No hay multas, ni cuantías, ni autoridad sancionadora en esta norma. Lo que hay son consecuencias contractuales, y son severas: el pliego que omita las menciones sobre protección de datos y ubicación de servidores hace el contrato nulo de pleno derecho; el incumplimiento culpable de esas obligaciones, calificadas como esenciales, es causa de resolución del contrato; y la resolución firme por esa causa arrastra prohibición de contratar con el sector público. Es un régimen de consecuencias sobre el contrato y sobre la capacidad de seguir contratando, no sobre el patrimonio.

El real decreto-ley no crea ningún régimen de notificación de incidentes: no define qué es notificable, ni plazos, ni destinatarios. Lo que hace en esta materia es de gobierno, no de procedimiento: atribuye al Centro Criptológico Nacional la coordinación nacional de la respuesta técnica de los CSIRT del sector público y la función de enlace con los equipos internacionales. Qué se notifica y en cuánto tiempo lo dicen el Real Decreto-ley 12/2018 y su reglamento, el Real Decreto 43/2021, que tienen ficha propia en el observatorio.

Sistemas de identificación y firma

Toda entidad sujeta a la Ley 39/2015 que habilite sistemas de identificación o firma de la letra c) del artículo 9.2 o del 10.2, es decir, distintos del certificado y del sello cualificados (arts. 9.2, 9.3, 10.2 y 10.3 de la Ley 39/2015)

Censo, padrones, tributos y salud

Quien gestiona los sistemas del censo electoral, los padrones municipales y otros registros de población, los datos fiscales de tributos propios o cedidos y los datos de los usuarios del sistema nacional de salud (art. 46 bis de la Ley 40/2015)

Órganos de contratación

Cualquier órgano de contratación del sector público que licite un contrato cuya ejecución requiera ceder datos al contratista (arts. 116.1, 122.2 y 202.1 de la Ley 9/2017)

Adjudicatarios

La empresa adjudicataria de un contrato cuya ejecución exige tratar datos personales por cuenta del responsable del tratamiento, sea cual sea su sector y su tamaño (art. 122.2.c) y d) de la Ley 9/2017)

Licitadores que subcontratan servidores

Quien concurre a esos contratos y prevé subcontratar los servidores o los servicios asociados a ellos, que debe indicarlo en la oferta con el nombre o el perfil empresarial del subcontratista (art. 122.2.e) de la Ley 9/2017)

Centro Criptológico Nacional

Coordina la respuesta técnica de los CSIRT del sector público y hace de enlace para su cooperación transfronteriza (art. 11.3 del Real Decreto-ley 12/2018)

CSIRT de las Administraciones

Los equipos de respuesta de las Administraciones, con deber de consulta y colaboración con los órganos de seguridad nacional, seguridad pública, seguridad ciudadana y protección de datos (art. 11.3 del Real Decreto-ley 12/2018)

Exclusiones

Real Decreto-ley 14/2019, de 31 de octubre, por el que se adoptan medidas urgentes por razones de seguridad pública en materia de administración digital, contratación del sector público y telecomunicaciones

Identificador

BOE-A-2019-15790

Fuente

BOE · Texto consolidado · Agencia Estatal Boletín Oficial del Estado

Ciberseguridad

Es una norma de seguridad pública que no prescribe ni un solo control técnico: no hay análisis de riesgos, ni cifrado, ni auditoría, ni notificación de incidentes. Lo que sí hace es fijar tres cosas que un responsable de seguridad del sector público no puede decidir por su cuenta. Dónde puede estar alojado un sistema de identificación o un padrón, que es una restricción de arquitectura con la Unión Europea como suelo y España como suelo reforzado para las categorías especiales de datos. Qué tecnologías de identificación son admisibles, con un veto expreso a las de registro distribuido. Y qué tiene que constar en un pliego sobre la ubicación de los servidores del adjudicatario, con nulidad de pleno derecho del contrato si falta. Además coloca al Centro Criptológico Nacional como coordinador de la respuesta técnica de los CSIRT del sector público. Es exigible y tiene consecuencias duras, pero no dice cómo se protege nada.

