Ley 15/2017, de 25 de julio, de la Agencia de Ciberseguridad de Cataluña.

Artículo 1. Creación, naturaleza jurídica y régimen jurídico.

1. Se crea la Agencia de Ciberseguridad de Cataluña, como entidad de derecho público de la Administración de la Generalidad, con personalidad jurídica propia, que ajusta su actividad al ordenamiento jurídico privado, con plena capacidad de obrar para el cumplimiento de sus fines y con plena autonomía orgánica y funcional, adscrita al departamento competente en materia de ciberseguridad y sociedad digital.

1. La Agencia de Ciberseguridad de Cataluña se rige por la presente ley y por sus estatutos, por el Estatuto de la empresa pública catalana y por las demás leyes y disposiciones que le son de aplicación.

1. La actividad de la Agencia de Ciberseguridad de Cataluña se ajusta, con carácter general, en sus relaciones externas, a las normas de derecho civil, mercantil y laboral que le son de aplicación, salvo los actos que implican el ejercicio de potestades públicas, que se someten al derecho administrativo. La Agencia, en sus relaciones con el departamento al que se adscribe, se somete al derecho administrativo.

1. Las funciones que la presente ley atribuye a la Agencia de Ciberseguridad de Cataluña tienen la consideración de esenciales y son básicas para garantizar el correcto funcionamiento de la Administración de la Generalidad y su sector público.

Se añade el apartado 4 por el art. 57.1 de la Ley 2/2021, de 29 de diciembre. Ref. BOE-A-2022-953

d) Minimizar los daños y el tiempo de recuperación en caso de ciberataque.

e) Actuar como apoyo, en materia de ciberseguridad, de cualquier autoridad competente para el ejercicio de sus funciones públicas y, en particular, en las tareas de lucha contra las conductas ilícitas, incluidas la intervención directa y la obtención de pruebas electrónicas. En la investigación y represión de ilícitos penales, la Agencia debe colaborar con los cuerpos policiales y las autoridades judiciales de acuerdo con lo establecido por la normativa vigente, previo requerimiento, actuando de forma coordinada, y preservando y poniendo a su disposición los elementos relevantes para la investigación y los que puedan constituir una prueba.

f) Investigar y analizar tecnológicamente los ciberincidentes y ciberataques sobre infraestructuras tecnológicas, sistemas de información, servicios de tecnologías de la información y la comunicación o la propia información en los que la Agencia intervenga por razón de su competencia.

g) Recoger los datos pertinentes de las entidades que gestionan servicios públicos o esenciales en Cataluña para conocer el estado de la seguridad de la información, informar al Gobierno y proponer las medidas adecuadas llevando a cabo la gestión de riesgos en materia de ciberseguridad.

h) Apoyar a los responsables de la continuidad de los servicios e infraestructuras de las tecnologías de la información y la comunicación de la Generalidad y de las demás administraciones públicas que lo requieran.

1. Son funciones de la Agencia de Ciberseguridad de Cataluña, en el ámbito del Gobierno y de la Administración de la Generalidad y su sector público dependiente, las siguientes:

a) Impulsar y aprobar un marco de directrices y normas técnicas de seguridad de cumplimiento obligatorio para la Administración de la Generalidad y para los organismos y entidades vinculados o dependientes, para garantizar una protección eficaz, en particular ante el cibercrimen y los ciberataques. En el marco de las directrices y normas técnicas para la protección de los sistemas de información policiales, la Agencia debe coordinarse con el departamento competente en materia de policía y seguridad pública.

b) Informar preceptivamente en los procedimientos de elaboración de disposiciones normativas tramitadas por la Administración de la Generalidad en materia de ciberseguridad y gobernanza de las tecnologías de la información y la comunicación.

c) Prestar los servicios materiales y técnicos de ciberseguridad necesarios al Gobierno y a la Administración de la Generalidad y a los organismos y entidades vinculados o dependientes.

d) Garantizar la ciberseguridad en la prestación de los servicios de identificación electrónica y de identidad y confianza digitales por parte de los prestadores establecidos en Cataluña o que, en otro caso, ofrezcan servicios a la Administración de la Generalidad y a los organismos y entidades vinculados o dependientes.

