Tribunal Económico-Administrativo de Euskadi

Es objeto de la presente Orden regular los planes de continuidad informática para hacer frente a los eventos de la ciberseguridad en actividades, centros, establecimientos o infraestructuras prioritarias de la Comunidad Autónoma de Euskadi.

1. Lo dispuesto en esta Orden será de aplicación a las actividades de los sectores cuya operación es necesaria para el mantenimiento de las funciones sociales básicas, la salud, la seguridad, el bienestar social y económico de la ciudadanía, y el eficaz funcionamiento de las Instituciones de Euskadi y sus Administraciones Públicas, cuando alguno de sus establecimientos este sujeto a lo establecido en el Decreto 277/2010, de 2 de noviembre, modificado por el Decreto 21/2019, de 12 de febrero, por el que se regulan las obligaciones de autoprotección exigibles a determinadas actividades, centros o establecimientos para hacer frente a situaciones de emergencia.

2. Los sectores a los que se hace referencia el párrafo anterior de este artículo se encuentran categorizados en el Anexo I de la presente Orden, sin perjuicio que mediante orden de la persona titular del departamento competente en materia de seguridad puedan ser actualizados posteriormente en virtud de la transposición que se efectúe de la Directiva (UE) 2022/2555, del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión, por la que se modifican el Reglamento (UE) n.º 910/2014 y la Directiva (UE) 2018/1972 y por la que se deroga la Directiva (UE) 2016/1148 (Directiva SRI 2); así como en virtud de cualquier otra normativa relacionada con estos sectores en materia de ciberseguridad.

3. Las administraciones públicas competentes podrán exigir la elaboración e implantación de planes de continuidad a los titulares de actividades no incluidas en el ámbito de aplicación de esta Orden, cuando presenten un especial riesgo o vulnerabilidad.

4. Igualmente, los titulares de actividades, centros, establecimientos o infraestructuras no recogidos en los párrafos 2 y 3 del presente artículo, podrán voluntariamente elaborar un plan de continuidad en materia de ciberseguridad conforme a lo previsto en esta Orden, asumiendo de ese modo las mismas responsabilidades con respecto a ciberseguridad que los titulares para los que su realización es obligatoria, si bien, en cualquier momento y de un modo voluntario, podrán solicitar la no realización y control del plan aunque continúen con su actividad.

5. Quedan exentos del control administrativo aquellos centros, establecimientos o instalaciones dependientes del Ministerio de Defensa, de Instituciones Penitenciarias, de las Fuerzas y Cuerpos de Seguridad, y Resguardo Aduanero, así como los de los órganos judiciales.

1. Las obligaciones de ciberseguridad establecidas en la presente Orden serán exigidas como norma mínima o supletoria respecto a las normativas especificas en materia de ciberseguridad.

2. Los planes de continuidad previstos en esta Orden y aquellos otros instrumentos de prevención y autoprotección impuestos por otra normativa aplicable, podrán fusionarse en un documento único cuando dicha unión permita evitar duplicaciones innecesarias de la información y la repetición de los trabajos realizados por el titular o la autoridad competente, siempre que se cumplan todos los requisitos esenciales de la presente Orden.

1. Las obligaciones de las personas titulares de las actividades reseñadas en el artículo 2 de la presente Orden son las siguientes:

   1. Elaborar un plan de continuidad de ciberseguridad de acuerdo a las directrices de la autoridad competente en materia de ciberseguridad, cuyos contenidos mínimos se recogen en el Anexo II de la presente Orden.

   2. Remitir al Registro de Autoprotección de Euskadi como datos de registro los siguientes:

      La obligatoriedad de realizar el plan de continuidad en materia de ciberseguridad.

      La ficha con datos específicos para la protección en ciberseguridad recogido en el Anexo III de esta Orden.

      Declaración responsable del titular relativa al cumplimiento de toda la normativa de ciberseguridad. Como tal declaración, las autoridades competentes en materia de protección civil y emergencias no supervisaran, validaran o inspeccionaran el contenido del citado plan.

   3. Desarrollar las actuaciones para la implantación y el mantenimiento de la eficacia del plan de continuidad.

   4. Nombrar a las personas físicas responsables de la ciberseguridad de la actividad, en el caso de ser diferentes de la persona titular.

   5. Informar y formar al personal a su servicio en los contenidos del plan.

   6. Mantener los medios materiales y personales necesarios para afrontar el plan de continuidad.

   7. Aplicar las medidas previstas en el plan de continuidad en ciberseguridad.

   8. Realizar ejercicios o simulacros periódicos.

   9. Notificar inicialmente a la Agencia Vasca de Ciberseguridad los incidentes relativos a ciberseguridad recogidos en el Anexo IV, por la que se define el contenido mínimo del plan de continuidad en materia de ciberseguridad a través del Centro de Coordinación de Emergencias de Euskadi (SOS Deiak-112), sin perjuicio de cualquier otra notificación que deban hacerse por requerimiento legal. Las notificaciones posteriores se harán directamente a la Agencia Vasca de Ciberseguridad.

2. Las obligaciones de la autoridad competente en materia de emergencias y protección civil de la Comunidad Autónoma de Euskadi en relación a los planes de continuidad en materia de ciberseguridad son las siguientes:

   1. Habilitar en el registro de autoprotección de Euskadi un apartado específico y exclusivo para las actividades sujetas a esta orden según el artículo 2 «ámbito de aplicación» en el que deban registrar la ficha con datos específicos para la protección en ciberseguridad recogido en el Anexo III de esta Orden.

   2. Comprobar la obligatoriedad de realizar Plan de Continuidad en materia de Ciberseguridad por las actividades sujetas a esta Orden.

   3. Remitir a la Agencia Vasca de ciberseguridad de Euskadi las notificaciones de los incidentes relativos a ciberseguridad notificados al Centro de Coordinación de Emergencias de Euskadi (SOS-Deiak).

   4. Para la correcta validación de los datos del registro de autoprotección de Euskadi, comprobará exclusivamente que se cumple con lo establecido en los artículos 22 y 22 bis del Decreto 277/2010, de 2 de noviembre, modificado por el Decreto 21/2019, de 12 de febrero, por el que se regulan las obligaciones de autoprotección exigibles a determinadas actividades, centros o establecimientos para hacer frente a situaciones de emergencia así como la obligatoriedad de disponer de Plan de continuidad en materia de ciberseguridad.

3. Las obligaciones de la Agencia Vasca de Ciberseguridad son las siguientes:

   1. Supervisar e inspeccionar el plan de continuidad en materia de ciberseguridad.

   2. Supervisar e inspeccionar la Ficha con Datos Específicos para la protección en ciberseguridad.