Ley 7/2023, de 23 de febrero, de medidas para la implantación y desarrollo en Aragón de tecnologías en la nube (tecnologías cloud).

Artículo 1. Objeto.

Esta ley tiene por objeto establecer las medidas necesarias para el impulso, la implantación y el desarrollo de las tecnologías en la nube (tecnologías cloud) en Aragón, así como promover desde Aragón un ecosistema empresarial innovador en estas tecnologías y sentar las bases para avanzar en soberanía digital.

Artículo 2. Fines.

La presente ley tiene como fines:

a) El impulso del uso de las nuevas tecnologías cloud en el territorio aragonés.

b) La generación y actualización del talento y las nuevas habilidades dentro del sector de las tecnologías de la información y las telecomunicaciones de Aragón.

c) La orientación de la estrategia interna para generar un marco de actuación común para el aprovechamiento de estas nuevas soluciones.

d) El impulso del conocimiento tecnológico y la innovación.

e) La generación de un marco de confianza hacia las tecnologías cloud entre clientes y prestadores del servicio.

f) La generación de un ecosistema empresarial innovador alrededor de las tecnologías cloud.

g) La generación de un soporte de confianza para el uso de aplicaciones desarrolladas en Aragón.

h) Sentar las bases para avanzar hacia la soberanía digital.

i) La consolidación de un ecosistema de tecnologías cloud que pueda colaborar e integrarse con otras iniciativas similares en el ámbito estatal y de la Unión Europea.

Artículo 3. Definiciones.

A los efectos de esta ley se entiende por:

a) API, interfaz de programación de aplicación por sus siglas en inglés (Application Programming Interface): es un conjunto de definiciones y protocolos que se utiliza para desarrollar e integrar el software de las aplicaciones, permitiendo la comunicación entre dos aplicaciones de software a través de un conjunto de reglas.

b) Cloud o nube pública: infraestructura propiedad de un proveedor de servicios de tecnologías en la nube, que la administra y ofrece a través de Internet.

c) Cloud o nube privada: recursos informáticos que utiliza exclusivamente un ente privado o público y que pueden estar ubicados físicamente en su propio centro de datos u hospedados por un proveedor de servicios externo.

d) Cloud o nube híbrida: modelo que combina infraestructura local (o cloud privada) con cloud pública.

e) Entorno de pruebas seguro, sandbox: es un entorno de pruebas controlado, diseñado para experimentar de forma segura con tecnologías innovadoras o disruptivas, como son las tecnologías cloud.

f) Etiquetado o tagging: cada recurso utilizado en las tecnologías cloud puede ser asociado a una etiqueta en la que se indica cualquier propiedad o característica del recurso etiquetado.

g) Infraestructura como código (IaC): se refiere a la práctica para configurar la infraestructura de computación mediante códigos informáticos o lenguajes de programación específicos, en lugar de configurar las infraestructuras informáticas de forma manual e individualizada.

h) Fog computing o computación en la niebla: se refiere a una arquitectura informática descentralizada donde los datos, las comunicaciones, el almacenamiento y las aplicaciones se distribuyen entre la fuente de datos y la nube.

i) Modelo cloud: se refiere al tipo de tecnología cloud que se puede adoptar en un momento dado, pudiendo ser el modelo cloud privada, modelo cloud pública o modelo cloud híbrida.

j) Política cloud: se refiere al documento que marca la estrategia a seguir por una organización para la adopción de las tecnologías en la nube y que abarca distintos ámbitos con el objetivo de asegurar la confidencialidad, la integridad, la disponibilidad de los servicios y los datos que usan las tecnologías en la nube.

k) Política del dato: se refiere a los procesos relacionados con la información, ejecutados según unos modelos previamente establecidos.

l) Servicio de integración de tecnologías cloud: servicio profesional ofrecido por una consultoría o empresa integradora de apoyo para la implantación de servicios en infraestructuras de un proveedor de tecnologías cloud.

m) Servicios de tecnologías cloud o servicios cloud: servicios en los que se ofertan infraestructuras en la nube pública por parte de un proveedor de tecnologías cloud.

n) Soberanía de software: se refiere a la capacidad de ejecutar las cargas de trabajo sin depender del software de un proveedor.

ñ) Soberanía digital: se refiere a la capacidad de tener el control sobre el propio destino digital.

Artículo 4. Ámbito subjetivo de aplicación.

1. La ley se aplica, en la forma y términos previstos en la misma, al sector público autonómico, determinado en la Ley 5/2021, de 29 de junio, de Organización y Régimen Jurídico del Sector Público Autonómico de Aragón.

1. A las entidades que integran la Administración local aragonesa se les aplicará esta ley cuando voluntariamente se adhieran a las diversas medidas previstas en la misma conforme a lo dispuesto en el capítulo II.

1. Igualmente, será de aplicación a las personas físicas y jurídicas en los términos establecidos en la presente ley.

Artículo 5. La Política cloud del sector público autonómico.

1. El Gobierno de Aragón aprobará la Política cloud del sector público autonómico previa propuesta de Aragonesa de Servicios Telemáticos. Esta política constituirá el marco de uso de las tecnologías cloud, definiendo la estrategia en la citada materia y la evolución de los servicios que se presten conforme a lo dispuesto en los siguientes artículos de esta sección.

1. El acuerdo del Gobierno de Aragón que apruebe la Política cloud se publicará en el «Boletín Oficial de Aragón».

Artículo 6. Ámbito de aplicación de la Política cloud del sector público autonómico.

1. La Política cloud se aplicará a todo el sector público autonómico, excepto a las universidades públicas integradas en el Sistema Universitario de Aragón.

1. Las universidades públicas integradas en el Sistema Universitario de Aragón y las entidades que integran la Administración local aragonesa podrán adherirse a la Política cloud de acuerdo con lo previsto en el artículo 18.

Artículo 7. Principios y objetivos de la Política cloud del sector público autonómico.

1. Los principios que deben regir la Política cloud son los siguientes:

a) Avanzar hacia la soberanía digital, manteniendo el control sobre la codificación y el acceso a los datos.

b) Avanzar hacia la soberanía operativa, dando visibilidad a la Administración pública sobre las operaciones que se desarrollen en la nube.

c) Avanzar hacia la soberanía del software.

d) Mantener la neutralidad tecnológica de la Administración pública.

e) Garantizar la capacitación y la alfabetización digital de la sociedad.

1. Los objetivos de la Política cloud son los siguientes:

a) Construir un ecosistema de aplicaciones y servicios reutilizables.

b) Fomentar la resiliencia en los servicios públicos digitales.

c) Potenciar la ciberseguridad.

d) Garantizar la adecuada protección de los datos de carácter personal.

e) Homogeneizar los diseños y las soluciones.

f) Definir un marco del uso de los datos.

g) Evitar las soluciones cautivas de un único proveedor.

h) Impulsar el uso de soluciones de código abierto y estándares interoperables.

1. En el marco de los servicios cloud, la Política cloud se basará preferentemente en un modelo de cloud o nube híbrida conforme a un esquema denominado «primero en nube», donde se deban evaluar, ante una necesidad, en primer lugar, soluciones tipo cloud frente a otras soluciones tecnológicas tradicionales, optando por la más adecuada para la prestación de los servicios.

Artículo 8. Contenido de la Política cloud del sector público autonómico.

La Política cloud tendrá, al menos, los siguientes contenidos:

a) La determinación del tipo o tipos de tecnologías cloud a aplicar en el sector público autonómico.

b) Usos de las tecnologías cloud a aplicar y criterios a tener en cuenta para su determinación.

c) La tipología de servicios o soluciones que puedan ser más adecuados para el uso indicado y las condiciones para realizarlo.

d) Su implantación en los diversos ámbitos del sector público autonómico y las fases para su realización.

e) Los órganos y organismos responsables de su aplicación, seguimiento y evaluación, previendo las modificaciones organizativas que han de llevarse a cabo para ello y la dotación de perfiles de alta cualificación tecnológica para su desarrollo.

f) Las medidas de difusión de las decisiones adoptadas y de la definición de las medidas necesarias a aplicar para su efectividad.

g) La definición del inventario de servicios cloud del sector público autonómico y la previsión de las medidas de difusión para que se conozca su existencia y modo de empleo, garantizando que este se realice de forma homogénea.

h) Los mecanismos de evaluación de su implantación.

i) Las medidas para mejorar la alfabetización digital.

j) Cualesquiera otras decisiones que sean precisas para la mejor aplicación y desarrollo de las tecnologías cloud en el sector público autonómico.

Artículo 9. Usos de las tecnologías cloud en el sector público autonómico.

1. El tipo de uso de las tecnologías cloud se decidirá en cada caso en función de la naturaleza de los datos y el adecuado y óptimo uso de los recursos para la resolución de las necesidades tecnológicas.

1. Las decisiones se adoptarán de conformidad con la normativa en materia de seguridad de la información y de protección de datos de carácter personal o con cualquier otra que resulte de aplicación.

1. No se permitirá la transferencia de datos a países fuera del Espacio Económico Europeo, salvo en aquellos supuestos previstos en la normativa en materia de protección de datos personales.

Artículo 10. Condiciones de uso de las tecnologías cloud.

1. La Política cloud fijará la tipología de servicios para los que el uso de las tecnologías cloud está indicado y las condiciones para su utilización, las cuales podrán variar dependiendo de la evolución tecnológica, salvaguardando en todo momento las máximas garantías de seguridad y continuidad de los servicios y de los sistemas de información del sector público autonómico.

1. Con el fin de garantizar la homogeneidad y facilidad en el uso y gestión de dichas tecnologías, se elaborarán las correspondientes guías de uso, interoperabilidad y gobernanza.

Artículo 11. Definición del modelo cloud en el sector público autonómico.

La definición del modelo cloud corresponderá a la entidad Aragonesa de Servicios Telemáticos, que, a estos efectos, será la competente para llevar a cabo las siguientes funciones:

a) Realizar los procesos necesarios para la calificación de soluciones y servicios en la nube para el sector público autonómico y otorgar la calificación Solución Cloud Certificada de Aragón (SCCA) regulada en el capítulo III.

b) Proporcionar al sector público autonómico un punto de conexión con los diferentes proveedores cloud para facilitar el desarrollo de servicios y soluciones.

c) Establecer acuerdos de nivel de servicio estandarizados de aplicación a los distintos proveedores cloud, que garanticen la calidad, la seguridad, la confidencialidad, la resiliencia y la sostenibilidad.

Artículo 12. Medidas de apoyo al uso de infraestructuras y servicios de las tecnologías cloud.

1. La entidad Aragonesa de Servicios Telemáticos realizará labores de difusión y asesoramiento del modelo tecnológico definido y establecerá mecanismos de uso del mismo que respondan a las necesidades detectadas en todo el sector público autonómico.

1. La citada entidad colaborará, en el ámbito de las competencias de cada uno de ellos, con el Instituto Aragonés de Administración Pública y con las demás entidades responsables de la formación en el resto del sector público autonómico, con las que programará acciones formativas, priorizando las competencias digitales de los empleados públicos y del resto del personal del sector público que les capaciten para impulsar y gestionar las tecnologías cloud en el sector público autonómico. El Instituto Aragonés de Administración Pública podrá extender el plan de formación al sector público local mediante la formalización de los convenios correspondientes. Tendrá especial interés la formación en protección de datos para el personal del sector público autonómico que trabaje o utilice datos sensibles en el ámbito de las tecnologías en la nube.

1. La entidad Aragonesa de Servicios Telemáticos implantará equipos de operaciones para la selección de herramientas de monitoreo y automatización que garantice la migración de aplicaciones a la nube de forma segura y eficiente, así como una adecuada organización y modernización de las mismas para la aceleración de la innovación en el sector público autonómico.

1. Se estudiará y trabajará para disponer de infraestructuras públicas cloud, pudiendo transformar centros de datos propios de la Administración de la Comunidad Autónoma de Aragón en cloud privada de gestión propia y propiciar la creación de una nube de comunidad para el sector público.

