Resolución de 31 de agosto de 2023, del Fondo Español de Garantía Agraria, O.A., sobre delegación de competencias.
Ministerio de Agricultura, Pesca y Alimentación · 8 de septiembre de 2023
Texto
De acuerdo con lo previsto en el artículo 9 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, procede la publicación en el «Boletín Oficial del Estado» del acuerdo de delegación de funciones suscrito entre la Presidenta del Fondo Español de Garantía Agraria, O.A., y la Directora General de Desarrollo Rural, Innovación y Formación Agroalimentaria, para la autorización de solicitudes de la intervención supraautonómica 68431 del Plan Estratégico de la PAC 2023-2027, que figura como anexo a esta resolución.
Madrid, 31 de agosto de 2023.–La Presidenta del Fondo Español de Garantía Agraria, María José Hernández Mendoza.
ANEXO
Acuerdo de delegación de funciones del Fondo Español de Garantía Agraria, O.A., a la Dirección General de Desarrollo Rural, Innovación y Formación Agroalimentaria, para la autorización de solicitudes de la intervención supraautonómica 68431 del Plan Estratégico de la PAC 2023-2027
En Madrid, a 21 de julio de 2023.
REUNIDOS
De una parte, doña Isabel Bombal Díaz, Directora General de Desarrollo Rural, Innovación y Formación Agroalimentaria del Ministerio de Agricultura, Pesca y Alimentación (en adelante, MAPA), en virtud del Real Decreto 929/2018, de 20 de julio, por el que se dispone su nombramiento.
De otra parte, doña María José Hernández Mendoza, Presidenta del Fondo Español de Garantía Agraria O.A. (en adelante, FEGA), en virtud del Real Decreto 725/2022, de 30 de agosto, por el que se realizó su nombramiento, que actúa con las facultades que le otorga el Real Decreto 1441/2001, de 21 de diciembre, por el que se aprobó el Estatuto del FEGA.
Se reconocen recíprocamente la competencia para otorgar el presente acuerdo de delegación y, a tal efecto,
EXPONEN
Primero.
El Plan Estratégico de la PAC (en adelante, PEPAC) fue aprobado mediante Decisión de ejecución de la Comisión, de 31 de agosto de 2022.
El Real Decreto 430/2020, de 3 de marzo, por el que se desarrolla la estructura orgánica básica del Ministerio de Agricultura, Pesca y Alimentación, y por el que se modifica el Real Decreto 139/2020, de 28 de enero, por el que se establece la estructura orgánica básica de los departamentos ministeriales, designa, en su artículo 5, a la Dirección General de Desarrollo Rural, Innovación y Formación Agroalimentaria (en adelante, DGDRIFA) como responsable del «ejercicio de las competencias de la Administración General del Estado en materia de regadíos e infraestructuras rurales de interés general y, en particular, la planificación, coordinación, ejecución, modernización y seguimiento de los planes de regadíos y de sus instrumentos».
A su vez, el FEGA es designado como organismo pagador por la Orden APA/3147/2006, de 6 de octubre.
Segundo.
El Reglamento (UE) 2021/2116 del Parlamento Europeo y del Consejo, de 2 de diciembre de 2021, sobre la financiación, la gestión y el seguimiento de la política agrícola común y por el que se deroga el Reglamento (UE) n.º 1306/2013, establece en su artículo 9 las tareas que deben llevar a cabo los organismos pagadores y concretamente, en su apartado 1, indica que «A excepción de la realización de los pagos, los organismos pagadores podrán delegar la realización de las tareas a que se refiere el párrafo primero».
En caso de que el organismo pagador delegue alguna de las tareas, deberá cumplir las condiciones siguientes, de acuerdo con el apartado 1.D) del anexo I, Criterios de Autorización del Reglamento Delegado (UE) 127/2022 de la Comisión, que completa el Reglamento (UE) 2021/2016 con normas relativas a los organismos pagadores y otros órganos, la gestión financiera, la liquidación de cuentas, las garantías y el uso del euro:
– Celebrar un acuerdo escrito entre el organismo pagador y ese órgano en el que, además de las tareas que se delegan, se especifique qué tipo de información y de justificantes deben presentarse al organismo pagador, así como el plazo para su presentación. El acuerdo deberá permitir al organismo pagador cumplir los criterios de autorización.
