Operador · grave · interceptación legal

Conducta

Incumplimiento de las obligaciones en materia de interceptación legal impuestas en desarrollo del artículo 58 de la Ley General de Telecomunicaciones, que es exactamente lo que este reglamento y sus dos órdenes de desarrollo imponen. Infracción grave.

Importe

Hasta 2 000 000 EUR

Art. 101.1 · arts. 107.43 y 109.1.c) de la Ley 11/2022

Operador · grave · seguridad de la red

Conducta

Incumplimiento de las obligaciones relativas a la integridad y seguridad en la prestación de servicios o el suministro de redes de comunicaciones electrónicas. Es el tipo que alcanza a las condiciones de seguridad de red del reglamento. Infracción grave.

Importe

Hasta 2 000 000 EUR

Arts. 18.f) y 18.g) · arts. 107.22 y 109.1.c) de la Ley 11/2022

Cualquiera · muy grave · interceptación no autorizada

Conducta

Interceptación, sin autorización, de telecomunicaciones no destinadas al público en general, así como la divulgación de su contenido. Infracción muy grave. Es el reverso del régimen: castiga el uso indebido de la capacidad que la norma obliga a construir.

Importe

Multa de hasta 20 000 000 EUR, y la infracción puede dar lugar además a la inhabilitación del operador hasta cinco años para suministrar redes o prestar servicios.

Arts. 106.15, 109.1.a) y 109.1.b) de la Ley 11/2022

Conviene no confundir los dos circuitos. Una brecha de seguridad sobre la red o el servicio no se notifica por esta norma: se notifica al Ministerio por el artículo 63.3 de la Ley 11/2022 y, si afecta a datos personales, a la Agencia Española de Protección de Datos por su artículo 60.3. Lo que este reglamento y su orden de desarrollo regulan es la indisponibilidad del sistema de interceptación, que se comunica al agente facultado con fecha y hora de comienzo y de fin, y que en las paradas previsibles debe anunciarse con diez días de antelación. El plazo de tres meses para avisar de una modificación del sistema es el más exigente de todo el régimen y el que más fácilmente se pasa por alto, porque se activa con cualquier servicio nuevo que pueda afectar a la interceptación.

Riesgo particular de violación de la seguridad de la red pública o del servicio: informar a los abonados

Plazo

No fija plazo el reglamento

Desde cuándo corre

Desde que existe el riesgo particular. Si queda fuera de las medidas que debe tomar el prestador, se informa además de las posibles soluciones y de sus costes

Art. 62.2, párrafo segundo

Periodo en que no es posible remitir al agente facultado el resultado de una interceptación activa

Plazo

Siempre que sea posible, al producirse

Desde cuándo corre

Desde que deja de ser posible remitir los resultados. Si la interrupción es prolongada, se notifican por separado el comienzo y el final, con fecha y hora de cada suceso

Orden ITC/110/2009, art. 9.1

Interrupción previsible por mantenimiento programado o por cualquier otra circunstancia

Plazo

Al menos 10 días antes

Desde cuándo corre

Desde que la interrupción es previsible, no desde que se produce

Orden ITC/110/2009, art. 9.1, párrafo tercero

Modificación del sistema de interceptación o de cualquier otro elemento del operador que pueda afectar a la interceptación, incluida la provisión de servicios nuevos

Plazo

3 meses de antelación

Desde cuándo corre

Desde que se decide la modificación, no desde que se ejecuta

Orden ITC/110/2009, art. 9.3

Incidencia relacionada con los mecanismos de interceptación: registro interno

Plazo

Sin plazo; el registro es permanente

Desde cuándo corre

Desde que la incidencia se produce o se detecta. El registro anota el tipo, la fecha y hora, los efectos derivados y las medidas correctoras aplicadas

Orden ITC/110/2009, anexo II, apdo. 1.4

Agente facultado

Cuándo

Indisponibilidad, paradas programadas y cambios del sistema de interceptación; acuse de recibo, activación y desactivación de cada orden

En España

No es una autoridad de ciberseguridad ni un CSIRT: es policía judicial o personal del Centro Nacional de Inteligencia habilitado por una autoridad judicial, que opera desde un centro de recepción de interceptaciones. Todas estas comunicaciones viajan por canal seguro, y el operador debe mantener un punto de contacto permanente fuera del horario laboral a disposición de los coordinadores de esos centros.

