Castrense, empezamos la segunda parte de estas de estas jornadas.
Comenzamos con el panel de contratación y pliegos.
Tenemos con nosotros al moderador que es justo,
al ver todo Huerta Barajas, del Instituto Universitario,
o tiene Mellado.
Qué tal?
Cómo estás todo bien, todo bien.
Además traigo, como es la casa.
Pues el problema.
Bueno, pues cuidado, porque quien sea tu derecha alberto palomar Olmeda,
que sociedad Broseta, abogados, magistrados
de lo contencioso administrativo lo conocemos,
que tiene peligro hablando, lo veremos.
Próximamente va a hablar de deportes,
y a la izquierda, al teniente coronel al teniente coronel
José Francisco García Gil, que es jefe de la división de seguridad
de la información del festival del Ministerio de Defensa,
de tal coronel, muy buenas,
encantado repasamos las reglas que vamos a intentar
que haya turnos breves,
que haya conversación, y a las 12 10
volvemos para abrir el turno de preguntas, sugerencias, apuntes,
y para qué?
Para que puedan participar el público aquí presenten,
va a ir o se que justo alberto entonces bien bueno muchas gracias
dar las gracias a hubo un gusto palomar el director del instituto,
que al fin y al cabo en vigencia no me queda más remedio.
Tengo que hacer la pelota.
Entonces, no.
Con eso quiero decir,
pero sobre todo a los que me han guiado en este esta moderación
de esta mesa, porque yo realmente de informática,
si tengo que ver algo, pero procuro unirla
y voy a decir por qué yo siempre tengo una frase que yo creo
que en este momento no es muy correcta,
es que la informática tiene nombre de mujer
y los ordenadores de hombre,
con lo cual podemos siempre tener conflicto con la informática,
que creo que es importante.
Bueno, creo que el asunto que tenemos que tratar puede ser claro.
Yo, como profesional de la contratación pública
y mi experiencia he tenido que ver mucho tiene
que ver mucho a lo largo de mi vida como interventor,
tanto en la oficina nacional de auditoría,
pues la última.
Auditoría medio disgustos
con esta materia me dio muchos disgustos, que fue
una auditoría que luego acabó bastante mal
porque yo no podía intervenir por una cosa muy sencilla.
Por qué no coincidían los datos y por qué no coincidían los datos?
Porque sencillamente por una cosa tan simple,
porque la informática no lo recorre, no lo recogía perfectamente.
Entonces, eso quiere decir que la informática,
en cuanto que nos proporciona
utilidad, nos sirve y, por lo tanto, nos puede llevar a buen puerto,
pero como la informática son cirrosis,
unos y los cerros y unos no se ven, son muy difícil.
Entonces, no me quedó más remedio que pedir una auditoría informática
los y creo que ahí se vio claramente.
Lo primero es que no cumplían el esquema nacional de seguridad.
Con eso creo que ya ya empezamos mal,
y por ello, cuando hoy he tenido la suerte
de tener conmigo a dos personalidades de el mundo jurídico
y del mundo tecnológico y quiero decirlo así de claro,
pues creo que para mí fue un auténtico placer
poder debatir sobre esta materia y en concreto
sobre el esquema nacional de seguridad
y sobre la norma europea anís.
Yo voy a ser conciso, en el sentido de decir
que para mí las normas de contratación debe de ser únicas
para todo la Administración.
Sí que reconozco que lo de sector público,
muy amplio.
No es lo mismo cumplir estas normas en un ayuntamiento pequeño
encontrarme en un ayuntamiento como el de Madrid.
Reconozco que soy yo, se lo he planteado muchas veces
a cuando habla cuando cora,
cuando la comisión cora lo presentaba.
Allí lo decía, digo.
Creo que os estáis equivocando.
No es lo mismo tratar un volumen a otro volumen,
pero creo que ese es uno de los inconvenientes
que vamos a tener en esta materia.
Bueno, con preámbulos y todo lo que creo que hay que ir al grano
porque es lo que nos ha ocurrido, yo le quiero formular
por aquello de que primero le dejamos como esto.
Para mí sigue siendo terreno militar.
Lo digo así de claro, porque no dejan de ser
el antiguo seminario de nobles y tiene una tradición,
pues primero yo siempre, por cortesía,
primero los civiles,
entonces Alberto Palomar, que creo que es importante tener en cuenta,
sobre todo su trascender.
Vamos, su completamente su trayectoria
porque creo que la administración.
Alberto palomar, es decir,
que un señor que tiene 313 artículos,
139 obras colectiva y 63 libros,
creo que dice bastante de quienes alberto palomar
aparte de para mí todo el respeto como doctor en derecho
y por estar en posesión de la Cruz son en el mundo de Peñafort.
Pero yo me hubiera gustado más que debatir de informática
con la alberto palomar hablar de deporte,
porque creo que realmente es su verdad,
pero mundo
y como dice, hablaría por el fútbol.
Yo creo que eso es en su época del Tribunal del deporte
Lausana, que yo creo que es importante tener en cuenta,
pero no vamos a hablar de derecho administrativo,
que creo que es lo que corresponde y sobre todo desde derecho europeo,
porque a mí eso yo creo que es lo que realmente me preocupa.
Tenemos una directiva 90, veintidos, 25, 55 que,
como todo el mundo queremos seguridad,
queremos seguridad en nuestras transacciones.
Queremos seguridad
en que nuestra informática esté protegida,
y yo creo que eso es terriblemente importante.
La informática está dentro de nuestras vidas,
pero también está dentro de la Administración.
Entonces,
uno de los problemas fundamentales que hemos debatido siempre,
cuando hablamos de modernización de la contratación pública,
siempre la contratación pública precisa los medios informáticos,
pero los medios informáticos son auxiliares.
Entonces yo creo que es importante considerarlo claro.
La seguridad a todos nos preocupa.
El otro día salía una noticia.
La Agencia Tributaria,
que un ciberataque le están atacando,
afortunadamente pude confirmar.
Con mi compañero de haciendo hablé con el subdirector general
de tributos con aclarado le pregunté.
Dicen no, el problema no ha sido un ataque a la agencia,
sino que ha sido un ataque a un señor que contrata con la agencia,
que regula con la agencia ya perdido formación en Málaga,
una gestoría con lo cual estamos viendo
el problema de los datos, no de la información,
no es de quien lo contrata directamente,
sino de lo periférico,
y ese es ahí donde se nos va a plantear el problema y los dramas,
y esto creo que Martín me lo va a Pharma,
claro todavía, porque ese es el auténtico.
Vamos a ser claros.
La seguridad absoluta no existe.
Como la seguridad absoluta no existe,
y más cuando es de puertas afuera,
a ver cómo lo contratamos, cómo lo medimos?
