ORDEN de 5 de junio de 2025 por el que se regula el Comité de Seguridad de la Información del Fondo Gallego de Garantía Agraria.

I. Disposiciones generales

Consellería del Medio Rural

ORDEN de 5 de junio de 2025 por el que se regula el Comité de Seguridad de la Información del Fondo Gallego de Garantía Agraria.

La Ley 39/2015, de 1 de octubre, del procedimiento administrativo común de las administraciones públicas, en su artículo 13, otorga a los ciudadanos en sus relaciones con las administraciones públicas el derecho a la protección de datos de carácter personal y, en particular, los relativos a la seguridad y confidencialidad de los datos de las personas que figuren en los archivos, sistemas y aplicaciones de las administraciones públicas.

Por otro lado, el artículo 156 de la Ley 40/2015, de 1 de octubre, de régimen jurídico del sector público, introduce el Esquema nacional de seguridad (ENS) en el ámbito de la Administración electrónica, que tiene por objeto establecer la política de seguridad en la utilización de medios electrónicos en el ámbito de las administraciones, y que está constituido por los principios básicos y requisitos mínimos que garanticen adecuadamente la seguridad de la información tratada. Este último es objeto de regulación específica en el Real decreto 311/2022, de 3 de mayo, por el que se regula el Esquema nacional de seguridad.

El Real decreto 311/2022, de 3 de mayo, pretende alinear el ENS con el marco normativo y el contexto estratégico existente para garantizar la seguridad en la administración digital, introducir la capacidad de ajustar los requisitos del ENS para garantizar su adaptación a la realidad de ciertos colectivos o tipos de sistemas, atendiendo a la semejanza que presenta una multiplicidad de entidades o servicios en cuanto a los riesgos a los que están expuestos sus sistemas de información y sus servicios y facilitar una mejor respuesta a las tendencias en ciberseguridad, reducir vulnerabilidades y promover la vigilancia continua mediante la revisión de los principios básicos, de los requisitos mínimos y de las medidas de seguridad.

En concreto, el artículo 12 del Real decreto 311/2022, de 3 de mayo, obliga a que cada órgano o entidad con personalidad jurídica propia, comprendido en el ámbito subjetivo del artículo 2 de la citada norma, deberá contar con una política de seguridad formalmente aprobada por el órgano competente.

Y, por último, es necesario tener presente la regulación contenida en el Reglamento (UE) nº 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (también denominado Reglamento general de protección de datos). Este reglamento tiene por objeto proteger los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales.

Para dar cumplimiento a la normativa anteriormente citada, la Consellería del Medio Rural aprobó la Orden de 1 de febrero de 2021 de regulación del Comité de Seguridad de la Información del Fondo Gallego de Garantía Agraria y de adaptación de la normativa de seguridad de la información. Además, recientemente, la Xunta de Galicia dispone de una nueva política de seguridad de la información de la Administración general y del sector público autonómico de Galicia, aprobada por el Consello de la Xunta mediante la Resolución de 22 de octubre de 2024 por la que se da publicidad a la política de seguridad de la información y protección de datos personales de la Administración general y del sector público autonómico de Galicia.

En el punto 5.4.3, apartado a), de esta resolución se regula el rol de coordinador de seguridad de la información, que es el encargado de coordinar los asuntos relativos a la seguridad de la información dentro de su ámbito de actuación, de promover la formación y concienciación en materia de seguridad de la información, de determinar las decisiones que se tomen para proteger adecuadamente la información y los servicios y de supervisar su implantación en todos los aspectos no relacionados con las TIC. En el ejercicio de dichas funciones será encargado de comunicarse con la dirección, con el resto de la organización y con terceras personas, así como de supervisar el alineamiento de la seguridad con los objetivos de la organización. Esta figura se define con más precisión en el modelo de roles y responsabilidades aprobado por la Comisión de Seguridad y Gobierno Electrónico y puede ser asumida por una persona física o un órgano colegiado. Esta previsión se recoge en el artículo 8.1 del Decreto 73/2014, de 12 de junio, por el que se crean y se regulan los órganos colegiados con competencias en materia de seguridad de la información y gobierno electrónico de la Administración general y del sector público autonómico de Galicia, conforme a la modificación que del mismo efectuó el Decreto 169/2016, de 24 de noviembre.

Por otra parte, hay que tener presente que el Decreto 155/2006, de 7 de septiembre, por el que se establece el régimen del organismo pagador de los fondos europeos agrarios de Galicia, constituye el Fogga como organismo pagador del Fondo Europeo Agrícola de Garantía (Feaga) y el Fondo Europeo Agrícola de Desarrollo Rural (Feader).

