És crucial per al nostre país aprofitar tots els avantatges de l’era digital per potenciar el nostre creixement econòmic i reforçar la nostra capacitat d’innovació, dins dels límits segurs i ètics que defineixen conjuntament aquesta Llei, els reglaments que la desenvolupin i la resta de marcs normatius que determini l’Agència Nacional de Ciberseguretat del Principat d’Andorra.

L’enclavament geopolític del Principat d’Andorra, la nostra consciència situacional, la creixent dependència que la nostra economia té de les xarxes i dels sistemes d’informació nacionals i transfronterers, les possibles sinergies en la prevenció d’amenaces i en els desafiaments que suposaran els ciberincidents, i l’anàlisi que s’ha realitzat en relació a les normatives necessàries per regular la correcta transformació digital que s’està projectant per al nostre país, comporten la necessitat d’aproximar les nostres capacitats en matèria de ciberseguretat a les que la Unió Europea exigeix als seus estats membres a través de la seva Directiva (UE) 2016/1148 del Parlament Europeu i del Consell, del 6 de juliol del 2016, relativa a las mesures destinades a garantir un elevat nivell comú de seguretat de les xarxes i dels sistemes d’informació a la Unió. Aquesta Llei es basa en l’esmentada directiva, i l’adapta conforme a les particularitats del Principat d’Andorra i a l’experiència que la mateixa Unió Europea ha compilat en relació a la necessitat de reduir la càrrega normativa per als organismes competents i els costos per a les entitats públiques i privades a les que aplica aquesta normativa, prenent en consideració allò que estableix la Proposta de la Comissió Europea COM (2020) 823 final, relativa a les mesures destinades a garantir un elevat nivell comú de ciberseguretat, la qual proposa la derogació de la referida Directiva (UE) 2016/1148.

Per les mateixes raons esmentades a l’inici del paràgraf anterior, ens és igualment necessari dedicar encara més atenció a les entitats crítiques, enteses com aquelles que, a més de proveir un servei essencial per al Principat d’Andorra, tenen la peculiaritat d’utilitzar una infraestructura que no es pot redundar o reemplaçar per una altra en cas de mal funcionament. El bon funcionament del nostre país requereix exigir a aquestes entitats dues coses: un nivell de protecció mínim per a les denominades infraestructures crítiques, i que es dotin d’una capacitat de recuperació enfront d’incidents en aquest tipus d’infraestructures, molt major que l’exigible a les entitats essencials que sí que compten amb solucions alternatives, per evitar l’alteració del servei essencial en tots els possibles casos en què un incident afecti una única infraestructura. És per tot això que, addicionalment a l’esmentat en el paràgraf anterior, aquesta Llei adapta a les particularitats del Principat d’Andorra la Directiva (UE) 2008/114/CE del Consell, del 8 de desembre del 2008, sobre la identificació i designació d’infraestructures crítiques europees i l’avaluació de la necessitat de millorar-ne la seva protecció, i s’adequa igualment a les lliçons apreses per la Unió Europea en relació a la necessitat d’ampliar el focus en la protecció d’aquestes infraestructures crítiques, amb l’objectiu d’aconseguir la major i més ràpida recuperació de l’entitat que gestiona la infraestructura crítica si les mesures de protecció fallen, lliçons que estan recopilades en la Proposta de Directiva del Parlament europeu i del Consell COM(2020) 829 final, relativa a la resiliència de les entitats crítiques.

Mitjançant aquesta Llei, s’estableixen les obligacions de definir, implementar, i evolucionar una estratègia nacional de ciberseguretat, de gestionar els riscos de ciberseguretat, d’incrementar la cooperació amb altres estats, especialment els propers, i de millorar la ciberresiliència de les entitats públiques i privades que resulten “essencials” o “crítiques” per prestar o tenir el potencial de prestar serveis fonamentals per a l’economia i la societat andorranes en l’àmbit de vuit sectors digitalitzats o en vies de digitalització (energia, transport, banca, infraestructures dels mercats financers, sanitat, aigües potables, residuals i superficials, infraestructures digitals, i administració pública), i de determinades entitats “importants” que operen en altres sectors no essencials però considerats importants (serveis postals i de missatgeria; gestió de residus; fabricació, producció, distribució i comercialització de substàncies i mescles químiques; producció, transformació i distribució d’aliments; i fabricació i prestadors de serveis digitals), i s’exigeix que el nostre país garanteixi que les nostres entitats essencials i importants, ja siguin de naturalesa pública o privada, comptin amb requisits en matèria de ciberseguretat i notifiquin els incidents que pateixin en relació amb aquesta matèria.

Igual que estan fent cada cop més les normatives en matèria de protecció de dades personals i les que regulen els actius digitals, aquesta Llei canvia el paradigma del repartiment de rols i responsabilitats entre les autoritats de control i les entitats incloses en els seus àmbits d’actuació. La creixent transformació digital ha demostrat ineficient el model d’autoritat de control que pretén definir i imposar les mesures tècniques i organitzatives amb les quals s’hauria de reduir l’exposició de tot tipus d’entitats als riscos que tenen el seu origen en els ciberincidents. Per poder preveure l’enorme diversitat de riscos de les ciberincidències i adequar-se a la velocitat amb què canvien tant aquests riscos com les mesures que han d’implantar les entitats, és necessari adoptar una aproximació de responsabilitat descentralitzada. Aquesta Llei estableix, per tant, que sigui cada entitat essencial o important la que quedi obligada demostrar la seva responsabilitat proactiva en la identificació i gestió dels riscos per als serveis que la classifiquen com a essencial o important, de forma proporcionada en relació amb els riscos que presenten les xarxes i els sistemes d’informació que utilitza i tenint en compte l’estat de la tècnica. Són doncs aquestes entitats, independentment de si s’encarreguen elles mateixes del manteniment de les seves xarxes i sistemes d’informació o l’externalitzen, les que es responsabilitzen de determinar els seus propis requisits de seguretat i d’implantar les mesures tècniques i organitzatives que elles mateixes considerin necessàries i suficients per reduir el seu risc de patir ciberincidències greus, fins a un nivell que l’autoritat de control consideri suficient, sobre la base d’uns criteris definits i les que queden obligades a notificar molt ràpidament els seus incidents de ciberseguretat per, entre d’altres raons, evitar la seva propagació i que altres entitats puguin beneficiar-se tant de l’alerta com de les lliçons apreses. I, fins i tot, són les pròpies entitats les que queden obligades a informar els seus usuaris quan aquesta informació pugui reduir el risc de la ciberamenaça per a aquests. En aquest nou paradigma, el paper de l’autoritat de control deixa de ser el de reguladora que dicta mesures suposadament eficients per al conjunt dels sectors i activitats i passa a ser, principalment, el de supervisora de la responsabilitat proactiva de les entitats, amb capacitat per sancionar-les amb, entre d’altres, multes administratives que han de ser efectives, proporcionades i dissuasives, i per, fins i tot, imposar prohibicions temporals per a què determinades persones físiques exerceixin funcions de direcció.

Aquesta nova aproximació s’ha mostrat més eficient que la del regulador clàssic per minimitzar el cost total dels ciberincidents, resultant de sumar els costos associats al compliment de la normativa i els costos associats als danys i perjudicis econòmics i socials que causen els ciberincidents. Així, la seva ràpida i adequada implantació és estrictament necessària per aconseguir els objectius específics de transformació digital del Principat d’Andorra de manera satisfactòria.

Aquesta Llei es divideix en un total de quatre títols i dos annexos, en els quals s’hi estableix el seu objecte, àmbit d’aplicació i definicions, el marc estratègic i institucional, les obligacions tant per a les entitats essencials, siguin o no crítiques i importants, com per a les autoritats de control competents i l’equip de referència de resposta del Principat d’Andorra per al tractament d’incidents de ciberseguretat, el règim sancionador, els sectors a considerar per a la identificació d’entitats essencials i els sectors a considerar per a la identificació d’entitats importants

Així mateix, aquesta Llei inclou una disposició addicional i quatre disposicions finals.

La disposició addicional encomana al Govern que, en el termini màxim de divuit mesos, avaluï la conveniència de constituir o no una entitat amb personalitat jurídica pròpia que assumeixi funcions diverses en matèria de digitalització, o relacionades amb aquesta matèria, incloent-hi l’Agència Nacional de Ciberseguretat del Principat d’Andorra (ANC-AD) i l’equip de referència de resposta del Principat d’Andorra per al tractament d’incidents de ciberseguretat (CSIRT-AD).

