I. COMUNIDAD DE MADRID

D) Anuncios

CONSEJERÍA DE DIGITALIZACIÓN

AGENCIA DE CIBERSEGURIDAD DE LA COMUNIDAD DE MADRID

REUNIDOS

De una parte, D. Miguel López-Valverde Argüeso, Consejero de Digitalización de la Comunidad de Madrid y Presidente de la Agencia de Ciberseguridad de la Comunidad de Madrid, nombrado por Decreto 42/2023, de 23 de junio, de la Presidenta de la Comunidad de Madrid, y competente para la suscripción del presente convenio en virtud de lo dispuesto en el artículo 5.2.b) de la Ley 14/2023, de 20 de diciembre, por la que se crea la Agencia de Ciberseguridad de la Comunidad de Madrid.

Y de otra, D. Andrés Samperio Montejano, Alcalde del Ayuntamiento de Navalagamella, municipio de la Comunidad de Madrid con población inferior a 20.000 habitantes, en ejercicio de las competencias atribuidas por los artículos 21.1.b) de la Ley 7/1985, de 2 de abril, Reguladora de las Bases del Régimen Local, y 135.2 de la Ley 2/2003, de 11 de marzo, de Administración Local de la Comunidad de Madrid, y en virtud de su nombramiento como Alcalde de la Corporación, formalizado por el Pleno de fecha 17/6/2023.

Ambas partes, en el ejercicio de las funciones y competencias que tienen legalmente atribuidas, se reconocen mutua y recíprocamente la capacidad jurídica y de obrar suficiente para la firma del presente convenio, y en su virtud,

EXPONEN

I. Que la Agencia de Ciberseguridad de la Comunidad de Madrid, en adelante, la Agencia, es una entidad con personalidad jurídica propia y plena capacidad de obrar, adscrita a la consejería competente en materia de digitalización, creada por la Ley 14/2023, de 20 de diciembre, por la que se crea la Agencia de Ciberseguridad de la Comunidad de Madrid.

De conformidad con lo dispuesto en los artículos 2 y 3 de la citada Ley 14/2023, la Agencia ejerce sus funciones y competencias en el ámbito de actuación previsto legalmente, en los términos y con el alcance establecidos en dicha norma.

II. Que el artículo 2.3 de la Ley 14/2023, de 20 de diciembre, establece que la Agencia prestará sus servicios a las entidades locales de menos de 20.000 habitantes en el ámbito de la administración electrónica.

En virtud de dicho precepto, la actuación de la Agencia respecto de los municipios de población inferior a 20.000 habitantes encuentra cobertura específica en el ámbito de la administración electrónica municipal, sin perjuicio de las competencias y responsabilidades que corresponden al Ayuntamiento en la organización, gestión, prestación y seguridad de sus servicios públicos.

III. Que el Ayuntamiento de Navalagamella es una entidad local de la Comunidad de Madrid con población inferior a 20.000 habitantes, de acuerdo con los datos oficiales de población que resulten aplicables, y ejerce sus competencias conforme a la legislación básica de régimen local, a la legislación autonómica de administración local y al resto del ordenamiento jurídico aplicable.

El Ayuntamiento presta servicios públicos municipales que requieren el uso de medios electrónicos, sistemas de información, plataformas digitales, canales de relación electrónica con la ciudadanía y mecanismos de intercambio de información con otras Administraciones Públicas, cuya adecuada seguridad resulta necesaria para garantizar la continuidad, integridad, disponibilidad, autenticidad, trazabilidad y protección de la información tratada.

IV. Que la administración electrónica municipal constituye un elemento esencial para el funcionamiento ordinario del Ayuntamiento, para la prestación de servicios a la ciudadanía, para el ejercicio de derechos y cumplimiento de deberes por medios electrónicos, y para la relación del Ayuntamiento con otras Administraciones Públicas.

En este contexto, la seguridad de la información y la ciberseguridad asociadas a los servicios, sistemas, procedimientos, infraestructuras y recursos tecnológicos que soportan o condicionan el adecuado funcionamiento de la administración electrónica municipal resultan necesarias para preservar la confianza de la ciudadanía, garantizar la continuidad de los servicios públicos, reducir la exposición frente a incidentes de seguridad y favorecer el cumplimiento del marco normativo aplicable, incluido el Esquema Nacional de Seguridad.

V. Que la colaboración entre la Agencia y el Ayuntamiento permite articular un marco ordenado de cooperación, apoyo y asistencia en materia de ciberseguridad vinculada a la administración electrónica municipal, orientado a reforzar la prevención, detección, análisis, coordinación y respuesta ante riesgos, vulnerabilidades, amenazas o incidentes que puedan afectar a dicho ámbito o a los sistemas, servicios y capacidades municipales que resulten necesarios para su funcionamiento seguro.

Dicha colaboración se configura como una actuación de cooperación interadministrativa para la consecución de un fin común de interés público, sin que tenga por objeto la contratación de prestaciones en régimen de mercado ni la sustitución de las competencias y responsabilidades que corresponden al Ayuntamiento sobre sus propios sistemas, servicios, procedimientos, infraestructuras, contratos, medios personales y recursos tecnológicos.

VI. Que, en el ejercicio de sus respectivas competencias y al amparo de lo previsto en el artículo 47 y siguientes de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público; en la Ley 7/1985, de 2 de abril, Reguladora de las Bases del Régimen Local; en la Ley 2/2003, de 11 de marzo, de Administración Local de la Comunidad de Madrid; en la Ley 14/2023, de 20 de diciembre, por la que se crea la Agencia de Ciberseguridad de la Comunidad de Madrid; y en el Decreto 48/2019, de 10 de junio, por el que se regula la actividad convencional de la Comunidad de Madrid, ambas partes manifiestan su voluntad de formalizar el presente convenio.

En virtud de lo anteriormente expuesto, las partes acuerdan suscribir el presente convenio, que se regirá por las siguientes.

CLÁUSULAS

Primera

Objeto del convenio

El presente convenio tiene por objeto establecer el marco de colaboración entre la Agencia de Ciberseguridad de la Comunidad de Madrid y el Ayuntamiento de Navalagamella, municipio de población inferior a 20.000 habitantes, para el desarrollo de actuaciones de cooperación, apoyo, asistencia técnica, acompañamiento y mejora en materia de seguridad de la información y ciberseguridad, de conformidad con lo previsto en el artículo 2.3 de la Ley 14/2023, de 20 de diciembre, por la que se crea la Agencia de Ciberseguridad de la Comunidad de Madrid.

El presente convenio únicamente podrá ser suscrito por ayuntamientos de la Comunidad de Madrid que cuenten con una población inferior a 20.000 habitantes, de acuerdo con los datos de la declaración oficial de cifras de población resultantes de la revisión anual del Padrón municipal aprobada por el Consejo de Ministros mediante real decreto, a propuesta del Instituto Nacional de Estadística y con el informe favorable del Consejo de Empadronamiento, de conformidad con lo dispuesto en los artículos 82.2 y 85.b) del Reglamento de Población y Demarcación Territorial de las Entidades Locales, aprobado por Real Decreto 1690/1986, de 11 de julio.

La colaboración regulada en este convenio se orienta al fortalecimiento de las capacidades del Ayuntamiento para proteger los servicios, sistemas, procedimientos, infraestructuras, recursos tecnológicos y activos de información vinculados a la administración electrónica municipal, así como aquellos otros que resulten necesarios para su funcionamiento seguro, continuo y resiliente.

A tal efecto, las actuaciones que se desarrollen al amparo del convenio podrán dirigirse, entre otros fines, a la prevención, detección, análisis, gestión, coordinación y respuesta ante riesgos, vulnerabilidades, amenazas e incidentes de seguridad; al impulso del cumplimiento del marco normativo aplicable, incluido el Esquema Nacional de Seguridad; a la mejora progresiva del nivel de madurez en ciberseguridad; a la capacitación y sensibilización del personal municipal; y, en general, al refuerzo de la seguridad de la información en el ámbito municipal.

Las actuaciones concretas se determinarán conforme al procedimiento previsto en el presente convenio, atendiendo a las necesidades identificadas, al ámbito material definido en la cláusula Segunda, a la disponibilidad de medios y capacidades de la Agencia y a las prioridades que resulten aplicables.

El presente convenio no supone la asunción por parte de la Agencia de la gestión ordinaria de los sistemas, servicios, infraestructuras, contratos, medios personales o recursos tecnológicos del Ayuntamiento, ni desplaza las competencias y responsabilidades que corresponden a este en la organización, prestación, administración, operación y seguridad de sus servicios públicos.

Asimismo, el presente convenio no tiene por objeto la contratación de prestaciones en régimen de mercado ni la articulación de una relación de intercambio económico o prestacional equivalente entre las partes, sino la ordenación de un marco de cooperación interadministrativa para la consecución de un fin común de interés público.

Segunda

Ámbito material de actuación

El ámbito material de actuación del presente convenio comprende los servicios, sistemas, procedimientos, infraestructuras, recursos tecnológicos y activos de información vinculados a la administración electrónica municipal, así como aquellos otros que resulten necesarios para garantizar su seguridad, continuidad, integridad, disponibilidad, autenticidad y trazabilidad.

A los efectos del presente convenio, se entenderán incluidos en dicho ámbito, entre otros, los siguientes elementos:

a) La sede electrónica municipal y los servicios electrónicos puestos a disposición de la ciudadanía.

b) El registro electrónico, los sistemas de presentación de solicitudes, escritos y comunicaciones, y los mecanismos de intercambio electrónico de información.

c) La tramitación electrónica de procedimientos administrativos, incluidos los sistemas de gestión de expedientes, portafirmas, firma electrónica, sellado electrónico y custodia de evidencias electrónicas.

d) Las notificaciones y comunicaciones electrónicas.

e) Los sistemas de identificación, autenticación, autorización y control de accesos asociados a los servicios de administración electrónica.

f) Las plataformas, servicios y mecanismos de interoperabilidad con otras Administraciones Públicas.

g) Los portales, aplicaciones, sistemas de información y servicios digitales municipales que soporten el ejercicio de derechos, el cumplimiento de deberes o la prestación de servicios públicos por medios electrónicos.

h) Las infraestructuras, redes, puestos de trabajo, servidores, servicios en la nube, copias de seguridad, mecanismos de continuidad y demás recursos tecnológicos que soporten o condicionen la seguridad y disponibilidad de los servicios de administración electrónica municipal.

i) Los activos de información, datos, documentos electrónicos, expedientes, registros, evidencias y trazas asociados a la prestación de servicios municipales por medios electrónicos.

j) Las medidas organizativas, técnicas y procedimentales necesarias para la adecuación, mantenimiento y mejora de la seguridad de dichos sistemas y servicios, incluyendo las derivadas del Esquema Nacional de Seguridad y del resto del marco normativo aplicable.

El alcance material del convenio deberá interpretarse de forma coherente con el artículo 2.3 de la Ley 14/2023, de 20 de diciembre, con la legislación de régimen local aplicable a los municipios de población inferior a 20.000 habitantes y con las funciones legalmente atribuidas a la Agencia.

En consecuencia, la colaboración podrá extenderse a elementos tecnológicos, organizativos o procedimentales que, aun no formando parte directa de un procedimiento administrativo electrónico concreto, resulten necesarios para garantizar la seguridad y continuidad de la administración electrónica municipal y de los servicios públicos digitales prestados por el Ayuntamiento.

El presente convenio no comprende actuaciones ajenas al ámbito de la seguridad de la información y la ciberseguridad, ni aquellas que no guarden relación suficiente con la administración electrónica municipal, con los sistemas y servicios que la soportan o con la protección de la información tratada por el Ayuntamiento en dicho ámbito.

La incorporación del Ayuntamiento a servicios, plataformas, recursos o capacidades que requieran condiciones técnicas, jurídicas, organizativas, presupuestarias o de seguridad adicionales quedará sometida al cumplimiento de dichas condiciones y, cuando proceda, a la formalización de los instrumentos complementarios que resulten necesarios.

Tercera

Principios de actuación

Las actuaciones que se desarrollen al amparo del presente convenio se regirán por los principios de cooperación, colaboración, coordinación, lealtad institucional, eficiencia, proporcionalidad, seguridad, responsabilidad y orientación al interés público.

En particular, las partes ajustarán su actuación a los siguientes principios:

a) Cooperación interadministrativa. La colaboración entre la Agencia y el Ayuntamiento se desarrollará como una actuación conjunta entre Administraciones Públicas, orientada a la consecución de un fin común de interés público, sin subordinación institucional entre las partes y sin perjuicio de las competencias propias de cada una.

b) Apoyo y asistencia a municipios de población inferior a 20.000 habitantes. La actuación de la Agencia se articulará atendiendo al régimen aplicable a las entidades locales de población inferior a 20.000 habitantes, en el ámbito de la administración electrónica y de la seguridad de los sistemas, servicios, procedimientos, infraestructuras, recursos tecnológicos y activos de información que la soportan o condicionan su adecuado funcionamiento.

c) Responsabilidad municipal. El Ayuntamiento conservará en todo caso la responsabilidad sobre la organización, gestión, prestación, administración, operación y seguridad de sus servicios públicos, sistemas de información, infraestructuras, contratos, medios personales y recursos tecnológicos. La colaboración de la Agencia no sustituirá dicha responsabilidad ni implicará la asunción general de funciones propias del Ayuntamiento.

d) Adecuación competencial y material. Las actuaciones deberán ser coherentes con las funciones legalmente atribuidas a la Agencia y con el objeto y ámbito material definidos en el presente convenio, sin que puedan extenderse a materias ajenas a la seguridad de la información, la ciberseguridad, la administración electrónica municipal o los sistemas y recursos tecnológicos que la soportan.

e) Proporcionalidad y enfoque basado en el riesgo. Las actuaciones deberán adaptarse a la dimensión, medios, nivel de madurez, exposición al riesgo, criticidad de los servicios y capacidades organizativas y técnicas del Ayuntamiento. Su selección, planificación y ejecución atenderán al impacto potencial sobre los servicios públicos municipales, a la protección de la información tratada, a la continuidad de los servicios prestados por medios electrónicos y a las prioridades que establezca la Agencia.

f) Disponibilidad de medios y planificación. La realización de actuaciones concretas quedará condicionada a la disponibilidad de medios personales, técnicos, organizativos y presupuestarios de la Agencia, así como a su planificación interna y a la priorización de actuaciones en el conjunto de entidades a las que preste apoyo o asistencia.

g) Colaboración activa y coordinación. El Ayuntamiento deberá facilitar la información, documentación, accesos, interlocución, disponibilidad de personal y colaboración técnica u organizativa que resulten necesarios para el desarrollo de las actuaciones acordadas. Las partes procurarán, asimismo, evitar duplicidades y favorecer la coordinación con otras Administraciones Públicas, organismos, proveedores o entidades competentes cuando resulte necesario.

h) Seguridad, confidencialidad y protección de la información. Las partes deberán preservar la confidencialidad, integridad, disponibilidad y trazabilidad de la información intercambiada o generada en el marco del convenio, aplicando las medidas de seguridad que resulten adecuadas en función de la naturaleza de la información, del nivel de riesgo y del marco normativo aplicable.

i) Mejora continua y resiliencia. Las actuaciones se orientarán a favorecer la evolución progresiva del nivel de seguridad y madurez del Ayuntamiento, reforzando sus capacidades de prevención, protección, vigilancia, detección, alerta temprana, análisis, respuesta, recuperación y aprendizaje posterior ante incidentes de seguridad.

j) Aprovechamiento de capacidades comunes y buenas prácticas. Cuando existan servicios, plataformas, recursos, herramientas, modelos, guías, metodologías, controles o buenas prácticas de alcance común o reutilizable, las partes procurarán favorecer su aprovechamiento por el Ayuntamiento, siempre que resulte técnicamente viable, jurídicamente procedente y compatible con la disponibilidad y planificación de la Agencia.

k) Gobierno de la seguridad y seguridad desde el diseño. Las actuaciones podrán apoyarse en información técnica, organizativa u operativa necesaria para conocer el estado de la seguridad, priorizar riesgos, orientar decisiones y medir la evolución de las actuaciones. Asimismo, procurarán incorporar criterios de seguridad desde el diseño, privacidad desde el diseño y por defecto, minimización de riesgos, trazabilidad, continuidad, resiliencia e interoperabilidad.

Cuarta

Actuaciones de apoyo y asistencia de la Agencia

En el marco del presente convenio, la Agencia podrá desarrollar actuaciones de cooperación, apoyo, asistencia técnica, acompañamiento, coordinación, impulso y orientación dirigidas a reforzar la seguridad de la información y la ciberseguridad del Ayuntamiento en el ámbito material definido en la cláusula Segunda.

