Agencia de Ciberseguridad de la COMUNIDAD DE MADRID

LEY 14/2023, de 20 de diciembre, por la que se crea la Agencia de Ciberseguridad de la Comunidad de Madrid.

La Presidenta de la Comunidad de Madrid.

Hago saber que la Asamblea de Madrid ha aprobado la presente Ley, que yo, en nombre del Rey, promulgo.

PREÁMBULO

I

La sociedad de la información se configura como una plataforma global para la libre circulación de la información, las ideas y el conocimiento, y los poderes públicos apuestan claramente por su implantación, utilizando cada día más las herramientas tech que tanto las administraciones como los prestadores de servicios ponen a su disposición. El uso cotidiano de las tecnologías de la información y la comunicación (TIC) y el tratamiento que realizan de la información las convierten en elementos esenciales para el actual desarrollo económico y la convivencia social.

Por todo ello, la ciberseguridad se ha convertido en un tema de importancia estratégica en nuestra sociedad, y la Comunidad de Madrid, como uno de los centros económicos y tecnológicos más destacados de España y Europa, debe reforzar y aumentar sus capacidades de ciberseguridad para mejorar la protección de todas sus instituciones y de sus ciudadanos.

En el ámbito de las Administraciones Públicas, la consagración del derecho del ciudadano a comunicarse con ellas a través de medios electrónicos comporta una obligación correlativa de las mismas, como es la de crear las condiciones necesarias para optimizar el correcto funcionamiento de las infraestructuras esenciales en su relación con los ciudadanos.

Reforzar la ciberseguridad en todas las administraciones en Europa, España y también en la Comunidad de Madrid frente a las ciberamenazas, no sólo es un mandato recogido por la normativa europea, sino que es necesario para garantizar que todos los ciudadanos y empresas puedan beneficiarse plenamente de servicios y herramientas digitales seguros y fiables.

La Comunidad de Madrid alberga operadores e infraestructuras críticas que son vitales, incluyendo, entre otros, sistemas de transporte, energía, sanidad, agua y centros financieros. Una eventual deficiente gestión de riesgos de ciberseguridad por parte de los operadores que gestionan estas infraestructuras aumentaría su vulnerabilidad ante posibles ciberataques, propios o de terceros que componen su cadena de suministro, que pueden interrumpir el normal funcionamiento de servicios esenciales y minar la credibilidad y la imagen de nuestra región, cada vez más interconectada y abierta al mundo.

Para dar respuesta a estas necesidades, es preciso un organismo que, en el ámbito de competencias de la Comunidad de Madrid con una clara vocación de coordinación con similares organismos autonómicos, nacionales y europeos, vele por el cumplimiento de las funciones del servicio público de ciberseguridad y permita impulsar una cultura de la ciberseguridad que incremente el nivel de seguridad de las redes y los sistemas de información en la Comunidad de Madrid, incluyendo las Administraciones Públicas y empresas, PYMES y ciudadanos, en la estricta medida en que sea necesario para la relación por medios electrónicos con la Administración. Sus funciones deben basarse en la implantación de medidas de prevención, detección y respuesta sobre la infraestructura pública y sus servicios, así como en la coordinación con los proveedores privados de servicios de la sociedad de la información para la consecución de sus objetivos, desarrollando así una política pública de ciberseguridad.

Desde la Comunidad de Madrid se considera también necesario dar cobertura y aumentar las capacidades de ciberseguridad de las corporaciones locales, especialmente de aquellos ayuntamientos de menos de 20.000 habitantes, todo ello para prevenir incidentes y ofrecer una respuesta coordinada ante cualquier situación de crisis, así como para impulsar un nuevo liderazgo en la protección de la información de los ciudadanos.

La seguridad de la información en general y la ciberseguridad en particular son concebidas como una parte intrínseca a la digitalización. Así el programa Europa Digital 2021-2027 recoge en uno de sus ejes para conseguir la digitalización europea la promoción de la ciberseguridad. De la misma forma, la Agenda España Digital 2026 establece que el reto para 2026 es incrementar las capacidades de ciberseguridad en España, fomentar el desarrollo del ecosistema empresarial en este sector (industria, I+D+i y talento), y potenciar el liderazgo internacional del país en materia de ciberseguridad, en colaboración con las comunidades autónomas a través de proyectos estratégicos de digitalización dentro del programa RETECH (Redes territoriales de especialización tecnológica) del Plan de Recuperación, Transformación y Resiliencia, sin perjuicio de los futuros programas marcos que puedan aprobarse en materia de ciberseguridad.