1. Se actualizará la plantilla con personal de alto nivel tecnológico que propicie la implantación adecuada y ajustada a la realidad y necesidades del sector público. Para ello se procederá a la adecuación de los perfiles profesionales al servicio de la Administración de la Comunidad Autónoma de Aragón que deben impulsar y gestionar las tecnologías cloud.

Artículo 13. Requisitos de las soluciones cloud.

Las soluciones que se desplieguen en los diferentes proveedores de tecnologías cloud deberán cumplir los siguientes requisitos:

a) Automatización. Las soluciones deberán ofrecerse en la modalidad de infraestructura como código y tendrán la automatización como paradigma de diseño.

b) Ciberseguridad. Todos los servicios a desplegar en las infraestructuras cloud deberán cumplir con la legislación en materia de seguridad, en particular con el Esquema Nacional de Seguridad, la Política de Seguridad de la Información del Gobierno de Aragón y las directrices técnicas que marque en este sentido Aragonesa de Servicios Telemáticos. En este sentido, Aragonesa de Servicios Telemáticos elaborará una guía de implantación segura de soluciones, para facilitar el cumplimiento y reducir los riesgos asociados al uso de esta tecnología. Las soluciones deberán seguir el paradigma de la seguridad desde el diseño y estar basadas en análisis de riesgos.

c) Datos abiertos. Las soluciones desplegadas deberán facilitar los flujos y accesos que sean necesarios para permitir que los datos que el sector público autonómico determine, conforme a la normativa aplicable en esta materia, se utilicen como fuente de datos abiertos.

d) Escalabilidad. Las soluciones deberán ser escalables para que los recursos se adapten al uso de las mismas, pudiendo crecer o decrecer de forma automática.

e) Perdurabilidad de la información. Las soluciones deberán asegurar la pervivencia y accesibilidad de la información a lo largo del tiempo. Todos los servicios a desplegar en las infraestructuras cloud deberán implementar los medios técnicos adecuados para la preservación a largo plazo de la información digital, contemplando estrategias de migración de formatos en el caso de que estos vayan quedando obsoletos. El derecho al olvido o la desindexación de contenidos se podrá ejercer de conformidad con la normativa de protección de datos y garantía de los derechos digitales.

f) Portabilidad. Las soluciones a desarrollar deberán ser portables. Para ello, deberán contar con una estrategia de migración entre proveedores para, si fuera necesario, evitar ser cautivos de un determinado proveedor (vendor locking) y valorando especialmente las soluciones de código abierto y estándares interoperables.

g) Propiedad. Los códigos, algoritmos y las automatizaciones que se desarrollen en el marco de los servicios cloud, salvo que se disponga otra cosa en los pliegos o en el documento contractual, serán siempre propiedad del ente del sector público autonómico o de cualquier otra entidad pública adherida que los desarrollen, y se pondrán a disposición pública bajo la Licencia Pública de la Unión Europea (EUPL) o compatible, salvaguardando la ciberseguridad y la protección de datos. En todo caso, y aun cuando se excluya la cesión de los derechos de propiedad intelectual, el órgano de contratación podrá siempre autorizar el uso del correspondiente producto a los entes, organismos y entidades pertenecientes al sector público.

Artículo 14. Implantación de estructuras de red fog computing.

La entidad Aragonesa de Servicios Telemáticos promoverá la creación de estructuras de red fog computing en zonas con menor accesibilidad de ancho de banda, con congestión máxima o con velocidades más bajas en las redes móviles, que permita la creación de una red con menor latencia y menos carga de datos hacia la nube, consiguiendo mayor eficiencia en la transmisión de datos en zonas con menor accesibilidad.

Artículo 15. Plan de adaptación de las infraestructuras informáticas.

1. El Plan para la adaptación de las infraestructuras informáticas será elaborado por Aragonesa de Servicios Telemáticos, con los objetivos de la eficiencia en el uso de los recursos, la homogeneización en la tecnología e infraestructuras, la agilidad y la innovación, para una mejor aplicación de la tecnología cloud determinando las líneas estratégicas y requerimientos a cumplir.

Este Plan, que será aprobado por acuerdo del Gobierno de Aragón, deberá recoger y adaptarse a las necesidades de los diferentes servicios públicos y al carácter de sus datos, así como posibilitar una gestión adecuada de la información.

1. El Plan será de obligado cumplimiento para todos los departamentos y organismos públicos de la Administración de la Comunidad Autónoma de Aragón conforme a lo que en él se determine para cada uno de ellos.

1. El resto de los entes del sector público autonómico, incluidas las universidades públicas integradas en el Sistema Universitario de Aragón, podrán adherirse al Plan de adaptación de las infraestructuras informáticas, de conformidad con lo previsto en el artículo 18.

1. Las entidades que integran la Administración local aragonesa también podrán adherirse al Plan de adaptación de las infraestructuras informáticas de acuerdo con lo indicado en el artículo 18.

1. La vigencia del Plan será la establecida en el mismo, siendo como máximo de cinco años.

Artículo 16. Contenido del Plan de adaptación de las infraestructuras informáticas.

1. El Plan de adaptación de las infraestructuras informáticas establecerá para cada servicio a desplegar un ciclo de vida para adaptar los requerimientos técnicos del mismo a las adaptaciones de infraestructuras, las dotaciones económicas necesarias, los servicios involucrados y las dependencias con el fin de optimizar los recursos públicos.

1. Para una transición ordenada hacia modelos de servicio basados en las tecnologías cloud, el Plan definirá un ecosistema de servicios y aplicaciones reutilizables basados en estándares interoperables, con el fin de facilitar la transición de los actuales servicios a otros creados con la potencialidad, la homogeneización, la productividad, la colaboración, la seguridad y la resiliencia necesarias.

1. En el caso de que se plantee la migración de servicios a una cloud o Nube pública en los que existan datos de carácter especial conforme a la normativa en materia de protección de datos personales, estos procesos serán objeto de especial atención y requerirán la realización de un análisis de riesgos y una evaluación de impacto por parte del órgano responsable de los datos, que garantice la portabilidad, la transparencia y la auditabilidad en el proceso de migración.

