Perspectiva Jurídica del Esquema Nacional de Seguridad Martín Pastrana Baños

2 1. Antecedentes Antecedentes normativos  Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y Procedimiento Administrativo Común:  Determina la configuración de numerosos ámbitos de confidencialidad administrativos que necesitan ser materialmente protegidos.  Determina los requisitos de validez y eficacia de las comunicaciones administrativas.  Ley 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal: Concreta las medidas a implantar para garantizar la protección de los datos de carácter personal.  Ley 37/2007, de 16 de noviembre, sobre Reutilización de la información del sector público.

3 1. Antecendentes  Ley 11/2007, de 22 de junio, de Acceso Electrónico de los Ciudadanos a los Servicios Públicos:  Establece una serie de principios relacionados con la seguridad (art. 4): Principio de protección de datos personales. Principio de seguridad en la implantación y utilización de los medios electrónicos por las Administraciones Públicas en virtud del cual se exigirá al menos el mismo nivel de garantías y seguridad que se requiere para la utilización de medios no electrónicos. Principio de proporcionalidad en cuya virtud sólo se exigirán las garantías y medidas de seguridad adecuadas a la naturaleza y circunstancias de los distintos trámites y actuaciones.  Reconoce a los ciudadanos una serie de derechos relacionados con la seguridad (art. 6):  Garantía de la seguridad y confidencialidad de los datos que figuren en ficheros, sistemas y aplicaciones de las Administraciones Públicas.  Derecho a obtener los medios de identificación electrónica necesarios pudiendo las personas físicas utilizar en todo caso los sistemas de firma electrónica del eDNI.  Derecho a utilizar otros sistemas de firma electrónica admitidos en el ámbito de las Administraciones Públicas.  Habilita al Gobierno para la aprobación del ENS.

4 1. Antecedentes Principios y derechos de los ciudadanos en materia de seguridad Seguridad Sede electrónica Seguridad Comunicaciones electrónicas Seguridad Archivo electrónico ESQUEMA NACIONAL DE SEGURIDAD (Real Decreto 3/2010, de 8 de enero)

5 2. Concepto ¿Qué es el Esquema Nacional de Seguridad? El ENS es el conjunto de principios básicos y requisitos mínimos requeridos para una protección adecuada de la información en el ámbito de la eAdministración. El ENS tiene por objeto establecer la política de seguridad en la utilización de medios electrónicos en el ámbito de la Ley 11/2007. Será aplicado por las Administraciones Públicas para asegurar el acceso, integridad, disponibilidad, autenticidad, confidencialidad, trazabilidad y conservación de los datos, informaciones y servicios utilizados en medios electrónicos que gestionen en el ejercicio de sus competencias.

6 2. Concepto ENS Principios básicos Seguridad integral Gestión de riesgos Prevención, reacción y recuperación Líneas de defensa Reevaluación periódica Función diferenciada Requisitos mínimos Organización e implantación del proceso de seguridad Análisis y gestión de riesgos Gestión de personal Profesionalidad Control,de accesos Protección de instalaciones Adquisición de productos Seguridad por defecto Integridad y actualización Protección de información almacenada y en tránsito Prevención ante otros sistemas interconectados Registro de actividad Incidentes de seguridad Continuidad de la actividad Mejora continua del proceso de seguridad Medidas de seguridad Marco organizativo Marco operacional Medidas de protección

7 3. Ámbito subjetivo ¿Quiénes están obligados a implantar el ENS? El ENS será de aplicación: Administración General del Estado. Administraciones de las CCAA. Entidades que integran la Administración Local. Entidades de derecho público vinculadas o dependientes de las anteriores. Organizaciones que presten servicios de seguridad a las Administraciones Públicas: Las Administraciones les exigirán de forma objetiva y no discriminatoria que cuenten con unos niveles idóneos de gestión y madurez en los servicios prestados (art RD 3/2010). Organizaciones que comercialicen productos de seguridad: Se valorarán aquellos que tengan certificada la funcionalidad de su seguridad conforme a Normas y Estándares reconocidos internacionalmente (art. 18 RD 3/2010).

8 3. Ámbito subjetivo El ENS no será de aplicación a: Administraciones Públicas en las actividades que desarrollen en régimen de derecho privado. Administraciones Públicas en los sistemas que tratan información clasificada regulada por la Ley 9/1968, de 5 de abril, de Secretos Profesionales y normas de desarrollo.

9 4. Ámbito temporal ¿En qué plazos ha de estar implantado el Esquema Nacional de Seguridad? Nuevos sistemasDesde su concepción. Sistemas existentes- Plazo general: 12 meses desde la entrada en vigor del ENS ( ). - Plazo excepcional: 48 meses (Si a los 12 meses de la entrada en vigor del ENS hubiera circunstancias que impiden la plena aplicación de lo dispuesto en él se establecerá un plan de adecuación que marque los plazos de ejecución los cuales, en ningún caso, serán superiores a 48 meses desde la entrada en vigor).

10 5. Régimen sancionador Aunque el ENS no establece un régimen sancionador específico para el caso de su incumplimiento ha de tenerse en cuenta que dicho incumplimiento puede acarrear las sanciones previstas en otras normas:  Infraccción de la normativa de protección de datos de carácter personal:  Resolución del Director de la AEPD.  Iniciación de actuaciones disciplinarias si procedieran.  Indemnización de daños y perjuicios: Responsabilidad Patrimonial de la Administración Pública.

11 MARTÍN PASTRANA BAÑOS J&A GARRIGUES Plaza de la Escandalera, 3, 3º – Oviedo (Asturias)