1. La Agencia de Ciberseguridad de Cataluña debe colaborar con los organismos judiciales y policiales de acuerdo con lo establecido por la normativa vigente. En el ejercicio de sus funciones, la Agencia debe coordinarse con los cuerpos policiales y de seguridad pública, sin perjuicio de las funciones propias del departamento competente en esta materia. En especial, la Agencia debe coordinarse con los cuerpos policiales para la ciberseguridad y protección de los sistemas de información policiales, de acuerdo con las competencias que dichos cuerpos tienen reconocidas en esta materia.

1. La Agencia de Ciberseguridad de Cataluña debe establecer líneas de colaboración en el ámbito de la ciberseguridad con los entes locales de Cataluña.

Artículo 2. Objeto y funciones.

1. (Anulado).

1. La Agencia de Ciberseguridad de Cataluña tiene por objetivo la ejecución de las políticas públicas en materia de ciberseguridad, y en particular:

a) Asesorar al Gobierno y prestarle apoyo en la elaboración de los planes de ciberseguridad que debe aprobar y en la consecución de los objetivos establecidos en estos planes.

b) Ejecutar los planes de ciberseguridad que en cada momento estén vigentes.

c) Coordinarse con otros organismos en todo lo que se considere necesario para la consecución de los objetivos especificados en los planes de ciberseguridad.

d) Organizar las actividades de difusión, formación y concienciación en materia de ciberseguridad adecuadas a los diferentes colectivos destinatarios, poniendo especial énfasis en los que presentan situaciones de vulnerabilidad y facilitando las herramientas y los programas adecuados.

e) Impulsar un clima de confianza y seguridad que contribuya al desarrollo de la economía y la sociedad digital en Cataluña.

1. La Agencia de Ciberseguridad de Cataluña, en la ejecución de los objetivos a que se refiere el apartado 2, puede ejercer sus funciones con relación a las personas físicas o jurídicas situadas en Cataluña y establecer la colaboración necesaria con los prestadores de servicios de la sociedad de la información y de comunicaciones electrónicas que actúen o tengan infraestructura en Cataluña.

1. Las funciones de la Agencia de Ciberseguridad de Cataluña son las siguientes:

a) Prevenir y detectar incidentes de ciberseguridad en Cataluña y responder a ellos, desplegando las medidas de protección pertinentes ante las ciberamenazas y los riesgos inherentes sobre las infraestructuras tecnológicas, los sistemas de información, los servicios de las tecnologías de la información y la comunicación, y la información que estos tratan.

b) Planificar, gestionar, coordinar y supervisar la ciberseguridad en Cataluña, estableciendo la capacidad preventiva y reactiva necesaria para paliar los efectos de los incidentes de ciberseguridad que afecten al territorio de Cataluña, así como las pruebas que puedan organizarse en materia de ciberseguridad y continuidad. En el ámbito de la Administración de la Generalidad y su sector público, la Agencia debe ejercer estas funciones mediante la prestación de sus servicios, coordinando las actuaciones que requieran su apoyo con el Centro de Telecomunicaciones y Tecnologías de la Información.

Téngase en cuenta que se declara la inconstitucionalidad y nulidad del apartado 1 y los incisos destacados de los apartados 3 y 4, y que el apartado 2 no es contrario a la Constitución interpretado en los términos del fundamento jurídico 7.b.i) por Sentencia del TC 142/2018, de 20 de diciembre. Ref. BOE-A-2019-959

c) Ejercer las funciones de equipo de respuesta a emergencias (CERT) competente en Cataluña que establece la legislación vigente, en particular la normativa de servicios de la sociedad de la información, incluyendo la relación con otros organismos de ciberseguridad nacionales e internacionales, y la coordinación de los equipos de respuesta a incidentes de ciberseguridad (CSIRT) y equipos de respuesta a emergencias o entidades equivalentes que actúen en su ámbito territorial. Asimismo, debe ejercer estas funciones como equipo de respuesta a emergencias del Gobierno.

d) Minimizar los daños y el tiempo de recuperación en caso de ciberataque.

