LegalizeLlei 22/2022, del 9 de juny, de mesures per a la seguretat de les xarxes i dels sistemes d’informació
Supervisar l’aplicació de les polítiques de seguretat, protocols i procediments en l’entitat, supervisar-ne la seva efectivitat i establir períodes de control.
Fomentar la formació i l’aplicació de bones pràctiques en seguretat de les infraestructures crítiques, les xarxes, i els sistemes d’informació necessaris per proveir els serveis essencials o importants que ofereix l’entitat que els va designar com a DSI.
Remetre al CSIRT-AD, que al seu torn informa a l’autoritat nacional competent, sense dilació indeguda, les notificacions d’incidents, vulnerabilitats o ciberamences que tinguin efectes pertorbadors en la prestació dels serveis essencials o importants.
Rebre, interpretar, supervisar i transmetre l’aplicació de les instruccions i guies emanades de l’autoritat nacional competent o del CSIRT-AD.
Recopilar, preparar i subministrar informació o documentació a l’autoritat nacional competent o al CSIRT-AD quan així ho sol·licitin o per iniciativa pròpia.
Intercanviar informació sobre ciberseguretat pertinent directament amb els DSI d’altres entitats essencials i importants autoritzades per l’entitat que l’ha nomenat, o mitjançant els canals de comunicació que l’ANC-AD pugui establir a tal efecte, i en particular, informació referent a ciberamenaces, vulnerabilitats, indicadors de compromís, declaracions d’aplicabilitat, tàctiques, tècniques i procediments, alertes de ciberseguretat i eines de configuració, sempre que aquest intercanvi d’informació:
i. es faci amb l’objectiu de prevenir les possibles ciberamenaces, descoratjar-les, detectar-les, i respondre o mitigar els incidents;
ii. reforci el nivell de ciberseguretat, en particular, en conscienciar sobre les ciberamenaces, limiti o impedeixi la capacitat de tals amenaces per propagar-se, o recolzi una bateria de capacitats de defensa, correcció i divulgació de les vulnerabilitats, tècniques de detecció d’amenaces, estratègies de mitigació o etapes de resposta i recuperació.
Aquest intercanvi es posarà en pràctica mitjançant mecanismes d’intercanvi d’informació que respectin la possible naturalesa delicada de la informació compartida, i amb el que pugui establir-se reglamentàriament.
El DSI pot formar part de la plantilla laboral de l’entitat que el nomena o exercir les seves funcions en el marc d’un contracte de serveis.
Les entitats essencials i importants han de garantir, a títol enunciatiu i no limitatiu, que el DSI:
Sigui una persona o un grup de persones amb coneixements especialitzats i amb experiència en matèria de ciberseguretat, tant des del punt de vista organitzatiu com des del tècnic i jurídic, en virtut de les funcions assignades a l’apartat 6.
Se li garanteixen els recursos necessaris per a l’exercici de les seves funcions.
Se li atorgui una posició dins de l’organització de l’entitat que faciliti l’exercici de les seves funcions per poder participar de manera adequada, i en temps oportú, en totes les qüestions relatives a la seguretat, així com el manteniment d’una comunicació real i efectiva amb l’alta direcció.
S’asseguri la seva independència respecte dels responsables de les infraestructures crítiques, les xarxes i els sistemes d’informació del seu àmbit de treball.
Article 19. Representant al Principat d’Andorra
Si una entitat que presta serveis essencials o importants al Principat d’Andorra no està establerta en aquest, designarà un representant al Principat d’Andorra que estigui sotmès a la jurisdicció del país. En absència d’aquest representant, l’ANC-AD podrà identificar l’entitat essencial o important, informar-la de les seves obligacions recollides en aquesta Llei i emprendre accions legals contra ella per l’incompliment d’aquestes.
La designació d’un representant per una entitat prevista a l’apartat 1 s’entendrà sense perjudici de les accions legals que puguin emprendre’s contra la pròpia entitat.
Article 20. Utilització d’esquemes de certificació de la ciberseguretat
A l’efecte de demostrar la conformitat amb determinats requisits que s’estableixen en aquesta Llei, les autoritats nacionals competents podran exigir a les entitats essencials i importants, o a categories d’entitats essencials o importants, del seu àmbit de competència, que certifiquin determinats productes, serveis i processos de TIC en virtut d’un esquema de certificació de la ciberseguretat específic adoptat reglamentàriament. Els productes, serveis o processos objecte de la certificació poden ser desenvolupats per l’entitat essencial o important o adquirits a tercers.
Igualment, una vegada s’hagi establert reglamentàriament un esquema de certificació d’un àmbit de la ciberseguretat, les autoritats nacionals competents podran emetre un certificat en relació amb el dit àmbit per aquelles entitats essencials o importants que acrediten el compliment de les obligacions de seguretat de les infraestructures crítiques, les xarxes i els sistemes d’informació corresponents.
Article 21. Protecció del notificador
La notificació voluntària no donarà lloc a la imposició d’obligacions addicionals a l’entitat notificant a les quals no estaria subjecta de no haver presentat aquesta notificació.
El DSI que faci la notificació, tingui relació laboral o mercantil amb l’entitat que l’ha nomenat, o la persona que notifiqui en el cas d’entitats no obligades, en cap cas pot patir conseqüències negatives en el seu lloc de treball o en la seva relació amb l’entitat a causa que procedeixi a notificar un incident d’acord amb el que es disposa en aquesta Llei, a excepció d’aquells casos en els quals quedi acreditada una mala fe en la seva actuació.
Són nul·les i sense efecte legal totes aquelles decisions del patró que es prenguin en perjudici o detriment dels drets laborals dels treballadors que hagin actuat de conformitat amb el que es disposa a l’article 15 o l’article 16.
Capítol tercer. Obligacions de supervisió
Article 22. Supervisió del compliment d’obligacions de seguretat i de notificacions d’incidents
Cada autoritat nacional competent s’encarregarà de supervisar el compliment d’aquesta Llei, i en especial les obligacions descrites als articles 13 i 15, que siguin aplicables a les entitats essencials i importants en el seu àmbit d’actuació competent.
Cada entitat essencial o important ha de col·laborar amb la seva autoritat nacional competent en la supervisió esmentada, i facilitar les actuacions d’inspecció, proporcionar tota la informació que a aquest efecte se li requereixi i aplicar les instruccions dictades.
Cada autoritat nacional competent pot dur a terme les actuacions inspectores que siguin necessàries per a l’exercici de les seves funcions de control en el seu àmbit de competència quan tinguin com a objecte:
Controlar el compliment de les normes i instruccions tècniques que, si escau, siguin aplicables a les entitats subjectes a la seva supervisió.
Verificar el compliment de les funcions del DSI designat en les entitats de serveis essencials i importants.
Fer les inspeccions, comprovacions, proves i revisions necessàries per verificar el compliment de les mesures de seguretat previstes en aquesta Llei i, en particular, de l’aplicabilitat de la política de seguretat de les entitats i l’aplicació de les pertinents mesures de seguretat.