Pel que fa a les disposicions finals, la primera modifica la Llei 31/2021, del 22 de novembre, de text consolidat qualificada de seguretat pública, modificada per la Llei 4/2022, del 31 de gener, del pressupost per a l’exercici del 2022, especialment per a l’establiment de mesures en cas que el funcionament de les entitats essencials o importants així ho requereixi. Les altres tres disposicions finals, són relatives al desenvolupament reglamentari, la iniciativa de presentar la consolidació d’un text legal i l’entrada en vigor de la Llei.

Títol I. Disposicions generals

Article 1. Objecte

Aquesta Llei té com a objecte regular el reforç de la resiliència de les entitats crítiques i la seguretat de les xarxes i dels sistemes d’informació utilitzats per a la prestació de serveis essencials i importants al Principat d’Andorra.

Per a l’assoliment del seu objecte, aquesta Llei estableix, principalment:

Els requisits per a la protecció dels serveis essencials i dels serveis importants, les obligacions de gestió de riscos i d’incidents de ciberseguretat per part de les entitats prestadores d’aquests serveis, i els mecanismes de supervisió del seu compliment, inclòs un sistema de notificació d’incidències;

L’obligació de les autoritats nacional competents d’identificar les entitats crítiques i les entitats que han de ser tractades com a equivalents a entitats crítiques en certs aspectes, perquè sense prestar els serveis essencials elles mateixes sí que poden impactar-los;

L’obligació de les entitats crítiques d’adoptar determinades mesures, establertes reglamentàriament, destinades a garantir la prestació de serveis essencials;

Un marc per a l’elaboració d’un catàleg nacional d’entitats essencials per a la seguretat de les xarxes i dels sistemes d’informació; i

Un marc institucional per a l’aplicació de l’Estratègia Nacional de Seguretat de les xarxes i dels sistemes d’informació.

El que es disposa en aquesta Llei s’entén sense perjudici de les accions que es puguin emprendre per part de les autoritats públiques corresponents per salvaguardar i garantir la seguretat nacional i les funcions essencials, per protegir la informació reservada d’Estat o la revelació de la qual sigui contrària als interessos essencials del Principat d’Andorra o per al manteniment de l’ordre públic, la detecció, investigació i persecució dels delictes, i l’enjudiciament dels seus autors.

Article 2. Àmbit d’aplicació

Aquesta Llei s’aplica a les entitats públiques i privades previstes en el marc de les entitats essencials i importants d’acord amb la seva definició a l’article 3, que ocupen a 50 o més persones o que el volum anual de negocis de les quals o el seu balanç general anual supera els deu milions d’euros.

Addicionalment, aquesta Llei s’aplica a les entitats essencials i importants amb independència de la seva grandària i volum anual de negoci o balanç general anual, quan:

els serveis siguin prestats per una de les següents tipologies d’entitats incloses en el sector d’infraestructures digitals de l’Annex I:

i. xarxes públiques de comunicacions electròniques o serveis de comunicacions electròniques disponibles per al públic,

ii. proveïdors de serveis de confiança, i

iii. registres de noms de domini de primer nivell i proveïdors de serveis de sistema de noms de domini (DNS).

l’entitat sigui una entitat de l’administració pública tal com es defineix a l’article 3.12;

l’entitat sigui l’únic prestador d’un servei al Principat d’Andorra;

una possible pertorbació del servei prestat per l’entitat pogués tenir repercussions sobre la seguretat pública, l’ordre públic o la salut pública;

una possible pertorbació del servei proveït per l’entitat pogués induir riscos sistèmics, en particular per als sectors en els quals tal pertorbació podria tenir repercussions de caràcter transfronterer;

l’entitat sigui crítica en vista de la seva importància específica a nivell nacional o comunal per al sector o tipus de servei en concret o per a altres sectors interdependents al Principat d’Andorra; o

l’entitat s’identifiqui com a entitat crítica o com una entitat equivalent a una entitat crítica reglamentàriament.

Els reglaments i les altres eventuals normes i actes jurídics de caràcter sectorial en relació amb aquesta Llei que prevegin disposicions relatives a la gestió dels riscos de les tecnologies de la informació i la comunicació (TIC), la gestió o notificació dels incidents associats a les TIC, les proves de la resiliència operativa digital, els mecanismes d’intercanvi d’informació, i el risc de tercers relacionat amb les TIC, que tinguin un efecte almenys equivalent al de les obligacions establertes en aquesta Llei, s’aplicaran de forma prioritària a les entitats essencials i importants incloses en l’àmbit d’aplicació dels dits reglaments, normes i actes jurídics.

L’establert en l’apartat anterior s’entén sense perjudici del deure de notificació d’incidents establert a l’article 15, en la mesura que no sigui incompatible amb la normativa sectorial de què es tracti.

Article 3. Definicions

A l’efecte d’aquesta Llei, s’entén per:

AFA: Autoritat Financera Andorrana.

ANC-AD: Agència Nacional de Ciberseguretat del Principat d’Andorra.

APDA: Agència Andorrana de Protecció de Dades.

Avaluació de riscos: una metodologia per determinar la naturalesa i l’abast d’un risc mitjançant l’anàlisi d’amenaces i perills potencials, i l’avaluació de les condicions de vulnerabilitat existents que podrien pertorbar les operacions de l’entitat crítica.

Ciberamenaces: una circumstància, un esdeveniment o una acció potencial capaç de danyar, interrompre o afectar de manera adversa les xarxes i els sistemes d’informació, així com els seus usuaris i altres parts interessades.

Ciberseguretat: les activitats necessàries per a la protecció de les xarxes i els sistemes d’informació, dels seus usuaris i d’altres afectats per les ciberamenaces.

CSIRT: centre de resposta a incidents de seguretat de les xarxes i dels sistemes d’informació.

CSIRT-AD: CSIRT de referència del Principat d’Andorra.

DNS, o Sistema de Noms de Domini: un sistema de noms distribuït jeràrquicament que permet als usuaris finals accedir als serveis i recursos d’Internet.

10.

Entitat: tota persona física o jurídica constituïda i reconeguda com a tal en virtut del dret nacional del seu lloc d’establiment i que, actuant en nom propi, pot exercir drets i estar subjecta a obligacions.

11.

Entitat crítica: una entitat que proporciona un o més serveis essencials la prestació dels quals depèn d’una o més infraestructures crítiques situades al Principat d’Andorra.

12.

Entitat de l’administració pública: una entitat del Principat d’Andorra que compleix els següents criteris:

s’ha creat per satisfer necessitats d’interès general i no té caràcter industrial o mercantil;

està dotada de personalitat jurídica;

està majoritàriament finançada pel Govern d’Andorra, els Comuns o entitats de dret públic; o bé, la gestió de la qual es troba sotmesa a un control per part d’aquestes administracions o entitats; o els òrgans d’administració, de direcció o de supervisió de la qual estan composats per membres que, més de la meitat són nomenats pel Govern d’Andorra, els Comuns o entitats de dret públic; i.

presta un servei públic.

Queden excloses les entitats de l’administració pública que realitzen activitats en els àmbits de la seguretat pública, la policia, la defensa o la seguretat nacional.

13.

Entitat de registre de noms de domini de primer nivell: una entitat en la qual s’ha delegat un domini de primer nivell específic i que és responsable d’administrar aquest domini, inclòs el registre de noms de domini en el de primer nivell i el funcionament tècnic del domini d’aquest nivell, en particular l’explotació dels seus servidors de nom, el manteniment de les seves bases de dades i la distribució dels arxius de zona del domini de primer nivell entre els servidors de nom.

14.

Entitat equivalent a entitat crítica: tota entitat que sense ser crítica gestiona una o més infraestructures crítiques situades al Principat d’Andorra.

15.

Entitat essencial: tota entitat de l’administració pública o privada, que ofereix un servei essencial d’acord amb la definició de l’apartat 35.

16.

Entitat important: tota entitat de l’administració pública o privada que ofereix un servei important d’acord amb la definició de l’apartat 36.

17.

Estratègia Nacional de Ciberseguretat: marc coherent del Principat d’Andorra que estableix prioritats i objectius estratègics en matèria de seguretat de les xarxes i dels sistemes d’informació al país.

18.

Gestió d’incidents: conjunt de mesures i procediments destinats a detectar, analitzar i limitar un incident i respondre davant aquest.