Artículo 17. Directrices técnicas sobre la implantación y desarrollo de las aplicaciones para las tecnologías cloud.

Con la finalidad de garantizar la homogenización, la escalabilidad, la seguridad y la reutilización y aprovechamiento eficiente de los recursos, Aragonesa de Servicios Telemáticos elaborará y aprobará las directrices técnicas para el desarrollo de aplicaciones de tecnologías cloud, que serán de obligado cumplimiento para los departamentos y organismos públicos de la Administración de la Comunidad Autónoma y para los entes del sector público autonómico que se hubieran adherido al Plan de adaptación de las infraestructuras informáticas.

Artículo 18. Formalización de las adhesiones.

Las adhesiones previstas en este capítulo por parte de los entes del sector público autonómico institucional, incluidas las universidades públicas integradas en el Sistema Universitario de Aragón, y las entidades que integran la Administración local aragonesa se formalizarán mediante el modelo de adhesión aprobado por acuerdo del Gobierno de Aragón.

Artículo 19. Concepto.

La Solución Cloud Certificada de Aragón (SCCA) es la calificación obtenida por los proveedores de tecnologías cloud o los proveedores de soluciones de tecnologías cloud mediante resolución administrativa, que acredita, previa su constatación, que cumplen los requisitos establecidos en el artículo 22, produciendo la resolución los efectos determinados en el artículo 26.

Artículo 20. Finalidad.

La finalidad de la Solución Cloud Certificada de Aragón es asegurar y visibilizar la calidad, la confiabilidad, la seguridad y la adecuación de los proveedores de tecnologías cloud o los proveedores de soluciones de tecnologías cloud a las necesidades técnicas, normativas, de ciberseguridad y de acceso, para incentivar la adopción de este tipo de tecnologías, facilitando tanto a las Administraciones públicas como a otras entidades públicas o de derecho privado una garantía sobre los proveedores de tecnologías cloud o los proveedores de soluciones de tecnologías cloud que ofrezcan sus servicios en Aragón.

Artículo 21. Denominación y marca.

La expresión «Solución Cloud Certificada de Aragón» y los signos que se asocien a ella al configurarse como marca serán propiedad exclusiva de la Administración de la Comunidad Autónoma de Aragón, una vez inscritos como marca en el Registro de Marcas por la Oficina Española de Patentes y Marcas, conforme a lo establecido en la Ley 17/2001, de 7 de diciembre, de Marcas.

Artículo 22. Requisitos.

1. Para obtener la calificación como Solución Cloud Certificada de Aragón, los proveedores de servicios de tecnologías cloud deberán acreditar el cumplimiento de los siguientes requisitos:

a) Requisitos administrativos:

1.º Hallarse al corriente en el cumplimiento de sus obligaciones en materia tributaria y de Seguridad Social, así como no tener deuda alguna con la Comunidad Autónoma de Aragón. En caso de deudas con la Comunidad Autónoma de Aragón, se otorgará un plazo de tiempo suficiente para el pago de las cuantías pendientes de abonar.

2.º Cumplir la normativa laboral con sus trabajadores.

3.º Tener implantado un plan de igualdad entre mujeres y hombres, en aquellos supuestos en que la empresa esté obligada a ello por imperativo legal o convencional, así como el registro retributivo o la auditoría retributiva cuando corresponda.

4.º Estar comprometido con los Objetivos de Desarrollo Sostenible fijados por la Organización de las Naciones Unidas en la Agenda 2030 sobre el Desarrollo Sostenible y, en particular, en medidas para combatir el cambio climático.

b) Requisitos técnicos:

1.º Estar en posesión de una certificación vigente en el Esquema Nacional de Seguridad en su categoría Alta.

2.º Estar en posesión de todas las certificaciones de cumplimiento de requisitos vigentes en materia de seguridad de la información, seguridad para los servicios cloud, la protección de identificación personal en nubes públicas, y las que se determinen en cada momento.

3.º Cumplir con la normativa en materia de protección de datos personales, así como con los mecanismos de confianza de la Unión Europea.

4.º Disponer de los medios que garanticen la no utilización, manipulación o tratamiento mediante minería de datos o algoritmos de los datos alojados en la cloud, ni por parte del proveedor ni por parte de terceros.

5.º Asegurar en todo momento la localización de los servidores en los que se encuentran los datos de carácter personal, así como el compromiso de comunicar cualquier cambio al respecto, garantizando el ejercicio de los derechos de protección de datos.

6.º Disponer de al menos tres zonas de disponibilidad diferenciadas para prestar los servicios cloud.

7.º Disponer, para los servicios que así se consideren, de presencia en el territorio de la Unión Europea.

8.º Disponer, para los servicios que así se consideren, de presencia en el territorio del Estado español.

9.º Disponer, para los servicios que así se consideren, de presencia en el territorio de la Comunidad Autónoma de Aragón, para garantizar una latencia mínima de interconexión.

10.º Garantizar el nivel de accesibilidad de las personas usuarias sobre el control de sus datos.

11.º Garantizar el nivel de interoperabilidad entre sus diferentes servicios a nivel de API.

12.º Disponer de un plan de prevención y gestión de riesgos de seguridad.

1. Para obtener la calificación como Solución Cloud Certificada de Aragón, los proveedores de soluciones de tecnologías cloud deberán acreditar el cumplimiento de los siguientes requisitos:

Artículo 23. Procedimiento.

1. El procedimiento para el otorgamiento de la calificación como Solución Cloud Certificada de Aragón se iniciará a solicitud del proveedor, previa convocatoria efectuada mediante orden de la persona titular del departamento competente en materia de nuevas tecnologías. Dicha convocatoria se publicará en el Boletín Oficial de Aragón y en la sede electrónica del Gobierno de Aragón.

A la solicitud se adjuntará la documentación preceptiva que indique la convocatoria.

1. La instrucción del procedimiento corresponderá a la entidad Aragonesa de Servicios Telemáticos y se tramitará electrónicamente en todas sus fases, estando obligadas las personas interesadas a relacionarse electrónicamente con la Administración.

