El real decreto no tipifica ninguna infracción ni establece sanción alguna, y no podría hacerlo: es un reglamento de desarrollo y los obligados son, casi en su totalidad, Administraciones Públicas. Lo que su incumplimiento pone en juego es la validez de la actuación administrativa y la responsabilidad patrimonial, por los cauces ordinarios de la Ley 39/2015 y la Ley 40/2015. La única consecuencia que la norma sí traslada al interesado es procedimental: quien está obligado a relacionarse electrónicamente y no lo hace, o presenta documentos en formato no admitido, es requerido para subsanar en diez días, y si no atiende el requerimiento se le tiene por desistido o se le declara decaído en su derecho al trámite.

El real decreto no establece ninguna notificación de incidentes de seguridad: ni qué es notificable, ni a quién, ni en qué plazo. Lo único que regula son las incidencias técnicas que impiden el funcionamiento ordinario de un sistema, y lo hace con efecto procedimental, no de seguridad: hay que informar de ellas en la sede electrónica junto con la ampliación de plazo que en su caso se acuerde, y si la afectada es la Dirección Electrónica Habilitada única, los emisores que la usan pueden ampliar los plazos no vencidos para comparecer. Un incidente de seguridad sobre un sistema de una Administración se notifica por la vía del Esquema Nacional de Seguridad, y si hay datos personales de por medio, por la del Reglamento General de Protección de Datos.

Toda Administración Pública

Administración General del Estado, comunidades autónomas, entidades locales y el sector público institucional de todas ellas, por remisión al artículo 2 de la Ley 39/2015 y al artículo 2 de la Ley 40/2015 (art. 1.2)

Titular de sede electrónica

Quien ostenta la titularidad de una sede electrónica o de una sede electrónica asociada, con responsabilidad sobre la integridad, veracidad y actualización de su contenido (art. 9.2 y art. 12)

Administración Digital

La Secretaría General de Administración Digital autoriza previamente los sistemas de clave concertada y los sistemas de firma sin certificado cualificado, y solo puede denegarlos por motivos de seguridad pública previo informe vinculante de la Secretaría de Estado de Seguridad (arts. 26.2.c), 28.2 y 29.4)

Centro Criptológico Nacional

Informe previo obligatorio antes de que un órgano del ámbito estatal pueda utilizar un sistema de código seguro de verificación (art. 21.4)

Prestadores cualificados de confianza

Deben dar acceso electrónico y gratuito a la plataforma estatal de verificación de certificados, y figurar en la lista de confianza para prestar sellado de tiempo al sector público (art. 16.3 y art. 50.3)

Entidades privadas con potestades

Sociedades y fundaciones vinculadas o dependientes de una Administración, cuando ejercen potestades administrativas (disp. adicional cuarta y art. 56)

Personal al servicio público

Firma con certificado cualificado de empleado público y, en el ámbito estatal, se identifica con el sistema que corresponda al nivel de seguridad del trámite según el Esquema Nacional de Seguridad (arts. 22, 23 y 24)

Persona interesada

Debe asegurar el buen uso de sus medios de identificación y el acceso solo propio o autorizado a su Carpeta Ciudadana, y mantener operativo el contacto designado para los avisos (art. 8.4 y art. 43.1)

Exclusiones

Real Decreto 203/2021, de 30 de marzo, por el que se aprueba el Reglamento de actuación y funcionamiento del sector público por medios electrónicos

Identificador

BOE-A-2021-5032

Fuente

BOE · Texto consolidado · Agencia Estatal Boletín Oficial del Estado

Ciberseguridad

La seguridad no es el objeto de la norma y conviene decirlo antes que nada: es un reglamento de procedimiento administrativo, y la mayor parte de lo que toca la seguridad lo resuelve remitiendo al Esquema Nacional de Seguridad, que es donde están las medidas. Aun así tiene contenido propio y verificable, más del que sugiere su título. El artículo 21.2 fija los requisitos del código seguro de verificación, que es un sistema de firma con cinco garantías exigibles. El artículo 18 obliga a identificar cada sede con certificado cualificado de autenticación de sitio web. La disposición adicional tercera obliga a definir y publicar el nivel de seguridad en la identificación electrónica de cada procedimiento. Y el artículo 21.4 somete el despliegue de un sistema de código seguro de verificación en el ámbito estatal a informe previo del Centro Criptológico Nacional. La propia norma señala dónde está su núcleo: la disposición final primera, apartado 2, enumera los artículos 15, 16, 23, 26, 28.2, 28.3 y 29.4 y la disposición adicional tercera como dictados, además, al amparo de la competencia estatal en seguridad pública «en cuanto a su relación con la ciberseguridad y su impacto en la seguridad de las redes y sistemas de información».