Nos encontramos, por tanto, ante una materia transversal que complementa y da soporte a muchas otras iniciativas y competencias de los distintos organismos de la Comunidad de Madrid, sin que deba entenderse esta función como una intromisión, sino como un refuerzo y una acción de gobierno coordinada. Por ello, la Agencia de Ciberseguridad ha de tener presente la imprescindible coordinación entre todas las unidades que trabajan en conexión con y desde las redes de comunicaciones, así como también es necesaria la coordinación con otras unidades y organismos, muy especialmente con aquellos competentes en los distintos ámbitos de la seguridad física y de las personas.

La existencia de una Agencia de Ciberseguridad no exime a todas las entidades y organismos, dentro del ámbito de actuación de ésta, de su responsabilidad de vigilancia y aplicación de medidas de ciberseguridad propias a sus sistemas y peculiaridades. En este sentido, el objeto definido en el articulado se centra en dirigir y coordinar y no en implementar, operar o ejecutar funciones que seguirán siendo responsabilidad de cada uno de los organismos.

Consecuentemente, será misión de la Agencia de Ciberseguridad proponer al Consejo de Gobierno la política global de seguridad de la información de la Comunidad de Madrid en la que, siguiendo la propuesta de las guías sobre seguridad de las tecnologías de la información y la comunicación del Centro Criptológico Nacional (en adelante CCN), se definirá la organización de la ciberseguridad, su gobernanza y su estructura normativa, que cada organismo responsable de sistemas de información y redes electrónicas de comunicaciones desarrollará mediante políticas de seguridad relacionadas con los aspectos específicos de su competencia y que, a su vez, se desarrollarán en normas y planes concretos para cada uno de los sistemas que gestionen.

Así pues, la presente ley tiene como finalidad la creación de un ente de Derecho público, la Agencia de Ciberseguridad de la Comunidad de Madrid, con personalidad jurídica propia, sometida, con carácter general al Derecho privado salvo en el ejercicio de potestades administrativas que se sujetará al Derecho público, a la que se otorgan, entre otras funciones, las de: asesorar al Gobierno de la Comunidad de Madrid en el desarrollo de su estrategia de ciberseguridad y proponer la política global de seguridad de la información de la Comunidad de Madrid; proponer y promover el uso de soluciones y servicios de ciberseguridad destinados a la prevención, detección y respuesta ante las amenazas contra la seguridad de las redes y sistemas en su ámbito de actuación; promocionar el talento y fomentar el emprendimiento del ecosistema empresarial de ciberseguridad, como herramienta pilar del crecimiento industrial y económico; y coordinar con organismos público-privados, operadores esenciales y críticos y entidades locales de la Comunidad de Madrid, en la medida en que se relacionen con la Administración autonómica por medios electrónicos, en aras a la consecución de los objetivos especificados en las políticas de ciberseguridad, en particular promoviendo y colaborando en el intercambio de información sobre incidentes y desarrollo de buenas prácticas.

La Agencia de Ciberseguridad servirá a la Comunidad de Madrid para prestar apoyo a las entidades locales de la región, especialmente las enunciadas por el artículo 36.1.g), para que sean capaces de responder a sus responsabilidades en materia de ciberseguridad, tal y como está establecido en la Ley 7/1985, de 2 de abril, Reguladora de las Bases de Régimen Local.

En definitiva, se trata de dotar a la Comunidad de Madrid de un organismo que actúe como catalizador de una cultura de ciberseguridad que genere un clima de confianza y seguridad que contribuya al desarrollo de la economía y la sociedad digital.

La Agencia en su ámbito de competencia definirá y promoverá la aplicación de políticas públicas en materia de ciberseguridad siguiendo lo establecido en las legislaciones nacional y europea. Igualmente se guiará por los principios éticos en el ámbito de sus competencias.

El 27 de diciembre de 2022 se publicó la Directiva NIS2 (UE) 2022/2555 del Parlamento Europeo y del Consejo, de 14 de, diciembre de 2022, relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión, por la que se modifican el Reglamento (UE) n.^o 910/2014 y la Directiva (UE) 2018/1972 y por la que se deroga la Directiva (UE) 2016/1148 (Directiva SRI 2). Esta Directiva establece obligaciones de ciberseguridad, medidas para la gestión de riesgos de ciberseguridad y obligaciones de notificación para las entidades en su ámbito de aplicación, obligaciones relativas al intercambio de información sobre ciberseguridad, así como obligaciones de supervisión y ejecución para las diferentes administraciones.

Del mismo modo, la Estrategia de Seguridad Nacional 2021, aprobada el 28 de diciembre por el Consejo de Ministros, establece como una de las prioridades la puesta en marcha de una plataforma nacional de notificación y seguimiento de ciberincidentes liderada por el CCN-CERT, que coordina el Grupo de Trabajo de Seguridad de la Conferencia Sectorial de Administración electrónica y que formará parte la Comunidad de Madrid a través de la creación de la Agencia de Ciberseguridad de la Comunidad de Madrid.

La Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, incluye a la seguridad entre los principios de actuación de las Administraciones Públicas y recoge el Esquema Nacional de Seguridad (en adelante ENS), de aplicación a todo el sector público, que ofrece un planteamiento común de principios, requisitos y medidas de seguridad.

El ENS proporciona al sector público en España un planteamiento común de seguridad para la protección de la información que maneja y los servicios que presta; impulsa la gestión continuada de la seguridad, imprescindible para la transformación digital en un contexto de ciberamenazas; a la vez que facilita la cooperación y proporciona un conjunto de requisitos uniforme a la Industria, constituyendo también un referente de buenas prácticas.

Mediante la creación de esta Agencia de Ciberseguridad se dota a la Administración autonómica madrileña de un ente encargado de ayudar y cooperar en el cumplimiento del Esquema Nacional de Seguridad, en los términos previstos en el artículo 156 de la Ley 40/2015, de 1 de octubre.

La presente regulación se lleva a cabo en ejercicio de las competencias asumidas por la Comunidad de Madrid en su Estatuto de Autonomía, aprobado por Ley Orgánica 3/1983, de 25 de febrero. Concretamente, el artículo 26.1.1 le atribuye competencias exclusivas en materia de organización, régimen y funcionamiento de sus instituciones de autogobierno y el artículo 26.1.3 le atribuye el procedimiento administrativo derivado de las especialidades de la organización propia. Al mismo tiempo, el artículo 7, además de reconocer a los ciudadanos de Madrid como titulares de los derechos y deberes fundamentales establecidos en la Constitución, señala que los poderes públicos madrileños asumen, en el marco de sus competencias, entre otros principios rectores de su política, la promoción de las condiciones necesarias para el libre ejercicio de los derechos y libertades de los ciudadanos y la igualdad de los individuos y los grupos en que se integran.

En relación con el ejercicio de estas competencias, conviene recordar que, como ha señalado el Tribunal Constitucional en su sentencia 142/2018, de 20 de diciembre, que resolvió el recurso de inconstitucionalidad interpuesto contra la Ley 15/2017, de 25 de julio, de la Agencia de Ciberseguridad de Cataluña, la ciberseguridad no es un concepto o materia reconducible a un único título competencial y, puede, identificarse con la seguridad nacional o con la seguridad pública cuando se trata de la protección ordinaria de las redes y las infraestructuras de telecomunicaciones, pero también puede proyectarse sobre otros planos, como es el caso de la Administración electrónica, que abarca la organización de medios y previsión de medidas de protección de la Administración y, por extensión, la protección de los derechos de los ciudadanos cuando se relacionan con aquélla por medios electrónicos.

Por último, la Agencia será una herramienta para el cumplimiento de la misión de la Comunidad de Madrid de asistencia a los municipios y asegurar la prestación de los servicios públicos de competencia municipal en todo el territorio de la provincia, tal y como está establecido en la Ley 7/1985, de 2 de abril, Reguladora de las Bases de Régimen Local.

II

La Ley consta de una parte expositiva, catorce artículos distribuidos en cuatro capítulos, una disposición adicional, una disposición derogatoria y tres disposiciones finales.

El Capítulo I establece la creación, naturaleza y régimen jurídico de la Agencia de Ciberseguridad de la Comunidad de Madrid y define su ámbito de aplicación, objeto y funciones.

El Capítulo II define la estructura orgánica y las funciones de los órganos de la Agencia, así como aquellas que corresponden al consejero delegado como órgano de dirección y administración de esta.

El Capítulo III establece el régimen de personal y de contratación de la Agencia.

El Capítulo IV establece el régimen económico y financiero.

La disposición adicional establece que, en el supuesto de disolución o extinción, el personal de la Agencia se integrará en las condiciones fijadas en la Ley de Presupuestos Generales de la Comunidad de cada año.

La disposición derogatoria procede a derogar cuantas disposiciones de igual o inferior rango se opongan a lo establecido en esta ley.

Las disposiciones finales primera y segunda habilitan a los órganos correspondientes de la Comunidad de Madrid para realizar las modificaciones presupuestarias oportunas y para el desarrollo reglamentario de esta ley.

La disposición final tercera establece la fecha de entrada en vigor, que será la del día de su publicación.

III

El anteproyecto de ley de la presente Ley se supeditó a los principios de buena regulación recogidos en el artículo 129 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y el artículo 2 del Decreto 52/2021, de 24 de marzo, del Consejo de Gobierno, por el que se regula y simplifica el procedimiento de elaboración de las disposiciones normativas de carácter general en la Comunidad de Madrid.

En particular, los principios de necesidad y eficacia están garantizados por el interés general que subyace a esta regulación, como son fomentar la seguridad en las relaciones telemáticas, mejorar la protección de los usuarios de las tecnologías de información y comunicación y fomentar el crecimiento económico por medio de la digitalización y la innovación.

En virtud del principio de proporcionalidad se contiene la regulación imprescindible para cumplir el interés general mencionado y el principio de seguridad jurídica queda salvaguardado, dada la coherencia de su contenido con el conjunto del ordenamiento jurídico español y comunitario.

En aplicación del principio de transparencia se ha dado participación en su elaboración a los ciudadanos y sectores afectados, mediante la celebración de los trámites de consulta pública previa y de audiencia e información públicas y, una vez aprobada, la propuesta fue objeto de publicación en el BOLETÍN OFICIAL DE LA COMUNIDAD DE MADRID y en su Portal de Transparencia.

El principio de eficiencia queda garantizado, ya que no se imponen cargas administrativas y, desde su fase de anteproyecto, se ha supeditado a los principios de estabilidad presupuestaria y de sostenibilidad financiera, habiéndose cuantificado y valorado sus efectos en los gastos públicos.

Capítulo I

Disposiciones generales

Artículo 1

Creación, naturaleza jurídica y régimen jurídico

1. Se crea la Agencia de Ciberseguridad de la Comunidad de Madrid (en lo sucesivo la Agencia), como Ente del sector público de los previstos en el artículo 6 de la Ley 9/1990, de 8 de noviembre, Reguladora de la Hacienda de la Comunidad de Madrid, con personalidad jurídica propia, plena capacidad de obrar para el cumplimiento de sus fines y con plena autonomía orgánica y funcional, adscrita a la consejería competente en materia de digitalización.
2. La Agencia se rige por la normativa contenida en la presente ley, por las demás leyes y disposiciones que se dicten para su desarrollo y ejecución, así como por las demás disposiciones del ordenamiento jurídico que le resulten aplicables en atención a su naturaleza y, en defecto de éstas, las que le resulten aplicables con carácter supletorio.
3. La actividad de la Agencia se ajusta, con carácter general, a las normas del ordenamiento jurídico privado, sin perjuicio de su sujeción al Derecho público en el ejercicio de potestades administrativas, en la formación de la voluntad de sus órganos, así como en aquellas otras derivadas de la presente Ley en las que resulte de aplicación directa o supletoria.
4. Las resoluciones dictadas en el ejercicio de estas potestades por los órganos de gobierno de la Agencia pondrán fin a la vía administrativa, y contra las mismas podrá interponerse recurso de reposición o recurso ante la jurisdicción contencioso-administrativa en los términos previstos por las leyes.

Artículo 2

Ámbito de actuación

1. La Agencia ejercerá sus funciones y competencias en el ámbito de la Administración General e institucional de la Comunidad de Madrid con exclusión de las empresas públicas autonómicas con forma de sociedad mercantil, en coordinación con la Agencia para la Administración Digital de la Comunidad de Madrid y la Agencia de Seguridad y Emergencias Madrid 112 para el ámbito de sus competencias y con todas aquellas entidades y organismos de la Administración General e Institucional de la Comunidad de Madrid con competencias en materia de tecnologías de la información y de las comunicaciones.

En el ámbito de las empresas, PYMES y ciudadanos de la Comunidad de Madrid, la Agencia ejercerá sus funciones y competencias en la estricta medida en que sea necesario para la relación con la Administración por medios electrónicos, conforme a lo establecido en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas.

2. En relación con la Asamblea de Madrid, con pleno respeto a su autonomía parlamentaria, la Cámara de Cuentas de la Comunidad de Madrid y las empresas públicas autonómicas, con forma de sociedad mercantil, la Agencia podrá ejercer sus funciones, previa formalización del instrumento jurídico adecuado, siempre y cuando las disponibilidades presupuestarias de la Agencia lo permitan o se contemple la financiación en el mismo.
3. La Agencia, prestará sus servicios a las entidades locales de menos de 20.000 habitantes, de conformidad con el artículo 36.1.g) de la Ley 7/1985, de 2 de abril, Reguladora de las Bases de Régimen Local, en el ámbito de la administración electrónica.

Además, podrá prestar servicios propios de sus funciones al resto de entidades locales o a otras Administraciones Públicas del ámbito territorial de la Comunidad de Madrid, en la medida en que se relacionen con ella por medios electrónicos, mediante convenio o contrato, según los casos.

4. La Agencia podrá realizar, para el mejor cumplimiento de sus fines, cuantas actividades de naturaleza mercantil o industrial estén relacionadas con su objeto.

Artículo 3

Objeto y funciones

1. La Agencia tiene como objeto dirigir y coordinar la ciberseguridad y apoyar e impulsar la capacitación en ciberseguridad y el desarrollo digital seguro de la Región, en el ámbito de actuación fijado en el artículo anterior y con arreglo al marco de competencias constitucional y estatutariamente establecido.
2. La Agencia tiene por función definir y velar por la ejecución de las políticas públicas en materia de ciberseguridad y, en particular, le corresponde, además:
3. a) Asesorar al Gobierno de la Comunidad de Madrid en el desarrollo de su estrategia de ciberseguridad que contemple la Administración y el sector público autonómico definido en el artículo 2.1, la colaboración con las entidades locales, y el apoyo al entorno empresarial y a la ciudadanía de la Comunidad de Madrid.
4. b) Proponer al Consejo de Gobierno, la política global de seguridad de la información para la Administración General e institucional de la Comunidad de Madrid.
5. c) Constituir y gestionar el CSIRT (Equipo de Respuesta a Incidentes de Ciberseguridad) de referencia de la Comunidad de Madrid, ejerciendo las funciones de alerta temprana y de ayuda en la respuesta ante amenazas, vulnerabilidades, ataques e incidentes de seguridad, en colaboración con el resto de CSIRT nacionales.
6. d) Coordinarse con organismos públicos o privados, infraestructuras críticas y entidades locales de la Comunidad de Madrid, así como con todos aquellos que se relacionen con la Administración y el sector público de la Comunidad de Madrid por medios electrónicos, para impulsar los planes específicos de actuación, elaborados por cada uno de ellos, para la consecución de los objetivos marcados en las políticas de ciberseguridad.
7. e) Participar y representar a la Comunidad de Madrid en los distintos ámbitos institucionales, eventos, foros o asociaciones especializadas en materia de ciberseguridad.
8. f) Proponer y promover el uso de soluciones y servicios de ciberseguridad destinados a la prevención, detección y respuesta ante las amenazas contra la seguridad de las redes y sistemas en su ámbito de actuación.
9. g) Impulsar las actividades de difusión, formación y concienciación en materia de ciberseguridad adecuadas a los diferentes colectivos destinatarios, poniendo especial énfasis en la reducción de la brecha digital.
10. h) Impulsar un espacio de cooperación y confianza que contribuya al desarrollo de la digitalización, la ciberseguridad, la economía digital y de toda la sociedad digital en su conjunto, con la Comunidad de Madrid.
11. i) Fomentar el emprendimiento del ecosistema empresarial de ciberseguridad como uno de los pilares del crecimiento industrial y económico.
12. j) Promover ayudas que fomenten e impulsen el desarrollo e implantación de la ciberseguridad en las empresas y PYMES madrileñas, en la estricta medida en que se relacionen con la Administración por medios electrónicos.
13. k) Promover y dirigir proyectos de prospección sobre el impacto de nuevas tecnologías y técnicas en la ciberseguridad para evaluar tanto las mejoras como los riesgos que pueden suponer, e impulsar tanto la modernización como la innovación en ciberseguridad.
14. l) Cualesquiera otras competencias que conforme al ordenamiento jurídico le sean expresamente conferidas o delegadas.

Capítulo II

Estructura orgánica

Artículo 4

Órganos de la Agencia

Los órganos de gobierno de la Agencia son:

1. a) El presidente del Consejo de Administración.
2. b) El Consejo de Administración.
3. c) El consejero delegado de la Agencia.

La Agencia contará con un Comité de Seguridad de la Información cuya estructura, funciones y régimen de funcionamiento se establecerá por Acuerdo del Consejo de Administración, a propuesta de la consejería competente en materia de digitalización.

Artículo 5

Presidencia

1. Ostentará la presidencia de la Agencia la persona titular de la consejería competente en materia de digitalización.
2. Son atribuciones del presidente de la Agencia:
3. a) La representación institucional del Ente.
4. b) Suscribir en nombre de la Agencia los convenios y demás instrumentos de colaboración, de acuerdo con las funciones específicas de la Agencia, dentro de sus competencias.
5. c) Impulsar las actividades de la Agencia.
6. d) Acordar la convocatoria de las sesiones ordinarias y extraordinarias del Consejo de Administración y fijar el orden del día, teniendo en cuenta, en su caso, las peticiones y sugerencias de los demás miembros formuladas con la antelación suficiente.
7. e) Presidir las sesiones, moderar el desarrollo de los debates y suspenderlos por causas justificadas.
8. f) Dirimir, con su voto, los empates a efectos de la adopción de acuerdos.
9. g) Visar las actas y certificaciones de los acuerdos del Consejo de Administración.
10. h) Controlar la actuación del consejero delegado, conforme a la normativa aplicable.
11. i) Desempeñar el resto de competencias que pueda atribuirle el ordenamiento jurídico.
12. j) Cualesquiera otras funciones que pudieran serle delegadas.