Sempre que ho requereixi una autoritat nacional competent, el CSIRT-AD ha de col·laborar en l’exercici de les funcions a les quals es refereix l’apartat anterior. Especialment, el CSIRT-AD ha de facilitar assessorament tècnic sobre la idoneïtat de les mesures de seguretat adoptades per les entitats per proveir els seus serveis essencials o importants.
Article 23. Supervisió i execució en el cas d’entitats essencials
Cada autoritat nacional competent ha de vetllar perquè les entitats essencials del seu àmbit de competència compleixen amb les obligacions establertes en aquesta Llei de forma efectiva, proporcionada i dissuasiva.
Les competències de les autoritats nacionals competents, en cooperació amb el CSIRT-AD si escau, en matèria de supervisió, es fomenten en:
Inspeccions in situ i supervisió a distància, incloent controls aleatoris;
Auditories periòdiques;
Auditories de seguretat específiques basades en avaluacions de riscos o en informació disponible sobre riscs;
Anàlisis de seguretat a través de criteris d’avaluació de riscs objectius, no discriminatoris, justos i transparents;
Sol·licituds de tota la informació necessària per avaluar les mesures de ciberseguretat adoptades per l’entitat, en particular les polítiques de ciberseguretat documentades, així com el compliment del procediment de notificació previst en aquesta Llei, si és necessari;
Sol·licituds d’accés a dades, documents o qualsevol informació necessària per al desenvolupament de les seves funcions de supervisió; i
Sol·licituds de tota mena de proves necessàries per acreditar l’aplicació de les polítiques de ciberseguretat.
Respecte a les lletres e), f) i g), en tot moment l’autoritat nacional competent ha d’indicar la finalitat de la sol·licitud i especificar la informació requerida.
Les competències de les autoritats nacionals competents, en cooperació amb el CSIRT-AD si escau, en matèria d’execució, es fomenten en:
Advertir a les entitats per l’incompliment de les obligacions establertes en aquesta Llei.
Emetre instruccions vinculants perquè les entitats corregeixin les deficiències detectades o les infraccions de les obligacions establertes en aquesta Llei.
Exigir a les entitats que posin fi a les conductes que incompleixen les obligacions establertes en aquesta Llei i que s’abstinguin a repetir-les.
Exigir a les entitats que adeqüin les seves mesures de gestió de riscos o obligacions de notificació a l’establert en el capítol primer d’aquest Títol.
Ordenar a les entitats que informin les persones físiques o jurídiques a les quals presten serveis que es poden veure afectades per una ciberamenaça significativa i de les corresponents mesures correctores o de protecció que les dites persones poden adoptar en resposta a l’amenaça.
Ordenar a les entitats l’aplicació, en un termini raonable, de les recomanacions formulades després d’haver realitzat una auditoria de seguretat.
Designar a un responsable de supervisió per dur a terme unes funcions clarament definides i perquè supervisi, durant un període determinat, el compliment de les seves obligacions previstes al Títol III.
Ordenar a les entitats que facin públics d’una forma concreta els incompliments de les obligacions establertes en aquesta Llei.
Emetre comunicats públics en els quals s’identifiqui a les persones físiques i jurídiques responsables d’incompliments d’obligacions establertes en aquesta Llei i la naturalesa dels dits incompliments.
Imposar, en el cas de l’ANC-AD, o sol·licitar la imposició per part de l’ANC-AD, en el cas de l’AFA, d’una multa administrativa de conformitat amb el previst al Títol IV, a títol addicional o substitutiu de les mesures referides a les lletres a) a i) d’aquest apartat, en funció de les circumstàncies de cada cas particular.
Quan les mesures d’execució exigides per l’autoritat nacional competent no s’adoptin en el termini establert, l’autoritat nacional competent està facultada per:
Suspendre la certificació de compliment;
Imposar una prohibició temporal sobre qualsevol persona física que exerceixi responsabilitats de direcció o representació legal de l’entitat essencial, i de qualsevol altra persona física responsable de l’incompliment, d’exercir les funcions de direcció en aquesta entitat.
Aquestes suspensions o prohibicions romanen fins que l’entitat referida adopti les mesures necessàries per resoldre les deficiències o compleixi els requisits de l’autoritat nacional competent que hagi aplicat la suspensió o prohibició de què es tracti.
Les mesures indicades a l’apartat anterior, s’apliquen sense perjudici de garantir el dret de defensa de la persona afectada, com a mínim en els següents aspectes:
La gravetat de l’incompliment i la importància de les obligacions infringides, i en especial les classificades com a greus i molt greus d’acord amb l’article 34;
La durada de l’incompliment, en particular si hi ha hagut incompliments reiterats;
Els perjudicis o les pèrdues reals originats, o els perjudicis o les pèrdues que podrien haver-se originat, en la mesura en què puguin determinar-se i tot tenint en compte, entre d’altres, les pèrdues financeres o econòmiques reals o potencials, els efectes per a altres serveis i el nombre d’usuaris afectats o potencialment afectats;
La intencionalitat o negligència en la infracció;
Les mesures adoptades per l’entitat per prevenir o reduir els perjudicis o les pèrdues;
L’adhesió a codis de conducta o a mecanismes de certificació aprovats; i
El grau de cooperació de les persones físiques o jurídiques responsables amb les autoritats nacionals competents.
L’autoritat nacional competent ha d’emetre les decisions d’execució de forma detallada i motivada, notificant prèviament a l’emissió definitiva de les mateixes, a les entitats afectades, concedint-les un termini de sis mesos per formular observacions.
Article 24
Supervisió i execució en el cas d’entitats importants
Si l’autoritat nacional competent disposa de proves o d’indicis d’incompliment de les obligacions establertes en aquesta Llei, per part d’una entitat de serveis importants, l’autoritat referida pot imposar a posteriori les mesures de supervisió corresponents.
En aquest sentit, les competències de l’autoritat nacional competent, en cooperació amb el CSIRT-AD, si escau, en matèria de supervisió, es fomenten en:
Inspeccions in situ i supervisió a posteriori;
Auditories de seguretat específiques basades en avaluacions de riscos o en la informació disponible sobre els riscos;
Anàlisis de seguretat basades en criteris d’avaluació de riscs objectius, justos i transparents;
Sol·licituds de tota informació necessària per avaluar a posteriori les mesures de ciberseguretat, en particular les polítiques de ciberseguretat documentades, així com el compliment de les obligacions de notificar incidents a l’autoritat nacional competent; i
Sol·licitar l’accés a dades o qualsevol informació necessària per al correcte desenvolupament de funcions de supervisió.
Respecte a les lletres d) i e), en tot moment, l’autoritat nacional competent ha d’indicar la finalitat de la sol·licitud i especificar la informació requerida.
Les competències de l’autoritat nacional competent, en cooperació amb el CSIRT-AD, si escau, en matèria d’execució, es fomenten en:
Advertir a les entitats per l’incompliment de les obligacions establertes en aquesta Llei.