– Seguir siendo responsable en todos los casos de la gestión eficaz de los Fondos de que se trate. Este seguirá siendo plenamente responsable de la legalidad y regularidad de las operaciones subyacentes, en particular de la protección de los intereses financieros de la Unión, así como de declarar el gasto correspondiente a la Comisión y de preparar la contabilidad en consonancia con ello.
– Definir claramente las atribuciones y obligaciones del otro órgano, especialmente las relativas al control y a la verificación de la conformidad con la legislación de la Unión.
– Cerciorarse de que el otro órgano cuenta con sistemas eficaces para garantizar el cumplimiento de sus tareas de forma satisfactoria.
– Garantizar que el otro órgano confirma explícitamente que cumple realmente sus tareas y describe los medios utilizados a tal fin.
– Examinar periódicamente las tareas delegadas para confirmar que el trabajo se realiza satisfactoriamente y de conformidad con la normativa de la Unión.
Tercero.
El artículo 6.2 del Real Decreto 1047/2022, de 27 de diciembre, por el que se regula el sistema de gestión y control de las intervenciones del Plan Estratégico y otras ayudas de la Política Agrícola Común, dispone que, en caso de que el organismo pagador no realice los controles previstos en dicha disposición, el Estado miembro se asegurará de que éste reciba suficiente información sobre los controles practicados y sus resultados, indicando que corresponde al organismo pagador determinar sus necesidades en materia de información.
Por todo lo anteriormente expuesto, ambas partes suscriben el presente Acuerdo de Delegación conforme con las siguientes
CLÁUSULAS
Primera. Objeto.
El objeto del presente acuerdo es establecer las condiciones para la delegación en la DGDRIFA de las tareas relativas a los procedimientos aplicables a la autorización de solicitudes de pago FEADER correspondientes al FEGA.
Segunda. Obligaciones de la DGDRIFA.
1. La DGDRIFA dará cumplimiento por delegación a lo establecido en el apartado 2.A) del anexo I, Criterios de Autorización del Reglamento Delegado (UE) 127/2022 de la Comisión y, en concreto:
– Sobre los controles:
• Elaborará los documentos necesarios, concretamente los manuales de procedimiento donde se detalle el control de la Intervención 68431.
• Elaborará y remitirá al FEGA el plan de controles sobre el terreno y a posteriori de la Intervención 68431 que se elaborará a los efectos de ejecutar los controles sobre la misma (1).
(1) El FEGA ejecutará los controles de calidad sobre los anteriores.
Realizará dichas actuaciones de conformidad con el Reglamento (UE) 2021/2116 del Parlamento Europeo y del Consejo, de 2 de diciembre de 2021, sobre la financiación, la gestión y el seguimiento de la política agrícola común y por el que se deroga el Reglamento (UE) 1306/2013 y el Real Decreto 1047/2022, de 27 de diciembre, por el que se regula el sistema de gestión y control de las intervenciones del Plan Estratégico y otras ayudas de la Política Agrícola Común y facilitará al FEGA la información suficiente sobre los controles efectuados (administrativos, terreno y a posteriori), conservando una pista de auditoría suficiente, correspondiendo al FEGA determinar sus necesidades en materia de información. Tendrá en cuenta lo recogido en las Circulares de Coordinación del FEGA en el ámbito de la coordinación de controles en materia de desarrollo rural.
– Sobre la presentación de la autorización de las solicitudes:
La DGDRIFA, mediante la aplicación GENWEB, remitirá al FEGA una propuesta con la información detallada de los gastos realizados por la ejecución de las operaciones y de los que se autoriza el pago del importe de la contribución del FEADER.
