Ley 7/2023, de 23 de febrero, de medidas para la implantación y desarrollo en Aragón de tecnologías en la nube (tecnologías cloud)

En nombre del Rey y como Presidente de la Comunidad Autónoma de Aragón, promulgo esta Ley, aprobada por las Cortes de Aragón, y ordeno su publicación en el «Boletín Oficial de Aragón» y en el «Boletín Oficial del Estado», todo ello de conformidad con lo dispuesto en el artículo 45 del Estatuto de Autonomía de Aragón.

EXPOSICIÓN DE MOTIVOS

I

Corresponde a la Comunidad Autónoma de Aragón, de acuerdo con el artículo 71.41.ª de su Estatuto de Autonomía la competencia exclusiva en materia de investigación, desarrollo e innovación tecnológica, que comprende, en todo caso, el fomento y desarrollo de las tecnologías para la sociedad de la información. También es titular la Comunidad Autónoma, de conformidad con el artículo 71.1.ª, 5.ª, 7.ª y 32.ª, de competencias exclusivas sobre funcionamiento de sus instituciones de autogobierno, en materia de régimen local, sobre el procedimiento administrativo derivado de las especialidades de la organización propia y sobre planificación de la actividad económica y fomento del desarrollo económico de la Comunidad Autónoma.

Asimismo, de conformidad con el artículo 75.5.ª y 12.ª del Estatuto de Autonomía, la Comunidad Autónoma tiene la competencia compartida de desarrollo legislativo y ejecución de la legislación básica del Estado, en materia de protección de datos de carácter personal y de régimen jurídico de contratación de la Administración pública de la Comunidad Autónoma.

También el Estatuto de Autonomía recoge dentro de los principios rectores de las políticas públicas, en su artículo 28.1 y 2, que los poderes públicos aragoneses fomentarán el desarrollo y la innovación tecnológica y técnica de calidad, y promoverán las condiciones para garantizar en el territorio de Aragón el acceso sin discriminaciones a las tecnologías de la información y la comunicación.

Los antedichos títulos competenciales son sustento suficiente para aprobar esta ley, cuyo núcleo consiste en instaurar medidas que favorezcan el establecimiento en Aragón del contexto preciso para favorecer la implantación y desarrollo de las tecnologías en la nube (en adelante tecnologías cloud), lo que conllevará la determinación y aplicación de una Políticacloud propia del sector público autonómico, conteniendo esta norma medidas que fomentan las tecnologías cloud sin fijar limitaciones en la actuación de los operadores y de las Administraciones públicas.

Por otro lado, la Ley 5/2021, de 29 de junio, de Organización y Régimen Jurídico del Sector Público Autonómico de Aragón, ha incorporado novedades especialmente relevantes en el ámbito del funcionamiento electrónico del sector público y acoge en su articulado los principios de origen tecnológico que han de pasar a formar parte de la lógica administrativa, como la neutralidad tecnológica o la interoperabilidad de los sistemas de información. Estos principios son de gran importancia a la hora de prestar servicios digitales de administración electrónica de acuerdo a los estándares esperados por los usuarios.

II

El conocimiento tecnológico y la innovación son una palanca fundamental para el crecimiento económico, siendo una de las apuestas de la Comunidad Autónoma de Aragón el impulso de las nuevas tecnologías relacionadas con la computación o informática en la nube, las tecnologías cloud, por su potencial transformador.

Las tecnologías cloud suponen uno de los mayores avances tecnológicos, sociales y económicos de los últimos años, como elemento habilitador y democratizador del acceso a la innovación y a las tecnologías de la información más avanzadas. La denominada «tecnología en la nube» ha supuesto una verdadera revolución dentro del concepto de la informática tradicional. No se trata de una «innovación incremental», sino de una palanca transformadora en sí misma, que ha democratizado el acceso a tecnología puntera y al uso eficiente y creativo de los recursos que ofrece Internet. Una tecnología que resulta especialmente interesante para quienes no pueden disponer de un servicio tecnológico propio o en picos puntuales de uso.

