Sede electrónica del Ayuntamiento de Madrid

Por Resolución de 6 de marzo de 2024 de la Coordinadora General de la Alcaldía se aprueba la instrucción de seguridad para la asignación de responsabilidades en la actuación ante ciberincidentes en el Ayuntamiento de Madrid y sus organismos públicos.

Desde la aprobación de la instrucción se han producido algunos ciberincidentes, de distinta criticidad, en cuya mitigación y corrección ha resultado particularmente relevante la importancia de procedimentar adecuadamente la gestión de su investigación para conocer por qué se ha producido el ciberincidente y adoptar medidas para que no vuelvan a producirse. Debido a su relevancia, se ha considerado procedente incorporar a la instrucción criterios comunes de aplicación sobre estos procedimientos de investigación.

La presente resolución consta de dos apartados. El primero modifica en el anexo el apartado 2, añade las letras g) y h) en el apartado 3, las letras i) y j) en el punto 4.1, modifica el punto 4.2.a) y añade las letras g) en el punto 4.3 y e) en el punto 4.4 del apartado 4, con el fin de clarificar el alcance de las obligaciones que deben asumir los terceros que presten servicios al Ayuntamiento de Madrid o a sus organismos públicos en materia de ciberseguridad, integrando además una referencia a la instrucción en materia de brechas de datos personales; incluir la definición de procedimiento de investigación de ciberincidente, así como la escala de valoración de la respuesta al incidente; rediseñar los roles y responsabilidades de las distintas figuras organizativas involucradas en la seguridad de la información. Y, finalmente, garantizar la máxima coordinación y eficacia en la resolución de los incidentes mediante la exigencia de un deber generalizado de colaboración.

El segundo apartado indica que la resolución surtirá efectos desde el día siguiente al de su publicación en el "Boletín Oficial del Ayuntamiento de Madrid".

La adopción de esta resolución corresponde al titular de la Coordinación General de la Alcaldía, de acuerdo con las competencias en materia de transformación digital municipal y de ciudad asignadas por Acuerdo de 29 de junio de 2023, de organización y competencias de la Coordinación General de la Alcaldía.

En su virtud, de conformidad con lo dispuesto en los apartados 3.º 1.3 y 2.8.h) del Acuerdo de 29 de junio de 2023 de la Junta de Gobierno de la Ciudad de Madrid, de organización y competencias de la Coordinación General de la Alcaldía, a propuesta de la Dirección General de la Oficina Digital,

RESUELVO

PRIMERO.- Modificar la instrucción de seguridad para la asignación de responsabilidades en la actuación ante ciberincidentes en el Ayuntamiento de Madrid y sus organismos públicos, aprobada por Resolución de 6 de marzo de 2024 de la Coordinadora General de la Alcaldía, en los términos que se indican a continuación:

Uno.- El apartado 2 queda redactado en los siguientes términos:

"2. Ámbito de aplicación.

Esta instrucción será de obligado cumplimiento para todos los órganos superiores y directivos del Ayuntamiento de Madrid y sus organismos públicos, así como para todo su personal. Igualmente, será aplicable a los terceros que presten servicios al Ayuntamiento de Madrid o a sus organismos públicos, accedan a su información o utilicen sus sistemas, especialmente cuando, en el ejercicio de dichos servicios, tengan conocimiento de incidentes que puedan afectar a la seguridad de la información o a los sistemas del Ayuntamiento de Madrid o de sus organismos públicos.

En caso de que un ciberincidente afecte a datos de carácter personal resultará de aplicación, además, la Resolución de 29 de julio de 2021 de la Coordinadora General de Distritos, Transparencia y Participación Ciudadana en su condición de Delegada de Protección de Datos por la que se aprueba la Instrucción 1/2021 por la que se establecen los criterios para el registro, gestión y notificación de las brechas de seguridad que afecten a los datos de carácter personal en el Ayuntamiento de Madrid y sus organismos públicos (en adelante, Instrucción de brechas de datos personales)".

Dos.- En el apartado 3, se añaden las nuevas letras g) y h), que quedan redactadas en los siguientes términos:

"g) Procedimiento de investigación de ciberincidente: investigación formal tras un incidente de nivel muy alto o superior conforme a la clasificación de incidentes de la Guía Nacional de Notificación y Gestión de Ciberincidentes que, recopila evidencias, evalúa la respuesta de la unidad municipal, revisa la arquitectura del sistema y el cumplimiento normativo, incluyendo el de los contratos con terceros afectados, y propone medidas para disminuir la probabilidad de nuevos incidentes en el servicio involucrado".

"h) Escala de Valoración de la respuesta al incidente de la unidad municipal responsable de un ciberincidente: instrumento de determinación del grado de adecuación de la respuesta al incidente, tomando en consideración las actuaciones realizadas por la unidad municipal responsable, la arquitectura del sistema y la gestión del cumplimiento normativo en materia de seguridad de la información, incluyendo los contratos suscritos con terceros vinculados al incidente.

La valoración se expresará mediante los niveles de calificación óptima, adecuada, regular, inadecuada o deficiente, en función del riesgo para la organización y sus activos.

La calificación óptima se dará cuando existan evidencias demostradas de riesgo mínimo; adecuada, cuando no se detecten efectos que pongan en riesgo a la organización y sus activos; regular, cuando se identifiquen defectos menores que ponen en riesgo limitado a la organización y sus activos; inadecuada, cuando se aprecien defectos graves que ponen en riesgo grave a la organización y sus activos; o deficiente, cuando concurran defectos extremos que ponen en riesgo crítico a la organización y sus activos".

Tres.- En el apartado 4, se añaden las nuevas letras i) y j) en el punto 4.1, se modifica la letra a) en el punto 4.2, se añade la nueva letra g) en el punto 4.3 y se añade la nueva letra e) en el punto 4.4, que quedan redactadas en los siguientes términos: