la Unidad de Seguridad TIC de la Consejería, así como a su responsable.
h) Velar porque la seguridad TIC se tenga en cuenta en todos los proyectos TIC desde su especificación inicial hasta su puesta en operación. En particular deberá velar por la creación y utilización de servicios horizontales que reduzcan duplicidades y apoyen un funcionamiento homogéneo de todos los sistemas TIC.
i) Aprobar las medidas correctoras que correspondan, derivadas de las conclusiones elaboradas por la Unidad de Seguridad TIC, de las auditorías de seguridad internas o externas que se realicen.
j) Promover la formación y concienciación en materia de seguridad TIC entre el personal de la Consejería, así como la formación continua y especializada de los miembros de la Unidad de Seguridad TIC y del delegado o delegada de protección de datos.
k) Planificar y priorizar las iniciativas necesarias para cumplir con las directrices, los objetivos y los principios marcados en la presente política de seguridad TIC. En especial, la elaboración, actualización y evaluación periódica de los análisis de riesgos necesarios.
l) Impulsar los preceptivos análisis de riesgos junto a la Unidad de Seguridad TIC y los perfiles responsable de la información, responsable del servicio y delegado o delegada de protección de datos. Para ello, se deberá impulsar la determinación de los niveles de seguridad de la información tratada y de los servicios prestados, usando la valoración de los impactos que tendrían los incidentes que afectaran a la seguridad TIC.
m) Gestionar la aceptación, en su caso, de los riesgos residuales por sus responsables correspondientes respecto de la información y/o de los servicios de su competencia, obtenidos en el análisis de riesgos.
n) Monitorizar el desempeño del proceso de gestión de incidentes de seguridad TIC, así como la toma de decisiones en respuesta a incidentes de seguridad críticos.
ñ) Establecer los mecanismos necesarios para compartir la documentación del marco regulador con el propósito de normalizarlo en todo el ámbito de aplicación y determinar los medios de difusión de la política de seguridad TIC.
o) Establecer los mecanismos necesarios de coordinación con los Comités de Seguridad interior y seguridad TIC de las entidades vinculadas o dependientes de la Consejería.
p) Coordinar las medidas técnicas y organizativas establecidas en la normativa de protección de datos personales, de acuerdo con los correspondientes análisis de riesgos y, en su caso, las evaluaciones de impacto en la protección de datos, contando con el asesoramiento del delegado o delegada de protección de datos.
q) Cuantas otras le sean encomendadas.
2. En el ámbito de la seguridad interior de la Consejería, el Comité de Seguridad Interior y Seguridad TIC tendrá asignadas las siguientes funciones:
a) Definir, aprobar y realizar el seguimiento de los objetivos, iniciativas y planes estratégicos para la seguridad interior, incluido el Plan de Seguridad Interior de la Consejería.
b) Velar por la disponibilidad de los recursos para el desarrollo de los objetivos e iniciativas definidos en el Plan de Seguridad Interior de la Consejería.
c) Establecer directrices comunes y supervisar el cumplimiento de la normativa de seguridad interior en el ámbito de la Consejería.
d) Elevar las propuestas de revisión del marco normativo y organizativo interno de la Consejería en materia de seguridad interior, o de revisión del marco general en materia de seguridad interior, a los órganos competentes para su tramitación reglamentaria.
e) Determinar las condiciones y requisitos mínimos que deben contener los Planes de Seguridad Interior de las entidades vinculadas de la Consejería, a propuesta de la Unidad de Seguridad Interior.
f) Dictar las instrucciones y recomendaciones necesarias para la constitución de los Comités de Seguridad Interior y Seguridad TIC de las entidades vinculadas de la Consejería.
g) Nombrar a los miembros de la Unidad de Seguridad Interior, así como designar a su responsable.
h) Aprobar el modelo de relación con los Puntos Coordinadores de Seguridad Interior.
i) Promover programas de formación, entrenamiento y concienciación sobre las medidas relativas a la seguridad interior entre el personal de la Consejería.
j) Analizar y adoptar decisiones para la prevención o para la respuesta a incidentes susceptibles de generar una crisis de seguridad en la Consejería.
k) Cualquier otra que se le asigne, por órgano o normativa competente, en materia de seguridad interior.”
Diez. Se modifica el artículo 9, que queda redactado como sigue:
“Artículo 9. Funcionamiento y régimen jurídico del Comité de Seguridad Interior y Seguridad TIC de la Consejería.
1. El Comité de Seguridad Interior y Seguridad TIC de la Consejería se reunirá con carácter ordinario una vez al año y con carácter extraordinario cuando lo decida la presidencia, por propia iniciativa o previa solicitud de alguno de sus miembros.
