LEY 7/2023, de 29 de junio, de creación de la Agencia Vasca de Ciberseguridad.

1. – Se crea la Agencia Vasca de Ciberseguridad como un ente público de derecho privado del sector público de la Comunidad Autónoma Vasca, con personalidad jurídica propia, que ajusta su actividad al ordenamiento jurídico privado, con plena capacidad de obrar para el cumplimiento de sus fines y con autonomía orgánica y funcional, adscrita al departamento competente en materia de seguridad a través de la persona titular de la Viceconsejería de Seguridad.

2. – La sede de la Agencia se situará en Vitoria-Gasteiz. Para el ejercicio de sus funciones, la Agencia podrá contar con el apoyo de delegaciones en cada uno de los territorios históricos de la Comunidad Autónoma Vasca.

3. – La Agencia se rige por la presente ley, por las disposiciones legales aplicables a los entes públicos de derecho privado y sus estatutos, que serán aprobados por decreto del Gobierno Vasco a propuesta del departamento del Gobierno Vasco competente en materia de seguridad.

4. – La actividad de la Agencia se ajusta, en sus relaciones externas, a las normas de derecho civil, mercantil y laboral que le son de aplicación, salvo los actos que implican el ejercicio de potestades públicas, que se someten al derecho administrativo. La Agencia, en sus relaciones con el departamento al que se adscribe, se somete al derecho administrativo, en concreto, aquellas contenidas en las letras d), e), f), g), h), j), o), p), q), r), s) y u) del artículo 2.2, cuando se refieran al sector público vasco.

5. – La representación y defensa en juicio de la Agencia Vasca de Ciberseguridad estará a cargo del Servicio Jurídico del Gobierno Vasco, conforme a lo dispuesto en las normas reguladoras de este.

1. – La Agencia tiene como objeto promover y coordinar la ciberseguridad en el sector público vasco delimitado en la Ley 3/2022, de 12 de mayo, del Sector Público Vasco, en el ámbito de la seguridad de los sistemas de información y de las redes electrónicas de competencia de dicho sector, y apoyar e impulsar la capacitación en ciberseguridad y el desarrollo digital seguro de la Comunidad Autónoma Vasca, de su Administración pública, de su ciudadanía y de su tejido empresarial.

2. – Para el cumplimiento de su objeto, corresponden a la Agencia las siguientes funciones:

   1. Promover una estrategia de ciberseguridad para el conjunto de las administraciones públicas de la Comunidad Autónoma Vasca, y potenciar y coordinar el alineamiento en la ciberseguridad en dicho conjunto.

   2. Impulsar un marco de estándares, directrices y normas técnicas de seguridad recomendables para el sector público vasco.

   3. Informar, con carácter preceptivo, en los procedimientos de elaboración de disposiciones normativas tramitadas por la Administración de la Comunidad Autónoma Vasca en materia de ciberseguridad.

   4. Realizar evaluaciones anuales de las políticas públicas en materia de ciberseguridad desplegadas en el ámbito del sector público vasco.

   5. Prevenir y detectar incidentes de ciberseguridad en la Comunidad Autónoma Vasca y responder a ellos, estableciendo criterios y promoviendo el despliegue de las medidas de protección pertinentes ante las ciberamenazas y los riesgos inherentes sobre las infraestructuras tecnológicas, los sistemas de información, los servicios de las tecnologías de la información y la comunicación, y la información que estos tratan, todo ello con respeto del marco competencial aplicable.

   6. Recoger los datos pertinentes de las entidades que gestionan servicios públicos o esenciales en la Comunidad Autónoma Vasca en relación con el estado de la seguridad de la información, prestando especial atención a los sistemas considerados como críticos para el funcionamiento de los servicios públicos o la seguridad de las personas, con vistas a informar al Gobierno Vasco, así como a las administraciones públicas del territorio que intervengan en la prestación de dichos servicios críticos y esenciales, y proponer las medidas adecuadas llevando a cabo la gestión de riesgos en materia de ciberseguridad.