Valoración del curador · nivel 3 de 5

El DNI como único documento de acreditación por sí solo Ciber parcial

Cambia el estatus del documento nacional de identidad: pasa de tener suficiente valor por sí solo para acreditar la identidad a ser el único documento que lo tiene, y con efectos generales. La redacción sigue vigente sin retoques posteriores.

Literal de la norma El Documento Nacional de Identidad es un documento público y oficial y tendrá la protección que a estos otorgan las leyes. Es el único documento con suficiente valor por sí solo para la acreditación, a todos los efectos, de la identidad y los datos personales de su titular.

Art. 1 · art. 8.1 de la Ley Orgánica 4/2015

Lista cerrada de sistemas de identificación y firma Ciber

Cierra la lista de sistemas con los que un ciudadano puede identificarse y firmar ante la Administración. Antes la ley admitía cualquier sistema con registro previo de usuario y enumeraba tres a título de ejemplo; desde esta norma los sistemas admisibles son esos tres y no otros. Los dos primeros son certificado cualificado de firma y de sello, expedidos por prestadores de la lista de confianza. El tercero es la vía abierta, y es la que la norma somete a control.

Literal de la norma Los interesados podrán identificarse electrónicamente ante las Administraciones Públicas a través de los sistemas siguientes: […]

Art. 3.Uno y 3.Dos · arts. 9.2 y 10.2 de la Ley 39/2015

El certificado cualificado tiene que valer para todo procedimiento Ciber

Ninguna Administración puede dejar un procedimiento accesible solo por su sistema propio de clave. Tiene que garantizar que el certificado cualificado de firma y el sello cualificado sirven para todo procedimiento, y en el caso de la firma para todos sus trámites, aunque además admita otro sistema. Es una garantía de disponibilidad del mecanismo de mayor nivel de seguridad, y la redacción de esta norma es la que sigue vigente.

Literal de la norma Las Administraciones Públicas deberán garantizar que la utilización de uno de los sistemas previstos en las letras a) y b) sea posible para todo procedimiento, aun cuando se admita para ese mismo procedimiento alguno de los previstos en la letra c).

Art. 3.Uno y 3.Dos · arts. 9.2 y 10.2 de la Ley 39/2015, párrafo final

Recursos de identificación y firma en la Unión, y en España si hay datos sensibles Ciber

Los recursos técnicos que recogen, almacenan, tratan y gestionan los sistemas de identificación y firma de la letra c) tienen que estar situados en territorio de la Unión Europea, y en territorio español cuando se traten categorías especiales de datos de las del artículo 9 del Reglamento (UE) 2016/679. En cualquiera de los dos casos los datos han de estar disponibles para el acceso de las autoridades judiciales y administrativas competentes. Es una restricción de arquitectura, no de contrato: alcanza tanto a lo que la entidad opera por sí misma como a lo que compra.

Literal de la norma En relación con los sistemas de identificación previstos en la letra c) del apartado anterior, se establece la obligatoriedad de que los recursos técnicos necesarios para la recogida, almacenamiento, tratamiento y gestión de dichos sistemas se encuentren situados en territorio de la Unión Europea, y en caso de tratarse de categorías especiales de datos a los que se refiere el artículo 9 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE, en territorio español. En cualquier caso, los datos se encontrarán disponibles para su acceso por parte de las autoridades judiciales y administrativas competentes.

