Acta de Nombramiento del Responsable de Seguridad ENS
Datos del Acto Administrativo
| Campo | Valor |
|---|---|
| Tipo de Documento | Acta de Nombramiento Formal |
| Número de Registro | ?? |
| Fecha de Nombramiento | 1 de enero de 2025 |
| Vigencia | Indefinida (hasta revocación expresa) |
| Autoridad Nominante | Consejo de Administración de Legit Health |
| Base Legal | Artículo 9 del Real Decreto 311/2022 |
Identificación de la Organización
Datos Corporativos
- Razón Social: Legit Health, S.L.
- NIF: B01234567 (referencial)
- Domicilio Social: Calle de la Innovación, 123, 28001 Madrid
- Sector de Actividad: Dispositivos médicos software - Diagnóstico dermatológico
- Categoría ENS: Nivel MEDIO según análisis OP.PL.1
- Clasificación Sistema: Sistema de Información de Categoría MEDIA
Contexto Regulatorio
El nombramiento se realiza en cumplimiento de:
- Real Decreto 311/2022 - Esquema Nacional de Seguridad
- Reglamento MDR 2017/745 - Dispositivos médicos
- LOPD Orgánica 3/2018 - Protección de datos personales
- Directiva NIS2 - Seguridad de redes y sistemas de información
Datos del Nombrado
Identificación Personal
- Nombre Completo: Taig Mac Carthy
- Cargo Corporativo: Chief Technology Officer (CTO)
- Departamento: Tecnología e Innovación
- Fecha de Incorporación: 15 de marzo de 2020
- Relación Contractual: Empleado a tiempo completo
- Ubicación de Trabajo: Madrid, España
Cualificaciones Profesionales
Formación Académica
- Grado en Ingeniería Informática - Universidad Politécnica de Madrid (2015)
- Máster en Ciberseguridad - Universidad Carlos III de Madrid (2017)
- Executive Program in Digital Health - ESADE Business School (2021)
Certificaciones Profesionales
- Certified Information Security Manager (CISM) - ISACA (Vigente hasta 2026)
- Certified Information Systems Auditor (CISA) - ISACA (Vigente hasta 2025)
- ISO 27001 Lead Auditor - BSI Group (Vigente hasta 2026)
- Certified Ethical Hacker (CEH) - EC-Council (Vigente hasta 2025)
Experiencia Relevante
- 5+ años en liderazgo de equipos de seguridad
- 3+ años en dispositivos médicos software
- 7+ años en arquitectura de sistemas críticos
- Experiencia específica en cumplimiento ENS y MDR
Fundamentos del Nombramiento
Base Legal
De conformidad con el artículo 9 del Real Decreto 311/2022, que establece:
"Los órganos superiores de cada Administración Pública designarán al responsable de la información, al responsable del servicio y al responsable de seguridad, en función de la organización de cada una de ellas."
Adaptado al contexto empresarial privado que maneja información de categoría MEDIA y presta servicios críticos del sector salud.
Necesidades Organizativas
El nombramiento responde a:
- Complejidad del sistema: Dispositivo médico software con IA integrada
- Criticidad de los datos: Información clínica de pacientes
- Marco regulatorio: Cumplimiento simultáneo ENS, MDR, RGPD, NIS2
- Nivel de riesgo: Categoría MEDIA según análisis de riesgos ENS
- Interoperabilidad: Integración con sistemas sanitarios externos
Evaluación de Idoneidad
El candidato cumple con los requisitos de:
- Competencia técnica: Formación y certificaciones en seguridad
- Experiencia sectorial: Conocimiento del marco regulatorio médico
- Autoridad organizativa: Posición jerárquica adecuada (CTO)
- Disponibilidad: Dedicación suficiente para las responsabilidades
- Independencia: Capacidad de toma de decisiones autónomas
Responsabilidades Asignadas
Responsabilidades Principales ENS
De acuerdo con el artículo 9 y el Anexo II del RD 311/2022:
Coordinación de la Implantación ENS
- Liderar la implementación del Marco Organizativo (ORG)
- Supervisar la implantación del Marco Operacional (OP)
- Coordinar la aplicación de Medidas de Protección (MP)
- Asegurar la integración con el sistema de calidad médico ISO 13485
Supervisión del Cumplimiento
- Realizar seguimiento del estado de implementación de medidas ENS
- Coordinar auditorías internas de seguridad
- Gestionar la relación con auditores externos ENS
- Mantener actualizada la documentación de seguridad
Gestión de Incidentes ENS
- Dirigir la respuesta a incidentes de seguridad categoría MEDIA-ALTA
- Coordinar con CCN-CERT según procedimientos NIS2
- Activar planes de continuidad cuando sea necesario
- Supervisar la investigación de incidentes y lecciones aprendidas
Relación con CCN-CERT
- Actuar como punto de contacto oficial con CCN-CERT
- Gestionar notificaciones de incidentes según plazos NIS2
- Coordinar intercambio de información de amenazas
- Participar en ejercicios de ciberseguridad nacionales
Responsabilidades Específicas Dispositivos Médicos
Seguridad del Ciclo de Vida
- Integrar requisitos de seguridad en el diseño médico (IEC 62304)
- Supervisar análisis de riesgos de ciberseguridad (ISO 14971)
- Coordinar con Vigilancia Post-Comercialización para incidentes de seguridad
- Asegurar cumplimiento de PSUR (Periodic Safety Update Reports)
Gestión de Vulnerabilidades
- Coordinar el proceso de divulgación responsable de vulnerabilidades
- Gestionar parches de seguridad críticos en dispositivos desplegados
- Mantener el SBOM (Software Bill of Materials) actualizado
- Coordinar con autoridades sanitarias en caso de vulnerabilidades críticas
Autoridad Delegada
Se otorga autoridad para:
Decisiones Operativas
- Suspender temporalmente servicios en caso de amenaza crítica inmediata
- Autorizar gastos excepcionales hasta 50.000€ para respuesta a incidentes
- Activar equipos de respuesta fuera del horario laboral
- Implementar medidas de seguridad urgentes con comunicación posterior al CEO
Gestión de Personal de Seguridad
- Aprobar contratación de personal especializado en seguridad
- Autorizar formación especializada en ciberseguridad
- Delegar responsabilidades específicas en administradores de seguridad
- Gestionar accesos privilegiados y certificados digitales
Gestión Presupuestaria
- Presupuesto anual asignado: 500.000€ para iniciativas de seguridad
- Autoridad de gasto ordinario: Hasta 25.000€ sin aprobación adicional
- Gastos de emergencia: Hasta 50.000€ en situaciones críticas
- Auditorías y consultoría: Sin límite previa aprobación CEO
Línea de Reporte
Reporte Directo al CEO
- Informes mensuales de estado de seguridad
- Informes trimestrales de cumplimiento ENS y métricas
- Informes inmediatos de incidentes categoría ALTA-CRÍTICA
- Informe anual de revisión de seguridad y plan estratégico
Participación en Órganos de Gobierno
- Miembro permanente del Comité de Dirección
- Presidente del Comité de Seguridad de la Información
- Participante en el Comité de Gestión de Riesgos
- Asesor en decisiones tecnológicas estratégicas
Marco de Actuación
Medios Asignados
Recursos Humanos
- Equipo directo: 3 especialistas en ciberseguridad
- Administrador de seguridad: 1 administrador senior
- Soporte externo: Contratos con consultoras especializadas
- Formación: 40 horas/año de actualización profesional
Recursos Tecnológicos
- Herramientas de seguridad: SIEM, vulnerability scanners, pentesting tools
- Laboratorio de seguridad: Entorno aislado para pruebas
- Acceso privilegiado: A todos los sistemas e infraestructuras
- Comunicaciones seguras: Canales cifrados para gestión de crisis
Recursos Financieros
- Presupuesto operativo anual: 500.000€
- Fondo de contingencia: 100.000€ para emergencias
- Formación y certificaciones: 25.000€/año
- Auditorías externas: 75.000€/año
Coordinación Organizativa
Con Otros Roles ENS
- Responsable de la Información: Coordinación en clasificación de datos
- Responsable del Servicio: Alineación en disponibilidad y continuidad
- Administradores de Seguridad: Supervisión técnica directa
- Responsable del Sistema: Coordinación en arquitectura de seguridad
Con Áreas Funcionales
- Área Médica: Coordinación en requisitos clínicos de seguridad
- Área Legal: Alineación en cumplimiento regulatorio
- Área de Calidad: Integración con sistema QMS ISO 13485
- Área Comercial: Coordinación en compromisos de seguridad con clientes
Vigencia y Condiciones
Duración del Nombramiento
- Vigencia: Indefinida mientras se mantenga la relación laboral
- Revisión: Anual por parte del Consejo de Administración
- Revocación: Por causa justificada o cambio organizativo
- Sucesión: Plan de sucesión establecido en T-110-007
Condiciones Específicas
Dedicación
- Tiempo dedicado: Mínimo 60% de la jornada laboral
- Disponibilidad: 24×7 para emergencias críticas
- Sustitución: Procedimiento definido para ausencias
- Formación continua: Obligatoria actualización anual
Confidencialidad y Conflictos
- Acuerdo de confidencialidad: Firmado y actualizado
- Declaración de conflictos: Sin conflictos identificados
- Código ético: Adhesión al código ético corporativo
- Independencia: Garantías de independencia en decisiones de seguridad
Aceptación del Nombramiento
Declaración de Aceptación
Por la presente, Taig Mac Carthy, declaro:
- Acepto el nombramiento como Responsable de Seguridad de la Información ENS
- Conozco las responsabilidades asignadas y las acepto plenamente
- Me comprometo a ejercer las funciones con la diligencia debida
- Acepto la autoridad delegada y la ejerceré responsablemente
- Me comprometo a mantener actualizada mi formación profesional
- Declaro no tener conflictos de interés que impidan el ejercicio del cargo
Condiciones de Aceptación
- Formación inicial: Completada formación específica ENS (40 horas)
- Accesos técnicos: Configurados todos los accesos necesarios
- Equipos de trabajo: Constituidos y operativos
- Procedimientos: Revisados y adaptados a la organización
- Contactos institucionales: Establecidos con CCN-CERT y organismos relevantes
Entrada en Vigor
Fecha Efectiva
El presente nombramiento entra en vigor el 1 de enero de 2025 y sustituye cualquier designación anterior.
Comunicaciones
Se ha comunicado el nombramiento a:
- Consejo de Administración (aprobación formal)
- Equipo directivo de la organización
- Personal del departamento de tecnología
- Auditores externos ENS
- Consultores especializados en seguridad
- CCN-CERT (notificación de contacto oficial)
Signature meaning
The signatures for the approval process of this document can be found in the verified commits at the repository for the QMS. As a reference, the team members who are expected to participate in this document and their roles in the approval process, as defined in Annex I Responsibility Matrix of the GP-001, are:
- Author: Team members involved
- Reviewer: JD-003, JD-004
- Approver: JD-001