Según los estatutos de este organismo, aprobados por el Decreto 7/2014, de 16 de enero, el Fondo Gallego de Garantía Agraria (Fogga) se configura como una entidad pública instrumental, con personalidad jurídica propia y diferenciada respecto de la Administración general de la Comunidad Autónoma de Galicia y plena capacidad de obrar para el cumplimiento de sus fines. De especial relevancia en relación con la configuración y estructura interna del Fogga resulta su consideración como organismo pagador de los fondos europeos agrícolas en Galicia, en virtud de lo dispuesto en el Decreto 155/2006, de 7 de septiembre, y en la Orden de 4 de octubre de 2007 por la que se autoriza al Fondo Gallego de Garantía Agraria como organismo pagador de dichos fondos en Galicia.

En tanto organismo pagador, debe respetar las prescripciones previstas en el Reglamento (UE) nº 2022/127 de la Comisión, de 7 de diciembre de 2021, que completa el Reglamento (UE) nº 2116/2021 del Parlamento Europeo y del Consejo, de 2 de diciembre de 2021, con normas relativas a los organismos pagadores y otros órganos, la gestión financiera, la liquidación de cuentas, las garantías y el uso del euro. El artículo 1.2.c) de este reglamento exige que los organismos pagadores cumplan los criterios de autorización previstos en su anexo I en diversos ámbitos, como el de la información y la comunicación.

El anexo I.3 del Reglamento 2022/127 exige que el organismo pagador aplique en materia de seguridad de la información los criterios previstos en las normas que contiene.

Es necesario, por tanto, adaptar la política de seguridad de la información y de protección de datos personales del Fogga a la nueva política de seguridad de la información y protección de datos personales de la Xunta de Galicia, atribuyendo al Comité de Seguridad de la Información del Fondo Gallego de Garantía Agraria el rol de coordinador de seguridad de la información y, tras el análisis del funcionamiento del Comité de Seguridad de la Información del Fogga desde su constitución, es oportuno modificarlo ampliando las funciones del Comité, otorgando la Presidencia del Comité a la persona titular de la Dirección del Fogga y cambiando la composición y la categoría de sus miembros, pasando aquellos miembros que tenían la categoría de miembros invitados a miembros permanentes con el fin de procurar una mayor implicación y participación de los órganos gestores delegados en la aplicación de las políticas y directrices de seguridad de la información en la gestión de la PAC en la Comunidad Autónoma de Galicia.

En su virtud, en el ejercicio de las facultades que me fueron concedidas con base en el artículo 34 de la Ley 1/1983, de 22 de febrero, de normas reguladoras de la Xunta y de su Presidencia,

DISPONGO:

TÍTULO PRELIMINAR

Disposiciones generales

Artículo 1. Objeto

Esta orden tiene por objeto:

a) Regular la composición y funciones del Comité de Seguridad de la Información del Fondo Gallego de Garantía Agraria.

b) Establecer el estándar de calidad ISO 27002 como norma básica para la implantación del sistema de seguridad de las tecnologías de la información en el ámbito del Fogga.

TÍTULO I

Comité de Seguridad de la Información del Fogga

Artículo 2. Naturaleza y composición

1. El Comité de Seguridad de la Información del Fogga es el órgano colegiado y paritario de participación en el Fogga destinado a la consulta regular y periódica de las actuaciones en materia de gestión de seguridad de la información en el ámbito competencial del Fogga y de los organismos gestores delegados.

2. El Comité de Seguridad de la Información del Fogga, de conformidad con lo dispuesto en el punto 5.4.3, apartado a), de la Resolución del Consello de la Xunta, de 22 de octubre de 2024, por la que se da publicidad a la política de seguridad de la información y protección de datos personales de la Administración general y del sector público autonómico de Galicia, asume el rol de coordinador de seguridad de la información en su ámbito de actuación.

3. El Comité de Seguridad de la Información del Fogga está integrado por los miembros permanentes y por los miembros invitados.

4. Los miembros permanentes del Comité de Seguridad de la Información del Fogga son:

a) La persona titular de la Dirección del Fogga.

b) La persona titular de la Secretaría del Fogga.

c) La persona titular de la Subdirección General de Gestión de la PAC.

d) La persona titular del Servicio de Gestión Administrativa del Fogga.

e) La persona titular del Servicio de Gestión Económica del Fogga.

f) La persona titular del Servicio de Auditoría Interna del Fogga.

g) Un máximo de dos personas representantes de la Agencia para la Modernización Tecnológica de Galicia. Una de las personas previstas en este apartado deberá representar a la unidad de la Amtega competente en materia de seguridad de la información.

h) Una persona representante de cada uno de los órganos gestores que tengan en vigor una delegación de funciones autorizada por el Fogga de los fondos europeos Feaga y Feader, excepto aquellos gestores delegados que por sus especiales características tengan una política de seguridad de la información propia. Cada órgano delegado autorizado es competente para designar a su representante en el Comité de Seguridad de la Información y un suplente que comunicará a la Secretaría del Fogga.

