Política de Seguridad de la Información del Servicio Aragonés

Orden SAN/1104/2022, de 8 de julio, por la que se aprueba la Política de Seguridad de la Información del Servicio Aragonés de Salud (BOA de 25 de julio de 2022). Texto completo.

ORDEN SAN/1104/2022, DE 8 DE JULIO, POR LA QUE SE APRUEBA LA POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN DEL SERVICIO ARAGONÉS DE SALUD

El creciente uso de las tecnologías de la información y las comunicaciones conlleva un notable incremento de riesgos y amenazas en las redes de comunicación, lo que pone de manifiesto la necesidad de que las Administraciones Públicas, con el objeto de generar confianza en el uso de estos medios por los ciudadanos en sus relaciones con dicha administración, refuercen la política de seguridad de las tecnologías de la información y la comunicación.

En este sentido, el Estatuto de Autonomía de Aragón, en su artículo 16.3, reconoce a todas las personas el derecho a la protección de sus datos personales contenidos en las bases de datos de las Administraciones Públicas y empresas públicas aragonesas y empresas privadas que trabajen o colaboren con ellas, así como el derecho a acceder a los mismos, a su examen y a obtener su corrección y cancelación.

Asimismo, el texto refundido de la Ley del Servicio Aragonés de Salud, aprobado por el Decreto Legislativo 2/2004, de 30 de diciembre , del Gobierno de Aragón, configura este Servicio como un organismo autónomo adscrito al Departamento responsable en materia de Salud de la Administración de la Comunidad Autónoma de Aragón, dotado de personalidad jurídica propia y plena capacidad de obrar, al objeto de hacer efectivo el derecho a la protección de la salud en el ámbito de la Comunidad Autónoma de Aragón, en concordancia con lo dispuesto en el artículo 43 de la Constitución Española.

En esta línea, es importante destacar el reciente Real Decreto 311/2022, de 3 de mayo , por el que se regula el Esquema Nacional de Seguridad, que ha venido a sustituir al Real Decreto 3/2011, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica. Esta norma, de aplicación a todo el sector público, recoge, en su artículo 12, la obligación de que cada administración pública cuente con una política de seguridad formalmente aprobada por el órgano competente, previendo igualmente que aquellos organismos o entidades con personalidad jurídica propia cuenten con su política de seguridad aprobada por el órgano competente.

De esta manera, en virtud de lo dispuesto en el Real Decreto 3/2011, de 8 de enero, se dictó la Orden de 16 de marzo de 2015, del Consejero de Sanidad, Bienestar Social y Familia del Gobierno de Aragón, por la que se aprueba la Política de Seguridad de las Tecnologías de la Información y la Comunicación en el Servicio Aragonés de Salud y se crean el Comité de Seguridad de la Información y la figura del Responsable de Seguridad, los cuales constituyen los pilares del marco normativo de seguridad del Servicio Aragonés de Salud.

Finalmente, la Ley 5/2021, de 29 de junio , de Organización y Régimen Jurídico del Sector Público Autonómico de Aragón, adapta la gestión pública a la normativa básica estatal contenida en la Ley 39/2015, de 1 de octubre , del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) y en la Ley 40/2015, de 1 de octubre , del Régimen Jurídico del Sector Público (LRJSP).

Dicha Ley 5/2021, de 29 de junio , además de primar la facilidad de uso de los servicios y la simplificación de las transacciones digitales, avanza en la implantación de la administración electrónica, recogiendo principios de naturaleza tecnológica que ha de asumir la lógica administrativa. Asimismo, contempla la Política de Protección de Datos Personales y la Política de Seguridad de la Información, determinando que la Comunidad Autónoma de Aragón, en cumplimiento del Reglamento General de Protección de Datos (RGPD), de la Ley Orgánica 3/2018, de 5 de diciembre , de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y del Esquema Nacional de Seguridad, establecerá una Política de Protección de Datos y una Política de Seguridad de la Información.

