CEO

Responsabilidades:
• Es el responsable en última instancia de la actividad
• La aprobación de la Política de Seguridad de la Información del organismo
• La aprobación de la Política de Protección de Datos
• El compromiso de la entidad con la seguridad y su adecuada implantación,
gestión y mantenimiento
• Promover la mejora continua del sistema de gestión de la seguridad de la
información.
• Aprobar la Normativa de Seguridad de la información.
• Promover la realización de las auditorías periódicas que permitan verificar el
cumplimiento de las obligaciones del organismo en materia de seguridad.
• Aprobar planes de mejora de la seguridad de la información de la
organización. En particular velará por la coordinación de distintos planes que
puedan realizarse en diferentes áreas

Responsable de la información
Funciones:
• Tiene la responsabilidad última del uso que se haga de una cierta
información y, por tanto, de su protección.
• Es el responsable último de cualquier error o negligencia que conlleve un
incidente de confidencialidad o de integridad, autenticidad, trazabilidad y de
disponibilidad (en materia de seguridad de la información).
• Tiene la potestad de determinar los niveles de seguridad de la información
• Elaborar la estrategia de evolución de la organización en lo que respecta a
seguridad de la información.
• Monitorizar el desempeño de los procesos de gestión de incidentes de
seguridad y recomendar posibles actuaciones respecto de ellos. En
particular, velar por la coordinación de las diferentes áreas de seguridad en
la gestión de tales incidentes.
• Velar porque la seguridad de la información se tenga en cuenta en todos los
proyectos TIC desde su especificación inicial hasta su puesta en operación.
En particular, deberá velar por la creación y utilización de servicios
horizontales que reduzcan duplicidades y apoyen un funcionamiento
homogéneo de todos los sistemas TIC.

Responsable del servicio
Funciones:
• Tiene la potestad de determinar los niveles de seguridad de los servicios.
Responsable de Sistemas y Seguridad
Funciones:
• Mantener la seguridad de la información manejada y de los servicios
prestados por los sistemas de información en su ámbito de responsabilidad,
de acuerdo con lo establecido en la Política de Seguridad de la Información
de la organización.
• Promover la formación y concienciación en materia de seguridad de la
información dentro de su ámbito de responsabilidad.
• Coordinar los esfuerzos de las diferentes áreas en materia de seguridad de
la información, para asegurar que los esfuerzos son consistentes, que están
alineados con la estrategia decidida en la materia, evitando duplicidades.
• Priorizar las actuaciones en materia de seguridad cuando los recursos sean
limitados.
• Informar regularmente del estado de la seguridad de la información a la
Dirección.
• Elaborar (y revisar regularmente) la Política de Seguridad de la Información
para su aprobación por la Dirección.
• Realizar la declaración de aplicabilidad
• Realizar el análisis de riesgos, para que la Dirección tome las decisiones
oportunas sobre los mismos.
• Monitorizar los principales riesgos residuales asumidos por la organización
y recomendar posibles actuaciones.
• Supervisión de las medidas de seguridad
• Proponer planes de mejora a la Dirección
• Debe reportar directamente a la Dirección

Responsable del Sistema de Información
Funciones:
• Responsable de la implantación de las medidas de seguridad
• Desarrollar, operar y mantener el sistema de información durante todo su
ciclo de vida, incluyendo sus especificaciones, instalación y verificación de
su correcto funcionamiento.
• Definir la topología y la gestión del sistema de información, estableciendo los
criterios de uso y los servicios disponibles en el mismo.
• Cerciorarse de que las medidas de seguridad se integren adecuadamente
en el marco general de seguridad.

Responsable de Sistemas de Gestión
Funciones:
• Desarrollar el sistema de gestión, implantarlo y mantenerlo, dirigiendo y
coordinando las actividades necesarias, e integrar aquellos sistemas de
gestión, según decida la Dirección.
• Elaborar y mantener la documentación de los sistemas de gestión.
• Asegurar que los sistemas de gestión implantados cumplan los requisitos
que les sean aplicables.

Responsable de protección de datos
Funciones:
• Informar y asesorar al responsable o al encargado del tratamiento y a los
empleados que se ocupen del tratamiento de las obligaciones que les
incumben en virtud del Reglamento de Protección de datos y de otras
disposiciones de protección de datos de la Unión o de los Estados miembros;
• Supervisar el cumplimiento de lo dispuesto en el Reglamento de Protección
de datos, de otras disposiciones de protección de datos de la Unión o de los
Estados miembros y de las políticas del responsable o del encargado del
tratamiento en materia de protección de datos personales, incluida la
asignación de responsabilidades, la concienciación y formación del personal
que participa en las operaciones de tratamiento, y las auditorías
correspondientes
• Ofrecer el asesoramiento que se le solicite acerca de la evaluación de
impacto relativa a la protección de datos y supervisar su aplicación de
conformidad con el artículo 35 del Reglamento (UE) 2016/679 relativo a la
protección de las personas físicas en lo que respecta al tratamiento de datos
personales y a la libre circulación de estos datos (RGPD).
• Cooperar con la autoridad de control;
• Actuar como punto de contacto de la autoridad de control para cuestiones
relativas al tratamiento, incluida la consulta previa a que se refiere el artículo
36 del Reglamento (UE) 2016/679 (RGPD), y realizar consultas, en su caso,
sobre cualquier otro asunto.

Es función de la Dirección de la entidad designar:
• Al Responsable de la Información, que puede ser un cargo unipersonal o un
órgano colegiado (integrado, habitualmente, en Comité de Seguridad de la
Información).
• Al Responsable del Servicio, que, pudiendo ser el mismo que el
Responsable de la Información, también puede ser un cargo unipersonal o
un órgano colegiado (integrado, habitualmente, en Comité de Seguridad de
la Información).
• Al Responsable de Sistemas y Seguridad, que debe reportar directamente a
la Dirección o a los órganos de gobierno de la entidad y, cuando existan, a
los Comités de Seguridad Corporativa y de Seguridad de la Información.
• Al Responsable del Sistema de información, que, en materia de seguridad,
reportará al Responsable de Sistemas y Seguridad. Esta designación podrá
ser:
o A propuesta del Responsable de la Información tratada, cuando el
Sistema de información trate una única información.
o A propuesta del Responsable del Servicio prestado, cuando el
Sistema de información preste un único servicio.
o Directamente, cuando el sistema de información trate diferentes
informaciones o preste diferentes servicios, oídos los responsables
de las informaciones y los servicios afectados.