5. Son miembros invitados del Comité de Seguridad de la Información del Fogga:

a) Una persona representante de cada uno de los órganos gestores que tengan en vigor una delegación de funciones autorizada por el Fogga de los fondos europeos Feaga y Feader y que por sus especiales características tengan una política de seguridad de la información propia. Cada uno de estos órganos delegados autorizados es competente para designar a su representante en el Comité de Seguridad de la Información y un suplente que comunicará a la Secretaría del Fogga.

b) Una persona representante de la unidad de la Intervención General de la Xunta de Galicia con competencias en la Auditoría de Fondos Comunitarios.

6. El Comité de Seguridad de la Información del Fogga contará con una presidencia y una secretaría.

7. En la composición del Comité se atenderá al principio de presencia equilibrada de mujeres y hombres. La comunicación que se realice para la designación de representantes recordará la importancia social de tender a este objetivo de igualdad.

8. El Comité de Seguridad de la Información del Fogga podrá reunirse en pleno o en comisiones. El reglamento de régimen interno determinará la composición y las competencias de las comisiones.

Artículo 3. Presidencia

1. La Presidencia del Comité de Seguridad de la Información del Fogga será asumida por la persona titular de la Dirección del Fogga que será, asimismo, responsable de la información en el Fogga.

2. En caso de vacante, ausencia o enfermedad, la persona titular de la Presidencia será sustituida por la persona titular de la Subdirección General de Gestión de la PAC y, en su ausencia, por la persona que designe la Presidencia entre los miembros permanentes del Comité.

3. Son funciones de la Presidencia las siguientes:

a) Representar al Comité de Seguridad de la Información.

b) Convocar las reuniones del Comité de Seguridad de la Información y establecer la orden del día, teniendo en cuenta, en su caso, las peticiones de los demás miembros del Comité presentadas con la debida antelación.

c) Presidir las reuniones, moderar los debates y suspenderlos por causas justificadas.

d) Visar las actas y los certificados de los acuerdos del Comité.

e) Impulsar y dirigir la acción y proyectos aprobados en el Comité de Seguridad y de la Información.

4. El voto de la Presidencia tendrá carácter dirimente en caso de empate en una votación.

Artículo 4. Secretaría

1. La Secretaría del Comité de Seguridad de la Información será asumida por la persona titular de la Secretaría del Fogga.

2. En caso de vacante, ausencia o enfermedad, la persona titular de la Presidencia será sustituida por la persona titular del Servicio de Gestión Administrativa del Fogga y, en su defecto, por la persona que designe la persona titular de la Secretaría del Comité entre sus miembros permanentes.

3. Son funciones de la persona titular de la Secretaría las siguientes:

a) Efectuar las convocatorias del Comité en nombre de la Presidencia, así como enviar otras comunicaciones a sus miembros.

b) Preparar el despacho de los asuntos y redactar y autorizar las actas de cada sesión y expedir certificados de los acuerdos adoptados.

c) Custodiar la documentación relativa al Comité.

4. La Secretaría dispondrá de voz y voto en las reuniones.

Artículo 5. Miembros permanentes del Comité

1. Los miembros permanentes del Comité dispondrán de voz y voto en las reuniones.

2. Corresponden a los miembros permanentes del Comité las siguientes funciones:

a) Participar en los debates, presentar propuestas y ejercer su derecho al voto.

b) Formular a la Presidencia propuestas para incluirlas en el orden del día.

c) Demandar la información que precisen para el desarrollo de sus funciones.

Artículo 6. Miembros invitados

1. Los miembros invitados pueden asistir a las sesiones con voz pero sin voto.

2. Su función principal es asesorar al Comité en las cuestiones de interés para el cumplimiento de la normativa en materia de seguridad de la información y protección de datos personales.

Artículo 7. Miembros especiales

1. Los miembros especiales del Comité de Seguridad de la Información podrán ser personal representante de otras unidades de la Xunta de Galicia o personas expertas ajenas a la Administración autonómica cuando lo solicite algún miembro permanente por considerarlo relevante para la toma de decisiones del Comité.

2. Los miembros especiales podrán asistir, con voz pero sin voto, a las reuniones del Comité cuando sea relevante su participación para la toma de decisiones siempre que así lo solicite alguno de los miembros permanentes con anterioridad a la fecha de la celebración de la sesión y lo convoque la Presidencia.

3. Tendrán la condición de miembro especial las personas nombradas suplentes de los miembros permanentes e invitados cuando asista el titular a la reunión.