Valoración del curador · nivel 2 de 5

Medidas de seguridad en los portales de internet Ciber

Los portales de internet deben disponer de sistemas que permitan establecer medidas de seguridad conforme al Esquema Nacional de Seguridad. Es una remisión y no añade nada por sí sola: qué medidas y en qué nivel lo decide el Esquema, no este real decreto. Lo que sí aporta es dejar dicho que el portal, y no solo la sede electrónica, está dentro de su alcance.

Literal de la norma Los portales de internet dispondrán de sistemas que permitan el establecimiento de medidas de seguridad de acuerdo con lo establecido en Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica.

Art. 5.3

Publicar los sistemas admitidos y las incidencias técnicas Ciber parcial

Toda sede electrónica debe publicar, como contenido mínimo, la relación de sistemas de identificación y firma electrónica que admite, y la información sobre cualquier incidencia técnica que impida el funcionamiento ordinario del sistema, junto con la ampliación de plazo que en su caso haya acordado el órgano competente.

Literal de la norma d) La relación de sistemas de identificación y firma electrónica que sean admitidos o utilizados en la misma.

Art. 11.1.d) y g)

Servicios de verificación en la sede Ciber

La sede debe ofrecer tres servicios de comprobación: uno para verificar los certificados de la propia sede, otro para verificar los sellos electrónicos de los órganos que abarca, y otro para comprobar la autenticidad e integridad de los documentos que esos órganos emiten firmados por cualquiera de los sistemas de la Ley 40/2015 y para los que se haya generado un código seguro de verificación. Es la contrapartida operativa de todo el sistema de firma: sin ella el código no sirve para nada.

Literal de la norma f) Un servicio de comprobación de la autenticidad e integridad de los documentos emitidos por los órganos, organismos públicos o entidades de derecho público comprendidos en el ámbito de la sede electrónica, que hayan sido firmados por cualquiera de los sistemas de firma conformes a la Ley 40/2015, 1 de octubre, y para los cuales se haya generado un código seguro de verificación.

Art. 11.2.d), e) y f)

Transparencia de las actuaciones automatizadas

La sede debe mantener actualizada la relación de actuaciones administrativas automatizadas, y cada una debe ir acompañada de la descripción de su diseño y funcionamiento, de los mecanismos de rendición de cuentas y transparencia, y de los datos utilizados en su configuración y aprendizaje. Es el único punto del real decreto que llega hasta el sistema que decide, y no solo hasta la firma con la que se emite el resultado.

Literal de la norma Relación actualizada de las actuaciones administrativas automatizadas vinculadas a los servicios, procedimientos y trámites descritos en la letra anterior. Cada una se acompañará de la descripción de su diseño y funcionamiento, los mecanismos de rendición de cuentas y transparencia, así como los datos utilizados en su configuración y aprendizaje.

Art. 11.1.i)

Identificar la sede con certificado cualificado Ciber

Las sedes electrónicas y las sedes asociadas se identifican, y garantizan una comunicación segura, mediante certificados cualificados de autenticación de sitio web o medio equivalente, ajustados al Esquema Nacional de Interoperabilidad. En el ámbito estatal desaparece la alternativa: el certificado cualificado de autenticación de sitio web es obligatorio, la sede debe hacer constar su condición de forma visible e inequívoca y su dirección incluye el dominio «.gob.es».

Literal de la norma De acuerdo con lo previsto en el artículo 38 de la Ley 40/2015, de 1 de octubre, las sedes electrónicas y sedes electrónicas asociadas utilizarán, para identificarse y garantizar una comunicación segura con las mismas, certificados cualificados de autenticación de sitio web o medio equivalente. Dichos certificados electrónicos se ajustarán a lo señalado en el Real Decreto 4/2010, de 8 de enero, por el que se regula el Esquema Nacional de Interoperabilidad, y la normativa vigente en materia de identidad y firma electrónica.