Orden ITC/110/2009, arts. 8 y 9

Abonados

Cuándo

Riesgo particular de violación de la seguridad de la red pública o del servicio

En España

Informa el propio operador, sin autoridad de por medio. La Ley General de Telecomunicaciones reproduce este mismo deber en su artículo 60.2, así que el aviso al abonado se sostiene hoy en la ley y no solo en el reglamento.

Art. 62.2, párrafo segundo

Operador de red pública

Debe mantener la integridad de la red, procurar su seguridad frente al acceso no autorizado y garantizar la confidencialidad de los mensajes y el secreto de las comunicaciones (art. 18.f) y art. 18.g)

Prestador de servicio al público

Debe adoptar medidas técnicas y de gestión adecuadas para preservar la seguridad en la explotación de su red o en la prestación de sus servicios (art. 62.2)

Sujeto obligado

Operadores que presten o estén en condiciones de prestar servicios al público o de establecer o explotar redes públicas en España, con independencia de la naturaleza, el ámbito territorial y el momento de su habilitación (art. 85.1)

Equipamiento fuera de España

Alcanza a quien solo presta en España acceso a una red pública, aunque todo el equipamiento susceptible de emplearse para la interceptación esté bajo la jurisdicción de otro Estado (art. 85.1, párrafo segundo)

Operador de red mayorista

Quien pone su red a disposición de un prestador de servicios debe colaborar con él en el cumplimiento de los requisitos del capítulo (art. 85.2)

Socio de itinerancia

Quien acuerda facilitar servicio de itinerancia con un proveedor principal queda obligado a colaborar con él en los mismos términos (art. 85.2, párrafo segundo)

Operador pequeño

Sujeto obligado con red propia que cumple los requisitos de microempresa de la Recomendación 2003/361/CE: puede usar sistemas de interceptación no permanentes, propios o compartidos, con aprobación previa de los agentes facultados (Orden ITC/110/2009, art. 2.1.c) y apéndice, apdo. dd)

Menos de cinco órdenes al año

El sujeto obligado que no sea operador pequeño, tenga red propia y haya recibido cinco órdenes de interceptación o menos en el año anterior puede acogerse al mismo procedimiento, con seis meses para montar su propio sistema si supera esa cifra (Orden ITC/110/2009, disp. transitoria segunda)

Agente facultado

Policía judicial o personal del Centro Nacional de Inteligencia habilitado por una autoridad judicial, que recibe las comunicaciones interceptadas y la información relativa a la interceptación en su centro de recepción (art. 84.e) y art. 84.g)

Autoridad judicial

Acuerda o autoriza la interceptación y ordena su ejecución técnica; el reglamento no crea ningún supuesto propio de interceptación (art. 83, párrafo segundo, y art. 84.f)

Exclusiones

Real Decreto 424/2005, de 15 de abril, por el que se aprueba el Reglamento sobre las condiciones para la prestación de servicios de comunicaciones electrónicas, el servicio universal y la protección de los usuarios

Identificador

BOE-A-2005-6970

Fuente

BOE · Texto consolidado · Agencia Estatal Boletín Oficial del Estado

Ciberseguridad

Es un reglamento de mercado de telecomunicaciones, y la ciberseguridad ocupa una parte acotada de él: el capítulo II de su título V, que regula cómo se ejecuta y cómo se protege la interceptación legal, más el artículo 62 sobre seguridad de la red. Esa parte pesa poco en el conjunto de los ciento veinte artículos, pero lo que hay dentro es exigente y sigue vivo: obliga a construir un sistema de interceptación, a mantenerlo disponible y a protegerlo con un catálogo de controles que su orden de desarrollo detalla apartado por apartado. El resto de la norma (habilitación, registro de operadores, servicio universal, ocupación del dominio público) queda fuera del análisis.

Valoración del curador · nivel 2 de 5

Medidas técnicas y de gestión para preservar la seguridad Ciber

Adoptar medidas técnicas y de gestión adecuadas para preservar la seguridad en la explotación de la red o en la prestación de los servicios. El reglamento las orienta a garantizar los niveles de protección de datos personales y no enumera ni una sola medida concreta. El artículo 60.1 de la Ley General de Telecomunicaciones recogió después la misma fórmula y le añadió tres contenidos mínimos, así que hoy la exigencia se lee allí y este artículo queda como su antecedente reglamentario.