Esta información incluye los requerimientos de ayuda exigidos por la normativa comunitaria y permite, junto con los requerimientos del pago aportados por el FEGA OP, que las declaraciones trimestrales y anuales sean íntegras, exactas y oportunas.
La DGDRIFA enviará al FEGA el documento generado por la aplicación GENWEB «Autorización de solicitud de pago» a la que se acompañará un «Informe Resumen del resultado de los controles Administrativos y Sobre el Terreno», y el Certificado de Admisibilidad, firmados por la DGDRIFA, una vez comprobada la ejecución del gasto público total, la naturaleza, alcance y límite del trabajo realizado y la garantía del respeto a los criterios de la concesión de la ayuda y el cumplimiento a las normas comunitarias (2).
(2) Las actuaciones de interlocución e intercambio de información de la DGDRIFA y FEGA y los pazos en relación con la ejecución de pagos, gestión de deudas y presentación de la cuenta FEADER a la Comisión se definirán en un documento de trabajo específico por no ser el objeto de la delegación, sino consecuencia de esta.
2. Actividades de seguimiento y control continuo.
2.1 Actividades de seguimiento y control de carácter interno.
2.1.1 Respecto de las evaluaciones individuales mediante el servicio de auditoría interna que lleva a cabo el FEGA conforme a lo dispuesto en su Instrucción General 4/2021(3) y sus posteriores modificaciones, la DGDRIFA facilitará, toda la información necesaria de modo que pueda verificarse que los procedimientos adoptados, en relación con los controles, sean apropiados para asegurar la comprobación de la conformidad con la normativa, así como la exactitud, integridad y oportunidad de la contabilidad.
(3) IG 4/2021: Normas de actuación de Auditoría Interna y colaboración con los Servicios de Auditoría Interna de los Organismos Pagadores.
2.1.2 Respecto de la evaluación del funcionamiento del sistema de gestión y control que lleva a cabo el FEGA, conforme a lo dispuesto en su Instrucción General 5/2022 (4), y sus posteriores modificaciones y, de cara a la elaboración de la Declaración de Gestión, la DGDRIFA facilitará toda la información necesaria en relación con los controles, de conformidad con el Reglamento (UE) 2021/2116 y de acuerdo con esa Instrucción.
(4) IG 5/2022: Evaluación del Funcionamiento de los Sistemas de Gestión y Control del FEGA O.A. Organismo Pagador y Colaboración con los Órganos de control externos.
2.1.3 Respecto del seguimiento continuo de las operaciones diarias y las actividades de control del organismo pagador a fin de garantizar una pista de auditoría suficientemente detallada, que lleva a cabo el FEGA conforme a lo dispuesto en su Instrucción General 2/2023 (5) y sus posteriores modificaciones, la DGDRIFA asistirá a las reuniones de la Comisión de Seguimiento de los Sistemas de Gestión y Control Interno del FEGA cuando se convoquen, y facilitará toda la información necesaria de acuerdo con esa Instrucción.
(5) IG 2/2023 Comisión de Seguimiento de los Sistemas de Gestión y Control Interno del FEGA, O.A.
2.1.4 Respecto a la política antifraude y de conflictos de intereses que está implementando el FEGA, conforme a la Instrucción General 3/2023 Estrategia para la prevención, detección y lucha contra el fraude y el conflicto de intereses y sus posteriores modificaciones, la DGDRIFA dará cumplimiento a lo dispuesto en la misma respecto a las tareas delegadas y en lo que se haya establecido específicamente para la intervención objeto de este acuerdo.
2.2 Actividades de seguimiento y control de carácter externo. Tal y como establece el artículo 49 del Reglamento (UE) 2021/2116, sin perjuicio de los controles efectuados por los Estados miembros de conformidad con las disposiciones legales, reglamentarias y administrativas nacionales o con el artículo 287 del TFUE o de cualquier control basado en el artículo 322 del TFUE o en el Reglamento (Euratom, CE) n.º 2185/96 o en el artículo 127 del Reglamento Financiero, la Comisión podrá organizar controles en los Estados miembros para comprobar, en concreto, si un organismo pagador cumple las condiciones mínimas de autorización establecidas en el artículo 9, apartado 2.