Las tecnologías cloudpermiten ofrecer servicios de computación a través de Internet, siendo su característica más destacada la facilidad de acceso a nuevas tecnologías que pueden ser rápidamente utilizadas en soluciones personalizadas. La computación en la nube se está convirtiendo en el estilo de diseño dominante para nuevas aplicaciones y la adecuación de una gran cantidad de aplicaciones ya existentes, facilitando y flexibilizando los despliegues, tanto de las infraestructuras como de las herramientas y los componentes para el desarrollo ágil de aplicaciones y servicios. El uso de la computación en la nube elimina las dependencias del hardware, además de facilitar, flexibilizar y agilizar todas las operaciones relacionadas con la infraestructura, permitiendo una homogeneización de los diseños y las soluciones, el pago por uso y la escalabilidad, así como potenciando la resiliencia de las soluciones desplegadas en este tipo de tecnología.

Las potencialidades que ofrece el cloudson enormes, por lo que desde el poder público se considera necesario orientar una estrategia al respecto, marcando una serie de pautas para generar un marco que favorezca su implantación y desarrollo, creando una Política cloudpropia del Gobierno de Aragón que permitirá su implantación en el sector público autonómico, así como configurando el contexto necesario para potenciar la adopción de las tecnologías cloud tanto en las entidades locales aragonesas, si así lo consideran, como en el sector privado, para lo que se aprobarán los instrumentos que procedan, comenzando por esta ley.

Así pues, la apuesta por el impulso de las nuevas tecnologías relacionadas con el cloudha de hacer posible aprovechar en los procesos de digitalización este modelo de servicio de las tecnologías informáticas que permite el acceso ubicuo, conveniente y bajo demanda de un conjunto compartido de recursos informáticos de alta calidad e innovación, configurables, que pueden ser rápidamente aprovisionados y liberados con un mínimo esfuerzo de gestión o interacción del prestador del servicio, garantizando la interoperabilidad.

Además, esta ley aspira a convertir a Aragón en una Comunidad Autónoma de tecnologías digitales verdes, creando un ecosistema de negocio digital alrededor de las tecnologías en la nube sostenible y de bajo impacto medioambiental, así como permitiendo al sector público mejorar su eficiencia energética, operar de manera más sostenible y reducir su propia huella de carbono.

Sin embargo, no ha de olvidarse que las tecnologías cloudpueden plantear algunas dudas sobre su ejercicio. En particular, se esgrimen tres inconvenientes principales: la necesidad de garantizar un alto nivel de seguridad y de privacidad; los problemas que se derivan cuando, por incidencias inesperadas, no se dispone de acceso a Internet, en cuyo caso no hay opción de acudir al cloud,y, finalmente, la posible incompatibilidad de algunas infraestructuras del usuario con las del prestador del servicio. Estas objeciones no pueden considerarse determinantes para cuestionar el uso de esta tecnología, en cuanto sus efectos pueden minimizarse teniendo en cuenta, en primer lugar, que el hecho de que la computación en la nube sea una red distribuida también facilita que los usuarios se recuperen rápidamente de eventuales incidencias de seguridad; en segundo lugar, cada vez más proveedores de servicios en cloudofrecen las máximas garantías de conexión, y en tercer lugar, respecto a la compatibilidad de sistemas, siempre cabe acudir a utilizar una cloudhíbrida, que permite solventar la mayoría de inconvenientes de compatibilidad. Por tanto, los inconvenientes que pudiera plantear el trabajar en esta tecnología no son determinantes para descartar su uso, siendo en su mayoría manejables y predecibles, por lo que teniendo en cuenta los grandes beneficios para los operadores que supone el trabajar con las tecnologías cloud,aquellos no hacen discutible una decidida apuesta por este sistema. En cualquier caso, la regulación que se contiene en esta ley tiene en cuenta los riesgos o inconvenientes indicados para minimizar la posibilidad de que se presenten.

La ley también incluye medidas para evitar mercados cautivos de una solución tecnológica o proveedor concreto y contempla el reto de la soberanía digital.

En este contexto, la presente ley y la estrategia del Gobierno de Aragón para el desarrollo de la Comunidad Autónoma persiguen impulsar este tipo de soluciones y, al mismo tiempo, propiciar la aparición de iniciativas empresariales por parte del sector privado que puedan favorecer y permitir el acceso a esta tecnología desde nuestro territorio, con las ventajas que la implantación de este tipo de proyectos supondrá, tanto para el desarrollo del tejido empresarial, como para la mejora de las oportunidades formativas y laborales. El desarrollo de ambas palancas favorecerá la promoción de un ecosistema empresarial innovador que permita la coexistencia de propuestas variadas y heterogéneas de soluciones cloud.

