RESOLUCIÓN 3/2025, de 14 de enero, del Director de la Secretaría del Gobierno y de Relaciones con el Parlamento, por la que se dispone la publicación del Convenio con la Agencia Vasca de Ciberseguridad, para la encomienda de gestión de determinadas actuaciones de contratación necesarias para el funcionamiento de la Agencia Vasca de Ciberseguridad.

RESOLUCIÓN 3/2025, de 14 de enero, del Director de la Secretaría del Gobierno y de Relaciones con el Parlamento, por la que se dispone la publicación del Convenio con la Agencia Vasca de Ciberseguridad, para la encomienda de gestión de determinadas actuaciones de contratación necesarias para el funcionamiento de la Agencia Vasca de Ciberseguridad.

Habiéndose suscrito por la Administración General de la Comunidad Autónoma del País Vasco el Convenio referenciado, a los efectos de darle la publicidad debida,

RESUELVO:

Artículo único.- Publicar en el Boletín Oficial del País Vasco el texto del Convenio con la Agencia Vasca de Ciberseguridad, para la encomienda de gestión de determinadas actuaciones de contratación necesarias para el funcionamiento de la Agencia Vasca de Ciberseguridad, que figura como anexo a la presente.

En Vitoria-Gasteiz, a 14 de enero de 2025.

El Director de la Secretaría del Gobierno y de Relaciones con el Parlamento,

JON IÑAKI URBINA GARCÍA DE VICUÑA.

ANEXO A LA RESOLUCIÓN 3/2025, DE 14 DE ENERO, DEL DIRECTOR DE LA SECRETARÍA DEL GOBIERNO Y DE RELACIONES CON EL PARLAMENTO

CONVENIO DE COLABORACIÓN ENTRE LA AGENCIA VASCA DE CIBERSEGURIDAD Y EL DEPARTAMENTO DE SEGURIDAD DEL GOBIERNO VASCO, PARA LA ENCOMIENDA DE DETERMINADAS ACTUACIONES PARA LA CONTRATACIÓN DE OBRAS, SUMINISTROS Y SERVICIOS NECESARIOS PARA EL FUNCIONAMIENTO DE LA AGENCIA.

REUNIDOS

De una parte, D. Francisco Javier Diéguez Barriocanal, en su condición de Director General de la Agencia Vasca de Ciberseguridad (en adelante la Agencia) conforme al artículo único del Decreto 135/2023, de 19 de septiembre, de nombramiento, actuando en representación del ente público de derecho privado en virtud de las facultades atribuidas por el artículo 14 de los Estatutos de la Agencia, aprobados por Decreto 34/2024 de 19 de marzo.

Y de otra parte, D. Bingen Zupiria Gorostidi, en su condición de Consejero de Seguridad conforme al artículo único del Decreto 25/2024, de 24 de junio, del Lehendakari, en virtud de las competencias contempladas en el artículo 11 del Decreto 18/2024, de 23 de junio, del Lehendakari, de creación, supresión y modificación de los Departamentos de la Administración General de la Comunidad Autónoma del País Vasco y de determinación de funciones y áreas de actuación de los mismos, así como en el artículo 4.1 del Decreto 318/2024, de 29 de octubre, por el que se establece la estructura orgánica y funcional del Departamento de Seguridad.

Las partes, en la representación que ostentan, se reconocen recíprocamente capacidad suficiente para el otorgamiento del presente convenio de colaboración y,

EXPONEN

Primero.- La interrelación y dependencia de las comunicaciones digitales, junto con el grado de exposición de la información en la red, conllevan una necesidad latente de protección que garantice la seguridad de la ciudadanía y la actividad económica. Por este motivo, la protección de las infraestructuras y servicios de comunicación frente a amenazas en el ámbito de la ciberseguridad se ha convertido en los últimos tiempos en un pilar básico para diferentes sectores y administraciones.

Las administraciones públicas de la Comunidad Autónoma Vasca no son ajenas a los riesgos existentes ni al avance de estos.

En el entorno actual, la ciberseguridad debe contemplarse y dinamizarse como una materia transversal en el marco de las iniciativas de diferentes organismos de la Comunidad Autónoma Vasca, que dé soporte y facilite el adecuado desarrollo de las mismas y su apoyo a la ciudadanía y al sector empresarial.