Art. 3.Uno y 3.Dos · arts. 9.3 y 10.3 de la Ley 39/2015

Veto a la identificación por tecnologías de registro distribuido Ciber

Los sistemas de identificación basados en tecnologías de registro distribuido, y los de firma basados en ellos, no son admisibles en ningún caso ni pueden autorizarse mientras el Estado no los regule específicamente en el marco del Derecho de la Unión. Y cuando esa regulación llegue, tendrá que prever que la Administración General del Estado actúe como autoridad intermedia para garantizar la seguridad pública. El Tribunal Constitucional confirmó la prohibición. La primera excepción llegó en 2023 por Acuerdo del Consejo de Ministros, y es estrecha: cubre credenciales de la cartera digital cuya verificación se hace sobre la infraestructura europea de blockchain, dentro de proyectos europeos concretos, y exige que la credencial se ajuste al Esquema Nacional de Seguridad.

Literal de la norma No obstante lo dispuesto en los artículos 9.2 c) y 10.2 c) de la presente Ley, en las relaciones de los interesados con los sujetos sometidos al ámbito de aplicación de esta Ley, no serán admisibles en ningún caso y, por lo tanto, no podrán ser autorizados, los sistemas de identificación basados en tecnologías de registro distribuido y los sistemas de firma basados en los anteriores, en tanto que no sean objeto de regulación específica por el Estado en el marco del Derecho de la Unión Europea.

Art. 3.Tres · disp. adic. sexta de la Ley 39/2015

Censo, padrones, datos fiscales y datos de salud dentro de la Unión Ciber

Los sistemas de información y comunicaciones que recogen, almacenan, procesan y gestionan el censo electoral, los padrones municipales de habitantes y otros registros de población, los datos fiscales de tributos propios o cedidos y los datos de los usuarios del sistema nacional de salud tienen que ubicarse y prestarse dentro del territorio de la Unión Europea. La obligación alcanza también a los tratamientos de datos personales correspondientes, no solo a la infraestructura. Es un artículo nuevo, introducido por esta norma, y sigue vigente sin retoques.

Literal de la norma Los sistemas de información y comunicaciones para la recogida, almacenamiento, procesamiento y gestión del censo electoral, los padrones municipales de habitantes y otros registros de población, datos fiscales relacionados con tributos propios o cedidos y datos de los usuarios del sistema nacional de salud, así como los correspondientes tratamientos de datos personales, deberán ubicarse y prestarse dentro del territorio de la Unión Europea.

Art. 4.Uno · art. 46 bis de la Ley 40/2015

Sin transferencia a tercer país salvo decisión de adecuación Ciber

Los datos alcanzados por las dos obligaciones de ubicación anteriores no pueden transferirse a un tercer país ni a una organización internacional. Solo hay dos salidas: que exista decisión de adecuación de la Comisión Europea, o que lo exija el cumplimiento de las obligaciones internacionales asumidas por España. La misma cláusula aparece dos veces en el texto, en la Ley 39/2015 y en la Ley 40/2015, con idéntica redacción.

Literal de la norma Los datos a que se refiere el párrafo anterior no podrán ser objeto de transferencia a un tercer país u organización internacional, con excepción de los que hayan sido objeto de una decisión de adecuación de la Comisión Europea o cuando así lo exija el cumplimiento de las obligaciones internacionales asumidas por el Reino de España.

Art. 3.Uno y 3.Dos · art. 4.Uno · arts. 9.3 y 10.3 de la Ley 39/2015 y art. 46 bis de la Ley 40/2015

Cesión de datos entre Administraciones con control de finalidad Ciber parcial

Reescribe el régimen de transmisión de datos entre Administraciones para alinearlo con el Reglamento (UE) 2016/679 y la Ley Orgánica 3/2018, en lugar de con la derogada Ley Orgánica 15/1999. Cada Administración debe facilitar el acceso de las demás a los datos que obren en su poder, con condiciones y protocolos que garanticen seguridad, integridad y disponibilidad. Prohíbe el tratamiento ulterior para fines incompatibles, y para el tratamiento con una finalidad distinta pero compatible exige comunicarlo antes a la Administración cedente, que tiene diez días para oponerse de forma motivada. Si la cedente es la Administración General del Estado, puede además suspender cautelarmente la transmisión por razones de seguridad nacional.