Por tanto, en lo que respecta a las actuaciones delegadas, la DGRIFA atenderá a los requerimientos de la Comisión en el marco de estos controles.
3. Seguridad de los Sistemas de Información. El FEGA, en cumplimiento del apartado 3.B) del anexo I, Criterios de Autorización del Reglamento Delegado (UE) 127/2022 de la Comisión, tiene que basar la seguridad de la información en uno de los marcos internacionalmente reconocidos entre los indicados en dicho Reglamento. El FEGA tomó la decisión de basar la seguridad en el estándar internacional ISO/IEC 27002, además de certificar su Sistema de Gestión de la Seguridad en el estándar ISO/IEC 27001.
Es por ello, que el FEGA, mediante el anexo 2 del presente acuerdo, incluye las cláusulas específicas de seguridad de la información de cuyo cumplimiento, en relación con las tareas que se encuentran en el alcance de este acuerdo de delegación, es responsable la Subdirección General de Tecnologías de la Información y de las Comunicaciones de la Subsecretaria del Ministerio de Agricultura, Pesca y Alimentación, como unidad competente de estas cuestiones en dicho Ministerio.
Los controles de seguridad que se han añadido a dichas cláusulas procuran cubrir las actividades objeto de este acuerdo, en función del estudio que se ha realizado de los flujos y tratamientos de información existentes en el mismo.
Dichas cláusulas están basadas en los controles de seguridad establecidos en la mencionada norma ISO/IEC 27002 vigente en cada momento, por ello, los controles de dicho estándar reflejados en el anexo 3 serán sustituidos por los equivalentes de la versión actualizada de dicha norma, siguiendo para ello los criterios que se establezca en dicha actualización.
4. Conservación de la documentación. La DGDRIFA, en función de sus respectivas competencias, conservará y custodiará toda la documentación de los gastos realizados y de los controles efectuados, en papel o formato electrónico, debidamente registrada y localizada, por un plazo mínimo que abarque hasta la liquidación del programa en el que estén incluidas estas medidas.
Tercera. Obligaciones del FEGA.
El FEGA seguirá siendo responsable en todos los casos de la gestión eficaz de los Fondos de que se trate. Este seguirá siendo plenamente responsable de la legalidad y regularidad de las operaciones subyacentes, en particular de la protección de los intereses financieros de la Unión, así como de declarar el gasto correspondiente a la Comisión y de preparar la contabilidad en consonancia con ello.
El FEGA de acuerdo con lo dispuesto 4.B) del anexo I, Criterios de Autorización del Reglamento Delegado (UE) 127/2022, en el marco de sus Planes Quinquenales y Anuales de Auditoría, verificará que los procedimientos adoptados por la DGDRIFA, relativos a la intervención incluida en el anexo 1, sean apropiados para asegurar la comprobación de la conformidad con la normativa, así como la exactitud, integridad y oportunidad de la contabilidad.
El FEGA, en el ámbito de sus actuaciones, supervisará que la DGDRIFA implementa las medidas correctoras a las constataciones y errores financieros que, en su caso, recoja el Organismo de Certificación u otros órganos de control en sus informes de auditoría, en relación con la función delegada.
El correcto cumplimiento del anexo 2, que incluye los requisitos de seguridad de la información, será también uno de los aspectos que el FEGA tendrá como competencia supervisar.
Cuarta. Comisión de Seguimiento.
Con la finalidad de interpretar los contenidos del presente acuerdo de delegación y de realizar el seguimiento de su ejecución, en el seno de la Comisión de Seguimiento de los Sistemas de Gestión y Control Interno del FEGA se concretará cualquier aspecto relacionado con la puesta en práctica del presente acuerdo que precise de desarrollo.
Quinta. Entrada en vigor y vigencia.
