Resolución de 13 de octubre de 2016, de la Secretaría de Estado de Administraciones Públicas, por la que se aprueba la Instrucción Técnica de Seguridad de conformidad con el Esquema Nacional de Seguridad.

La Ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los Servicios Públicos estableció el Esquema Nacional de Seguridad que, aprobado mediante Real Decreto 3/2010, de 8 de enero, tiene por objeto determinar la política de seguridad en la utilización de medios electrónicos en su ámbito de aplicación y estará constituido por los principios básicos y requisitos mínimos que permitan una protección adecuada de la información. Posteriormente, la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, recoge el Esquema Nacional de Seguridad en su artículo 156 apartado 2 en similares términos. El Real Decreto 3/2010, de 8 de enero, prevé en su artículo 29 apartado 2 que el Ministerio de Hacienda y Administraciones Públicas, a propuesta del Comité Sectorial de Administración Electrónica previsto en el artículo 40 de la Ley 11/2007, de 22 de junio, y a iniciativa del Centro Criptológico Nacional, aprobará las instrucciones técnicas de seguridad de obligado cumplimiento y se publicarán mediante resolución de la Secretaría de Estado de Administraciones Públicas. Dichas instrucciones técnicas de seguridad son esenciales para lograr una adecuada, homogénea y coherente implantación de los requisitos y medidas recogidos en el Esquema. Así, estas instrucciones técnicas de seguridad, enumeradas en la disposición adicional cuarta del citado Real Decreto, entran a regular aspectos concretos que la realidad cotidiana ha mostrado especialmente significativos, tales como: Informe del Estado de la Seguridad; notificación de incidentes de Seguridad; auditoría de la Seguridad; conformidad con el Esquema Nacional de Seguridad; adquisición de Productos de Seguridad; criptología de empleo en el Esquema Nacional de Seguridad; interconexión en el Esquema Nacional de Seguridad y Requisitos de Seguridad en entornos externalizados, sin perjuicio de las propuestas que pueda acordar el Comité Sectorial de Administración Electrónica, según lo establecido en el citado artículo 29. Estas instrucciones técnicas de seguridad se desarrollarán y perfeccionarán a lo largo del tiempo, en paralelo al progreso de los servicios de Administración electrónica, las infraestructuras que los apoyan, la evolución tecnológica y los riesgos derivados de operar en el ciberespacio. En particular, la Instrucción Técnica de Seguridad de Conformidad con el Esquema Nacional de Seguridad establece los criterios y procedimientos para la determinación de la conformidad con el Esquema Nacional de Seguridad y para la publicidad de dicha conformidad, al objeto de poder dar adecuada respuesta al mandato del Capítulo VIII, Normas de conformidad, del Real Decreto 3/2010, de 8 de enero; así, determina los mecanismos de obtención y ulterior publicidad de las declaraciones de conformidad y los distintivos de seguridad de los que sean acreedores y que se hubieren obtenido respecto al cumplimiento del Esquema Nacional de Seguridad. Esta Resolución se aprueba en aplicación de lo dispuesto en el artículo 29 apartado 2 del Real Decreto 3/2010, de 8 de enero, a propuesta del Comité Sectorial de Administración Electrónica y a iniciativa del Centro Criptológico Nacional. En virtud de lo anterior, esta Secretaría de Estado resuelve:

Primero. Aprobar la Instrucción Técnica de Seguridad «Conformidad con el Esquema Nacional de Seguridad», cuyo texto se incluye a continuación. Segundo. Ordenar su publicación en el «Boletín Oficial del Estado». La Instrucción Técnica de Seguridad de Conformidad con el Esquema Nacional de Seguridad que se aprueba mediante la presente Resolución se aplicará desde el día siguiente al de su publicación en el «Boletín Oficial del Estado». Madrid, 13 de octubre de 2016. El Secretario de Estado de Administraciones Públicas, Antonio Germán Beteta Barreda.