Art. 18

Plataforma de verificación de certificados Ciber

La Administración General del Estado debe disponer de una plataforma que verifique la vigencia y el contenido de los certificados cualificados admitidos en el sector público, de uso libre y gratuito para todo el sector público previa adhesión, con una declaración pública y gratuita de prácticas de validación. El deber correlativo cae sobre los prestadores cualificados, que han de dar acceso electrónico y gratuito para comprobar la vigencia de los certificados que emiten.

Literal de la norma La Administración General del Estado dispondrá de una plataforma para la verificación de la vigencia y del contenido de los certificados cualificados admitidos en el sector público. El sistema deberá permitir que tal verificación se pueda llevar a cabo de forma libre y gratuita, para el sector público.

Art. 16

Política de firma electrónica y de certificados Ciber

En el ámbito estatal debe existir una política de firma electrónica y de certificados, aprobada por resolución de la Secretaría de Estado de Digitalización e Inteligencia Artificial y publicada en el BOE y en la sede del Punto de Acceso General. Ha de contener en todo caso su ámbito de aplicación, los requisitos de las firmas que se presenten ante los órganos estatales y las especificaciones técnicas y operativas de los servicios de confianza asociados a las nuevas formas de identificación y autenticación del Reglamento.

Literal de la norma La política de firma electrónica y de certificados en el ámbito estatal, está constituida por las directrices y normas técnicas aplicables a la utilización de certificados y firma electrónica.

Art. 17

Identificación del personal según el nivel del trámite Ciber

En el ámbito estatal, el personal se identifica con el sistema que corresponda al nivel de seguridad del trámite de que se trate según el Esquema Nacional de Seguridad, no con un sistema único para todo. Si se emplean repositorios de identidades de empleados públicos para relacionarlos con las aplicaciones que necesitan, esos repositorios deben garantizar en todo caso lo previsto en ese Esquema.

Literal de la norma El personal al servicio de la Administración General del Estado y sus organismos públicos y entidades de derecho público vinculados o dependientes, podrá identificarse con aquellos sistemas que, entre los previstos en la Ley 39/2015, de 1 de octubre, se establezcan en función del nivel de seguridad que corresponda al trámite de que se trate de acuerdo al Esquema Nacional de Seguridad.

Art. 24.1 y 24.3

Certificados cualificados de empleado público Ciber

Los certificados electrónicos de empleado público deben ser cualificados y ajustarse al Esquema Nacional de Interoperabilidad. Cuando la actuación afecte a información clasificada, a la seguridad pública, a la defensa nacional u otras en que el anonimato esté legalmente justificado, el prestador puede consignar un número de identificación profesional en lugar de la identidad; la Administración solicitante conserva la documentación acreditativa de esa identidad y solo la revela a petición oficial de una autoridad competente o de un órgano judicial.

Literal de la norma Los certificados electrónicos de empleado público serán cualificados y se ajustarán a lo señalado en el Esquema Nacional de Interoperabilidad y la legislación vigente en materia de identidad y firma electrónica.

Art. 22.3 y art. 23

Sistemas de identificación admitidos al interesado Ciber

Todo sistema de identificación exige registro previo del usuario que permita garantizar su identidad. Hay tres familias admitidas: certificado cualificado de firma, certificado cualificado de sello y clave concertada u otro sistema que la Administración considere válido. La regla dura está al final del artículo: la Administración debe garantizar que las dos familias basadas en certificado cualificado sean posibles en todo procedimiento, aunque además admita clave concertada. No se puede cerrar un trámite a un único sistema propio.

Literal de la norma Las Administraciones Públicas deberán garantizar que la utilización de uno de los sistemas previstos en las letras a) y b) sea posible para todo procedimiento, aun cuando se admita para ese mismo procedimiento alguno de los previstos en la letra c).