Artículo 6

El Consejo de Administración

1. El Consejo de Administración de la Agencia, está integrado por los miembros siguientes:
2. a) El presidente de la Agencia.
3. b) Un vicepresidente, que será la persona titular de la viceconsejería competente en materia de digitalización.
4. c) Vocales:

1.^o) El consejero delegado de la Agencia.

2.^o) La persona titular de la viceconsejería competente en materia de seguridad y emergencias.

3.^o) La persona titular de la dirección general con competencias en materia de digitalización.

4.^o) El consejero delegado de la Agencia para la Administración Digital de la Comunidad de Madrid.

5.^o) La persona titular de la dirección de IMDEA Networks Institute.

6.^o) La persona titular de la dirección general competente en sistemas de salud digital.

7.^o) La persona titular de la dirección general competente en innovación.

8.^o) La persona titular de la dirección general competente en promoción económica.

9.^o) La persona titular de la dirección general competente en administración local.

10.^o) La persona titular de la dirección general competente en materia de cooperación con el Estado.

1. d) Secretario. La persona titular de la secretaría general técnica con competencias en materia de digitalización.
2. En caso de vacante, ausencia, enfermedad u otra causa legal, la persona titular de la presidencia será sustituida por la persona titular de la vicepresidencia; la persona titular de la vicepresidencia será sustituida por el consejero delegado de la Agencia; y las personas titulares de las vocalías serán sustituidas por personas titulares de órganos directivos de su respectiva consejería con rango mínimo de director general, designadas por la persona titular de la consejería respectiva o, en su caso, por quien designe la Agencia para la Administración Digital de la Comunidad de Madrid o IMDEA Networks Institute.
3. El Consejo de Administración aprobará, antes de cumplirse el primer año de existencia de la Agencia de Ciberseguridad, un reglamento de funcionamiento interno del mismo en el que se fijará el régimen de sesiones y de acuerdos, así como las funciones del secretario.

Igualmente podrá aprobar la constitución de comisiones o grupos de trabajo para materias y asuntos determinados, con la composición y funciones que el mismo determine, en la que también podrán participar expertos externos.

4. Las funciones del Consejo de Administración son:
5. a) Determinar los objetivos de seguridad de la información para la Administración de la Comunidad de Madrid, dotando de los medios y apoyo necesario para su consecución mediante la propuesta de la política global de seguridad de la información para la Administración General e institucional de la Comunidad de Madrid.
6. b) Aprobar, a propuesta del consejero delegado, el Plan Estratégico de la Agencia.
7. c) Aprobar, a propuesta del consejero delegado, el Plan de difusión, formación y concienciación en materia de ciberseguridad para la Región de Madrid.
8. d) Aprobar, a propuesta del consejero delegado, la memoria anual de actividad correspondiente al año inmediatamente anterior.
9. e) Aprobar un marco de directrices y normas técnicas de seguridad de cumplimiento obligatorio para la Administración de la Comunidad de Madrid y para los organismos y entidades vinculados o dependientes.
10. f) Informar preceptivamente en los procedimientos de elaboración de disposiciones normativas tramitadas por la Administración de la Comunidad de Madrid en materia de ciberseguridad y gobernanza de las tecnologías de la información y la comunicación.
11. g) Definir las líneas generales de carácter estratégico que garantice la coordinación, la cooperación y el intercambio de información sobre ciberincidentes e inteligencia de ciberamenazas entre el sector público, el sector privado y los organismos nacionales competentes, fomentando la prevención y la alerta temprana.
12. h) Aprobar las actividades de difusión, formación y concienciación en materia de ciberseguridad.
13. i) Aprobar el informe anual de evaluación de la Estrategia de ciberseguridad de la Comunidad de Madrid, donde figurará el grado de ejecución y cumplimiento de sus objetivos.
14. j) Promover e impulsar las ayudas que fomenten e impulsen el desarrollo e implantación de la ciberseguridad en las empresas y pymes madrileñas. Esta función podrá ser delegada en el consejero delegado de la Agencia.
15. k) Aprobar el anteproyecto de presupuesto de la Agencia, que se integrará en los Presupuestos Generales de la Comunidad de Madrid.
16. l) Aprobar la estructura y el organigrama de la Agencia hasta el siguiente nivel organizativo al del consejero delegado, a propuesta de éste, y previo informe favorable de la Consejería competente en materia de Hacienda.
17. Los miembros del Consejo de Administración de la Agencia no tienen derecho a percibir indemnización, dieta o compensación alguna por asistir a las reuniones de este órgano.

Artículo 7

El consejero delegado de la Agencia

1. El consejero delegado será nombrado y, en su caso, cesado mediante decreto del Gobierno de la Comunidad de Madrid, a iniciativa y propuesta del presidente del Consejo de Administración de la Agencia.

El consejero delegado deberá ser un profesional de reconocido prestigio en el ámbito de la ciberseguridad.

2. El consejero delegado de la Agencia es el máximo órgano directivo de ésta y le corresponde, sin perjuicio de las competencias del Consejo de Administración, la dirección ordinaria de la Agencia, la adopción de las medidas necesarias para la ejecución de las decisiones del Consejo de Administración; y, en particular:
3. a) Formular y elevar al Consejo de Administración el Plan Estratégico de la Agencia.
4. b) Potenciar y apoyar las actividades de prevención, detección y respuesta del CSIRT, así como la coordinación con la red de CSIRT.
5. c) Formular y elevar al Consejo de Administración el Plan de difusión, formación y concienciación en materia de ciberseguridad.
6. d) Elaborar el informe anual de evaluación de la estrategia global de seguridad de la información de la Comunidad de Madrid, donde figurará el grado de ejecución y cumplimiento de sus objetivos.
7. e) Elaborar el Libro Blanco de la ciberseguridad que ofrezca buenas propuestas de acción y buenas prácticas sobre su gestión y ofrezca confianza a todos los actores políticos, económicos y sociales del ecosistema digital madrileño en sus relaciones con la Comunidad de Madrid.
8. f) Proponer líneas de colaboración en el ámbito de la ciberseguridad con los entes locales de Madrid.
9. g) Formular y elevar al Consejo de Administración la propuesta de memoria anual de actividad correspondiente al año inmediatamente anterior, en la cual se informará también sobre el seguimiento del plan plurianual de actuación.
10. h) Participar en los foros nacionales e internacionales en materia de ciberseguridad.
11. i) Formular y elevar al Consejo de Administración el borrador del anteproyecto de presupuestos anual de la Agencia.
12. j) Actuar como órgano de contratación de la Agencia y celebrar, en su nombre, los contratos y encargos de ejecución relativos a los asuntos propios de la misma.
13. k) Autorizar los gastos, efectuar las disposiciones, contraer obligaciones y ordenar pagos, conforme a la normativa aplicable y salvo en los casos reservados por ley a la competencia del Consejo de Gobierno o de la consejería a que se halle adscrita la Agencia.
14. l) Ejercer las competencias en materia de gestión del personal adscrito a la Agencia, excepto de aquellas competencias que correspondan a la consejería competente en materia de gestión de recursos humanos.
15. m) Proponer, para su aprobación, a la consejería competente en materia de hacienda la propuesta de plantilla presupuestaria, así como sus modificaciones.
16. n) Establecer los requisitos y características de las pruebas para acceder a los puestos de trabajo, así como su convocatoria, gestión y resolución, en el marco de la legislación en materia de selección de personal que sea de aplicación.

ñ) Ejercer todas las competencias en materia de personal y todas las facultades referentes a su dirección y gestión, en particular respecto a negociación colectiva, retribuciones, jornada de trabajo, régimen disciplinario, contratación y cese del personal dependiente de la Agencia, con arreglo a la legislación laboral y al convenio colectivo de aplicación.

1. o) Proponer al presidente del Consejo de Administración la oferta de empleo público de la Agencia.
2. p) Todas aquellas funciones que el Consejo de Administración le encomiende en el ámbito de actuación de la Agencia.

Capítulo III

Régimen de personal y de contratación

Artículo 8

Régimen de personal

El personal de la Agencia de Ciberseguridad tendrá naturaleza laboral y se regirá por la legislación laboral, los preceptos del Estatuto Básico del Empleado Público que así lo dispongan, el convenio colectivo que resulte de aplicación y demás normativa de función pública aplicable a este tipo de personal.

El personal funcionario adscrito a la Agencia para el ejercicio de potestades administrativas se regirá por las disposiciones que le sean de aplicación atendiendo a la naturaleza de su relación de empleo, en particular, el Estatuto Básico del Empleado Público, la Ley 1/1986, de 10 de abril, de la Función Pública de la Comunidad de Madrid, los respectivos acuerdos de la mesa sectorial por los que se regulen las condiciones de trabajo y demás normativa de función pública aplicable a este tipo de personal.

