← Casos · Piloto 2025–26

Orden TES/804/2026 · Artículo 16

Orden TES/804/2026, de 23 de julio, por la que se aprueba la Política de Seguridad de la Información y de los Servicios en el ámbito de la administración digital del Ministerio de Trabajo y Economía Social y se crea el Comité de Seguridad de las Tecnologías de la Información y las Comunicaciones del departamento.

Dudoso

En el BOE: Artículo 16 ↗
Norma: Orden · 23/07/2026 · Ministerio de Trabajo y Economía Social
Tipo: Obligación

Argumento de nulidad

El art. 16.2 extiende a sujetos ajenos a la organización («Estos sujetos que se relacionen con el ministerio quedarán vinculados por las obligaciones establecidas en la mencionada normativa») obligaciones nacidas de la «normativa de seguridad existente», que es interna, modificable unilateralmente y no está determinada en la propia Orden. Eso es una remisión en blanco con eficacia ad extra. El art. 129.4 LPAC exige que la atribución de potestad reglamentaria directa a los titulares de los departamentos tenga carácter excepcional y esté justificada en la ley habilitante. Ni el art. 12.3 RD 311/2022 (que solo ordena a cada ministerio aprobar su política y cuyo contenido mínimo, art. 12.1, no incluye vincular a terceros) ni la DF 2.ª RD 311/2022 (que habilita al titular del Ministerio de Asuntos Económicos y Transformación Digital, no al de Trabajo) habilitan al Ministro de Trabajo para imponer cargas a particulares. La DF 2.ª RDL 14/2019 es una habilitación genérica sin justificación específica, y su objeto (desarrollo de ese real decreto-ley) no cubre obviamente la regulación de la posición de contratistas en una política de seguridad. La DA 1.ª.2 LOPDGDD solo ampara la aplicación de las medidas del ENS en servicios prestados mediante concesión, encomienda o contrato y en relación con datos personales. No alcanza a toda la «normativa de seguridad» ministerial, ni a quienes reciben información cedida sin relación contractual (el precepto habla de quien «ceda información a terceros»), ni a la obligación de formar al personal ajeno. Hay además una contradicción interna: el preámbulo justifica la omisión de consulta, audiencia e información públicas porque es «una norma organizativa» que «no impone cargas administrativas». Si el art. 16.2 sí produce efectos ad extra, esa premisa falla y cabría alegar omisión de audiencia (art. 133 LPAC y art. 26.6 Ley 50/1997), causa de nulidad que la jurisprudencia aprecia con rigor. El apartado 1 plantea un problema menor: el Ministerio «definirá y aprobará» unilateralmente procedimientos de reacción ante incidentes «en relación con otros organismos», lo que puede invadir competencias ajenas (arts. 8 y 3 LRJSP, cooperación y coordinación). Matiz importante: la ausencia de sanción que apunta el triaje no es por sí misma causa de nulidad. Al contrario, reduce el riesgo de vulneración del art. 25 CE y solo refuerza la tesis de que el precepto es vacío o declarativo.

Texto legal clave

Art. 129.4 Ley 39/2015: «La atribución directa a los titulares de los departamentos ministeriales [...] tendrá carácter excepcional y deberá justificarse en la ley habilitante.» / Art. 16.2 de la Orden: «Estos sujetos que se relacionen con el ministerio quedarán vinculados por las obligaciones establecidas en la mencionada normativa». / Contra: DA 1.ª.2 LOPDGDD: «las medidas de seguridad se corresponderán con las de la Administración pública de origen y se ajustarán al Esquema Nacional de Seguridad».