Cómo lo corrobora?
Pues esta directiva se da cuenta que va a imponer obligaciones
a todo el mundo.
Se da cuenta también que claro, que es reemplazar
la de 2016.
La 11, 48 es un problema,
es un problema y que plantea muchas cosas;
sin embargo,
ha habido como directiva que se ha traspuesto por tres países,
como han sido Bélgica, Croacia y Hungría.
Como vemos, no solo porque lógicamente
el aunque están ahí con un borrador, pues tenemos a Francia,
tenemos a Italia, Alemania o Finlandia,
que tienen borrador,
pero lo que está realmente aún completamente que no quieren casi
les da.
Esta pánico son España, Portugal, Irlanda y Francia,
y esto yo creo que es importante tener en cuenta.
Es decir, que cuando una norma europea
supone y uno sí y otros no, algo tiene que decir entonces esto,
yo creo que es uno de los problemas importantes.
El problema que tenemos es que esta directiva entra en vigor
y, como sabemos, y si no lo sabemos porque no somos juristas saber boca
y el famoso llamado principio directiva,
significa que si no se traspone, se aplica,
y eso, claro es mejor regularlo o no regularlo.
Esto es un problema, yo siempre me habían enseñado,
no voy a decir nombres y apellidos de estas cosas,
que la vida se puede ser ilegal o alegal.
Entonces ese problema que yo creo que es importante,
entonces, yo le quiero preguntar desde un punto de vista jurídico,
como una organización como se puede ver esta norma alberto
palomar alberto para un novio mandado una magnífica presentación
no sé si la tenemos, no la tenemos, qué no lo hemos traído,
pero sí que le he dicho, mira la la transparencias,
como se dice.
La Academia General Militar de Zaragoza
es el cargo del profesor.
Entonces, yo prefiero mucho mejor.
Cómo no se ha perdido el moderador que el moderador
el que lleva el índice periodista?
Pues vamos a tratar de hablar de ello,
porque creo que me parecía muy interesante
tener como tenemos que preparar una organización para poder asumir.
No solamente el que entre en vigor o no entre en vigor,
porque ya estamos diciendo hoxe sí o sí vamos a tener que mirar
de qué ámbito.
Buenos días, muchísimas gracias por la invitación y bueno,
realmente yo creo que el momento es un poco complejo
desde un punto de vista jurídico,
probablemente los avances de la tecnología,
los avances del sistema están llevando
y a que los científicos, una vez más,
por los tecnólogos en este una vez más,
vayan muy por delante de los juristas, y el problema para nosotros
es cómo asimilar estas categorías jurídicas
y cómo darle una cierta seguridad a los proveedores,
en este caso a los usuarios y en muchos casos
a los operadores jurídicos no es en este esquema.
Transposición no trasposición.
Bueno, pues es evidente que hay que trasponer
y que en algún momento llegaran las multas coercitivas
y que, por tanto España tendrá que cumplir
en los términos que proceda y tendrá que realizar.
Donde le veo la gran dificultad a todo esto.
Yo creo que cuando centramos la ciberseguridad en un agente
y decimos los órganos de la Administración Pública
tienen que cumplir.
No le veo ninguna dificultad y allá cada uno los tiempos
irán haciendo.
Quien cumple y cómo se compra,
yo donde veo más dificultades es en los proveedores,
los terceros los suministradores.
Por qué?
Porque cuando nosotros hacemos las clasificaciones
de las categorizaciones de seguridad es sobre un mapa de riesgos
y el problema del mapa de riesgos es que no va a poder tener publicidad,
y si no tiene publicidad el mapa de riesgos los esquemas
las certificaciones Irán Op atinan como los viejos emprades por qué
porque ahora bueno yo tengo 20 años en mi vida
dedicados a la judicatura, ahora te pones en juez
y dices.
Y yo como sé si lo que está haciéndose
es proporcional o no es proporcional,
si es ajustado, si no es ajustado y el órgano es probable
que lo sepa porque responde a su mapa de riesgo.
El problema es que el mapa de riesgo se supone que nadie le da al enemigo
hablando en términos tal.
Nadie le da sus cartas al enemigo
para que el enemigo pueda entrar por el mismo camino,
pero sin dar sin hacer públicas las condiciones del mapa.
Sin esas condiciones, al el muchos muchos casos, llevar eso
a los pliegos llevarles o los sistemas
produce una incertidumbre nota.
En estos momentos repasado en esa presentación,
está diciendo el tribunal administrativo,
al contratos y la respuesta es de todo y por su orden,
y si ahora intentamos sacar una conclusión
de que está diciendo la conclusión es ninguna, porque lo que dice
es lo que digan los pliegos, pero lo que digan los pliegos
es lanzar la pelota para que alguien analice los pliegos,
los jueces, los operadores jurídicos o violeta,
y la pregunta es.
Y yo, como se juez, si esto es un requisito de capacidad,
si esto es un requisito de solvencia,
si esto es un requisito, ejecución, si son requisitos, ejecución,
sale de los tribunales administrativo y pasa a los tribunales de justicia,
con lo cual no vas a obtener nunca una decisión en tiempo y vas
a tener que convertirte como mucho en un esquema resarcitorio
o indemnizatorio.
Es decir, vivimos un momento en el que la categorización
que yo he intentado entenderla desde un punto de vista científico
sí por lo menos a dónde, a dónde responde,
pero que tiene una lógica.
El problema es que esa lógica no es una lógica pública
que se pueda dar a la publicidad, y sin esa falta de publicidad
tienes un problema de cómo llevar las determinaciones de seguridad
a los supuestos concretos.
En ese esquema, pues claro que va a ocurrir,
por ejemplo, con la directiva.
Aquí hay ilustres abogados que ejercen todos los días,
que se convertirá en un instrumento
en el que los contratistas se tienen a otros.
Es decir, si yo quiero sacar a uno diré que es defecto directo
si si yo,
que por el contrario no quiero sacar a una,
pues diré que no es defecto directo
porque no tiene la verticalidad suficiente desde el punto de vista
de los efectos como para esto,
y entonces acabamos de entrar en un proceso
de nueva incertidumbre.
Ya lo teníamos claro el esquema no lo tenemos resuelto.
Si ahora le añade que yo diré que sí que tiene efecto directo
y el otro dirá que no tiene efecto directo,
pues entonces tendremos una determinación o indeterminación
de los pliegos por inclusión o exclusión.
Claro, te ponérselos pliego
que la respuesta muy sencilla.
El pliego de un país que no ha traspuesto no puede decir
que se aplique si, por el contrario, sea tú,
no vas a decir que el el pliego que aplicase una norma,
que tu país no ha traspuesto.
