Art. [preambulo]
En vigor desde 2 ago 2026
La política de seguridad de la información es el conjunto de directrices que rigen la forma en que una entidad, en este caso, un departamento ministerial, gestiona y protege la información que trata y los servicios que presta.
En el ámbito del Ministerio de Trabajo y Economía Social se debe garantizar la seguridad como un proceso integral de cada etapa del ciclo de vida de cada sistema de información, desde su concepción hasta su retirada de servicio, pasando por las decisiones de desarrollo o adquisición y las actividades de explotación. Además, el sistema de información debe estar preparado para prevenir, detectar, reaccionar y recuperarse de incidentes, de acuerdo con lo que prevé el Esquema Nacional de Seguridad.
El marco de relación entre la Administración Pública y la ciudadanía a través de medios electrónicos se encuentra establecido en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. Asimismo, la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público incorpora en su artículo 156 el Esquema Nacional de Seguridad como elemento esencial para garantizar la confianza en la actuación administrativa digital. Ambas normas fueron desarrolladas mediante el Reglamento de actuación y funcionamiento del sector público por medios electrónicos, aprobado por Real Decreto 203/2021, de 30 de marzo.
El Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad, establece los principios y requisitos necesarios para garantizar la protección adecuada de la información y de los servicios públicos digitales, asegurando la confidencialidad, integridad, disponibilidad, autenticidad, trazabilidad y conservación de los datos, la información y los servicios utilizados por medios electrónicos que gestionen en el ejercicio de sus competencias. En particular su artículo 12.3 dispone que cada ministerio debe contar con su política de seguridad, aprobada por la persona titular del departamento.
El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE, en adelante Reglamento General de Protección de Datos, señala que la protección de los derechos y libertades de las personas físicas con respecto al tratamiento de datos personales exige la adopción de medidas técnicas y organizativas apropiadas con el fin de garantizar el cumplimiento de los requisitos de dicho reglamento. A fin de poder demostrar la conformidad con el Reglamento General de Protección de Datos, el responsable del tratamiento debe adoptar políticas internas y aplicar medidas que cumplan, en particular, los principios de protección de datos desde el diseño y por defecto.
A tal efecto establece, en su artículo 24, como obligaciones generales del responsable del tratamiento y del encargado del tratamiento, la aplicación de las medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el citado Reglamento General de Protección de Datos. Entre las medidas mencionadas se incluirá la aplicación, por parte del responsable del tratamiento, de las oportunas medidas para la protección de datos.
Además de en el marco de las normas mencionadas con anterioridad, esta orden se dicta también de acuerdo con lo dispuesto en la disposición adicional primera de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos Digitales, que señala que, en el ámbito del sector público, el Esquema Nacional de Seguridad incluirá las medidas que deban implantarse en caso de tratamiento de datos personales para evitar su pérdida, alteración o acceso no autorizado, adaptando los criterios de determinación del riesgo en el tratamiento de los datos a lo establecido en el artículo 32 del Reglamento General de Protección de Datos, en orden a aplicar las medidas de seguridad al tratamiento de datos personales.
Con relación a la ciberseguridad, el Real Decreto-ley 14/2019, de 31 de octubre, por el que se adoptan medidas urgentes por razones de seguridad pública en materia de administración digital, contratación del sector público y telecomunicaciones, incorpora medidas para la seguridad pública, asegurando aspectos relacionados con la mayor exposición a ciberamenazas que exigen una mejor protección de redes y sistemas, así como de la privacidad y los derechos digitales de las personas.
Respecto al marco normativo europeo, la Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo, de 14 de diciembre, relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión, por la que se modifican el Reglamento (UE) n.º 910/2014 y la Directiva (UE) 2018/1972 y por la que se deroga la Directiva (UE) 2016/1148, en adelante, Directiva NIS2, establece obligaciones de ciberseguridad para los Estados miembros, medidas para la gestión de riesgos de ciberseguridad y obligaciones de notificación para las entidades comprendidas en su ámbito de aplicación, así como obligaciones referentes al intercambio de información sobre ciberseguridad y obligaciones de supervisión y ejecución para los Estados miembros.