En este contexto surge la necesidad de desarrollar una iniciativa común en el sector público de la Comunidad Autónoma Vasca, que articule y refuerce la coordinación de los recursos ya disponibles, y permita elevar el nivel de madurez de ciberseguridad, así como la resiliencia en el conjunto de la Comunidad Autónoma Vasca. Para ello, resulta de gran importancia el impulso de un organismo integrador y transversal de la ciberseguridad en la Comunidad Autónoma Vasca, que proporcione seguridad y estabilidad a la sociedad frente a las amenazas derivadas del uso de internet y las nuevas tecnologías, así como un punto único de relación con agentes externos.

Segundo.- En virtud de lo expuesto, mediante Ley 7/2023, de 29 de junio, se creó la Agencia Vasca de Ciberseguridad como un ente público de derecho privado del sector público de la Comunidad Autónoma Vasca, con personalidad jurídica propia, autonomía orgánica y funcional, y plena capacidad de obrar para el cumplimiento de sus fines. La Agencia queda adscrita al departamento competente en materia de seguridad a través de la persona titular de la Viceconsejería de Seguridad.

Tiene como objeto promover y coordinar la ciberseguridad en el sector público vasco delimitado por la Ley 3/2022, de 12 de mayo, del Sector Público Vasco, en el ámbito de la seguridad de los sistemas de la información y de las redes electrónicas de competencia de dicho sector, y apoyar e impulsar la capacitación en ciberseguridad y el desarrollo digital seguro de la Comunidad Autónoma Vasca, de su administración pública, y de su tejido empresarial.

Tercero.- De conformidad con lo dispuesto en el artículo 3 de la citada Ley 7/2023, de 29 de junio, de creación de la Agencia Vasca de Ciberseguridad, los órganos de gobierno de la Agencia son el Consejo de Administración y la Dirección General.

Su artículo 12 regula su régimen de contratación y dispone que la contratación de la Agencia se rige por la legislación en materia de contratación pública, así como por su normativa de desarrollo. Asimismo, indica que el órgano de contratación es la Dirección General.

Cuarto.- La Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, dispone en su artículo 11.1 que «la realización de actividades de carácter material o técnico de la competencia de los órganos administrativos o de las Entidades de Derecho Público podrá ser encomendada a otros órganos o entidades de la misma o de distinta Administración, siempre que entre sus competencias estén esas actividades, por razones de eficacia o cuando no se posean los medios técnicos idóneos para su desempeño».

Por su parte, la Ley 3/2022, de 12 de mayo, del Sector Público Vasco, prevé en su artículo 37.1 la encomienda de gestión entre órganos pertenecientes a distintas administraciones o entidades públicas, la denominada encomienda intersubjetiva, cuando concurra alguna de las circunstancias que el precepto enumera, entre ellas, tal y como sucede en el presente acuerdo, que el órgano que realice la actividad encomendada lo haga a título gratuito.

Establece a renglón seguido en su apartado segundo, que la encomienda de gestión intersubjetiva se articulará por medio de convenios interadministrativos de colaboración que requieren la aceptación previa del Consejo de Gobierno y que, para su efectividad, deben ser publicados en el Boletín Oficial del País Vasco, así como en la página web de los órganos que han suscrito el convenio, con el contenido mínimo correspondiente.

Finalmente, el apartado tercero de citado artículo 37 precisa que el convenio en el que se formalice la encomienda de gestión debe contener el régimen jurídico de la misma, con mención expresa de la actividad o actividades a las que afecte, plazo de vigencia, naturaleza y alcance de la gestión encomendada, y obligaciones que asuman el órgano o la entidad encomendados.

Quinto.- Tratándose la Agencia de un ente de reciente creación, en el momento actual no dispone de personal funcionario que le permita acometer procedimientos de contratación pública en los términos establecidos en el artículo 44 de la Ley 11/2022, de 1 de diciembre, de Empleo Público Vasco, que reserva al personal funcionario aquellas funciones cuyo ejercicio implique la participación directa o indirecta en el ejercicio de las potestades públicas o la salvaguardia de los intereses generales de cada administración pública.

Para suplir dicha carencia técnica, y hasta que se dote con los recursos precisos al efecto, se estima pertinente que sea el Departamento de Seguridad, órgano al que está adscrita, el que asuma las funciones técnicas y administrativas precisas para la contratación que se lleve a cabo al amparo de la de la Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público, y demás normativa contractual que resulte de aplicación. Ello, respetando en todo caso las competencias y funciones decisorias y de representación que ostentan los órganos de gobierno de la Agencia.

Por todo lo anterior, los reunidos, en la condición en que intervienen, acuerdan formalizar el presente Convenio de encomienda de gestión con arreglo a las siguientes

CLAÚSULAS

Primera.- Objeto.

El presente convenio tiene por objeto constituir una encomienda de gestión por parte de la Agencia Vasca de Ciberseguridad a favor del Departamento de Seguridad, para la contratación de los suministros, servicios y obras necesarias para el funcionamiento de la Agencia.

Para ello, se encomienda al Departamento de Seguridad el ejercicio de determinadas actividades de carácter técnico y administrativo que la legislación sobre contratación administrativa atribuye al órgano de contratación, que, siendo competencia de la Agencia, son precisas para la contratación de los suministros, servicios y obras requeridos para el funcionamiento de esta.

Segunda.- Duración y entrada en vigor.

El Departamento de Seguridad asumirá las funciones técnicas y administrativas precisas para la contratación administrativa de la Agencia hasta que esta disponga de los medios idóneos que le permitan realizar dichas contrataciones de forma plena y autónoma.

En todo caso, la duración máxima de la encomienda será de 4 años. No obstante, la vigencia podrá ser prorrogada por acuerdo expreso de las partes antes de la finalización del plazo previsto, por un periodo de hasta cuatro años adicionales.

El presente Convenio surtirá efectos a partir del día siguiente a su publicación en el Boletín Oficial del País Vasco.

Tercera.- Obligaciones de las partes.

1.- Actuaciones a desarrollar por el Departamento de Seguridad:

a) Las actuaciones preparatorias del contrato conforme a las necesidades manifestadas por la Agencia.

b) La preparación de los Pliegos de Cláusulas Particulares (Técnicas y Administrativas) que deben formar parte del expediente de contratación.

c) La tramitación y gestión de los expedientes de contratación, incluyendo la elaboración de los informes de valoración de las ofertas y las propuestas de resolución de adjudicación.

d) La preparación de los documentos contractuales a suscribir por las partes firmantes.

e) La tramitación y gestión de las incidencias contractuales: modificaciones, resoluciones, y prórrogas.

f) Todas aquellas actuaciones que pudieran entenderse necesarias para garantizar la adecuada tramitación y gestión de los expedientes de contratación y su adecuado desarrollo.

Para ejercitar las competencias y desarrollar las actuaciones y actividades objeto de la presente encomienda, el Departamento de Seguridad se ajustará a la Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público y demás normativa contractual que resulte de aplicación.

2.- Actuaciones a desarrollar por la Agencia:

a) La aprobación de los actos decisorios de inicio y aprobación de los expedientes de contratación.

b) La aprobación de los Pliegos de Cláusulas Particulares (Técnicas y Administrativas).

c) La designación de la mesa de contratación. Su composición y la identificación de sus miembros, que se incluirán en el pliego de cláusulas administrativas particulares y se publicará en el perfil de contratante.

d) La adjudicación de contrato administrativo.

e) La aprobación de los actos decisorios correspondientes a las diferentes incidencias contractuales: modificaciones, resoluciones, y prórrogas, así como la resolución de las demás incidencias que se planteen durante la vigencia de los contratos.

f) La recepción de las garantías por parte de las empresas adjudicatarias, que se constituirán a favor de la Agencia.

g) La firma del contrato, en calidad de órgano de contratación del expediente. El contrato tendrá naturaleza jurídica de contrato administrativo.

h) El seguimiento y control de la ejecución de los contratos resultantes de la presente encomienda, así como la realización de los pagos a los adjudicatarios de los contratos.

i) La respuesta frente a las empresas contratistas y otros terceros de cualquier tipo, frente a la posible responsabilidad derivada de la ejecución de los contratos.

Cuarta.- Titularidad de la competencia.