Art. 26

Clave concertada conforme al ENS y autorizada Ciber

Los sistemas de clave concertada, y cualquier otro que la Administración considere válido para identificar a personas físicas, deben ajustarse al Esquema Nacional de Seguridad y contener unos atributos mínimos: nombre y apellidos y el número de documento nacional de identidad, de identificación de extranjero, de identificación consular central o de identificación fiscal, más el pasaporte cuando así se defina. Necesitan además autorización previa de la Secretaría General de Administración Digital, denegable solo por motivos de seguridad pública y con informe vinculante de la Secretaría de Estado de Seguridad.

Literal de la norma Los sistemas de clave concertada o cualquier otro sistema que las Administraciones Públicas consideren válidos, admitidos para la identificación electrónica de persona física de conformidad con el artículo 9.2.c) de la Ley 39/2015, de 1 de octubre, deberán ajustarse a lo previsto en el Esquema Nacional de Seguridad y contener, como mínimo, el nombre y apellidos y el número de Documento Nacional de Identidad, Número de Identificación de Extranjero, Número de Identificación Consular Central o Número de Identificación Fiscal y, para los casos en que así se establezca en la definición del sistema, el número de pasaporte.

Art. 28.1 y 28.2

Firma del interesado y verificación del vínculo Ciber

Los sistemas de firma que usen las personas interesadas deben permitir a la Administración verificar los datos consignados de la firma, de manera que pueda vincularse su identidad con el acto de firmar. Los sistemas que no se apoyan en certificado cualificado necesitan autorización previa de la Secretaría General de Administración Digital y deben cumplir el Esquema Nacional de Seguridad. Y, como en la identificación, las dos familias basadas en certificado cualificado tienen que ser posibles en todos los procedimientos y en todos sus trámites.

Literal de la norma Los sistemas de firma electrónica que usen las personas interesadas permitirán que las Administraciones Públicas puedan verificar los datos consignados de la firma, de manera que se pueda vincular su identidad con el acto de firma.

Art. 29

Publicar el nivel de seguridad de identificación exigido Ciber

Cada entidad del sector público debe definir y publicar en su sede electrónica el nivel de seguridad en la identificación electrónica que exige en cada procedimiento y servicio que gestiona, con los niveles del Reglamento eIDAS y determinado sobre la base del análisis de riesgos conforme al Esquema Nacional de Seguridad. La consecuencia va unida: debe admitir los esquemas de identificación notificados por otros Estados miembros siempre que su nivel sea sustancial o alto y sea igual o superior al que ella misma haya exigido. Publicar un nivel más alto del que el riesgo justifica cierra el acceso transfronterizo sin motivo.

Literal de la norma Las entidades pertenecientes al sector público deberán definir y publicar en su sede electrónica el nivel de seguridad en la identificación electrónica exigido en los procedimientos y servicios que gestionan, de acuerdo con el Reglamento (UE) n.º 910/2014, de 23 de julio de 2014. Este nivel de seguridad en la identificación electrónica del sistema de información que soporta el procedimiento o servicio se determinará sobre la base del análisis de riesgos, de acuerdo con el Esquema Nacional de Seguridad y normativa correspondiente.

Disp. adicional tercera, apartados 3 y 4

Entornos cerrados de comunicación Ciber

Los documentos transmitidos en entornos cerrados de comunicaciones entre Administraciones valen a efectos de identificación y autenticación de emisores y receptores, pero a cambio de fijar por escrito las condiciones y garantías, que comprenden al menos la relación de emisores y receptores autorizados y la naturaleza de los datos a intercambiar. Entre Administraciones distintas eso se hace por convenio. La seguridad del entorno y la protección de los datos han de garantizarse conforme al Esquema Nacional de Seguridad.

Literal de la norma En todo caso deberá garantizarse la seguridad del entorno cerrado de comunicaciones y la protección de los datos que se transmitan conforme a los requisitos establecidos en el Esquema Nacional de Seguridad

Art. 25

Buen uso de los medios de identificación Ciber

La persona interesada debe asegurar el buen uso de sus sistemas de identificación y velar por que solo accedan a su Carpeta Ciudadana ella misma o un tercero autorizado. El reverso está en el artículo 15.4: la Administración no responde del uso que terceros hagan de los medios de identificación y firma del interesado, salvo que concurran los requisitos de responsabilidad patrimonial de la Ley 40/2015.

Literal de la norma El interesado deberá asegurar el buen uso de los sistemas de identificación y velar por que el acceso a su carpeta Ciudadana solo se haga por sí mismo o por tercero autorizado.

Art. 8.4 y art. 15.4

Garantías del código seguro de verificación Ciber

El sistema de código seguro de verificación debe garantizar cinco cosas a la vez. Que el origen y la integridad del documento puedan comprobarse accediendo a la sede. Que el código sea único para cada documento. Que quede vinculado al documento y, en su caso, al firmante, de modo que cualquier modificación produzca un documento nuevo con un código distinto; el código y la dirección de la sede deben integrarse preferentemente en todas las páginas del documento. Que el documento pueda verificarse en sede al menos durante el tiempo que fije la resolución que autorice el sistema. Y que el acceso al documento quede restringido a quien disponga del código. El propio código vincula al órgano y, en su caso, al firmante, y la verificación debe ser directa y gratuita para el interesado.

Literal de la norma c) Su vinculación con el documento generado y, en su caso, con el firmante. El código seguro de verificación y la dirección electrónica de acceso a la sede electrónica o sede electrónica asociada deberán integrarse preferentemente en todas las páginas del documento firmado con dicho código. Cualquier modificación del documento generado dará lugar a un nuevo documento con un código seguro de verificación diferente.

Art. 21.1 y 21.2

Sello superpuesto al comunicar documentos con CSV Ciber

Cuando un documento con código seguro de verificación se comunica a otro órgano, organismo o entidad y así lo determinan las partes, la interoperabilidad se garantiza superponiendo al código un sello electrónico de los del artículo 42 de la Ley 40/2015, que actúa como mecanismo de verificación automática del origen y la integridad en los términos de la Norma Técnica de Interoperabilidad de Documento Electrónico. Fuera de la sede que lo emitió, el código por sí solo no basta.

Art. 21.3

Autorización del sistema CSV y plazo de verificación Ciber

En el ámbito estatal ningún sistema de código seguro de verificación puede usarse sin resolución de la Subsecretaría del ministerio o de la Presidencia o Dirección del organismo, previo informe del Centro Criptológico Nacional y de la Secretaría General de Administración Digital. La resolución debe fijar las actuaciones cubiertas, los órganos responsables, las disposiciones aplicables, la sede donde se verifica y el plazo de disponibilidad para la verificación, que será al menos de cinco años salvo que la normativa especial prevea uno mayor. Ese suelo de cinco años es la única cifra dura del régimen, y no es básica: rige solo en el ámbito estatal. Para el resto de las Administraciones el artículo 21.2.d) se limita a exigir que el plazo lo fije su propia resolución. Vencido el plazo, el documento se solicita al órgano que lo emitió, que certifica la verificación con firma electrónica.

Literal de la norma e) Plazo de disponibilidad para la verificación en la sede electrónica o sede electrónica asociada del código seguro de verificación aplicado a un documento. Este plazo será al menos de cinco años, salvo que en la normativa especial por razón de la materia se prevea un plazo superior.

Art. 21.4

Código malicioso en documentos ya registrados Ciber

Si se detecta código malicioso susceptible de afectar a la integridad o seguridad del sistema en documentos que ya han sido registrados, hay que requerir su subsanación al interesado que los aportó, por el régimen del artículo 14.3, con diez días de plazo. Es la única mención al código malicioso de todo el real decreto, y regula la consecuencia dando por supuesta la capacidad de detectarlo: la obligación de disponer de esa capacidad viene del Esquema Nacional de Seguridad, no de aquí.

Literal de la norma En el caso de que se detecte código malicioso susceptible de afectar a la integridad o seguridad del sistema en documentos que ya hayan sido registrados, se requerirá su subsanación al interesado que los haya aportado de acuerdo con lo previsto en el artículo 14.3 de este Reglamento.

Art. 39.2

Referencia temporal de todo documento administrativo Ciber parcial

Todo documento administrativo electrónico debe llevar asociada una de dos referencias temporales: marca de tiempo o sello electrónico cualificado de tiempo, según determinen las normas reguladoras del procedimiento. La marca de tiempo es la modalidad por defecto cuando esas normas no exigen el sello cualificado. Los prestadores que sellen tiempo para el sector público han de figurar en la lista de confianza.

Literal de la norma b) Sello electrónico cualificado de tiempo, entendiendo por tal la asignación por medios electrónicos de una fecha y hora a un documento electrónico con la intervención de un prestador cualificado de servicios de confianza que asegure la exactitud e integridad de la marca de tiempo del documento.

Art. 50

Índice electrónico autenticado del expediente Ciber

El foliado del expediente administrativo electrónico se hace mediante un índice electrónico autenticado que garantiza la integridad del expediente y permite recuperarlo cuando sea preciso. Lo firma el titular del órgano que conforma el expediente o, si el expediente se forma de manera automática, se sella electrónicamente a través de un sistema que garantice su integridad. Es el mecanismo que impide añadir, quitar o reordenar documentos sin que se note.

Literal de la norma El foliado de los expedientes administrativos electrónicos se llevará a cabo mediante un índice electrónico autenticado que garantizará la integridad del expediente y permitirá su recuperación siempre que sea preciso.

Art. 51

Conservación y preservación de documentos electrónicos Ciber parcial

Hay que conservar en soporte electrónico todos los documentos que formen parte de un expediente y los que tengan valor probatorio creados al margen de un procedimiento. La conservación debe permitir el acceso y comprender al menos identificación, contenido, metadatos, firma, estructura y formato. Cada Administración regula los períodos mínimos, y si hay procedimientos judiciales que puedan afectar a un documento, este se conserva a disposición de los tribunales hasta que conste la terminación del proceso. Se planifican además las actuaciones de preservación digital a largo plazo.

Literal de la norma En todo caso, bajo la supervisión de los responsables de la seguridad y de los responsables de la custodia y gestión del archivo electrónico y de los responsables de las unidades productoras de la documentación se establecerán los planes y se habilitarán los medios tecnológicos para la migración de los datos a otros formatos y soportes que permitan garantizar la autenticidad, integridad, disponibilidad, conservación y acceso al documento cuando el formato de los mismos deje de figurar entre los admitidos por el Esquema Nacional de Interoperabilidad y normativa correspondiente.

Art. 54

Garantías del archivo electrónico único Ciber

La gestión del archivo electrónico único debe garantizar autenticidad, conservación, integridad, confidencialidad, disponibilidad y cadena de custodia de los expedientes y documentos almacenados, además de su acceso, en las condiciones exigidas por el Esquema Nacional de Interoperabilidad y el Esquema Nacional de Seguridad. Es la lista de dimensiones de seguridad más completa de la norma, y conviene leerla con su límite: el apartado 2 no es básico y se refiere al archivo electrónico único de la Administración General del Estado.

Literal de la norma La gestión del archivo electrónico único garantizará la autenticidad, conservación, integridad, confidencialidad, disponibilidad y cadena de custodia de los expedientes y documentos almacenados, así como su acceso, en las condiciones exigidas por el Esquema Nacional de Interoperabilidad y el Esquema Nacional de Seguridad, por la normativa de transparencia, acceso a la información pública y buen gobierno, por la legislación de archivos y patrimonio histórico y cultural y por la normativa específica que sea de aplicación, de acuerdo con lo que se desarrolle reglamentariamente.

Art. 55.2

Trazabilidad y finalidad en las transmisiones de datos Ciber parcial

Toda transmisión de datos se hace a solicitud del órgano tramitador identificando los datos requeridos, sus titulares y la finalidad, y con la identificación del empleado público si interviene. Del acceso queda constancia en los ficheros del órgano cedente. El órgano cesionario responde del correcto acceso electrónico y de su utilización, y de recabar el consentimiento del interesado cuando el acceso lo requiera.

Literal de la norma Toda transmisión de datos se efectuará a solicitud del órgano o entidad tramitadora en la que se identificarán los datos requeridos y sus titulares, así como la finalidad para la que se requieren. Además, si en la petición de datos interviene un empleado o empleada público se incluirá la identificación de este en la petición.