   7. Ejercer las funciones del equipo de respuesta a emergencias (CERT) dentro de las competencias de la Comunidad Autónoma Vasca. Dado que se trata de un fenómeno transfronterizo, es necesario colaborar con las administraciones y agencias de otros territorios con el objetivo de minimizar los daños y el tiempo de recuperación en caso de ciberataque.

   8. Coordinar los equipos de respuesta a incidentes de ciberseguridad (CSIRT) y los equipos de respuesta a emergencias o las entidades equivalentes que actúen en su ámbito de actuación y de acuerdo a la legislación vigente, estableciendo modelos de colaboración con otros CSIRT estatales e internacionales. Asimismo, la Agencia ejercerá funciones de alerta temprana y de ayuda en la respuesta ante amenazas, vulnerabilidades, ataques e incidentes de seguridad en el ámbito del sector público vasco.

   9. Trabajar en pro de una cooperación más estrecha con las universidades y los organismos de investigación con el fin de contribuir a un planteamiento estratégico para reducir la dependencia de productos y servicios de ciberseguridad de fuera de la Unión Europea y reforzar las cadenas de suministro de dentro de la Unión Europea.

   10. Investigar y analizar tecnológicamente los ciberincidentes y ciberataques sobre infraestructuras tecnológicas, sistemas de información y servicios de tecnologías de la información.

   11. Garantizar un nivel adecuado de ciberseguridad en el uso de medios electrónicos.

   12. Organizar actividades de difusión, promoción, formación y concienciación en materia de ciberseguridad.

   13. Organizar actividades para promocionar el talento en la ciberseguridad, y participar en actividades de ciberseguridad, dando a conocer referentes, haciendo especial hincapié en las mujeres profesionales de la ciberseguridad.

   14. Proponer medidas técnicas de ciberseguridad en la utilización de los recursos informáticos y de las comunicaciones existentes, y proponer la formación en estas medidas del personal de la Administración de la Comunidad Autónoma Vasca y del propio personal de la Agencia.

   15. Actuar como apoyo, en materia de ciberseguridad, de cualquier autoridad competente para el ejercicio de sus funciones públicas y, en particular, en las tareas de lucha contra las conductas ilícitas, incluidas la intervención directa y la obtención de pruebas electrónicas.

   16. Coordinar al sector público vasco en la elaboración de sus respectivos planes de ciberseguridad, así como en la consecución de los objetivos establecidos en los mismos.

   17. Poner sus servicios materiales y técnicos de ciberseguridad a disposición del sector público vasco.

   18. Impulsar la coordinación del sector público vasco en todo lo que se considere necesario para la consecución de los objetivos especificados en los planes de ciberseguridad, estableciendo para ello las líneas de colaboración que se entiendan necesarias.

   19. Ostentar la representación oficial del sector público vasco ante organismos internacionales, estatales y regionales en materia de ciberseguridad.

   20. Apoyar e impulsar la capacitación en materia de ciberseguridad y el desarrollo digital seguro en el ámbito empresarial y en los sectores esenciales de la Comunidad Autónoma Vasca, como son el sector sanitario, el sector de emergencias y seguridad, el sector de servicios sociales y de intervención social, el sector educativo, el sector del transporte y el sector de la energía y las telecomunicaciones, o cualquier otro sector que pudiera considerarse sensible.

   21. Cualesquiera otras competencias que le sean conferidas por la legislación vigente o le sean expresamente delegadas o atribuidas.

3. – Para el cumplimiento de su objeto, la Agencia ejercerá sus funciones con relación al tejido empresarial en coordinación con el departamento del Gobierno Vasco competente en materia de promoción económica, y establecerá la colaboración necesaria con los prestadores de servicios de la sociedad de la información y de comunicaciones electrónicas que actúen o tengan infraestructura en la Comunidad Autónoma Vasca, así como con los sectores esenciales.

