Axencia Estatal Boletín Oficial do Estado

Suscrito el 9 de julio de 2026 el Convenio entre el Instituto Nacional de Técnica Aeroespacial «Esteban Terradas» (INTA) y S2 Grupo Soluciones de Seguridad, SLU (S2Grupo) para la colaboración en proyectos y realización de auditorías en el ámbito de la ciberseguridad y la ciberdefensa, en cumplimiento de lo dispuesto en el artículo 48.8 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, procede la publicación en el «Boletín Oficial del Estado» de dicho convenio, que figura como anexo de esta resolución.

Madrid, 14 de julio de 2026.–El Secretario General Técnico, P. S. (Real Decreto 205/2024, de 27 de febrero), el Vicesecretario General Técnico, Mario Lanz Raggio.

ANEXO

Convenio entre el Instituto Nacional de Técnica Aeroespacial «Esteban Terradas» (INTA) y S2 Grupo Soluciones de Seguridad, SLU (S2Grupo), para la colaboración en proyectos y realización de auditorias en el ámbito de la ciberseguridad y la ciberdefensa

En Torrejón de Ardoz, a 9 de julio de 2026.

REUNIDOS

De una parte, don Enrique Campo Loarte, Director General del Instituto Nacional de Técnica Aeroespacial «Esteban Terradas» (INTA), cargo por el que fue nombrado por Real Decreto 735/2025, de 26 de agosto, actuando en nombre y representación del citado Instituto, con domicilio en carretera de Ajalvir, km 4,5, 28850, Torrejón de Ardoz, Madrid, conforme a lo dispuesto en el artículo 16 del Real Decreto 925/2015, de 16 de octubre, por el que se aprueba el Estatuto del INTA.

De otra parte, don Rafael Rosell Tejada, en su condición de Apoderado de la mercantil S2 Grupo Soluciones de Seguridad, SLU, cargo para el que fue nombrado mediante escritura otorgada ante el notario de Valencia, don Víctor Manuel Noguera Marí, el día 23 de abril de 2023, con el número 493 de su protocolo, y con domicilio social en la calle Luis Merelo y Mas, n.º 6, 46023 Valencia, inscrita en el Registro Mercantil de Valencia y provista de NIF B96863444, en lo sucesivo, «S2Grupo».

Ambas partes, en la representación que ostentan, se reconocen mutua capacidad para obligarse y convenir y

EXPONEN

Primero.

Que el Instituto Nacional de Técnica Aeroespacial «Esteban Terradas» («INTA»), Organismo Público de Investigación de acuerdo con lo dispuesto en la Ley 14/2011, de 1 de junio, de la Ciencia, la Tecnología y la Innovación, es un Organismo Autónomo, adscrito al Ministerio de Defensa, a través de la Secretaría de Estado de Defensa, de los previstos en el artículo 84.1.a).1.º, de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, especializado en la investigación y desarrollo tecnológico, de carácter dual, en los ámbitos aeroespacial, hidrodinámica, y de las tecnologías de la defensa y seguridad, que tiene las funciones señaladas en el artículo 7.2 de su Estatuto, aprobado por Real Decreto 925/2015, de 16 de octubre.

Segundo.

Que S2Grupo es una empresa española especializada en ciberseguridad y ciberdefensa, con un fuerte enfoque en la innovación y la tecnología propia. Fundada en 1999, se ha consolidado como un referente nacional en el sector y con una sólida reputación en Europa y Latinoamérica, ofreciendo una amplia gama de servicios que incluyen consultoría de seguridad, auditorías técnicas, inteligencia de ciberamenazas, protección de infraestructuras críticas (OT/ICS) y formación especializada, así como productos y tecnologías propias. Su modelo de negocio se basa en el desarrollo de soluciones avanzadas y la prestación de servicios gestionados de ciberseguridad a clientes tanto del ámbito público como privado. Entre sus clientes figuran numerosas empresas del IBEX-35, Ministerios y organismos como el CCN-CERT y el MCCE.

Tercero.

Que es de interés para dichas entidades estrechar las relaciones entre ambas con el objeto de colaborar para el mejor cumplimiento de los fines para las que fueron creadas.

En virtud de las consideraciones anteriormente señaladas, las partes están interesadas en suscribir el presente convenio, que se regirá por las siguientes

CLÁUSULAS

Primera. Objeto.

Este convenio tiene por objeto establecer las condiciones de colaboración entre el INTA y S2Grupo para la realización de proyectos de I+D+i en el ámbito de la ciberseguridad y la futura formación de un consorcio con el que poder optar a subvenciones públicas.

Segunda. Aportaciones de las partes.

1. En lo relativo a realización de ensayos, el INTA e S2Grupo disponen de infraestructuras y equipamiento para la realización de ensayos y validaciones de componentes y productos de los sectores con los cuales colaboran. Ambas partes se comprometen a poner a disposición dichos medios a través de la correspondiente oferta de servicios definida para cada ensayo específico, lo cual quedará supeditado a la formalización de los correspondientes acuerdos, contratos o adendas específicas, que definirán alcance, recursos, responsabilidades y financiación.

