Falsear datos en el SINAC

Conducta

Falsedad de los datos notificados al SINAC. Infracción leve. Es el único tipo de toda la cadena que apunta directamente a la integridad de la información del sistema.

Importe

Multa de hasta 3.000 euros.

Art. 73.2.a).2.º · art. 58.1.c) de la Ley 33/2011

Notificar al SINAC fuera de plazo

Conducta

Incumplimiento de los plazos señalados en los artículos 23, 24 y 64, que son los de actuación ante incidencias y los de notificación e intercambio de información con el SINAC. Infracción leve.

Importe

Multa de hasta 3.000 euros.

Art. 73.2.a).1.º · art. 58.1.c) de la Ley 33/2011

No publicar la información al ciudadano

Conducta

No poner a disposición de la población la información al ciudadano que señala el anexo XI. Infracción leve.

Importe

Multa de hasta 3.000 euros.

Art. 73.2.a).5.º · art. 58.1.c) de la Ley 33/2011

Fallo grave de comunicación

Conducta

Incumplimiento de comunicación de información y del resto de obligaciones de la norma, cuando revista carácter de gravedad. Infracción grave. Es la cláusula por la que un fallo sostenido de notificación sale de la horquilla de las leves.

Importe

Multa de 3.001 a 60.000 euros.

Art. 73.2.b).4.º · art. 58.1.b) de la Ley 33/2011

No avisar a la población de la incidencia

Conducta

No comunicar a los ciudadanos la incidencia detectada o las medidas preventivas y correctoras adoptadas. Infracción muy grave. No es seguridad de la información, pero es el techo de la cadena y sitúa la escala de todo lo anterior.

Importe

Multa de 60.001 a 600.000 euros, que puede rebasarse hasta el quíntuplo del valor de mercado de los productos o servicios objeto de la infracción, y cierre temporal del establecimiento o servicio por un plazo máximo de cinco años.

Art. 73.2.c).1.º · art. 58.1.a) y 58.2 de la Ley 33/2011

La norma usa mucho la palabra incidencia, pero no en el sentido de este observatorio: sus incidencias son eventos de calidad del agua (superación de valores paramétricos, sospecha de agua no salubre, falta de suministro por más de veinticuatro horas) que se clasifican por tipos y se notifican al SINAC. No hay ningún régimen de notificación de incidentes de seguridad de la información: ni brecha, ni acceso indebido al sistema, ni indisponibilidad del SINAC tienen tratamiento en el texto. Una violación de seguridad sobre los datos del SINAC se notificaría por la vía del Reglamento General de Protección de Datos, que el propio anexo XI declara aplicable, y ante la Agencia Española de Protección de Datos. Esa lectura es del curador: la norma no lo dice.

Ministerio de Sanidad

Administra y gestiona el SINAC y adopta las medidas técnicas y organizativas que garanticen la seguridad de los datos (art. 62.1 y anexo XI, parte A, apdo. 4)

Autoridad sanitaria autonómica

Coadministra el sistema, tramita el alta de los administradores básicos de su territorio y mantiene un canal de denuncias en su web (art. 62.1, art. 63.8 y anexo XI, parte A, apdo. 3.c)

Operador de zona tipo 2 a 6

Toda entidad pública o privada que gestione zona de abastecimiento de esos tipos, o sus infraestructuras, tiene uso obligatorio del SINAC y responde de la veracidad de sus datos (art. 62.2.a) y 62.4)

Administración local

Notifica en el SINAC y publica en su web cuando la gestión es directa, y garantiza que lo haga el concesionario cuando es indirecta, delegada o mixta (art. 4.1.f) y 4.2.g)

Laboratorio de control

Los laboratorios públicos o privados que realizan los controles del agua tienen uso obligatorio y cargan los boletines de análisis en plazos contados desde la elaboración del informe (art. 62.2.a) y anexo XI, parte A, apdo. 7)

Administración hidráulica

La administración competente en las zonas de captación tiene uso obligatorio y puede volcar sus datos por ficheros de intercambio desde su propio sistema (art. 62.2.c) y art. 64.2)

Empresa de grabación de datos

El operador o el ayuntamiento pueden contratar a una empresa para grabar los datos de las infraestructuras y zonas que gestionan, sin que la norma le exija ninguna condición (anexo XI, parte A, apdo. 3.d)

Titular de edificio prioritario

Aparece en la lista de usuarios profesionales del SINAC, con las mismas condiciones de acceso que operadores y laboratorios (anexo XI, parte A, apdo. 1.b)

Exclusiones

Real Decreto 3/2023, de 10 de enero, por el que se establecen los criterios técnico-sanitarios de la calidad del agua de consumo, su control y suministro