Literal de la norma Los operadores deberán adoptar las medidas técnicas y de gestión adecuadas para preservar la seguridad en la explotación de su red o en la prestación de sus servicios, para garantizar los niveles de protección de los datos de carácter personal establecidos en este reglamento y demás normativa aplicable.

Art. 62.2, párrafo primero

Informar a los abonados del riesgo de violación de la seguridad Ciber

Cuando exista un riesgo particular de violación de la seguridad de la red pública, avisar a los abonados. Si el riesgo queda fuera del alcance de las medidas que corresponden al prestador, hay que informar además de las posibles soluciones y de lo que costarían. Es un deber de aviso preventivo, anterior a cualquier incidente, y el mismo texto está hoy en el artículo 60.2 de la Ley General de Telecomunicaciones.

Literal de la norma En caso de que exista un riesgo particular de violación de la seguridad de la red pública de comunicaciones electrónicas, el operador que explote dicha red o preste el servicio de comunicaciones electrónicas informará a los abonados sobre dicho riesgo y, cuando el riesgo quede fuera del ámbito de las medidas que deberá tomar el prestador del servicio, sobre las posibles soluciones, con una indicación de los posibles costes.

Art. 62.2, párrafo segundo

Mantener la integridad y procurar la seguridad de la red pública Ciber

Son dos condiciones que pesan sobre todo operador de red pública por el solo hecho de explotarla: mantener la integridad de la red y evitar interferencias perjudiciales, y procurar su seguridad frente al acceso no autorizado garantizando la confidencialidad de los mensajes y el secreto de las comunicaciones. Están redactadas como deberes de resultado difuso, sin controles ni niveles. El artículo 63 de la Ley General de Telecomunicaciones exige hoy bastante más sobre la misma materia, con gestión de riesgos y medidas proporcionadas al estado de la técnica.

Literal de la norma g) Procurar la seguridad de las redes públicas contra el acceso no autorizado y garantizar la confidencialidad de los mensajes transmitidos y el secreto de las comunicaciones.

Art. 18.f) y art. 18.g)

Tener capacidad de interceptación instalada Ciber

Tener los equipos configurados de forma que puedan dar acceso a todas las comunicaciones transmitidas, generadas para su transmisión o recibidas por el sujeto de la interceptación, junto con sus datos de tráfico asociados y la información relativa a la interceptación, incluso cuando la comunicación queda en mero intento. La correlación entre una comunicación y su información asociada debe ser inequívoca siempre que sea técnicamente posible. El apartado 3 añade la parte que se olvida: disponer de los medios técnicos y humanos necesarios, no solo del equipamiento.

Literal de la norma Los sujetos obligados a los que hacen referencia los apartados anteriores deberán disponer de los medios técnicos y humanos que permitan el cumplimiento de las obligaciones establecidas en este reglamento.

Art. 86

Acotar el acceso a lo cubierto por la orden Ciber

El acceso a una comunicación se hace excluyendo cualquier otra que no esté incluida en el ámbito de la orden. Es el principio de minimización aplicado a la interceptación, y es una exigencia de diseño del sistema: si la arquitectura no sabe separar, la separación no existe.

Literal de la norma El acceso a una comunicación electrónica por el sujeto obligado se hará excluyendo cualquier otra comunicación que no se incluya en el ámbito de aplicación de la orden de interceptación legal.

Art. 87.1

Organización interna preparada para recibir y ejecutar la orden Ciber

Tener dispuesta la organización que garantice el cumplimiento de la orden en plazo: identificar la unidad habilitada para recibirla cuando se notifique y establecer los procedimientos internos que den soporte a las actuaciones necesarias. La orden de desarrollo lo completa exigiendo un punto de contacto permanente fuera del horario laboral, comunicado a los coordinadores de los centros de recepción.

Literal de la norma Los sujetos obligados conforme al artículo 85 deben tener dispuesta la organización necesaria que garantice el cumplimiento de la orden de interceptación legal en los términos establecidos en el artículo 99. Para ello, deberán identificar la unidad habilitada para recibir una orden de interceptación que les sea notificada y establecer los procedimientos internos para dar soporte a las actuaciones necesarias.

Art. 89.3

Información previa a la interceptación

Antes de ejecutar la orden, poner a disposición de la autoridad la información actualizada sobre los datos del artículo 90 y facilitar al agente facultado los servicios y características del sistema de telecomunicación que usa el sujeto de la medida, con el nombre del abonado y su documento de identidad o su identificación fiscal si obran en poder del operador. La obligación es de entrega de información, no de seguridad, y por eso no lleva marca.

Art. 89.1 y 89.2

Lugares restringidos y personal expresamente autorizado Ciber

La interceptación se realiza preferentemente en salas de acceso restringido que garanticen la confidencialidad, y en todo caso hay que adoptar las medidas técnicas necesarias para garantizar el secreto de las comunicaciones. El operador responde de que solo el personal expresamente autorizado pueda acceder a los mecanismos de interceptación. Son las dos únicas medidas de seguridad que el reglamento escribe por sí mismo; el detalle vive en el anexo II de la Orden ITC/110/2009.

Literal de la norma Sin perjuicio de lo establecido en la legislación sobre protección de materias clasificadas, el sujeto obligado será responsable de que sólo el personal que haya sido expresamente autorizado pueda acceder a los mecanismos de interceptación.

Arts. 91 y 92

Confidencialidad de la documentación y ejecución indetectable Ciber

Todo documento e información relativa a los procedimientos de interceptación circula solo entre personas autorizadas. Y la ejecución debe ser indetectable: las prestaciones del servicio tienen que ser las mismas que en ausencia de interceptación, sin que ninguna alteración permita sospechar que se está realizando. Es un requisito de diseño con consecuencias operativas, porque prohíbe cualquier degradación observable.

Literal de la norma La interceptación se efectuará de manera que ni el sujeto a la interceptación, ni ninguna persona no autorizada, pueda tener conocimiento de ella. En particular, las prestaciones del servicio deben ser las mismas que en ausencia de interceptación, y ninguna alteración de éste puede permitir sospechar que se está realizando una interceptación.

Art. 93

Impedir la manipulación del mecanismo y proteger lo obtenido Ciber

Las comunicaciones y la información relativa a la interceptación solo se facilitan al agente facultado. Para eso el operador debe poner todos los medios necesarios para impedir la manipulación de los mecanismos de interceptación y para garantizar la autenticidad, la confidencialidad y la integridad de lo obtenido. Es el artículo que convierte el sistema de interceptación en un activo que hay que defender y no solo en una función que hay que prestar.

Literal de la norma Las comunicaciones y la información relativa a la interceptación sólo se facilitarán al agente facultado. Para ello, los sujetos a los que se refiere el artículo 85 pondrán todos los medios necesarios para impedir la manipulación de los mecanismos de interceptación, y para garantizar la autenticidad, confidencialidad e integridad de la información obtenida con la interceptación.

Art. 97

Interfaces de interceptación preparadas en todo momento Ciber

Tener preparadas en todo momento una o más interfaces por las que se transmiten al centro de recepción las comunicaciones interceptadas y su información asociada. Sus características y el formato de transmisión no los fija el reglamento: los remite a especificaciones técnicas ministeriales, que llegaron con la Orden ITC/313/2010 adoptando la especificación ETSI TS 101 671 para las tecnologías que enumera.

Literal de la norma Los sujetos obligados deberán tener en todo momento preparadas una o más interfaces a través de las cuales las comunicaciones electrónicas interceptadas y la información relativa a la interceptación se transmitirán a los centros de recepción de las interceptaciones. […]

Art. 95

Entrega de la señal sin los efectos del cifrado propio reversible Ciber

Cuando el operador aplica a las comunicaciones interceptadas algún procedimiento de compresión, cifrado, digitalización o cualquier otra codificación, debe entregarlas desprovistas de los efectos de ese procedimiento, siempre que sean reversibles. El alcance es el que dice el texto: la codificación que el propio operador aplica y puede deshacer, no el cifrado de extremo a extremo que aporte el usuario. La calidad de lo entregado no puede ser inferior a la que recibe el destinatario de la comunicación. El artículo 58.11 de la Ley General de Telecomunicaciones reproduce hoy esta regla con el mismo texto.

