- La USTIC
- Políticas y normativas
- Plantillas y Formularios
- Marco Legal
- Formación y concienciación
- Avisos y Alertas
- Procedimientos Técnicos
- Proyectos
- Gestión Interna
Unidad de Seguridad TIC
Marco legal aplicable
En esta página se incluyen las leyes y normas de aplicación, tanto a la Seguridad de la Información como a la Protección de Datos Personales, agrupadas en cuatro apartados, así como las principales Guías y Buenas Prácticas en ambas materias.
Leyes y normas de aplicación
Regulación Corporativa | |
|---|---|
| Resolución de 8 de abril de 2021, de la Dirección Gerencia del Servicio Andaluz de Salud, por la que se aprueba la Política de Seguridad de las Tecnologías de la información y la comunicación del Servicio Andaluz de Salud. | |
| Resolución de 26 de marzo de 2021, de la Dirección Gerencia del Servicio Andaluz de Salud, por la que se crea el Comité de Seguridad Interior y Seguridad de las Tecnologías de la Información y Comunicaciones del Servicio Andaluz de Salud y se determinan su composición, funciones y bases de su funcionamiento | Resolucion 26_03_2021 Creacion CSISTIC SAS.pdf |
| Resolución SA 0087/18 de 13 de julio de 2018 Instrucciones para la tramitación administrativa de protocolos generales y de convenios en el ámbito del Servicio Andaluz de Salud | Resolucion87-2018_InstruccionesTramitacionProtocolosGeneralesYconveniosSAS-1.pdf |
Regulación Autonómica | |
|---|---|
| Resolución de 22 de octubre de 2020, de la Secretaría General para la Administración Pública, por la que se aprueba el Código de Conducta en el uso de las Tecnologías de la Información y la Comunicación para profesionales públicos de la Administración de la Junta de Andalucía. | |
| Decreto 1/2011, de 11 de enero, por el que se establece la Política de seguridad de las tecnologías de la información y comunicaciones en la Administración de la Junta de Andalucía. | |
| Decreto 70/2017, de 6 de junio, por el que se modifica el Decreto 1/2011, de 11 de enero, por el que se establece la Política de seguridad de las tecnologías de la información y comunicaciones en la Administración de la Junta de Andalucía. | |
| Orden de 9 de junio de 2016, por la que se efectúa el desarrollo de la política de seguridad de las tecnologías de la información y comunicaciones en la Administración de la Junta de Andalucía. | |
| Resolución de 13 de julio de 2018, de la Dirección General de Telecomunicaciones y Sociedad de la Información, por la que se establecen normas sobre gestión de incidentes de seguridad TIC. | |
| Resolución de 26 de enero de 2018, de la Dirección General de Telecomunicaciones y Sociedad de la Información, por la que se establecen normas sobre integración en el Centro de Seguridad TIC Andalucía-CERT. | Resolucion 26-01-2018 Andalucia CERT.pdf |
| Decreto 622/2019, de 27 de diciembre, de administración electrónica, simplificación de procedimientos y racionalización organizativa de la Junta de Andalucía. | |
Regulación Nacional | |
|---|---|
| Código de Derecho de la Ciberseguridad (Compendio normativo donde se puedan encontrar, actualizadas, las normas estatales que afectan directamente a la ciberseguridad. Esta recopilación incluye la normativa que se desgrana en las filas inferiores de esta sección sobre Regulación Nacional, si bien se ha considerado destacarla por su importancia). | Código de Derecho de la Ciberseguridad actualizado |
| Ley 8/2011, de 28 de abril, por la que se establecen medidas para la protección de las infraestructuras críticas. | |
| Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. | |
| Real Decreto 704/2011, de 20 de mayo, por el que se aprueba el Reglamento de protección de las infraestructuras críticas. | |
| Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad. | |
| Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza | Ley 6-2020_Regul.servicios_electronicos_confianza |
| Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. | Ley 2-2023-Protecc_personas_informen_infracciones |
| Resolución de 8 de septiembre de 2015, de la Secretaría de Estado de Seguridad, por la que se aprueban los nuevos contenidos mínimos de los Planes de Seguridad del Operador y de los Planes de Protección Específicos | |
