Llei 15/2017, de 25 de juliol, de l'Agència de Ciberseguretat de Catalunya

Preàmbul

La societat de la informació es configura com una plataforma global per a la lliure circulació de la informació, les idees i el coneixement, i els poders públics aposten clarament per la seva implantació, fent servir cada dia més les eines que tant les administracions com els prestadors de serveis posen a la seva disposició. L'ús quotidià de les tecnologies de la informació i la comunicació (TIC) i el tractament que en fan de la informació les converteix en elements essencials per al desenvolupament econòmic actual i la convivència social. La dependència, per tant, d'aquestes tecnologies, sistemes i informació fa que resultin bàsics per garantir la continuïtat de les activitats, per oferir seguretat jurídica en les accions del ciutadà i el tràfic mercantil, i per garantir el progrés i el desenvolupament social dels ciutadans en aquesta societat de la informació.

Tanmateix, diversos reptes i amenaces afecten el desenvolupament de la societat de la informació i posen en perill la seva seguretat. La interrelació i dependència de les infraestructures i els serveis de comunicacions fan que la seva protecció davant les ciberamenaces s'hagi convertit en un pilar bàsic.

Tant en l'àmbit nacional com en l'internacional, pot detectar-se que l'activitat organitzada a la xarxa que té com a objectiu perjudicar accions i serveis públics de governs i empreses privades de rellevància notable s'ha incrementat exponencialment, així com l'impacte de les accions, que en molts casos ha arribat a afectar els serveis bàsics per al bon funcionament de les administracions i per a la ciutadania.

En els últims temps, la bel·ligerància de les actuacions a la xarxa dirigides cap a Catalunya, en general, i, concretament, cap a l'Administració de la Generalitat i els seus serveis públics, fa necessari abordar una actuació decidida per a la protecció de la informació, les infraestructures i els interessos de la Generalitat i de les persones i institucions públiques i privades de Catalunya.

L'evolució en la motivació i la complexitat dels ciberatacs situa les infraestructures essencials de Catalunya com a objectiu. Aquestes infraestructures són necessàries per garantir el correcte funcionament del Govern i de les administracions públiques, i per a la protecció i el bon funcionament dels serveis bàsics per a la ciutadania, és a dir, els serveis que garanteixen la seguretat i la continuïtat social bàsica, com, per exemple, els principals subministraments o el suport a la mobilitat i la xarxa viària. Per aquesta raó, cal garantir la protecció d'aquests serveis i esdevé una prioritat vetllar per la seva ciberseguretat.

Un dels principals objectius del servei públic de ciberseguretat és la necessitat d'investigar ciberatacs en l'àmbit de les seves competències. Actualment Catalunya no té aquesta capacitat, que és imprescindible per garantir la correcta protecció de les persones públiques i privades en el territori de Catalunya i la coordinació eficient amb els cossos de seguretat quan d'aquests incidents puguin derivar-se conductes il·lícites. Aquesta capacitat permetrà, a més, donar suport a les autoritats competents perquè puguin exercir millor les seves funcions públiques a la xarxa. Aquest suport és imprescindible per garantir que les autoritats puguin complir les seves funcions amb la màxima seguretat tècnica i jurídica en l'àmbit de la societat de la informació.

Així, cal un equip de resposta a incidents que gestioni els incidents de ciberseguretat que afectin el territori de Catalunya i que tingui les competències establertes per la normativa de la societat de la informació.

Per donar resposta a aquestes necessitats, cal un organisme que, en l'àmbit de les competències de la Generalitat, vetlli pel compliment de les funcions del servei públic de ciberseguretat i permeti garantir i augmentar el nivell de seguretat de les xarxes i els sistemes d'informació a Catalunya. Les seves funcions han de basar-se en la implantació de mesures de protecció sobre la infraestructura pública i els seus serveis, així com en la coordinació amb els proveïdors privats de serveis de la societat de la informació per a la consecució dels seus objectius.

Actualment, la Generalitat compta amb la Fundació Centre de Seguretat de la Informació de Catalunya (Cesicat), que és una entitat sense ànim de lucre que té per objecte l'establiment i el seguiment dels programes i plans d'actuació necessaris per garantir una societat de la informació segura. El Centre de Seguretat de la Informació de Catalunya és una eina per a la generació d'un teixit empresarial català d'aplicacions i serveis de seguretat de les tecnologies de la informació i la comunicació que sigui referent nacional i internacional. Les finalitats de les activitats i actuacions d'aquesta Fundació són el foment i la promoció de la seguretat de les tecnologies de la informació i la comunicació en l'àmbit nacional, d'acord amb els plans d'actuació que s'elaborin. La Fundació Centre de Seguretat de la Informació de Catalunya, tanmateix, per la seva forma jurídica, no pot exercir les funcions ni prestar el servei públic de ciberseguretat.

L'afectació dels esmentats atacs cibernètics fonamenta la necessitat d'abordar aquesta matèria en l'àmbit de Catalunya per dotar la ciutadania, les empreses i les institucions d'un servei de ciberseguretat públic encarregat de la seva protecció i de dur a terme actuacions i proporcionar informació per reduir l'impacte d'aquests atacs.