Artículo 8. Ámbito de actuación

El Comité de Seguridad de la Información del Fogga tiene como ámbito de actuación los aspectos relativos a la seguridad de la información requeridos al Fogga por la legislación aplicable, por la normativa de protección de datos de carácter personal y otras, así como por la normativa corporativa de mayor nivel, y que no sean competencia de la Amtega o de las unidades TIC con competencias no asumidas por esta.

Artículo 9. Funciones

De acuerdo con la política de seguridad, las funciones del Comité de Seguridad de la Información del Fogga son las siguientes:

a) Promover y procurar que los requisitos de seguridad estén alineados con los objetivos estratégicos del Fogga.

b) Coordinar la implantación de la política de seguridad de la información y protección de datos personales en el Fogga y en los organismos gestores delegados.

c) Supervisar los cambios significativos de los sistemas que puedan afectar a la política de seguridad.

d) Revisar la efectividad de la política de seguridad e informes de incidencias más significativas en esta materia.

e) Diseñar los procedimientos de seguridad dentro del Fogga y su aprobación.

f) Mantener la política de seguridad de la información y protección de datos actualizada y alineada con las actividades del Fogga y los organismos gestores delegados y controlar las amenazas sobre la información y otros activos del Fogga y los organismos gestores delegados.

g) Coordinar los aspectos de seguridad requeridos por la legislación aplicable, así como por la normativa corporativa de mayor nivel y que no sean competencia de la Amtega.

h) Investigar y actuar para prevenir incidencias de seguridad.

i) Asegurar que se dispone de los recursos necesarios para dar respuesta a las demandas.

j) Proponer la designación de responsabilidades de seguridad asociadas a cada elemento de las políticas de seguridad dentro del Fogga y de los organismos gestores delegados.

k) Promover iniciativas sobre la seguridad de la información y revisar el estado da seguridad de la información.

l) Centralizar la planificación, desarrollo y control de proyectos de seguridad, definiendo metodologías y procesos para la gestión de la seguridad de la información.

m) Implantar y administrar los controles de seguridad de los sistemas de información; la Amtega se encargará de la parte técnica que le corresponde.

n) Liderar e impulsar la adopción de normas de seguridad de la información y protección de datos personales, de carácter obligatorio, en el ámbito del Fogga y de los organismos gestores delegados: ISO 27002, Esquema nacional de seguridad, Reglamento (UE) nº 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE, Ley orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales, y demás normativa nacional y autonómica de aplicación, en coordinación con las directrices corporativas de la Xunta de Galicia en estas materias.

Artículo 10. Régimen interno

1. El Comité se regirá para el ejercicio de sus funciones por sus propias normas de funcionamiento y régimen interno, mediante la aprobación de un reglamento interno de funcionamiento.

2. Sin perjuicio de lo anterior, el funcionamiento del Comité se ajustará a lo establecido en los artículos 16 a 21 de la Ley 16/2010, de 17 de diciembre, de organización y funcionamiento de la Administración general y del sector público autonómico de Galicia, y en los artículos 15 a 18 de la Ley 40/2015, de 1 de octubre, de régimen jurídico del sector público.

TÍTULO II

Estándar de seguridad del Fogga

Artículo 11. Estándar de seguridad en el Fogga y requisitos del Esquema nacional de seguridad

El Fondo Gallego de Garantía Agraria se ajustará en su actuación al Código de prácticas para la seguridad de la información, ciberseguridad y protección de la privacidad contenido en la norma ISO 27002, que será la norma básica para la implantación del sistema de gestión de la seguridad de la información en el ámbito del Fogga conforme a lo previsto en el anexo I.3 del Reglamento (UE) nº 2022/127 de la Comisión, de 7 de diciembre de 2021, que completa el Reglamento (UE) nº 2116/2021 del Parlamento Europeo y del Consejo, de 2 de diciembre de 2021, con normas relativas a los organismos pagadores y otros órganos, a la gestión financiera, la liquidación de cuentas, las garantías y el uso del euro.

Disposición adicional primera. No incremento del gasto

La constitución y el funcionamiento del órgano colegiado previsto en esta orden no supondrán en ningún caso un incremento del gasto público y no generará aumento de los créditos presupuestarios asignados al Fogga.

Disposición derogatoria. Derogación normativa

Queda derogada la Orden de 1 de febrero de 2021 de regulación del Comité de Seguridad de la Información del Fondo Gallego de Garantía Agraria y de adaptación de la normativa de seguridad de la información.

Disposición final primera. Facultad de desarrollo

Se faculta a la persona titular de la Dirección del Fogga, en el ámbito de sus respectivas competencias, para dictar las instrucciones precisas para el desarrollo y ejecución de esta orden.

Disposición final segunda. Entrada en vigor

Esta orden entrará en vigor el día siguiente al de su publicación en el Diario Oficial de Galicia.

Santiago de Compostela, 5 de junio de 2025

Mª José Gómez Rodríguez
Conselleira del Medio Rural