Art. 61.2.a), 61.3 y 61.4

Condiciones de las plataformas de intermediación Ciber

Las plataformas de intermediación deben dejar constancia de la fecha y hora de cada transmisión y del procedimiento, trámite o actuación al que se refiere la consulta, y ser interoperables entre sí y con la Plataforma de Intermediación estatal. La adhesión a una plataforma exige garantizar el cumplimiento de las condiciones de seguridad que impongan los cedentes de la información, tanto para la plataforma que trata los datos como para los cesionarios.

Literal de la norma La adhesión a las plataformas de intermediación de datos requerirá que se garantice el cumplimiento de las condiciones de seguridad exigidas por los cedentes de la información para el tratamiento de datos por parte de la plataforma encargada del tratamiento de dichos datos y de los cesionarios de los mismos.

Art. 62.1

Condiciones de seguridad al adherirse a una plataforma Ciber

Adherirse a una plataforma, registro o servicio electrónico de la Administración General del Estado exige cumplir las condiciones de seguridad exigidas por los cedentes de la información, y la misma regla se aplica a los órganos constitucionales que se adhieran. Cuando una comunidad autónoma o una entidad local decide no adherirse, debe justificarlo en términos de eficiencia y acreditar en su informe que sus propias plataformas cumplen los requisitos del Esquema Nacional de Interoperabilidad, del Esquema Nacional de Seguridad y de sus normas técnicas. Quedarse fuera obliga a demostrar equivalencia.

Literal de la norma La adhesión a una plataforma de la Administración General del Estado requerirá que se cumplan las condiciones de seguridad exigidas por los cedentes de la información.

Art. 65.2 y 65.4 · disp. adicional quinta, apartado 4

Integridad del dato frente a manipulación Compartida

Controles que impiden que el dato se falsifique, se sustraiga, se altere o se elimine sin autorización, y que permiten demostrarlo después: su objetivo es poder acreditar que el dato no ha sido alterado.

Arts. 21.2, 21.3, 50, 51 y 55.2 · categorización del curador, no de la norma

Gestión de identidades y accesos (IAM) Compartida

Un sistema de gestión de identidades y accesos: cada identidad, humana o de máquina, es conocida, se autentica por un punto controlado y pierde el acceso cuando corresponde.

Arts. 24, 26, 28, 29 y disp. adicional tercera · categorización del curador, no de la norma

Gestión de riesgos de seguridad Compartida

Conocer a qué está expuesto el negocio y decidir qué se acepta y qué se trata: el proceso de gestión de riesgos determina las prioridades del resto de iniciativas.

Disp. adicional tercera, apartado 3 · categorización del curador, no de la norma

Criptografía y protección del dato Compartida

Protección del dato en reposo y en tránsito mediante cifrado, gobernada por decisiones documentadas sobre qué se cifra, con qué algoritmos y cómo se custodian las claves.

Art. 17, art. 18, art. 22.3 · disp. final segunda, apartado seis · categorización del curador, no de la norma

Monitorización y detección Compartida

Capacidad de observar de forma continua lo que ocurre en sistemas, redes y servicios, sostenida como un servicio con responsable y no como una herramienta desatendida.

Art. 39.2 · categorización del curador, no de la norma

Gestión de riesgos de terceros (TPRM) Compartida

Gobernar el riesgo que entra por los proveedores: el riesgo del proveedor es riesgo propio, la cadena no termina en quien firma el contrato, y la relación completa, desde la selección hasta la terminación, se gestiona con la seguridad integrada.

Art. 62.1, art. 65.2 y 65.4 · categorización del curador, no de la norma

Administración Pública

El sujeto general de la norma. Alcanza a la Administración General del Estado, a las de las comunidades autónomas, a las entidades que integran la Administración Local y al sector público institucional de todas ellas, porque el ámbito subjetivo se toma prestado del artículo 2 de la Ley 39/2015 y del artículo 2 de la Ley 40/2015. No hay umbral de tamaño ni de población: la misma obligación pesa sobre un ministerio y sobre un ayuntamiento pequeño.

Literal de la norma El ámbito subjetivo de aplicación es el establecido en el artículo 2 de la Ley 39/2015, de 1 de octubre, y el artículo 2 de la Ley 40/2015, de 1 de octubre.