Literal de la norma En el caso de que los sujetos obligados apliquen a las comunicaciones objeto de interceptación legal algún procedimiento de compresión, cifrado, digitalización o cualquier otro tipo de codificación, deberán entregar aquellas desprovistas de los efectos de tales procedimientos, siempre que sean reversibles.

Art. 96

Capacidad para interceptaciones múltiples y simultáneas Ciber

El sistema debe soportar más de una interceptación sobre la misma línea, usuario o abonado, y un número máximo de interceptaciones activas a la vez que el reglamento deja a orden ministerial. La Orden ITC/110/2009 lo convierte en una fórmula que depende del número de identidades proporcionadas por el operador en cada servicio y de un coeficiente acotado entre 0,25 y 1 que fija la orden de cada tecnología; la Orden ITC/313/2010 asigna a ese coeficiente el valor 1 para las tecnologías que cubre. Es un requisito de dimensionado, y crece con la base de clientes.

Literal de la norma Los sujetos obligados garantizarán que pueda llevarse a cabo de forma múltiple más de una interceptación legal en relación con una línea, un usuario o abonado.

Art. 98 · Orden ITC/110/2009, art. 15

Plazo de ejecución de la orden

El plazo es el que fije la orden. Cuando no fija ninguno, se ejecuta antes de las 12:00 horas del día laborable siguiente a su recepción, y la orden de desarrollo precisa que ese reloj arranca en la fecha y hora consignadas en el acuse de recibo. Si la orden declara urgencia, se ejecuta con la mayor brevedad posible. La activación se notifica al agente facultado.

Art. 99 · Orden ITC/110/2009, art. 8.2

Análisis de riesgos y documento de seguridad de la interceptación Ciber

Realizar el análisis y la gestión de riesgos de los mecanismos de interceptación y mantener actualizado un documento de seguridad que recoja diez contenidos tasados: personal con acceso, funciones y perfiles, responsable de seguridad designado, medidas y estándares aplicados, configuración del sistema operativo y aplicaciones instaladas, protección frente a programas maliciosos e intrusiones, condiciones del acceso remoto con su lista de personas autorizadas, procedimientos de instalación y mantenimiento, controles periódicos de verificación, y procedimientos de notificación y respuesta ante incidencias. El documento se revisa siempre que el sistema cambie, y la orden añade que se tenderá a aplicar el código de buenas prácticas de la norma UNE-ISO/IEC 17799.

Literal de la norma El sujeto obligado deberá realizar el análisis y gestión de riesgos de sus mecanismos de interceptación legal y elaborar y mantener actualizado un documento de seguridad relativo a la interceptación legal de las comunicaciones […]

Orden ITC/110/2009, anexo II, apdo. 1

Personal mínimo, con declaración de seguridad firmada Ciber

Las personas con acceso a los mecanismos de interceptación son el mínimo necesario, y su acceso se rige por los principios de necesidad de conocer, menor privilegio, separación de tareas y autorización, que la propia orden define en su apéndice. Cada una firma una declaración de seguridad, en el formato que acuerden operador y agentes facultados, en la que manifiesta haber recibido formación, se compromete a guardar confidencialidad estricta y declara conocer las consecuencias del uso indebido de los mecanismos.

Literal de la norma Las personas con acceso al sistema de interceptación deberán firmar una declaración de seguridad, en el formato que acuerden el sujeto obligado y los agentes facultados, por la que se declare haber recibido la formación adecuada para el desempeño de sus funciones y sobre los procedimientos operativos de seguridad, se comprometa a guardar estricta confidencialidad sobre toda la información relacionada con la interceptación legal de comunicaciones, y declare su conocimiento de las consecuencias del uso indebido de los mecanismos de interceptación.

Orden ITC/110/2009, anexo II, apdo. 2

Recinto protegido y custodia de la documentación Ciber

El sistema de interceptación se sitúa en recintos con control de acceso que permita detectar los accesos y los intentos no autorizados y actuar de inmediato, y la presencia de personal ajeno se limita al mínimo y queda registrada. Las órdenes de interceptación, los registros de auditoría, las copias de seguridad y la documentación del sistema se guardan en cajas fuertes, armarios o archivadores con cierre, con registro de entrada y salida que anota fecha, hora e identidad de quien los mueve. Al vencer el periodo de conservación, el responsable de seguridad los destruye de forma que impida recuperar la información, y la destrucción también se registra.