1. La valoración técnica para el otorgamiento de la calificación se efectuará mediante la emisión de un informe del otorgamiento en sentido positivo o negativo mediante acuerdo, por mayoría simple, de los miembros de una comisión técnica de evaluación determinada en la correspondiente convocatoria y que estará compuesta por la persona que ejerza la presidencia y, al menos, por tres vocalías, así como por la persona que ejerza la secretaría.

Artículo 24. Resolución.

1. La competencia para resolver corresponderá a la persona titular de la Dirección Gerencia de Aragonesa de Servicios Telemáticos.

1. A la vista de la propuesta elevada por la comisión técnica de evaluación, la persona titular de la Dirección Gerencia de Aragonesa de Servicios Telemáticos dictará una resolución motivada sobre cada una de las solicitudes de calificación de Solución Cloud Certificada de Aragón.

1. Las resoluciones que otorguen la calificación de Solución Cloud Certificada de Aragón, además de identificar al proveedor de tecnologías cloud, determinarán los servicios para los que se concede, el periodo de validez conforme a lo establecido en el artículo siguiente y las obligaciones más significativas que para el operador implica la calificación.

1. El plazo máximo para notificar la resolución expresa será de tres meses a contar desde la fecha en que la solicitud haya tenido entrada en el registro electrónico del Gobierno de Aragón. Transcurrido dicho plazo máximo sin haberse notificado resolución expresa, la persona interesada podrá entender desestimada su solicitud por silencio administrativo e interponer los recursos que procedan.

1. Se creará un apartado en el Portal del Gobierno de Aragón en el que se dará publicidad sobre las empresas proveedoras de servicios de tecnologías cloud que han obtenido la calificación de Solución Cloud Certificada de Aragón, así como el plazo de validez de su calificación.

Artículo 25. Validez.

1. La calificación de Solución Cloud Certificada de Aragón tendrá una validez de dos años contados desde el día siguiente al de la notificación de la resolución de calificación.

1. La calificación podrá ser renovada por sucesivos periodos de dos años. Las entidades titulares de la calificación de Solución Cloud Certificada de Aragón deberán solicitar su renovación al menos con tres meses de antelación a la fecha de finalización de su validez.

1. Para las sucesivas renovaciones, las entidades deberán aportar la documentación adicional que en ese momento sea de obligada presentación.

1. La resolución sobre la solicitud de renovación se adoptará conforme a las reglas previstas en el artículo anterior.

Artículo 26. Efectos.

1. La obtención de la calificación de Solución Cloud Certificada de Aragón permitirá que el proveedor pueda identificarse en sus documentos, instrumentos de comunicación y publicidad como titular de tal calificación e indicar que es una calificación otorgada por la Administración de la Comunidad Autónoma de Aragón, lo que deberá hacer recogiendo fielmente la representación gráfica de la marca prevista en el artículo 21 una vez inscrita esta en el Registro de Marcas.

1. La obtención de la calificación de Solución Cloud Certificada de Aragón podrá recogerse como criterio de valoración en las bases reguladoras de subvenciones y ayudas que el sector público autonómico pueda aprobar en materia de sociedad de la información y nuevas tecnologías. Asimismo, podrá recogerse como criterio de valoración o preferencia en las disposiciones que pongan en marcha otras medidas de fomento cuando esté relacionado con su objeto. También podrá incluirse como criterio de valoración, cuando esté vinculado con el objeto del contrato, y criterio de solvencia en los procedimientos de contratación pública.

Artículo 27. Obligaciones.

Los proveedores que hayan obtenido la calificación de Solución Cloud Certificada de Aragón estarán sujetos a las siguientes obligaciones:

a) Mantener durante el tiempo de validez de la calificación las condiciones que les hayan permitido obtenerla.

b) Comunicar a Aragonesa de Servicios Telemáticos cualquier circunstancia que pueda suponer una modificación de los requisitos que justificaron su calificación, así como las variaciones que se produzcan en los datos inscritos en el Registro electrónico de proveedores de la Solución Cloud Certificada de Aragón que se determinan en el artículo 29. Estas comunicaciones deberán efectuarse en un plazo máximo de diez días.

c) Utilizar la denominación «Solución Cloud Certificada de Aragón» y los signos que se asocien a ella con total exactitud, cuando el proveedor decida asociarla a su nombre o servicios.

d) En el caso de prestación de servicios en la nube al sector público autonómico, el proveedor deberá identificar y notificar a Aragonesa de Servicios Telemáticos aquellas brechas de seguridad de la información que afecten a los datos alojados o que constituyan un riesgo para los derechos y libertades de las personas.

e) En el caso de prestación de servicios en la nube al sector público autonómico, el proveedor deberá identificar y notificar a Aragonesa de Servicios Telemáticos aquellos incidentes que supongan una disfunción sobre los servicios prestados.

f) En el caso de prestación de servicios en la nube al sector público autonómico, el proveedor deberá identificar y notificar a Aragonesa de Servicios Telemáticos la discontinuidad de productos o servicios con, al menos, seis meses de antelación para poder hacer los cambios oportunos en los servicios.

g) Cumplir con las obligaciones y responsabilidades que como encargado del tratamiento de datos establezca el ordenamiento jurídico.

h) Cualesquiera otras que pudieran fijarse en la convocatoria, en las disposiciones vigentes y en la resolución de calificación como Solución Cloud Certificada de Aragón.

Artículo 28. Seguimiento y control.

1. Aragonesa de Servicios Telemáticos podrá realizar, en cualquier momento, los controles y auditorías que considere precisos para constatar que los proveedores que hayan obtenido la calificación cumplen los requisitos exigidos para su obtención y que están realizando un correcto uso de esa calificación.

1. Los proveedores prestarán la colaboración precisa a Aragonesa de Servicios Telemáticos cuando esta realice las labores de seguimiento y control necesarias para hacer efectivo lo previsto en el apartado anterior; en particular, facilitarán cuanta información y documentación les sea requerida.

1. Cuando Aragonesa de Servicios Telemáticos, como consecuencia de sus funciones de control, detecte algún tipo de incumplimiento por parte del proveedor, le requerirá para que subsane las deficiencias en un plazo acorde con la naturaleza de las condiciones que deba subsanar, que será como máximo de tres meses.

