Article 10: Pla de seguretat de l’entitat

a) La política general de seguretat de l’entitat, que inclou, com a mínim:i. La descripció de les infraestructures crítiques compartida amb l’ANC-AD per incloure-les al CNIC.ii. Els procediments de gestió i manteniment de la seguretat.iii. Els procediments establerts per a la comunicació i l’intercanvi d’informació relativa a la protecció d’infraestructures crítiques.iv. La metodologia d’anàlisi de risc (amenaces físiques i de ciberseguretat).v. L’estructura de govern de la seguretat de l’entitat juntament amb la descripció de les funcions i les responsabilitats de cada rol de l’organigrama corresponent,.vi. Les dades de contacte del seu DSI, o de l’equivalent en el cas d’entitats equivalents a entitats crítiques, i dels DSI de les entitats que presten els serveis essencials que depenen d’aquestes darreres, així com de les persones que els substituiran quan no estiguin disponibles.

b) La relació de serveis essencials que depenen de cadascuna de les infraestructures crítiques que posseeix o gestiona l’entitat.

c) La relació de dependències de cada infraestructura crítica amb altres infraestructures crítiques posseïdes o gestionades per la mateixa entitat o una altra entitat.

d) El resultat de l’anàlisi de risc de cadascuna de les infraestructures crítiques posseïdes o gestionades per l’entitat.

e) L’inventari dels serveis subcontractats que puguin impactar de qualsevol manera en les infraestructures crítiques. Per a cadascun d’aquests serveis, juntament amb la descripció del possible impacte i la descripció del servei subcontractat, s’ha d’identificar l’entitat subcontractada, els certificats que té en matèria de seguretat i la seu des de la qual presta el servei subcontractat, així com els nivells de servei acordats. D’igual forma, s’ha de descriure la metodologia mitjançant la qual es duu a terme la comprovació del compliment per part de l’entitat crítica o equivalent a entitat crítica dels protocols de seguretat implementats en el seu cas.

f) La relació de mesures tècniques i organitzatives (inclosos els procediments d’alertes i de gestió de cris.

i) que es consideren adequades i proporcionades per garantir la seguretat i resiliència de cada infraestructura crítica, documentades amb un nivell de detall suficient per aconseguir els objectius de l’entitat, tenint en compte els riscos detectats. S’ha d’indicar quines d’aquestes mesures són permanents, i quines són graduals i només s’activaran a partir d’un determinat nivell de risc i d’amenaça.

g) La relació de mesures tècniques i organitzatives que ja estan implementades o preparades per activar-se en cada infraestructura crítica, fent referència, si escau, a les esmentades en el punt anterior.

a) Crear sense dilació indeguda el PSE de l’entitat.

b) Custodiar els documents que formen el seu PSE i controlar-hi l’accés d’acord amb els nivells de seguretat associats als seus continguts, fins i tot mentre es creen o modifiquen.

c) Executar el PSE.

d) Monitorar i controlar l’execució del PSE.

e) Adequar el PSE com correspongui a la seva realitat i a les directrius que rebi de la seva autoritat competent o de l’ANC-AD.

f) Posar el PSE a disposició de l’autoritat competent corresponent.

g) Comunicar cada nova versió del PSE a l’ANC-AD sense demora indeguda i, en qualsevol cas, en el termini màxim d’una setmana a comptar de l’endemà de l’aprovació del PSE, i amb independència de les circumstàncies que hagin donat lloc a la nova versió i de si els documents han estat o no objecte de modificacions.

h) Comunicar a l’ANC-AD, sense dilació indeguda, l’adopció de qualsevol mesura de seguretat que no s’hagi inclòs en el PSE per tenir naturalesa temporal.