Mejor defensa de la validez

Lectura conforme: el art. 16 es en lo esencial una norma de autoorganización. Los apartados 1 y 3 solo vinculan al propio Ministerio (hará partícipes, definirá canales, exigirá informe del responsable de seguridad), y el 4 se limita a remitir a la normativa de protección de datos, por lo que es meramente declarativo. Esa parte es el contenido natural de una política de seguridad ministerial, que el art. 12.3 RD 311/2022 manda aprobar a «la persona titular del Departamento».
El «quedarán vinculados» del apartado 2 puede entenderse como una consecuencia que opera a través del título jurídico que ya une al tercero con el Ministerio (contrato, pliegos, convenio, encomienda), y no como una obligación creada ope legis. Con esa lectura la Orden no innova en la esfera de los particulares. Los sujetos solo quedan obligados en la medida en que lo estén por contrato o por ley.
Hay cobertura legal expresa para vincular a los prestadores externos al ENS. La DA 1.ª.2 LOPDGDD (rango de ley orgánica) dice: «En los casos en los que un tercero preste un servicio en régimen de concesión, encomienda de gestión o contrato, las medidas de seguridad se corresponderán con las de la Administración pública de origen y se ajustarán al Esquema Nacional de Seguridad». Además, el art. 13.5 RD 311/2022 ya impone a la organización prestataria de servicios externalizados designar un POC de seguridad. Y, aunque no está en el texto aportado, el art. 2.2 RD 311/2022 extiende el ENS a los sistemas del sector privado que presten servicios al sector público.
El apartado 2 reconoce a los terceros la facultad de «desarrollar sus propios procedimientos operativos», lo que es una flexibilidad y no una carga. No tipifica infracciones ni establece sanciones. La ausencia de consecuencia propia desactiva la objeción de reserva de ley sancionadora (art. 25 CE), porque el incumplimiento solo puede tener las consecuencias que ya prevean el contrato o la ley (penalidades, resolución).
El Ministro tiene potestad reglamentaria en las materias propias de su departamento (art. 4.1.b Ley 50/1997, no incluido en el texto aportado). Además, la DF 2.ª RDL 14/2019 habilita expresamente a «las personas titulares de los departamentos ministeriales, en el ámbito de sus competencias» a dictar disposiciones de desarrollo y ejecución en materia de administración digital. La orden contó con la aprobación previa del Ministro para la Transformación Digital y con informe de la AEPD y de la Abogacía del Estado.
Los tribunales suelen preferir la interpretación conforme y la anulación parcial a la nulidad total. Una cláusula de este tipo es habitual en las políticas de seguridad de la AGE, y su efecto práctico es limitado porque se canaliza por vía contractual.

Quién podría usarlo

Un contratista o proveedor TIC (nube, outsourcing) al que el Ministerio o un organismo adscrito imponga penalidades, resolución contractual o un requerimiento por incumplir normas internas de seguridad ajenas al contrato, o que sea excluido de una licitación por no aceptar esa «normativa», podría impugnar ese acto de aplicación y atacar indirectamente el art. 16.2 (art. 26 LJCA). La vía directa (dos meses desde la publicación en el BOE, con agosto inhábil) puede estar agotada o a punto de agotarse. El resultado más realista de un éxito sería la anulación parcial de la fórmula «quedarán vinculados» o su interpretación conforme (solo vinculación contractual), no la nulidad del artículo entero.

Pendiente de comprobar

Art. 2.2 RD 311/2022 (aplicación del ENS a sistemas del sector privado que presten servicios al sector público) y Anexo II, medidas de servicios externos (op.ext), porque pueden cubrir casi todo el art. 16.2 y reducir mucho la probabilidad de nulidad.
Art. 128.2 LPAC (los reglamentos no pueden establecer cargas o prestaciones de carácter público salvo previsión legal), art. 4.1.b y art. 26.6 Ley 50/1997 (potestad reglamentaria ministerial y audiencia), y art. 133.4 LPAC (excepción de normas organizativas de la AGE), ninguno incluido en el texto aportado.
Jurisprudencia del TS sobre disposiciones «organizativas» con eficacia ad extra y sobre la omisión de audiencia como causa de nulidad. Hay que comprobar también si, por tratarse de un reglamento ejecutivo, era preceptivo el dictamen del Consejo de Estado, que el preámbulo no menciona.
Contenido y versión vigente en la fecha de la Orden de la DF 2.ª RDL 14/2019, y si esa habilitación genérica a los ministros se ha interpretado judicialmente como suficiente para disposiciones con efectos sobre terceros.
Fecha exacta de publicación de la Orden en el BOE y cómputo del plazo de dos meses del art. 46 LJCA (agosto inhábil) para determinar si el recurso directo sigue abierto.
Qué es la «normativa de seguridad existente» a la que remite el art. 16.2 (instrucciones, procedimientos), si es pública y si se incorpora a pliegos y contratos.
Práctica contractual real del Ministerio y de sus organismos adscritos: si las cláusulas de seguridad figuran en los pliegos, porque entonces la vinculación nace del contrato y la objeción pierde fuerza.