1
Ciberseguridad para usuarios
SEGURIDAD EN SISTEMAS DE INFORMACIÓN
2. CIBERSEGURIDAD
2.5. Normativa y reglamentación sobre seguridad informática
España cuenta con una Estrategia de Ciberseguridad Nacional desde el año 2013. Se encuentra alineada con
la Estrategia de Seguridad Nacional y en ella se establecen las prioridades, objetivos y medidas adecuadas para
alcanzar y mantener un elevado nivel de seguridad, tanto en las redes como los sistemas de información.
La Estrategia Nacional de Ciberseguridad 2019 desarrolla las previsiones de la Estrategia de Seguridad Nacional
de 2017 en el ámbito de la ciberseguridad, considerando los objetivos generales, el objetivo del ámbito y las
líneas de acción establecidas para conseguirlo. El documento se estructura en cinco capítulos: I. El ciberespacio,
más allá de un espacio común global; II. Las amenazas y desafíos en el ciberespacio; III. Propósito, principios y
objetivos para la ciberseguridad; IV. Líneas de acción y medidas; V. La ciberseguridad en el Sistema de Seguridad
Nacional.
La revisión de la Estrategia Nacional de Ciberseguridad es competencia del Consejo de Seguridad Nacional que,
además, se constituye -a través del Departamento de Seguridad Nacional- en el Punto de Contacto Único para
garantizar la cooperación transfronteriza de las autoridades competentes españolas con sus homólogas en otros
Estados miembros de la Unión Europea, así como con el grupo de colaboración y la red de Equipos de
Respuesta a Incidentes de Seguridad Informática (conocidos como CSIRT, acrónimo de Computer Security
Incident Response Team).
Por lo que respecta a la normativa nacional en el ámbito de la seguridad destacan las siguientes disposiciones:
Real Decreto 3/2010, de 8 de enero, que regula el Esquema Nacional de Seguridad (ENS) en el
ámbito de la Administración Electrónica, como normativa especial en materia de seguridad en los
sistemas de información del sector público.
Ley 8/2011, de 28 de abril, por la que se establecen medidas para la protección de
infraestructuras críticas.
Ley 36/2015, de 28 de septiembre, de Seguridad Nacional.
Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de
información.
Reiniciar
Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de
información
La aprobación por el Gobierno de España del Real Decreto-ley 12/2018, de 7 de septiembre, permite
incorporar al ordenamiento jurídico español la Directiva (UE) 2016/1148 (Directiva NIS), con el objetivo de
regular la seguridad de las redes y sistemas de información utilizados para la provisión de los servicios
esenciales y de los servicios digitales, así como para establecer un sistema de notificación de incidentes.
Asimismo, este Real Decreto-ley establece un marco institucional de la seguridad para su aplicación y para la
coordinación entre autoridades competentes y los órganos de cooperación relevantes en el ámbito de la
Unión Europea. Será la Estrategia de Ciberseguridad Nacional la que desarrolle dicho marco, que estará
formado por las autoridades públicas competentes y los CSIRT de referencia, por una parte, y la cooperación
público-privada, por otra.
En resumen, el Real Decreto-ley 12/2018:
1 Identifica los sectores en los que es necesario garantizar la protección de las redes y los sistemas de
información.
2 Establece procedimientos para identificar los servicios esenciales ofrecidos en dichos sectores y los
principales operadores que los prestan, que son, finalmente, los destinatarios del Real Decreto-ley
3 Recalca la necesidad de considerar los estándares europeos e internacionales, así como las
recomendaciones que surjan del grupo de cooperación y de los CSIRT establecidos en el ámbito
comunitario por la Directiva NIS. Resulta fundamental aplicar las mejores prácticas aprendidas en
dichos foros para contribuir a la elaboración de los reglamentos y guías que permitan impulsar el
mercado interior y la participación de las empresas españolas en él.
4 Se apoya en las normas, en los instrumentos de respuesta a incidentes y en los órganos de
coordinación estatal existentes en esta materia. Ha de garantizar su coherencia con las
disposiciones que se derivan de la aplicación de otras normativas en materia de seguridad de la
información.
5 Se decanta por impulsar la subsanación de la infracción antes que su castigo. Establece que, en caso
de ser necesario dispensarlo (respetando la línea ordenada en la Directiva NIS), el castigo ha de ser
efectivo, proporcionado y disuasorio. Se establecen 3 categorías de infracciones:
a Muy graves: podrá suponer una multa de entre 500.001 € hasta 1.000.000 €.
b Graves: podrá suponer una multa de 100.001 € hasta 500.000 €.
c Leves: podrá suponer una amonestación o multa hasta 100.000 €.
Nota
Por lo que respecta al régimen sancionador, serán las autoridades competentes quienes ejercerán las
funciones de vigilancia establecidas en el Real Decreto-ley y aplicarán las sanciones previstas.
Práctica
El objetivo general de la Estrategia Nacional de Ciberseguridad de 2019 es garantizar el uso seguro y fiable
del ciberespacio, protegiendo los derechos y las libertades de los ciudadanos y promoviendo el progreso socio
económico. En base a este objetivo general se fijan los objetivos específicos que orientan la acción del Estado:
1. Seguridad y resiliencia de las redes y los sistemas de información y comunicaciones del sector público y
de los servicios esenciales.
2. Uso seguro y fiable del ciberespacio frente a su uso ilícito o malicioso.
3. Protección del ecosistema empresarial y social y de los ciudadanos.
4. Cultura y compromiso con la ciberseguridad y potenciación de la capacidades humanas y tecnológicas.
5. Seguridad del ciberespacio en el ámbito internacional.
Es esta Estrategia también se establecen las líneas de acción dirigidas a la consecución de estos objetivos.
Identifica en el texto de la Orden PCI/487/2019, de 26 de abril, por la que se publica la Estrategia
Nacional de Ciberseguridad 2019 <https://www.boe.es/diario_boe/txt.php?id=BOE-A-2019-
6347>, cuáles son las líneas de acción asociadas a cada objetivo y qué medidas implican. Una vez
identificadas, para cada una de las líneas de acción, pon un ejemplo práctico que describa una medida que se
pueda llevar a cabo en una empresa (la que quieras tomar como referencia) para desarrollarla.
Envía tu práctica al tutor del curso para que pueda valorarla.