4. – La Agencia colabora con los organismos judiciales y policiales de acuerdo con lo establecido por la normativa vigente. En el ejercicio de sus funciones, la Agencia debe coordinarse con los cuerpos policiales y de seguridad pública, sin perjuicio de las funciones propias del departamento competente en esta materia. En especial, la Agencia debe prestar el apoyo y facilitar la coordinación que le sea requerida por los cuerpos policiales para la ciberseguridad y protección de los sistemas de información policiales, de acuerdo con las competencias que dichos cuerpos tienen reconocidas en esta materia.

5. – La Agencia debe establecer líneas de colaboración en el ámbito de la ciberseguridad con las diputaciones forales y con los entes locales de la Comunidad Autónoma Vasca.

Los órganos de gobierno de la Agencia son el Consejo de Administración y la Dirección General.

El Consejo de Administración es el órgano colegiado superior de gobierno de la Agencia, y estará integrado por los siguientes dieciséis miembros:

1. El presidente o la presidenta, cargo que corresponderá al consejero o a la consejera del departamento competente en materia de seguridad, que tendrá voto de calidad.

2. El vicepresidente o la vicepresidenta, cargo que corresponderá al consejero o a la consejera del departamento competente en materia de desarrollo económico.

3. Un o una vocal por cada uno de los departamentos competentes en materia de seguridad, gobernanza pública y desarrollo económico, que tendrán el cargo de viceconsejero o viceconsejera de dichos departamentos.

4. Un o una vocal por cada una de las diputaciones forales, que será designado o designada libremente por el órgano legalmente competente de las mismas.

5. Un o una vocal por cada uno de los ayuntamientos de las tres capitales de los territorios históricos de la Comunidad Autónoma Vasca, que será designado o designada libremente por el órgano legalmente competente de estos.

6. Un o una vocal en representación de la Asociación de Municipios Vascos (Eudel), por designación de esta.

7. Un vocal o una vocal que se corresponderá con la persona que tenga la titularidad de la gerencia de la Sociedad Informática del Gobierno Vasco (EJIE).

8. Un o una vocal que se corresponderá con la persona que tenga la dirección general de la Agencia.

9. Un o una vocal que se corresponderá con la persona que tenga la dirección del Gobierno Vasco competente en materia de tecnologías de la información y la comunicación.

10. Un secretario o secretaria, con voz pero sin voto, que será designado o designada por el Consejo de Administración de la Agencia.

Corresponderán al Consejo de Administración las siguientes funciones:

1. Aprobar los planes generales de actividades de la Agencia.

2. Aprobar el anteproyecto de presupuesto anual de la Agencia.

3. Aprobar la memoria anual de actividades de la Agencia.

4. Elaborar, de acuerdo con las condiciones legales que resulten aplicables, la propuesta de las plantillas y del régimen retributivo del personal de la Agencia, que deberá ser aprobada por el Gobierno Vasco.

5. Proponer, para su elevación al Gobierno Vasco, la aprobación y la modificación de los estatutos de la Agencia y demás normas relativas a su organización y funcionamiento.

6. Proponer la elevación al Gobierno Vasco de otras propuestas de decisión que requieran acuerdo de este.

7. El seguimiento, supervisión y evaluación de la actuación de la Agencia y, en particular, el control de la gestión de la Dirección de la Agencia y la exigencia a esta de las responsabilidades que procedan.

8. Autorizar la participación en otras entidades o personificaciones jurídicas, conforme a la normativa que resulte de aplicación, a fin de ejercer los derechos que correspondan en las mismas a la Agencia Vasca de Ciberseguridad.

9. Aprobar los convenios, acuerdos, protocolos o acciones que procedan.

10. Informar periódicamente sobre la actividad de la Agencia al Gobierno Vasco.

11. Ejercer las otras funciones que le otorguen las leyes o los estatutos de la Agencia y aquellas otras que, correspondiendo a la Agencia, no estén atribuidas a ningún otro órgano de esta.

1. – La Dirección General de la Agencia será designada libremente por el Gobierno Vasco, a propuesta de la Presidencia del Consejo de Administración.

2. – La Dirección General de la Agencia será unipersonal. La persona designada tendrá el cargo de viceconsejero o viceconsejera del Gobierno Vasco.

3. – Son funciones del director o la directora general:

1. La dirección ordinaria de la Agencia y de su personal.

2. La propuesta y ejecución de las decisiones del Consejo de Administración.

3. La representación ordinaria de la Agencia.

4. La formalización de convenios, acuerdos, protocolos o acciones que procedan, en representación de la Agencia.

5. La contratación en nombre de la Agencia, así como la disposición de gastos y ordenación de pagos, de acuerdo con lo previsto en la legislación vigente.

6. Presentar al Consejo de Administración las orientaciones generales de la planificación de la actividad de la Agencia, de su plan director y planes anuales, así como la propuesta de evaluación de sus resultados y el documento anual de evaluación regulado por el artículo 52 de la Ley 3/2022, de 12 de mayo, del Sector Público Vasco.

7. Proponer al Consejo de Administración el anteproyecto de presupuesto anual de la Agencia, las plantillas y su régimen retributivo, así como la memoria anual.

8. Cualesquiera otras funciones que le encomiende el Consejo de Administración de la Agencia o sus estatutos.

1. – La dirección de la Agencia contará con un consejo consultivo, que presidirá, compuesto por los siguientes miembros:

   1. Un representante o una representante de cada uno de los departamentos competentes en materia de educación y de salud, que serán designados por las personas titulares de los mismos.

   2. Una persona experta de reconocido prestigio en el ámbito universitario o de evaluación en materia de ciberseguridad, que será designada por las universidades con sede en la Comunidad Autónoma Vasca de forma rotatoria.

   3. Una persona experta de reconocido prestigio en el ámbito tecnológico, designada por la Alianza de Centros Tecnológicos BRTA de forma rotatoria.

   4. Una persona en representación de la asociación empresarial Cybasque, que aglutina las industrias de ciberseguridad de la Comunidad Autónoma Vasca, designada por esta.

   5. El director o la directora general de la Autoridad Vasca de Protección de Datos.

   6. La persona que tenga la jefatura de la división de la Ertzaintza competente en materia de delitos informáticos.

   7. La persona que tenga la presidencia del Consejo de Administración de la Empresa de Certificación y Servicios, Izenpe, S.A.

   8. El director o directora general de la SPRI-Agencia Vasca de Desarrollo Empresarial.

   9. Dos personalidades con proyección internacional y reconocido prestigio en el ámbito de la ciberseguridad, a propuesta de la presidencia del Consejo de Administración.

2. – Son funciones del Consejo Consultivo:

   1. El asesoramiento a los órganos de gobierno de la Agencia.

   2. La emisión de informes sobre todas aquellas cuestiones que le sometan los órganos de gobierno de la Agencia, y la formulación de propuestas en temas relacionados con las materias de la competencia de la Agencia.

3. – El Consejo Consultivo aprobará sus propias normas de organización y funcionamiento, en las que se preverán las figuras de presidente o presidenta y secretario o secretaria, así como el sistema para su elección o designación.

4. – Se procurará que la composición del Consejo Consultivo tenga una representación equilibrada entre mujeres y hombres, con capacitación, competencia y preparación adecuada. A los efectos, se considera representación equilibrada cuando ambos sexos estén representados al menos al 40 %.

5. – En el nombramiento de quienes sean miembros electivos del Consejo Consultivo se tendrá en cuenta la capacitación lingüística suficiente en las dos lenguas oficiales de la Comunidad Autónoma del País Vasco.

Contra las resoluciones dictadas por la Dirección y por el Consejo de Administración de la Agencia en el ejercicio de sus funciones públicas procederá la interposición de recurso contencioso-administrativo. Podrá interponerse con carácter previo, potestativamente, recurso de reposición.

Corresponde al Gobierno Vasco aprobar, mediante decreto, los estatutos de la Agencia, los cuales deben determinar y regular las funciones de los órganos de gobierno, el funcionamiento del Consejo de Administración, la estructura orgánica interna y el régimen de funcionamiento de la Agencia, así como el resto de contenidos a que se refiere el artículo 44.3 de la Ley 3/2022, de 12 de mayo, del Sector Público Vasco.

1. – La Agencia es responsable de la contratación, la gestión y la formación de su personal, de manera autónoma.

2. – El personal de la Agencia está formado por:

1. Personal propio, contratado en régimen de derecho laboral respetando los principios de igualdad, mérito y capacidad.

2. Personal de la Administración pública de la Comunidad Autónoma Vasca. Los puestos de trabajo que comporten el ejercicio de potestades públicas estarán reservados a personal funcionario, al que se aplicará la normativa reguladora de la función pública de la Administración de la Comunidad Autónoma Vasca.

1. – La Agencia goza de la autonomía financiera establecida por la normativa de finanzas de la Administración de la Comunidad Autónoma Vasca.

2. – La Agencia elaborará y aprobará con carácter anual el correspondiente anteproyecto de presupuesto y lo remitirá al Gobierno Vasco para que, previa su aprobación, sea integrado, con la debida independencia, en los presupuestos generales de la Comunidad Autónoma Vasca, de acuerdo con lo establecido en su normativa reguladora del régimen presupuestario.

3. – Constituye el patrimonio de la Agencia Vasca de Ciberseguridad, integrado en el patrimonio de la Comunidad Autónoma Vasca, el conjunto de los bienes y derechos cuya titularidad le corresponda, de acuerdo con lo establecido en el texto refundido de la Ley de Patrimonio de Euskadi, aprobado por el Decreto Legislativo 2/2007, de 6 de noviembre.

   Corresponden al ente público de derecho privado Agencia Vasca de Ciberseguridad las facultades sobre bienes y derechos cuya titularidad tenga, así como sobre los que tenga adscritos, de conformidad con lo dispuesto en el texto refundido de la Ley de Patrimonio de Euskadi.

   Los bienes y derechos adscritos serán objeto de seguimiento a través de su contabilidad patrimonial. Asimismo, el ente público prestará la colaboración que requerirá la confección del Inventario General de Bienes y Derechos del Patrimonio de Euskadi.

4. – Los recursos de la Agencia están integrados por:

   1. Los productos y las rentas de su patrimonio y de los bienes que tengan adscritos, o cuya administración y explotación tenga atribuida.

   2. Las consignaciones y transferencias que anualmente se le asignen en los presupuestos generales de la Comunidad Autónoma Vasca.

   3. Los ingresos que, conforme a lo previsto en la legislación vigente, pudiera corresponderle percibir y los que se produzcan como consecuencia de sus actividades.

   4. Las subvenciones, aportaciones, así como los recursos económicos que, de acuerdo con las leyes, pueda recibir por donación o título sucesorio.

   5. Cualquier otro recurso que le pudiera corresponder de acuerdo con las disposiciones legales o reglamentarias.

5. – El control económico se ejercerá en la modalidad de control económico-financiero y de gestión de carácter permanente, de acuerdo con lo establecido en el texto refundido de la Ley de Control Económico y Contabilidad de la Comunidad Autónoma de Euskadi, aprobado por Decreto Legislativo 2/2017, de 19 de octubre, sin perjuicio del que corresponda al Tribunal Vasco de Cuentas Públicas.

6. – La Agencia aprobará anualmente una memoria de actividades, que debe entregar al Gobierno y al Parlamento, y que el director o directora de la Agencia deberá presentar ante la comisión del Parlamento Vasco que resulte competente en materia de seguridad.

1. – La contratación de la Agencia se rige por la legislación en materia de contratación pública, así como por su normativa de desarrollo.

2. – El órgano de contratación de la Agencia es la Dirección General.

1. – La extinción y liquidación de la Agencia se realizará conforme al procedimiento y requisitos que se establezcan en la legislación aplicable.