En cumplimiento del mandato previsto en el artículo 12.3 del Real Decreto 311/2022, de 3 de mayo, mediante la Orden TES/369/2023, de 10 de abril, por la que se aprueba la política de seguridad de la información y de los servicios en el ámbito de la administración digital del Ministerio de Trabajo y Economía Social y se crea el Comité de Seguridad de las Tecnologías de la Información y las Comunicaciones del departamento, se aprobó la primera política de seguridad de la información y de los servicios del Ministerio de Trabajo y Economía Social, creando el Comité de Seguridad de las Tecnologías de la Información y las Comunicaciones. Sin embargo, la evolución normativa y tecnológica, las nuevas exigencias derivadas del Esquema Nacional de Seguridad, la incorporación de la vigilancia continua y la gestión dinámica del riesgo, así como la sucesiva reestructuración ministerial dada por los Reales Decretos 829/2023, de 20 de noviembre,1009/2023, de 5 de diciembre, y 502/2024, de 21 de mayo, hacen necesaria la actualización integral de dicho marco.
La presente orden deroga y sustituye a la Orden TES/369/2023, de 10 de abril, adaptando la política de seguridad del departamento a las mejores prácticas nacionales e internacionales en materia de ciberseguridad y protección de datos, e incorporando nuevos principios como el de mínimo privilegio, la clasificación de la información, la protección del soporte no electrónico y la vigilancia continua de los sistemas.
Asimismo, esta orden crea el Comité de Seguridad de las Tecnologías de la Información y las Comunicaciones, ampliando su composición para incluir a los organismos públicos adscritos y reforzando su papel como órgano colegiado ministerial responsable de la coordinación, seguimiento y mejora continua de la seguridad de la información y de los servicios digitales del Ministerio.
Esta norma se dicta de conformidad con los principios de buena regulación previstos en el artículo 129 de la Ley 39/2015, de 1 de octubre –necesidad, eficacia, proporcionalidad, seguridad jurídica, transparencia y eficiencia–, constituyendo el instrumento más adecuado para garantizar la coherencia del sistema de gestión de la seguridad de la información del Ministerio y su alineación con el Esquema Nacional de Seguridad, el Reglamento General de Protección de Datos y la Ley Orgánica 3/2018, de 5 de diciembre, a fin de aplicar las medidas de seguridad al tratamiento de datos personales.
En primer lugar, en virtud de los principios de necesidad y eficacia, esta iniciativa normativa está justificada por las razones expuestas, como instrumento más adecuado para dar cumplimiento al mandato contenido en el citado artículo 12.3 del Real Decreto 311/2022, de 3 de mayo. Además, se ajusta al principio de proporcionalidad, en tanto que la norma contiene la regulación imprescindible para atender sus objetivos. Se garantiza el principio de seguridad jurídica, en tanto que la norma es coherente con el resto del ordenamiento jurídico y, en particular, con el marco regulatorio en el ámbito de la política de seguridad de la información. Cumple con el principio de transparencia, ya que identifica claramente su propósito y, al tratarse de una norma organizativa su tramitación no ha requerido de la consulta pública previa ni de los trámites de audiencia e información pública. Finalmente, es también adecuada al principio de eficiencia, ya que no impone cargas administrativas.
En el proceso de su tramitación, ha sido informada favorablemente por los servicios jurídicos de la Abogacía del Estado en el departamento, por la Agencia Española de Protección de Datos y por la Comisión Ministerial de Administración Digital del Ministerio de Trabajo y Economía Social.
En su virtud, con la aprobación previa del Ministro para la Transformación Digital y de la Función Pública, dispongo:
Historial de versiones
Este artículo no ha sufrido modificaciones desde su publicación.
Tus anotaciones
Proeli/es/o/2026/07/23/tes804#preambulo-pr