Ninguno de los dos reglamentos fija importes, escalones ni autoridad sancionadora. Los dos hacen lo mismo: obligan al Estado a que el uso indebido de los datos sea sancionable con arreglo a su Derecho nacional, con sanciones efectivas, proporcionadas y disuasorias. El único mandato con contenido propio está en el artículo 45, apartado 7, del Reglamento (UE) 2018/1861, que cierra el círculo entre las dos capas: cuando un incidente de seguridad se deba a la utilización indebida de datos, el Estado debe velar por que se impongan sanciones. Qué norma española concreta ese mandato no se ha localizado en esta revisión.

La notificación de estos reglamentos no sustituye a la de protección de datos. Ambos artículos dicen «sin perjuicio de» la notificación de una violación de la seguridad de los datos personales conforme al artículo 33 del Reglamento (UE) 2016/679 o al artículo 30 de la Directiva (UE) 2016/680. Un mismo suceso puede disparar los dos relojes a la vez, con destinatarios que se solapan solo en parte.

Incidente de seguridad que afecte al Sistema de Información de Schengen o a la información complementaria intercambiada entre oficinas Sirene.

Plazo

Sin demora, sin plazo numérico

Desde cuándo corre

Que el incidente se produzca. La norma no lo ata al conocimiento por parte de un responsable ni concede ventana de evaluación previa.

Art. 45.1 y 45.3

Incidente de seguridad que afecte a los componentes de interoperabilidad: portal europeo de búsqueda, servicio de correspondencia biométrica compartido, registro común de datos de identidad o detector de identidades múltiples.

Plazo

Sin demora, sin plazo numérico

Desde cuándo corre

Que el incidente se produzca, en los mismos términos que el del SIS. Se aplica a cada componente desde que ese componente entra en funcionamiento.

Art. 43.1 y 43.3 del Rgto. (UE) 2019/817

Información sobre un incidente que repercuta o pueda repercutir en el funcionamiento del sistema en otro Estado o en eu-LISA, o en la disponibilidad, integridad y confidencialidad de los datos introducidos o enviados por otros Estados.

Plazo

Sin demora, conforme al plan de gestión de incidentes de eu-LISA

Desde cuándo corre

Que el incidente tenga o pueda tener efecto transfronterizo. La transmisión va a todos los Estados miembros, no solo al afectado.

Art. 45.4

Comisión Europea

Cuándo

Sin demora, en todo incidente de seguridad

En España

Destinatario europeo, sin ventanilla nacional. La Comisión informa a su vez de inmediato al Parlamento Europeo y al Consejo cuando el incidente es grave, y esos informes se clasifican como EU RESTRICTED/RESTREINT UE.

Comisión Europea ↗

Art. 45.3 · art. 43.3 del Rgto. (UE) 2019/817

eu-LISA

Cuándo

Sin demora, en todo incidente de seguridad

En España

Agencia de la Unión, con sede operativa fuera de España. Es quien establece el plan de gestión de incidentes por el que se comunica la información a los demás Estados y quien notifica en sentido inverso cuando el incidente afecta a la infraestructura central.

Art. 45.3 · art. 43.3 del Rgto. (UE) 2019/817

Autoridad de control competente en materia de protección de datos

Cuándo

Sin demora, en todo incidente de seguridad

En España

La Agencia Española de Protección de Datos, que el artículo 48 de la Ley Orgánica 7/2021 designa autoridad de protección de datos independiente para los tratamientos con fines policiales y penales, junto con las autoridades autonómicas de protección de datos para los tratamientos de los que sean responsables en su ámbito de competencia.

Agencia Española de Protección de Datos ↗

Art. 45.3 · art. 43.3 del Rgto. (UE) 2019/817

Supervisor Europeo de Protección de Datos

Cuándo

Sin demora, en todo incidente de seguridad

En España

Destinatario europeo. Audita además cada cuatro años el tratamiento de datos personales por parte de eu-LISA, con envío del informe al Parlamento Europeo, al Consejo, a la Comisión y a las autoridades de control nacionales.

Art. 45.3 · art. 43.3 del Rgto. (UE) 2019/817

Los demás Estados miembros

Cuándo

Cuando el incidente pueda afectar a datos introducidos o enviados por ellos

En España

La transmisión se canaliza por el plan de gestión de incidentes de eu-LISA, no por comunicación bilateral entre oficinas.

Art. 45.4

Estado miembro

Responsable de la creación, el funcionamiento, el mantenimiento y el desarrollo de su sistema nacional, de su conexión con el sistema central y de la disponibilidad ininterrumpida de los datos para los usuarios finales (art. 6)

Oficina N.SIS

Autoridad designada con la responsabilidad central sobre el sistema nacional, incluidos por nombre su correcto funcionamiento y su seguridad (art. 7.1)

Oficina Sirene

Punto de contacto único operativo las veinticuatro horas los siete días de la semana para el intercambio de información complementaria, con doce horas de plazo máximo de respuesta y seguridad exigida sobre sus propias instalaciones (art. 7.2, art. 8 y art. 10.2)

Autoridades con acceso al SIS

Fronteras, policía, aduanas, investigación penal, extranjería, protección internacional, visados, naturalización y autoridades judiciales, cada una dentro de los límites de sus competencias y solo con personal debidamente autorizado (art. 34 y art. 41.4)