19.

Gestió de riscos: procés de planificar la gestió de riscos, i conjunt d’activitats orientades a identificar, analitzar, respondre, monitorar i controlar els riscos.

20.

Incident: qualsevol esdeveniment que pugui pertorbar o que pertorbi les operacions d’una entitat, o que comprometi la disponibilitat, autenticitat, integritat o confidencialitat de les dades emmagatzemades, transmeses o tractades, o els serveis corresponents oferts per xarxes i sistemes d’informació o accessibles per mitjà d’aquests.

21.

Infraestructura: un actiu, sistema o part d’aquest, necessari per a la prestació d’un servei essencial.

22.

Infraestructures crítiques: infraestructures que són indispensables i no permeten solucions alternatives, pel que la seva pertorbació o destrucció, tindria efectes perjudicials significatius sobre la prestació d’un o més serveis essencials.

23.

Mercat en línia: un servei digital que permet als consumidors celebrar contractes a distància mitjançant una interfície en línia.

24.

Motor de cerca en línia: un servei digital que permet als usuaris introduir consultes per fer recerques, en principi, de tots els llocs web, o de llocs web en un idioma concret, mitjançant una consulta sobre un tema qualsevol en forma de paraula clau, consulta oral, frase o un altre tipus d’entrada i que, en resposta, mostra resultats en qualsevol format en què pot trobar-se informació relacionada amb el contingut sol·licitat.

25.

Òrgan de direcció: l’òrgan o òrgans d’administració de l’entitat nomenats de conformitat amb el dret nacional, facultats per fixar l’estratègia, els objectius i l’orientació general de l’administració d’aquesta entitat, o les persones equivalents que dirigeixin efectivament l’entitat o exerceixin funcions clau de conformitat amb la legislació andorrana.

26.

Plataforma de serveis de xarxes socials: una plataforma que permet que els usuaris finals es connectin, comparteixin, descobreixin i es comuniquin entre si a través de múltiples dispositius i, en particular, mitjançant xats, publicacions, vídeos i recomanacions;

27.

Proveïdor de serveis de DNS: una entitat que proporciona serveis de resolució recursiva de noms de domini a usuaris finals d’Internet i a altres proveïdors de serveis de DNS, o una entitat que proporciona resolució de noms de domini autoritzada com a servei que poden obtenir entitats essencials o importants de tercers.

28.

Quasiincident: qualsevol succés que posseeix el potencial per produir un incident i no arriba a produir-lo, ja sigui per l’atzar o per una intervenció oportuna.

29.

Resiliència: la capacitat de prevenir, resistir, mitigar, absorbir, adaptar-se i recuperar-se d’un incident que pertorbi o pugui pertorbar les operacions d’una entitat crítica.

30.

Risc: qualsevol circumstància o fet que pugui tenir un efecte advers potencial en la resiliència de les entitats crítiques;

31.

Seguretat de les xarxes i sistemes d’informació: la capacitat de les xarxes i dels sistemes d’informació de resistir, amb un nivell determinat de fiabilitat, tota acció que comprometi la disponibilitat, autenticitat, integritat o confidencialitat de les dades emmagatzemades, transmeses o tractades, o els serveis corresponents oferts per les referides xarxes i sistemes d’informació o accessibles per aquests.

32.

Servei de computació en núvol: un servei digital que fa possible l’administració sota demanda i l’accés remot ampli a un conjunt modulable i elàstic de recursos informàtics distribuïts que es poden compartir.

33.

Servei de centre de dades: un servei que engloba les estructures, o agrupacions d’estructures, dedicades a l’allotjament, la interconnexió i l’explotació centralitzats de les tecnologies de la informació i els equips de xarxa que proporcionen serveis d’emmagatzematge, tractament i transport de dades, juntament amb totes les instal·lacions i infraestructures necessàries per a la distribució de l’energia i el control ambiental.

34.

Servei digital: tot servei de la societat de la informació, és a dir, tot servei proveït normalment a canvi d’una remuneració, a distància, a petició individual d’un destinatari de serveis, i enviat des de la font i rebut pel destinatari mitjançant equips electrònics de tractament (inclosa la compressió digital) i d’emmagatzematge de dades i que es transmet, canalitza i rep completament per fils, ràdio, mitjans òptics o qualsevol altre mitjà electromagnètic.

35.

Servei essencial: servei ofert per una entitat quina tipologia s’emmarca en el de les entitats essencials previstes a l’Annex I, que les autoritats nacionals competents designen com tal d’acord amb l’article 6.4.b), en resultar necessari per al manteniment de les funcions socials bàsiques, la salut, la seguretat, el benestar social i econòmic dels ciutadans, o el funcionament eficaç de les institucions de l’Estat i les administracions públiques, que depengui per a la seva provisió de xarxes i sistemes d’informació, i que pot veure greument afectada la continuïtat de les seves prestacions en supòsits de ciberincidents i, en conseqüència, ocasionar un greu perjudici social i econòmic al Principat d’Andorra.

36.

Servei important: servei ofert per una entitat de tipologia emmarcada com a entitat important a l’Annex II, que les autoritats nacionals competents designen com tal d’acord amb l’article 6.4.b), en resultar necessari per al manteniment de les funcions socials bàsiques, la salut, la seguretat, el benestar social i econòmic dels ciutadans, o el funcionament eficaç de les institucions de l’Estat i les administracions públiques, que depengui per a la seva provisió de xarxes i sistemes d’informació, i que pot veure greument afectada la continuïtat de les seves prestacions en supòsits de ciberincidents i, en conseqüència, ocasionar un greu perjudici social i econòmic al Principat d’Andorra,

37.

Vulnerabilitat: deficiència, susceptibilitat o fallada d’un actiu, sistema, procés o control que pot ser aprofitat per una o més ciberamenaces.

38.

Xarxa de distribució de continguts: una xarxa de servidors distribuïts geogràficament a l’efecte de garantir una elevada disponibilitat, accessibilitat o distribució ràpida de continguts i serveis digitals als usuaris d’Internet en nom dels proveïdors de continguts i serveis.

39.

Xarxes i sistemes d’informació:

Xarxa de comunicacions electròniques, consistent en sistemes de transmissió i, quan sigui procedent, equips de commutació o encaminament i altres recursos, inclosos els elements de xarxa que no són actius, que permetin el transport de senyals mitjançant cables, ones hertzianes, mitjans òptics o altres mitjans electromagnètics amb inclusió de les xarxes de satèl·lits, xarxes terrestres fixes (de commutació de circuits i de paquets, inclòs Internet) i mòbils, sistemes de línia elèctrica, en la mesura que s’utilitzin per a la transmissió de senyals, xarxes utilitzades per a la radiodifusió sonora i televisiva, i xarxes de televisió per cable, amb independència del tipus d’informació transportada;

Tot dispositiu o grup de dispositius interconnectats o relacionats entre si en què un o diversos d’ells realitzen, mitjançant un programari, el tractament automàtic de dades digitals; o

Dades digitals emmagatzemades, tractades, recuperades o transmeses mitjançant elements previstos a les lletres anteriors, per al seu funcionament, utilització, protecció i manteniment.

Títol II. Marc estratègic i institucional

Capítol Primer. Marc estratègic

Article 4. Marc estratègic de seguretat de les xarxes i dels sistemes d’informació

L’Estratègia Nacional de Ciberseguretat del Principat d’Andorra comprèn els objectius estratègics i les mesures polítiques i normatives necessàries per aconseguir i mantenir un nivell elevat de seguretat en les xarxes i en els sistemes d’informació, cobrint els sectors operats per les entitats essencials i importants en els termes definits en aquesta Llei, i engloba, a títol enunciatiu i no limitatiu:

Una definició dels objectius i les prioritats de l’Estratègia Nacional de Ciberseguretat del Principat d’Andorra.

Un marc de governança per aconseguir aquests objectius i prioritats, incloses les polítiques a què es refereix l’apartat 2 i les funcions i responsabilitats de les administracions públiques i les entitats de l’administració pública i d’altres actors pertinents.

Una avaluació per determinar els actius pertinents i els riscos de ciberseguretat.

Una determinació de les mesures per garantir la preparació, resposta i recuperació enfront d’incidents, inclosa la cooperació entre els sectors públic i privat.

Un llistat dels diversos actors i autoritats que participen en l’execució de l’Estratègia Nacional de Ciberseguretat del Principat d’Andorra.