El presente acuerdo entrará en vigor a partir de la fecha de su firma y estará vigente durante la vigencia del PEPAC.
La Presidenta del Fondo Español de Garantía Agraria, María José Hernández Mendoza.–La Directora General de Desarrollo Rural, Innovación y Formación Agroalimentaria, Isabel Bombal Díaz.
ANEXO I
Intervención del PEPAC ejecutada por la Sociedad Mercantil Estatal de Infraestructuras Agrarias, SEIASA, bajo la gestión de la DGDRIFA
Código Intervención | Artículo R (UE) 2021/2115 | Descripción 68431 | Artículo 74 | Inversiones en infraestructuras de regadío con objetivos ambientales.
ANEXO II
Cláusulas específicas de seguridad de la información a cumplir por el órgano delegado
A continuación se reflejan, estructurados en cláusulas, aquellos controles de seguridad que el organismo delegado deberá cumplir. Las cláusulas han tratado de agrupar los controles vinculados a un mismo dominio, entre los existentes en la norma de buenas prácticas ISO/IEC 27002, si bien en ocasiones habrá cláusulas que incluyen controles de distintos dominios, en aras de agrupar aspectos relacionados.
Para cada uno de los requisitos de seguridad incorporados a las cláusulas, se indica entre paréntesis los controles de la norma ISO/IEC 27002 desde donde se han extraído los mencionados requisitos.
Para facilitar la trasposición de dichos requisitos de seguridad a un marco de obligado cumplimiento por todas las Administraciones públicas, el Esquema Nacional de Seguridad (ENS), aprobado en el Real Decreto 311/2022, se siguieron los criterios de la guía CCN-STIC 825, la cual mapea los controles de seguridad del estándar ISO 27002 a medidas de seguridad del ENS, excluyendo las medidas de seguridad para sistemas que han sido categorizados de nivel Alto, al quedar fuera del alcance de este convenio.
Primera. Políticas de seguridad de la información.
Se deberá concienciar al personal de la DGDRIFA en materia de seguridad de la información con actualizaciones periódicas, y en particular sobre aquellos aspectos de la Política de Seguridad ministerial y su marco normativo de desarrollo que sea de aplicación, en base a la naturaleza de los servicios prestados (5.1.1) (7.2.2).
Segunda. Cumplimiento, confidencialidad y protección de datos de carácter personal.
La DGDRIFA guardará la confidencialidad adecuada, basada en criterios de criticidad y condición del carácter personal de los datos a los que puede tener acceso como consecuencia de la celebración de este convenio, y estará obligada a usar dicha información a los exclusivos fines del mismo. El deber de confidencialidad sobre la información será extensible a todo personal del tercero o colaborador con éste que participe en la prestación del servicio. La información no podrá ser por tanto ser transmitida, enviada o compartida con otras entidades, a no ser que sea necesario para la ejecución de las tareas previstas en este convenio o cuando haya sido expresamente autorizado por el FEGA (7.1.2).
La DGDRIFA garantizará la protección y privacidad de los datos, especialmente aquellos de carácter personal, que serán tratados acorde al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo General de Protección de Datos relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales, así como la legislación nacional aplicable al respecto. En este sentido, se seguirán las recomendaciones del Delegado de Protección de Datos del Ministerio, y se recibirá la formación necesaria para el cumplimiento normativo (18.1.4).
El intercambio de información entre la DGDRIFA y el FEGA y aquellos intercambios entre la DGDRIFA y terceros se llevarán a cabo teniendo en cuenta las políticas y controles formales que protejan el intercambio de información mediante el uso de todo tipo de recursos de comunicación (13.2.1).
El intercambio de información se llevará a cabo el intercambio a través de aplicaciones corporativas ministeriales o del FEGA existentes diseñadas para tal efecto (SipGnw-GenWeb y aplicaciones de los grupos de trabajo, o similares), la aplicación Almacén proporcionada por el Ministerio de Política Territorial y Función Pública, u otras similares que sean aceptadas por la Política de Intercambio de información del organismo (13.2.2).