Autoridades de interoperabilidad

Autoridades facultadas para acceder al portal europeo de búsqueda, al registro común de datos de identidad o al detector de identidades múltiples, sujetas a medidas equivalentes a las de eu-LISA (art. 42.4 del Reglamento (UE) 2019/817)

eu-LISA

Gestión operativa del sistema central y de la infraestructura de comunicación, con su propio artículo de seguridad, y encargada del tratamiento en los componentes de interoperabilidad (art. 15 y art. 16; art. 41 del Reglamento (UE) 2019/817)

Autoridad de control

Supervisa la legalidad del tratamiento en el sistema nacional y garantiza una auditoría de las operaciones de tratamiento al menos cada cuatro años, con normas internacionales de auditoría (art. 55)

Contratista externo

Cuando un Estado coopera con contratistas en cometidos relacionados con el sistema, debe supervisar atentamente su actividad en seguridad, confidencialidad y protección de datos (art. 11.2)

Exclusiones

Reglamento (UE) 2018/1861 del Parlamento Europeo y del Consejo, de 28 de noviembre de 2018, relativo al establecimiento, funcionamiento y utilización del Sistema de Información de Schengen (SIS) en el ámbito de las inspecciones fronterizas, por el que se modifica el Convenio de aplicación del Acuerdo de Schengen y se modifica y deroga el Reglamento (CE) n.º 1987/2006

Identificador

CELEX 32018R1861

Fuente

EUR-Lex · Texto consolidado 02018R1861 · Oficina de Publicaciones de la Unión Europea

Ciberseguridad

El objeto de estos reglamentos no es la ciberseguridad, sino una base de datos policial y de fronteras y el marco que la conecta con los demás sistemas de la Unión. Pero el capítulo que esta ficha lee es íntegramente de seguridad y no admite lectura blanda: catorce controles tasados que van del control de acceso a las instalaciones al criptografiado en la transmisión, tres planes exigidos por su nombre (seguridad, continuidad y recuperación ante catástrofe), registro de todo acceso y todo intercambio, formación previa y periódica del personal, supervisión de contratistas, prohibición de que una empresa privada opere el sistema nacional, notificación de incidentes sin demora a cuatro destinatarios y auditoría independiente cada cuatro años. Nada de eso está sujeto a umbral, a proporcionalidad por tamaño ni a régimen transitorio: es exigible desde que el sistema arrancó. Lo que rebaja el nivel es el alcance subjetivo, no la profundidad: el obligado es el Estado y sus autoridades, no el mercado.

Valoración del curador · nivel 4 de 5

Designar la autoridad responsable de la seguridad del sistema nacional Ciber

Designar una autoridad, la oficina N.SIS, con la responsabilidad central sobre el sistema nacional. La norma le atribuye por nombre el correcto funcionamiento y la seguridad, no solo la operación. Es la designación que da destinatario a todo lo demás.

Literal de la norma Dicha autoridad será responsable del correcto funcionamiento y la seguridad del N.SIS, garantizará el acceso de las autoridades competentes al SIS y adoptará las medidas necesarias para garantizar el cumplimiento de lo dispuesto en el presente Reglamento. Tendrá la responsabilidad de velar por que todas las funcionalidades del SIS se pongan debidamente a disposición de los usuarios finales.

Art. 7.1

Plan de seguridad, de continuidad y de recuperación ante catástrofe Ciber

Adoptar tres planes, nombrados uno a uno por la norma, para el sistema nacional. No son tres formas de decir lo mismo: el plan de seguridad sostiene los catorce controles del artículo, el de continuidad sostiene la disponibilidad ininterrumpida que exige el artículo 6, y el de recuperación ante catástrofe cubre la vuelta a funcionamiento normal tras una interrupción.

Literal de la norma Cada Estado miembro adoptará, en lo referente a su N.SIS, las medidas adecuadas, incluido un plan de seguridad, un plan de continuidad de las actividades y un plan de recuperación en caso de catástrofe, a fin de […]

Art. 10.1, encabezado

Protección física de los datos y de las instalaciones Ciber

Proteger los datos físicamente, con planes de emergencia para la protección de las infraestructuras críticas; impedir el acceso de personas no autorizadas a las instalaciones de tratamiento; e impedir que los soportes de datos puedan ser leídos, copiados, modificados o suprimidos sin autorización. Los tres controles llevan su nombre propio en el texto: control en la entrada de las instalaciones y control de los soportes de datos.

Literal de la norma proteger los datos físicamente, entre otras cosas mediante la elaboración de planes de emergencia para la protección de las infraestructuras críticas

Art. 10.1.a), b) y c)

Identificadores personales, mínimo privilegio y perfiles del personal Ciber

Que cada persona autorizada acceda solo a los datos de su competencia, y únicamente con identificadores de usuario personales e intransferibles y modos de acceso confidenciales. La norma no pide autenticación multifactor, pero sí prohíbe de raíz la cuenta compartida. Y añade un requisito documental con destinatario: toda autoridad con derecho de acceso tiene que establecer perfiles que describan funciones y responsabilidades de quien accede, introduce, actualiza, suprime y consulta, y ponerlos a disposición de la autoridad de control sin dilación cuando esta los pida.