Així doncs, la present llei té com a finalitat la dissolució del Cesicat i la creació d'una entitat de dret públic, l'Agència de Ciberseguretat de Catalunya, amb personalitat jurídica pròpia, sotmesa al dret privat, a la qual s'atorguen les funcions esmentades. D'aquesta forma, es garanteix que el Govern disposi de les eines necessàries per afrontar els riscos i les amenaces que planteja actualment la plena integració a la societat de la informació.

Aquest nou organisme pot exercir les funcions següents, entre altres: desenvolupar i liderar el servei públic de ciberseguretat necessari per a la protecció del territori de Catalunya davant les amenaces actuals, coordinar la ciberseguretat entre els diferents actors en l'àmbit de Catalunya com a responsable d'aquesta matèria, i garantir la ciberseguretat de l'Administració de la Generalitat i del seu sector públic, i, si s'escau, de les altres entitats i institucions públiques de Catalunya, dels ens locals i de les persones físiques i jurídiques situades a Catalunya.

Davant els riscos que la ciberseguretat planteja a Catalunya i a les seves institucions, la manca d'aquesta figura impedia gestionar correctament els incidents de caràcter global que les afecten i coordinar els esforços dels diferents equips que puguin tenir-ne coneixement.

Per garantir la necessària actualització i adequació de les mesures de protecció per fer front a les amenaces, l'Agència de Ciberseguretat de Catalunya executa els plans d'actuació en matèria de ciberseguretat que el Govern elabora i aprova. L'execució d'aquests plans garanteix que es desenvolupin i apliquin les mesures necessàries per fer front a ciberatacs i ciberamenaces, que es redueixi el risc i que es millorin els nivells de ciberseguretat de la ciutadania, les institucions i les empreses.

Es modifica la Llei 29/2010, de 3 d'agost, de l'ús dels mitjans electrònics en el sector públic de Catalunya, per a la seva adequació a allò establert per la present llei.

La competència de la Generalitat per a la creació de l'Agència de Ciberseguretat de Catalunya ve donada per l'article 150 de l'Estatut d'autonomia de Catalunya, d'acord amb el qual correspon a la Generalitat, en matèria d'organització de la seva Administració, la competència exclusiva sobre l'estructura, la regulació dels òrgans i directius públics, el funcionament i l'articulació territorial, i les diverses modalitats organitzatives i instrumentals per a l'actuació administrativa.

L'article 140.7 del mateix Estatut disposa que correspon a la Generalitat, d'acord amb la normativa de l'Estat, la competència executiva en matèria de comunicacions electròniques, que inclou, en tot cas, promoure l'existència d'un conjunt mínim de serveis d'accés universal.

D'acord amb l'article 121.1.a de l'Estatut, correspon a la Generalitat la competència exclusiva en matèria de comerç, que inclou, en tot cas, l'ordenació administrativa del comerç electrònic.

De conformitat amb l'article 53 del mateix Estatut, els poders públics han de facilitar el coneixement de la societat de la informació i han d'impulsar l'accés a la comunicació i a les tecnologies de la informació, en condicions d'igualtat, en tots els àmbits de la vida social, inclòs el laboral; han de fomentar que aquestes tecnologies es posin al servei de les persones i no afectin negativament els seus drets, i han de garantir la prestació de serveis mitjançant aquestes tecnologies, d'acord amb els principis d'universalitat, continuïtat i actualització.

D'altra banda, d'acord amb l'article 49 de l'Estatut, els poders públics han de garantir la protecció de la seguretat i la defensa dels drets i dels interessos legítims dels consumidors i usuaris.

La present llei respon també a la necessitat de donar compliment a la Moció 75/X, de 13 de febrer de 2014, sobre les polítiques d'impuls de les tecnologies de la informació i de la comunicació, en la qual el Parlament insta el Govern a adoptar la forma jurídica més adequada per dur a terme les funcions assignades al Centre de Seguretat de la Informació de Catalunya i a garantir l'escrutini públic i el control parlamentari de l'activitat d'aquest organisme. També respon a la necessitat de donar compliment a la Resolució 535/X, de 19 de febrer de 2014, sobre la modificació dels estatuts del Centre de Seguretat de la Informació de Catalunya, en la qual el Parlament insta el Govern a reconvertir el Centre de Seguretat de la Informació de Catalunya en una agència governamental.

Capítol I. Disposicions generals

Capítol II. Estructura orgànica

Capítol III. Règim econòmic i financer, de contractació, de personal i de control

Capítol IV. Relació amb el departament d'adscripció

Disposicions addicionals

Disposició addicional primera. Adscripció a l'Agència dels béns de domini públic

1. S'adscriuen a l'Agència de Ciberseguretat de Catalunya els béns de l'Administració de la Generalitat i de les entitats del seu sector públic afectats a les funcions que exerceix l'Agència. Els béns de domini públic conserven aquesta naturalesa i les exempcions fiscals i econòmiques que tinguin reconegudes. El decret d'aprovació dels estatuts de l'Agència ha de concretar els béns objecte d'adscripció i el procediment amb el qual s'ha de formalitzar, que necessàriament ha de reflectir la seva valoració econòmica.