Emetre instruccions vinculants perquè les entitats resolguin les deficiències detectades o les infraccions de les obligacions establertes en aquesta Llei.
Exigir a les entitats que posin fi a les conductes que incompleixen les obligacions establertes en aquesta Llei i que s’abstinguin a repetir-les;
Exigir a les entitats que adeqüin les seves mesures de gestió de riscos o obligacions de notificació a l’establert al Títol III.
Ordenar a les entitats que informin les persones físiques o jurídiques a les quals els presten serveis que es poden veure afectades per una ciberamenaça significativa i de les corresponents mesures correctores o de protecció que les persones afectades poden adoptar en resposta a l’amenaça.
Ordenar a les entitats l’aplicació, en un termini raonable, de les recomanacions formulades després d’haver realitzat una auditoria de seguretat.
Designar un responsable de supervisió per dur a terme unes funcions clarament definides i perquè supervisi, durant un període determinat, el compliment de les obligacions previstes en el Títol III.
Ordenar a les entitats que facin públics d’una forma concreta els incompliments de les obligacions establertes en aquesta Llei.
Emetre comunicats públics en els quals s’identifiqui a les persones físiques i jurídiques responsables d’incompliments d’obligacions establertes en aquesta Llei i la naturalesa dels dits incompliments.
Imposar o sol·licitar la imposició d’una multa administrativa de conformitat amb l’establert al Títol IV, a títol addicional o substitutiu de les mesures referides en les lletres a) a i) d’aquest apartat, en funció de les circumstàncies de cada cas particular.
És igualment aplicable a les entitats importants, el previst en els apartats 4 a 6 de l’article 23.
Capítol quart. Altres obligacions de les autoritats nacionals competents i del CSIRT-AD
Article 25. Obligacions de les autoritats nacionals competents
Les autoritats nacionals competents a l’empara d’aquesta Llei han de cooperar i intercanviar informació amb els responsables de redactar els reglaments o altres normes o actes jurídics sectorials, en particular, en relació amb la gestió dels riscos de ciberseguretat i dels incidents que afectin les entitats essencials o importants, així com amb el que respecta a les mesures de ciberseguretat adoptades per aquestes entitats.
Les autoritats nacionals competents hauran d’establir els canals que fomentin la comunicació amb les entitats que presten serveis essencials i importants, susceptibles de ser desplegats reglamentàriament.
Les autoritats nacionals competents hauran de coordinar-se amb el CSIRT-AD mitjançant els protocols d’actuació que, si escau, es poden desplegar reglamentàriament.
L’ANC-AD, en col·laboració amb l’AFA i amb el CSIRT-AD, haurà de:
Establir una llista de les entitats identificades a l’empara dels punts b) a f) de l’article 2.2 en el termini de sis mesos a comptar de la data d’entrada en vigor d’aquesta Llei, la qual revisarà periòdicament, almenys cada dos anys, i actualitzarà quan s’escaigui.
Crear i mantenir un registre d’entitats essencials i importants.
Notificar, sense dilació indeguda, a les agències de ciberseguretat existents en altres països qualsevol incident o ciberamenaça que tingui un impacte transfronterer o els pugui perjudicar o afectar de qualsevol altra forma i el seu nivell es consideri significatiu d’acord amb l’establert a l’article 15.3. En fer-ho, l’ANC-AD preservarà, de conformitat amb la legislació vigent en cada moment, la seguretat i els interessos comercials de l’entitat que ha notificat l’incident, així com la confidencialitat de la informació facilitada.
Cooperar, en l’àmbit d’aplicació d’aquesta Llei, amb l’Agència Andorrana de Protecció de Dades (APDA) i les autoritats públiques competents en seguretat pública, seguretat ciutadana i seguretat nacional, incloent-hi la comunicació sense dilació de qualsevol incident que pugui estar en l’àmbit de supervisió de cada autoritat, i mantenir-les informades sobre l’evolució d’aquests incidents.
Emetre informes anuals per al Govern d’Andorra sobre els incidents, quasiincidents i ciberamenaces notificats per les entitats essencials i importants, l’estat de l’aplicació de l’Estratègia Nacional de Ciberseguretat i de la situació de la ciberseguretat al Principat d’Andorra. Aquests informes de situació inclouen, a títol informatiu i no limitatiu, entre d’altres:
i. L’evolució de les capacitats de la ciberseguretat al Principat d’Andorra.
ii. Els recursos tècnics, financers i humans disponibles per a les autoritats nacionals competents i el CSIRT-AD.
iii. Les polítiques de ciberseguretat i l’aplicabilitat de les mesures de supervisió i d’execució en funció dels resultats sorgits en l’informe anterior.
iv. Un índex de ciberseguretat que proporcioni una avaluació del nivell de maduresa de les capacitats de ciberseguretat i que estigui establert segons les metodologies reconegudes internacionalment.
Emetre i publicar informes anuals sobre la situació de la ciberseguretat al Principat d’Andorra.
Comparèixer, per mitjà de la seva persona de tutela, davant de la comissió legislativa del Consell General que tracti les qüestions en matèria de ciberseguretat, per tal de presentar els informes anuals previstos en les lletres e) i f), relatius als incidents, quasiincidents i ciberamenaces notificats per les entitats essencials i importants, a l’estat de l’aplicació de l’Estratègia Nacional de Ciberseguretat i a la situació de la ciberseguretat al Principat d’Andorra.
Vetllar, a l’efecte de contribuir a la seguretat, estabilitat i resiliència del DNS, perquè els registres de dominis de primer nivell i les entitats que proveeixen serveis de registre de noms de domini de primer nivell:
i. Recopilin i mantinguin dades sobre el registre de noms de domini en una base de dades que:
• Contingui informació pertinent per identificar i contactar amb els titulars dels noms de domini i els punts de contacte que administren els noms de domini en els dominis de primer nivell.
• Compti amb polítiques i procediments, que es trobin a disposició del públic, per garantir que inclogui informació precisa i completa.
ii. Publiquin, sense demora indeguda desprès del registre d’un nom de domini, les dades de registre de domini que no siguin de caràcter personal.
iii. Concedeixin accés a dades específiques sobre el registre de noms de domini, prèvia sol·licitud lícita i degudament justificada, als sol·licitants d’accés legítims, de conformitat amb la normativa del Principat d’Andorra en matèria de protecció de dades vigent en cada moment.
A fi de promoure una aplicació convergent amb la dels estats veïns, les autoritats nacionals competents publicaran un marc normatiu mitjançant el qual fomentin, sense imposar ni afavorir l’ús d’un tipus específic de tecnologia, la utilització de normes i especificacions acceptades a escala internacional que siguin pertinents en matèria de seguretat de les infraestructures crítiques, les xarxes i els sistemes d’informació de cada sector del seu àmbit de competència.
Addicionalment a les anteriors obligacions, les autoritats nacionals competents podran establir obligacions específiques per garantir la seguretat de les infraestructures crítiques, les xarxes i els sistemes d’informació necessaris per prestar serveis essencials o importants i sobre notificació d’incidents, i dictar instruccions tècniques i guies orientatives per detallar el contingut d’aquestes obligacions.