| Resolución de 15 de noviembre de 2011, de la Secretaría de Estado de Seguridad, por la que se establecen los contenidos mínimos de los planes de seguridad del operador y planes de protección específicos conforme a lo dispuesto en el Real Decreto 704/2011, de 20 de mayo, por el que se aprueba el Reglamento de protección de infraestructuras críticas. | |
Regulación Europea | |
|---|---|
| REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) | |
| REGLAMENTO (UE) 2019/881 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 17 de abril de 2019 relativo a ENISA (Agencia de la Unión Europea para la Ciberseguridad) y a la certificación de la ciberseguridad de las tecnologías de la información y la comunicación y por el que se deroga el Reglamento (UE) n. o 526/2013 («Reglamento sobre la Ciberseguridad») | |
| Directiva (UE) 2022/2025 del Parlamento Europeo y del Consejo de 14 de diciembre de 2022 relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión por la que se modifica el Reglamento (UE) n.º 910/2014 y la Directiva (UE) 2018/1972 y por la que se deroga la Directiva (UE) 2016/1148 (Directiva SRI 2) | |
Directiva (UE) 2022/2557 del Parlamento Europeo y del Consejo de 14 de diciembre de 2022 relativa a la resiliencia de las entidades críticas y por la que se deroga la Directiva 2008/114/CE del Consejo. | Directiva RCE.pdf |
| REGLAMENTO (UE) 2017/745 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 5 de abril de 2017 o sobre los productos sanitarios, por el que se modifican la Directiva 2001/83/CE, el Reglamento (CE) n. 178/2002 y el Reglamento (CE) n. o 1223/2009 y por el que se derogan las Directivas 90/385/CEE y 93/42/CEE del Consejo | REGLAMENTO-UE-2017-745.pdf |
Guías y Buenas Prácticas
Guías CCN-CERT | |
|---|---|
Las Series CCN-STIC son normas, instrucciones, guías y recomendaciones desarrolladas por el Centro Criptológico Nacional con el fin de mejorar el grado de ciberseguridad de las organizaciones. Periódicamente son actualizadas y completadas con otras nuevas, en función de las amenazas y vulnerabilidades detectadas por el CCN-CERT. El grueso de las Series está especialmente dirigidas al personal de las Administraciones Pública | |
| 200 Normas | |
La Serie CCN-STIC-200 comprende reglas generales que deben seguirse, o a las que se deben ajustar las conductas tareas o actividades de las personas y Organizaciones, en relación con la protección de la información cuando es manejada por un Sistema. Deben tomarse en cuenta las siguientes:
| |
400 Guías Generales | |
La Serie CCN-STIC-400 incluye recomendaciones para los responsables de seguridad relativas a aspectos concretos de la seguridad de las TIC (seguridad perimetral, redes inalámbricas, telefonía móvil, herramientas de seguridad, etc.). A tener en consideración estas:
| |
800 Guías Esquema Nacional de Seguridad | |
La Serie CCN-STIC-800 establece las políticas y procedimientos adecuados para la implementación de las medidas contempladas en el Esquema Nacional de Seguridad. Las Guías publicadas con fecha anterior a mayo de 2022 (fecha de publicación del nuevo RD 311/2022), pueden no concordar con lo dispuesto en el nuevo ENS, en cuanto a requisitos de aplicación. Las Guías 808 y 807 son las primeras actualizadas a lo dispuesto en el nuevo RD 311/2022. Las más relevantes son:
| |
Abstracts | |
| Obligaciones de los prestadores de servicios a las entidades públicas | Abstract - Obligaciones Proveedores Sector Público.pdf |
Buenas Prácticas CCN-CERT | |
|---|---|
| A continuación, se muestra el listado de Buenas Prácticas que CCN-CERT ha publicado y que deben tenerse en cuenta. En la columna de al lado, pueden consultarse cada una de ellas: | |
| |
| Buenas Prácticas Análisis de Riesgos | |
|---|---|
| MAGERIT – versión 3.0. Metodología de Análisis y Gestión. de Riesgos de los Sistemas de Información. Libro I - Método | |
| MAGERIT – versión 3.0. Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información. Libro II - Catálogo de Elementos | |
| MAGERIT – versión 3.0. Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información. Libro III - Guía de Técnicas | |