Tercera. Gestión de activos.
El personal de la DGDRIFA será conocedor de las reglas de uso aceptable de la información y de los activos asociados con los recursos para el tratamiento de la información (8.1.3).
La DGDRIFA utilizará un conjunto adecuado de procedimientos para la manipulación y transmisión de la información, de acuerdo con el esquema de clasificación adoptado por la organización (8.2.1) (8.2.3). En este sentido se entenderá que la categoría de la información tratada por la DGDRIFA dentro del alcance de este convenio será de nivel Medio (Ver Guía de Seguridad de las TIC CCN-STIC 803).
En el caso que la información deba remitirse en soportes de información, se utilizarán procedimientos para la gestión de soportes extraíbles que garanticen la protección de la información contra accesos no autorizados o usos indebidos (8.3.1) (8.3.3).
Cuarta. Control de accesos.
La gestión de acceso a usuarios se ajustará a la política de control de accesos y tendrá como objetivo limitar el acceso a los recursos de tratamiento de información y a la información exclusivamente al personal que tenga que hacer uso de dichos recursos o información (9.1.1).
En este sentido solamente se proporcionará acceso a los usuarios que hayan sido explícitamente autorizados (9.1.2)
Se seguirá un procedimiento formal de registro y baja de usuarios que haga posible la provisión de los derechos de acceso, de manera que puedan asignarse o revocarse los derechos de acceso, en función de las necesidades y variaciones de los puestos de trabajo de los usuarios (9.2.1) (9.2.2) (9.2.6).
Tendrá que llevarse a cabo una revisión de los derechos de acceso de usuario a los sistemas y servicios utilizados por la DGDRIFA. Dicha revisión se llevará a cabo por los propietarios de dichos activos y a intervalos regulares (9.2.5).
Se requerirá a los usuarios de la DGDRIFA que sigan las prácticas de la organización en el uso de la password de acceso para que éstos sean responsables de salvaguardar sus credenciales de manera confidencial. En cuanto a la gestión de la información secreta de autenticación de usuarios, se controlará a través de un proceso formal de gestión estableciendo contraseñas robustas y seguras (9.2.4) (9.3.1) (9.4.3).
Quinta. Seguridad física y de entorno.
En aquellas instalaciones donde se almacene o procese información del ámbito de este convenio, se implantarán las medidas de seguridad física, ambiental y de control de acceso adecuadas (11.1.1) (11.1.2) (11.2.1).
Los equipos que están en dichas instalaciones estarán protegidos contra fallos de alimentación y otras alteraciones causadas por fallos en las instalaciones de suministro. Los equipos deben recibir un mantenimiento correcto que asegure su disponibilidad y su integridad continuas (11.2.2) (11.2.4)
Todos los usuarios deberían ser conscientes de los requisitos y los procedimientos de seguridad para proteger el equipo desatendido, así como de sus responsabilidades para la implantación de dicha protección (11.2.8).
En la medida de lo posible, se adoptará una política de puesto de trabajo despejado de papeles y medios de almacenamiento desmontables y una política de pantalla limpia para los recursos de tratamiento de la información (11.2.9).
Sexta. Seguridad en las operaciones.
Los cambios en los sistemas de información que afectan a la seguridad de la información deberán ser controlados. Deberán separarse los recursos de desarrollo, pruebas y operación para reducir los riesgos no autorizados o los cambios del sistema en producción (12.1.1) (12.1.4).
Se implantarán controles de detección, prevención y recuperación que sirvan como protección contra el código malicioso, así como procedimientos adecuados de concienciación al usuario. (12.2.1).
Se deben realizar copias de seguridad de la información, del software y del sistema utilizado por los usuarios de la DGDRIFA para asegurar que toda la información y software esenciales pueden ser recuperados después de una contingencia o fallo de los sistemas de información (12.3.1).
Se implementarán procedimientos para controlar la instalación del software en explotación, de manera que solamente el personal autorizado pueda instalar y actualizar el software operacional utilizado por los usuarios. Se fomentará el principio de menor privilegio (12.5.1) (12.6.2).