Artículo 9

Régimen de contratación

El régimen de contratación de la Agencia será el establecido para las Administraciones Públicas en la legislación de contratos del sector público. A estos efectos, la Agencia tiene el carácter de poder adjudicador con la consideración de Administración Pública, en virtud de los apartados 1.j), 2.b) y 3.d) del artículo 3 de la Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público, por la que se transponen al ordenamiento jurídico español las directivas del Parlamento Europeo y del Consejo 2014/23/UE y 2014/24/UE, de 26 de febrero de 2014.

Capítulo IV

Régimen económico y financiero

Artículo 10

Patrimonio

1. El patrimonio de la Agencia estará constituido por el conjunto de sus bienes y derechos, cualquiera que sea su naturaleza y el título de su adquisición o aquel en virtud del cual le hayan sido atribuidos.
2. El régimen jurídico del patrimonio de la Agencia se adecuará a la legislación básica sobre el patrimonio de las Administraciones Públicas y a la legislación autonómica sobre el patrimonio de la Comunidad de Madrid.
3. La Comunidad de Madrid le podrá transferir a la Agencia la titularidad de todos aquellos bienes en la medida en que resulten necesarios para el ejercicio de las actividades que le sean encomendadas conforme a lo previsto en esta Ley.

Artículo 11

Financiación

La Agencia se financiará con cargo a los siguientes recursos:

1. a) Las aportaciones consignadas en los Presupuestos Generales de la Comunidad de Madrid.
2. b) Donaciones y cualquier otra aportación voluntaria de entidades y particulares.
3. c) Los ingresos públicos dimanantes de su actividad.
4. d) Las subvenciones y los ingresos que obtenga como consecuencia de convenios con entes públicos o privados o de aportaciones realizadas a título gratuito.
5. e) Cualquier otro recurso no previsto en los apartados anteriores y que legítimamente pueda corresponderle.

Artículo 12

Régimen presupuestario

1. La Agencia deberá realizar anualmente un anteproyecto de presupuestos, con la estructura que señale la consejería con competencias en materia de hacienda, y lo remitirá a ésta para su elevación al acuerdo del Consejo de Gobierno y posterior remisión a la Asamblea de Madrid.
2. La Agencia tendrá un presupuesto estimativo, que formará parte de los presupuestos generales de la Comunidad de Madrid, consolidándose con los de la Administración de la Comunidad y sus organismos autónomos.

Artículo 13

Contabilidad y control económico financiero

1. La Agencia queda sujeta al régimen de contabilidad pública de la Comunidad de Madrid en los términos establecidos en el Título VI de la Ley 9/1990, de 8 de noviembre.
2. La Intervención General de la Comunidad de Madrid ejercerá el control financiero de carácter permanente sobre el aspecto económico-financiero de la actividad de la Agencia, de conformidad con lo prevenido en el artículo 17 de la citada Ley 9/1990, de 8 de noviembre, excepto en la gestión de la actividad subvencional, que se sujetará al ejercicio de la función interventora según lo determinado en la Ley 2/1995, de 8 de marzo, de Subvenciones de la Comunidad de Madrid.

Artículo 14

Tesorería

1. La Agencia contará con tesorería propia.
2. Constituyen la tesorería de la Agencia todos sus recursos financieros, ya sean dinero, valores o créditos.
3. El régimen de funcionamiento de la tesorería de la Agencia deberá someterse a las disposiciones que sobre gestión financiera establezca la consejería competente en materia de hacienda.
4. La Tesorería General ejercerá de caja de depósitos de la Agencia.

DISPOSICIÓN ADICIONAL ÚNICA

Extinción y disolución

En el supuesto de disolución o extinción, el personal se integrará en las condiciones fijadas en la Ley de Presupuestos Generales de la Comunidad de cada año.

DISPOSICIÓN DEROGATORIA ÚNICA

Derogación normativa

Quedan derogadas cuantas disposiciones de igual o inferior rango se opongan a lo establecido en la presente ley.

DISPOSICIÓN FINAL PRIMERA

Modificaciones presupuestarias

Se habilita al titular de la consejería de competente en materia de hacienda para realizar las modificaciones presupuestarias necesarias para la aplicación de la presente ley.

DISPOSICIÓN FINAL SEGUNDA

Habilitación de desarrollo

Se habilita al Consejo de Gobierno de la Comunidad de Madrid para adoptar las medidas necesarias para el desarrollo y ejecución de la presente ley.

DISPOSICIÓN FINAL TERCERA

Entrada en vigor

La presente ley entrará en vigor el mismo día de su publicación en el BOLETÍN OFICIAL DE LA COMUNIDAD DE MADRID.

Por tanto, ordeno a todos los ciudadanos a los que sea de aplicación esta Ley, que la cumplan, y a los Tribunales y Autoridades que corresponda, la guarden y la hagan guardar.

Madrid, 20 de diciembre de 2023.

La Presidenta, ISABEL DÍAZ AYUSO