Las actuaciones de la Agencia podrán comprender, entre otras, las siguientes:

a) Identificación, análisis y tratamiento de riesgos. Colaboración con el Ayuntamiento en la identificación de riesgos, amenazas, vulnerabilidades, dependencias tecnológicas, activos de información, servicios críticos e impactos potenciales, así como en la definición y priorización de medidas de tratamiento.

b) Asesoramiento y orientación técnica. Emisión de criterios, recomendaciones, pautas, informes de orientación o propuestas de mejora en materia de seguridad de la información y ciberseguridad, incluyendo aspectos organizativos, técnicos, procedimentales y de gobierno de la seguridad.

c) Apoyo en la adecuación al Esquema Nacional de Seguridad. Acompañamiento al Ayuntamiento en la interpretación, planificación, implantación progresiva, mantenimiento y mejora de las medidas de seguridad derivadas del Esquema Nacional de Seguridad, en el ámbito de los servicios, sistemas y procedimientos incluidos en el presente convenio.

d) Diagnóstico y revisión del estado de seguridad. Realización de actuaciones de revisión, diagnóstico, evaluación preliminar o análisis de situación sobre el grado de exposición, madurez, cumplimiento o adecuación de los sistemas, servicios, procedimientos, infraestructuras, activos de información o medidas de seguridad del Ayuntamiento.

e) Definición, implantación, operación asistida y soporte de controles de seguridad. Colaboración con el Ayuntamiento en la definición, despliegue, configuración, puesta en funcionamiento, operación asistida, soporte y mejora de controles técnicos, organizativos o procedimentales de seguridad, dentro del alcance, duración y condiciones que se determinen para cada actuación.

f) Vigilancia, detección, alerta temprana e intercambio de información. Desarrollo o puesta a disposición de capacidades de vigilancia, detección, análisis, alerta temprana, intercambio de indicadores, seguimiento de amenazas y vulnerabilidades, recomendaciones preventivas, buenas prácticas, avisos o información técnica relevante para reforzar la seguridad del Ayuntamiento.

g) Gestión y respuesta ante incidentes de seguridad. Colaboración con el Ayuntamiento en la identificación, análisis, clasificación, contención, coordinación, seguimiento, recuperación y revisión posterior de incidentes de seguridad que afecten o puedan afectar a los servicios, sistemas, procedimientos, infraestructuras, recursos tecnológicos o activos de información incluidos en el ámbito del convenio.

h) Coordinación con organismos, proveedores y equipos especializados. Apoyo en la coordinación con centros de respuesta, organismos competentes, entidades supramunicipales, Administraciones Públicas, proveedores tecnológicos, encargados del tratamiento u otros terceros cuya intervención resulte necesaria para la prevención, análisis, gestión o respuesta ante riesgos, amenazas, vulnerabilidades o incidentes de seguridad.

i) Incorporación a servicios, plataformas o capacidades comunes de ciberseguridad. Apoyo al Ayuntamiento para la incorporación, utilización o aprovechamiento de servicios, plataformas, recursos, herramientas o capacidades comunes de ciberseguridad que la Agencia pueda poner a disposición de las entidades locales, cuando exista disponibilidad para ello y se cumplan las condiciones técnicas, organizativas, jurídicas, operativas y de seguridad aplicables.

j) Formación, sensibilización y capacitación. Desarrollo o impulso de actuaciones de formación, concienciación y capacitación dirigidas al personal municipal, cargos públicos, personal directivo, responsables funcionales, perfiles técnicos o usuarios de sistemas de información, con el fin de mejorar la cultura de ciberseguridad y el uso seguro de los medios electrónicos.

k) Gobierno de la seguridad, documentación y procedimientos. Acompañamiento en la elaboración, revisión o mejora de políticas, normas, procedimientos, instrucciones, planes, registros, inventarios, modelos de gobierno, planes de continuidad, planes de respuesta ante incidentes u otros instrumentos relacionados con la seguridad de la información y la ciberseguridad.

l) Planificación, seguimiento e indicadores. Colaboración en la identificación, ordenación, priorización y seguimiento de actuaciones de mejora, incluyendo hojas de ruta, planes de acción, indicadores, métricas, informes de evolución, análisis de madurez y criterios para orientar la toma de decisiones en materia de ciberseguridad.

m) Buenas prácticas y reutilización de conocimiento. Puesta a disposición del Ayuntamiento de modelos, guías, metodologías, plantillas, criterios técnicos, casos de uso, procedimientos, controles, recomendaciones o buenas prácticas que puedan ser reutilizados o adaptados para mejorar la seguridad de la administración electrónica municipal.

n) Cualesquiera otras actuaciones análogas. Cualquier otra actuación de apoyo, asistencia, orientación, coordinación o acompañamiento que guarde relación con la seguridad de la información, la ciberseguridad, la administración electrónica municipal o los sistemas y recursos tecnológicos que la soportan, siempre que resulte coherente con las funciones legalmente atribuidas a la Agencia y con el objeto del presente convenio.

Las actuaciones anteriores tendrán carácter de apoyo y asistencia al Ayuntamiento y se desarrollarán de acuerdo con las necesidades identificadas, la información facilitada por este, la disponibilidad de medios y capacidades de la Agencia, las prioridades que resulten aplicables y el procedimiento previsto en el presente convenio.

La Agencia podrá determinar, para cada actuación, su alcance, modalidad, intensidad, calendario, condiciones técnicas, requisitos previos, documentación necesaria, interlocutores, medios de ejecución, resultados esperados y criterios de cierre o seguimiento.

Cuando resulte necesario, las actuaciones podrán documentarse mediante informes, recomendaciones, notas técnicas, actas, planes de acción, comunicaciones, registros de seguimiento u otros documentos de trabajo, con carácter instrumental y de apoyo.

La incorporación del Ayuntamiento a servicios, plataformas, recursos o capacidades comunes de ciberseguridad podrá requerir la aceptación de las condiciones técnicas, organizativas, operativas, de seguridad, confidencialidad, protección de datos, disponibilidad o uso que se determinen en cada caso.

La realización de actuaciones por parte de la Agencia no implicará, salvo que se acuerde expresamente dentro del alcance de una actuación concreta y con los límites previstos en el presente convenio, la asunción indefinida de la operación ordinaria de sistemas, la administración continuada de infraestructuras, la gestión directa de contratos municipales, la sustitución estructural de proveedores, la prestación permanente de servicios gestionados, ni la adopción directa de decisiones que correspondan al Ayuntamiento.

Quinta

Compromisos del Ayuntamiento

En el marco del presente convenio, el Ayuntamiento asume los compromisos necesarios para facilitar el adecuado desarrollo de las actuaciones de cooperación, apoyo y asistencia de la Agencia, así como para garantizar que dichas actuaciones puedan desplegarse con eficacia, seguridad y proporcionalidad.

En particular, corresponderá al Ayuntamiento:

a) Designar interlocutores. Designar una o varias personas interlocutoras con capacidad suficiente para canalizar la relación con la Agencia, coordinar las actuaciones previstas en el convenio, facilitar la información necesaria y promover internamente la ejecución de las actuaciones acordadas o recomendadas.

b) Facilitar información, documentación y evidencias. Proporcionar a la Agencia la información técnica, organizativa, funcional y jurídica que resulte necesaria para valorar las necesidades del Ayuntamiento, determinar el alcance de las actuaciones, identificar riesgos, analizar incidentes, evaluar el estado de la seguridad o priorizar medidas. Esta información podrá incluir, entre otros elementos, inventarios, configuraciones, registros, evidencias, informes, políticas, procedimientos, contratos, análisis de riesgos, planes, auditorías o cualquier otra documentación relacionada con el ámbito material del convenio.

c) Identificar sistemas, servicios, activos y dependencias relevantes. Colaborar en la identificación de los servicios de administración electrónica municipal, sistemas de información, infraestructuras, recursos tecnológicos, activos de información, procedimientos, contratos, proveedores y dependencias que resulten relevantes para el desarrollo de las actuaciones previstas en el convenio.

d) Prestar colaboración técnica y organizativa. Facilitar la participación del personal municipal que resulte necesario, incluyendo perfiles técnicos, responsables funcionales, responsables de seguridad, personal directivo, usuarios clave o cualquier otro perfil cuya intervención sea precisa para el desarrollo de las actuaciones.

e) Habilitar los accesos necesarios. Facilitar, cuando resulte imprescindible para una actuación concreta, los accesos lógicos, físicos, remotos o documentales necesarios, de forma proporcionada, limitada al alcance acordado y conforme a las condiciones de seguridad, confidencialidad, trazabilidad y control que se establezcan.

f) Adoptar y ejecutar las medidas que correspondan al Ayuntamiento. Impulsar, aprobar, implantar, mantener y revisar, en el ámbito de sus competencias, las medidas organizativas, técnicas, jurídicas, contractuales y operativas necesarias para mejorar la seguridad de sus sistemas, servicios, procedimientos, infraestructuras y activos de información. En particular, corresponderá al Ayuntamiento adoptar las decisiones, asignar los recursos, modificar configuraciones, contratar medios, coordinar proveedores o ejecutar cambios técnicos cuando dichas actuaciones sean de su competencia.

g) Analizar las recomendaciones de la Agencia. Valorar las recomendaciones, pautas, criterios técnicos, informes, planes de acción o propuestas de mejora que formule la Agencia y adoptar, en su caso, las decisiones que correspondan para su implantación total o parcial, conforme a sus competencias, recursos, prioridades y régimen jurídico aplicable.

h) Comunicar riesgos, vulnerabilidades, incidentes y cambios relevantes. Informar a la Agencia, con la mayor diligencia posible, de los riesgos, vulnerabilidades, amenazas, ataques, incidentes de seguridad, situaciones de indisponibilidad o cambios organizativos, técnicos, contractuales, normativos o funcionales que puedan afectar al ámbito material del convenio, a la continuidad de los servicios públicos digitales, a la protección de la información o a las condiciones bajo las que se hubiera prestado apoyo o asistencia.

i) Colaborar en la gestión de incidentes. En caso de incidente de seguridad, facilitar la información, evidencias, registros, accesos, interlocución, disponibilidad de personal y coordinación con proveedores que resulten necesarios para su análisis, contención, seguimiento, recuperación y revisión posterior, sin perjuicio de las obligaciones de notificación que correspondan al Ayuntamiento conforme a la normativa aplicable.

j) Coordinar a proveedores y terceros. Adoptar las medidas necesarias para que los proveedores, encargados del tratamiento, prestadores de servicios tecnológicos u otros terceros que intervengan en los sistemas, servicios o infraestructuras municipales colaboren adecuadamente cuando su participación sea necesaria para el desarrollo de las actuaciones previstas en el convenio.

k) Cumplir las condiciones de uso de servicios o capacidades comunes. Cumplir, cuando proceda, las condiciones técnicas, organizativas, operativas, de seguridad, confidencialidad, protección de datos, disponibilidad y uso que establezca la Agencia para la incorporación o utilización de servicios, plataformas, recursos, herramientas o capacidades comunes de ciberseguridad.

l) Preservar la confidencialidad, seguridad y protección de la información. Mantener la confidencialidad de la información, documentación, resultados, informes, indicadores, alertas, configuraciones, evidencias, vulnerabilidades, indicadores de compromiso, recomendaciones o cualquier otro contenido al que acceda en el marco del convenio, y adoptar las medidas necesarias para que los accesos, intercambios de información, conexiones, pruebas, configuraciones o actuaciones técnicas se realicen de forma segura, controlada, trazable y limitada al alcance acordado.

m) Cumplir la normativa de protección de datos personales. Garantizar el cumplimiento de la normativa aplicable en materia de protección de datos personales respecto de los tratamientos que sean responsabilidad del Ayuntamiento, así como colaborar con la Agencia en la delimitación de roles, responsabilidades, bases jurídicas, medidas de seguridad y condiciones aplicables cuando las actuaciones previstas impliquen acceso o tratamiento de datos personales.

n) Promover la capacitación y concienciación interna. Facilitar la participación del personal municipal en las actuaciones de formación, sensibilización o capacitación que se impulsen en el marco del convenio, y promover internamente una cultura de uso seguro de los medios electrónicos y de protección de la información.

o) Respetar el alcance y naturaleza de la colaboración. Ajustar sus solicitudes, expectativas y actuaciones al objeto, ámbito material, disponibilidad de medios, procedimiento de priorización y límites establecidos en el presente convenio, sin que la suscripción de este genere un derecho automático a recibir actuaciones, servicios, plataformas o capacidades concretas. Asimismo, el Ayuntamiento no podrá presentar la colaboración regulada en el convenio como una certificación, homologación, auditoría favorable, garantía plena de seguridad, asunción de responsabilidad por la Agencia o sustitución de las obligaciones que correspondan al Ayuntamiento.

Los compromisos anteriores se entenderán sin perjuicio de cualesquiera otras obligaciones que correspondan al Ayuntamiento conforme a la normativa aplicable en materia de administración electrónica, régimen local, seguridad de la información, ciberseguridad, protección de datos personales, contratación pública, transparencia, archivo, interoperabilidad, continuidad de servicios o responsabilidad patrimonial.

Sexta

Procedimiento de solicitud, valoración y priorización de actuaciones

Las actuaciones que se desarrollen al amparo del presente convenio se iniciarán, con carácter general, a solicitud del Ayuntamiento, sin perjuicio de que la Agencia pueda proponer actuaciones de apoyo, asistencia, coordinación, capacitación, revisión o mejora cuando identifique riesgos, necesidades, oportunidades de mejora o iniciativas de interés común que resulten aplicables al Ayuntamiento.

La solicitud deberá dirigirse a la Agencia por los canales que esta determine e incluir una descripción suficiente de la necesidad planteada, el ámbito afectado, los sistemas, servicios, procedimientos, infraestructuras o activos de información relacionados, la urgencia apreciada, el impacto potencial o producido, las personas interlocutoras designadas y la información técnica, organizativa o documental disponible para realizar una valoración inicial.

Cuando la solicitud se refiera a un incidente de seguridad, vulnerabilidad crítica, amenaza activa, indisponibilidad relevante, compromiso de información o situación que pueda afectar a la continuidad de servicios públicos digitales, el Ayuntamiento deberá comunicarlo con la mayor diligencia posible, facilitando la información disponible en ese momento, sin perjuicio de su posterior ampliación o actualización.

Recibida la solicitud, la Agencia realizará una valoración inicial para determinar su adecuación al objeto y ámbito material del convenio, la suficiencia de la información aportada, la naturaleza y viabilidad de la actuación solicitada, el nivel de urgencia o riesgo, el impacto potencial sobre los servicios públicos municipales, la disponibilidad de medios y capacidades de la Agencia y las prioridades establecidas en su planificación.

Cuando resulte necesario, la Agencia podrá requerir al Ayuntamiento la subsanación, aclaración o ampliación de la información aportada, así como la identificación de los sistemas, servicios, proveedores, responsables o condiciones técnicas, organizativas, jurídicas o de seguridad que sean relevantes para delimitar adecuadamente la actuación.

La valoración y priorización de las solicitudes atenderá, entre otros, a criterios de proporcionalidad, riesgo, impacto, urgencia, interés público, disponibilidad de medios, eficiencia en el uso de recursos, criticidad de los servicios afectados, madurez del Ayuntamiento, posible reutilización de actuaciones o capacidades comunes, existencia de dependencias con otras Administraciones Públicas y necesidad de coordinación con organismos, proveedores o entidades competentes.

La Agencia podrá otorgar prioridad a las actuaciones orientadas a prevenir, contener, analizar o responder ante incidentes relevantes; proteger servicios públicos digitales esenciales o especialmente sensibles; reducir riesgos significativos para la continuidad, integridad, disponibilidad, autenticidad, confidencialidad o trazabilidad de la información; atender situaciones de exposición elevada frente a amenazas, vulnerabilidades o ataques activos; apoyar la adecuación progresiva al Esquema Nacional de Seguridad; facilitar la incorporación a servicios o capacidades comunes de ciberseguridad; o atender actuaciones coordinadas de alcance regional.

Como resultado de la valoración, la Agencia podrá aceptar la solicitud, aceptarla parcialmente, proponer una actuación alternativa, aplazar su ejecución, condicionarla al cumplimiento de requisitos previos, reconducirla a otro canal o instrumento de colaboración, integrarla en servicios o capacidades comunes, o rechazarla cuando no resulte viable, no se ajuste al objeto o ámbito material del convenio, exceda de las capacidades disponibles o corresponda a responsabilidades que deban ser asumidas directamente por el Ayuntamiento o por sus proveedores.

La Agencia comunicará al Ayuntamiento la decisión adoptada sobre cada solicitud, justificando de forma suficiente las razones de su aceptación, modificación, condicionamiento, reconducción o rechazo, en atención al objeto y ámbito material del convenio, a los criterios de priorización y a las disponibilidades de medios. El Ayuntamiento podrá reformular su solicitud a la vista de dicha comunicación o solicitar la revisión de la decisión adoptada, que será valorada por la Agencia conforme a los mismos criterios de proporcionalidad, riesgo, interés público y disponibilidad de medios, y adoptará la decisión procedente pudiendo revocar o modificar la decisión adoptada.

La aceptación de una solicitud no implicará necesariamente su ejecución inmediata, que quedará condicionada a la planificación de la Agencia, a la disponibilidad de medios, al cumplimiento de los requisitos previos que se establezcan y a la colaboración efectiva del Ayuntamiento durante todo el desarrollo de la actuación.

Para cada actuación aceptada, la Agencia podrá definir su alcance, objetivos, modalidad de ejecución, calendario estimado, interlocutores, información requerida, requisitos técnicos, medidas de seguridad, condiciones de acceso, medios a emplear, resultados esperados, forma de documentación y criterios de cierre o seguimiento.

Cuando la actuación requiera la intervención de proveedores, encargados del tratamiento, prestadores tecnológicos u otros terceros vinculados al Ayuntamiento, corresponderá a este asegurar su participación, disponibilidad, colaboración y sujeción a las condiciones de seguridad, confidencialidad, protección de datos y coordinación que resulten necesarias.

En situaciones de urgencia, incidente relevante, amenaza activa o riesgo significativo para la continuidad o seguridad de los servicios públicos digitales, la Agencia podrá iniciar actuaciones preliminares de orientación, coordinación, análisis o apoyo con la información disponible, sin perjuicio de la posterior formalización, delimitación o documentación del alcance de la actuación.

Las actuaciones podrán quedar suspendidas, limitadas o finalizadas cuando el Ayuntamiento no facilite la información, accesos, interlocución, colaboración o condiciones necesarias para su desarrollo; cuando desaparezca la necesidad que motivó la solicitud; cuando se aprecie imposibilidad técnica u organizativa sobrevenida; cuando la actuación exceda del objeto del convenio; o cuando razones de seguridad, confidencialidad, protección de datos, disponibilidad de medios o interés público así lo aconsejen.

La tramitación de una solicitud y su eventual aceptación no generarán a favor del Ayuntamiento un derecho automático a recibir actuaciones, servicios, plataformas, recursos o capacidades concretas, ni limitarán la facultad de la Agencia para ordenar, priorizar, modular o adaptar sus actuaciones conforme a sus medios disponibles, a su planificación y a las necesidades concurrentes del conjunto de entidades a las que preste apoyo o asistencia.

La Agencia podrá establecer modelos normalizados, formularios, instrucciones, guías, canales, procedimientos internos o criterios operativos para facilitar la solicitud, valoración, priorización, ejecución y seguimiento de las actuaciones previstas en esta cláusula, sin que dichos instrumentos puedan alterar el objeto, el régimen jurídico ni los límites establecidos en el presente convenio.

Séptima

Catálogo operativo de actuaciones, recursos y capacidades

La colaboración prevista en el presente convenio podrá articularse, total o parcialmente, a través del catálogo operativo de actuaciones, recursos y capacidades que la Agencia de Ciberseguridad de la Comunidad de Madrid apruebe, mantenga, comunique o ponga a disposición de las entidades locales de población inferior a 20.000 habitantes por los canales que determine.

El catálogo tendrá carácter interno, operativo, dinámico y orientativo, y servirá como instrumento de ordenación, información, planificación y gestión de las actuaciones de apoyo y asistencia que la Agencia pueda desarrollar en materia de seguridad de la información y ciberseguridad, dentro del objeto, ámbito material y límites establecidos en el presente convenio.

El catálogo podrá incluir las actuaciones, recursos o capacidades previstas en la cláusula cuarta, así como otras de naturaleza análoga que resulten coherentes con el objeto del convenio, con el ámbito material definido en la cláusula segunda y con las funciones legalmente atribuidas a la Agencia.

El catálogo podrá organizar dichas actuaciones, recursos o capacidades por líneas de actividad, modalidades de apoyo, requisitos técnicos, condiciones de acceso, prioridades, criterios de elegibilidad, intensidad de la asistencia, fases de ejecución, documentación asociada o cualquier otro criterio que facilite su gestión ordenada y eficiente.

La inclusión de una actuación, recurso o capacidad en el catálogo no generará, por sí sola, un derecho automático del Ayuntamiento a su prestación, utilización o incorporación, ni implicará la obligación de la Agencia de ejecutarla en un plazo determinado. Su realización quedará condicionada al procedimiento de solicitud, valoración y priorización previsto en el presente convenio, a la disponibilidad de medios y capacidades de la Agencia, al cumplimiento de los requisitos aplicables y a la colaboración efectiva del Ayuntamiento.

La Agencia podrá actualizar, modificar, ampliar, reorganizar, suspender o retirar actuaciones, recursos o capacidades del catálogo cuando resulte necesario por razones técnicas, organizativas, jurídicas, presupuestarias, de seguridad, de disponibilidad de medios, de evolución tecnológica, de adaptación normativa, de priorización de riesgos o de planificación interna. Dichas actualizaciones no tendrán la consideración de modificación del presente convenio, siempre que se mantengan dentro de su objeto, ámbito material y límites.

Cuando una actuación, recurso o capacidad del catálogo requiera condiciones específicas de acceso, utilización, seguridad, confidencialidad, protección de datos, interoperabilidad, conectividad, disponibilidad, soporte, mantenimiento, operación, integración técnica o coordinación con terceros, la Agencia podrá exigir su aceptación o cumplimiento previo por el Ayuntamiento como condición para su prestación o utilización.

En particular, la incorporación del Ayuntamiento a servicios, plataformas, herramientas o capacidades comunes de ciberseguridad podrá requerir la verificación previa de requisitos técnicos y organizativos, la designación de responsables, la habilitación de accesos, la aceptación de reglas de uso, la adopción de medidas de seguridad, la suscripción de documentos complementarios cuando proceda y la colaboración de los proveedores o terceros que participen en los sistemas o servicios municipales afectados.

El catálogo no podrá ampliar por sí mismo el objeto del presente convenio, alterar su régimen jurídico, modificar las obligaciones esenciales de las partes, atribuir a la Agencia responsabilidades no previstas en este instrumento, ni desplazar las competencias y responsabilidades que correspondan al Ayuntamiento conforme a la normativa aplicable.

La Agencia podrá establecer formularios, fichas descriptivas, instrucciones, guías, modelos de solicitud, documentación técnica, condiciones particulares o criterios operativos asociados a cada actuación, recurso o capacidad incluida en el catálogo, con el fin de facilitar su solicitud, valoración, ejecución, seguimiento y cierre.

Cuando una actuación incluida en el catálogo requiera, por su naturaleza, intensidad, duración, coste, afectación jurídica, tratamiento de datos, integración técnica, prestación continuada o asunción de condiciones específicas, una regulación adicional a la prevista en el presente convenio, las partes podrán formalizar los instrumentos complementarios que resulten procedentes conforme al ordenamiento jurídico aplicable.

Octava

Límites de la colaboración y exclusiones

La colaboración regulada en el presente convenio se desarrollará dentro de su objeto, ámbito material, disponibilidad de medios y procedimiento de solicitud, valoración y priorización, sin que pueda interpretarse como una habilitación general para la prestación de cualquier servicio tecnológico, informático o de ciberseguridad al Ayuntamiento.

Quedan excluidas las actuaciones que no guarden relación suficiente con la seguridad de la información, la ciberseguridad, la administración electrónica municipal, los servicios públicos digitales municipales o los sistemas, infraestructuras, recursos tecnológicos y activos de información que los soportan.

El presente convenio no implica la asunción por parte de la Agencia de la gestión ordinaria, explotación, administración continuada, mantenimiento integral u operación permanente de los sistemas, redes, infraestructuras, aplicaciones, servicios, contratos, proveedores, medios personales o recursos tecnológicos del Ayuntamiento, ni sustituye las competencias, obligaciones y responsabilidades que correspondan a este conforme al ordenamiento jurídico aplicable.

No quedan comprendidas en el convenio las actuaciones que, por su naturaleza, deban articularse mediante contratación pública, encargo, encomienda, subvención, adhesión a otro instrumento jurídico, acuerdo específico, adenda o cualquier otra figura diferenciada, cuando así resulte exigible conforme al ordenamiento jurídico aplicable.

La intervención de la Agencia no tendrá la consideración de certificación, acreditación, homologación, auditoría favorable, validación integral, garantía plena de seguridad, asunción de conformidad normativa ni exención de responsabilidad para el Ayuntamiento.

Las recomendaciones, informes, diagnósticos, notas técnicas, planes de acción, comunicaciones o documentos que puedan emitirse en el marco del convenio tendrán carácter instrumental y de apoyo. Corresponderá al Ayuntamiento adoptar las decisiones que procedan sobre su implantación, no implantación o implantación parcial, así como asumir las responsabilidades derivadas de dichas decisiones.

La Agencia podrá limitar, modular, aplazar, suspender o finalizar una actuación cuando esta exceda del objeto o ámbito material del convenio, no resulte viable por razones técnicas, organizativas, jurídicas, presupuestarias o de seguridad, no exista disponibilidad suficiente de medios, no se cumplan los requisitos establecidos, no se facilite la colaboración necesaria o concurran razones de interés público que así lo justifiquen.

La utilización o incorporación del Ayuntamiento a servicios, plataformas, recursos, herramientas o capacidades comunes de ciberseguridad quedará condicionada al cumplimiento de las condiciones específicas que se establezcan en cada caso, sin que la firma del convenio genere por sí sola un derecho automático a su utilización.

Las exclusiones y límites previstos en esta cláusula se entenderán sin perjuicio de que las partes puedan formalizar, cuando proceda, los instrumentos complementarios necesarios para articular actuaciones adicionales, específicas o de mayor intensidad, conforme al ordenamiento jurídico aplicable.

Novena

Interlocutores y coordinación operativa

Para facilitar la ejecución del presente convenio, cada parte designará una o varias personas interlocutoras responsables de canalizar las comunicaciones, coordinar las actuaciones, facilitar la información necesaria y realizar el seguimiento operativo de la colaboración.

El Ayuntamiento comunicará a la Agencia la designación de sus interlocutores, indicando, al menos, su nombre, cargo o función, datos de contacto y ámbito de responsabilidad. Cualquier cambio en dicha designación deberá ser comunicado a la Agencia con la mayor diligencia posible.

La Agencia comunicará al Ayuntamiento los interlocutores o unidades responsables de coordinar las actuaciones que se desarrollen al amparo del convenio, pudiendo modificar dicha designación en función de la naturaleza de la actuación, de los medios disponibles o de su organización interna.

Los interlocutores designados actuarán como punto ordinario de contacto entre las partes, sin perjuicio de la intervención de otros perfiles técnicos, jurídicos, organizativos, funcionales o directivos cuando resulte necesario por razón de la materia, urgencia, complejidad o impacto de la actuación.

La coordinación operativa podrá desarrollarse mediante reuniones, comunicaciones electrónicas, sesiones técnicas, formularios, plataformas, canales específicos, actas, planes de actuación, registros de seguimiento o cualquier otro medio que resulte adecuado para la gestión ordenada de las actuaciones.

Cuando una actuación requiera la participación de proveedores, encargados del tratamiento, prestadores tecnológicos u otros terceros vinculados al Ayuntamiento, corresponderá a este asegurar su adecuada coordinación, disponibilidad y sujeción a las condiciones de seguridad, confidencialidad y protección de datos que resulten aplicables.

En situaciones de urgencia, incidente de seguridad, amenaza activa o riesgo relevante para la continuidad o seguridad de los servicios públicos digitales, las partes podrán utilizar canales específicos o procedimientos de comunicación acelerada, sin perjuicio de la posterior documentación de las actuaciones realizadas cuando resulte necesario.

La designación de interlocutores y la coordinación operativa prevista en esta cláusula no alterarán las competencias, responsabilidades ni facultades de decisión que correspondan a los órganos competentes de cada parte.

Décima

Comisión de seguimiento

Para el seguimiento, vigilancia y control de la ejecución del presente convenio se constituirá una Comisión de seguimiento integrada por dos representantes de la Agencia de Ciberseguridad de la Comunidad de Madrid y dos representantes del Ayuntamiento de Navalagamella designados por cada una de las partes.

La Comisión tendrá las siguientes funciones:

a) Realizar el seguimiento general de la ejecución del convenio.

b) Conocer las actuaciones de apoyo y asistencia desarrolladas o previstas al amparo del convenio.

c) Valorar el grado de colaboración entre las partes y, en su caso, proponer mejoras en la coordinación.

d) Analizar las incidencias que puedan surgir en la aplicación del convenio y proponer criterios para su resolución.

e) Proponer, cuando proceda, la modificación, prórroga o extinción del convenio, conforme a lo previsto en sus cláusulas.

f) Conocer, con carácter general, la evolución de las actuaciones realizadas, sin perjuicio de la coordinación operativa ordinaria que corresponda a los interlocutores designados.

La Comisión se reunirá, al menos, una vez al año y, adicionalmente, cuando lo solicite cualquiera de las partes por razón de la evolución de las actuaciones, la existencia de incidencias relevantes o la necesidad de adoptar criterios de seguimiento.

Las reuniones podrán celebrarse presencialmente, por medios electrónicos o en formato mixto. De cada reunión se levantará acta o documento equivalente, en el que se dejará constancia de los asistentes, asuntos tratados y acuerdos o criterios adoptados.

La Comisión podrá contar, cuando resulte necesario, con la asistencia de personal técnico, jurídico, organizativo o funcional de cualquiera de las partes, así como de otros perfiles cuya participación sea conveniente por razón de la materia tratada. Dichas personas actuarán con voz, pero sin voto.

Los acuerdos de la Comisión se adoptarán por consenso entre las partes y tendrán carácter de seguimiento, coordinación e impulso, sin que puedan alterar el objeto, régimen jurídico, obligaciones esenciales, duración o contenido del convenio, salvo que se tramite la correspondiente modificación conforme a lo previsto en este.

La Comisión de seguimiento podrá analizar las discrepancias que se susciten entre las partes en relación con la tramitación, valoración, priorización, aceptación, modificación o rechazo de las solicitudes de actuaciones reguladas en la cláusula Sexta, formulando criterios de coordinación y recomendaciones de mejora. Dichas actuaciones de la Comisión tendrán carácter de seguimiento, coordinación e impulso y no alterarán el régimen jurídico, las obligaciones esenciales, la duración ni el contenido del convenio, ni sustituirán lo dispuesto en la cláusula Decimonovena sobre el régimen jurídico aplicable y la resolución de controversias.

La constitución y funcionamiento de la Comisión no supondrá incremento de gasto ni dará lugar a retribución, indemnización o compensación económica alguna para sus miembros por razón de su participación en ella.

Undécima

Régimen económico

El presente convenio no comporta contraprestación económica entre las partes ni implica transferencia de fondos entre la Agencia de Ciberseguridad de la Comunidad de Madrid y el Ayuntamiento de Navalagamella.

Cada parte asumirá, con cargo a sus propios medios y disponibilidades presupuestarias, los gastos ordinarios que pudieran derivarse de las actuaciones que le correspondan en ejecución del convenio.

La suscripción del presente convenio no supone compromiso de gasto adicional para la Agencia ni para el Ayuntamiento, ni genera obligación de financiación específica, compensación económica, reembolso de costes o aportación dineraria entre las partes.

Las actuaciones de apoyo y asistencia de la Agencia quedarán condicionadas a la disponibilidad de medios personales, técnicos, organizativos y presupuestarios existentes en cada momento, sin que el convenio genere derecho del Ayuntamiento a exigir actuaciones, servicios, plataformas, recursos o capacidades concretas que requieran financiación adicional no prevista.

Cuando una actuación concreta requiera la realización de gastos, inversiones, contrataciones, licencias, equipamientos, servicios de terceros, adaptaciones técnicas, conectividad, mantenimiento, soporte u otros medios necesarios para su implantación o continuidad en el ámbito municipal, dichos costes corresponderán al Ayuntamiento, salvo que las partes acuerden expresamente otra fórmula conforme al ordenamiento jurídico aplicable.

La eventual incorporación del Ayuntamiento a servicios, plataformas, recursos o capacidades comunes de ciberseguridad podrá quedar condicionada a la existencia de disponibilidad presupuestaria, a las condiciones específicas que se establezcan para cada servicio o capacidad y, cuando proceda, a la formalización del instrumento jurídico o presupuestario que resulte necesario.

En caso de que, durante la vigencia del convenio, las partes consideren necesario articular actuaciones que impliquen obligaciones económicas específicas, deberán formalizar la correspondiente adenda, convenio específico, contrato, encargo, adhesión u otro instrumento procedente, de conformidad con la normativa presupuestaria, de contratación pública y de régimen jurídico que resulte aplicable.

Duodécima

Protección de datos personales

Las partes se comprometen a cumplir la normativa aplicable en materia de protección de datos personales, en particular el Reglamento (UE) 2016/679, de 27 de abril, la Ley Orgánica 3/2018, de 5 de diciembre, y demás disposiciones que resulten aplicables.

