BOLETÍN OFICIAL DEL ESTADO
Núm. 190

Miércoles 7 de agosto de 2024

Sec. III. Pág. 101840

medios habituales, así como para mantener la continuidad de sus procesos de negocio,
de acuerdo con las necesidades de nivel de servicio de sus usuarios.
n) Clasificación de la información y gestión de activos de información: todos los
activos de información se encontrarán inventariados, tendrán asignado un responsable y,
en caso de ser necesario, un custodio. La información deberá ser clasificada y tratada en
función de los niveles establecidos de acuerdo con su criticidad para la organización.
ñ) Seguridad en la gestión de comunicaciones y operaciones: se establecerán los
procedimientos necesarios para lograr una adecuada gestión de la seguridad, operación
y actualización de las Tecnologías de la Información y Comunicaciones. La información
que se transmita a través de redes de comunicaciones deberá ser adecuadamente
protegida, teniendo en cuenta su nivel de sensibilidad y de criticidad, mediante
mecanismos que garanticen su seguridad.
o) Gestión de proveedores: en caso de externalización de servicios, a los
proveedores y personal externo o colaboradores, se les incluirá en el ámbito de esta PSI y
de la normativa de Seguridad de la Información que la desarrolla. Cualquier cesión de
datos deberá estar sujeta a los requisitos de seguridad establecidos tanto por la legislación
vigente como por la normativa interna. Se deberán suscribir los acuerdos o contratos o
compromisos que garanticen el cumplimiento de dichos requisitos. Además, la
organización prestataria de dichos servicios deberá designar un POC (Punto o Persona de
Contacto) para la seguridad de la información tratada y el servicio prestado, que canalice y
supervise, tanto el cumplimiento de los requisitos de seguridad del servicio que presta o
solución que provea, como las comunicaciones relativas a la seguridad de la información y
la gestión de los incidentes para el ámbito de dicho servicio.
p) Protección de datos personales: se adoptarán las medidas técnicas y
organizativas destinadas a garantizar una adecuada protección de los datos. Tal y como
se establece en la legislación vigente en materia de protección de datos personales,
dichas medidas deberán ser apropiadas en función del análisis de riesgos mencionado
en el apartado 1 d), así como de una evaluación de impacto relativa a la protección de
datos cuando sea probable que un tratamiento, por su naturaleza, alcance, contexto o
fines, entrañe un alto riesgo para los derechos y libertades de las personas físicas.
q) Cumplimiento: se adoptarán las medidas técnicas, organizativas y
procedimentales necesarias para garantizar el cumplimiento de la legislación vigente en
materia de seguridad de la información, protección de datos personales, así como de la
legislación especial que afecte al ámbito de actuación de la organización.
3. Aplicabilidad de los principios y requisitos mínimos marcados en el Esquema
Nacional de Seguridad.
Sin perjuicio de lo establecido en los apartados 1 y 2, la presente PSI se establecerá
asimismo en base a los principios básicos y se desarrollará aplicando los requisitos
mínimos contemplados en el Real Decreto 311/2022, de 3 de mayo.
Artículo 5. Estructura organizativa.

1.
2.
3.
4.
5.
6.
7.
8.

Comisión Ministerial de Administración Digital.
Responsable de Seguridad.
Responsable de la Información.
Responsable del Servicio.
Responsable del Sistema.
Delegado de Protección de Datos.
Grupo de trabajo de delegados de Protección de Datos.
Comité de Crisis.

cve: BOE-A-2024-16386
Verificable en https://www.boe.es

La estructura organizativa para la gestión de la seguridad de la información en el
ámbito descrito por la PSI del Ministerio de Cultura está compuesta por los siguientes
agentes: