BOLETÍN OFICIAL DEL ESTADO
Miércoles 31 de julio de 2024

Sec. III. Pág. 97659

vida, conforme lo dispuesto la Orden DEF/1196/2017, de 27 de noviembre, por la que se
establece la Estrategia de la Información del Ministerio de Defensa.
El desarrollo normativo anteriormente citado está en línea con las exigencias
establecidas en el marco de la Administración General del Estado, conforme a lo
dispuesto en el artículo 156 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del
Sector Público, en lo referente al Esquema Nacional de Interoperabilidad (ENI) y al
Esquema Nacional de Seguridad (ENS). El ENS, de obligado cumplimiento por el
Ministerio de Defensa, establece los principios básicos y requisitos mínimos necesarios
para una protección adecuada de la información tratada y los servicios prestados por las
entidades de su ámbito de aplicación, con objeto de asegurar el acceso, la
confidencialidad, la integridad, la trazabilidad, la autenticidad, la disponibilidad y la
conservación de los datos, la información y los servicios utilizados por medios
electrónicos que gestionen en el ejercicio de sus competencias. Asimismo, exige que
cada administración pública cuente formalmente con una política de seguridad que
disponga del conjunto de directrices que rigen la forma en que esa organización gestiona
y protege la información que trata y los servicios que presta, debiendo ser aprobada
dicha política por la persona titular del Departamento. En este marco, se ha incorporado
la figura del Responsable Funcional (RFUN), que integra la figura del Responsable de la
Información y del Responsable del Servicio en el Ministerio de Defensa.
Por otra parte, el Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las
redes y sistemas de información, que establece un sistema de notificación de incidentes,
se desarrolla mediante el Real Decreto 43/2021, de 26 de enero, cuyo ámbito de
aplicación son los servicios esenciales dependientes de las redes y sistemas de
información comprendidos en los sectores estratégicos definidos en el anexo de la
Ley 8/2011, por la que se establecen medidas para la protección de las infraestructuras
críticas. Sin embargo, el ámbito de aplicación de dicha ley exceptúa explícitamente las
infraestructuras dependientes del Ministerio de Defensa, que se regirán, a efectos de
control administrativo, por su propia normativa y procedimientos. La presente política de
seguridad de la información tiene en cuenta lo anterior y establece el marco necesario
para desarrollar la normativa y procedimientos específicos de seguridad de las redes y
sistemas de información del departamento y para que el ESPDEF-CERT del MCCE sea
el de referencia del Ministerio de Defensa.
La presente política de seguridad de la información que se aprueba por esta orden
ministerial, en línea con las normas anteriormente citadas, establece el marco necesario
para establecer aspectos específicos de seguridad de las redes y sistemas de
información del Ministerio de Defensa, del que emanará toda la normativa interna en
materia de seguridad de la información del departamento, facilitando así la necesaria
coordinación en el desarrollo normativo posterior para alcanzar un conjunto normativo
equilibrado, completo y con criterios unificados, incluyendo las normas de seguridad de
la información que contengan datos de carácter personal del Ministerio de Defensa, de
acuerdo con lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y del
Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que
respecta al tratamiento de datos personales y a la libre circulación de estos datos, y por
el que se deroga la Directiva 95/46/CE; así como la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales. A
tal efecto, se incorpora como una nueva área de seguridad de la información, de forma
que se preserve también este derecho fundamental de las personas físicas.
El Real Decreto 205/2024, de 27 de febrero, por el que se desarrolla la estructura
orgánica básica del Ministerio de Defensa, atribuye en su artículo 3 a la Secretaría de
Estado de Defensa, entre otras funciones, la dirección, impulso y gestión de la política de
seguridad de la información en el ámbito de la Defensa. Asimismo, en su artículo 7
asigna al Centro de Sistemas y Tecnologías de la Información y las Comunicaciones
(CESTIC) la definición y planificación de las políticas y estrategias relativas a los
sistemas y tecnologías de la información y las comunicaciones, la transformación digital y
seguridad de la información, así como su desarrollo y actualización, la coordinación de

cve: BOE-A-2024-15834
Verificable en https://www.boe.es

Núm. 184