1. Cuando Aragonesa de Servicios Telemáticos detecte que el proveedor no cumple ya los requisitos para ser titular de la citada calificación o aprecie graves incumplimientos en el uso de esta calificación, la persona titular de la Dirección Gerencia de Aragonesa de Servicios Telemáticos podrá suspender la eficacia de la calificación hasta que se adopte una decisión definitiva sobre la revocación o mantenimiento de la calificación.

1. En el supuesto de que las deficiencias no fueran subsanables o en el caso de que siéndolo no fueran corregidas en el plazo otorgado, la persona titular de la Dirección Gerencia de Aragonesa de Servicios Telemáticos dictará resolución procediendo a revocar la calificación.

1. La suspensión o la revocación de la calificación se efectuará conforme al correspondiente procedimiento administrativo, en el que se concederá trámite de audiencia a las personas interesadas por un plazo máximo de quince días para que puedan aportar cuantas alegaciones, documentos o informaciones estimen convenientes.

1. Los actos de suspensión o revocación previstos en este artículo no tendrán la consideración de sanción, pero dejarán sin efecto los beneficios derivados de la obtención de la calificación como Solución Cloud Certificada de Aragón.

Artículo 29. Registro electrónico de proveedores de la Solución Cloud Certificada de Aragón.

1. Se crea el Registro electrónico de proveedores de la Solución Cloud Certificada de Aragón en el que se inscribirán los proveedores que hayan obtenido tal calificación y los datos relativos a la misma.

1. El Registro se gestionará por la entidad Aragonesa de Servicios Telemáticos.

1. Serán inscritas de oficio las resoluciones de calificación, modificación, suspensión, revocación o cualquier otro acto que afecte al contenido de las calificaciones, así como las modificaciones de otros datos de los proveedores que sean comunicadas.

1. Los datos que constarán en el Registro respecto a cada proveedor de servicios que haya obtenido la calificación serán los siguientes:

a) Denominación social.

b) NIF.

c) Domicilio social.

d) Datos o vías de contacto.

e) Servicios de tecnologías cloud que presta.

f) Disponibilidad de oficinas en la Unión Europea, en España o en Aragón, según corresponda, así como los datos de la ubicación y contacto.

g) Fecha de fin de validez de la calificación como Solución Cloud Certificada de Aragón.

1. Los datos del Registro serán públicos, pudiendo acceder a ellos cualquier persona física o jurídica.

Los datos se publicarán como dato abierto a través de la plataforma de datos abiertos del Gobierno de Aragón «Aragón Open Data», informándose de la existencia y contenido del Registro a través del Portal del Gobierno de Aragón y de la web de Aragonesa de Servicios Telemáticos.

Artículo 30. Finalidad.

1. Aragonesa de Servicios Telemáticos, en el marco de las funciones que le corresponden conforme al artículo 4 de la Ley 7/2001, de 31 de mayo, de creación de la entidad pública Aragonesa de Servicios Telemáticos, será la competente para el diseño y contratación de los servicios de tecnologías cloud de la Administración de la Comunidad Autónoma de Aragón y sus organismos públicos vinculados o dependientes de acuerdo con la Política cloud aprobada por el Gobierno de Aragón, y será la encargada de elaborar unos modelos de pliegos de contratación de los servicios en la nube mediante el pago por uso, de manera que se facilite el proceso de contratación.

Para llevar a cabo la contratación y ejecución ordenada y coherente de tecnologías cloud, se utilizarán preferentemente las técnicas de racionalización de la contratación que se establezcan en la legislación en materia de contratación pública, con objeto de garantizar la máxima portabilidad e interoperabilidad, así como para favorecer la búsqueda y desarrollo de soluciones innovadoras en los mismos, de acuerdo con la Política cloud aprobada por el Gobierno de Aragón. Aragonesa de Servicios Telemáticos podrá también elaborar guías, recomendaciones o documentos similares que faciliten su aplicación y gestión del conocimiento.

1. El resto de las entidades del sector público autonómico no incluidas en el apartado anterior, así como las entidades locales aragonesas y sus organismos autónomos y entes dependientes de ellas, podrán adherirse al sistema de contratación de servicios de tecnologías cloud que se elija mediante la formalización del correspondiente convenio.

Artículo 31. Compra pública de innovación de tecnologías cloud.

1. Cuando las soluciones disponibles en el mercado no satisfagan las necesidades del sector público autonómico en materia de tecnologías cloud, se incentivarán los procesos de búsqueda, creación y contratación de soluciones innovadoras, dentro de lo establecido en la legislación en materia de contratación pública.

1. Para la contratación de soluciones innovadoras se optará por modelos de compra conjunta para una correcta escala de gestión, con el fin de simplificar la tramitación y obtener mayores eficiencias administrativas y de prestación.

Artículo 32. Medidas de impulso y fomento dirigidas al sector privado.

El Gobierno de Aragón impulsará y fomentará la aplicación y el desarrollo de las tecnologías cloud mediante las siguientes medidas:

a) El desarrollo de programas de asesoramiento al sector privado sobre el uso de las tecnologías cloud.

b) El establecimiento de líneas de subvenciones dirigidas al fomento del uso de las tecnologías en la nube por parte de las empresas, especialmente micro, pequeñas y medianas empresas, personas autónomas, personas emprendedoras y profesionales ubicados en Aragón.

c) El diseño de programas para la difusión y promoción del uso de las tecnologías cloud dirigidos a todo tipo de organizaciones, desde pymes y oenegés hasta grandes corporaciones.

d) El desarrollo de un ecosistema empresarial innovador centrado en las tecnologías cloud.

e) La colaboración con los prestadores de servicios cloud, colegios profesionales, asociaciones, clústeres y empresas del sector de la información y la comunicación en el diseño y aplicación de programas formativos de capacitación profesional o formación reglada.

f) La promoción de fondos de capital riesgo para el desarrollo de proyectos de empresas emergentes (startups) relacionados con tecnologías en la nube.

g) La colaboración con la Universidad de Zaragoza para el impulso de líneas de investigación en materia de tecnologías cloud, para el desarrollo de formación reglada a lo largo de toda la vida dirigida a profesionales y a público en general.

