Reglament, del 12 d’octubre del 2022, d’infraestructures crítiques del Principat d’Andorra

a) ANC-AD: Agència Nacional de Ciberseguretat del Principat d’Andorra.

b) CSIRT-AD: centre de resposta a incidents de seguretat de les xarxes i dels sistemes d’informació de referència al Principat d’Andorra.

c) Catàleg nacional d’infraestructures crítiques (CNIC): instrument que conté la valoració i tota la informació completa, actualitzada i contrastada de les infraestructures crítiques per al Principat d’Andorra. El CNIC inclou les infraestructures crítiques de les entitats crítiques, les de les entitats equivalents a entitats crítiques i les situades fora del Principat d’Andorra.

d) CID i DIC: tots dos són sigles de les paraules confidencialitat, integritat i disponibilitat, ordenades segons la dimensió que, en principi, té més rellevància per a la seguretat. En l’àmbit de les tecnologies de la informació és habitual utilitzar el terme CID, mentre que en l’àmbit la tecnologia d’operació se sol utilitzar el terme DIC.

e) DSI: delegat de la seguretat de la informació, d’acord amb el que s’estableix a l’article 18 de la Llei NIS-AD.

f) Informació sensible sobre infraestructures crítiques: dades específiques sobre infraestructures crítiques que, en cas de revelar-se, podrien utilitzar-se per planejar i dur a terme accions l’objectiu de les quals sigui provocar la pertorbació o la destrucció d’aquestes infraestructures.

g) Pla de suport operatiu: plans elaborats pel Cos de Policia del Principat d’Andorra amb la col·laboració de les entitats crítiques i les entitats equivalents a entitats crítiques que els necessitin, per recollir les mesures de vigilància, prevenció i protecció que han d’adoptar les unitats policials en relació amb amenaces com, per exemple, la delinqüència o el terrorisme que puguin afectar les infraestructures crítiques, així com la reacció per a la qual han d’estar preparades si el risc associat a alguna d’aquestes amenaces es materialitza.

h) Seguretat: la capacitat de les xarxes i dels sistemes d’informació de resistir, amb un nivell determinat de fiabilitat, tota acció que comprometi la disponibilitat, autenticitat, integritat o confidencialitat de les dades emmagatzemades, transmeses o tractades, o els serveis corresponents oferts per les xarxes i sistemes d’informació esmentats o que són accessibles per aquests darrers.

a) Conté, entre altres dades, les relatives a la descripció de les infraestructures, la seva ubicació, l’administració i la titularitat (incloent-hi si es tracta d’una entitat crítica, una entitat equivalent a una entitat crítica o una entitat estrangera que gestiona una infraestructura crítica per la prestació d’un servei essencial al Principat d’Andorra), els serveis que presten, els mitjans de contacte, el nivell de seguretat que necessiten en funció dels riscos avaluats i el pla de seguretat de l’entitat, així com la informació obtinguda de les forces i els cossos de seguretat.

b) És secret, i la informació sensible sobre infraestructures crítiques s’hi inclou únicament quan sigui necessària per a la finalitat principal del Catàleg i es limita a aquella que sigui pertinent i proporcionada per a aquestes finalitats, i cal preservar-ne la confidencialitat i protegir-la d’interessos aliens als previstos per al CNIC.

c) Les xarxes i els sistemes d’informació que allotgin el Catàleg i hi donin accés, i la informació continguda en el Catàleg, comptaran amb les mesures de seguretat necessàries que en garanteixin la confidencialitat, integritat i disponibilitat (CID) o la disponibilitat, integritat i confidencialitat (DIC), depenent en cada cas de la tipologia de l’entitat, d’acord amb els requisits de seguretat establerts en l’Esquema nacional de seguretat del Principat d’Andorra per al nivell de seguretat alt.

a) Correspon a l’ANC-AD efectuar les altes, baixes i modificacions d’infraestructures crítiques en el Catàleg, així com determinar el nivell de seguretat que requereixen. Per complir aquest punt, l’ANC-AD pot comptar amb la participació i l’assessorament de l’entitat que allotja la infraestructura crítica.

b) A l’efecte de determinar el nivell de seguretat de cada infraestructura crítica, l’ANC-AD pot sol·licitar a les entitats essencials que en depenen la seva pròpia anàlisi de riscos dels serveis essencials afectats per la infraestructura crítica.

a) Estableix els criteris i les directrius precises per articular les mesures preventives necessàries per assegurar, de forma actualitzada i homogènia, la protecció permanent i la resiliència de les infraestructures crítiques que formen part del CNIC enfront de les amenaces provinents d’atacs deliberats contra elles.

