Artículo 15. Análisis de riesgos, evaluación de impacto en la protección de datos y gestión de los riesgos de seguridad de la información.
1. Cuando la información contenga datos personales se llevará a cabo, de forma periódica y al menos cada dos años, y, en cualquier caso, con carácter previo a un nuevo tratamiento y siempre que exista un cambio significativo en los sistemas de información y/o en los tratamientos de datos personales, un análisis de riesgos que permita identificar y gestionar los riesgos minimizándolos hasta los niveles que puedan considerarse aceptables.
2. La gestión de riesgos de seguridad de la información debe realizarse de manera continua sobre el sistema de información, conforme a los principios de gestión de la seguridad basada en los riesgos y en la reevaluación periódica.
El responsable de seguridad de la información es la persona encargada de recomendar un marco de directrices básicas para armonizar los criterios a seguir para la valoración de riesgos.
El responsable de la Información y el responsable del servicio son los encargados de la gestión de los riesgos sobre la información y sobre los servicios, respectivamente, siendo responsables de su seguimiento y control, sin perjuicio de la posibilidad de delegar esta tarea.
Texto oficial de Orden UNI/1231/2021, de 5 de noviembre, por la que se aprueba la política de seguridad de la información en el ámbito de la administración electrónica y de protección de datos y se crea la Comisión Ministerial de Administración Digital del Ministerio de Universidades (BOE-A-2021-18486). No constituye asesoramiento jurídico. Consulta la versión consolidada en boe.es.