Orden ITC/110/2009, anexo II, apdos. 3 y 4

Seguridad del sistema de interceptación Ciber

Es el apartado más denso del catálogo. Acceso solo mediante usuarios exclusivos por persona, con relación actualizada e histórica de usuarios y perfiles y permisos ajustados al cometido de cada uno. Identificación, autenticación y autorización antes de cualquier acceso, preferentemente con un dispositivo de autenticación fuerte, con bloqueo ante intentos reiterados y ante eventos peligrosos como retirar el dispositivo o una inactividad excesiva. Sistema operativo actualizado y aplicaciones de detección y protección frente a programas maliciosos e intrusiones. Información cifrada en los discos duros. Borrado seguro que impida la recuperación posterior. Comunicación restringida a las direcciones estrictamente necesarias, y por internet solo con los centros de recepción de los agentes facultados. Acceso remoto solo cuando sea estrictamente necesario y por personas autorizadas por el responsable de seguridad. Y medidas para que fabricantes, integradores e instaladores no puedan comprometer el sistema ni acceder a información confidencial.

Literal de la norma El acceso tanto de personas como de procesos a la información y otros recursos del sistema de interceptación estará basado en los principios de necesidad de conocer, menor privilegio, separación de tareas y autorización […]

Orden ITC/110/2009, anexo II, apdo. 5

Seguridad de las funciones de interceptación internas Ciber

Las funciones de interceptación repartidas por la infraestructura de red quedan fuera del recinto y tienen régimen propio: acceso físico protegido con las medidas propias de la infraestructura según el estado del arte, ubicación discreta y secreta, actuaciones solo por personal expresamente autorizado del que se mantiene relación actualizada e histórica, y control lógico posible únicamente desde la función de administración del sistema.

Orden ITC/110/2009, anexo II, apdo. 6

Sistema centralizado de registros de auditoría Ciber

Disponer de un sistema centralizado que gestione los registros de auditoría de todos los componentes del sistema de interceptación, y que dé soporte a su generación, transmisión, almacenamiento, firma electrónica, verificación y análisis, garantizando autenticidad, confidencialidad, integridad y disponibilidad durante todo el ciclo de vida. El artículo 12 pone la base temporal: los relojes del sistema tienen un error máximo inferior al medio segundo y toman como referencia el patrón nacional de tiempo del Centro Nacional de Metrología. El formato de los registros y los sucesos auditables quedaron remitidos a una orden ministerial posterior.

Literal de la norma Los sujetos obligados dispondrán de un sistema centralizado para la gestión de los registros de auditoría de los diferentes componentes del sistema de interceptación. Dicho sistema dará soporte a la generación, transmisión, almacenamiento, firma electrónica, verificación y análisis de los mismos, y garantizará su autenticidad, confidencialidad, integridad y disponibilidad durante todo su ciclo de vida.

Orden ITC/110/2009, anexo II, apdo. 7 · art. 12

Canal seguro con el agente facultado Ciber

Las órdenes de interceptación y cualquier otra información importante para la seguridad del sistema viajan por canal seguro. Cuando ese canal es electrónico, la orden lo concreta: red privada virtual IPsec con el servicio ESP y el algoritmo AES, e información de administración por correo cifrado y firmado con firma electrónica reconocida, con acuse diferenciado de recepción y de apertura con constancia de fecha y hora. Se admiten soluciones alternativas si alcanzan un nivel de seguridad igual o superior y se acuerdan con los agentes facultados. La información que se intercambia entre operadores para colaborar se limita a la estrictamente necesaria y no puede usarse para ningún otro fin.

Literal de la norma El canal seguro electrónico, para la interfaz HI1, se realizará mediante una red privada virtual IPSec (VPN IPSec), configurada para garantizar los requisitos de un canal seguro, tal como está definido en el apéndice. Esta VPN IPSec empleará el servicio ESP (Encapsulating Security Payload) con el algoritmo de cifrado AES (Advanced Encryption Standard).