Art. 1.2

Titular de sede electrónica

La Administración, organismo público o entidad de derecho público a quien corresponde la titularidad de una sede electrónica o de una sede electrónica asociada. Soporta el contenido mínimo, los servicios de verificación y la responsabilidad sobre la integridad, veracidad y actualización de lo que se publica en ella, incluida la parte que sea competencia de otro órgano cuando la sede la incorpora.

Literal de la norma La titularidad de la sede electrónica corresponde a una Administración Pública, o bien a uno o varios organismos públicos o entidades de derecho público en el ámbito de sus competencias.

Art. 9.2 y art. 12

SGAD (Administración Digital)

El órgano que concentra las llaves técnicas del ámbito estatal. Autoriza previamente los sistemas de identificación de clave concertada y los sistemas de firma que no se apoyan en certificado cualificado, y solo puede denegar la autorización por motivos de seguridad pública y previo informe vinculante de la Secretaría de Estado de Seguridad. Es además responsable de la plataforma de verificación de certificados y gestiona la Plataforma de Intermediación de Datos.

Arts. 16.1, 26.2.c), 28.2, 29.4 y 62.2

Centro Criptológico Nacional

Interviene en dos puntos. En el ámbito estatal, ningún sistema de código seguro de verificación puede desplegarse sin su informe previo. Y por la reforma que este real decreto introduce en el Esquema Nacional de Interoperabilidad, es el órgano competente para garantizar la interoperabilidad en materia de ciberseguridad y criptografía en la aplicación de ese Esquema.

Literal de la norma En el ámbito estatal, la utilización de este sistema requerirá resolución de la persona titular de la Subsecretaría del Ministerio o de la persona titular de la Presidencia o de la Dirección del organismo público o entidad de derecho público vinculado o dependiente, previo informe del Centro Criptológico Nacional y de la Secretaría General de Administración Digital.

Art. 21.4 · disp. final segunda, apartado ocho

Prestador cualificado de confianza

El único obligado privado con deberes directos en la norma. Debe facilitar acceso electrónico y gratuito a la plataforma estatal para que esta verifique la vigencia de los certificados que él emite, puede consignar el número de identificación profesional en el certificado de empleado público a petición de la Administración, y ha de figurar en la lista de confianza para prestar sellado de tiempo al sector público.

Literal de la norma Los prestadores cualificados de servicios de confianza deberán facilitar a esta plataforma el acceso electrónico y gratuito para la verificación de la vigencia de los certificados electrónicos emitidos por aquellos en virtud de su cualificación de acuerdo con la legislación aplicable en materia de servicios electrónicos de confianza.

Art. 16.3, art. 23.1 y art. 50.3

Entidad privada con potestades públicas

Sociedades y fundaciones vinculadas o dependientes de una Administración, alcanzadas por el Reglamento solo cuando ejercen potestades administrativas. En el ámbito estatal deben adherirse a la sede electrónica asociada del ministerio del que dependan, notificar como disponga el responsable de esa sede y usar los medios de firma que se determinen por orden ministerial. Están además obligadas a relacionarse por medios electrónicos con las Administraciones.

Disp. adicional cuarta · arts. 20.2, 22.4, 56 y 57

Personal al servicio de la Administración

Quien actúa por la Administración cuando la actuación no está automatizada. Firma con certificado cualificado de empleado público y, en el ámbito estatal, se identifica con el sistema que corresponda al nivel de seguridad del trámite según el Esquema Nacional de Seguridad. Incluye al personal funcionario habilitado, que identifica o firma por cuenta del interesado que no dispone de medios y que expide copias auténticas, previa inscripción en el Registro de Funcionarios Habilitados.

Arts. 22, 23, 24, 30 y 31

Persona interesada

Recibe sobre todo derechos, pero también tres deberes verificables: asegurar el buen uso de sus sistemas de identificación y velar por que solo accedan a su Carpeta Ciudadana ella misma o un tercero autorizado; mantener operativo el medio de contacto que haya designado para los avisos de notificación o comunicar que deje de usarse; y subsanar los documentos que ya haya presentado en los que se detecte código malicioso.

Literal de la norma El interesado deberá asegurar el buen uso de los sistemas de identificación y velar por que el acceso a su carpeta Ciudadana solo se haga por sí mismo o por tercero autorizado.

Art. 8.4, art. 43.1 y art. 39.2