2. Para los proyectos de I+D+i, INTA se compromete a realizar de la forma que se pacte las siguientes actividades:

– Diseño y ejecución de investigaciones aplicadas en ciberseguridad, ciberdefensa, inteligencia artificial y simulación avanzada.

– Realización de auditorías, evaluaciones de seguridad y análisis de resiliencia en infraestructuras y sistemas críticos.

– Desarrollo y validación de tecnologías innovadoras para la protección de sistemas, redes y servicios digitales.

– Investigación en inteligencia artificial aplicada a la detección de amenazas, análisis de datos y apoyo a la toma de decisiones.

– Diseño y desarrollo de modelos de simulación, gemelos digitales y entornos virtuales para experimentación y entrenamiento.

– Creación y operación de laboratorios, testbeds y plataformas de validación tecnológica para tecnologías emergentes.

– Ejecución de proyectos piloto y demostradores tecnológicos en colaboración con organismos públicos, industria y sector defensa.

– Elaboración y coordinación de propuestas para programas nacionales e internacionales de investigación e innovación.

– Desarrollo de soluciones en las áreas de simulación, inteligencia artificial, ciberseguridad y ciberdefensa.

– Identificación y seguimiento de oportunidades de financiación en programas nacionales e internacionales y preparación de propuestas de proyectos para convocatorias nacionales o europeas (Horizon Europe, European Defence Found, etc.).

3. Para los proyectos de I+D+i, S2Grupo se compromete a realizar de la forma que se pacte las siguientes actividades:

– Planificación y ejecución de auditorías de ciberseguridad, análisis de vulnerabilidades, pruebas de intrusión y evaluaciones de cumplimiento normativo.

– Diseño e implementación de estrategias de gestión de riesgos, ciberresiliencia y respuesta ante incidentes de seguridad.

– Desarrollo de soluciones innovadoras en ciberseguridad, ciberdefensa, inteligencia artificial y automatización de procesos de seguridad.

– Investigación y aplicación de técnicas de inteligencia artificial para detección de amenazas, análisis predictivo y apoyo a operaciones SOC.

– Desarrollo de plataformas, herramientas y servicios de monitorización, detección y respuesta ante ciberamenazas.

– Diseño, despliegue y operación de entornos de experimentación, laboratorios de ciberseguridad y cyber ranges.

– Ejecución de pruebas de concepto, proyectos piloto y validación tecnológica de productos y servicios innovadores.

– Desarrollo de capacidades de simulación y entrenamiento para la evaluación de escenarios de ataque, defensa y resiliencia operativa.

– Identificación de oportunidades de financiación y preparación de propuestas para programas nacionales e internacionales de I+D+i.

– Coordinación de consorcios, gestión de proyectos de innovación y transferencia de resultados tecnológicos al mercado y a los clientes.

En cada proyecto que se proponga ya sea por iniciativa de cualquiera de las partes o en el marco de una convocatoria pública, se definirán los requisitos aplicables, propios de las partes o derivados de la convocatoria, previa aceptación expresa de las partes mediante el instrumento jurídico correspondiente.

Tercera. Financiación.

Para cada actividad específica se realizará un presupuesto por la parte ofertante o se recurrirá a convocatorias públicas para financiar las actividades en el caso de proyectos de I+D+i, que se materializarán a través del negocio jurídico que corresponda.

La ejecución de dichas actividades quedará en todo caso supeditada a la formalización de los correspondientes acuerdos, contratos o adendas específicas, que definirán alcance, recursos, responsabilidades y financiación.

En ausencia de financiación específica o acuerdo expreso, cada parte asumirá sus propios costes.

Cuarta. Medidas de control y seguimiento.

De conformidad con lo establecido en el artículo 49.f) de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, se crea una Comisión Mixta de Seguimiento del convenio.

Dicha comisión se constituirá como mecanismo de seguimiento del convenio y dentro de sus competencias estará proponer, aclarar y decidir cuantas dudas o controversias puedan plantearse en la interpretación y ejecución del presente convenio, así como velar por su ejecución y la adecuada aplicación de los medios. Sus decisiones se adoptarán por mayoría y, en caso de no obtenerse la misma, se estará a lo dispuesto en la legislación vigente.

La Comisión Mixta de Seguimiento se reunirá regularmente al menos con una periodicidad anual, o cuando lo solicite alguna de las partes, y su composición será la siguiente:

1. Por parte del INTA: el jefe del departamento TICS de la Subdirección de Sistemas Terrestres y el jefe del Área de Comunicaciones y Ciberseguridad o personas en quien ellos deleguen.

2. Por parte de S2Grupo: el Director de Investigación y Desarrollo y el Director de Defensa o personas en quienes estos deleguen.