Es decir, el efecto directo es un efecto directo
básicamente en vía de recursos racional
y bien vía de de jueces y de justicia,
pero el efecto directo de la propia administración, que es
muy dudoso yo apenas lo he visto en ningún caso.
Por qué?
Porque a si le va a dar un efecto directo trasponga,
me ha resultado.
Ciñéndose conmovedor ver, que el proyecto de trasposición
no ha llegado a las secretarías generales técnica,
lo cual yo he dejado la Administración hace muchos años,
pero eso significa un largo, pero un largo proceso,
no menos de un año.
Si tiene que pasar por tres secretarías generales técnicas
supongo que después ir al consejo de estado,
en la medida en que trasponga derecho comunitario
y, por tanto, nos hemos dado un año a año
y medio, de incertidumbre adicional a la que ya teníamos
y aunque sumamos la legislatura.
Pero eso es política y ya no entramos hasta la cosa,
con lo cual quiero quiero plantear que ya eso añade un un uno más.
Bueno, pues una vez que hemos visto ya el marco de la directiva,
vamos a pasar ya a lo que tenemos y yo creo que esto es importante
y claro, yo quiero aprovechar que tenemos con nosotros,
antes de obras, José Francisco García Gil,
que además, pues tiene una experiencia tanto,
pues desde su paso por el regimiento de transmisiones del parto,
como yo digo, pues sentía acostumbrado toda mi vida
a haber pasado por la Guardia Civil,
pasar por el centro de gestión del sistema de operaciones de satélites
del Ministerio de Defensa por la unidad de transmisiones
de la ume y por ejercer del área perimetral,
como he dicho, la Guardia Civil,
y ahora mismo la división de seguridad de información
de Cestic.
Pues claro, eso se encuentra con los problemas reales
de hacer unos pliegos de prescripciones técnicas
y lógicamente incorporarlos al pk
-entonces, claro, yo en la pregunta es muy clara,
qué repercusión práctica tiene para los órganos de contratación,
luego si quieres yo a la empresa es otro problema.
Yo hablo órgano de contratación, el famoso artículo 2,
tres del real decreto 311, del 20,
veintidos y por la disposición adicional del decreto 11,
25 de este año, que realmente dice que los pliegos de prescripciones
administrativas o técnicas que celebren las entidades
del sector público que tiene que contemplar estos requisitos,
yo voy a ser lógicamente, como digo, lo mismo que Alberto hace dos años,
que ya dejé la administración, afortunadamente,
que se están vendiendo estar en esta situación ya de jubilado,
porque es una alegría como interventor,
no tener que complicarme ya la vida más en auditoría,
aunque sigue habiendo por el colapso coletazo, si tengo viendo cosas,
pero pero sí que he consultado a lo más complicados que tienen,
no en el Ministerio de Defensa,
porque para eso he traído al promete consultado a la Agencia Tributaria
y la Agencia Tributaria de lo ha dicho.
Estamos desesperados, dice, porque claro,
tenemos unas complicaciones que luego después vamos a tratar
de exponerlo mucho más, porque lógicamente voy al técnico
que es el que quiero hacer.
Me puedes hacer un resumen.
Paco, sí por supuesto.
Bueno, muchísimas gracias por la invitación.
Intentaré ser lo más breve posible para dar paso a las preguntas.
Antes de empezar a contestar la contestar a la pregunta,
quisiera centrar un poquito el tiro en el sentido.
En ese sentido, o sea, mi perfil es un perfil técnico,
como responsable de contrato llevo ejerciendo de responsable de contrato
casi 15 años en este sentido, pues evidentemente los responsables
de contrato hemos ido viendo una complejidad o complicación
en la aplicación de la propia normativa
que muchas veces se descarga en el propio responsable de contrato
a la hora de redactar los propios requisitos técnicos
de los pliegos creaciones técnicas y de las propuestas de pliegos de,
de los misterios particulares dependientes
de los órganos de contratación, reinos soberanos,
cada uno en cada uno en cada uno de ellos, los esa visión
de esos requisitos técnicos dependientes,
dependiendo de cada uno de los órganos de contratación,
pues sí es algo a tener muy en cuenta.
Pero antes de contestar a la pregunta,
quisiera hacer una, una pequeña o una breve encuesta es,
querría preguntar qué personas de ustedes pertenecen
a órganos de contratación, qué personas de ustedes
han ejercido como responsables o como órganos técnicos
y entonces de contrato en algún tipo de contrato,
tanto la administración pública como como la sector privado ustedes
son juristas no no ustedes ustedes en general
ustedes en general.
Digo un.
Si vamos a ver ello, evidentemente, no.
No distingo a la propia persona
que que elabora un pliego de prescripciones técnicas
como aquella persona que lo responde para mí estar
en el mismo plano uno pregunta y el otro contesta,
o sea, eso es un perfil, o me refiero a ese tipo de perfil técnico
y luego quiénes de ustedes serían juristas versus ingenieros?
Bueno, pues teniendo en cuenta o poniendo encima de la mesa
todos estos distintos puntos de vista,
que es lo que quiero matizar, yo quiero insistir en cuál es el mío
en base a a lo que ha podido usted hicieran hasta hasta el momento,
no.
Con respecto al al esquema nacional
de seguridad, que es lo primero que fuéramos hablar,
mi jefe en su en jefe que tuve en su momento,
cuando se editó el el nuevo sistema nacional de seguridad,
me pidió que hiciera un breve resumen y hizo un resumen.
Hice un resumen en siete líneas, como lo suele hacer casi todos,
lo aplica a toda la Administración General del Estado.
Aplica los sistemas clasificados, sino clasificados.
Implica modificar, adoptar las políticas de seguridad
de la propia hace implica,
para los sistemas de información al cumplimiento
de una serie de requisitos de seguridad,
requisitos de seguridad que luego hablaremos o que si ustedes han leído
el propio esquema nacional de seguridad,
pueden ver todos los requisitos que se tienen,
que se tienen que cumplir y lo ya baremos
a que el cumplimiento del requisito técnico
en esencia no es lo más complicado.
Si no es adaptarlo a ese análisis de riesgo
el que se ha visto.
La primera parte de, o del que se ha hablado
en la primera parte de esta sesión implica la actualización de figuras
relacionadas con los distintos sistemas.
Aparecen un equipo de fútbol,
de figuras que cada uno tiene, sus misiones
y cometidos, implica condicionantes a la propia contratación
de los productos y sistemas y procesos,
ahora que está tan en boga todo lo que son las arquitecturas
por procesos.
Implica conectar antesala a la propia operación
de los sistemas.
Como bien saben, hay un articulado que dice
que y el administrador encima tendrá la habilitación personal
de seguridad.
Claro, diera del acuerda.