La encomienda de gestión no supone cesión de la competencia de contratación, ni de los elementos sustantivos de su ejercicio, que será ejercida por el órgano de contratación, de acuerdo con lo establecido en el artículo 12.2 de la Ley 7/2023, de 29 de junio, de creación de la Agencia Vasca de Ciberseguridad, y en el artículo 14 del Decreto 34/2024, de 19 de marzo, por el que se aprueban los Estatutos de la Agencia Vasca de Ciberseguridad.

En todas las contrataciones, y especialmente en los anuncios de licitación y demás documentos en los que intervenga el órgano encomendado, se hará constar expresamente la encomienda de gestión en virtud de la cual se actúa, de forma que tanto los licitadores como cualquier interesado en el procedimiento conozcan de la existencia de esta.

Quinta.- Financiación.

La presente encomienda no tiene contenido económico. Es un acuerdo de mera colaboración administrativa.

Sexta.- Comisión de seguimiento.

1.- Se crea una Comisión Seguimiento del Convenio que estará compuesta por cuatro miembros, dos representantes designados por la Agencia y dos representantes designados por Departamento de Seguridad.

2.- Esta Comisión se encargará de resolver las cuestiones y dudas de interpretación, así como cualquier otra cuestión que pudiera surgir en relación con la ejecución y el cumplimiento del convenio y de los objetivos del mismo, pudiéndose reunir en cualquier momento a solicitud de cualquiera de las partes suscribientes.

Séptima.- Protección de datos.

Los datos de carácter personal a los que se pudiera tener acceso en ejecución de la encomienda se utilizaran exclusivamente para los fines que se estipulan en el presente Acuerdo. Forman parte de la Actividad de Tratamiento Gestión de la contratación (ID 46).

La ejecución de la presente encomienda de gestión se regirá por lo establecido en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y en Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.

De acuerdo con el artículo 11.2 de la Ley 40/2015 de 1 de octubre, de Régimen Jurídico del Sector Público, el Departamento de Seguridad tendrá la condición de encargado del tratamiento de los datos de carácter personal a los que pudiera tener acceso en ejecución de la encomienda de gestión, siéndole de aplicación lo dispuesto en la normativa de protección de datos de carácter personal.

Ambas partes suscribirán el correspondiente encargo de tratamiento.

Octava.- Modificación.

Cualquier modificación de este Convenio deberá formalizarse por escrito.

La iniciativa para la revisión del Convenio corresponde a cualquiera de las partes, que deberá comunicarla a la otra por escrito.

Recibida la comunicación, las partes negociarán la modificación del Convenio y, en caso de alcanzar un acuerdo, lo documentarán por escrito.

Idéntico procedimiento se seguirá cuando la modificación traiga causa de modificaciones legales o reglamentarias. En cualquier caso, la entrada en vigor de una norma con rango legal o reglamentario incompatible con una cláusula del acuerdo determinará que esta pierda su eficacia, si bien es obligación de las partes promover y ejecutar la modificación de la encomienda en cuanto fuere preciso.

Novena.- Resolución.

Sin perjuicio de lo dispuesto en relación con la vigencia del Convenio, son causas de resolución:

a) El acuerdo mutuo de las partes firmantes, que deberá instrumentarse por escrito.

b) La imposibilidad sobrevenida, legal o material, de desarrollar las actividades que constituyen el objeto del Convenio.

c) El incumplimiento grave de cualquiera de las cláusulas por cualquiera de las partes.

Décima.- Naturaleza Jurídica.

El presente Convenio, de naturaleza jurídico-administrativa, se celebra al amparo de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público y de la Ley 3/2022, de 12 de mayo, del Sector Público Vasco.

Undécima.- Sometimiento a la Jurisdicción.

Para cuantos conflictos de índole judicial pudieren surgir en la aplicación del presente Acuerdo, ambas partes se someten a la Jurisdicción Contencioso-Administrativa competente.

Y, en prueba de su conformidad, las partes suscriben el presente acuerdo.

En Vitoria-Gasteiz, a 18 de diciembre de 2024.

El Consejero de Seguridad,

BINGEN ZUPIRIA GOROSTIDI.

El Director General de la Agencia Vasca de Ciberseguridad,

FRANCISCO JAVIER DIÉGUEZ BARRIOCANAL.