Artículo 15. Análisis de riesgos, evaluación de impacto en la protección de datos y gestión de los riesgos de seguridad de la información.

Texto consolidado

1. Cuando la información contenga datos personales se llevará a cabo, de forma periódica y al menos cada dos años, y, en cualquier caso, con carácter previo a un nuevo tratamiento y siempre que exista un cambio significativo en los sistemas de información y/o en los tratamientos de datos personales, un análisis de riesgos que permita identificar y gestionar los riesgos minimizándolos hasta los niveles que puedan considerarse aceptables.

2. La gestión de riesgos de seguridad de la información debe realizarse de manera continua sobre el sistema de información, conforme a los principios de gestión de la seguridad basada en los riesgos y en la reevaluación periódica.

El responsable de seguridad de la información es la persona encargada de recomendar un marco de directrices básicas para armonizar los criterios a seguir para la valoración de riesgos.

El responsable de la Información y el responsable del servicio son los encargados de la gestión de los riesgos sobre la información y sobre los servicios, respectivamente, siendo responsables de su seguimiento y control, sin perjuicio de la posibilidad de delegar esta tarea.

Redacción vigente del texto consolidado publicado por el BOE, en vigor desde el 2021-11-13.

Más artículos de Orden UNI/1231/2021

• ← Artículo 14. Estructura documental y normativa.
• → Artículo 16. Notificación de violaciones de seguridad de los datos personales e incidentes de seguridad de la informa…
• Ver la norma completa: Orden UNI/1231/2021, de 5 de noviembre, por la que se aprueba la política de seguridad de la información en el ámbito de la administración electrónica y de protección de datos y se crea la Comisión Ministerial de Administración Digital del Ministerio de Universidades.