Article 26. Obligacions del CSIRT-AD
El CSIRT-AD tindrà com a principals obligacions:
Garantir la disponibilitat dels seus serveis de comunicació, establint diversos canals de comunicació per ser contactat i contactar-hi directament i en tot moment, evitant errors ocasionals simples.
Especificar els canals i les vies de comunicació i donar-los a conèixer als seus grups d’interès.
Garantir que les seves instal·lacions i els seus sistemes d’informació necessaris per al compliment de l’objectiu d’aquesta Llei es situen en llocs segurs.
Disposar d’un sistema adequat per gestionar i canalitzar les sol·licituds.
Disposar de personal suficient per garantir la disponibilitat dels serveis que presta en relació amb aquesta Llei en tot moment.
Mantenir l’accés continuat a les infraestructures de comunicació, potenciant els sistemes redundants i els espais de treball de reserva amb l’objectiu de salvaguardar la continuïtat de la seva activitat en relació amb el previst en aquesta Llei.
Proporcionar a les entitats essencials o importants que es puguin veure afectades per incidents, la informació que els pugui ser rellevant per prevenir i si escau resoldre els dits incidents.
Proporcionar a les entitats essencials o importants notificadores, la informació pertinent respecte al seguiment de la notificació d’un incident, en particular aquella que pugui facilitar la gestió eficaç de l’incident.
Garantir la capacitat de participar, si escau, en xarxes de cooperació internacional.
Article 27. Cooperació nacional
L’ANC-AD, l’AFA i el CSIRT-AD cooperaran entre si per vetllar pel compliment de les obligacions establertes en aquesta Llei.
L’ANC-AD i el CSIRT-AD cooperaran entre si per garantir la recepció de notificacions d’incidents, quasiincidents, vulnerabilitats o ciberamenaces significatius, en el marc d’aquesta Llei i amb el suport de les autoritats públiques del Principat d’Andorra.
L’ANC-AD, l’AFA i el CSIRT-AD han de consultar, quan sigui procedent, als òrgans amb competències en matèria de seguretat nacional, seguretat pública, seguretat ciutadana i protecció de dades de caràcter personal, i hi han de col·laborar en l’exercici de les seves respectives funcions establertes per aquesta Llei.
Article 28. Cooperació transfronterera
Quan sigui procedent, les autoritats nacionals competents i el CSIRT-AD han de cooperar amb les autoritats competents d’altres països quan aquestes requereixin la supervisió a què es refereixen els articles 23 i 24 i l’adopció de mesures per part d’entitats essencials o importants per als seus països i que tinguin relació amb el Principat d’Andorra. Aquesta cooperació implicarà, com a mínim, el següent:
que les autoritats nacionals competents que apliquin mesures de supervisió o execució en el Principat d’Andorra informin i consultin a les autoritats competents dels altres països afectats sobre les mesures de supervisió i execució adoptades i el seu seguiment, de conformitat amb l’establert als articles 23 i 24;
que una autoritat competent estrangera pugui sol·licitar a una autoritat nacional competent que adopti les mesures de supervisió o execució a què es refereixen els articles 23 i 24;
que una autoritat nacional competent, en rebre una sol·licitud justificada d’una autoritat competent estrangera, presti a aquesta última assistència perquè les mesures de supervisió o execució a què es refereixen els articles 23 i 24 puguin aplicar-se de manera efectiva, eficient i coherent. Aquesta assistència podrà abastar sol·licituds d’informació i mesures de supervisió, incloses les sol·licituds per a la realització d’inspeccions in situ, supervisió a distància o auditories de seguretat específiques.
Les autoritats nacionals competents o el CSIRT-AD podran negar-se a cooperar amb autoritats competents d’altres països quan, després de dialogar amb les altres autoritats nacionals competents i l’ANC-AD, l’ANC-AD determini que o bé l’autoritat competent estrangera manca de competències per demanar l’assistència requerida, o bé aquesta assistència no s’adequa ni a les tasques del CSIRT-AD ni a les tasques de supervisió de l’autoritat nacional competent de què es tracti exercides de conformitat amb els articles 23 i 24.
Recíprocament, quan sigui procedent, les autoritats nacionals competents o el CSIRT-AD podran demanar la cooperació d’autoritats competents o CSIRT d’altres països quan requereixin la supervisió a què es refereixen els articles 23 i 24 o l’adopció de mesures per part d’entitats essencials o importants per al Principat d’Andorra i que estiguin establertes o representades en aquests altres països, amb independència que el dit establiment sigui o no l’establiment principal de l’entitat i, en el cas de les entitats que prestin serveis essencials per al Principat d’Andorra, fins i tot quan aquesta estigui representada al país.
Quan s’escaigui i de comú acord, les autoritats competents del Principat d’Andorra i les d’altres països podran emprendre conjuntament les mesures de supervisió a què es refereixen els articles 23 i 24.
Si el CSIRT-AD o l’ANC-AD o l’AFA reben notificacions per part de països tercers sobre incidents que afecten directament o indirectament a entitats essencials o importants del Principat d’Andorra, s’ho han de notificar de forma immediata i entre aquestes entitats i a les entitats afectades, perquè conjuntament adoptin les mesures pertinents en l’exercici de les seves funcions respectives.
Article 29. Confidencialitat de la informació sensible
L’ANC-AD, l’AFA i el CSIRT-AD han de preservar la seguretat i els interessos comercials de les entitats essencials o importants, així com la confidencialitat de la informació que obtenen d’aquestes en l’exercici de les funcions que els encomana aquesta Llei.
Quan l’intercanvi d’informació sigui necessari i es tracti d’informació sensible, s’ha de limitar la cessió d’acord amb la correcta aplicació dels principis de minimització de la informació i de proporcionalitat per a la finalitat d’aquest intercanvi.
Títol IV. Règim sancionador
Article 30. Potestat sancionadora
Tota actuació que contradigui el que estableix aquesta Llei o les disposicions reglamentàries que la desenvolupin, pot donar lloc a la incoació d’un expedient sancionador i a la imposició de sancions després de la instrucció prèvia de l’expedient que escaigui.
La potestat per incoar i resoldre els expedients sancionadors per raó de l’establert en aquesta Llei correspon a l’autoritat que en cada moment estigui al capdavant de l’ANC-AD, també pel que fa a les entitats que estiguin sota la supervisió de l’AFA, a petició d’aquesta última. La instrucció dels expedients correspon als tècnics designats per l’ANC-AD.
Article 31. Responsables de les infraccions
Són responsables de les infraccions respecte al que regula aquesta Llei, les entitats essencials i importants sotmeses al compliment dels preceptes establerts en la mateixa.
