CCN-STIC 801: Esquema Nacional de Seguridad Responsabilidades y Funciones presenta un marco para definir claramente los roles y responsabilidades de las entidades públicas en materia de seguridad de la información. El estudio subraya que para asegurar que los sistemas cumplan con los requisitos del ENS y evitar conflictos de responsabilidad, es crucial entender que una distribución adecuada de funciones es esencial.

El documento distingue varios niveles organizativos y de gestión. En primer plano, figura el titular o dirección de la entidad pública, responsable último de adoptar y aprobar políticas de seguridad. A continuación, identifica roles diferenciados e indelegables: responsable de la información (define requisitos de datos), responsable del servicio (establece condiciones operativas), responsable de la seguridad (asesora y ejecuta decisiones técnicas) y responsable del sistema (gestiona la infraestructura); junto con el administrador de seguridad y, en su caso, responsables delegados y comités de seguridad.

En conjunto, el informe enfatiza la necesidad de coordinar estos roles mediante una organización de seguridad formal, alineada con la política institucional y la normativa (ENS, RGPD, NIS). La guía recomienda designar orgánicamente a las personas responsables, establecer canales claros de reporte y coordinación —incluyendo comités— y mantener actualizado el organigrama, con el objetivo de promover una gobernanza sólida y eficaz de la seguridad de la información.