Literal de la norma garantizar que, para la utilización de un sistema de tratamiento automatizado de datos, las personas autorizadas solo puedan tener acceso a los datos que sean de su competencia y ello únicamente con identificadores de usuario personales e intransferibles y con modos de acceso confidenciales (control de acceso a los datos)

Art. 10.1.e), g) y h)

Control de la entrada de datos y trazabilidad a posteriori Ciber

Impedir la introducción, inspección, modificación o supresión no autorizadas de datos, y poder reconstruir después qué datos personales se introdujeron, en qué momento, por qué persona y para qué fines. Junto con el control de la comunicación, que exige poder verificar a qué autoridades pueden transmitirse datos, es la capa de trazabilidad que hace verificable todo lo anterior.

Literal de la norma garantizar que pueda verificarse y determinarse a posteriori qué datos personales se han introducido en el sistema de tratamiento automatizado de datos, en qué momento, por qué persona y para qué fines (control de la introducción)

Art. 10.1.d), f), i) y j)

Criptografiado en la transmisión y en el transporte de soportes Ciber

Impedir que los datos personales puedan leerse, copiarse, modificarse o suprimirse sin autorización mientras se transmiten y mientras se transportan los soportes que los contienen, y la norma nombra el medio: técnicas adecuadas de criptografiado. Es una de las pocas veces en que el texto prescribe una tecnología y no solo un resultado.

Literal de la norma impedir, en particular mediante técnicas adecuadas de criptografiado, que en el momento de la transmisión de datos personales y durante el transporte de soportes de datos, los datos puedan ser leídos, copiados, modificados o suprimidos sin autorización (control del transporte)

Art. 10.1.k)

Control de la eficacia de las medidas y auditoría interna Ciber

No basta con implantar los controles: hay que controlar su eficacia y adoptar las medidas de organización de control interno necesarias. La norma lo llama auditoría interna, y es lo que convierte la lista de controles en un ciclo que se revisa.

Literal de la norma controlar la eficacia de las medidas de seguridad mencionadas en el presente apartado y adoptar las medidas necesarias de organización relativas al control interno, a fin de garantizar el cumplimiento del presente Reglamento (auditoría interna)

Art. 10.1.l)

Recuperación, fiabilidad e integridad de los datos Ciber

Asegurar que los sistemas instalados puedan restaurarse a funcionamiento normal tras una interrupción, que las funciones del sistema se realicen satisfactoriamente, que los defectos de funcionamiento se notifiquen, y que un mal funcionamiento no pueda corromper los datos personales conservados. Es el único punto donde la norma exige notificar algo distinto de un incidente de seguridad: un defecto de funcionamiento.

Literal de la norma asegurar que las funciones del SIS se realicen satisfactoriamente, que se notifiquen los defectos de funcionamiento (fiabilidad) y que los datos personales conservados en el SIS no puedan ser corrompidos por el mal funcionamiento del sistema (integridad)

Art. 10.1.m) y n)

Medidas equivalentes sobre la información complementaria y la Oficina Sirene Ciber

Extender medidas equivalentes a las catorce anteriores al tratamiento y al intercambio de información complementaria, que es lo que circula entre oficinas Sirene y no está en la base de datos. La norma menciona expresamente la seguridad de las instalaciones de esas oficinas.

Literal de la norma Los Estados miembros tomarán medidas equivalentes a las mencionadas en el apartado 1 en materia de seguridad en relación con el tratamiento y el intercambio de información complementaria, en particular garantizando la seguridad de las instalaciones de las oficinas Sirene.

Art. 10.2

Medidas equivalentes en todas las autoridades con acceso Ciber

Extender las mismas medidas al tratamiento de los datos por parte de todas las autoridades del artículo 34. Es el apartado que decide el alcance real de la ficha: el perímetro no es la sala donde vive el sistema nacional, sino cada cuerpo policial, aduanero, judicial y consular que consulta los datos, incluidas las policías autonómicas y locales que figuran en la lista oficial de autoridades españolas con acceso directo.

Literal de la norma Los Estados miembros tomarán medidas equivalentes a las mencionadas en el apartado 1 del presente artículo en materia de seguridad en relación con el tratamiento de los datos del SIS por las autoridades mencionadas en el artículo 34.

Art. 10.3

Identificación explícita dentro de un plan de seguridad nacional general Ciber

Las medidas pueden integrarse en un planteamiento y un plan de seguridad generales de ámbito nacional que cubran varios sistemas informáticos, y para una administración que ya opera bajo un marco propio esa es la vía natural. Pero la integración lleva condición: los requisitos de este artículo y su aplicabilidad al sistema tienen que figurar de forma claramente identificable en ese plan y quedar garantizados por él. Un plan general que los diluya no cumple.

Literal de la norma Las medidas descritas en los apartados 1, 2 y 3 podrán formar parte de un planteamiento y un plan de seguridad generales de ámbito nacional aplicables a múltiples sistemas informáticos. En tales casos, los requisitos previstos en el presente artículo y su aplicabilidad al SIS deberán figurar de forma claramente identificable en ese plan y quedar garantizados por él.