Debe obtenerse la información oportuna acerca de las vulnerabilidades técnicas de los sistemas de información utilizados, evaluar la exposición y adoptar las medidas adecuadas para afrontar el resigo asociado. Se prestará especial atención a las actualizaciones y parches de seguridad proporcionados por los distintos proveedores ante vulnerabilidades conocidas que tienen un alto impacto potencial (12.6.1).
Las redes de comunicaciones serán gestionadas y controladas para proteger la información y aplicaciones utilizadas por los usuarios de la DGDRIFA. (13.1.1).
Séptima. Desarrollo y mantenimiento de los sistemas de información.
Se garantizará que la seguridad de la información sea parte integral de dichos sistemas. Para ello se incluirán requisitos de seguridad para nuevos sistemas de información o mejora de los mismos, de manera que se garantice el diseño e implantación de la seguridad a lo largo de todo el ciclo de vida siguiendo una política de desarrollo seguro (14.1.1) (14.2.1).
Se prestará especial atención a los datos de prueba utilizados por dichos sistemas de información, de manera que sean protegidos y controlados. Se debería evitar el uso de datos reales de operación que contengan datos personales o cualquier otra información confidencial para las pruebas. Para ello se podrían seguir técnicas de anonimización de los datos u otras que sean recomendadas por la Delegada de Protección de Datos del Ministerio (14.3.1).
Octava. Relación con proveedores.
El Ministerio dispone de una Política de Seguridad de la Información, así como de un marco normativo para su desarrollo, los cuales establecen los controles de seguridad que se deben aplicar con objetivo de garantizar la confidencialidad, disponibilidad, integridad, autenticidad y trazabilidad de la información. En caso de externalización de servicios a terceras partes, es obligación de dichas partes el conocimiento, cumplimiento de aquellas medidas de seguridad establecidas en el marco normativo que, en base a la naturaleza de los servicios prestados, sea de aplicación.
El tercero al que se haya externalizado un servicio, deberá concienciar y formar a su personal en materia de seguridad de la información, y en particular aquellos aspectos de la Política de Seguridad y su marco normativo que sea de aplicación en base a la naturaleza de los servicios prestados. Los trabajadores del tercero por su parte deben tener siempre presentes durante el empeño de sus funciones los principios de la ética, la profesionalidad, la confidencialidad, y la comunicación de incidentes de seguridad en caso de conocerse (15.1.1) (15.1.2).
Novena. Gestión de incidentes de seguridad de la información y continuidad del servicio.
Se deberá garantizar que en el Ministerio se han establecido las responsabilidades y procedimientos de gestión para garantizar una respuesta rápida, efectiva y adecuada a los incidentes de seguridad de la información (16.1.1).
Los trabajadores de la DGDRIFA conocerán los procedimientos para la gestión de incidentes de seguridad, conociendo los canales de gestión adecuados y reportando cualquier punto débil que observen o que sospechen que exista en los sistemas o información manejada por dichos sistemas (16.1.2) (16.1.3).
El Ministerio gestionará los incidentes de seguridad reportados acuerdo con los procedimientos existentes y en el caso de posibles brechas de seguridad de datos de carácter personal se notificará al FEGA y al Delegado de Protección de Datos del organismo (16.1.5).
El Ministerio deberá definir e implementar medidas y estrategias que garanticen la continuidad de los servicios prestados al FEGA en caso de contingencia (17.1.1).
Así mismo, si la naturaleza del servicio prestado lo requiere, el tercero deberá establecer planes de recuperación de los sistemas que sirvan para la prestación de los servicios al FEGA, en caso de que éstos sean comprometidos por pérdida, alteración o interrupción (17.1.1).
Los recursos de tratamiento de la información deben ser implementados con la redundancia suficiente para satisfacer los requisitos de disponibilidad (17.2.1).
Los posibles escenarios de activación del plan de contingencia tendrán que ser comunicados al FEGA.