b) Preveu diferents nivells de seguretat i intervenció de les forces i els cossos de seguretat, que s’han d’activar, en cada cas, en funció dels resultats de l’avaluació del nivell i del tipus de l’amenaça a què en cada moment s’enfrontin les infraestructures crítiques que formen part del CNIC.

c) S’ha d’actualitzar com a mínim amb cada edició nova de l’Estratègia de ciberseguretat del Principat d’Andorra i, si escau, quan resulti necessari modificar alguna de les dades o instruccions incloses en el pla.

a) Coordinar l’elaboració, sense dilació indeguda, de cada proposta de PIC-AD que consideri necessària la mateixa ANC-AD, la secretaria d’Estat a la qual s’adscriu o el Comitè Especialitzat de Seguretat descrit a l’article 10 del Decret 346/2021, del 20 d’octubre del 2021, de creació de l’Agència Nacional de Ciberseguretat i de l’Equip de Resposta de Referència del Principat d’Andorra per al tractament d’incidents de seguretat de les xarxes i els sistemes d’informació.

b) Custodiar els documents que formen el PIC-AD i controlar-hi l’accés d’acord amb els nivells de seguretat associats als seus continguts, fins i tot mentre es creen o modifiquen.

c) Executar el PIC-AD.

d) Monitorar i controlar l’execució del PIC-AD.

e) Coordinar l’anàlisi de les propostes de canvis que en cada moment pugui requerir el PIC-AD.

a) Crear sense dilació indeguda els PES-AD de cada sector essencial.

b) Custodiar els documents que formen cada PES-AD i controlar-hi l’accés d’acord amb els nivells de seguretat associats als seus continguts, fins i tot mentre es creen o modifiquen.

c) Executar els PES-AD.

d) Monitorar i controlar l’execució de cada PES-AD.

e) Adequar els PES-AD com correspongui a la realitat del sector corresponent en cada moment i als plans de seguretat de les infraestructures crítiques dels quals depengui cada sector.

a) La política general de seguretat de l’entitat, que inclou, com a mínim:i. La descripció de les infraestructures crítiques compartida amb l’ANC-AD per incloure-les al CNIC.ii. Els procediments de gestió i manteniment de la seguretat.iii. Els procediments establerts per a la comunicació i l’intercanvi d’informació relativa a la protecció d’infraestructures crítiques.iv. La metodologia d’anàlisi de risc (amenaces físiques i de ciberseguretat).v. L’estructura de govern de la seguretat de l’entitat juntament amb la descripció de les funcions i les responsabilitats de cada rol de l’organigrama corresponent,.vi. Les dades de contacte del seu DSI, o de l’equivalent en el cas d’entitats equivalents a entitats crítiques, i dels DSI de les entitats que presten els serveis essencials que depenen d’aquestes darreres, així com de les persones que els substituiran quan no estiguin disponibles.

b) La relació de serveis essencials que depenen de cadascuna de les infraestructures crítiques que posseeix o gestiona l’entitat.

c) La relació de dependències de cada infraestructura crítica amb altres infraestructures crítiques posseïdes o gestionades per la mateixa entitat o una altra entitat.

d) El resultat de l’anàlisi de risc de cadascuna de les infraestructures crítiques posseïdes o gestionades per l’entitat.

e) L’inventari dels serveis subcontractats que puguin impactar de qualsevol manera en les infraestructures crítiques. Per a cadascun d’aquests serveis, juntament amb la descripció del possible impacte i la descripció del servei subcontractat, s’ha d’identificar l’entitat subcontractada, els certificats que té en matèria de seguretat i la seu des de la qual presta el servei subcontractat, així com els nivells de servei acordats. D’igual forma, s’ha de descriure la metodologia mitjançant la qual es duu a terme la comprovació del compliment per part de l’entitat crítica o equivalent a entitat crítica dels protocols de seguretat implementats en el seu cas.

f) La relació de mesures tècniques i organitzatives (inclosos els procediments d’alertes i de gestió de cris.

i) que es consideren adequades i proporcionades per garantir la seguretat i resiliència de cada infraestructura crítica, documentades amb un nivell de detall suficient per aconseguir els objectius de l’entitat, tenint en compte els riscos detectats. S’ha d’indicar quines d’aquestes mesures són permanents, i quines són graduals i només s’activaran a partir d’un determinat nivell de risc i d’amenaça.

g) La relació de mesures tècniques i organitzatives que ja estan implementades o preparades per activar-se en cada infraestructura crítica, fent referència, si escau, a les esmentades en el punt anterior.

a) Crear sense dilació indeguda el PSE de l’entitat.