Identificador

BOE-A-2023-628

Fuente

BOE · Texto consolidado · Agencia Estatal Boletín Oficial del Estado

Ciberseguridad

Conviene decirlo sin rodeos: al operador privado del agua esta norma casi no le exige nada en seguridad de la información. Son setenta y tres artículos y once anexos sobre calidad del agua, y todo su contenido de seguridad cabe en un apartado de un anexo, más una frase del artículo 53. Lo que sí hay es concreto: para entrar al sistema de información nacional hace falta certificado electrónico personal, cada entidad administra sus propios usuarios y sus permisos, y quien carga responde de la veracidad de lo cargado. El deber sustantivo de proteger los datos recae en el Ministerio de Sanidad, no en el operador. No hay cifrado, ni registro de accesos, ni notificación de brechas, ni auditoría, ni mención del Esquema Nacional de Seguridad.

Valoración del curador · nivel 1 de 5

Certificado electrónico personal para el acceso profesional Ciber

Para entrar al SINAC como usuario profesional hay que tener instalado un certificado personal. La norma nombra una clase concreta de un prestador concreto, el Certificado Digital clase 2CA de la Fábrica Nacional de Moneda y Timbre, y admite «u otro compatible» sin decir qué hace compatible a otro. Es el único control técnico que la norma impone al operador privado, y es de persona física: no vale un certificado de sello o de entidad.

Literal de la norma Para poder acceder a SINAC como usuario profesional, se deberá tener instalado el Certificado Digital clase 2CA (certificado personal) de la Fábrica Nacional de Moneda y Timbre u otro compatible.

Anexo XI, parte A, apdo. 1.c)

Cada entidad administra sus usuarios y sus permisos Ciber

La gestión de usuarios no está centralizada en el Ministerio: cada comunidad autónoma, cada ayuntamiento, cada laboratorio y cada empresa gestiona a los suyos y decide sus permisos de lectura, modificación, alta y baja sobre la información notificada. Para un operador esto significa que tiene que sostener una función de administración de identidades sobre un sistema que no es suyo, con la granularidad que la norma le da y sin que nadie le diga cómo revisarla.

Literal de la norma La gestión de usuarios está descentralizada, cada comunidad autónoma, cada ayuntamiento, cada laboratorio y cada empresa gestiona a sus usuarios y los permisos de estos para lectura / modificación / alta / baja de la información notificada.

Anexo XI, parte A, apdo. 3.a)

Alta y baja de usuarios por escrito, con DNI Ciber parcial

El alta se pide en cadena: los administradores básicos de operadores y ayuntamientos, ante el administrador autonómico; los administradores autonómicos, ante el Ministerio de Sanidad. Un administrador básico debe solicitar el alta ante todos los administradores autonómicos afectados territorialmente por las zonas de abastecimiento que gestione su entidad. La baja se comunica por escrito a la autoridad sanitaria, o al Ministerio si es un administrador autonómico.

Literal de la norma El registro como usuario profesional en el SINAC tendrá una validez ilimitada salvo que el administrador básico comunique la baja por escrito a la autoridad sanitaria. En el caso de administradores autonómicos se debe remitir al Ministerio de Sanidad.

Anexo XI, parte A, apdos. 3.b), 3.c) y 3.e)

Contratación de una empresa para grabar los datos Ciber parcial

El operador o el ayuntamiento pueden encargar a una empresa la grabación en el SINAC de los datos de las infraestructuras y zonas de abastecimiento que gestionan. La norma lo permite en una sola frase y no dice nada más: ni qué cualificación debe tener esa empresa, ni bajo qué condiciones accede, ni qué pasa al terminar el contrato.

Literal de la norma El operador o el ayuntamiento pueden contratar a una empresa para la grabación de los datos de las infraestructuras y zonas de abastecimiento que gestionen.

Anexo XI, parte A, apdo. 3.d)

Medidas técnicas y organizativas sobre los datos del SINAC Ciber

Es el único deber de seguridad redactado como tal en toda la norma, y recae en el Ministerio de Sanidad, no en el operador. Le obliga a adoptar en todo momento las medidas técnicas y organizativas que garanticen la seguridad de los datos y eviten su alteración, pérdida, tratamiento o acceso no autorizado, ponderando el estado de la tecnología, la naturaleza de los datos y los riesgos, incluidos los del medio físico o natural. No hay catálogo, ni niveles, ni auditoría, ni plazo: es un deber de resultado enunciado en una frase.