Art. 10.4

Disponibilidad ininterrumpida de los datos para los usuarios finales Ciber

Garantizar que los datos estén disponibles sin interrupción para quien los consulta. No es una declaración de intenciones: la arquitectura que la sostiene está tasada en el artículo 4, que obliga a que el sistema nacional incluya al menos un respaldo, nacional o compartido con otro Estado, y permite usar el sistema y su respaldo simultáneamente para sostener esa disponibilidad.

Literal de la norma Cada Estado miembro será responsable de garantizar la disponibilidad ininterrumpida de los datos del SIS para los usuarios finales.

Art. 6, párrafo segundo · art. 4.1.b)

Recursos y vía alternativa segura para el intercambio de información Ciber

Aportar los recursos técnicos y humanos necesarios para que el intercambio de información complementaria esté disponible de forma continua, y tener preparada una vía alternativa para cuando la infraestructura de comunicación no lo esté. La alternativa no puede ser cualquiera: tiene que estar dotada de características adecuadas de seguridad, y el Manual Sirene recoge la lista de medios admitidos. El plazo de respuesta ordinario es de doce horas desde la recepción de la solicitud.

Literal de la norma En caso de indisponibilidad de la infraestructura de comunicación, los Estados miembros deberán emplear otros medios técnicos dotados de características adecuadas de seguridad para intercambiar información complementaria.

Art. 8.1 y 8.3

Conformidad técnica de la copia nacional y pruebas periódicas Ciber parcial

Ajustarse a las normas, protocolos y procedimientos técnicos comunes al establecer el sistema nacional; asegurar, cuando se use copia nacional, que sus datos sean idénticos y coherentes con los de la base de datos central y que una consulta produzca un resultado equivalente; y realizar con eu-LISA pruebas periódicas de conformidad técnica, cuyos resultados alimentan el mecanismo de evaluación de Schengen.

Literal de la norma Los Estados miembros y eu-LISA realizarán pruebas periódicas para comprobar la conformidad técnica de las copias nacionales a que se refiere el apartado 2.

Art. 9.1, 9.2 y 9.4

Límite de 48 horas e inventario de las copias técnicas Ciber

Los datos solo pueden copiarse con fines técnicos y para la consulta directa por las autoridades competentes, y las copias que den lugar a bases de datos fuera de línea caducan a las 48 horas. Para las autoridades de visados la restricción es aún más estrecha: solo copias para emergencia por caída de red de más de 24 horas. Sobre todas ellas hay que mantener un inventario actualizado a disposición de la autoridad de control, y el propio texto dice que el artículo 10 se aplica a esas copias.

Literal de la norma Los Estados miembros mantendrán un inventario actualizado de esas copias, pondrán dicho inventario a disposición de las autoridades de control y se asegurarán de que lo dispuesto en el presente Reglamento, en particular su artículo 10, se aplique respecto de dichas copias.

Art. 41.2 y 41.3

Secreto profesional del personal, también tras el cese Ciber

Aplicar las normas de secreto profesional u obligaciones equivalentes de confidencialidad a toda persona y todo organismo que vaya a trabajar con estos datos. La obligación no termina con la relación laboral: sigue vigente después del cese en el cargo o el empleo, y tras la terminación de las actividades del organismo.

Literal de la norma Cada Estado miembro aplicará sus normas sobre secreto profesional u otras obligaciones equivalentes de confidencialidad a toda persona y organismo que vaya a trabajar con datos del SIS y con información complementaria, de conformidad con su Derecho nacional. Dicha obligación seguirá siendo aplicable después del cese en el cargo o el empleo de dichas personas o tras la terminación de las actividades de dichos organismos.

Art. 11.1

Supervisión atenta de los contratistas externos Ciber

Cuando se coopera con contratistas externos en cometidos relacionados con el sistema, hay que supervisar atentamente su actividad para garantizar el cumplimiento de todas las disposiciones del Reglamento, y la norma nombra tres materias: seguridad, confidencialidad y protección de datos. El límite viene en el apartado siguiente y es absoluto: la gestión operativa del sistema nacional o de cualquier copia técnica no puede encomendarse a empresas ni a organizaciones privadas.

Literal de la norma Cuando un Estado miembro coopere con contratistas externos en cometidos relacionados con el SIS, deberá supervisar atentamente las actividades del contratista para garantizar el cumplimiento de todas las disposiciones del presente Reglamento, en particular en materia de seguridad, confidencialidad y protección de datos.

Art. 11.2 y 11.3

Formación previa y periódica sobre seguridad de los datos Ciber

Formar al personal antes de autorizarle a tratar los datos y periódicamente después, sobre seguridad de los datos, derechos fundamentales, protección de datos y las reglas del Manual Sirene. Además hay que informarle de las disposiciones aplicables en materia de delitos y sanciones penales. El Estado debe disponer de un programa nacional de formación, que puede vivir dentro de un programa general más amplio.

Literal de la norma Antes de ser autorizado a tratar datos almacenados en el SIS y periódicamente tras la concesión del acceso a los datos del SIS, el personal de las autoridades con derecho de acceso al SIS recibirá la formación adecuada sobre seguridad de los datos, derechos fundamentales, incluida la protección de datos, y sobre las normas y procedimientos del Manual Sirene en lo que respecta al tratamiento de datos.

Art. 14.1 y 14.2

Registro de todo acceso y todo intercambio, con conservación de tres años Ciber

Registrar en el sistema nacional todo acceso a datos personales y todos los intercambios, para poder controlar la legalidad de la consulta y del tratamiento, hacer control interno y garantizar el correcto funcionamiento, la integridad y la seguridad. Desde la redacción dada por el Reglamento (UE) 2019/817, el acceso a través del portal europeo de búsqueda también se registra, y el portal está en funcionamiento desde el 12 de junio de 2026. El registro tiene contenido tasado: historial de la descripción, fecha y hora, datos usados para consultar, referencia a los datos tratados e identificadores personales e intransferibles de la autoridad y de la persona. Se suprime a los tres años, salvo que un procedimiento de control en curso obligue a conservarlo más. Cuando la consulta se hace con datos dactiloscópicos o imágenes faciales, el registro guarda el tipo de dato usado y no el dato real.

Literal de la norma Los Estados miembros garantizarán que todos los accesos a datos personales y todos los intercambios de estos datos en la CS-SIS queden registrados en su N.SIS, con el fin de que se pueda controlar la legalidad de la consulta, supervisando la legalidad del tratamiento de datos, el control interno y garantizando el correcto funcionamiento del N.SIS, así como la integridad y seguridad de los datos. […] Los Estados miembros velarán por que todo acceso a datos personales a través del PEB también quede registrado, con el fin de que se pueda controlar la legalidad de la consulta, supervisando la legalidad del tratamiento de datos, el control interno y la integridad y seguridad de los datos.

Art. 12

Control interno en cada autoridad habilitada Ciber

Cada autoridad con acceso tiene que tomar las medidas necesarias para garantizar el cumplimiento y cooperar con la autoridad de control cuando haga falta. El Reglamento de interoperabilidad repite el mandato para sus componentes y le añade un contenido concreto: el responsable del tratamiento debe controlar la conformidad, incluida la frecuencia con que verifica los registros de consulta de cada componente.

Literal de la norma Los Estados miembros velarán por que toda autoridad habilitada para acceder a los datos del SIS tome las medidas necesarias para garantizar el cumplimiento del presente Reglamento y coopere, en caso necesario, con la autoridad de control.

Art. 13 · art. 44 del Rgto. (UE) 2019/817

Auditoría del tratamiento al menos cada cuatro años Ciber parcial

Garantizar que la autoridad de control supervise la legalidad del tratamiento y que las operaciones de tratamiento del sistema nacional se auditen al menos cada cuatro años, con normas internacionales de auditoría. La auditoría la hace la autoridad de control o un auditor independiente especializado en protección de datos contratado por ella, que sigue bajo su supervisión y responsabilidad. El Estado debe dotarla de medios suficientes.

Literal de la norma Las autoridades de control velarán por que se lleve a cabo una auditoría de las operaciones de tratamiento de datos en los N.SIS de acuerdo con las normas internacionales de auditoría, al menos cada cuatro años.

Art. 55.1, 55.2 y 55.3

Aviso en dos días laborables ante indicios de dato erróneo o ilegal Ciber parcial

Cuando un Estado detecte indicios de que un dato introducido por otro contiene errores de hecho o ha sido almacenado ilegalmente, tiene que avisar al Estado emisor lo antes posible y como máximo en dos días laborables desde que tuvo conocimiento de los indicios. El emisor comprueba y corrige o suprime sin demora. Si en dos meses no hay acuerdo, el asunto se eleva a las autoridades de control y al Supervisor Europeo de Protección de Datos.

Literal de la norma Si un Estado miembro distinto del Estado miembro emisor dispone de indicios que permitan presumir que un dato contiene errores de hecho o que ha sido almacenado ilegalmente, informará, mediante el intercambio de información complementaria, al Estado miembro emisor en cuanto sea posible y, a más tardar, dos días laborables después de haber tenido conocimiento de dichos indicios.

Art. 44.5 y 44.6

Notificación de incidentes de seguridad sin demora Ciber

Notificar sin demora todo incidente de seguridad a cuatro destinatarios a la vez: la Comisión, eu-LISA, la autoridad de control competente y el Supervisor Europeo de Protección de Datos. La definición de incidente es ancha e incluye lo potencial, y la notificación es independiente de la que exijan el Reglamento (UE) 2016/679 o la Directiva (UE) 2016/680 por violación de la seguridad de los datos personales.

Literal de la norma Sin perjuicio de la notificación y comunicación de cualquier violación de la seguridad de los datos personales de conformidad con el artículo 33 del Reglamento (UE) 2016/679 o con el artículo 30 de la Directiva (UE) 2016/680, los Estados miembros, Europol y la Agencia Europea de la Guardia de Fronteras y Costas notificarán sin demora a la Comisión, a eu-LISA, a la autoridad de control competente y al Supervisor Europeo de Protección de Datos los incidentes de seguridad que se produzcan.

Art. 45.1 a 45.3

Gestión del incidente y cooperación entre Estados Ciber

Gestionar los incidentes de modo que se garantice una respuesta rápida, efectiva y adecuada, y cooperar con los demás Estados y con eu-LISA cuando se produzca uno. La información sobre un incidente con efecto sobre otros Estados se transmite sin demora a todos ellos y se comunica conforme al plan de gestión de incidentes que establece eu-LISA. Para los componentes de interoperabilidad hay además un procedimiento de cooperación especificado por acto de ejecución de la Comisión.