Literal de la norma Cuando la Administración cedente sea la Administración General del Estado podrá en este supuesto, excepcionalmente y de forma motivada, suspender la transmisión de datos por razones de seguridad nacional de forma cautelar por el tiempo estrictamente indispensable para su preservación.

Art. 4.Dos · art. 155 de la Ley 40/2015

Mención expresa a la normativa de protección de datos en el contrato

El documento en que se formaliza el contrato tiene que referirse a la legislación aplicable con mención expresa al sometimiento a la normativa nacional y de la Unión Europea en materia de protección de datos. Es contenido mínimo del contrato, no del pliego.

Literal de la norma Referencia a la legislación aplicable al contrato, con expresa mención al sometimiento a la normativa nacional y de la Unión Europea en materia de protección de datos.

Art. 5.Uno · art. 35.1.d) de la Ley 9/2017

Finalidad del tratamiento declarada en el expediente

En los contratos cuya ejecución requiera ceder datos al contratista, el órgano de contratación debe especificar en el expediente cuál será la finalidad del tratamiento de los datos que se van a ceder. Se decide antes de licitar, no al firmar el encargo de tratamiento.

Literal de la norma En aquellos contratos cuya ejecución requiera de la cesión de datos por parte de entidades del sector público al contratista, el órgano de contratación en todo caso deberá especificar en el expediente de contratación cuál será la finalidad del tratamiento de los datos que vayan a ser cedidos.

Art. 5.Cuatro · art. 116.1 de la Ley 9/2017

El pliego menciona el deber del contratista sobre protección de datos

Todo pliego de cláusulas administrativas particulares debe mencionar expresamente la obligación del futuro contratista de respetar la normativa vigente en materia de protección de datos. Es el primero de los tres párrafos cuya omisión hace nulo el contrato.

Literal de la norma Los pliegos deberán mencionar expresamente la obligación del futuro contratista de respetar la normativa vigente en materia de protección de datos.

Art. 5.Cinco · art. 122.2, párrafo tercero, de la Ley 9/2017

Declaración de dónde están los servidores antes de formalizar Ciber

En los contratos cuya ejecución exija que el contratista trate datos personales por cuenta del responsable, el pliego tiene que imponer a la adjudicataria presentar, antes de la formalización del contrato, una declaración de dónde van a estar ubicados los servidores y desde dónde se van a prestar los servicios asociados a ellos. Son dos datos distintos: dónde reside la infraestructura y desde qué país se opera.

Literal de la norma La obligación de la empresa adjudicataria de presentar antes de la formalización del contrato una declaración en la que ponga de manifiesto dónde van a estar ubicados los servidores y desde dónde se van a prestar los servicios asociados a los mismos.

Art. 5.Cinco · art. 122.2.c) de la Ley 9/2017

Comunicación de cualquier cambio de ubicación durante el contrato Ciber

La declaración de ubicación no es una foto de la firma: hay que comunicar cualquier cambio que se produzca a lo largo de toda la vida del contrato. La norma no fija plazo para esa comunicación, así que el pliego es el que tiene que concretarlo si quiere uno.

Literal de la norma La obligación de comunicar cualquier cambio que se produzca, a lo largo de la vida del contrato, de la información facilitada en la declaración a que se refiere la letra c) anterior.

Art. 5.Cinco · art. 122.2.d) de la Ley 9/2017

Subcontratación de servidores declarada en la oferta Ciber

El licitador que prevea subcontratar los servidores o los servicios asociados tiene que indicarlo en su oferta, con el nombre del subcontratista o con su perfil empresarial definido por referencia a las condiciones de solvencia profesional o técnica. Es visibilidad del segundo escalón de la cadena antes de adjudicar, no después.