e) Actuar como apoyo, en materia de ciberseguridad, de cualquier autoridad competente para el ejercicio de sus funciones públicas y, en particular, en las tareas de lucha contra las conductas ilícitas, incluidas la intervención directa y la obtención de pruebas electrónicas. En la investigación y represión de ilícitos penales, la Agencia debe colaborar con los cuerpos policiales y las autoridades judiciales de acuerdo con lo establecido por la normativa vigente, previo requerimiento, actuando de forma coordinada, y preservando y poniendo a su disposición los elementos relevantes para la investigación y los que puedan constituir una prueba.

f) Investigar y analizar tecnológicamente los ciberincidentes y ciberataques sobre infraestructuras tecnológicas, sistemas de información, servicios de tecnologías de la información y la comunicación o la propia información en los que la Agencia intervenga por razón de su competencia.

g) Recoger los datos pertinentes de las entidades que gestionan servicios públicos o esenciales en Cataluña para conocer el estado de la seguridad de la información, informar al Gobierno y proponer las medidas adecuadas llevando a cabo la gestión de riesgos en materia de ciberseguridad.

h) Apoyar a los responsables de la continuidad de los servicios e infraestructuras de las tecnologías de la información y la comunicación de la Generalidad y de las demás administraciones públicas que lo requieran.

1. Son funciones de la Agencia de Ciberseguridad de Cataluña, en el ámbito del Gobierno y de la Administración de la Generalidad y su sector público dependiente, las siguientes:

a) Impulsar y aprobar un marco de directrices y normas técnicas de seguridad de cumplimiento obligatorio para la Administración de la Generalidad y para los organismos y entidades vinculados o dependientes, para garantizar una protección eficaz, en particular ante el cibercrimen y los ciberataques. En el marco de las directrices y normas técnicas para la protección de los sistemas de información policiales, la Agencia debe coordinarse con el departamento competente en materia de policía y seguridad pública.

b) Informar preceptivamente en los procedimientos de elaboración de disposiciones normativas tramitadas por la Administración de la Generalidad en materia de ciberseguridad y gobernanza de las tecnologías de la información y la comunicación.

c) Prestar los servicios materiales y técnicos de ciberseguridad necesarios al Gobierno y a la Administración de la Generalidad y a los organismos y entidades vinculados o dependientes.

d) Garantizar la ciberseguridad en la prestación de los servicios de identificación electrónica y de identidad y confianza digitales por parte de los prestadores establecidos en Cataluña o que, en otro caso, ofrezcan servicios a la Administración de la Generalidad y a los organismos y entidades vinculados o dependientes.

1. La Agencia de Ciberseguridad de Cataluña debe colaborar con los organismos judiciales y policiales de acuerdo con lo establecido por la normativa vigente. En el ejercicio de sus funciones, la Agencia debe coordinarse con los cuerpos policiales y de seguridad pública, sin perjuicio de las funciones propias del departamento competente en esta materia. En especial, la Agencia debe coordinarse con los cuerpos policiales para la ciberseguridad y protección de los sistemas de información policiales, de acuerdo con las competencias que dichos cuerpos tienen reconocidas en esta materia.

1. La Agencia de Ciberseguridad de Cataluña debe establecer líneas de colaboración en el ámbito de la ciberseguridad con los entes locales de Cataluña.

Se declara que el apartado 1 y los incisos destacados de los apartados 3 y 4 son inconstitucionales y nulos, y el apartado 2 no es contrario a la Constitución interpretado en los términos del fundamento jurídico 7.b.i) por Sentencia del TC 142/2018, de 20 de diciembre. Ref. BOE-A-2019-959

Artículo 2. Objeto y funciones.

1. (Anulado).

1. La Agencia de Ciberseguridad de Cataluña tiene por objetivo la ejecución de las políticas públicas en materia de ciberseguridad, y en particular:

a) Asesorar al Gobierno y prestarle apoyo en la elaboración de los planes de ciberseguridad que debe aprobar y en la consecución de los objetivos establecidos en estos planes.

b) Ejecutar los planes de ciberseguridad que en cada momento estén vigentes.

c) Coordinarse con otros organismos en todo lo que se considere necesario para la consecución de los objetivos especificados en los planes de ciberseguridad.

d) Organizar las actividades de difusión, formación y concienciación en materia de ciberseguridad adecuadas a los diferentes colectivos destinatarios, poniendo especial énfasis en los que presentan situaciones de vulnerabilidad y facilitando las herramientas y los programas adecuados.

e) Impulsar un clima de confianza y seguridad que contribuya al desarrollo de la economía y la sociedad digital en Cataluña.

