BOLETÍN OFICIAL DEL ESTADO
Núm. 253

Viernes 22 de octubre de 2021

Sec. III. Pág. 128778

Europeo y del Consejo, de 27 de abril de 2016, y en la Ley Orgánica 3/2018, de 5 de
diciembre.
Además, se aplicarán las medidas correspondientes al anexo II del Real
Decreto 3/2010, de 8 de enero.
En el caso de que el análisis de riesgos determine medidas agravadas respecto a la
normativa recogida en el anexo II del Real Decreto 3/2010, de 8 de enero, dichas
medidas derivadas del análisis de riesgos serán las que se implementarán en la
protección de datos personales.
3. En relación con los sistemas de información que, para soportar la prestación de
servicios de administración electrónica, manejen datos de carácter personal,
prevalecerán las mayores exigencias contenidas en la normativa de protección de datos
en vigor que afecte al sistema de información concreto.
Artículo 17.

Formación y concienciación.

1. Se desarrollarán actividades formativas específicas orientadas a la
concienciación y formación de los empleados públicos del Departamento, así como a la
difusión entre los mismos de la PSI y de su desarrollo normativo.
2. A estos efectos, deberán incluirse actividades formativas en esta materia dentro
de los planes de formación del Ministerio de Derechos Sociales y Agenda 2030.
3. La CMAD se encargará de promover las actividades de formación y
concienciación en materia de seguridad, según lo indicado en el artículo 6.
Artículo 18.

Actualización permanente y revisiones.

1. La PSI deberá mantenerse actualizada permanentemente para adecuarla al
progreso de los servicios de Administración Electrónica, la evolución tecnológica, el
desarrollo de la sociedad de la información, y los estándares internacionales de
seguridad.
2. Las propuestas de las sucesivas revisiones de la PSI las hará la Comisión
Ministerial de Administración Digital.

1. En los casos en que el Ministerio de Derechos Sociales y Agenda 2030 preste
servicios o gestione información de otros organismos, se les hará partícipe de la PSI,
estableciendo canales para el reporte y coordinación de los respectivos Comités de
seguridad y, en su caso, procedimientos de actuación para la reacción ante los
ciberincidentes de seguridad.
2. En los casos en que el Ministerio de Derechos Sociales y Agenda 2030 utilice
servicios de terceros o les ceda información, se les hará partícipes de esta PSI y de la
normativa de seguridad que afecte a dichos servicios o información. Los terceros
quedarán sujetos a las obligaciones establecidas en dicha normativa, pudiendo
desarrollar sus propios procedimientos operativos para cumplirla. Además, se
establecerán procedimientos específicos de reporte y resolución de incidencias y se
garantizará que el personal de la tercera parte esté adecuadamente concienciado en
materia de seguridad, al menos al mismo nivel que el establecido en esta política.
3. Cuando algún aspecto de la política no pueda ser abordado por una tercera parte
según se establece en los párrafos anteriores, se requerirá un informe del Responsable
de Seguridad de la Información que precise los riesgos en que se incurre y la forma de
tratarlos. Se requerirá la aprobación de este informe por los Responsables de la
Información y los Servicios afectados antes de seguir adelante.

cve: BOE-A-2021-17235
Verificable en https://www.boe.es

Artículo 19. Terceras partes.