2. L'Agència de Ciberseguretat de Catalunya se subroga en els drets i obligacions de contingut econòmic de l'Administració de la Generalitat i de les entitats del seu sector públic afectes a les funcions que exerceix l'Agència, la qual cosa s'ha de concretar en el decret d'aprovació dels estatuts.

Disposició addicional segona. Cessió a l'Agència dels actius materials, del personal i del pressupost i subrogació en els contractes i convenis

1. La Fundació Centre de Seguretat de la Informació de Catalunya cedeix a l'Agència de Ciberseguretat de Catalunya, per al compliment de les seves funcions, tots els actius materials, el personal i els recursos pressupostaris assignats a la Fundació. Per executar aquesta cessió, la Fundació ha de realitzar els tràmits interns necessaris des de l'aprovació de la present llei i la Generalitat ha de realitzar les modificacions administratives i pressupostàries necessàries.

2. L'Agència de Ciberseguretat de Catalunya se subroga en els contractes i convenis subscrits per la Fundació Centre de Seguretat de la Informació de Catalunya.

3. L'Agència de Ciberseguretat de Catalunya se subroga en la posició jurídica de l'Administració de la Generalitat i de les entitats del seu sector públic pel que fa als drets i obligacions que li corresponen en l'àmbit de les funcions que l'Agència assumeix, la qual cosa s'ha de concretar en el decret d'aprovació dels estatuts.

Disposició transitòria

Exercici de les funcions de la Fundació Centre de Seguretat de la Informació de Catalunya fins a la constitució de l'Agència.

1. La Fundació Centre de Seguretat de la Informació de Catalunya (Cesicat) ha de continuar exercint les seves funcions a través dels mitjans tècnics i personals i dels actius propis fins que es constitueixi efectivament l'Agència de Ciberseguretat de Catalunya i es completi la posada en marxa.

2. El personal laboral que, en la data de constitució de l'Agència de Ciberseguretat de Catalunya, estigui prestant serveis a la Fundació Centre de Seguretat de la Informació de Catalunya s'integra a l'Agència pel mecanisme de successió d'empresa, d'acord amb allò establert per la normativa laboral corresponent.

Disposicions finals

Disposició final primera. Modificació de la Llei 29/2010, de l'ús dels mitjans electrònics en el sector públic de Catalunya

1. S'afegeix una lletra, la e, a l'article 6.2 de la Llei 29/2010, de 3 d'agost, de l'ús dels mitjans electrònics en el sector públic de Catalunya, amb el text següent:

«e) Garantir un nivell de ciberseguretat adequat en l'ús dels mitjans electrònics.»

2. S'afegeix una lletra, la g, a l'article 6.3 de la Llei 29/2010, amb el text següent:

«g) Garantir, en l'àmbit del model català d'administració electrònica i en la prestació de serveis públics a la ciutadania per mitjans electrònics, una seguretat de la informació adequada, i determinar i aplicar el nivell adequat de ciberseguretat del model català d'administració electrònica.»

3. S'afegeix un apartat, el 5, a l'article 7 de la Llei 29/2010, amb el text següent:

«5. L'Agència de Ciberseguretat de Catalunya s'encarrega de planificar, gestionar i controlar la ciberseguretat en la prestació dels serveis d'identificació electrònica i d'identitat i confiança digitals per part dels prestadors establerts a Catalunya o que, en un altre cas, ofereixin serveis en el sector públic de la Generalitat.»

Disposició final segona. Constitució de l'Agència

En el termini d'un any a comptar de l'entrada en vigor de la present llei, l'Agència de Ciberseguretat de Catalunya s'ha de constituir, el Govern ha d'aprovar els seus estatuts i les normes necessàries per al seu desenvolupament, i s'han d'adscriure a l'Agència els béns de domini públic.

Disposició final tercera. Dissolució de la Fundació Centre de Seguretat de la Informació de Catalunya

La Fundació Centre de Seguretat de la Informació de Catalunya (Cesicat) ha d'iniciar el procediment de dissolució en el moment de la constitució de l'Agència de Ciberseguretat de Catalunya, i aquesta ha d'acceptar els béns, drets i obligacions que li cedeixi la Fundació.

Disposició final quarta. Autoritzacions

1. S'autoritza el Govern perquè realitzi les modificacions pressupostàries i patrimonials necessàries per traslladar a l'Agència de Ciberseguretat de Catalunya els recursos a què es refereixen les disposicions addicionals primera i segona.

2. S'autoritza els representants de l'Administració de la Generalitat en els òrgans de govern de la Fundació Centre de Seguretat de la Informació de Catalunya perquè realitzin tots els actes necessaris per a la seva dissolució i liquidació.

Disposició final cinquena. Entrada en vigor

La present llei entra en vigor l'endemà de la seva publicació al «Diari Oficial de la Generalitat de Catalunya».