Orden ITC/110/2009, arts. 3 y 7

Disponibilidad del sistema de interceptación Ciber

La disponibilidad del sistema de interceptación no puede ser inferior a la del propio servicio comercial del operador, ni el plazo para resolver sus fallos superior al que el operador se compromete con sus abonados. Es un objetivo de nivel de servicio impuesto por norma y anclado en el compromiso comercial de cada operador, así que sube solo cuando sube el del servicio. Se acompaña de un punto de contacto permanente fuera del horario laboral para asuntos muy urgentes.

Literal de la norma La disponibilidad del sistema de interceptación legal del sujeto obligado, no será inferior al del servicio de comunicaciones electrónicas prestado por el sujeto obligado a sus abonados y usuarios, ni el plazo para resolver fallos del mismo será superior al establecido por el sujeto obligado en la prestación, a sus abonados y usuarios, del servicio de comunicaciones electrónicas.

Orden ITC/110/2009, art. 9.5 y 9.6

Identidades de prueba y estadística anual

El operador facilita a cada agente facultado al menos dos identidades de prueba por cada servicio que preste, que no corresponden a ninguna persona física y pueden interceptarse sin orden. Y elabora una estadística anual de las órdenes, prórrogas y modificaciones activadas y de las identidades interceptadas, que remite a la Secretaría de Estado de Telecomunicaciones antes del 15 de febrero del año siguiente. Son deberes de verificación y de reporte, no medidas de seguridad.

Orden ITC/110/2009, arts. 9.4 y 17

Gestión de riesgos de seguridad Compartida

Conocer a qué está expuesto el negocio y decidir qué se acepta y qué se trata: el proceso de gestión de riesgos determina las prioridades del resto de iniciativas.

Orden ITC/110/2009, anexo II, apdo. 1.1 y 1.3 · categorización del curador, no de la norma

Cuerpo normativo de seguridad Compartida

El cuerpo normativo de seguridad: qué se protege, quién decide y contra qué criterios se mide todo lo demás, escrito, comunicado a quien tiene que cumplirlo y vivo.

Orden ITC/110/2009, anexo II, apdo. 1 · categorización del curador, no de la norma

Gestión de identidades y accesos (IAM) Compartida

Un sistema de gestión de identidades y accesos: cada identidad, humana o de máquina, es conocida, se autentica por un punto controlado y pierde el acceso cuando corresponde.

Orden ITC/110/2009, anexo II, apdos. 2.2, 5.2 y 5.3 · categorización del curador, no de la norma

Criptografía y protección del dato Compartida

Protección del dato en reposo y en tránsito mediante cifrado, gobernada por decisiones documentadas sobre qué se cifra, con qué algoritmos y cómo se custodian las claves.

Orden ITC/110/2009, art. 7 y anexo II, apdo. 5.5 · categorización del curador, no de la norma

Seguridad física y del entorno Compartida

Protección del espacio físico donde operan los sistemas, un plano que las medidas lógicas no cubren.

Orden ITC/110/2009, anexo II, apdos. 3 y 4 · categorización del curador, no de la norma

Seguridad ligada al personal Compartida

La seguridad dentro del ciclo de vida del empleado: comprobaciones al contratar donde proceda, deberes claros durante la relación y salida ordenada.

Orden ITC/110/2009, anexo II, apdo. 2.4 · categorización del curador, no de la norma

Monitorización y detección Compartida

Capacidad de observar de forma continua lo que ocurre en sistemas, redes y servicios, sostenida como un servicio con responsable y no como una herramienta desatendida.

Orden ITC/110/2009, anexo II, apdo. 7 y art. 12 · categorización del curador, no de la norma

Capacidad de respuesta a incidentes Compartida

La capacidad de gestionar un incidente de seguridad de principio a fin, desde la detección del primer indicio hasta la recuperación de la operación normal.

Orden ITC/110/2009, anexo II, apdo. 1.4 y art. 9 · categorización del curador, no de la norma

Protección de la red y del perímetro Compartida

Proteger el perímetro y ordenar el interior de la red: sin segmentación, un único compromiso puede extenderse al conjunto de los sistemas.