Un marc polític per a la coordinació reforçada entre les autoritats competents en virtut d’aquesta Llei a l’efecte de l’intercanvi d’informació sobre incidents i ciberamenaces i l’exercici de les tasques de supervisió i sanció.

Una estratègia per reforçar la resiliència de les entitats crítiques que inclogui, com a mínim:

i. Objectius estratègics i prioritats per tal de millorar la resiliència general de les entitats crítiques, tenint en compte les interdependències transfrontereres i intersectorials.

ii. Un marc de governança per assolir els objectius estratègics i les prioritats, inclosa una descripció dels rols i les responsabilitats de les autoritats nacionals competents designades en aquesta Llei, entitats crítiques i altres parts implicades en la implementació de l’estratègia.

iii. Una descripció de les mesures necessàries per millorar la resiliència general de les entitats crítiques, inclosa una avaluació del risc nacional, la identificació d’entitats crítiques i d’entitats equivalents a entitats crítiques i les mesures de suport a les entitats crítiques; i

iv. Un marc de polítiques per a una coordinació millorada entre les autoritats nacionals competents designades en aquesta Llei a l’efecte de l’intercanvi d’informació sobre incidents i ciberamenaces i l’exercici de tasques de supervisió.

En el marc de l’Estratègia Nacional de Ciberseguretat del Principat d’Andorra, es desenvolupen i adopten reglamentàriament:

Un Esquema Nacional de Seguretat constituït pels principis bàsics i requisits mínims necessaris per a una protecció adequada de la informació tractada i els serveis prestats per les entitats essencials i les entitats importants, així com per les entitats que els prestin serveis o els proveeixin solucions per als seus serveis essencials o importants i les seves respectives cadenes de subministrament, amb l’objectiu d’assegurar l’accés, la confidencialitat, la integritat, la traçabilitat, l’autenticitat, la disponibilitat i la conservació de les dades, les informacions i els serveis utilitzats en mitjans electrònics que gestionin per la prestació dels serveis essencials o importants, i sense perjudici que pogués resultar necessari complementar les mesures de seguretat previstes en aquest esquema amb altres mesures específiques que puguin derivar-se dels compromisos internacionals contrets pel Principat d’Andorra o la seva pertinença a organismes o fòrums internacionals en la matèria.

Aquest Esquema Nacional de Seguretat podrà estendre’s a totes les entitats de l’administració pública, i contindrà, com a mínim:

i. Una política per abordar la ciberseguretat en la cadena de subministrament de productes i serveis de TIC utilitzats per les entitats essencials o les entitats importants per a la prestació dels seus serveis;

ii. Directrius relatives a la inclusió i l’especificació dels requisits en matèria de ciberseguretat aplicables als productes i serveis de TIC en la contractació pública;

iii. Una política per promoure i facilitar una divulgació coordinada de les vulnerabilitats;

iv. Una política orientada a mantenir la disponibilitat general i la integritat del nucli públic de la Internet oberta;

v. Una política sobre la promoció i el desenvolupament de capacitats de ciberseguretat, incloent la conscienciació i iniciatives de recerca i desenvolupament;

vi. Una política destinada a donar suport a les institucions acadèmiques i de recerca perquè desenvolupin eines de ciberseguretat i infraestructures de xarxa segures;

vii. Les polítiques, els procediments pertinents i les eines apropiades per compartir informació per facilitar i promoure l’intercanvi voluntari d’informació sobre ciberseguretat entre les empreses; i

viii. Una política que englobi les necessitats específiques de les petites i mitjanes empreses, especialment d’aquelles que es troben excloses de l’àmbit d’aplicació d’aquesta Llei, pel que fa a orientacions i suport per millorar la seva resiliència enfront de les amenaces de ciberseguretat.

Un Reglament d’Infraestructures Crítiques per a la protecció i el reforç de la resiliència de les infraestructures crítiques que contindrà, com a mínim:

i. Procediments per a la identificació i designació d’infraestructures crítiques per al Principat d’Andorra;

ii. Les condicions per a la creació d’un Catàleg Nacional d’Infraestructures Crítiques, que ha d’aglutinar totes les dades i la valoració de la criticitat de les citades infraestructures i que serà emprat com a base per planificar les actuacions necessàries en matèria de seguretat i protecció d’aquestes, en nodrir-se de les aportacions dels propis operadors;

iii. La regulació d’instruments de planificació per a la protecció de les infraestructures crítiques de les entitats essencials i les entitats importants;

iv. Les obligacions per a les entitats crítiques, incloent-hi els requisits de seguretat de les comunicacions, amb la finalitat d’augmentar la seva resiliència i millorar la seva capacitat per proveir els seus serveis al Principat d’Andorra; i

v. Les normes sobre supervisió d’entitats crítiques i l’aplicació d’obligacions a les mateixes.

L’Estratègia Nacional de Ciberseguretat del Principat d’Andorra ha de ser objecte de revisió i d’avaluació almenys cada quatre anys, en funció dels indicadors de rendiment clau, procedint en tot cas a la seva modificació quan sigui necessari. S’ha de garantir la consulta als sectors rellevants representats en els diferents comitès i comissions que s’estructuren sota l’Agència Nacional de Ciberseguretat (ANC-AD).

Article 5. Marc nacional de gestió de crisis de ciberseguretat

L’ANC-AD és la responsable de la gestió dels incidents i de les crisis a gran escala, per als quals:

Determinarà les capacitats, els actius i els procediments que es poden desplegar en cas que es produeixi una crisi a l’efecte d’aquesta Llei; i

Desenvoluparà un Pla nacional de resposta a incidents i crisis de ciberseguretat, en un termini màxim de nou mesos des de l’entrada en vigor d’aquesta Llei, on es fixaran els objectius i les modalitats de la gestió dels incidents i les crisis de ciberseguretat, que ha de contenir almenys els següents aspectes:

i. Els objectius de les mesures i activitats nacionals en matèria de preparació;

ii. Les tasques i responsabilitats de les autoritats nacionals competents d’acord amb el que es preveu en aquesta Llei;

iii. Els procediments de gestió de crisis i els canals per a l’intercanvi d’informació;

iv. Les mesures de preparació, inclosos els exercicis i les activitats de formació;

v. Les parts interessades pertinents, tant públiques com privades, i la infraestructura implicada; i

vi. Els procediments i mecanismes nacionals entre l’ANC-AD, el CSIRT-AD i altres autoritats o organismes nacionals pertinents per garantir la participació efectiva del Principat d’Andorra en la gestió coordinada d’incidents i crisis de ciberseguretat.

Capítol Segon. Marc institucional

Article 6. Autoritats nacionals competents

L’ANC-AD és l’autoritat nacional competent encarregada de la ciberseguretat i de les tasques de supervisió a què es refereix el capítol tercer del Títol III per a les xarxes i els sistemes d’informació que cobreixen els sectors esmentats als apartats 1, 2, 5, 6, 7 i 8 de l’Annex I, així com per a totes les entitats importants per a les quals l’AFA no és l’autoritat nacional competent.

L’AFA, en coordinació amb l’ANC-AD, és l’autoritat nacional competent encarregada de la ciberseguretat i de les tasques de supervisió a què es refereix el capítol tercer del Títol III per a les xarxes i els sistemes d’informació que cobreixen els sectors de les entitats financeres i del mercat financer tal com es defineixen als apartats 3 i 4 de l’Annex I, així com per als serveis proveïts per les entitats que es trobin sota la supervisió de l’AFA.

L’ANC-AD actuarà com a punt de contacte únic en matèria de ciberseguretat per al Principat d’Andorra (Punt de Contacte Nacional Únic), i com a tal serà l’autoritat nacional competent que exercirà la funció d’enllaç per garantir la cooperació transfronterera amb les autoritats competents en matèria de ciberseguretat d’altres països, per garantir la cooperació intersectorial entre l’AFA i l’ANC-AD pel que respecta al previst en aquesta Llei, així com per garantir la cooperació entre el CSIRT-AD i els altres països, incloent-hi la xarxa de CSIRT de la Unió Europea.

L’ANC-AD, amb la col·laboració de l’AFA pel que fa al seu àmbit competencial de conformitat amb l’establert en aquesta Llei:

Coordinarà la creació i el manteniment del marc estratègic de seguretat de les xarxes i dels sistemes d’informació descrit a l’article 4.