Dice que eso que implica, pues implica que la propia empresa
tiene que tener una habilitación de seguridad de empresa
que tiene que tener una habilitación de seguridad establecimiento etc
etc y por último implica una modificación de las medidas
de seguridad y los sistemas, evidentemente,
sobre el anterior en es láser.
Una evolución volviendo al artículo 2, punto 3,
en el cual, pues evidentemente se establece que los pliegos,
prescripciones técnicas o administrativa
los contratos públicos deben incluir requisitos
para asegurar la conformidad al esquema nacional de seguridad.
Es eso de asegurar la conformidad?
Bueno, pues quiero circunscribirme a los matices técnicos
de ese análisis técnico que quiere decir este artículo.
Declaraciones y certificados de conformidad.
Si yo tengo o voy a por un ese bajo, vale con hacer un?
Juan palomo, yo me lo doy, soy me lo cómo.
Yo digo que sí cumplo y sin pum,
si me voy a medir adelante, ya no vale, ya no vale, señores.
Aquí hay que buscar unos certificados de conformidad y específicas.
De conformidad ni son inmediatos,
ni son baratos ni son fáciles de hacer.
Con respecto a la cadena de suministro
nada más empezar la presentación hemos dicho que haya a suministro.
Grupo Trinity dice o se postula
como que ha robado datos a la Agencia Tributaria;
primero que dice la Agencia Tributaria
y a mí no ha sido así a mí que hay unos ministro.
Qué dice el esquema,
quién es el responsable de la cadena de suministro o asegurado?
Toda la cadena, suministro; una pyme,
puede asegurar toda la cadena suministro;
una gran empresa, puede asegurar toda la cadena suministro;
no será que queremos poner puertas al campo,
no lo sé sin entrar en valoraciones personales,
yo simplemente cito articulado o concreto que se descarga
o se pretende, se descargue sobre el propio,
las propios requisitos técnicos del pliego de prescripciones
técnicas sí;
y algunos aplicando a lo que es las a las, al desglosan meses
o particulares,
y un momentito porque sólo lo voy a soltar a Alberto.
Estamos ante un concepto jurídico indeterminado.
Gracias, pues depende si el pliego concuerda
con el análisis de riesgos,
no si el pliego no concuerda con el análisis de riesgos
y teniendo en cuenta que además lo que figura en los pliegos
viene de dos vías.
Una de productos, otra de procedimientos y otra de sistemas,
como nos han explicado en algunos el margen de discrecionalidades,
pero en otros el margen discrecionalidades salto.
Entonces, lo que han contado en la mesa anterior
lo acaba de refrendar el Tribunal de administrativo de contratos
diciendo que hay que establecer una conexión directa
entre el requisito de seguridad exigido
y la actividad del contrato.
Eso añade un elemento de dificultad,
porque ya no es ser sino ser para y el para necesita subjetivas
ese terreno que científicamente y tecnológicamente es indiscutible.
Es bastante complejo desde el punto de vista del pliego
porque el pliego puede decir.
Tú eres grupo a o grupo medio grupo alto,
pero tienes que tener además las características
de no sé qué y esas características están acreditados,
son acreditadas, vale la acreditación por encima de las características
o las características o el tenerla o la posesión.
Es decir, como decía antes,
alguien hay que ir a la clasificación que hay en materia de contratos
para decir que en esa uno donde un pero nivel
no sé qué por el contrario, la clasificación vale,
y cómo se acredita lo otro por un requisito
por una doble acreditación que nos acaban de decir que se trata de decir
que no tiene doble acreditación.
Yo creo que es un concepto jurídico indeterminado, sí o no,
sí si eres capaz de decir que pátina en el vacío y le delegadas,
como decía el tema de la brevedad, todo el problema,
los pliegos y la toma sean los pliegos.
Entonces, si es un concepto indeterminado,
ahora, si eres capaz de decir ese, soporta sobre el plan de riesgo.
Ahora el problema es a quien le hace público el plan de riesgos.
Ahí estaba.
Por eso quería hacer este matiz, porque yo creo que es muy importante
para que nos demos cuenta en el terreno,
es decir, la palabra de arenas movedizas,
por mucho punto.
El que no ponga los ingenieros, aunque sean de transmisiones,
creo que poco.
Entonces, creo que esto es muy difícil
y lo quiero dejar, y quiero,
por sobre todo poner el énfasis, la dificultad que tienen
los redactores de esta, no, de los pliegos,
la responsabilidad que tienen,
aunque luego lo asume el órgano de contratación.
Hay que decirlo así de claro, pero, y voy a decir la palabra vulgar,
el muerto que tenéis, bueno, no estaba coordinado.
El punto tres es hablar del análisis de riesgos.
Habíamos hablado de la cadena, suministro en segunda vía primera.
En primer, el primer punto, declaración de certificados
de conformidad es análisis de riesgos,
donde llevamos a hacer un análisis de riesgos.
Alguien sabe de los presentes
lo que supone hacer un análisis de riesgos?
Alguien sabe los presentes
lo que es utilizar la herramienta Pilar o micro Pilar,
y estarse pegando ahí meses con un análisis de riesgos.
Es que la legislación exige tener hecho un análisis de riesgos.
Sí me parece muy bien o muy bonito.
Yo puedo hacer un análisis de riesgo fet falso
o un análisis de riesgos real.
También es cierto, como técnico
poner encima de la mesa que puedo defender blanco y negro
al mismo tiempo y utilizando la misma herramienta
y en función de la herramienta y de lo que hablaré posteriormente,
haciendo referencia a las dimensiones de la seguridad,
pues tunear esos esos aspectos relacionados con esas dimensiones
de la seguridad.
La famosa palabra citat que lo ha dicho
el representante del del centro criptológico esta mañana
y ser capaz de defender una cuestión u otra requisitos de seguridad
previsto de seguridad, donde apliquen requisitos de ciberseguridad
o planteamos la seguridad ya,
como introduce el propio Onis 2, no solamente la ciberseguridad,
sino la seguridad física y la seguridad físicas
donde las tendemos la seguridad las personas las buenas empresas
la seguridad los documentos
hasta dónde llegamos eso no está transpuesto
y está por venir.
Mis defensa sigue ese.
Entonces vemos resuelta a través de seis áreas
de la seguridad, donde contemplamos las que acabo de decir,
además de la seguridad de los datos de carácter personal,
no la ley orgánica de lo diré del de datos de carácter personal,
sino los la salva o la salvaguarda específica
de los datos de carácter personal.
En los seis temas, en los sistemas dentro de los sistemas,
y, por último, la normativa y las guías técnicas
que hay cumplir esa normativa y las técnicas de aplicación
del propio esquema que se desarrollan a través de series que son documentos
del propio centro, criptológico nacional.
Ahí está.