Por otro lado, el artículo 22 del anexo de la mencionada Orden de 16 de marzo de 2015, prevé que el Servicio Aragonés de Salud mantendrá sus actuaciones adaptadas a la normativa legal vigente, fundamentalmente en lo concerniente al tratamiento de los datos de carácter personal. En este ámbito son especialmente relevantes el Real Decreto-ley 12/2018, de 7 de septiembre , sobre seguridad de las redes y sistemas de información, y el Real Decreto 43/2021, de 26 de enero , que lo desarrolla, y el Reglamento (UE) 2019/881, sobre ciberseguridad, así como la restante normativa atinente a la protección de datos.

A tenor de las razones expuestas, y atendiendo al nuevo marco normativo establecido, la presente Orden viene a sustituir a la anterior Orden de 16 de marzo de 2015, incorporando así una regulación mejorada, en consonancia con las relevantes modificaciones normativas producidas en esta materia y con las directrices marcadas por los organismos que a nivel europeo y nacional han sido designados para la coordinación en materia de ciberseguridad y de protección de datos, así como a través de una adhesión a los principios y requisitos mínimos de prevención en seguridad desde el diseño que han establecido, reafirmando de este modo el compromiso del Servicio Aragonés de Salud con la seguridad de los sistemas de información.

En su elaboración se han observado los principios de buena regulación, contenidos en el artículo 129 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y en el artículo 39 del texto refundido de la Ley del Presidente o Presidenta y del Gobierno de Aragón, aprobado por Decreto Legislativo 1/2022, de 6 de abril , del Gobierno de Aragón, y se han emitido, por resultar trámites esenciales, los informes preceptivos de la Secretaría General Técnica del Departamento de Sanidad y de la Dirección General de Servicios Jurídicos.

En virtud de todo ello, y en ejercicio de las competencias previstas en el texto refundido de la Ley del Presidente o Presidenta y del Gobierno de Aragón, y en el Decreto 122/2020, de 9 de diciembre , por el que se aprueba la estructura orgánica del Departamento de Sanidad y del Servicio Aragonés de Salud, dispongo:

Artículo 1. Objeto.

1. El objeto de la presente Orden es la aprobación de la Política de Seguridad de la Información en el ámbito del Servicio Aragonés de Salud, aplicable en el tratamiento de los activos, sistemas y servicios de las tecnologías de la información y comunicación de su titularidad o cuya gestión tenga encomendada, con sujeción al marco previsto en el artículo 45 de la Ley 5/2021, de 29 de junio, de Organización y Régimen Jurídico del Sector Público Autonómico de Aragón, y atendiendo al cumplimiento del Esquema Nacional de Seguridad, sin perjuicio de las directrices establecidas o que puedan establecerse por otros órganos competentes en materia de sistemas de información del Gobierno de Aragón.

2. La Política de Seguridad de la Información objeto de aprobación queda recogida en el anexo que acompaña a esta Orden. A los efectos previstos en esta Orden y en la Política de Seguridad de la Información que se aprueba por la misma, las definiciones y estándares utilizados han de entenderse conforme al Esquema Nacional de Seguridad, conforme al glosario de términos incluido en el anexo IV del Real Decreto 311/2022, de 3 de mayo , así como en el artículo 3 del Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información.

Artículo 2. Definiciones y estándares.

A los efectos previstos en esta Orden y en la Política de Seguridad de la Información que se aprueba por la misma, las definiciones y estándares utilizados han de entenderse conforme al Esquema Nacional de Seguridad, conforme al glosario de términos incluido en el anexo IV del Real Decreto 311/2022, de 3 de mayo , así como en el artículo 3 del Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información.

Disposición derogatoria. Derogación normativa.

Se deroga la Orden de 16 de marzo de 2015, del Consejero de Sanidad, Bienestar Social y Familia, por la que se aprueba la Política de Seguridad de las Tecnologías de la Información y la Comunicación en el Servicio Aragonés de Salud y se crean el Comité de Seguridad de la Información y la figura del Responsable de Seguridad.

Disposición final única. Entrada en vigor.

La presente Orden entrará en vigor el día siguiente al de su publicación en el "Boletín Oficial de Aragón".