Literal de la norma La obligación de los licitadores de indicar en su oferta, si tienen previsto subcontratar los servidores o los servicios asociados a los mismos, el nombre o el perfil empresarial, definido por referencia a las condiciones de solvencia profesional o técnica, de los subcontratistas a los que se vaya a encomendar su realización.

Art. 5.Cinco · art. 122.2.e) de la Ley 9/2017

Las obligaciones del pliego son esenciales, y su incumplimiento resuelve Ciber

Las obligaciones de las letras a) a e) del artículo 122.2, entre ellas la declaración de ubicación de los servidores y la comunicación de sus cambios, deben calificarse en todo caso como esenciales. Esa calificación las conecta con la causa de resolución del artículo 211.1.f), y la resolución firme por incumplimiento culpable de una obligación esencial arrastra prohibición de contratar con cualquier entidad del sector público. La cadena está escrita en la propia norma, que reescribió también la letra d) del artículo 71.2 para cerrarla.

Literal de la norma En los pliegos correspondientes a los contratos a que se refiere el párrafo anterior las obligaciones recogidas en las letras a) a e) anteriores en todo caso deberán ser calificadas como esenciales a los efectos de lo previsto en la letra f) del apartado 1 del artículo 211.

Art. 5.Cinco y art. 5.Tres · arts. 122.2, 211.1.f) y 71.2.d) de la Ley 9/2017

Nulidad de pleno derecho del contrato si el pliego calla Ciber

Es la consecuencia más dura de la norma y recae sobre el órgano de contratación. Si el pliego no menciona lo previsto en los párrafos tercero, cuarto y quinto del artículo 122.2, es decir, el deber general de respetar la normativa de protección de datos, las cinco letras que incluyen la ubicación de los servidores y su calificación como esenciales, el contrato es nulo de pleno derecho.

Literal de la norma La falta de mención en los pliegos de lo previsto en los párrafos tercero, cuarto y quinto del apartado 2 del artículo 122.

Art. 5.Dos · art. 39.2.h) de la Ley 9/2017

Condición especial de ejecución obligatoria sobre protección de datos Ciber parcial

En todo contrato cuya ejecución implique cesión de datos al contratista es obligatorio establecer en el pliego una condición especial de ejecución que le obligue a someterse a la normativa nacional y de la Unión Europea en materia de protección de datos, advirtiéndole además de que esa obligación tiene carácter de obligación contractual esencial. La redacción sigue vigente: la modificación posterior del artículo 202.1 añadió un párrafo sobre desperdicio alimentario y no tocó este.

Literal de la norma Asimismo en los pliegos correspondientes a los contratos cuya ejecución implique la cesión de datos por las entidades del sector público al contratista será obligatorio el establecimiento de una condición especial de ejecución que haga referencia a la obligación del contratista de someterse a la normativa nacional y de la Unión Europea en materia de protección de datos, advirtiéndose además al contratista de que esta obligación tiene el carácter de obligación contractual esencial de conformidad con lo dispuesto en la letra f) del apartado 1 del artículo 211.

Art. 5.Seis · art. 202.1 de la Ley 9/2017

El contratista principal responde también de sus subcontratistas Ciber parcial

Los subcontratistas quedan obligados solo ante el contratista principal, y este asume la responsabilidad total de la ejecución frente a la Administración, incluido el cumplimiento de la obligación de sometimiento a la normativa de protección de datos del último párrafo del artículo 202.1. Que la Administración conozca los subcontratos o los haya autorizado no altera esa responsabilidad exclusiva.

Literal de la norma Los subcontratistas quedarán obligados solo ante el contratista principal que asumirá, por tanto, la total responsabilidad de la ejecución del contrato frente a la Administración, con arreglo estricto a los pliegos de cláusulas administrativas particulares o documento descriptivo, y a los términos del contrato; incluido el cumplimiento de las obligaciones en materia medioambiental, social o laboral a que se refiere el artículo 201, así como de la obligación a que hace referencia el último párrafo del apartado 1 del artículo 202 referida al sometimiento a la normativa nacional y de la Unión Europea en materia de protección de datos.