En resumen, los órganos de contratación
deben asegurarse de que los sistemas de información
cumplen con los requisitos de seguridad del esquema,
no solo los sistemas de control de contratados,
del contratista directo,
sino también en toda su cadena de suministro, gracias
porque creo que estaba brega.
Ya vamos viendo la indefinición en la que estamos,
que yo creo que esto es importante tenerlo en cuenta.
Por ello a mí lo que me preocupa a la hora de elaborar
un pliego de prescripciones técnicas y, en definitiva,
un pecat entonces importante es este artículo 2,
tres el problema que tenemos es que ya las ha apuntado Alberto,
la indefinición que los propios organismos
no son judicial porque no son judiciales
los tribunales administrativos central de recursos contractuales
y los múltiples que hay dito.
Yo reconozco que vamos a tener aquí a Conchita
ardid dentro de unos días,
pero reconozco que esa ese afloramiento
que ha habido tribunales de recursos contractuales
es un problema claro.
La Administración General del Estado no lo tienen,
pero sobre todo cuando ya pasamos a otros ámbitos sí que lo tenemos,
pero claro, me estoy encontrando que la resolución, por ejemplo,
228, ocho del tribunal administrativo central de recursos,
entiende que la adecuación al esquema nacional
de seguridad no puede ser requerido como un requisito de solvencia,
lo que no excluye que sí que puede ser una condición de requisito
o ejecución,
pero voy al tribunal de Cataluña eso ya para mí
ha sido para mí venir humano en el informe de la junta consultiva,
con lo cual sí que tiene más carácter que el tribunal,
y lo digo así de claro,
y me dice que es un requisito subsanable,
con lo cual queda este es uno de los problemas que nos encontramos.
Solvencia sí o no, y a la vez me sale ahora mismo,
recientemente otro.
Acabo de ver un comentario de Vázquez Matilla,
que me reía muchísimo, donde decía.
Claro, que los pliegos de cláusulas administrativas particulares
y también los tribunales de recurso están diciéndonos que hay
un abuso de exigencia, normas y titulitis,
para entendernos claramente.
Entonces, claro,
todo eso realmente nos crea auténticos problemas,
tanto sobre todo a a la administración
como órgano de contratación, que es al que yo me quiero poner,
pero también al propio contratista.
No puede tener a toda su gente todos los días certificando,
certificando, certificando parece aquella canción antigua.
No, por eso creo yo que hay que tenerlo un poco muy en cuenta.
Entonces Alberto, a ver, si me ponéis un poquito de luz más,
como no solamente como juristas de reconocido prestigio,
pero sí como miembro miembro en suspenso,
de la actividad jurisdiccional,
a ver el Tribunal de contratos.
Ha dicho eso y lo contrario.
Esa es decir que no, no hay uniformidad en eso.
Lo que ha dicho
es que él se limita a enjuiciar lo que dicen los pliegos,
pero nunca ha determinado si es capacidad,
si es solvencia o ejecución, a mi juicio,
tiene que ser solvencia en todo caso porque es una condición
unida a cómo una empresa se presenta a una licitación pública.
No tiene que ser un problema de capacidad,
porque tú puedes tenerlo o no tenerlo y no necesariamente tienes que ir
a una contratación pública.
Por tanto, no me parece un tema constitutivo
de la capacidad jurídica de.
Por tanto, yo creo que es un tema de solvencia.
Las discusiones no están en capacidad, solvencia
es tan insolvencia o condición de ejecución,
pero a mí me parece que dado el terreno
en el que nos estamos moviendo está más en solvencia que en ejecución.
Por qué?
Porque precisamente es una condición que afecta a la concurrencia,
es decir, los demás vienen y saben que yo tengo lo que dice el pliego
y lo tengo acreditado en tal forma
y me parece que es razonable que puedan discutirlo
y que puedan discutir su e incluso fase ejecución;
podría de adjudicación,
pero sin embargo, si lo pasa esa ejecución
inmediatamente lo acabas de sacar de toda la dinámica.
Se establece una dinámica bilateral con alguna griega,
literalidad eventual de un contratista que le dé
por discutir con otro, y lo llevas a una condición de ejecución.
Además, hay que discutir si se trataría
de una condición especial, que no está prevista.
En la ley de contratos,
sino entre comillas, incrustada en una normativa adicional,
o si por el contrario,
es una simple condición de ejecución, que es lo que ha dicho
el tribunal de cuando se le ha planteado,
a mí me parece que la gran indeterminación está ahí
y, efectivamente, yo creo que los tribunales
tienen que acabar diciendo no lo que ha dicho el tribunal
de contratos, que es lo que diga la Administración,
sino lo que debe decir la administración,
y lo que debe decir la Administración
es que si hemos llegado a la conclusión
de que los pliegos tienen que incluirlo,
la filosofía es para que, pues, ya quieren que tiene que ser
para que aquel que viene a contactar con la Administración
esté en condiciones de demostrar como otras muchas circunstancias
que cumple con los requisitos necesarios en los términos
exigidos por el pliego, y eso tiene que ser público.
Tiene que ser contradictorio, tiene que ser impugnable,
tiene que ser condición de exclusión,
de sacar de la escena de la ubicación en el marco
de un de un recurso especial.
Es decir,
todo eso tiene que tener algo que vaya directamente.
Si lo llevamos a la condición de ejecución, la bilateralidad
y entonces estaríamos todavía en otro problema adicional,
que y en la condición de ejecución,
como verán todos, estos matices que hemos dicho de.
Pero no es el objeto, pero tiene,
pero puede venir por una acreditación de facultades adicionales,
cuál es el margen de discrecionalidad,
opera sobre el producto, opera sobre el procedimiento,
hay margen, no hay margen eso llevado a condiciones,
ejecución hechas.
Sobre el órgano de contratación,
sobre el responsable del contrato, una responsabilidad infinita,
que yo creo que no, no deberíamos echárselas,
deberíamos echárselas, discutamos esto,
a querer adjudicárselo a la señor y a partir de aquí lo que discutamos
es cómo se ejecuta la, las medidas de seguridad,
como las tiene la cadena,
como las tiene de suministro, cómo las tiene el suministrador,
es decir, que vemos cada cosa a su sitio.
El Tribunal no lo ha hecho bien,
lo que pasa es que la posición del tribunal es muy cómoda, que es,
yo me limito a enjuiciar los pliegos.
Es más, dice una cosa adicional en otra de las resoluciones
que ni siquiera dentro de la ejecución,
porque la ejecución no es de mi competencia,
con lo cual es perfecto.
Qué ha quedado más o menos claro nuestra postura
y lo que me queda ya ver, te toca Paco;
como siempre que eres un técnico es el que le vamos a echar el asunto
de las valoraciones que estableció la famosa resolución
de la secretaria de estado de Administración Pública.