Artículo 33. Medidas de impulso relacionadas con la capacitación profesional.

1. Se desarrollarán líneas de capacitación profesional en tecnologías cloud dirigidas a diversos niveles profesionales, dentro de los programas anuales de formación ofrecidos por el Instituto Tecnológico de Aragón, por el Instituto Aragonés de Empleo y por otras entidades del Gobierno de Aragón destinadas al fomento empresarial y a la innovación tecnológica.

1. Los colegios profesionales, asociaciones, clústeres y empresas del sector de las tecnologías de la información y la comunicación podrán colaborar con las Administraciones públicas en la formación en tecnologías cloud tanto del personal del sector público como del privado. A tal efecto, se desarrollarán líneas de capacitación profesional en tecnologías cloud dirigidas a profesionales que deban utilizarlas en su respectivo campo con el fin de fomentar su uso, mejorar su aplicación y posibilitar la innovación en los diferentes ámbitos de la vida.

Artículo 34. Medidas de impulso relacionadas con la formación reglada.

Con el fin de fomentar la formación en tecnologías cloud en la enseñanza en todos sus niveles, incluidos la formación profesional y la enseñanza superior, los órganos competentes en el ejercicio de las competencias autonómicas analizarán, respecto del currículo, el diseño de especializaciones, la adaptación curricular y la actualización de los planes de estudios en los títulos relativos a los ámbitos de las tecnologías de la información y las comunicaciones, la inclusión de enseñanzas dirigidas a dicha formación y a la de otras nuevas tendencias tecnológicas. Asimismo, en los planes de estudios mencionados, se incluirá la formación dual en tecnologías en la nube con el fin de garantizar la empleabilidad en el sector tecnológico.

Artículo 35. Medidas relacionadas con el fomento de la confianza digital.

1. Con el fin de fomentar la transparencia y el acceso a los datos, el Gobierno de Aragón dictará las normas, directrices e instrucciones internas que sean necesarias para poner a disposición de la ciudadanía, con medios seguros, el acceso a través de tecnologías cloud a los datos que obren en su poder garantizando su accesibilidad.

1. El Gobierno de Aragón, con el fin de garantizar la seguridad y la soberanía de la ciudadanía sobre la información y los datos críticos de los que el sector público autonómico dispone, elaborará y aprobará un documento en el que se recogerán las medidas que va a llevar a cabo para garantizar la máxima protección de los datos que se alojen en la cloud pública, especialmente de los datos de carácter personal, y los compromisos de protección y tutela que adquiere sobre ellos.

1. Para el fomento de la confianza digital y el cumplimiento de los objetivos recogidos en este artículo, se llevarán a cabo programas de sensibilización, concienciación, asistencia y divulgación que permitan acercar la tecnología en la nube a toda la ciudadanía.

Artículo 36. Medidas relacionadas con la transparencia y publicidad.

Sin perjuicio del cumplimiento de los principios de publicidad y transparencia en la contratación de los servicios objeto de esta ley, todos los documentos técnicos, guías y modelos de cláusulas y pliegos tipo deberán ser publicados en el Portal del Gobierno de Aragón y en la web de Aragonesa de Servicios Telemáticos.

Artículo 37. Medidas relacionadas con la participación.

Se facilitará la participación de los colectivos interesados en el impulso, valoración y desarrollo de la presente ley a través del Observatorio Aragonés de la Sociedad de la Información.

Artículo 38. Marco de la gobernanza de las tecnologías cloud.

1. La entidad Aragonesa de Servicios Telemáticos establecerá el marco de la gobernanza idónea para la aplicación y desarrollo de las tecnologías cloud del sector público autonómico, al que podrán adherirse el resto de las Administraciones públicas de Aragón.

1. La ubicación en la nube pública se realizará siempre generando ubicaciones propias (landing zones), como entorno seguro donde desarrollar los servicios al sector público autonómico, en las cuales se establecerán los parámetros de gobernanza necesarios.

1. Aragonesa de Servicios Telemáticos promoverá la creación de entornos de pruebas seguros (sandbox) para tecnologías cloud que potencien la innovación, la colaboración entre proveedores y usuarios y la compartición de experiencias innovadoras, generando comunidad.

Artículo 39. Objetivos de la gobernanza de las tecnologías cloud.

Los objetivos de la gobernanza de las tecnologías cloud serán:

a) La gestión centralizada del entorno multicuenta.

b) Facilitar la supervisión de las políticas de seguridad y de protección de datos y su cumplimiento.

c) La federación de sistemas de gestión de identidades, favoreciendo los estándares abiertos y neutrales.

d) La correcta asignación de roles y permisos.

e) La centralización de registros de actividad de los sistemas (logs) para la gestión de cambios y auditorías.

f) La gestión adecuada del coste e imputación del pago por uso.

Artículo 40. Etiquetado.

1. Aragonesa de Servicios Telemáticos establecerá en el marco de la Política cloud una política de etiquetado (tagging) en donde se reflejen las características de cada activo desplegado en las tecnologías cloud, que permita una identificación total y clara de cada componente y asegure una traslación adecuada a cada órgano o entidad de la propiedad y el coste de los servicios.

1. La política básica de etiquetado podrá ampliarse por cada entidad, según sus necesidades.

Artículo 41. Comisión para las tecnologías cloud.

1. Se crea la Comisión para las tecnologías cloud como órgano colegiado adscrito al departamento competente en materia de nuevas tecnologías cuyo fin es la coordinación, seguimiento, evaluación, impulso y comunicación de las acciones referentes a las tecnologías en la nube en el sector público autonómico.