Cada parte será responsable de los tratamientos de datos personales que realice en el ejercicio de sus propias competencias y funciones, debiendo garantizar la licitud del tratamiento, la aplicación de los principios de protección de datos, el respeto de los derechos de las personas interesadas y la adopción de las medidas técnicas y organizativas adecuadas.

Con carácter general, las actuaciones previstas en el presente convenio no implicarán cesión generalizada de datos personales entre las partes. No obstante, cuando para el desarrollo de una actuación concreta resulte necesario el acceso, comunicación o tratamiento de datos personales, las partes deberán limitar dicho tratamiento a los datos estrictamente necesarios para la finalidad correspondiente, conforme a los principios de minimización, proporcionalidad, confidencialidad, integridad y limitación de la finalidad.

Cuando una actuación implique que una de las partes trate datos personales por cuenta de la otra, las partes deberán formalizar previamente el correspondiente acuerdo de encargo del tratamiento, de conformidad con lo previsto en el artículo 28 del Reglamento (UE) 2016/679, en el que se determinarán, entre otros extremos, el objeto, duración, naturaleza, finalidad del tratamiento, tipo de datos, categorías de personas interesadas, obligaciones de las partes, medidas de seguridad y régimen de supresión o devolución de los datos.

Cuando las actuaciones impliquen acceso a sistemas, registros, evidencias, trazas, expedientes, comunicaciones, copias de seguridad, configuraciones, herramientas de monitorización o cualquier otra fuente que pueda contener datos personales, dicho acceso deberá limitarse al alcance necesario para la actuación concreta, aplicando medidas de control, trazabilidad, confidencialidad y seguridad adecuadas.

El Ayuntamiento, como responsable de sus tratamientos, deberá garantizar que dispone de la base jurídica correspondiente para los tratamientos de datos personales que se realicen en el marco de sus sistemas, servicios y procedimientos, así como para las comunicaciones o accesos que resulten necesarios en ejecución del convenio.

La Agencia tratará los datos personales a los que pueda acceder en el marco del convenio únicamente para las finalidades vinculadas a las actuaciones de cooperación, apoyo, asistencia, coordinación o respuesta previstas en este, sin utilizarlos para finalidades incompatibles.

Las partes deberán colaborar, cuando resulte necesario, en la delimitación de sus respectivas posiciones jurídicas en materia de protección de datos, en la atención de derechos de las personas interesadas, en la gestión de incidentes o brechas de seguridad que afecten a datos personales y en el cumplimiento de las obligaciones de información, registro, seguridad, evaluación o notificación que resulten aplicables.

La información que contenga datos personales deberá intercambiarse por medios seguros y limitarse a las personas que deban conocerla por razón de las actuaciones previstas en el convenio, quedando sometida a los deberes de confidencialidad y seguridad establecidos en este convenio y en la normativa aplicable.

La finalización del convenio no eximirá a las partes del cumplimiento de las obligaciones en materia de protección de datos que deban subsistir por razón de los tratamientos realizados, de las responsabilidades asumidas o de los plazos legales de conservación que resulten aplicables.

Decimotercera

Confidencialidad y seguridad de la información

Las partes se comprometen a preservar la confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de la información a la que accedan, intercambien, traten o generen en ejecución del presente convenio.

Tendrá carácter confidencial toda información técnica, organizativa, operativa, jurídica o documental relacionada con sistemas de información, infraestructuras, configuraciones, vulnerabilidades, incidentes, medidas de seguridad, registros, evidencias, indicadores, informes, recomendaciones, planes de actuación, proveedores, accesos, credenciales, arquitectura tecnológica o cualquier otro elemento cuya divulgación pudiera comprometer la seguridad del Ayuntamiento, de la Agencia o de terceros.

Las partes limitarán el acceso a dicha información al personal, unidades, proveedores o terceros cuya intervención resulte necesaria para el desarrollo de las actuaciones previstas en el convenio, debiendo asegurar que quedan sujetos a obligaciones adecuadas de confidencialidad, seguridad y uso limitado de la información.

La información intercambiada o generada en el marco del convenio solo podrá utilizarse para las finalidades vinculadas a su ejecución, sin que pueda ser empleada para fines distintos, comunicada a terceros o difundida públicamente sin autorización previa de la parte afectada, salvo obligación legal, requerimiento de autoridad competente o necesidad justificada para la gestión de un incidente, riesgo o actuación de seguridad.

Cuando resulte necesario intercambiar información sensible, evidencias técnicas, registros, indicadores de compromiso, configuraciones, documentación de seguridad o información relativa a incidentes, las partes utilizarán canales y medios adecuados al nivel de sensibilidad de la información, aplicando medidas razonables de protección, control de acceso, trazabilidad y custodia.

La Agencia y el Ayuntamiento deberán adoptar las medidas técnicas y organizativas necesarias para evitar el acceso no autorizado, alteración, pérdida, destrucción, divulgación indebida o uso no autorizado de la información tratada en el marco del convenio.

La información relativa a vulnerabilidades, incidentes de seguridad, amenazas activas, configuraciones, resultados de revisiones, diagnósticos o recomendaciones técnicas deberá tratarse con especial cautela y no podrá divulgarse de forma que pueda facilitar la explotación de debilidades, comprometer la seguridad de los sistemas afectados o perjudicar las actuaciones de prevención, contención, respuesta o recuperación.

Las obligaciones de confidencialidad y seguridad previstas en esta cláusula se mantendrán durante la vigencia del convenio y continuarán tras su extinción mientras la información conserve carácter confidencial, sensible o protegida conforme a la normativa aplicable o a su propia naturaleza.

Lo previsto en esta cláusula se entenderá sin perjuicio de las obligaciones que correspondan a las partes en materia de transparencia, acceso a la información pública, protección de datos personales, seguridad de la información, protección de infraestructuras críticas, contratación pública, archivo y demás normativa aplicable.

Decimocuarta

Transparencia, publicidad e imagen institucional

El presente convenio, así como sus prórrogas, modificaciones o extinción, se someterá al régimen de publicidad, inscripción y transparencia que resulte aplicable conforme a la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, al Decreto 48/2019, de 10 de junio, por el que se regula la actividad convencional de la Comunidad de Madrid, y a la normativa vigente en materia de transparencia y publicidad activa.

Cada una de las partes podrá dar publicidad a la suscripción del convenio y, en su caso, a las actuaciones desarrolladas en su ejecución, siempre que dicha publicidad sea veraz, proporcionada, respetuosa con el objeto del convenio y no comprometa información confidencial, datos personales, detalles técnicos de seguridad, vulnerabilidades, incidentes, configuraciones, medidas de protección o cualquier otra información cuya difusión pueda afectar a la seguridad de los sistemas, servicios o información de las partes o de terceros.

La utilización de la denominación, logotipos, emblemas, marcas, distintivos o cualquier otro elemento identificativo de la Agencia o del Ayuntamiento requerirá la conformidad previa de la parte titular, salvo cuando su uso resulte necesario para cumplir obligaciones legales de publicidad, transparencia, inscripción o comunicación institucional.

Las comunicaciones públicas, notas de prensa, publicaciones, jornadas, materiales divulgativos o contenidos informativos que hagan referencia conjunta al convenio o a actuaciones desarrolladas en su marco deberán coordinarse previamente entre las partes cuando puedan afectar a la imagen institucional de cualquiera de ellas, a la seguridad de la información o a la correcta interpretación del alcance de la colaboración.

La publicidad del convenio o de las actuaciones realizadas no podrá presentarse como certificación, homologación, auditoría favorable, garantía plena de seguridad, validación integral de los sistemas municipales, asunción de responsabilidad por la Agencia ni sustitución de las obligaciones que correspondan al Ayuntamiento.

Cuando la difusión pública de una actuación pudiera afectar a la seguridad, confidencialidad, protección de datos, reputación institucional, investigación de incidentes o intereses de terceros, las partes deberán limitar, aplazar o adaptar dicha comunicación al contenido que resulte adecuado y seguro.

Lo previsto en esta cláusula se entenderá sin perjuicio de las obligaciones legales de transparencia, acceso a la información pública, archivo, publicidad activa, protección de datos personales y confidencialidad que resulten aplicables a cada una de las partes.

Decimoquinta

Vigencia y prórroga

El presente convenio tendrá una vigencia de cuatro años desde la fecha en que adquiera eficacia, de conformidad con lo previsto en la normativa aplicable en materia de convenios administrativos.

Antes de la finalización del plazo de vigencia, las partes podrán acordar expresamente su prórroga por un periodo de hasta cuatro años adicionales, mediante acuerdo unánime formalizado conforme al procedimiento que resulte aplicable.

La prórroga deberá acordarse antes de la expiración del plazo de vigencia inicial o, en su caso, de la prórroga vigente, y quedará condicionada a la voluntad de ambas partes, a la continuidad del interés público que justifica el convenio, a la disponibilidad de medios y capacidades de la Agencia y a la adecuación del convenio al marco normativo aplicable en ese momento.

La falta de acuerdo expreso de prórroga antes de la finalización del plazo de vigencia determinará la extinción del convenio, sin que pueda entenderse prorrogado tácitamente.

Decimosexta

Modificación del convenio

El presente convenio podrá ser modificado por acuerdo unánime de las partes, siempre que la modificación resulte necesaria para mejorar su ejecución, adaptar su contenido a cambios normativos, organizativos, técnicos u operativos, incorporar nuevas necesidades de colaboración o ajustar el alcance de las actuaciones previstas.

La modificación deberá formalizarse mediante la correspondiente adenda o instrumento equivalente, tramitado conforme al procedimiento y requisitos que resulten aplicables a los convenios administrativos.

No tendrán la consideración de modificación del convenio las actuaciones de ejecución ordinaria previstas en este, la actualización del catálogo operativo de actuaciones, recursos y capacidades, la designación o sustitución de interlocutores, la aprobación de formularios, fichas, instrucciones, guías o criterios operativos, ni la concreción del alcance de actuaciones específicas, siempre que no alteren el objeto, el ámbito material, la duración, el régimen jurídico, las obligaciones esenciales o los límites establecidos en el presente convenio.

Cuando una actuación concreta requiera obligaciones económicas específicas, ampliación sustancial del alcance, prestación continuada, integración técnica compleja, tratamiento de datos personales no previsto inicialmente, incorporación a servicios o plataformas con condiciones singulares o cualquier otra circunstancia que exceda de la ejecución ordinaria del convenio, las partes deberán formalizar, en su caso, la modificación del convenio o el instrumento jurídico que resulte procedente.

Toda modificación deberá respetar el objeto y finalidad del convenio, el marco competencial de las partes, la normativa aplicable en materia de convenios administrativos, el régimen presupuestario y, cuando proceda, la normativa de contratación pública, protección de datos personales, seguridad de la información y transparencia.

Decimoséptima

Extinción y efectos de la resolución

El presente convenio se extinguirá por el cumplimiento de las actuaciones que constituyen su objeto o por incurrir en cualquiera de las causas de resolución previstas en la normativa aplicable en materia de convenios administrativos.

Serán causas de resolución del convenio:

a) El transcurso del plazo de vigencia sin haberse acordado su prórroga.

b) El acuerdo unánime de las partes.

c) El incumplimiento de las obligaciones y compromisos asumidos por cualquiera de las partes.

d) La imposibilidad sobrevenida, jurídica, técnica, organizativa o material, de ejecutar las actuaciones previstas.

e) La desaparición de las razones de interés público que justificaron su suscripción.

f) La decisión judicial declaratoria de la nulidad del convenio.

g) Cualquier otra causa prevista en el presente convenio o en el ordenamiento jurídico aplicable.

h) La superación por parte del Ayuntamiento del umbral de población de 20.000 habitantes, conforme a las cifras oficiales de población resultantes de la revisión anual del Padrón municipal aprobada por el Consejo de Ministros mediante real decreto.

En caso de incumplimiento por una de las partes, la otra podrá requerirle para que subsane el incumplimiento en un plazo razonable, que deberá indicarse en el propio requerimiento. Si transcurrido dicho plazo persistiera el incumplimiento, podrá acordarse la resolución del convenio, sin perjuicio de las responsabilidades que, en su caso, pudieran corresponder.

La extinción del convenio no afectará a la validez de las actuaciones realizadas durante su vigencia ni impedirá la finalización ordenada de aquellas actuaciones que se encuentren en curso, siempre que las partes así lo acuerden y dicha finalización resulte necesaria para evitar perjuicios, preservar la seguridad de la información o garantizar el cierre adecuado de los trabajos iniciados.

La resolución o extinción del convenio no generará derecho a indemnización, compensación o reembolso entre las partes, salvo que así resulte exigible conforme al ordenamiento jurídico aplicable o se hubiera previsto expresamente en el instrumento que, en su caso, regule una actuación específica.

A la finalización del convenio, las partes deberán adoptar las medidas necesarias para el cierre ordenado de las actuaciones, la devolución o supresión de la información que proceda, la revocación de accesos, la retirada de credenciales, la conservación de la documentación que deba mantenerse y el cumplimiento de las obligaciones de confidencialidad, seguridad de la información y protección de datos personales.

Las obligaciones relativas a confidencialidad, seguridad de la información, protección de datos personales, custodia documental y responsabilidad por actuaciones realizadas durante la vigencia del convenio subsistirán tras su extinción en los términos previstos en este convenio y en la normativa aplicable.

Decimoctava

Régimen jurídico

El presente convenio tiene naturaleza administrativa y se regirá por lo dispuesto en sus propias cláusulas y, en lo no previsto expresamente en ellas, por la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público; por el Decreto 48/2019, de 10 de junio, por el que se regula la actividad convencional de la Comunidad de Madrid; por la Ley 14/2023, de 20 de diciembre, por la que se crea la Agencia de Ciberseguridad de la Comunidad de Madrid; por la legislación básica y autonómica de régimen local; y por las demás normas administrativas que resulten de aplicación.

El convenio se configura como un instrumento de cooperación interadministrativa entre la Agencia y el Ayuntamiento para la consecución de fines comunes de interés público, sin que tenga naturaleza contractual ni pueda entenderse incluido en el ámbito propio de la contratación pública.

No obstante, cuando para la ejecución de actuaciones concretas resulte necesario acudir a contratos, encargos, adendas, convenios específicos, acuerdos de adhesión, instrumentos de financiación u otros mecanismos jurídicos diferenciados, estos se tramitarán conforme a la normativa que resulte aplicable en cada caso.

El presente convenio deberá interpretarse de conformidad con el marco competencial de cada una de las partes, con el régimen jurídico aplicable a los municipios de población inferior a 20.000 habitantes y con las funciones legalmente atribuidas a la Agencia, sin que pueda suponer alteración de competencias, delegación no prevista legalmente, transferencia de titularidad de servicios, ni sustitución de las responsabilidades que correspondan al Ayuntamiento.

Las actuaciones desarrolladas al amparo del convenio deberán respetar, en todo caso, la normativa aplicable en materia de administración electrónica, seguridad de la información, ciberseguridad, protección de datos personales, interoperabilidad, transparencia, archivo, contratación pública, régimen presupuestario, responsabilidad patrimonial y demás disposiciones que resulten aplicables.

Las dudas que puedan surgir en la interpretación y ejecución del convenio se resolverán, con carácter preferente, en el seno de la Comisión de seguimiento prevista en la cláusula Décima, sin perjuicio de lo establecido en la cláusula Decimonovena respecto de la resolución de controversias.

Decimonovena

Resolución de controversias

Las controversias que puedan surgir en la interpretación, ejecución, modificación, efectos o extinción del presente convenio se resolverán, con carácter preferente, mediante acuerdo entre las partes en el seno de la Comisión de seguimiento prevista en la cláusula Décima.

A tal efecto, cualquiera de las partes podrá someter a la Comisión de seguimiento las discrepancias que se produzcan, aportando los antecedentes, documentación e información que resulten necesarios para su análisis.

La Comisión de seguimiento procurará alcanzar una solución de común acuerdo, conforme al objeto del convenio, al principio de lealtad institucional, al interés público perseguido y al marco jurídico aplicable.

Si no fuera posible alcanzar una solución en el seno de la Comisión de seguimiento, las partes podrán elevar la discrepancia a los órganos competentes de cada una de ellas para intentar su resolución por vía administrativa o institucional.

Las cuestiones litigiosas que no puedan resolverse de común acuerdo serán sometidas al orden jurisdiccional contencioso-administrativo, de conformidad con lo previsto en la normativa reguladora de dicha jurisdicción.

Y en prueba de conformidad, ambas partes firman el presente convenio, en la fecha indicada en la firma electrónica.

Madrid, a 8 de septiembre de 2026.—Por la Comunidad de Madrid: El Consejero de Digitalización, Miguel López-Valverde Argüeso.—Por el Ayuntamiento de Navalagamella: El Alcalde, Andrés Samperio Montejano.

(03/15.451/26)