BOLETÍN OFICIAL DEL ESTADO
Viernes 22 de octubre de 2021

Sec. III. Pág. 128776

ámbito organizativo de aplicación específico (órganos superiores y directivos, y
organismos públicos dependientes a los que sea de aplicación la presente PSI),
conforme al artículo 1. La normativa, que comprende los procedimientos, las normas y
las instrucciones técnicas de seguridad, es de obligado cumplimiento y se formalizará
mediante instrucciones o resoluciones de los titulares de los órganos correspondientes,
previa aprobación del presidente del grupo técnico de seguridad de la información,
mientras que las recomendaciones consistirán en buenas prácticas y consejos no
vinculantes para mejorar las condiciones de seguridad.
Estas normas de seguridad deberán cumplir los siguientes requisitos:
1.º Limitarse única y exclusivamente al ámbito específico de las competencias de
cada uno de dichos órganos u organismos adscritos a la presente PSI. Este ámbito
vendrá determinado por los sistemas de información y servicios de tecnologías de la
información y de las comunicaciones que sean prestados y gestionados directamente por
dicho órgano u organismo.
2.º Cumplir estrictamente con lo indicado en el Esquema Nacional de Seguridad y
con el primer nivel normativo enunciado en el presente artículo.
c) Tercer nivel normativo: Procedimientos técnicos. Está constituido por el conjunto
de procedimientos técnicos orientados a resolver las tareas, consideradas críticas por el
perjuicio que causaría una actuación inadecuada, de seguridad, desarrollo,
mantenimiento y explotación de los sistemas de información. Son recomendaciones o
informaciones relativas a temas concretos de seguridad basadas en Instrucciones
previas, que establecen las configuraciones mínimas de seguridad de los diferentes
elementos de un sistema de información, recomendaciones de uso o de otro tipo. La
responsabilidad de aprobación de estos procedimientos técnicos dependerá de su
ámbito de aplicación, que podrá ser en un ámbito específico o en un sistema de
información determinado. Se consideran incluidas en este nivel normativo las
guías CCN-STIC elaboradas por el Centro Criptológico Nacional.
Este tercer nivel normativo deberá cumplir los siguientes requisitos:
1.º Limitarse única y exclusivamente al ámbito específico de las competencias de
cada uno de dichos órganos u organismos adscritos a la presente PSI. Este ámbito
vendrá determinado por los sistemas de información y servicios de tecnologías de la
información y de las comunicaciones que sean prestados y gestionados directamente por
dicho órgano u organismo.
2.º Cumplir estrictamente con lo indicado en el Esquema Nacional de Seguridad y
con el primer y segundo nivel normativos enunciados en el presente artículo.
2. Además de la normativa enunciada en el presente artículo, la estructura
normativa podrá disponer, a criterio de cada uno de los órganos u organismos adscritos
a la presente PSI, y siempre dentro del ámbito de sus competencias y responsabilidades,
de otros documentos tales como: informes técnicos, registros, evidencias, buenas
prácticas, etc.
3. El personal de cada uno de los órganos u organismos adscritos a la presente PSI
tendrá la obligación de conocer y cumplir, además de la presente PSI, todas las
directrices generales, normas y procedimientos de seguridad de la información que
puedan afectar a sus funciones.
4. La CMAD establecerá los mecanismos necesarios para compartir la
documentación derivada del desarrollo normativo con el propósito de normalizarlo, en la
medida de lo posible, en todo el ámbito de aplicación de la PSI.
5. Este marco normativo estará a disposición de todos los miembros del Ministerio
de Derechos Sociales y Agenda 2030.

cve: BOE-A-2021-17235
Verificable en https://www.boe.es

Núm. 253