Art. 5.Siete · art. 215.4 de la Ley 9/2017

El CCN coordina la respuesta técnica de los CSIRT del sector público Ciber

Atribuye al Centro Criptológico Nacional la coordinación nacional de la respuesta técnica de los equipos de respuesta a incidentes en materia de seguridad de las redes y sistemas de información de todo el sector público comprendido en la Ley 39/2015 y en la Ley 40/2015. Es una coordinación permanente y general, distinta de la que el apartado 2 del mismo artículo reservaba a los supuestos de especial gravedad. Para una entidad pública significa que la coordinación técnica por encima de su propio equipo está atribuida por ley a un organismo concreto, y que su escalado tiene que contemplarlo.

Art. 7 · art. 11.3, párrafo primero, del Real Decreto-ley 12/2018

Consulta y colaboración con los órganos de seguridad y protección de datos Ciber

Los equipos de respuesta de las Administraciones tienen que consultar, cuando proceda, con los órganos competentes en seguridad nacional, seguridad pública, seguridad ciudadana y protección de datos personales, y colaborar con ellos. La norma no dice cuándo procede, así que el criterio lo fija cada equipo en su procedimiento.

Art. 7 · art. 11.3, párrafo segundo, del Real Decreto-ley 12/2018

Enlace único para la cooperación transfronteriza Ciber

El Centro Criptológico Nacional ejerce la función de enlace para garantizar la cooperación transfronteriza de los equipos de respuesta de las Administraciones Públicas con los equipos internacionales, en la respuesta a incidentes y en la gestión de riesgos de seguridad que les correspondan. Un equipo de una Administración no coopera directamente con el exterior: lo hace a través de ese enlace.

Literal de la norma El CCN ejercerá la función de enlace para garantizar la cooperación transfronteriza de los CSIRT de las Administraciones Públicas con los CSIRT internacionales, en la respuesta a los incidentes y gestión de riesgos de seguridad que les correspondan.

Art. 7 · art. 11.3, párrafo tercero, del Real Decreto-ley 12/2018

Control de la ubicación de los sistemas y de los datos

Saber y poder demostrar en qué territorio residen los sistemas y los datos de cada servicio, y tratar esa ubicación como un requisito que condiciona la arquitectura antes que como un dato de inventario. Implica fijar por escrito el territorio admisible de cada conjunto de datos, distinguir dentro de ellos los que llevan categorías especiales y por tanto no pueden salir de España, comprobar la ubicación real de las regiones de nube y de los servicios gestionados que se usan, y mantener cerrada la puerta de las transferencias internacionales salvo decisión de adecuación. La comprobación no es única: la ubicación cambia sin aviso cuando un proveedor migra una región o subcontrata un servicio.

Arts. 9.3 y 10.3 de la Ley 39/2015 · art. 46 bis de la Ley 40/2015 · categorización del curador, no de la norma

Gobierno de los sistemas de identificación y firma admitidos

Decidir y documentar con qué mecanismos se identifica y firma el ciudadano en cada procedimiento, con una lista cerrada de lo admisible y una tecnología expresamente vetada. No basta con elegir: hay que garantizar que el mecanismo de mayor nivel, el certificado cualificado, funciona en todos los procedimientos y trámites, mantener el registro previo de usuario que sostiene la identidad de los sistemas propios, y pasar por el trámite estatal antes de dar eficacia jurídica a un sistema nuevo.

Arts. 9.2, 10.2 y disp. adic. sexta de la Ley 39/2015 · categorización del curador, no de la norma

Gestión de riesgos de terceros (TPRM) Compartida

Gobernar el riesgo que entra por los proveedores: el riesgo del proveedor es riesgo propio, la cadena no termina en quien firma el contrato, y la relación completa, desde la selección hasta la terminación, se gestiona con la seguridad integrada.