Article 32. Expedient sancionador
La constatació d’una infracció per part de l’autoritat nacional competent que correspongui comporta la incoació de l’expedient sancionador corresponent per part de l’autoritat que disposa de la potestat sancionadora, d’acord amb el que disposi la normativa vigent en cada moment en matèria de procediments administratius sancionadors. No obstant això, el termini màxim de durada del procediment és d’un any, mentre que el termini d’al·legacions no pot tenir una durada inferior als sis mesos indicats a l’article 23.6.
S’atorga a les actes de l’ANC-AD la presumpció d’exactitud, llevat de prova en contra.
Contra les resolucions dictades per l’autoritat que disposa de la potestat sancionadora es pot interposar recurs, d’acord amb el que disposi la normativa en vigor en cada moment en matèria de recursos administratius.
Article 33. Infraccions
Constitueixen infraccions al que regula aquesta Llei les accions o omissions contràries a l’establert als seus preceptes.
Article 34. Classificació de les infraccions
Les infraccions dels preceptes continguts en aquesta Llei es classifiquen en molt greus, greus i lleus.
Són infraccions molt greus:
La falta de remissió de la informació relativa a l’obligació d’identificació com entitat essencial o important, de conformitat amb el previst a l’article 10, quan aquesta disposi d’un establiment al Principat d’Andorra o quan l’ANC-AD ha informat l’entitat que no disposa d’establiments al Principat d’Andorra sobre les seves obligacions d’acord amb l’establert en aquesta Llei
La falta d’adopció de mesures per esmenar les deficiències detectades, segons el que es disposa a l’article 23.3.b) i a l’article 24.3.b), quan aquestes deficiències suposin vulnerabilitats a incidents amb efectes pertorbadors significatius sobre un o més serveis essencials o importants, i l’entitat no hagi atès els requeriments dictats per l’autoritat nacional competent amb anterioritat a la producció de l’incident.
L’incompliment reiterat de l’obligació de notificar incidents amb efectes pertorbadors significatius en el servei d’acord amb el previst a l’article 15. Es considera que és reiterat a partir del segon incompliment.
No adoptar les mesures necessàries per resoldre els incidents conformement a l’assenyalat a l’article 14 quan aquests tinguin un efecte pertorbador significatiu en la prestació de serveis essencials o de serveis importants al Principat d’Andorra o en altres països.
Són infraccions greus:
L’incompliment de la resta d’obligacions que aquesta Llei estableix per a les entitats essencials o importants, que no siguin qualificades com a infraccions molt greus ni lleus de conformitat amb l’establert en aquest article. Queden exemptes les entitats essencials i importants que no disposin d’un establiment al Principat d’Andorra, en tant l’ANC-AD no les hagi notificat la seva condició d’entitat essencial o important per al Principat d’Andorra i les obligacions que els hi són d’aplicació d’acord amb aquesta Llei.
L’incompliment de les disposicions reglamentàries o de les instruccions tècniques de seguretat dictades per l’autoritat nacional competent que correspongui sobre les precaucions mínimes que les entitats essencials o importants han d’adoptar per garantir la seguretat de les infraestructures crítiques, les xarxes i els sistemes d’informació necessaris per prestar els dits serveis.
Són infraccions lleus:
L’incompliment de les disposicions reglamentàries o de les instruccions tècniques de seguretat dictades per l’autoritat nacional competent a l’empara d’aquesta Llei, quan no suposi una infracció greu.
No completar la informació que ha de reunir la notificació d’incidents tenint en compte el que es disposa a l’article 15.1, o, si escau, no remetre l’informe justificatiu sobre la impossibilitat de reunir la informació prevista en el dit article.
Article 35. Infraccions que comporten una violació de la seguretat de les dades personals
Quan l’autoritat nacional competent que correspongui tingui indicis que l’incompliment de les obligacions establertes en aquesta Llei, comès per una entitat essencial o important, comporta una violació de la seguretat de les dades personals, i que, per tant, hagi de notificar-se segons el que es disposa a l’article 27.3, ha d’informar a l’APDA, en un termini de temps raonable.
Si l’APDA decideix exercir les seves facultats i imposar una multa administrativa, l’ANC-AD no ha d’imposar una multa administrativa per la mateixa infracció. No obstant això, l’autoritat nacional competent que correspongui pot aplicar les mesures o facultats previstes als apartats 3 (llevat del punt 3.j) i 4 de l’article 23 i als apartats 3 (llevat del punt 3.j) i 4 de l’article 24.
Article 36. Sancions
Per la comissió de les infraccions tipificades a l’article 34, seguint els principis d’efectivitat, proporcionalitat i dissuasió, s’imposen les següents sancions, que són aplicables amb independència que l’entitat infractora sigui o no una entitat de l’administració pública:
Per la comissió d’infraccions molt greus, multa administrativa de 30.001 euros fins a 100.000 euros.
Per la comissió d’infraccions greus, multa administrativa de 15.001 euros fins a 30.000 euros.
Per la comissió d’infraccions lleus, amonestació o multa administrativa de 500 euros fins a 15.000 euros.
Aquestes multes s’han d’imposar atenent les circumstàncies de cada cas individual, a títol addicional o substitutiu de les mesures que hagin d’adoptar-se perquè cessin o es corregeixin els efectes de la infracció. Per a la decisió sobre la imposició de multes administratives i la seva quantia, s’han de tenir en compte, en cada cas particular i com a mínim, els elements previstos a l’article 37.
Addicionalment, es poden imposar multes coercitives per obligar una entitat essencial o important a posar fi a una infracció de conformitat amb una decisió prèvia de l’ANC-AD.
L’import recaptat en aplicació de les sancions previstes en aquesta Llei es destina a finançar el pressupost propi de l’ANC-AD.
Article 37. Graduació de les sancions
L’autoritat que disposa de la potestat sancionadora ha de graduar les sancions previstes en aquest Títol atesos els següents criteris:
El grau de culpabilitat o l’existència d’intencionalitat.
La continuïtat o persistència en la conducta infractora.
La naturalesa i quantia dels danys i perjudicis causats.
La reincidència, per comissió en l’últim any de més d’una infracció de la mateixa naturalesa, quan així s’hagi declarat per resolució ferma en via administrativa.
El nombre d’usuaris afectats.
El volum de facturació de l’entitat infractora.
La utilització per l’entitat infractora de programes de recompensa pel descobriment de vulnerabilitats en les infraestructures crítiques, les xarxes i els sistemes d’informació, siguin propis o de tercers, que resultin necessaris per prestar els seus serveis.
Les accions realitzades per l’entitat infractora per pal·liar els efectes o les conseqüències de la infracció.
Article 38. Proporcionalitat de les sancions
L’autoritat que disposa de la potestat sancionadora pot graduar la quantia de la sanció aplicant l’escala relativa a la classe d’infraccions anterior en gravetat a aquella en què s’integra la infracció considerada en el cas de què es tracti quan concorrin els següents supòsits:
Quan s’apreciï una qualificada disminució de la culpabilitat de l’entitat infractora conseqüència de la concurrència significativa de diversos dels criteris enunciats a l’article 37.
Quan l’entitat infractora hagi regularitzat la situació irregular de manera diligent.