Literal de la norma Los incidentes de seguridad se gestionarán de tal modo que se garantice una respuesta rápida, efectiva y adecuada.

Art. 45.2, 45.4 y 45.5 · art. 43.2 del Rgto. (UE) 2019/817

Sancionar el uso indebido de los datos Ciber

Garantizar que el uso indebido de los datos, y todo tratamiento o intercambio contrario a estos reglamentos, se sancione con arreglo al Derecho nacional, con sanciones efectivas, proporcionadas y disuasorias. El artículo 45, apartado 7, añade el eslabón que une las dos capas: cuando un incidente de seguridad se deba a utilización indebida de datos, el Estado tiene que velar por que se impongan esas sanciones.

Literal de la norma Cuando un incidente de seguridad se deba a la utilización indebida de datos, los Estados miembros, Europol y la Agencia Europea de la Guardia de Fronteras y Costas velarán por que se impongan sanciones de conformidad con el artículo 59.

Art. 45.7 · art. 59 · art. 45 del Rgto. (UE) 2019/817

Medidas de seguridad equivalentes a las de eu-LISA en los componentes de interoperabilidad Ciber

Las autoridades con derecho de acceso a cualquier componente de interoperabilidad tienen que adoptar medidas equivalentes a las trece que el Reglamento impone a eu-LISA para la infraestructura central. La lista incluye plan de seguridad, plan de continuidad y plan de recuperación ante catástrofe; protección física con planes de emergencia para infraestructuras críticas; identidades de usuario individuales y modos de acceso confidenciales; trazabilidad de qué datos se trataron, cuándo, por quién y con qué fin; cifrado en la transmisión y en el transporte de soportes; vuelta a funcionamiento normal tras interrupción; y control de la eficacia de las propias medidas, evaluándolas a la vista de los últimos avances tecnológicos.

Literal de la norma Los Estados miembros, Europol y la unidad central SEIAV adoptarán medidas equivalentes a las mencionadas en el apartado 3 en lo que respecta a la seguridad en relación con el tratamiento de datos personales por parte de las autoridades con derecho de acceso a cualquiera de los componentes de interoperabilidad.

Art. 42.3 y 42.4 del Rgto. (UE) 2019/817

Notificación de incidentes en los componentes de interoperabilidad Ciber

Notificar sin demora a la Comisión, a eu-LISA, a las autoridades de control competentes y al Supervisor Europeo de Protección de Datos cualquier incidente de seguridad en los componentes de interoperabilidad. La definición de incidente es la misma que en el Reglamento del SIS. A diferencia del artículo 42, este artículo no está en la lista de los aplicables desde 2019: se aplica a cada componente desde que ese componente entra en funcionamiento, y el primero lo hizo el 19 de mayo de 2025.

Literal de la norma Sin perjuicio de la notificación y comunicación de una violación de la seguridad de un dato personal de conformidad con el artículo 33 del Reglamento (UE) 2016/679, con el artículo 30 de la Directiva (UE) 2016/680 o con ambos, los Estados miembros notificarán sin demora a la Comisión, a eu-LISA, a las autoridades de control competentes y al Supervisor Europeo de Protección de Datos cualquier incidente de seguridad.

Art. 43.1, 43.3 y 43.5 del Rgto. (UE) 2019/817

Responsabilidades nacionales sobre la conexión y el acceso a los componentes Ciber parcial

Responder de la conexión con la infraestructura de comunicación, de la integración de los sistemas nacionales existentes con los componentes, de la organización y el mantenimiento de esa infraestructura, de la gestión de las condiciones de acceso del personal autorizado y de la lista de ese personal con sus perfiles, de las medidas legislativas que habilitan el acceso al registro común, de la verificación manual de identidades diferentes, de la calidad del dato, del pleno respeto a las normas de seguridad e integridad de cada sistema subyacente y de la corrección de las deficiencias que señale el informe de valoración de la Comisión.

Literal de la norma el pleno respeto de las normas de cada sistema de información de la UE relativas a la seguridad e integridad de los datos personales

Art. 56.1 del Rgto. (UE) 2019/817

Cuerpo normativo de seguridad Compartida

El cuerpo normativo de seguridad: qué se protege, quién decide y contra qué criterios se mide todo lo demás, escrito, comunicado a quien tiene que cumplirlo y vivo.

Art. 10.1 y 10.4 · categorización del curador, no de la norma

Gobierno de la ciberseguridad Compartida

Llevar la ciberseguridad al órgano de gobierno: que la seguridad tenga dueño con autoridad, atención regular de la dirección y rastro documental de lo que se decide.

Art. 7.1 · art. 13 · art. 10.1.h) · art. 41.3 · categorización del curador, no de la norma

Continuidad de negocio y gestión de crisis Compartida

La capacidad de seguir prestando el servicio cuando algo grande falla y de volver a la normalidad con orden, decidida y preparada antes de necesitarla.

Art. 4.1.b) · art. 6 · art. 8.1 · art. 10.1, encabezado · categorización del curador, no de la norma

Copias de seguridad y recuperación Compartida

Un esquema de copias de seguridad orientado a la recuperación: qué se copia, con qué frecuencia y en cuánto tiempo se restaura, verificado mediante pruebas de restauración periódicas.