b) Custodiar els documents que formen el seu PSE i controlar-hi l’accés d’acord amb els nivells de seguretat associats als seus continguts, fins i tot mentre es creen o modifiquen.

c) Executar el PSE.

d) Monitorar i controlar l’execució del PSE.

e) Adequar el PSE com correspongui a la seva realitat i a les directrius que rebi de la seva autoritat competent o de l’ANC-AD.

f) Posar el PSE a disposició de l’autoritat competent corresponent.

g) Comunicar cada nova versió del PSE a l’ANC-AD sense demora indeguda i, en qualsevol cas, en el termini màxim d’una setmana a comptar de l’endemà de l’aprovació del PSE, i amb independència de les circumstàncies que hagin donat lloc a la nova versió i de si els documents han estat o no objecte de modificacions.

h) Comunicar a l’ANC-AD, sense dilació indeguda, l’adopció de qualsevol mesura de seguretat que no s’hagi inclòs en el PSE per tenir naturalesa temporal.

a) Les entitats crítiques i les entitats equivalents a entitats crítiques han de garantir que els proveïdors subcontractats dels quals disposin tenen garanties suficients sobre els serveis subcontractats, així com sobre la provisió de qualsevol tecnologia o producte. Les entitats crítiques i les entitats equivalents a entitats crítiques resten obligades que aquests serveis, tecnologia o productes oferts constin al Registre de components certificats elaborat a aquest efecte per l’ANC-AD en cada moment. El referit Registre de components certificats l’elabora l’ANC-AD en funció dels criteris que consideri escaients, incloent-hi els criteris internacionalment reconeguts o aplicats per entitats homòlogues de l’ANC-AD.

b) En cas que una entitat crítica o entitat equivalent a entitat crítica no pugui disposar de serveis o tecnologia o productes recollits al Registre de components certificats referit en el paràgraf anterior, aquesta entitat pot sol·licitar a l’ANC-AD una autorització per a la disposició dels serveis o tecnologia o producte que correspongui. Aquesta sol·licitud ha d’estar degudament argumentada i ha de justificar els motius de la necessitat de disposar del servei o tecnologia o producte que es proposa, i l’ANC-AD disposa de dos mesos per avaluar-la. En cas de manca de resolució per part de l’ANC-AD dins del termini esmentat, l’autorització s’entén denegada per silenci administratiu negatiu.

c) En els supòsits de processos de contractació de serveis o d’adquisició de tecnologia o productes per part de les entitats crítiques i les entitats equivalents a entitats crítiques, aquestes entitats resten obligades a requerir als proveïdors la presentació d’una auditoria de seguretat externa elaborada amb una data inferior a divuit mesos respecte a la data de la presentació de les seves ofertes, la qual s’ha d’efectuar de conformitat amb els marcs reconeguts internacionalment en matèria de ciberseguretat en cada moment.

d) En cas que una entitat crítica o entitat equivalent a entitat crítica acrediti que no pot disposar d’un proveïdor de serveis o tecnologia o productes que tingui l’auditoria referenciada en el paràgraf anterior, o que el proveïdor ja compta amb un o diversos certificats reconeguts, pot sol·licitar a l’ANC-AD una autorització per contractar el proveïdor que correspongui. Aquesta sol·licitud ha d’estar degudament argumentada i ha de justificar els motius de la contractació que es proposa, i l’ANC-AD disposa de dos mesos per avaluar-la. En cas de manca de resolució per part de l’ANC-AD dins del referit termini, l’autorització s’entén denegada per silenci administratiu negatiu.

e) No obstant això, les entitats crítiques i les entitats equivalents a entitats crítiques resten obligades a requerir a les entitats subcontractades posteriorment la presentació d’una auditoria de seguretat externa elaborada amb una data inferior a divuit mesos respecte a la data en la qual s’iniciï la subcontractació posterior. En aquest supòsit, també existeix la possibilitat que l’entitat crítica o l’entitat equivalent a entitat crítica sol·liciti a l’ANC-AD l’excepció regulada a l’apartat anterior, en els supòsits en els quals s’acrediti la manca de disposició d’un proveïdor que pugui tenir aquesta auditoria.

f) Les entitats crítiques i les entitats equivalents a entitats crítiques han de facilitar a l’ANC-AD, amb una periodicitat anual, un resum de les contractacions i subcontractacions efectuades de conformitat amb el que estableixen els apartats anteriors d’aquest article, fent referència als components certificats contractats en cada cas. Així mateix, en relació amb les auditories externes esmentades en els apartats anteriors d’aquest article, les entitats crítiques i les entitats equivalents a entitats crítiques han d’informar anualment l’ANC-AD de les empreses responsables de les auditories i dels marcs estàndard utilitzats per aquestes.