Entonces, claro, eso de poner básica media alta;
eso.
Como encuadramos a cada 1.
Esto es un problema grave, porque ya hemos dicho
que el órgano de contratación tiene que decidir,
pero también puede ser un elemento de exclusión,
y eso hay que tenerlo.
Va contra la cuota, el artículo uno de la ley contra la publicidad.
Entonces,
quien problemas reales desde un punto de vista técnico
plantea en los pecados a los órganos de contratación
y dejase reformular la pregunta, ya que es el he mirado
unos cuadritos textos de colores del criptológico y la pregunta es.
A un mismo proceso, hay dos colores.
Y eso?
Cómo se lleva al pliego?
Eso queda mucho, mucho más claro.
Es que yo creo que nos estamos complicando la vida.
Entonces, yo creo que es el importante.
Bueno, voy a empezar por por donde pretendía terminar,
no sea, es la frase común,
cuando estamos el órgano técnico juntos,
intentando diseñar el pliego.
Los requisitos técnicos
y tal al final, chaval tira por abajo que nos matamos,
ir a abajo que nos matamos.
Es rebaja tu nivel de ambición porque el pliego se queda desierto,
o sea, si fuéramos escrupulosos
en la aplicación de los, lo diré de las dimensiones de la seguridad,
hablamos de la confidencialidad que vienen ese cuadro maléfico que,
encima cercano, pone ninguna,
no resuelve el acrónimo confidencialidad que la información
no sea susceptible de ser espiada robada leída etc
etc integridad que esa información en origen destino
sea la misma trazabilidad que sea capaz de ver por qué manos,
y desde su origen a este impasse.
La.
La información
-autenticidad, muy parecido a la a la integridad.
Pero además, que es que nos mojamos, y digamos que esa información
es la auténtica.
Sin entrar en más detalles y la disponibilidad que el proceso,
la disputa información esa en un cuadrante de tiempo
sea disponible.
En 99 con 9, 9, nueve por 100 de las de las veces
eso lo traducimos a un cuadrante cuadrante maléfico
del propio esquema nacional de seguridad,
hacemos nuestro análisis de riesgos vemos ese análisis de riesgos
sobre la propia taxonomía de servicios y procesos
de la organización,
cómo afecta y con eso diseñamos una serie de requisitos técnicos
que vamos a pedir para tener esa solución que sea
esa solución comercial que responde a esa taxonomía de servicios
sometida al análisis de riesgos de nuestra propia organización.
Ese es el proceso, eso eso te piden que lo hagas en un año natural,
según entró en el presupuesto o que lo tenga ese hecho de antes;
o sea, vendemos los los órganos técnicos, vendemos bolas de cristal,
o sea a buen precio;
o sea entonces tener todo eso preparado, tener todo eso preparado
y lanzarlo la problemática.
Pues lo que ya se ha hablado;
complejidad en la evaluación y certificación,
cómo evalúa y certifico ese proceso si hay un hay un hay un hay un tren
Wall que sea más que van a hacer al de seguridad, que es mejor
que no de nada.
Por supuesto que sí requisitos de seguridad específicos
aplicados a ese cifremos extensión a la cadena de suministro; es decir,
no solamente tengo que pensar en esa empresa licitadoras
sino en todo toda su cadena, pero toda su cadena de suministro,
no solamente de cara a cumplimentar o a dar respuesta al pliego,
sino a gestionarse y a misma su departamento
de recursos humanos en esencia su saps auditado etc
etc el análisis de riesgos en sí mismo
que el análisis de riesgos, la gente habla,
vamos a hacer un análisis de riesgos,
de análisis de riesgos.
Es un proceso muy complejo.
Además, actualización y mantenimiento durante todo el ciclo de vida,
no solamente del contrato, sino del producto.
Pues pues, señores doctores, tiene la Iglesia,
pero eso es lo que pone, eso es lo que pone la ley.
Qué hacemos en los órganos?
Pues, evidentemente, tirar hacia abajo ya nos gustaría
ser muchísimo más, muchísimo más, tener un nivel de exigencia
o de ambición muchísimo más ambiciosos.
Pero la realidad es que si imponemos esta serie de condicionantes
no tanto a la gran empresa que podrá tener su departamento de adecuación
al esquema nacional de seguridad, como se ha hecho esta mañana,
donde tiene su política de seguridad,
de información desarrollada su declaración de aplicabilidad,
la manera que tiene de implantar el propio esquema
dentro de la empresa, porque todo eso lo pone en el esquema
y toda esa documentación la tiene que tener la empresa licitado hora
o insisto rebajamos el nivel de ambición,
y admitimos un poco como animal de compañía.
Si no, corremos el riesgo de dejar la licitación desierta
hasta que pasa algo claro es decir, ese es el problema.
Ahora bien y a mí lo digo,
es un poco antes me viene a la cabeza el famoso con playa,
la figura del compliance, señor moderador,
le parece si damos paso a al resto de de los participantes
que están en este momento escuchando por mi parte?
Puede ser una pregunta que arcillas, a lo mejor no lo sé.
Nos queda un cuarto de hora para terminar el panel,
y así así escuchamos voces y preguntas inquietudes
que pueda haber entre público.
Un clásico.
Buenos días.
El la pregunta era en referencia
a cómo quedará por ejemplo, el DNS en un futuro nuevo
cuando, por ejemplo, una empresa de carácter europeo
pueda tener la certificación la anys 2, no, y a la hora
de hacer las contrataciones dentro del espacio europeo diga
que hay unos impedimentos que pueden favorecer a empresas
que sean nacionales
y eso luego se eleve, por ejemplo, al a los tribunales europeos.
Gracias.
Eso es para nota.
Yo creo que aquí hay dos planteamientos
que hay que pensar.
Uno en algún momento hay que intentar,
como he oído esta mañana, y me ha parecido fantástico,
evitar las dobles acreditaciones, pero segundo,
yo creo que en algún momento hay que ir al reconocimiento recíproco,
pero real,
porque ya sé que la filosofía es que todo, tal,
todo lo que afecta a la libertad de servicios tan mal es a la filosofía,
pero digo desde el punto de vista del reconocimiento recíproco,
sea, se pueda poder operar en todo el espacio europeo
con la misma certificación, expedida con la misma certificación,
o realmente, como acaba de decir,
va a haber elementos de seguridad que uno va a poder imponer.
Claro, esta mañana decían.
Está muy bien que hayamos traspuesto el esquema en un decreto.
Es verdad, me temo que la misma no va a poder ser un decreto,
sino que tendrá que ser una ley.
En consecuencia, vas a tener dos desequilibrios que son dos barreras.