1. La Agencia de Ciberseguridad de Cataluña, en la ejecución de los objetivos a que se refiere el apartado 2, puede ejercer sus funciones con relación a las personas físicas o jurídicas situadas en Cataluña y establecer la colaboración necesaria con los prestadores de servicios de la sociedad de la información y de comunicaciones electrónicas que actúen o tengan infraestructura en Cataluña.

1. Las funciones de la Agencia de Ciberseguridad de Cataluña son las siguientes:

a) Prevenir y detectar incidentes de ciberseguridad en Cataluña y responder a ellos, desplegando las medidas de protección pertinentes ante las ciberamenazas y los riesgos inherentes sobre las infraestructuras tecnológicas, los sistemas de información, los servicios de las tecnologías de la información y la comunicación, y la información que estos tratan.

b) Planificar, gestionar, coordinar y supervisar la ciberseguridad en Cataluña, estableciendo la capacidad preventiva y reactiva necesaria para paliar los efectos de los incidentes de ciberseguridad que afecten al territorio de Cataluña, así como las pruebas que puedan organizarse en materia de ciberseguridad y continuidad. En el ámbito de la Administración de la Generalidad y su sector público, la Agencia debe ejercer estas funciones mediante la prestación de sus servicios, coordinando las actuaciones que requieran su apoyo con el Centro de Telecomunicaciones y Tecnologías de la Información.

Téngase en cuenta que se declara la inconstitucionalidad y nulidad del apartado 1 y los incisos destacados de los apartados 3 y 4, y que el apartado 2 no es contrario a la Constitución interpretado en los términos del fundamento jurídico 7.b.i) por Sentencia del TC 142/2018, de 20 de diciembre. Ref. BOE-A-2019-959

c) Ejercer las funciones de equipo de respuesta a emergencias (CERT) competente en Cataluña que establece la legislación vigente, en particular la normativa de servicios de la sociedad de la información, incluyendo la relación con otros organismos de ciberseguridad nacionales e internacionales, y la coordinación de los equipos de respuesta a incidentes de ciberseguridad (CSIRT) y equipos de respuesta a emergencias o entidades equivalentes que actúen en su ámbito territorial. Asimismo, debe ejercer estas funciones como equipo de respuesta a emergencias del Gobierno.

d) Minimizar los daños y el tiempo de recuperación en caso de ciberataque.

e) Actuar como apoyo, en materia de ciberseguridad, de cualquier autoridad competente para el ejercicio de sus funciones públicas y, en particular, en las tareas de lucha contra las conductas ilícitas, incluidas la intervención directa y la obtención de pruebas electrónicas. En la investigación y represión de ilícitos penales, la Agencia debe colaborar con los cuerpos policiales y las autoridades judiciales de acuerdo con lo establecido por la normativa vigente, previo requerimiento, actuando de forma coordinada, y preservando y poniendo a su disposición los elementos relevantes para la investigación y los que puedan constituir una prueba.

f) Investigar y analizar tecnológicamente los ciberincidentes y ciberataques sobre infraestructuras tecnológicas, sistemas de información, servicios de tecnologías de la información y la comunicación o la propia información en los que la Agencia intervenga por razón de su competencia.

g) Recoger los datos pertinentes de las entidades que gestionan servicios públicos o esenciales en Cataluña para conocer el estado de la seguridad de la información, informar al Gobierno y proponer las medidas adecuadas llevando a cabo la gestión de riesgos en materia de ciberseguridad.

h) Apoyar a los responsables de la continuidad de los servicios e infraestructuras de las tecnologías de la información y la comunicación de la Generalidad y de las demás administraciones públicas que lo requieran.