Establirà una llista de serveis essencials i serveis importants en els sectors a què es refereixen l’Annex I i l’Annex II. Aquesta llista s’ha de dur a terme en un termini màxim de sis mesos després de l’entrada en vigor d’aquesta Llei. Posteriorment, quan sigui necessari, i almenys una primera vegada en un termini màxim de divuit mesos després de l’entrada en vigor d’aquesta Llei i a partir d’aquell moment cada quatre anys i cada vegada que l’ANC-AD actualitzi la llista, realitzarà una avaluació de tots els riscos rellevants que puguin afectar a la prestació d’aquests serveis essencials, amb la finalitat d’identificar entitats crítiques i entitats equivalents a entitats crítiques i ajudar-les a prendre mesures d’acord amb l’establert a l’article 12.

L’avaluació del risc:

i. Haurà de tenir en compte tots els riscos naturals i els originats per l’home, inclosos els accidents, els desastres naturals, les emergències de salut pública, i les amenaces antagòniques, inclosos els delictes de terrorisme.

ii. Els elements rellevants de l’avaluació del risc hauran de posar-se a disposició de les entitats crítiques que s’identifiquin d’acord amb l’establert a l’article 11, per ajudar-les a dur a terme la seva avaluació de riscos d’acord amb l’establert a l’article 13 i a prendre mesures per garantir la seva resiliència d’acord amb l’establert a l’article 12.

Donarà suport a les entitats que es troben dins de l’àmbit d’aplicació d’aquesta Llei per millorar la seva ciberseguretat i resiliència. Aquest suport pot incloure, a títol informatiu i no limitatiu:

i. El desenvolupament de materials i metodologies d’orientació;

ii. Donar suport a l’organització d’exercicis per comprovar la seva seguretat i resiliència;

iii. Proporcionar formació al seu personal; i

iv. Establir eines per donar suport a l’intercanvi voluntari d’informació entre entitats i per resoldre qüestions en relació amb aquesta Llei.

Adoptarà actes d’execució per establir les especificacions tècniques i metodològiques necessàries relatives a l’aplicació de les mesures esmentades a l’article 12.2.

Establirà procediments per a l’expedició, la revisió periòdica i la retirada de certificacions, segells i marques que acrediten el compliment de les obligacions de seguretat en les xarxes i en els sistemes d’informació.

Establirà procediments i estructures per tramitar les reclamacions relatives a infraccions de la certificació o a la manera en què una entitat aplica o ha aplicat la certificació, i per fer que aquests procediments i estructures siguin transparents per al públic.

L’ANC-AD, amb la col·laboració de l’AFA i el CSIRT-AD, està facultada per adoptar actes delegats establint normes detallades que especifiquin algunes o totes les mesures que s’han de prendre en la mesura que sigui necessari per a l’aplicació eficaç i coherent dels objectius d’aquesta Llei, tenint en compte qualsevol evolució rellevant en riscos, tecnologia o prestació dels serveis afectats per aquesta Llei, així com qualsevol especificitat relacionada amb sectors i tipus d’entitats de l’Annex I i l’Annex II.

El Govern d’Andorra ha de vetllar perquè les autoritats nacionals competents disposin dels recursos adequats perquè puguin dur de forma efectiva i eficient les seves funcions per tal de poder complir amb els objectius d’aquesta Llei.

Article 7. Funcions de les autoritats nacionals competents

Les autoritats nacionals competents exerceixen les següents funcions:

Identificar, en col·laboració amb el CSIRT-AD, serveis essencials i importants, entitats crítiques i entitats equivalents a entitats crítiques.

Supervisar el compliment per part de les entitats essencials o importants de les obligacions que es determinen de conformitat amb l’establert al capítol tercer del Títol III. En aquest sentit, amb o sense el suport del CSIRT-AD, les autoritats nacionals competents poden realitzar les actuacions inspectores necessàries per al correcte desenvolupament de les seves funcions de control.

Analitzar les notificacions que rebin a través del CSIRT-AD sobre incidents notoris que es presentin en el marc d’aquesta Llei.

Informar, si s’escau, públicament sobre determinats incidents, quan la difusió d’aquesta informació sigui necessària per evitar un incident o gestionar-ne un que ja s’ha produït.

Revisar la declaració d’aplicabilitat de mesures de seguretat inicial a què es refereix l’article 12, i els seus successius canvis.

Resoldre les sol·licituds d’informació d’acord amb l’article 12.2.e), sobre personal o candidats a personal que exerceix funcions crítiques.

Exercir la potestat sancionadora en els casos que preveu aquesta Llei, en virtut de l’establert al seu Títol IV.

Emetre opinions sobre qüestions relacionades amb la ciberseguretat.

Desenvolupar les millors pràctiques i metodologies d’implementació de les obligacions a què fa referència aquesta Llei.

10.

Desenvolupar activitats i exercicis de formació transfronterers per comprovar la ciberseguretat dels serveis essencials i la resiliència de les entitats crítiques.

11.

Emetre, amb la consulta prèvia al CSIRT-AD, a les entitats essencials o importants, certificats que acreditin el compliment de les obligacions de seguretat en les xarxes i els sistemes d’informació.

Article 8. CSIRT-AD

El CSIRT-AD és l’equip de referència de resposta als incidents de seguretat de les xarxes i els sistemes d’informació dels sectors, subsectors o entitats que figuren en l’Annex I i l’Annex II.

L’ANC-AD ha de vetllar perquè el CSIRT-AD disposi dels recursos adequats perquè pugui dur a terme de forma efectiva i eficient les funcions que li assigna aquesta Llei, el seu Reglament de creació i altra eventual normativa.

Igualment, l’ANC-AD ha de vetllar perquè el CSIRT-AD tingui a la seva disposició una infraestructura de comunicació i d’informació adequada, segura i resilient per facilitar l’intercanvi d’informació amb les entitats essencials i importants i altres parts interessades pertinents.

Article 9. Funcions del CSIRT-AD

El CSIRT-AD té com a principals funcions:

Cooperar amb l’ANC-AD en tot allò que aquesta li demani en relació amb aquesta Llei.

Supervisar les ciberamenaces, les vulnerabilitats i els incidents a escala nacional.

Difondre alertes imminents, avisos i informacions sobre les ciberamenaces, les vulnerabilitats i els incidents entre les entitats essencials i importants i altres parts interessades corresponents.

Proporcionar a les entitats que notifiquin incidents, informació rellevant sobre el seguiment de la notificació de què es tracti, inclosa informació que pugui donar suport a la resposta efectiva de l’entitat a l’incident.

Respondre a incidents.

Notificar a l’ANC-AD els incidents notoris que es presentin en el marc d’aquesta Llei.

Efectuar anàlisis dinàmiques de riscos i d’incidents i de coneixement de la situació en matèria de ciberseguretat.

Realitzar, a petició d’entitats, exploracions proactives de la seguretat de les infraestructures crítiques i de les xarxes i els sistemes d’informació utilitzats en la prestació dels serveis essencials o que puguin afectar a serveis essencials per al Principat d’Andorra o altres països.

Coordinar-se amb els organismes competents a través dels protocols d’actuació per a l’acompliment d’aquesta Llei que, si escau, es poden desplegar reglamentàriament.

Elaborar i fomentar l’adopció i la utilització de pràctiques comunes o normalitzades, sistemes de classificació i taxonomies relatius a:

i. Procediments de gestió d’incidents;

ii. Gestió de crisis de ciberseguretat; i

iii. Divulgació de vulnerabilitats.

Títol III. Obligacions

Capítol primer. Obligacions de ciberseguretat

Article 10. Obligació d’identificació com entitat essencial o important

Les entitats que conforme a les definicions incloses a l’article 3 es considerin essencials o importants i estiguin dins de l’àmbit d’aplicació descrit a l’article 2 i disposin d’un establiment al Principat d’Andorra o d’un representant d’acord amb l’establert a l’article 19, remetran la següent informació a les seves respectives autoritats nacionals competents a tot tardar sis mesos a comptar de la data de publicació al Butlletí Oficial del Principat d’Andorra de la llista de serveis essencials i importants establerta a l’article 6.4.b):

El nom de l’entitat i, si escau, del seu representant;

L’adreça del seu establiment principal i de la resta dels seus establiments legals al Principat d’Andorra o, de no estar establerta al Principat d’Andorra, del seu representant designat en virtut de l’establert a l’article 19; i

Les dades de contacte actualitzades, en particular les adreces de correu electrònic i els números de telèfon de les entitats.