1. La Comisión ejercerá las siguientes funciones, que podrán ser ampliadas mediante orden de la persona titular del departamento competente en materia de nuevas tecnologías, dentro su ámbito competencial sobre las tecnologías cloud y su aplicación en el ámbito de la Administración pública:

a) Realizar propuestas relativas a la Política cloud y el Plan de adaptación de infraestructuras informáticas, para el análisis y consideración por Aragonesa de Servicios Telemáticos.

b) Realizar propuestas sobre los requisitos técnicos del modelo de cloud seleccionado y el marco de gobernanza dentro del sector público autonómico, para el análisis y consideración por Aragonesa de Servicios Telemáticos.

c) Detectar las carencias técnicas y formativas para proponer actuaciones en el ámbito formativo.

d) Realizar el seguimiento y evaluar la aplicación del marco de gobernanza de las tecnologías cloud.

e) Proponer criterios comunes y metodologías a utilizar en el contexto de las tecnologías cloud.

f) Realizar el seguimiento y evaluar la aplicación de los criterios técnicos sobre protección de datos en el contexto de las tecnologías cloud.

g) Realizar propuestas para la mejora de la coordinación en materia de tecnologías cloud del sector público autonómico.

h) Impulsar líneas de actuación orientadas a fomentar la colaboración con otras comunidades autónomas para el impulso de la adopción de tecnologías cloud.

i) Aquellas otras funciones que le sean atribuidas por el ordenamiento jurídico.

1. La Comisión para las tecnologías cloud está compuesta por:

a) La presidencia: la persona titular de la Dirección Gerencia de Aragonesa de Servicios Telemáticos.

b) La vicepresidencia: la persona titular de la dirección general competente en nuevas tecnologías y en su aplicación en el ámbito de la Administración pública.

c) Las vocalías, que corresponderán a las siguientes personas:

1.º Una persona designada por la secretaría general técnica de cada departamento de la Administración de la Comunidad Autónoma de Aragón, entre las personas responsables de las tecnologías de la información y la comunicación.

2.º Una persona designada por la dirección de cada organismo autónomo de la Administración de la Comunidad Autónoma de Aragón, entre las personas responsables de las tecnologías de la información y la comunicación.

3.º Una persona designada por la dirección de la Corporación de Empresas Públicas de Aragón en representación de las sociedades mercantiles autonómicas, especialista en tecnologías de la información y de la comunicación.

4.º Una persona designada por la Universidad de Zaragoza en representación de las universidades públicas integradas en el Sistema Universitario de Aragón, especialista en tecnologías de la información y de la comunicación.

Disposición adicional primera. Aprobación de la Política cloud del sector público autonómico.

La Política cloud del sector público autonómico prevista en el artículo 5 deberá aprobarse por el Gobierno de Aragón dentro del plazo de seis meses desde la entrada en vigor de esta ley.

Disposición adicional segunda. Aprobación del Plan de adaptación de las infraestructuras informáticas.

El Plan de adaptación de las infraestructuras informáticas para las tecnologías cloud previsto en el artículo 15, deberá aprobarse por el Gobierno de Aragón dentro del plazo de seis meses desde la adopción del acuerdo de aprobación de la Política cloud del sector público autonómico.

Disposición adicional tercera. Constitución de la Comisión para las tecnologías cloud.

En el plazo máximo de seis meses desde la entrada en vigor de esta ley, se procederá a la constitución de la Comisión para las tecnologías cloud.

Disposición adicional cuarta. Aprobación del modelo de adhesión.

El modelo de adhesión previsto en el artículo 18 deberá aprobarse por el Gobierno de Aragón dentro del plazo de seis meses desde la adopción del acuerdo de aprobación de la Política cloud del sector público autonómico.

Disposición adicional quinta. Requisitos técnicos mínimos.

En el plazo de un año desde la entrada en vigor de esta ley, se publicará la orden de la persona titular del departamento competente en materia de nuevas tecnologías concretando los requisitos técnicos mínimos para obtener la calificación como Solución Cloud Certificada de Aragón, así como la forma de acreditación de su concurrencia, de conformidad con lo dispuesto en el artículo 22.

Disposición adicional sexta. Actualización del Observatorio Aragonés de la Sociedad de la Información.

En el plazo de un año desde la entrada en vigor de esta ley, se procederá a la actualización organizativa y funcional del Observatorio Aragonés de la Sociedad de la Información, transformándolo en el órgano participativo necesario para garantizar lo dispuesto en el artículo 37.

Disposición adicional séptima. Directriz sobre Política del dato de la Comunidad Autónoma de Aragón.

El Gobierno de Aragón elaborará en el plazo de un año una Directriz específica sobre política del dato de la comunidad, definiendo al menos los datos que necesitan ser compartidos y su nivel de accesibilidad.

Disposición adicional octava. Protección de datos.

1. A los efectos previstos en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), y en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, los datos personales recabados como consecuencia de la inscripción de datos personales en el Registro electrónico de proveedores de la Solución Cloud Certificada de Aragón previsto en esta ley serán incorporados a las actividades de tratamiento que les corresponda.

1. Se podrá consultar la información detallada sobre dichas actividades de tratamiento en el Registro de actividades de tratamiento de datos de carácter personal del Gobierno de Aragón.

Disposición final primera. Habilitaciones específicas a la persona titular del departamento competente en materia de nuevas tecnologías.

Se habilita a la persona titular del departamento competente en materia de nuevas tecnologías para regular mediante orden el procedimiento para el otorgamiento de la Solución Cloud Certificada de Aragón previsto en el capítulo III, la concreción y establecimiento de los requisitos técnicos mínimos para obtener la citada Solución conforme a lo previsto en el artículo 22, así como el Registro electrónico de proveedores de la Solución Cloud Certificada de Aragón.

Disposición final segunda. Habilitación al Gobierno de Aragón.

Se habilita al Gobierno de Aragón para dictar cuantas disposiciones sean necesarias para el desarrollo y aplicación de lo dispuesto en esta ley.

Disposición final tercera. Entrada en vigor.

Esta ley entrará en vigor el día siguiente al de su publicación en el «Boletín Oficial de Aragón».

Por tanto, ordeno a todos los ciudadanos a los que sea de aplicación esta Ley, que la cumplan, y a los tribunales y autoridades a los que corresponda, que la hagan cumplir.

Zaragoza, 23 de febrero de 2023.–El Presidente de Aragón, Javier Lambán Montañés.