Una, la del decreto,
que probablemente se la llevaría al derecho comunitario
por delante la de la ley, no sin cuestión prejudicial,
por tanto no me parece un tema fácil,
pero desde el punto de vista del del operario del usuario
de la norma lo que es clave es evitar la doble o la triple certificación,
y los reconocimientos recíproco, porque decían las sexos, pero bueno,
al final queda un cierto lío aquí montado entre la iso,
es lo mismo que les quema o habilita lo mismo ya sé
que no es lo mismo lo digo habilita, lo mismo, no habilita lo mismo,
no lo habilita.
Entonces la hizo simplemente un compromiso individual de cumplir
unos determinados requisitos y no lo vamos a exigir nunca,
porque los pliegos van a tener siempre referencia al esquema
o al o al nis?
Vale.
Y entonces podríamos llegar a deducir que alguien que exige
una acreditación iso está yendo más allá de lo que establece
la norma?
Porque nos hemos cerrado en el esquema tu
complicado es decir ese tema para evitar duplicidades
y y asegurar el reconocimiento recíproco de lo que es igual
de lo que no es igual.
Yo ya no lo sé, es muy difícil lo que es igual es muy difícil,
porque la seguridad de España no.
La seguridad de Hungría ahora mismo y es uno de los que lo tiene
o ponemos un ejemplo, los húngaros nos van a venir a decir
cuál es la seguridad que tiene que tener el Ministerio de Defensa.
Le dirigiría una, le dirigiría una pregunta del teniente coronel.
Esa flexibilidad a la hora de afrontar un proyecto
de esta naturaleza no puede rozar la prevaricación en tanto
en cuanto hay un cumplimiento normativo.
No es que no haya un cumplimiento normativo.
Si hay un cumplimiento normal,
hay una por eso el propio sistema nacional de seguridad
deja abiertas puertas durante toda su redacción
y si no cumplen con la 105, que te lo diga yo que así lo pone,
o es que esas puertas están escrita?
Porque yo creo que los propios redactores
del propio esquema son conscientes de lo que pusieron
encima de la mesa.
De hecho, he tenido la suerte
de conocer a uno de ellos la persona brillante brillantísima
y el esquema.
El propio real decreto deja,
dejas las puertas que pasa con las nuevas categorías.
Qué pasa con la televisión?
Esta televisión está en alguna categoría del esquema
que no está ninguna, y seguramente que llevo un Android por detrás, etc.
Etc. Que se hace con eso, si no tiene guía de configuración segura
no figura la guía 105.
No se le ha pasado una auditoría a quien se le deja el criterio,
no dice al criterio, al responsable de contrato.
Bueno, pues el responsable de contrato sí claro,
temporalmente ya sabemos lo que son las cosas temporales.
Gracias.
Todo formas habitantes y seguridad me da, me da pavor y me da terror,
y digo lo mismo que iba comentando antes aquí con el problema.
Es que estamos dejando un vaciado muy grande
de la propia ley de contratos en favor de normas colaterales,
y yo creo que eso es uno de los problemas que tenemos
y luego después hay que ser un poco objetivos
el objeto del contrato,
y nos tenemos que ceñir al objeto del contrato.
Entonces, claro, si yo me ciño al objeto del contrato,
pues todo eso tiene que estar muy claro,
pero el problema que tenemos es lo que dice el artículo 98
el 2, cuatro de la ley ceñirse al objeto del contrato.
Es que no nos damos cuenta, que eso es lo básico
y lo fundamental.
El problema viene,
es que luego, después, en esas normas colaterales,
como bien has dicho, hay muchas de puertas y yo me.
Las he encontrado yo
me las he encontrado como auditor nacional,
me he encontrado ese problema de exigir el esquema nacional
de seguridad y que no existía,
luego, después le ponía y luego después les han robado
todos los datos,
y resulta que toda la información en el que íbamos a basarnos en fiscalía
y todo lo demás se nos ha caído.
Claro.
El problema es quién es el responsable,
y me voy a decir una frase muy clara.
Cómo se le puede echar la culpa al que habían rogado
encima de que les roben.
Es así.
Se da esa es la pregunta dura entonces.
Claro, si yo tengo mi responsabilidad acotada a lo que tengo que tener
porque tengo datos confidenciales o tengo seguridad nacional,
etcétera Esa es el perímetro que yo tengo que delimitar,
pero más no porque si no me están echando
en lo que le estoy diciendo.
La figura del compliance en las empresas.
Les estábamos echando toda la culpa a alguien desde el muerto,
y yo creo.
Lo siento y voy a romper una lanza en favor de los técnicos.
Cuidado, todo tiene que estar en su justa medida.
Lo siento, pero creo que es
así como creo que hay que seguir hablando.
No muy simple, es una cuestión.
Bueno, quizás no somos entregas al Ministerio de Defensa en claro,
la división de seguridad, la información que lo único
que sacamos son el pliego de prescripciones
técnicas de herramientas de ciberseguridad, etc.
Etc. Pero un chascarrillo que cuando nos llegó el nis dos
para comentarios hace años fue, es que esto aplica
hasta los secadores de pelo inteligentes,
o sea en nuestro caso lo podemos tener claro,
pero y una licitación de secadores de pelo va
a tener en cuenta todo lo que figura aquí encima,
porque ahí no hay especialistas técnicos que encima dominio
en la parte de la seguridad corriente y más común,
los ayuntamientos con la admisión de recibos del agua.
Otros datos es que no nos damos cuenta.
Queremos poner puertas al campo, a mí me parece lógico en materias.
Por eso lo he dicho antes, la importancia del objeto
del contrato, porque claro,
si queremos aplicarlo a todos, perdónenme ustedes, ya es la norma,
no va a funcionar.
Déjeme que le da una pregunta.
Si tuviéramos el los riesgos evaluados definidos, yo,
con un técnico ajeno al sistema,
puedo conseguir saber si el órgano de contratación sea desviado,
eso de baja que perdemos se ha desviado
y ha señalado un requisito que no es el que corresponden.
Yo creo que no, porque es un criterio técnico,
y lo digo por un texto.
Es decir, no hayamos ido.
Aun siendo un grito, extraemos una escuela sí
pero es que los requisitos técnicos fluctúan en función de la propia,
incluso tecnología, sí;
pero yo lo que le digo es usted de sus características,
y me lo sabe y dice.
Si para este proceso estas son las características,
y yo lo que digo es.
Si a esas características usted dice bajo,
yo tengo un tenido que dice.
A eso le correspondería medio, si bueno,
en cierta manera sobre su mismo criterio,
eso y no quiero, si en cierta manera
el Ministerio de Defensa hace esa doble evaluación,
porque los responsables de contrato no pueden por normativa,
intenta interna participar en las mesas de contratación.