Además, esta ley responde a la ejecución de las medidas incluidas en la propia Estrategia Aragonesa para la Recuperación Social y Económica suscrita en junio de 2020. La Estrategia recoge un conjunto de medidas con las mejores soluciones a la crisis sanitaria y socioeconómica que se está sufriendo en Aragón como consecuencia de la COVID-19, incluyendo dos directamente relacionadas con las tecnologías y servicios cloud dentro de las propuestas de recuperación en economía productiva, en el epígrafe 3.4, correspondiente a Innovación y Digitalización: impulsar las tecnologías en la nube con especial énfasis en su aplicación a la industria para el desarrollo de nuevos productos con aplicación en diferentes ámbitos, como el sanitario, educativo o informático; e impulsar el desarrollo de la industria relacionada con los servicioscloudy su aplicación en los ámbitos educativo, cultural, de investigación, empresarial, sanitario, industrial, entre otros.

Es por todo ello que desde el Gobierno de Aragón se considera necesario impulsar medidas que favorezcan el desarrollo de las tecnologías cloud.

III

Para conseguir el objetivo de alcanzar una máxima implantación y desarrollo de las tecnologías clouden Aragón, algunas de las medidas que esta ley contiene no solo se aplicarán a la Administración de la Comunidad Autónoma de Aragón y al sector público institucional, sino que también pueden ser de utilidad para las entidades locales aragonesas si así lo consideran, para lo que dispondrán del apoyo y asesoramiento de la Administración de la Comunidad Autónoma de Aragón, y otras medidas se ponen a disposición del sector privado con el fin de que empresas y operadores se sientan atraídos por el uso de las tecnologías cloudy consideren que lo hacen en un entorno dotado de un máximo nivel de seguridad y fiabilidad.

La presente ley se aplicará a la totalidad del sector público autonómico, sin perjuicio de que en determinados ámbitos de la misma se establezcan reglas específicas respecto al ámbito de aplicación y a la necesidad de adoptar instrumentos voluntarios para que sea aplicable a determinados sujetos.

Una de las medidas a adoptar es la aprobación por acuerdo del Gobierno de Aragón de la Políticaclouda aplicar en el sector público autonómico en los términos definidos en el articulado de esta ley. Dicha política constituirá el instrumento que, con carácter genérico, definirá los modos y tiempos para la puesta en marcha de las tecnologías cloud, determinando el tipo de estrategia clouda aplicar, su implantación en los diversos ámbitos de la Administración y las fases para su realización, los órganos responsables para su aplicación, seguimiento y evaluación, previendo las modificaciones organizativas que han de aplicarse para ello, así como las medidas de difusión.

La importancia de la existencia de una Política cloudes innegable. Por ello, deberá partirse de un buen diagnóstico de los medios actualmente existentes en la organización, el volumen de datos que maneja y su uso en el tiempo, su accesibilidad y distribución, para disponer de la información precisa para definir bien el modelo a aplicar, la adecuada gestión y optimización de los recursos disponibles, y las unidades que han de ocuparse de ello, resultando esencial definir bien las responsabilidades y evitar un exceso de centros de decisión. Así mismo, una parte importante del acuerdo sobre la Política cloudserá establecer los mecanismos necesarios para que los instrumentos a emplear sean conocidos por el personal, disponiendo de un inventario de servicios clouddel sector público autonómico y difundiendo su existencia y modo de empleo, garantizando que este se realice de forma homogénea.

Por otra parte, debe destacarse que en una organización para desarrollar su políticacloudes importante la homogeneización tecnológica de sus infraestructuras, usando en toda la organización componentes comunes debidamente actualizados. Respecto al desarrollo de las aplicaciones informáticas, es esencial su portabilidad, independizándolas de la infraestructura y permitiendo, por tanto, una enorme agilidad en el despliegue de los servicios, optimizando también el valor de los servicios entregados a la ciudadanía en términos de calidad. Conforme a ello y con el fin de garantizar que la planificación, soluciones y modelos que se apliquen sean homogéneos, se prevé la aprobación por el Gobierno de Aragón de un Plan de adaptación de las infraestructuras informáticas y de Directrices sobre la implantación y desarrollo de las aplicaciones para el cloud,así como de una Directriz sobre Política del dato que tendrá como objetivos, entre otros, la identificación de los datos susceptibles de ser compartidos y su nivel de accesibilidad.