2. – En el supuesto de extinción o disolución de la Agencia, el personal se integrará en las condiciones fijadas en la ley de presupuestos generales de la Comunidad Autónoma Vasca.

1. – El ente público de derecho privado SPRI-Agencia Vasca de Desarrollo Empresarial, en cuanto responsable del Basque Cybersecurity Centre-Centro Vasco de Ciberseguridad, cede a la Agencia Vasca de Ciberseguridad, para el cumplimiento de sus funciones, los activos materiales a los que hace referencia el artículo 6.2 del Decreto Legislativo 2/2007, de 6 de noviembre, de aprobación del Texto Refundido de la Ley del Patrimonio de Euskadi, el personal y los recursos asignados al centro. La aceptación de la adquisición gratuita de dichos activos materiales corresponde a quien tenga su representación legal.

   Para ejecutar esta cesión, el centro debe realizar los trámites internos necesarios desde la aprobación de la presente ley, y la Administración de la Comunidad Autónoma Vasca debe realizar las modificaciones administrativas y presupuestarias necesarias.

2. – La Agencia Vasca de Ciberseguridad se subroga en los contratos y convenios suscritos por SPRI-Agencia Vasca de Desarrollo Empresarial, así como en la representación en organismos de ámbito estatal e internacional a los que acude dentro del ámbito de la ciberseguridad, de acuerdo con lo establecido en la normativa de contratación pública.

3. – La Agencia Vasca de Ciberseguridad se subroga en la posición jurídica de la Administración de la Comunidad Autónoma Vasca y de las entidades de su sector público en cuanto a los derechos y obligaciones que le corresponden en el ámbito de las funciones que la Agencia asume, lo cual debe concretarse en el decreto de aprobación de los estatutos.

1. – El ente público de derecho privado SPRI-Agencia Vasca de Desarrollo Empresarial, como responsable del Basque Cybersecurity Centre-Centro Vasco de Ciberseguridad, debe continuar ejerciendo sus funciones a través de los medios técnicos y personales y de los activos propios hasta que se constituya efectivamente la Agencia y se complete su puesta en marcha.

2. – El personal laboral que, en la fecha de constitución de la Agencia, esté prestando servicios en el Basque Cybersecurity Centre-Centro Vasco de Ciberseguridad, perteneciente a SPRI, podrá incorporarse a la Agencia de acuerdo con lo establecido por la normativa laboral.

1. – La fecha de puesta en marcha e inicio de las actividades de la Agencia será la que se establezca en el decreto que apruebe sus estatutos, y en todo caso antes de seis meses desde la entrada en vigor de la presente ley.

2. – Para el caso en que el inicio de las actividades no coincida con la entrada en vigor de la correspondiente ley de presupuestos, el Gobierno Vasco aprobará el presupuesto de la Agencia, al que se acompañarán las correspondientes cuentas anuales previsionales correspondientes al ejercicio económico en que inicie sus actividades, de lo que se dará cuenta a la Comisión de Economía, Hacienda y Presupuestos del Parlamento Vasco en el plazo de quince días. A tales efectos, se autoriza al departamento competente en materia de presupuestos a realizar las modificaciones que fueran necesarias para la formación de dicho presupuesto, sin que puedan suponer un incremento del importe global consignado en las partidas de los presupuestos generales vigentes al inicio de las actividades del ente público.

   Se autoriza al Gobierno para que realice las modificaciones presupuestarias y patrimoniales necesarias para traspasar a la Agencia los recursos a que se refiere la disposición adicional.

   La presente ley entrará en vigor el día siguiente al de su publicación en el Boletín Oficial del País Vasco.

   Por consiguiente, ordeno a todos los ciudadanos y ciudadanas de Euskadi, particulares y autoridades, que la guarden y hagan guardarla.

   Vitoria-Gasteiz, a 7 de julio de 2023.

   El Lehendakari,

   IÑIGO URKULLU RENTERIA.