Les entitats a què es refereix l’apartat anterior notificaran a les seves respectives autoritats nacionals competents qualsevol canvi en la informació remesa conformement al dit apartat sense demora, i en qualsevol cas, en el termini màxim de tres mesos a comptar de la data en què es produeixi el canvi.

Quan, a més del Principat d’Andorra, una entitat a què es refereix l’apartat 1 compti amb el seu establiment principal en altres països, l’ANC-AD també informarà les autoritats competents d’aquests països, de la condició que té aquesta entitat com a essencial o important per al Principat d’Andorra.

Article 11. Identificació d’entitats crítiques

En el termini màxim de sis mesos a comptar de la conclusió de l’avaluació de riscos que s’especifica a l’article 6.4.b), les autoritats nacionals competents hauran de tenir identificades les entitats crítiques i les equivalents a entitats crítiques per a cada sector i subsector a què es refereix l’Annex I.

Les autoritats nacionals competents hauran de revisar i, si escau, actualitzar aquesta llista d’entitats crítiques i equivalents almenys una primera vegada en un termini màxim de divuit mesos després de l’entrada en vigor d’aquesta Llei i, en qualsevol cas, cada quatre anys com a mínim.

Quan identifiquin entitats crítiques i equivalents a crítiques de conformitat amb l’apartat 1, les autoritats nacionals competents hauran de tenir en compte els resultats de la seva avaluació dels riscos que poden afectar els serveis essencials de la seva competència, d’acord amb l’establert a l’article 6, i aplicar els criteris que identifiquen a una entitat com entitat crítica d’acord amb la seva definició.

L’ANC-AD, amb la col·laboració de l’AFA pel que fa al seu àmbit competencial de conformitat amb l’establert en aquesta Llei, ha d’establir una llista de les entitats identificades com a crítiques o equivalents a crítiques i assegurar-se que es notifiqui a aquestes entitats la seva identificació com a entitats crítiques o equivalents a crítiques en el termini d’un mes després d’aquesta identificació, informant-les de les seves obligacions d’acord amb la resta d’articles d’aquest capítol i la data a partir de la qual els són aplicables les disposicions que estableix aquesta Llei i els reglaments que la desenvolupin, al respecte de les dites obligacions.

Article 12. Obligacions de ciberseguretat de les entitats essencials i importants

Les entitats essencials i importants sotmeses a l’àmbit d’aplicació d’aquesta Llei han d’adoptar mesures tècniques i d’organització que resultin de gestionar els riscos que es plantegin en relació amb la seguretat de les infraestructures crítiques, i de les xarxes i els sistemes d’informació utilitzats en la prestació dels serveis essencials i importants, tant si es tracta d’infraestructures crítiques, xarxes i sistemes propis, com de proveïdors externs. Així mateix, han de tenir en compte, en particular, la dependència de les infraestructures crítiques, de les xarxes i dels sistemes d’informació amb la continuïtat de serveis o subministraments contractats per l’entitat, així com les interaccions que realitzin amb infraestructures, xarxes i sistemes d’informació de tercers, i els riscos que es derivin del tractament de les dades personals, d’acord amb el que disposi la normativa andorrana vigent en cada moment en matèria de protecció de dades personals i, si escau, la normativa de la Unió Europea vigent en cada moment en matèria de protecció de dades personals.

Sense perjudici del seu deure de notificar incidents de conformitat amb l’establert a l’article 15, les entitats essencials i importants han de prendre les mesures adequades i proporcionals que els siguin aplicables d’acord amb el previst a l’Esquema Nacional de Seguretat a què fa referència aquesta Llei, sense perjudici de poder ser complementades amb mesures d’altres estàndards reconeguts en l’àmbit internacional.

Addicionalment, les entitats crítiques han de prendre mesures tècniques i organitzatives adequades i proporcionades per garantir la resiliència de les seves infraestructures crítiques, incloses les mesures necessàries per:

Evitar que es produeixin incidents, fins i tot mitjançant mesures de reducció del risc de desastres i d’adaptació climàtica;

Garantir una protecció física adequada de les zones, instal·lacions i altres infraestructures sensibles, incloses les tanques, les barreres, les eines i les rutines de control perimetral, així com els equips de detecció i els controls d’accés;

Resistir i mitigar les conseqüències dels incidents, inclosa la implementació de procediments i protocols de gestió de riscos i crisis i rutines d’alerta;

Recuperar-se dels incidents, incloses les mesures de continuïtat del negoci i la identificació de cadenes de subministrament alternatives;

Garantir una gestió adequada de la seguretat dels empleats, inclòs l’establiment de categories de personal que exerceixen funcions crítiques degut als seus drets d’accés a zones, instal·lacions i altres infraestructures sensibles i a informació sensible, sobre les quals cal presentar a l’autoritat nacional competent un informe que inclogui:

i. La identitat de la persona establerta sobre la base de proves documentals;

ii. Qualsevol antecedent penal d’almenys els cinc anys anteriors, i durant un màxim de deu anys, sobre delictes rellevants per a la contractació en un lloc específic, al Principat d’Andorra o tercers països de residència durant aquest període de temps;

iii. Ocupacions anteriors, formació i qualsevol manca de formació o ocupació al currículum de la persona durant, com a mínim, els cinc anys anteriors i durant un màxim de deu anys; i

iv. Qualsevol altra informació objectiva disponible que pugui ser necessària per determinar la idoneïtat de la persona interessada per treballar en el lloc en relació amb el qual l’entitat crítica ha sol·licitat informació.

Sensibilitzar el personal pertinent sobre les mesures esmentades en les lletres a) a e).

Les mesures que s’adoptin han de ser relacionades i formalitzades en una declaració d’aplicabilitat de mesures de seguretat que les entitats han de remetre a l’autoritat nacional competent en el termini de sis mesos a comptar de la identificació de l’entitat com a entitat essencial o important, d’acord amb l’article 10 o des de l’entrada en vigor de l’Esquema Nacional de Seguretat, el que succeeixi més tard, la qual serà objecte de revisió, almenys, cada tres anys.

Les entitats essencials i importants han d’adoptar polítiques de seguretat de les infraestructures crítiques, xarxes, i sistemes d’informació necessaris per prestar els seus serveis essencials i importants atesos els principis de seguretat integral, gestió de riscos, prevenció, resposta i recuperació, línies de defensa, reavaluació periòdica i segregació de tasques.

Les polítiques de seguretat de les infraestructures crítiques, les xarxes i sistemes d’informació han de contenir, com a mínim, els següents factors:

Anàlisi i gestió de riscos.

Gestió de riscos de tercers o proveïdors.

Catàleg de mesures de seguretat, organitzatives, tecnològiques i físiques.

Gestió del personal i professionalitat.

Adquisició de productes o serveis de seguretat.

Detecció i gestió d’incidents.

Plans de recuperació i assegurament de la continuïtat de les operacions.

Millora contínua.

Interconnexió de sistemes.

Registre de l’activitat dels usuaris.

Les autoritats nacionals competents podran establir obligacions específiques per garantir la seguretat de les infraestructures crítiques, les xarxes i els sistemes d’informació emprats per les entitats que proveeixen serveis essencials o importants. Així mateix, podran dictar instruccions tècniques i guies orientatives per detallar el contingut d’aquestes instruccions i guies.

Per a l’elaboració de disposicions reglamentàries, instruccions i guies, l’autoritat nacional competent tindrà en compte totes aquelles obligacions sectorials i requisits en matèria de seguretat de la informació als quals estiguin sotmesos els operadors als quals els hi són aplicables les disposicions d’aquesta Llei.

Article 13. Gestió de riscos de ciberseguretat

Les entitats essencials i importants, i molt especialment les que a més d’essencials siguin crítiques, han d’adoptar les mesures tècniques i organitzatives adequades i proporcionades per establir un procés per a la gestió dels riscos que es plantegin a fi d’aconseguir un nivell elevat de resiliència de les infraestructures crítiques i de protecció de les xarxes i dels sistemes d’informació que utilitzen per a la prestació dels seus serveis essencials i importants en relació amb els riscos que es plantegin. Entre les mesures de gestió del risc han de figurar aquelles la finalitat de les quals és determinar tot risc d’incidents, prevenir, detectar i gestionar incidents i reduir les seves repercussions. Aquest procés de gestió dels riscos ha de comprendre la seguretat de les dades emmagatzemades, transmeses i tractades i, en el cas d’entitats essencials, ha de tenir en compte tots els riscos rellevants que hagin trobat les autoritats nacionals competents d’acord amb l’avaluació de riscos a què es refereix l’article 6.4.b), i totes les dependències amb altres sectors i amb entitats crítiques o equivalents a entitats crítiques.