Estos instrumentos de planificación se regulan en el capítulo II, que tiene por objeto las medidas de planificación e impulso de la aplicación y desarrollo de las tecnologías cloud, y los mismos se ponen a disposición del resto de las Administraciones públicas aragonesas.

IV

Una de las medidas fundamentales que recoge esta ley es la implantación del certificado de homologación de cloudpública-SCCA (Solución Cloud Certificada de Aragón). Este certificado se expedirá mediante resolución de Aragonesa de Servicios Telemáticos a solicitud de las entidades interesadas que presten servicios de tecnologías cloudy previa la tramitación del necesario procedimiento. Los proveedores de servicios de cloudque obtengan el certificado serán inscritos en el Registro electrónico de proveedores de Solución Cloud Certificada de Aragón, que será de acceso público, y emplearán en sus instrumentos de comunicación y documentación la marca asociada a la Solución Cloud Certificada de Aragón titularidad de la Comunidad Autónoma de Aragón.

Uno de los objetivos de este sistema de certificación es contar con una lista de prestadores de servicios de cloudrespecto a los que haya quedado previamente acreditado que cumplen con los máximos niveles de seguridad de la información almacenada y en tránsito, que disponen de un alto sistema de análisis y gestión de los riesgos, que tienen las infraestructuras idóneas que aseguren minimizar el eventual impacto de incidentes de seguridad o que puedan comprometer la continuidad en la prestación del servicio, que cumplen con las disposiciones aplicables en materia de protección de datos y que cuentan con los mecanismos y dispositivos que permitan un máximo nivel de portabilidad e interoperabilidad de los datos y de los sistemas.

En este sentido, y con la vocación de impulsar un sólido tejido productivo, se articula también un certificado para empresas que ofrecen y desarrollan soluciones en el entorno cloud o servicios de integración de tecnología cloud.

Las relacionadas exigencias técnicas para la obtención del certificado no se crean ex novopor esta ley, sino que son un conjunto de características que ya están previstas en el ordenamiento jurídico.

De este modo las personas potencialmente usuarias de los servicios de cloud, tanto del sector público como del sector privado, podrán disponer de una lista de máxima confianza de entidades que tengan por objeto la prestación de servicios decloud.

En definitiva, la citada certificación, la marca asociada a la identificación de la misma y su inscripción en el Registro electrónico de proveedores de Solución Cloud Certificada de Aragón, aspectos todos ellos regulados en el capítulo III, va a ser un instrumento que hará posible que incluso el sector privado y otras administraciones puedan identificar, sin mayor esfuerzo, a aquellas entidades que la administración autonómica ha comprobado, a petición de las mismas, que cumplen con los máximos estándares para prestar esos servicios, sin perjuicio de que cada sujeto pueda escoger libremente entre que los servicios decloudse los presten las entidades que hayan obtenido este certificado o bien acudir a otras.

V

La ley también recoge en su capítulo IV diversas referencias respecto a la contratación del sector público autonómico con las que se pretende alcanzar una homogeneidad en las características de los bienes y servicios a emplear respecto a lastecnologías cloud,una racionalización y simplificación en su contratación, así como en la búsqueda y desarrollo de soluciones innovadoras. De este modo, se recogen previsiones con las que se pretende favorecer que se acuda a mecanismos ya previstos en la legislación de contratos del sector público, con el objetivo de utilizar sistemas de racionalización de la contratación que permitan optimizar recursos y extender las nuevas tecnologías por el territorio.

También se prevé en esta ley la posibilidad de adhesión a los sistemas de contratación que se definan para los servicios de tecnologías cloudpor parte de las sociedades y fundaciones y los restantes entes, organismos y entidades del sector público autonómico, así como por parte de las entidades locales aragonesas y sus organismos autónomos y entes dependientes de ellas, u otras administraciones locales aragonesas, mediante la formalización de los correspondientes convenios con el Gobierno de Aragón.

Otro de los instrumentos que se prevé poner a disposición del sector privado y del resto de Administraciones públicas es facilitar la definición técnica de soluciones para el impulso de las políticas de utilización de las tecnologías clouddentro de sus organizaciones, mediante la elaboración de pliegos de prescripciones técnicas generales para su utilización en las licitaciones, guías, recomendaciones, cláusulas tipo, o documentos similares que puedan ser empleados por las personas usuarias y tenerlos como referencia a la hora de determinar el contenido de los contratos que suscriban en la materia.

VI