Quan l’entitat infractora hagi reconegut espontàniament la seva culpabilitat.
Atesa la naturalesa dels fets i la concurrència significativa dels supòsits indicats en l’apartat anterior, l’autoritat que disposa de la potestat sancionadora pot no acordar l’inici del procediment sancionador, procedint, en el seu lloc, a advertir a l’entitat infractora perquè, en el termini que l’autoritat que disposa de la potestat sancionadora determini, acrediti l’adopció de les mesures correctores que, en cada cas, resultin pertinents, sempre que concorrin els següents pressupòsits:
Que els fets siguin constitutius d’infracció lleu o greu conforme al que es disposa en aquesta Llei.
Que no s’hagi sancionat o advertit a l’entitat infractora en els dos anys previs per la comissió d’infraccions previstes en aquesta Llei.
En cas que l’advertiment no s’atengui en el termini que l’autoritat determini, es procedirà a l’obertura del corresponent procediment sancionador per raó d’aquest incompliment.
Article 39. Concurrència d’infraccions
No procedeix la imposició de sancions segons el que es preveu en aquesta Llei quan els fets constitutius de la infracció ho siguin també d’una altra tipificada en la normativa sectorial a la qual estigui subjecte el prestador del servei i existeixi identitat del bé jurídic protegit.
En cas que, a conseqüència d’una actuació sancionadora, es tingui coneixement de fets que puguin ser constitutius d’infraccions tipificades en altres lleis, s’informa dels mateixos als òrgans o organismes competents per a la seva supervisió i sanció.
Article 40. Prescripció de les infraccions
Les infraccions prescriuen en els terminis següents:
Les lleus, al cap d’un any.
Les greus, al cap de dos anys.
Les molt greus, al cap de tres anys.
L’inici d’una activitat inspectora suspèn el termini de prescripció de les infraccions.
El termini de prescripció de les infraccions es computa des del dia en què cessa l’acció o l’omissió sancionable.
Article 41. Prescripció de les sancions
Les sancions per infraccions lleus prescriuen en el termini d’un any, les greus en el termini de dos anys i les molt greus en el termini de tres anys, a comptar de la data de notificació de la resolució sancionadora esdevinguda ferma.
Disposició addicional. Encomana al Govern
S’encomana al Govern que, en el termini màxim de divuit mesos a comptar de l’entrada en vigor d’aquesta Llei, avaluï la conveniència de constituir o no una entitat amb personalitat jurídica pròpia que assumeixi funcions diverses en matèria de digitalització, o relacionades amb aquesta matèria, incloent-hi l’Agència Nacional de Ciberseguretat del Principat d’Andorra (ANC-AD) i l’equip de referència de resposta del Principat d’Andorra per al tractament d’incidents de ciberseguretat (CSIRT-AD).
Disposició final primera. Modificació de la Llei 31/2021, del 22 de novembre, de text consolidat qualificada de seguretat pública
S’addiciona un apartat 3 a l’article 3 de la Llei 31/2021, del 22 de novembre, de text consolidat qualificada de seguretat pública, modificada per la Llei 4/2022, del 31 de gener, del pressupost per a l’exercici del 2022, el qual queda redactat com segueix:
“Article 3. Deure de col·laboració
[…]
De la mateixa manera, amb la mateixa finalitat, les autoritats i els funcionaris competents poden requerir l’ajuda i la col·laboració de l’Agència de Nacional de Ciberseguretat del Principat d’Andorra, així com la d’altres agències o organismes de control nacionals o d’altres estats amb potestats similars sobre àmbits i sectors concrets.”
Es modifica l’article 27 de la Llei 31/2021, del 22 de novembre, de text consolidat qualificada de seguretat pública, modificada per la Llei 4/2022, del 31 de gener, del pressupost per a l’exercici del 2022, el qual queda redactat com segueix:
“Article 27. Establiments i instal·lacions vulnerables
Les armeries, les joieries, les entitats bancàries, les empreses de seguretat o de venda de material de seguretat, o qualsevol altre establiment o instal·lació que es pugui considerar especialment vulnerable o exposat en matèria de seguretat, incloses les entitats essencials o importants considerades com a tals en virtut de l’establert a la legislació vigent en cada moment en matèria de seguretat de les xarxes i dels sistemes d’informació, han de disposar de les mesures de protecció que s’estableixin per la via reglamentària, per prevenir la comissió d’actes delictius contra aquests establiments o instal·lacions i les persones que hi treballen o s’hi troben, o per evitar que generin riscos pel que fa a aquestes persones o terceres persones.”
Disposició final segona. Desenvolupament reglamentari
S’autoritza el Govern per dictar les disposicions reglamentàries necessàries per desplegar i aplicar aquesta Llei.
Disposició final tercera. Text consolidat
S’encomana al Govern, en els termes previstos a l’article 116 del Reglament del Consell General, que en el termini màxim de sis mesos des de l’entrada en vigor d’aquesta Llei presenti al Consell General el projecte de text consolidat de la Llei 31/2021, del 22 de novembre, de text consolidat qualificada de seguretat pública.
Disposició final quarta. Entrada en vigor
Aquesta Llei entra en vigor l’endemà de ser publicada al Butlletí Oficial del Principat d’Andorra.
No obstant l’establert en l’apartat anterior, el capítol tercer del Títol III i el Títol IV, entren en vigor en el termini de dos anys a comptar de l’entrada en vigor d’aquesta Llei.
Casa de la Vall, 9 de juny del 2022
Roser Suñé Pascuet / Síndica General
Nosaltres els coprínceps la sancionem i promulguem i n’ordenem la publicació en el Butlletí Oficial del Principat d’Andorra.