L’esforç dedicat per les entitats a la gestió dels riscos de ciberseguretat ha de ser proporcional en relació amb els riscos que presenten la xarxa i els sistemes d’informació que participen en l’oferta dels seus serveis essencials i importants, i tenir en compte l’estat de la tècnica. Entre els criteris per jutjar la proporcionalitat dels esforços en la gestió dels riscos s’hi han de considerar, com a mínim, els següents:

La mesura en què les entitats essencials i importants utilitzen serveis, sistemes o productes de TIC crítics i depenen d’ells;

La importància de serveis, sistemes o productes de TIC crítics específics per exercir funcions crítiques o sensibles, en particular el tractament de dades personals;

La disponibilitat de serveis, sistemes o productes de TIC alternatius;

La resiliència de la cadena de subministrament global de serveis, sistemes o productes de TIC enfront de les pertorbacions; i

En el cas dels serveis, sistemes o productes de TIC emergents, el pes que poden tenir en el futur per a les activitats de les entitats.

Entre les mesures per a la gestió dels riscos que es plantegin, s’hi han d’incloure, almenys, els següents elements:

La política de seguretat de les infraestructures crítiques, les xarxes i els sistemes d’informació necessaris per a la prestació de serveis essencials o importants;

La política de gestió de riscos;

La gestió d’incidents (prevenció, detecció i resposta a incidents);

La continuïtat de les activitats i la gestió de crisis;

La seguretat de la cadena de subministrament, inclosos els aspectes de seguretat relatius a les relacions entre cada entitat i els seus proveïdors o prestadors de serveis com, per exemple, proveïdors de serveis d’emmagatzematge i transformació o anàlisi de dades o de serveis de seguretat administrada;

La seguretat en l’adquisició, el desenvolupament i el manteniment d’infraestructures crítiques, xarxes i sistemes d’informació, inclosa la gestió i divulgació de les vulnerabilitats;

Les polítiques i els procediments (assaig i auditoria) per avaluar l’eficàcia de les mesures per a la gestió de riscos de ciberseguretat; i

La utilització de criptografia i xifratge.

Les entitats han de tenir en compte les vulnerabilitats específiques de cada proveïdor i prestador de serveis i la qualitat general dels productes i les pràctiques en matèria de ciberseguretat dels seus proveïdors i prestadors de serveis, inclosos els seus procediments de desenvolupament segur.

En cas que una entitat constati que els seus serveis o comeses no s’ajusten als requisits establerts als apartats 1, 2 i 3, com més aviat millor, haurà d’adoptar totes les mesures correctores necessàries per a què el servei o comesa en qüestió, compleixi aquests requisits.

Article 14. Obligació de resoldre els incidents, d’informació i de col·laboració mútua

En termes de gestió d’incidents de seguretat, detecció de vulnerabilitats o ciberamenaces, les entitats essencials i importants han de:

Gestionar i resoldre els incidents de seguretat que afectin les infraestructures crítiques, les xarxes o els sistemes d’informació utilitzats per prestar els seus serveis essencials o importants.

Si es tracta d’infraestructures, xarxes o sistemes externs s’ha de garantir que els proveïdors externs compleixen amb l’aplicació de les mesures necessàries per garantir la seguretat.

Sol·licitar opinió o suport especialitzat al CSIRT-AD per fer front als incidents, vulnerabilitats o ciberamenaces sorgides i, en tot cas, atendre a les indicacions rebudes per part del CSIRT-AD per resoldre els riscos, mitigar-ne els efectes i reposar els sistemes afectats.

En aquest supòsit, les indicacions emeses pel CSIRT-AD per mitigar els efectes i reposar els sistemes afectats són d’aplicació vinculant.

Aplicar la seva política de gestió de la seguretat de les infraestructures crítiques, les xarxes i els sistemes d’informació davant del sorgiment de qualsevol incident que afecti la prestació dels seus serveis essencials i importants, així com el conjunt d’obligacions i recomanacions emeses per l’autoritat nacional competent o el CSIRT-AD.

Les entitats essencials i importats han de subministrar al CSIRT-AD i a l’autoritat nacional competent que escaigui tota la informació que se’ls requereixi per a l’acompliment de les funcions que els encomana aquesta Llei. En particular, podrà requerir-se informació addicional a les entitats essencials o importants per analitzar la naturalesa, les causes i els efectes dels incidents notificats, i per elaborar estadístiques i reunir les dades necessàries per elaborar els informes anuals considerats a l’article 25.4.e).

Quan les circumstàncies ho permetin, l’autoritat nacional competent o el CSIRT-AD proporcionarà a les entitats essencials o importants afectades per incidents la informació derivada del seu seguiment que pugui ser-los rellevant, en particular, per resoldre l’incident.

Article 15. Obligació de notificar

Les entitats que presten serveis essencials o importants han de notificar al CSIRT-AD, que al seu torn ho farà a l’autoritat nacional competent que li pertoqui i en tot cas a l’ANC-AD, els incidents que tinguin o puguin tenir efectes significatius en aquests serveis d’acord amb el que s’estableixi reglamentàriament, així com qualsevol informació que permeti a l’autoritat nacional competent o al CSIRT-AD determinar les repercussions transfrontereres que pot tenir l’incident.

Aquesta notificació es farà sense demora i en tot cas en el termini de setanta-dues hores a comptar de la seva detecció. Si en el moment de notificar l’incident o possible incident encara no disposen d’informació en relació amb la seva repercussió sobre serveis essencials o importants, poden ometre aquesta informació, amb el compromís d’enviar-la com més aviat millor, i que transcorregut un termini de setanta-dues hores des de la notificació de l’incident, l’entitat essencial o important que no hagi reunit la informació pertinent enviï al CSIRT-AD un informe justificatiu de les actuacions que hagi dut a terme per obtenir aquesta informació i dels motius pels quals no ha sigut possible obtenir-la.

Quan sigui procedent, aquestes entitats han de notificar, sense demora indeguda, als destinataris dels seus serveis que puguin veure’s afectats per l’incident, les mesures o solucions que aquests destinataris poden aplicar en resposta al mateix.

Les entitats de serveis essencials o importants han de notificar a l’autoritat nacional competent, per mitjà del CSIRT-AD i sense demora, qualsevol ciberamenaça significativa pels serveis essencials o importants que, al seu parer, pot desembocar en un incident significatiu d’acord amb el que s’estableixi reglamentàriament.

Quan sigui procedent, aquestes entitats han de notificar, sense demora indeguda, als destinataris dels seus serveis que puguin veure’s afectats per una ciberamenaça significativa, les mesures o solucions que aquests destinataris poden aplicar en resposta a l’amenaça. Quan sigui procedent, les entitats notificaran als destinataris la pròpia amenaça.

Una amenaça significativa és aquella que pot donar lloc a un incident significatiu, i un incident es considerarà significatiu si:

L’incident ha causat o pot causar pertorbacions operatives o perjudicis econòmics substancials per a l’entitat afectada; o

L’incident ha afectat o pot afectar altres persones físiques o jurídiques en causar perjudicis materials o morals considerables en relació amb:

i. El nombre d’usuaris afectats per la pertorbació del servei essencial i la seva quota de mercat.

ii. La duració de l’incident.

iii. La no disponibilitat d’alternatives per mantenir un nivell suficient de prestació del servei.

iv. L’extensió o àrees geogràfiques afectades o que puguin quedar afectades per l’incident.

v. El grau de pertorbació del funcionament del servei.

vi. L’abast de l’impacte en activitats econòmiques i socials crucials.

vii. La importància dels sistemes afectats o de la informació afectada per l’incident per a la prestació del servei essencial.

viii. La dependència d’altres sectors estratègics respecte del servei i la repercussió, en termes de grau i durada, de l’incident en les activitats socials i econòmiques o en la seguretat pública.

ix. El dany a la reputació.

Reglamentàriament es poden afegir factors específics del sector per determinar si un incident pot tenir efectes pertorbadors significatius.

En relació a les notificacions indicades en els apartats 1 i 2, les entitats afectades han de presentar al CSIRT-AD:

Una notificació inicial sense demora indeguda i en qualsevol cas en el termini de vint-i-quatre hores des que s’hagi tingut constància de l’incident, en la qual s’indicarà, quan s’escaigui, si cal suposar que l’incident respon a una acció il·lícita o malintencionada;

b)Totes aquelles notificacions intermitges que resultin precises o sol·liciti el CSIRT-AD per actualitzar o completar la informació inclosa en la notificació inicial i informar sobre l’evolució de l’incident mentre aquest no es trobi resolt; i

Un informe final, a tot tardar un mes després de presentar la notificació inicial prevista a la lletra a), en la qual s’hi recullin almenys els següents elements:

i. una descripció detallada de l’incident, la seva gravetat i el seu impacte;

ii. el tipus d’amenaça o causa principal que probablement va desencadenar l’incident; i

iii. les mesures de mitigació aplicades i en curs.

En casos degudament justificats, com ara en supòsits de força major, l’entitat pot incomplir els terminis establerts en els apartats 1 i 2.

Les notificacions efectuades a l’empara d’aquest article han d’incloure la informació que permeti determinar qualsevol efecte transfronterer de l’incident.

El CSIRT-AD oferirà, en el termini de vint-i-quatre hores després de la recepció de la notificació inicial a què es refereix l’apartat 4.a), una resposta a l’entitat que ha fet la notificació, incloent en particular els seus comentaris inicials sobre l’incident i, a instàncies de l’entitat, una orientació sobre l’aplicació de possibles mesures de mitigació. El CSIRT-AD donarà suport tècnic addicional quan així ho sol·liciti l’entitat afectada. Quan es sospiti que l’incident és de naturalesa delictiva, el CSIRT-AD també proporcionarà orientació a l’efecte de denunciar l’incident davant les autoritats corresponents.

L’obligació de notificació d’incidents prevista en aquest article no allibera del compliment del deure general que té l’entitat que fa la notificació de denúncia davant les autoritats corresponents, sobre aquells fets que puguin revestir caràcter de delicte.

Quan el coneixement del públic sigui necessari per evitar un incident o fer front a un incident en curs, o quan la divulgació de l’incident redundi en l’interès públic, l’ANC-AD, amb el suport del CSIRT-AD, podrà informar el públic, després de consultar-ho amb l’entitat afectada, de l’incident, o exigir a l’entitat que ho faci si aquesta no ha actuat prèviament en aquest sentit.

Les notificacions d’entitats essencials han de referir-se als incidents que afecten les infraestructures crítiques, les xarxes i els sistemes d’informació emprats en la prestació dels serveis essencials, sent indiferent que es tracti d’infraestructures crítiques, xarxes i sistemes propis o de proveïdors externs.

10.

Les entitats essencials o importants han de realitzar les notificacions que corresponguin en virtut d’aquest capítol a través del Delegat de la Seguretat de la Informació (DSI) que hagin designat segons el que es disposa a l’article 18.

11.

La notificació d’un incident segons el que es disposa en aquesta Llei no exclou ni substitueix l’obligació de notificació que les entitats hagin de fer a altres organismes conforme a la seva normativa específica.

12.

Quan la notificació d’incidents o la seva gestió, anàlisi o resolució requereixi comunicar dades personals, el seu tractament s’ha de restringir a les dades que siguin estrictament adequades, pertinents i limitades en relació amb la finalitat perseguida en cada cas.

Les cessions de dades personals per a aquests fins s’entenen autoritzades en els següents casos:

Entre les entitats essencials o importants i l’ANC-AD, el CSIRT-AD o les autoritats nacionals competents.

Entre el CSIRT-AD i l’ANC-AD.

Entre el CSIRT-AD i altres CSIRT designats internacionalment.

Entre l’ANC-AD i altres autoritats competents internacionals.

Entre les autoritats nacionals competents i l’ANC-AD.

Entre les autoritats nacionals competents i el CSIRT-AD.

Article 16. Notificació voluntària

Sense perjudici del que es disposa a l’article 2, les entitats excloses de l’àmbit d’aplicació d’aquesta Llei poden presentar voluntàriament notificacions de ciberamenaces, quasiincidents i incidents significatius. Quan tramitin les notificacions al CSIRT-AD, aquestes entitats actuaran de conformitat amb el procediment establert a l’article 15.

Així mateix, les entitats essencials o importants poden notificar els incidents o les ciberamenaces per als quals no s’estableixi una obligació de notificació.

Aquestes notificacions obliguen a l’entitat que les hagi efectuat a resoldre l’incident d’acord amb el que s’estableix en aquesta Llei. No obstant això, aquest tipus d’entitat notificant no queda subjecta a altres obligacions addicionals a les quals no estaria obligada de no haver presentat aquesta notificació.

Les notificacions obligatòries tenen caràcter prioritari sobre les voluntàries a l’efecte de la seva gestió per part del CSIRT-AD.

Capítol Segon. Altres obligacions de les entitats essencials i importants

Article 17. Governança

Els òrgans de direcció de les entitats essencials i importants han d’aprovar les mesures de gestió dels riscos de ciberseguretat adoptades per aquestes entitats segons el que es disposa a l’article 13, supervisar la seva posada en pràctica i respondre per l’incompliment de les obligacions recollides en dit article per part de les entitats.

Els membres de l’òrgan de direcció han d’assistir periòdicament a formacions específiques per adquirir coneixements i destreses suficients que permetin comprendre i avaluar els riscos de ciberseguretat i les pràctiques de gestió i el seu impacte en les operacions de l’entitat.

Article 18. Delegat de la Seguretat de la Informació

Les entitats essencials i les entitats importants, a través dels seus òrgans de direcció, han de designar una persona física, una unitat o un òrgan col·legiat, perquè actuï com a Delegat de la Seguretat de la Informació (DSI) i sigui el punt de contacte i coordinació tècnica entre l’entitat que l’ha designat i l’autoritat nacional competent i el CSIRT-AD.

Quan el DSI sigui una unitat o un òrgan col·legiat, es designa una persona física representant del mateix.

En tot cas, les entitats essencials o importants també han de designar un substitut del DSI perquè assumeixi les seves funcions en casos d’absència, vacant o malaltia.

Les dades de contacte del DSI en funcions s’han de notificar a l’autoritat competent en el termini màxim d’un mes a comptar de la data de designació que s’escaigui. El mateix procediment es realitza en el supòsit de canvis en les dades de contacte, per exemple deguts a cessaments o nomenaments, havent-los de notificar a l’autoritat nacional competent, que al seu torn els compartirà immediatament amb el CSIRT-AD, en el termini màxim d’un mes a comptar de la data del canvi.

El DSI actua com a punt de contacte per notificar els incidents conforme a l’article 15, així com per gestionar allò que escaigui en el si de l’entitat que l’hagi nomenat, conforme als articles 13 i 14.

Addicionalment, a títol enunciatiu i no limitatiu, el DSI exerceix, sota la responsabilitat de l’entitat que l’ha nomenat, les funcions següents:

Elaborar i proposar, de conformitat amb el que estableix l’article 12, polítiques de seguretat, incloent una proposta de mesures tècniques i organitzatives, adequades i proporcionades, per prevenir i gestionar els possibles riscos relatius a la seguretat de les infraestructures crítiques, les xarxes, i els sistemes d’informació necessaris per proveir els serveis essencials o importants, per així reduir al mínim els efectes dels ciberincidents que afectin els dits serveis.

Elaborar el document de declaració d’aplicabilitat de mesures de seguretat en relació amb l’Esquema Nacional de Seguretat del Principat d’Andorra.

La consulta d'aquest document no substitueix la lectura del Butlletí Oficial del Principat d'Andorra (BOPA) corresponent. No assumim cap responsabilitat per eventuals inexactituds derivades de la transcripció de l'original a aquest format.

Aquest text es publica sota les condicions de reutilització pròpies de BOPA, no sota una llicència de Legalize ni de domini públic. BOPA
Domini públic — els textos oficials estan exclosos de la protecció del dret d'autor (art. 4.2 de la Llei sobre drets d'autor i drets veïns, 1999)
Font: Butlletí Oficial del Principat d'Andorra (BOPA) — Govern del Principat d'Andorra i Consell General (https://www.bopa.ad/). Els textos oficials estan exclosos de la protecció del dret d'autor segons l'article 4.2 de la Llei sobre drets d'autor i drets veïns (1999). Aquest repositori és un mirall no oficial; el BOPA continua sent l'única font autèntica de la legislació andorrana.