Literal de la norma El Ministerio de Sanidad adoptará en todo momento, las medidas de índole técnica y organizativas necesarias, que garanticen la seguridad de los datos y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a los que están expuestos, ya provengan de la acción humana o del medio físico o natural.

Anexo XI, parte A, apdo. 4

Sujeción del tratamiento al régimen de protección de datos Ciber parcial

Los tratamientos de datos personales en el SINAC se rigen con estricta sujeción al Reglamento General de Protección de Datos y a la Ley Orgánica 3/2018. Es una remisión al régimen vigente, no a normativa derogada, y conviene notarlo porque el apartado anterior sigue escrito con el vocabulario de la ley de protección de datos de 1999.

Literal de la norma Los tratamientos de datos de carácter personal de las personas físicas se realizarán con estricta sujeción a lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y el Consejo, de 27 de abril de 2016, […] y en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.

Anexo XI, parte A, apdo. 5

Protección de los datos sensibles de las zonas de captación Ciber

Es el único precepto de seguridad de la información que vive fuera del anexo XI, y pasa desapercibido porque está dentro de un artículo sobre cartografía. La caracterización de las zonas de captación incluye las referencias geográficas de todos los puntos de extracción, y la norma reconoce que esos datos podrían ser sensibles para la protección de la salud y la seguridad públicas: hay que garantizar que estén protegidos y comunicarlos exclusivamente a las autoridades correspondientes y a los operadores de agua pertinentes. Es una regla de clasificación y de necesidad de conocer sobre información de infraestructura crítica, aunque la norma no use ninguna de esas palabras ni diga cómo se protege.

Literal de la norma Dado que dichos datos podrían ser de carácter sensible, en particular en el marco de la protección de la salud y la seguridad públicas, se garantizará que estén protegidos y se comuniquen exclusivamente a las autoridades correspondientes y a los operadores de agua pertinentes.

Art. 53.1.c)

Responsabilidad sobre la veracidad de lo cargado Ciber

Los operadores, el municipio, los laboratorios, la autoridad sanitaria y la administración hidráulica responden de la actualización y la veracidad de sus datos cargados en el SINAC, y el anexo añade que, por ser el SINAC documento público, la calidad de lo notificado debe ser veraz y coherente, siendo responsable el usuario y el organismo que carga. Es una obligación de integridad con consecuencia real: falsear datos notificados al SINAC está tipificado como infracción leve.

Literal de la norma Los operadores, el municipio, los laboratorios, la autoridad sanitaria y la administración hidráulica serán los responsables de la actualización y veracidad de sus datos cargados en SINAC.

Art. 62.4 · anexo XI, parte A, apdo. 7.h)

Uso obligatorio del SINAC

El uso de la aplicación por internet es obligatorio para toda entidad pública o privada que gestione zona de abastecimiento de tipo 2 a 6, o sus infraestructuras, o que controle la calidad del agua, para la autoridad sanitaria que inspecciona o autoriza excepciones, y para la administración competente en las zonas de captación. En zonas tipo 0 y 1 el uso es voluntario salvo que la autoridad sanitaria lo imponga. Es la puerta de entrada de todo lo demás, pero no es en sí una obligación de seguridad.

Literal de la norma El uso de la aplicación del SINAC a través de Internet, es obligatorio para: […] Toda entidad pública o privada o persona jurídica que gestione zona de abastecimiento tipo 2, tipo 3, tipo 4, tipo 5 y tipo 6, o sus infraestructuras o que controle la calidad del agua de consumo o realice los controles señalados en los artículos 13 y 56;

Art. 62.2 y 62.3

Plazos de notificación y actualización

Los boletines de análisis de red de distribución se cargan como máximo en cuatro días laborales desde la elaboración del informe de resultados, y el resto en diez, salvo que haya incumplimiento, en cuyo caso rige el plazo corto. Los muestreos de finales de diciembre tienen hasta el 30 de enero. La información de infraestructuras y laboratorios se revisa anualmente. Son plazos de reporte, no de seguridad, y por eso la obligación no lleva marca; incumplirlos sí está tipificado como infracción leve.

Anexo XI, parte A, apdo. 7 · art. 64.4

Ficheros de intercambio con sistemas propios

Quien tenga sistema de información propio puede notificar al SINAC mediante ficheros de intercambio compatibles, en formato XML, al menos para alta de infraestructuras y laboratorios, alta de boletines, métodos de análisis y puntos de muestreo, y alta de inspecciones. Para eso se declara la estructura interna de la información del SINAC. La norma define el canal y el formato y no dice nada sobre cómo se protege ese intercambio.