Art. 10.1, encabezado, y 10.1.m) · art. 9.4 · categorización del curador, no de la norma

Seguridad física y del entorno Compartida

Protección del espacio físico donde operan los sistemas, un plano que las medidas lógicas no cubren.

Art. 10.1.a), b) y c) · art. 10.2 · categorización del curador, no de la norma

Gestión de identidades y accesos (IAM) Compartida

Un sistema de gestión de identidades y accesos: cada identidad, humana o de máquina, es conocida, se autentica por un punto controlado y pierde el acceso cuando corresponde.

Art. 10.1.e), g) y h) · art. 38 · art. 41.4 · art. 56.1.d) del Rgto. (UE) 2019/817 · categorización del curador, no de la norma

Monitorización y detección Compartida

Capacidad de observar de forma continua lo que ocurre en sistemas, redes y servicios, sostenida como un servicio con responsable y no como una herramienta desatendida.

Art. 12 · art. 10.1.d), f), i) y j) · categorización del curador, no de la norma

Criptografía y protección del dato Compartida

Protección del dato en reposo y en tránsito mediante cifrado, gobernada por decisiones documentadas sobre qué se cifra, con qué algoritmos y cómo se custodian las claves.

Art. 10.1.k) · art. 4.1.c) · art. 8.1 · art. 42.3.j) del Rgto. (UE) 2019/817 · categorización del curador, no de la norma

Integridad del dato frente a manipulación Compartida

Controles que impiden que el dato se falsifique, se sustraiga, se altere o se elimine sin autorización, y que permiten demostrarlo después: su objetivo es poder acreditar que el dato no ha sido alterado.

Art. 10.1.n) · art. 9.2 · art. 44.5 · categorización del curador, no de la norma

Protección de la red y del perímetro Compartida

Proteger el perímetro y ordenar el interior de la red: sin segmentación, un único compromiso puede extenderse al conjunto de los sistemas.

Art. 41.2 y 41.3 · art. 9.1 · art. 56.1.a), b) y c) del Rgto. (UE) 2019/817 · categorización del curador, no de la norma

Inventario y gestión de activos Compartida

Un inventario completo de los activos y de sus dependencias: sin él, el parcheo, la vigilancia y la recuperación operan sobre un parque desconocido.

Art. 41.3 · art. 56.1.d) del Rgto. (UE) 2019/817 · categorización del curador, no de la norma

Seguridad ligada al personal Compartida

La seguridad dentro del ciclo de vida del empleado: comprobaciones al contratar donde proceda, deberes claros durante la relación y salida ordenada.

Art. 11.1 · art. 14.1 · categorización del curador, no de la norma

Programa de concienciación y formación Compartida

Un programa de concienciación y formación con contenido, calendario y evaluación de resultados, que incorpore a la plantilla a la defensa en lugar de dejarla como el vector de entrada más accesible.

Art. 14.1 y 14.2 · categorización del curador, no de la norma

Gestión de riesgos de terceros (TPRM) Compartida

Gobernar el riesgo que entra por los proveedores: el riesgo del proveedor es riesgo propio, la cadena no termina en quien firma el contrato, y la relación completa, desde la selección hasta la terminación, se gestiona con la seguridad integrada.

Art. 11.2 y 11.3 · categorización del curador, no de la norma

Capacidad de respuesta a incidentes Compartida

La capacidad de gestionar un incidente de seguridad de principio a fin, desde la detección del primer indicio hasta la recuperación de la operación normal.

Art. 45.1, 45.2, 45.4 y 45.5 · art. 43.1 y 43.2 del Rgto. (UE) 2019/817 · categorización del curador, no de la norma

Proceso de notificación regulatoria Compartida

Saber a quién, qué y en cuánto tiempo hay que notificar un incidente, y poder hacerlo bajo presión y con los relojes en contra.

Art. 45.3 y 45.6 · art. 43.3 del Rgto. (UE) 2019/817 · categorización del curador, no de la norma

Evaluación de la eficacia y mejora Compartida

Evaluar si las medidas implantadas son eficaces, no solo si existen, y convertir los resultados de esa evaluación en mejoras aplicadas.

Art. 10.1.l) · art. 42.3.m) y art. 56.1.i) del Rgto. (UE) 2019/817 · categorización del curador, no de la norma

Conformidad y certificación Compartida

Poder demostrar a un tercero lo que se ha hecho, en sus dos versiones: la conformidad de la organización, que se audita y se certifica, y la del producto, que se evalúa, se documenta y se marca antes de venderlo. Es el expediente que convierte el cumplimiento en algo oponible a un cliente, a un pliego o a un supervisor.

Art. 55.2 y 55.3 · categorización del curador, no de la norma

Estado miembro

El obligado principal. Responde de crear, operar, mantener y desarrollar su sistema nacional, de conectarlo a la interfaz común y de garantizar la disponibilidad ininterrumpida de los datos para los usuarios finales. Es también quien adopta el plan de seguridad, el plan de continuidad y el plan de recuperación ante catástrofe, y quien responde civilmente de los daños causados por un tratamiento ilegal a través de su sistema nacional.

Literal de la norma Cada Estado miembro será responsable de la creación, el funcionamiento, el mantenimiento y el ulterior desarrollo de su N.SIS y de conectarlo a la NI-SIS.

Art. 6 · art. 10.1 · art. 58

Oficina N.SIS

La autoridad que cada Estado designa con la responsabilidad central sobre su sistema nacional. La norma le atribuye por nombre el correcto funcionamiento y la seguridad del sistema, y es el punto donde recae de forma nominativa lo que el resto del capítulo exige. Es el papel más cercano a un responsable de seguridad de la información con nombre y apellidos dentro del esquema.

Literal de la norma Dicha autoridad será responsable del correcto funcionamiento y la seguridad del N.SIS, garantizará el acceso de las autoridades competentes al SIS y adoptará las medidas necesarias para garantizar el cumplimiento de lo dispuesto en el presente Reglamento.

Art. 7.1

Oficina Sirene

La autoridad nacional que opera veinticuatro horas al día los siete días de la semana como punto de contacto único para el intercambio de información complementaria. Su carga de seguridad es doble: las medidas equivalentes del artículo 10, apartado 2, cubren expresamente la seguridad de sus instalaciones, y el artículo 8 le impone disponibilidad continua con un plazo de respuesta de doce horas y una vía alternativa dotada de características adecuadas de seguridad para cuando la infraestructura de comunicación no esté disponible.

Literal de la norma Cada Estado miembro designará una autoridad nacional (denominada «oficina Sirene»), operativa las veinticuatro horas del día y los siete días de la semana, que se encargará de garantizar el intercambio y la disponibilidad de toda la información complementaria, de conformidad con el Manual Sirene.

Art. 7.2 · art. 8 · art. 10.2

Autoridad con acceso al SIS

Cualquier autoridad nacional autorizada a consultar directamente los datos del SIS: control de fronteras, controles policiales y aduaneros, investigación de terrorismo y delitos graves, examen de condiciones de entrada y estancia, inspecciones de seguridad a solicitantes de protección internacional y examen de solicitudes de visado. También las autoridades judiciales y las competentes en naturalización. El artículo 10, apartado 3, extiende a todas ellas las mismas medidas de seguridad que protegen el sistema nacional.

Literal de la norma Las autoridades nacionales competentes responsables de la identificación de los nacionales de terceros países tendrán acceso a los datos introducidos en el SIS y tendrán derecho a consultarlos directamente o en una copia de la base de datos del SIS […]

Art. 34 · art. 10.3 · art. 41.4

Autoridad con acceso a interoperabilidad

Las autoridades nacionales facultadas para usar el portal europeo de búsqueda, el registro común de datos de identidad o el detector de identidades múltiples. Su régimen de seguridad no está en el Reglamento del SIS sino en el de interoperabilidad, y es equivalente al que ese Reglamento impone a eu-LISA para la infraestructura central: trece controles con el cifrado en la transmisión entre ellos.

Literal de la norma Los Estados miembros, Europol y la unidad central SEIAV adoptarán medidas equivalentes a las mencionadas en el apartado 3 en lo que respecta a la seguridad en relación con el tratamiento de datos personales por parte de las autoridades con derecho de acceso a cualquiera de los componentes de interoperabilidad.

Art. 42.4 del Rgto. (UE) 2019/817

Contratista externo

La empresa a la que un Estado encomienda cometidos relacionados con el sistema. Entra en el esquema por dos vías opuestas: el artículo 11, apartado 2, obliga al Estado a supervisar atentamente su actividad en materia de seguridad, confidencialidad y protección de datos, y el apartado 3 le cierra la puerta a lo que sería el contrato más grande, la gestión operativa del sistema nacional o de sus copias técnicas.

Literal de la norma No se encomendará a empresas u organizaciones privadas la gestión operativa del N.SIS o de cualesquiera copias técnicas.

Art. 11.2 y 11.3

eu-LISA

La agencia europea que gestiona operativamente el sistema central y la infraestructura de comunicación, y que es la encargada del tratamiento de los datos de los componentes de interoperabilidad. Tiene su propio artículo de seguridad, paralelo al de los Estados. Aparece en esta ficha porque es destinataria de la notificación de incidentes, porque establece el plan de gestión de incidentes con el que se comunican y porque publica en el Diario Oficial la lista de autoridades nacionales con acceso.

Literal de la norma Eu-LISA será responsable de la gestión operativa del SIS Central.

Art. 15 · art. 16 · art. 41.8 · art. 45.4

Autoridad de control

La autoridad independiente de protección de datos de cada Estado, que supervisa la legalidad del tratamiento en el sistema nacional y del intercambio de información complementaria. Su papel aquí no es solo receptor: tiene que asegurar que cada cuatro años se audite el tratamiento del sistema nacional con normas internacionales de auditoría, y el Estado tiene que dotarla de medios y de acceso a asesoramiento experto en datos biométricos.

Literal de la norma Los Estados miembros velarán por que las autoridades de control independientes designadas en cada Estado miembro y dotadas de las potestades mencionadas en el capítulo VI del Reglamento (UE) 2016/679 o en el capítulo VI de la Directiva (UE) 2016/680 supervisen la legalidad del tratamiento de datos personales del SIS en su territorio […]

Art. 55