Es decir, nosotros escribimos el responsable de contacto,
en mi caso, escribo el el pliego,
pero luego el que lo evalúa, es otro técnico,
y yo eso perdonaba quiero dejarlo muy claro.
Es que esta es una de las normas.
Yo digo Alberto porque en una tesis doctoral reciente,
se ha planteado la norma de Cestic justamente por copiar normas nato
o normas total.
Tiene la gran suerte
de que la valoración se hace y no pueden intervenir,
no como ocurre en otras administraciones.
No Cestic tiene una norma muy avanzada de contratación,
y lo quiero decir desconectando a la pregunta
contestando a la pregunta, si se puede,
si se puede,
porque de facto se hace.
Independientemente de eso, también debo decir que en el Cestic
se ha elaborado una plantilla de seguridad información
para expedientes de contratación y, entonces,
vienen todos los licitadores.
Saben lo que se van a encontrar porque existe,
existe una norma, una plantilla de obligado cumplimiento.
Yo lo planteaba un poco por ser, por centrar el debate,
no es simplemente porque lo que se va,
lo que nos vamos a encontrar en la vida judicial
es gente que dice.
La baja no es ni la media, no es la alta no es entonces
la gran pregunta y eso como se objetiva
y efectivamente la única salida es repetir el juicio intelectual
de aquel que ha señalado eso en el pliego.
Si usted me da la los riesgos, me da, me dice cómo los ha situado
y yo soy capaz de tener una pericial que diga.
Eso es la forma en la que ha resuelto el riesgo,
no es la correcta desde el punto de vista del valor
que intentaba proteger embolado.
El pliego ha contestado usted, imagínese preciosa esa ese reducido,
el juego, ese razonamiento muy complejo
desde el punto de vista técnico en muchos casos
y aquí esta soraya jefa de la unidad.
Auditoría del Cestic, nos ha llevado a empujar,
que la propia infraestructura integral de información
de la defensa estén un en ese medio y con refuerzos de alto sí;
pero esto un en ese medio nos vamos a al alto,
nos vamos a ir al básico.
Nos queda una última pregunta para terminar de venir permitirme
que no seáis vosotros los que os preguntéis a vosotros mismos
y que.
Y qué?
Y que pueda preguntar la última pregunta bien,
del público Maria.
Por ahí.
Y Madrid, donde de santabárbara, donde yo vi buenos días,
creo aprovechar hacer una reflexión un poco más de la perspectiva
práctica de la industria que estamos aquí como afectados,
vamos a decir así y sobre todo por una cuestión que estamos viviendo,
quizá también por la parte que me toca en todas las hectáreas general
y luego lo que viene siendo traer al terreno práctico
lo que vienen los pliegos y esa cadena de suministro
que tenemos por debajo, si bien es cierto
que estamos ahora mismo en un momento normativo
en el que a través de Europa se intenta controlar
a toda la cadena de suministro, ya no solamente en esta materia,
sino en otras materias, como la diligencia debida y bueno,
pues todas estas normas que ya están ya están ahora mismo
para ir avanzando.
En cuanto a la seguridad de la información, yo me encuentro
con una situación difícil de explicar a la cadena de suministro
y que por gracia y por desgracia a veces
directamente firman lo que yo llamo de manera kamikaze,
no sin leerlo y asumimos el riesgo y lo importante es la ejecución
no que nos ocurre.
Vamos a partir de la base de que nosotros dentro de lo que hay
en ese entorno podemos hablar de información confidencial per se,
porque es dentro de las categorías de la información clasificada,
una de ellas, por tanto, yo fuera de ese entorno
no debería estar hablando de información confidencial
y de alguna manera educamos para que hablemos de información sensible.
Evidentemente, cualquier empresa quiere proteger su información
más allá de lo que cualquier ley pueda decir,
porque es información comercial estratégica para poder continuar
con su devenir económico.
No.
Qué ocurre?
Que además de eso tengo una norma de protección de datos,
y aquí es donde yo voy a entrar a la mayor complejidad
que nos encontramos,
y es si yo me certifico en el esquema nacional de seguridad.
Estoy protegiendo unos datos que podrán ser datos
o no personales,
pero es que por otro lado y otro que cumplir con los requisitos
de protección de datos que van más más allá
y podrán estar o no ligados a mi información,
sensible, información clasificada,
que venga a mi cliente, Ministerio de Defensa,
cómo traslado yo todo eso?
Mi cadena de suministro?
Cómo me puedo hacer yo, responsable de mi cadena,
de suministro, de su cumplimiento con el nivel de incertidumbre
que hay?
Claro.
Nos encontramos en una situación en la que, por un lado,
yo les pido que si tienen una brecha de seguridad a nivel de datos,
de protección de datos, de datos personales,
tienen que cumplir con unas unos plazos
de notificación, etc.
Etc. Pero ahora resulta que también por información
dentro de este esquema nacional de seguridad
y de lo que nos viene con mis 2, cuando sea que llegue,
cómo voy a asegurar esto,
de qué manera eso confluye pues hasta que no pase algo
y se pronuncien.
Ya no simplemente haciendo
una interpretación del pliego en concreto,
sino con carácter general.
Qué hacemos mientras tanto?
Para eso, para mí la respuesta surfear la ola,
como bien podamos era lo que te iba a preguntar.
No es retórica, no quieres que contesten,
no encantaría, pues me encantaría rápidamente para cerrar
esta este este Madrid adelante.
Bueno, esta es una discusión que que subyace
en nuestras conversaciones con la Agencia Española de Protección
de Datos la Oficina central de protección de datos del ministerio.
Tengo la suerte de tener la bajo mis órdenes
y discutir de estos temas.
Habitualmente no vamos a ver, tenemos una.
Una tenemos una legislación de,
o sea, una ley de información futura.
Ley de información clasificada.
Actualmente años 68 aquí afecta a las materias,
reservadas y secretas.
No afecta, no afecta a las materias
clasificadas como debida reserva interna, que es tanto el confidencial
como la difusión limitada.
Existe una oficina nacional de seguridad,
con una regulación al amparo de la agencia nacional
de información clasificada,
normativa que se llama de protección de información clasificada,
que sí establece en uno de sus puntos
la definición de información sensible, y tenemos una ley orgánica
de protección de datos que dice que todo para dentro,
excepto si es reservado y secreto si te quieres salir de la ley
orgánica de protección de datos ha reservado y secreto,
y si no, a sufrir.
Bueno, pues muchísimas gracias.
Quiero dar las gracias a las personas que han estado conmigo,
a los dos a Talde Palomar,
como a José Francisco García -Gil, porque creo que la intervención
ha sido bastante clarificadora,
aunque reconozco que la materia por ser lo que es,
dejan dudas.
Sí que pido para ello lógicamente un aplauso.