Art. 64 · anexo XI, parte A, apdo. 6

Publicación en línea de la información al ciudadano

La administración local y el responsable legal publican en línea la información de la parte B.1 del anexo XI antes de las setenta y dos horas de tener los informes analíticos, y notifican la URL en el SINAC. Si una zona tipo 1 o 2 no tiene web, los boletines se ponen a disposición por otros medios antes de veinticuatro horas y el resto va en papel con la factura, una vez al año.

Art. 63.2 y 63.3

Gestión de identidades y accesos (IAM) Compartida

Un sistema de gestión de identidades y accesos: cada identidad, humana o de máquina, es conocida, se autentica por un punto controlado y pierde el acceso cuando corresponde.

Anexo XI, parte A, apdos. 1.c), 3.a) y 3.e) · categorización del curador, no de la norma

Ministerio de Sanidad

Administra y gestiona el SINAC junto a la autoridad sanitaria, y es quien soporta el único deber sustantivo de seguridad de la norma: adoptar las medidas técnicas y organizativas que garanticen la seguridad de los datos. Dentro del sistema ocupa el papel de administrador de la aplicación, a través de su Dirección General de Salud Pública, y es también quien publica la información agregada al ciudadano.

Literal de la norma El Ministerio de Sanidad adoptará en todo momento, las medidas de índole técnica y organizativas necesarias, que garanticen la seguridad de los datos y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a los que están expuestos, ya provengan de la acción humana o del medio físico o natural.

Art. 62.1 · anexo XI, parte A, apdos. 2.b) y 4

Autoridad sanitaria

La de la comunidad o ciudad autónoma. Coadministra el SINAC, gestiona el alta de los administradores básicos de operadores y ayuntamientos de su territorio, notifica inspecciones y recomendaciones sanitarias, y mantiene en su web un canal de denuncias para que se le comuniquen posibles incumplimientos de la norma.

Art. 62.1 y 62.2.b) · art. 63.8 · anexo XI, parte A, apdo. 3

Operador

La categoría central de la norma, y es deliberadamente ancha: alcanza a la administración local y a cualquier otra entidad pública o privada responsable de la gestión del suministro, de parte de él o de cualquier actividad ligada al suministro. Para el SINAC es usuario profesional de ámbito básico, necesita certificado personal, administra sus propios usuarios y permisos y responde de la veracidad de lo que carga.

Literal de la norma Operador: administración local u otra entidad pública o privada que sea responsable de la gestión del suministro del agua de consumo o de parte del mismo, o de cualquier otra actividad ligada al suministro.

Art. 2.p)

Administración local

El ayuntamiento. Cuando la gestión del suministro es directa, es operador a todos los efectos y le corresponde notificar en el SINAC y publicar en su web; cuando es indirecta, delegada o mixta, debe garantizar que el concesionario lo haga. En el SINAC administra sus propios usuarios igual que una empresa.

Art. 4.1.f) y 4.2.g) · art. 63.2 · anexo XI, parte A, apdo. 3.a)

Laboratorio de control

Laboratorio público o privado que realiza los controles del agua de consumo. Es usuario profesional de ámbito básico del SINAC, con obligación de uso cuando controla la calidad del agua, y gestiona sus propios usuarios y permisos. Los plazos de carga de boletines de análisis son suyos en la práctica, porque cuentan desde la elaboración del informe de resultados.

Art. 62.2.a) · anexo XI, parte A, apdos. 1.b), 2.a) y 3.a)

Empresa de grabación de datos

La empresa que el operador o el ayuntamiento pueden contratar para grabar en el SINAC los datos de las infraestructuras y zonas de abastecimiento que gestionan. Es el único tercero que la norma deja entrar en el sistema, y lo hace en una sola frase: no le exige cualificación, ni compromiso de confidencialidad, ni condición de seguridad alguna.

Literal de la norma El operador o el ayuntamiento pueden contratar a una empresa para la grabación de los datos de las infraestructuras y zonas de abastecimiento que gestionen.

Anexo XI, parte A, apdo. 3.d)

Administración hidráulica

La administración competente en las zonas de captación de las masas de agua superficiales o subterráneas. Tiene uso obligatorio del SINAC, puede volcar sus datos desde su propio sistema de información mediante ficheros de intercambio, y es destinataria de los datos sensibles de caracterización de las zonas de captación.

Art. 62.2.c) · art. 64.2 · disp. adicional décima

Titular de edificio prioritario

Figura entre los usuarios profesionales del SINAC junto a operadores y laboratorios. Su carga principal en la norma es el plan sanitario del agua de su edificio, que queda fuera de esta ficha; en el sistema de información aparece como usuario con las mismas condiciones de acceso que los demás.

Anexo XI, parte A, apdo. 1.b)