Joan Enric Vives Sicília Emmanuel Macron / Bisbe d’Urgell President de la República Francesa / Copríncep d’Andorra Copríncep d’Andorra
Annex I. Entitats essencials
| Sector | Subsector | Tipus d’entitats |
|---|---|---|
| 1. Energia | a) Infraestructures energètiques | Infraestructures energètiques de fonts renovables a les quals es refereix el Decret del 16-05-2018 d’aprovació i publicació del Pla sectorial d‘infraestructures energètiques d’Andorra. |
| Infraestructures de producció de calor centralitzades a les quals es refereix el Decret del 16-05-2018 d’aprovació i publicació del Pla sectorial d‘infraestructures energètiques d’Andorra. | ||
| Infraestructures de transport i transformació d’energia elèctrica a les quals es refereix el Decret del 16-05-2018 d’aprovació i publicació del Pla sectorial d‘infraestructures energètiques d’Andorra. | ||
| Infraestructures de distribució d’energia tèrmica a les quals es refereix el Decret del 16-05-2018 d’aprovació i publicació del Pla sectorial d‘infraestructures energètiques d’Andorra. | ||
| b) Electricitat | Entitat encarregada de la importació, generació, distribució i comercialització d’energia elèctrica d’acord amb la Llei 5-2016, del 10 de març, que regula l’ens públic Forces Elèctriques d’Andorra (FEDA) i el règim de les activitats dels sectors elèctric, del fred i de la calor. | |
| Empreses productores i distribuïdores d’electricitat. | ||
| Participants del mercat elèctric que proporcionin emmagatzematge de l’energia, agregació o resposta de demanda. | ||
| c) Carburants | Operadors d’instal·lacions de producció, refinació, processament, emmagatzematge i/o transport de petroli en virtut del Decret d’aprovació del Reglament d’emmagatzematge, subministrament, distribució i ús de hidrocarburants, del 28 de febrer del 2018. | |
| d) Gas | Empreses de subministrament, distribució, transmissió i/o sistemes d’emmagatzematge en virtut de la Llei d’ordenació del sector dels gasos combustibles de 22-6-2000 del Decret d’aprovació del Reglament d’emmagatzematge, subministrament, distribució i ús de gasos combustibles i les seves respectives modificacions. | |
| e) Calefacció urbana | Entitat encarregada de la importació, generació, distribució i/o comercialització de calefacció urbana. | |
| f) Hidrogen | Entitat de producció d’hidrogen, emmagatzematge i/o transmissió. | |
| 2. Transport | a) Transports terrestres | Responsables de les companyies de transports terrestres i/o llicències d’acord amb la Llei 4/2015, del 15 de gener, dels transports per carretera. |
| Autoritats públiques responsables de la planificació, el control o la gestió del trànsit. | ||
| Operadors de sistemes de transport intel·ligents. | ||
| Prestadors de serveis del transport sanitari d’acord amb el Decret 74/2021, del 10 de març del 2021. | ||
| b) Transports ferroviaris | Administradors d’infraestructures ferroviàries | |
| c) Transports aeris | Operadors competents de transport d’aeronaus d’acord amb el Decret del 24-02-2016 pel qual s’aprova el Reglament d’aeronaus no tripulades, pilotades remotament i especialment, aquells que tenen una finalitat pública i/o comercial. | |
| Autoritat encarregada de regular, controlar, ordenar i verificar les activitats relatives a l’aviació civil dins de les fronteres del Principat d’Andorra. | ||
| 3. Entitats financeres | Entitats financeres referides en la Llei 7/2013, del 9 de maig, sobre el règim jurídic de les entitats operatives del sistema financer andorrà i altres disposicions que regulen l’exercici de les activitats financeres al Principat d’Andorra i en la Llei 35/2010, del 3 de juny, de règim d’autorització per la creació de noves entitats operatives del sistema financer andorrà. | |
| 4. Mercats financers | Entitats operatives del sistema financer que, segons la normativa vigent en cada moment, estiguin autoritzades per actuar al Principat d’Andorra i donin compliment als requisits legals establerts | |
| 5. Sanitat | Establiments d’atenció sanitària1 | Proveïdors de serveis de salut en el sentit exposat en el Decret legislatiu del 30-5-2018 de publicació del text refós de la Llei 6/2014, del 24 d’abril, de serveis socials i sociosanitaris. |
| Laboratoris de referència, entitats que realitzen activitats de recerca i desenvolupament de medicaments, entitats que fabriquen productes farmacèutics de base i especialitats farmacèutiques, entitats que fabriquen productes sanitaris que es consideren essencials en situacions d’emergència de salut pública («la llista de productes sanitaris essencials es pot definir o modificar durant l’emergència de salut pública»). | ||
| 6. Aigua | a) Aigües potables | Encarregats de la captació, el tractament, la distribució i el subministrament d’aigua destinada al consum humà en el sentit de la Llei de policia i protecció de les aigües. |
| b) Aigües residuals | Empreses de recollida, disposició o tractament urbà, domèstic i industrial d’aigües residuals. | |
| Estacions depuradores d’aigües residuals previstes en el Decret del 25-2-2009 d’aprovació del procediment simplificat d’autorització d’abocaments d’aigües i d’obertura d’estacions depuradores d’aigües residuals. | ||
| c) Aigües superficials | L’Administració encarregada del manteniment de l’estat natural de les aigües superficials, establint un règim de protecció i de control de les aigües previst en la Llei de policia i protecció de les aigües. | |
| 7. Infraestructures digitals | - Proveïdors de serveis de DNS; / - Registres de noms de domini de nivell superior; / - Proveïdors de punts d’intercanvi d’Internet; / - Proveïdors de serveis de computació al núvol; / - Proveïdors de serveis de centres de dades; / - Proveïdores de xarxes de distribució de continguts; / - Proveïdors de serveis de confiança d’acord amb la Llei 9/2021, del 29 d’abril, de modificació de la Llei 35/2014, del 27 de novembre, de serveis de confiança electrònica; / - Proveïdors de xarxes públiques de comunicacions electròniques i proveïdors de serveis de comunicacions electròniques. | |
| 8. Administració pública | Entitats de les administracions públiques del govern central. | |
| Entitats de les administracions públiques dels comuns o altres nivells organitzatius. |