1. Son funciones de la Agencia de Ciberseguridad de Cataluña, en el ámbito del Gobierno y de la Administración de la Generalidad y su sector público dependiente, las siguientes:

a) Impulsar y aprobar un marco de directrices y normas técnicas de seguridad de cumplimiento obligatorio para la Administración de la Generalidad y para los organismos y entidades vinculados o dependientes, para garantizar una protección eficaz, en particular ante el cibercrimen y los ciberataques. En el marco de las directrices y normas técnicas para la protección de los sistemas de información policiales, la Agencia debe coordinarse con el departamento competente en materia de policía y seguridad pública.

b) Informar preceptivamente en los procedimientos de elaboración de disposiciones normativas tramitadas por la Administración de la Generalidad en materia de ciberseguridad y gobernanza de las tecnologías de la información y la comunicación.

c) Prestar los servicios materiales y técnicos de ciberseguridad necesarios al Gobierno y a la Administración de la Generalidad y a los organismos y entidades vinculados o dependientes.

d) Garantizar la ciberseguridad en la prestación de los servicios de identificación electrónica y de identidad y confianza digitales por parte de los prestadores establecidos en Cataluña o que, en otro caso, ofrezcan servicios a la Administración de la Generalidad y a los organismos y entidades vinculados o dependientes.

1. La Agencia de Ciberseguridad de Cataluña debe colaborar con los organismos judiciales y policiales de acuerdo con lo establecido por la normativa vigente. En el ejercicio de sus funciones, la Agencia debe coordinarse con los cuerpos policiales y de seguridad pública, sin perjuicio de las funciones propias del departamento competente en esta materia. En especial, la Agencia debe coordinarse con los cuerpos policiales para la ciberseguridad y protección de los sistemas de información policiales, de acuerdo con las competencias que dichos cuerpos tienen reconocidas en esta materia.

1. La Agencia de Ciberseguridad de Cataluña debe establecer líneas de colaboración en el ámbito de la ciberseguridad con los entes locales de Cataluña.

1. La Agencia de Ciberseguridad de Cataluña puede ejercer sus funciones con relación al Parlamento, las instituciones que establece el capítulo V del título II del Estatuto de autonomía de Cataluña y los organismos independientes de la Generalitat en los términos que acuerden.

Se añade el apartado 8 por el art. 16.2 del Decreto-ley 3/2026, de 24 de marzo. Ref. BOE-A-2026-10430

Se declara que el apartado 1 y los incisos destacados de los apartados 3 y 4 son inconstitucionales y nulos, y el apartado 2 no es contrario a la Constitución interpretado en los términos del fundamento jurídico 7.b.i) por Sentencia del TC 142/2018, de 20 de diciembre. Ref. BOE-A-2019-959

Artículo 4. El Consejo de Administración.

1. El Consejo de Administración de la Agencia de Ciberseguridad de Cataluña, que debe tener composición paritaria, está integrado por los diez miembros siguientes:

a) El presidente o presidenta, cargo que corresponde al consejero o consejera del departamento competente en materia de ciberseguridad y sociedad digital.

b) Dos vicepresidentes, uno de los cuales es el secretario o secretaria general del departamento competente en materia de ciberseguridad y sociedad digital, y el otro, el secretario o secretaria general del departamento competente en materia de seguridad pública.

c) El secretario o secretaria del Gobierno.

d) El secretario o secretaria sectorial competente en materia de políticas digitales.

e) Un vocal o una vocal del departamento competente en materia de administraciones locales.

f) Un vocal o una vocal del departamento competente en materia de seguridad pública.

g) Un vocal o una vocal del departamento competente en materia de tecnologías de la información y la comunicación.

h) Un vocal o una vocal del departamento competente en materia de administración digital.

i) El director o directora de la Agencia de Ciberseguridad de Cataluña.

1. Los vocales a que se refieren las letras e, f, g y h deben tener el rango orgánico mínimo de director o directora general, y son nombrados por el Gobierno.

Se modifica por el art. 57.2 de la Ley 2/2021, de 29 de diciembre. Ref. BOE-A-2022-953

Artículo 4. El Consejo de Administración.

El Consejo de Administración de la Agencia de Ciberseguridad de Cataluña está integrado por diez miembros designados por el Gobierno.

Se modifica por el art. 16.1 del Decreto-ley 3/2026, de 24 de marzo. Ref. BOE-A-2026-10430

Se modifica por el art. 57.2 de la Ley 2/2021, de 29 de diciembre. Ref. BOE-A-2022-953