Orden ITC/110/2009, anexo II, apdos. 5.7, 5.8 y 5.9 · categorización del curador, no de la norma

Gestión de vulnerabilidades Compartida

Tratar las vulnerabilidades como un proceso continuo con responsable y plazos, no como reacciones aisladas: las vulnerabilidades conocidas se gestionan en lugar de acumularse.

Orden ITC/110/2009, anexo II, apdos. 1.1.f) y 5.4 · categorización del curador, no de la norma

Gestión de riesgos de terceros (TPRM) Compartida

Gobernar el riesgo que entra por los proveedores: el riesgo del proveedor es riesgo propio, la cadena no termina en quien firma el contrato, y la relación completa, desde la selección hasta la terminación, se gestiona con la seguridad integrada.

Orden ITC/110/2009, anexo II, apdo. 5.9 · categorización del curador, no de la norma

Operador

Quien explota una red pública de comunicaciones electrónicas o presta un servicio de comunicaciones electrónicas disponible al público. Es la categoría general del reglamento y la que soporta las condiciones de seguridad de la red: mantener la integridad, procurar la protección frente al acceso no autorizado y garantizar el secreto de las comunicaciones.

Arts. 16 a 18

Sujeto obligado a la interceptación

Quien queda sujeto al capítulo II del título V. El disparador no es prestar el servicio, sino estar en condiciones de prestarlo, y no hay umbral de tamaño, de ámbito territorial ni de antigüedad de la habilitación. Alcanza también a quien solo da acceso a una red pública en España aunque todo el equipamiento con el que se materializaría la interceptación esté bajo jurisdicción de otro Estado.

Literal de la norma Estarán obligados a seguir los procedimientos y adoptar las medidas a las que se refiere el artículo 83 los operadores que presten o estén en condiciones de prestar servicios de comunicaciones electrónicas disponibles al público o de establecer o explotar redes públicas de comunicaciones en España, con independencia de la naturaleza, ámbito territorial y momento en que tuvo efecto su habilitación.

Art. 85.1

Operador colaborador

Quien no recibe la orden de interceptación pero sin cuya intervención no puede ejecutarse: el operador de red que la pone a disposición de un prestador de servicios y el prestador que acuerda facilitar itinerancia a un proveedor principal. La colaboración es obligación propia, no favor contractual, y su orden de desarrollo exige además que se pacte por escrito y se notifique a los agentes facultados.

Literal de la norma Cualquier operador de red que ponga ésta a disposición de un proveedor de servicios de comunicaciones electrónicas deberá colaborar con él en el cumplimiento de los requisitos de este capítulo. […]

Art. 85.2 · Orden ITC/110/2009, art. 2.1

Operador pequeño

Categoría que crea la orden de desarrollo, no el reglamento. Es el sujeto obligado que tiene red propia por la que encamina las comunicaciones de sus abonados y que además cumple todos los requisitos de microempresa de la Recomendación 2003/361/CE. Puede sustituir la infraestructura permanente de interceptación por sistemas no permanentes, propios o compartidos con otros operadores de su misma condición, si los agentes facultados aprueban antes sus características técnicas y su procedimiento. La opción no rebaja ninguna de las demás obligaciones ni las medidas de seguridad.

Orden ITC/110/2009, art. 2.1.c) y apéndice, apdo. dd)

Agente facultado

Quien recibe el resultado de la interceptación: policía judicial o personal del Centro Nacional de Inteligencia habilitado por una autoridad judicial para materializarla. Es la contraparte del operador en todo el circuito, y a él se le acusa recibo de la orden, se le notifica la activación, la desactivación y cualquier interrupción, y con él se acuerdan las soluciones técnicas que la norma deja abiertas.

Literal de la norma Agente facultado: policía judicial o personal del Centro Nacional de Inteligencia habilitado por una autoridad judicial para materializar una interceptación legal.

Art. 84.e)

Autoridad judicial

Quien acuerda o autoriza la interceptación y ordena lo necesario para su ejecución técnica. El reglamento no crea ningún supuesto de interceptación: las únicas que el operador está obligado a realizar son las que dispongan la Ley de Enjuiciamiento Criminal, la Ley Orgánica 2/2002 y otras normas con rango de ley orgánica.

Literal de la norma Autoridad judicial: autoridad a la que la ley faculta para acordar o autorizar la adopción y ordenar la ejecución técnica de una medida de interceptación legal.

Art. 84.f)