1 Incloent-hi centres d’atenció primària, centres sociosanitaris, serveis socials, hospitals i clíniques privades.
Annex II. Entitats importants
| Sector | Subsector | Tipus d’entitats |
|---|---|---|
| 1. Gestió de residus | a) Gestors | Gestors autoritzats a realitzar operacions de gestió de residus, tant si són productores de residus com si no ho són, previstos en la Llei 25/2004, del 14 de desembre de residus. |
| b) Centre de transferència | Centres encarregats de condicionar i emmagatzemar transitòriament els residus abans de ser valoritzats o exportats, previstos en la Llei 25/2004, del 14 de desembre de residus. | |
| c) Deixalleria | Centres de deixalleria comunals o industrials, previstos en la Llei 25/2004, del 14 de desembre de residus. | |
| d) Centre de valorització | Centre de valorització destinat exclusivament a la recuperació total o parcial de residus per al seu aprofitament posterior, previst en la Llei 25/2004, del 14 de desembre de residus. | |
| e) Centre de triatge | Centre destinat a l’emmagatzematge, la classificació, la selecció i/o el condicionament de residus, hagin o no estat separats prèviament en el mateix lloc on s’han generat, amb la finalitat de valorització posterior, previst en la Llei 25/2004, del 14 de desembre de residus. | |
| f) Centre de transferència | Centre de transferència que condicionen i emmagatzemen transitòriament els residus abans de ser valoritzats o exportats, previst en la Llei 25/2004, del 14 de desembre de residus. | |
| g) Instal·lació de tractament tèrmic | Unitats tècniques o equips, fixes o mobilitats, dedicades al tractament tèrmic de residus, amb o sense recuperació de la calor originada per la combustió; l’emplaçament i la instal·lació completa, incloses totes les línies d’incineració, les instal·lacions de recepció, emmagatzematge i pretractament in situ dels residus; els sistemes d’alimentació de residus, combustible i aire; la caldera; les instal·lacions de tractament dels gasos de combustió; les instal·lacions de tractament in situ dels residus de la incineració i de les aigües residuals; la xemeneia; així com els dispositius i sistemes de control de les operacions d’incineració, de registre i de seguiment de les condicions d’incineració, previstos en la Llei 25/2004, del 14 de desembre de residus. | |
| h) Abocador | Entitat gestora de les instal·lacions d’eliminació dels residus mitjançant el seu dipòsit controlat en la superfície o sota terra, prevista en la Llei 25/2004, del 14 de desembre de residus. | |
| 2. Correus i missatgeria | Proveïdors de serveis postals i de missatgeria. | |
| 3. Fabricació, producció, distribució i comercialització de productes químics | Entitats encarregades de la fabricació de productes químics bàsics, compostos nitrogenats, fertilitzants, plàstics i cautxú sintètic en formes primàries | |
| Entitats encarregades de la fabricació de plaguicides i altres productes agroquímics. | ||
| Entitats encarregades de la fabricació d’altres productes químics com els explosius, coles, olis essencials. | ||
| Intermediaris del comerç de combustibles, minerals, metalls i productes químics industrials. | ||
| Comerç a l’engròs de productes químics. | ||
| 4. Producció d’aliments, processament i distribució | Empresa pública o privada que, amb o sense ànim de lucre, dugui a terme qualsevol activitat relacionada en qualsevol de les etapes de la producció, la transformació i la distribució d’aliments. | |
| 5. Fabricació | a) Fabricació de productes sanitaris, de diagnòstic i de de diagnòstic in vitro | Entitats dedicades a la fabricació de productes sanitaris, entenent com a tals tots aquells instruments, dispositius, equips, programes informàtics, implants, reactius, materials o altres articles destinats pel fabricant a ser utilitzats en persones, per separat o en combinació, amb algun dels següents fins mèdics: / - Diagnòstic, prevenció, seguiment, predicció, pronòstic, tractament o alleujament d’una malaltia. / - Diagnòstic, seguiment, tractament, alleujament o compensació d’una lesió o d’una discapacitat. / - Recerca, substitució o modificació de l’anatomia o d’un procés o estat fisiològic o patològic. / - Obtenció d’informació mitjançant l’examen in vitro de mostres procedents del cos humà, incloent donacions d’òrgans, sang i teixits, i que no exerceix la seva acció principal prevista a l’interior o en la superfície del cos humà per mecanismes farmacològics, immunològics ni metabòlics, però a la funció dels quals puguin contribuir tals mecanismes. / També s’inclouen les entitats dedicades a la fabricació de productes sanitaris per a diagnòstic in vitro, entenent com a tals aquells productes que, sense ser en si mateix un producte sanitari, estan destinats pel seu fabricant a ser usats de manera conjunta amb un o diversos d’aquests productes, per a permetre específicament que el producte o productes sanitaris pugui utilitzar-se conformement a la seva finalitat prevista o per a contribuir específica i directament a la funcionalitat mèdica dels productes sanitaris a l’efecte de la seva finalitat prevista. / S’exclouen les entitats essencials dedicades a la prestació de serveis de salut en el sentit exposat en el Decret legislatiu del 30-5-2018 de publicació del text refós de la Llei 6/2014, del 24 d’abril, de serveis socials i sociosanitaris assenyalades en l’Annex I. |
| b) Fabricació de productes informàtics, electrònics i dispositius òptics | Entitats dedicades a la fabricació d’ordinadors, perifèrics d’ordinador, equips de comunicació i productes electrònics, així com la fabricació de components per a aquests productes. / S’entenen també incloses les entitats dedicades a la fabricació de productes electrònics de consum, equips de mesurament, prova i navegació, equips d’irradiació, electromèdics i electroterapèutics instruments i equips òptics, i la fabricació de mitjans magnètics i òptics. | |
| c) Fabricació d’equipament elèctric | Entitats dedicades a la fabricació de productes que generen, distribueixen i utilitzen energia elèctrica així com les dedicades a l’enllumenat elèctric, a la fabricació d’equips de senyalització o d’electrodomèstics. / S’exclouen les entitats dedicades a la fabricació de productes informàtics, electrònics i dispositius òptics contingudes en l’Annex II b. | |
| d) Fabricació de maquinària i equipament que actua de manera independent sobre materials | Entitats dedicades a la fabricació de màquines i equips que actuen de manera independent sobre els materials, ja sigui mecànica o tèrmicament, o que realitzen operacions sobre els materials (com la manipulació, la polvorització, el pesatge o l’envasament), inclosos els components mecànics que produeixen i apliquen força, així com qualsevol peça primària fabricada especialment per a aquests fins. / Així mateix, s’inclouen les entitats dedicades a la fabricació de dispositius fixos i mòbils o de mà, independentment que estiguin dissenyats per a un ús industrial, de construcció i d’enginyeria civil, agrícola o domèstic. i l’enginyeria civil, l’agricultura o la llar i les entitats dedicades a la fabricació d’equips especials per al transport de persones o mercaderies. / També s’inclouen les entitats dedicades a la fabricació d’altres màquines d’ús especial, utilitzades o no en un procés de fabricació, com els equips d’atraccions de fira, els equips automàtics de pista de bitlles de bitlles, etc. / S’exclouen les entitats dedicades a la fabricació de productes metàl·lics d’ús general, de dispositius de control associats, d’equips informàtics, d’equips de mesurament i assaig, dels aparells de distribució i control d’electricitat i de vehicles de motor d’ús general. | |
| e) Fabricació de vehicles de motor, tràilers y semi-tràilers | Entitats dedicades a la fabricació de vehicles de motor per al transport de passatgers o de mercaderies, incloent la fabricació de les seves peces i accessoris, així com la fabricació de remolcs i semiremolcs. / S’exclouen el manteniment i la reparació d’aquests vehicles. | |
| f) Fabricació d’altres materials de transport | Entitats dedicades a la fabricació d’equips de transport, com la construcció de vaixells i la fabricació de material rodant ferroviari i locomotores, naus aèries i espacials, així com la fabricació de les seves peces. | |
| 6. Proveïdors de serveis digitals | - Proveïdors de mercats en línia / - Proveïdors de motors de cerca en línia / - Proveïdors de plataformes de serveis de xarxes socials |
La consulta d'aquest document no substitueix la lectura del Butlletí Oficial del Principat d'Andorra (BOPA) corresponent. No assumim cap responsabilitat per eventuals inexactituds derivades de la transcripció de l'original a aquest format.
Aquest text es publica sota les condicions de reutilització pròpies de BOPA, no sota una llicència de Legalize ni de domini públic.
BOPA
Domini públic — els textos oficials estan exclosos de la protecció del dret d'autor (art. 4.2 de la Llei sobre drets d'autor i drets veïns, 1999)
Font: Butlletí Oficial del Principat d'Andorra (BOPA) — Govern del Principat d'Andorra i Consell General (https://www.bopa.ad/). Els textos oficials estan exclosos de la protecció del dret d'autor segons l'article 4.2 de la Llei sobre drets d'autor i drets veïns (1999). Aquest repositori és un mirall no oficial; el BOPA continua sent l'única font autèntica de la legislació andorrana.