INSTRUCCIÓN

ANEXO I Contenido de la Declaración de Conformidad con el Esquema Nacional de Seguridad Cada entidad u organismo declarante podrá disponer libremente de su propio formato de Declaración de Conformidad con el Esquema Nacional de Seguridad, que deberá mostrar, al menos, el contenido siguiente: – Logotipo de la entidad u organismo declarante. – Identificación de la entidad u organismo declarante. – Distintivo de Declaración de Conformidad de acuerdo al anexo II de esta Instrucción Técnica de Seguridad. – Texto: “Declaración de Conformidad con el Esquema Nacional de Seguridad”. – Texto: “Los sistemas de información reseñados, todos ellos de categoría BÁSICA, y los servicios que se relacionan, han superado un proceso de autoevaluación conforme con las exigencias del Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración electrónica, según se indica en el correspondiente Informe de <>:” – <>. – Texto: “Fecha de declaración de conformidad inicial: <> de <> de <>” – Texto: “Fecha de renovación de la declaración de conformidad: <> de <> de <>”. – Texto: “Fecha: <>, <> de <> de <>”. – Firma: <>. Los textos que aparecen entre paréntesis angulares se adaptarán a los aspectos concretos de la Declaración de Conformidad expedida. La guía de seguridad CCN-STIC 809 sobre declaración y certificación de conformidad con el Esquema Nacional de Seguridad y distintivos de cumplimiento ofrecerá modelos ilustrativos de la citada Declaración de conformidad. ANEXO II Distintivo de Declaración de Conformidad con el Esquema Nacional de Seguridad En la medida de lo posible, los Distintivos de Declaración de Conformidad con el Esquema Nacional de Seguridad que se exhiban en medios electrónicos o en papel respetarán las proporciones, formas, tipografía y colores de la imagen anterior. Colores directos CMYK RGB Hexadecimal Pantone Orange 021C C: 0 R: 235 FF6600 M: 53 G: 111 Y: 100 B: 12 K: 0 ANEXO III Contenido de la Certificación de Conformidad con el Esquema Nacional de Seguridad Cada Entidad Certificadora podrá disponer libremente de su propio formato de Certificación de Conformidad con el Esquema Nacional de Seguridad, que deberá mostrar, al menos, el contenido siguiente: – Logotipo de la Entidad Certificadora. – Identificación de la Entidad Certificadora. – Distintivo de Certificación de Conformidad de acuerdo al anexo IV de esta Instrucción Técnica de Seguridad.

– Texto: “Certificado de Conformidad con el Esquema Nacional de Seguridad”. – Texto: “<> certifica que los sistemas de información reseñados, todos ellos de categoría <>, y los servicios que se relacionan, de <>, han sido auditados y encontrados conforme con las exigencias del Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración electrónica, según se indica en el correspondiente Informe de Auditoría de <>:” – <>. – Texto: “Número de certificado: <>”. – Texto: “Fecha de certificación de conformidad inicial: <> de <> de <>”. – Texto: “Fecha de renovación de la certificación de conformidad: <> de <> de <>”. – Texto: “Fecha: <>, <> de <> de <>”. – Firma: Nombre y Apellidos del responsable competente de la Entidad Certificadora. Los textos que aparecen entre paréntesis angulares se adaptarán a los aspectos concretos de la certificación expedida. La guía de seguridad CCN-STIC 809 sobre declaración y certificación de conformidad con el Esquema Nacional de Seguridad y distintivos de cumplimiento ofrecerá modelos ilustrativos de la citada Certificación de conformidad. ANEXO IV Distintivo de Conformidad con el Esquema Nacional de Seguridad En la medida de lo posible, los Distintivos de Certificación de Conformidad con el Esquema Nacional de Seguridad que se exhiban en medios electrónicos o en papel respetarán las proporciones, formas, tipografía y colores de la imagen anterior. Colores directos CMYK RGB Hexadecimal Pantome 653C C: 82 R: 55 336699 M: 47 G: 99 Y: 11 B: 150 K: 0