Arts. 39.2.h), 122.2, 202.1, 211.1.f), 215.4 y 71.2.d) de la Ley 9/2017 · categorización del curador, no de la norma

Capacidad de respuesta a incidentes Compartida

La capacidad de gestionar un incidente de seguridad de principio a fin, desde la detección del primer indicio hasta la recuperación de la operación normal.

Art. 11.3 del Real Decreto-ley 12/2018 · categorización del curador, no de la norma

Entidad del sector público

Las Administraciones Públicas y las entidades sujetas a la Ley 39/2015 y a la Ley 40/2015, sin distinción de nivel territorial ni de tamaño. Soportan el grueso de la norma: la restricción de dónde pueden estar sus sistemas de identificación y firma y los sistemas del censo, los padrones, los datos fiscales y los de salud; la lista cerrada de sistemas de identificación admisibles; el veto al registro distribuido; y el régimen de cesión de datos a otras Administraciones.

Arts. 3 y 4 · disp. trans. primera y segunda

Órgano de contratación

Quien tramita el expediente y aprueba los pliegos. Es el destinatario de casi todo el capítulo de contratación: tiene que declarar la finalidad del tratamiento en el expediente, incluir en el pliego las menciones de protección de datos y de ubicación de servidores, calificarlas como obligaciones esenciales e imponer la condición especial de ejecución. Si no lo hace, el contrato es nulo de pleno derecho.

Art. 5 · arts. 39.2.h), 116.1, 122.2 y 202.1 de la Ley 9/2017

Licitador

La empresa que concurre a una licitación cuya ejecución exige tratar datos personales por cuenta del sector público. Su deber nace en la oferta y es de transparencia sobre la cadena: declarar si prevé subcontratar los servidores o los servicios asociados y con quién.

Art. 5.Cinco · art. 122.2.e) de la Ley 9/2017

Adjudicatario

La empresa que resulta adjudicataria de uno de esos contratos. Antes de formalizar declara dónde van a estar sus servidores y desde dónde va a prestar los servicios asociados, y durante toda la vida del contrato comunica cualquier cambio de esa información. Son obligaciones esenciales, así que su incumplimiento culpable resuelve el contrato y arrastra prohibición de contratar con el sector público.

Art. 5.Cinco y art. 5.Tres · arts. 122.2.c) y d), 211.1.f) y 71.2.d) de la Ley 9/2017

Centro Criptológico Nacional

El coordinador nacional de la respuesta técnica de los equipos de respuesta a incidentes del sector público, y su enlace con los equipos internacionales. La norma le da esa función de forma permanente y para todo el sector público, no solo para los supuestos de especial gravedad que ya preveía el Real Decreto-ley 12/2018.

Literal de la norma El Centro Criptológico Nacional (CCN) ejercerá la coordinación nacional de la respuesta técnica de los equipos de respuesta a incidentes de seguridad informática (CSIRT) en materia de seguridad de las redes y sistemas de información del sector público comprendido en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y en la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público.

Art. 7 · art. 11.3 del Real Decreto-ley 12/2018

CSIRT de las Administraciones Públicas

Los equipos de respuesta a incidentes que operan las Administraciones. Quedan bajo la coordinación técnica del Centro Criptológico Nacional y con un deber propio de consulta y colaboración con los órganos competentes en seguridad nacional, seguridad pública, seguridad ciudadana y protección de datos.

Literal de la norma Los CSIRT de las Administraciones Públicas consultarán, cuando proceda, con los órganos con competencias en materia de seguridad nacional, seguridad pública, seguridad ciudadana y protección de datos de carácter personal y colaborarán con ellos en el ejercicio de sus respectivas funciones.

Art. 7 · art. 11.3 del Real Decreto-ley 12/2018