2. El Comité podrá constituir, convocar, celebrar sus sesiones, adoptar acuerdos y remitir actas, tanto de forma presencial como utilizando redes de comunicación a distancia, con las medidas adecuadas que garanticen la identidad de las personas comunicantes y la autenticidad de la información transmitida.
3. De todas las sesiones celebradas se levantará un acta con los acuerdos adoptados. Este acta tendrá carácter de información reservada dada la naturaleza de las funciones y los contenidos a tratar por el Comité.
4. El Comité se regirá por esta orden, por la normativa reguladora de la seguridad interior y de la política de seguridad TIC en la Administración de la Junta de Andalucía, así como por el resto de normativa aplicable, la reguladora del ENS y de protección de datos de carácter personal.
5. En caso de vacante, ausencia, enfermedad y en general cuando concurra una causa justificada, la persona titular de la presidencia podrá ser sustituida por la persona titular de la vicepresidencia. Así mismo, la persona titular de la secretaría del comité podrá ser sustituida en el mismo caso por una persona que ostente una plaza en el Servicio de Informática de la Secretaría General Técnica, que no podrá ser miembro de la Unidad de Seguridad TIC de la Consejería.
6. La presidencia del Comité ostentará voto de calidad en caso de empate en la toma de decisiones.”
Once. Se añade un artículo 10.bis, con la siguiente redacción:
“Artículo 10.bis. Unidad de Seguridad Interior.
La Consejería, de acuerdo con lo establecido en el artículo 10 del Decreto 171/2020, de 13 de octubre, contará con una Unidad de Seguridad Interior que desempeñará las funciones relacionadas en el citado artículo y que tendrá como responsables a las personas designadas por el Comité de Seguridad Interior y Seguridad TIC.”
Doce. Se modifica el artículo 17, que queda redactado como sigue:
“Artículo 17. Estructura organizativa en entidades vinculadas o dependientes.
1. De acuerdo con el artículo 6.2.c) del Decreto 1/2011, de 11 de enero, y el artículo 6.1.b) del Decreto 171/2020, de 13 de octubre, la organización para la gestión de la seguridad interior y de la seguridad TIC en las entidades vinculadas o dependientes de la Consejería se conforma mediante la siguiente estructura mínima:
a) Comité de Seguridad Interior y Seguridad TIC.
b) Responsable de seguridad TIC.
2. En función de las necesidades y circunstancias de la organización, las funciones de algunas de estas figuras podrá recaer sobre una misma persona, unidad o departamento, siempre teniendo en cuenta que la responsabilidad de la seguridad de los sistemas de información estará diferenciada de la responsabilidad sobre la prestación de los servicios.
3. La responsabilidad de la conformación y designación de estas figuras en las entidades vinculadas o dependientes recaerá sobre las propias entidades.
Asimismo, de conformidad con lo previsto en el artículo 10 del Decreto 171/2020, de 13 de octubre, la entidad vinculada o dependiente contará con una Unidad de Seguridad Interior si así lo considera necesario por virtud del volumen o singularidad de sus activos. En ese caso, en la composición del Comité de Seguridad Interior y Seguridad TIC de la entidad se incluirá una persona en representación de la Unidad de Seguridad Interior.
4. Las atribuciones del Comité de Seguridad Interior y Seguridad TIC de las entidades vinculadas o dependientes podrán ser asumidas por el comité de dirección de la entidad.
5. Los nombramientos realizados para los distintos perfiles de la estructura organizativa de seguridad TIC en las entidades vinculadas o dependientes deberán comunicarse al Comité de Seguridad Interior y Seguridad TIC de la Consejería.”
Disposición adicional primera. Designación de la Unidad de Seguridad Interior de la Consejería.
El Comité de Seguridad Interior y Seguridad TIC de la Consejería celebrará sesión en el plazo de un mes desde la entrada en vigor de la presente orden, incluyendo en los asuntos del orden del día la designación de la Unidad de Seguridad Interior de la Consejería.
Disposición adicional segunda. Adaptación de la denominación del Comité de Seguridad TIC.
Todas las referencias contenidas en la Orden de 16 de diciembre 2019, por la que se establece la política de seguridad de las tecnologías de la información y comunicaciones en el ámbito de la Consejería, en las que se emplee la denominación “Comité de Seguridad TIC” se entenderán hechas al “Comité de Seguridad Interior y Seguridad TIC”.
Disposición final única. Entrada en vigor.
La presente orden entrará en vigor el día siguiente al de su publicación en el Boletín Oficial de la Junta de Andalucía.