La Presidencia de la Comisión Mixta de Seguimiento será anual y rotatoria entre ambas partes, empezando por S2Grupo. También se designará un secretario entre los asistentes que será el responsable de levantar acta de las sesiones de la Comisión Mixta de Seguimiento que se celebren.

Cada una de las partes podrá modificar la designación para esta comisión mixta mediante notificación a la otra en un plazo tres (3) días.

No tendrá consideración de modificación del convenio los cambios que se produzcan en la designación.

Quinta. Legislación aplicable y jurisdicción competente.

El presente convenio es de naturaleza jurídico-administrativa, de conformidad con lo dispuesto en el artículo 47 y siguientes de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, rigiéndose por sus propios términos y condiciones y aplicándose los principios de la citada disposición para resolver las dudas y problemas que pudieran presentarse. Además, el convenio también está amparado en el artículo 34.1.a) de la Ley 14/2011, de 1 de junio, de la Ciencia, la Tecnología y la Innovación.

Las cuestiones litigiosas que pudieran surgir entre las partes como consecuencia de la ejecución del convenio deberán solventarse por mutuo acuerdo. Si no pudiera alcanzarse dicho acuerdo, las posibles cuestiones litigiosas serán de conocimiento y competencia del orden jurisdiccional contencioso-administrativo.

Sexta. Causas de extinción del convenio.

El convenio se extingue por el cumplimiento de las actuaciones que constituyen su objeto o por incurrir en alguna de las causas de resolución establecidas en el artículo 51.2 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público.

Son causas de resolución:

a) El transcurso del plazo de vigencia del convenio sin haberse acordado la prórroga del mismo.

b) El acuerdo unánime de todas las partes.

c) El incumplimiento de las obligaciones y compromisos asumidos por parte de alguna de las partes.

En este caso, cualquiera de las partes podrá notificar a la parte incumplidora un requerimiento para que cumpla en un determinado plazo con las obligaciones o compromisos que se consideran incumplidos. Este requerimiento será comunicado al responsable del mecanismo de seguimiento, vigilancia y control de la ejecución del convenio y a la otra parte firmante.

Si transcurrido el plazo indicado en el requerimiento persistiera el incumplimiento, la parte que lo dirigió notificara a la otra parte firmante la concurrencia de la causa de resolución y se entenderá resuelto el convenio. En el seno de la Comisión Mixta de Seguimiento podrá proponerse la indemnización por los perjuicios causados.

d) Por decisión judicial declaratoria de la nulidad del convenio.

e) Por cualquier otra causa prevista en otras leyes.

La presente colaboración estará siempre supeditada a las necesidades de la Defensa Nacional, por lo que, surgida tal necesidad, el convenio quedará suspendido en tanto persista dicha necesidad o, en su caso, resuelto por parte del INTA, sin que sea preciso aviso o denuncia previa en este sentido por parte del INTA y sin derecho a reclamación la otra parte, o de concesión de indemnización o compensación a su favor.

Dadas las características del convenio, en caso de resolución por incumplimiento de las obligaciones y compromisos de las partes, éste quedará resuelto sin que ninguna de las partes pueda reclamar daños y perjuicios a la otra con motivo de la resolución, salvo dolo o negligencia grave.

No obstante lo anterior, si cuando concurra cualquiera de las causas de resolución del convenio existieran actuaciones en curso de ejecución, las partes, a propuesta de la Comisión Mixta de Seguimiento del convenio, podrán acordar la continuación y finalización de las actuaciones en curso que consideren oportunas, estableciendo un plazo improrrogable para su finalización, transcurrido el cual deberá realizarse la liquidación de las mismas.

Séptima. Modificación del convenio.

La modificación del contenido del convenio requerirá acuerdo unánime de los firmantes, de acuerdo con lo previsto en el artículo 49.g) de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, y se formalizará mediante la suscripción de la correspondiente adenda, conforme a los requisitos legalmente establecidos y previa autorización prevista en el artículo 50 de la citada ley.

Octava. Titularidad de los resultados.

La suscripción y ejecución del presente convenio no implicará, en ningún caso, la cesión, licencia o transmisión de derechos de propiedad intelectual o industrial preexistentes de ninguna de las partes, que seguirán siendo titularidad exclusiva de quien los ostente, salvo acuerdo expreso en contrario formalizado por escrito.

En cada oferta o proyecto se establecerá el régimen aplicable a los derechos de propiedad intelectual sobre los resultados, así como los derechos de uso, modificación y explotación que correspondan, pudiendo preverse, en su caso, la titularidad conjunta de tales derechos.

Novena. Vigencia.

Este convenio, con arreglo al artículo 48.8 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, se perfecciona con el consentimiento de las partes y resultará eficaz una vez inscrito, en el plazo de cinco días hábiles desde su formalización, en el Registro Electrónico estatal de Órganos e Instrumentos de Cooperación del sector público estatal (REOICO). Asimismo, será publicado en el plazo de diez días hábiles desde su formalización en el «Boletín Oficial del Estado».

Tendrá una vigencia de cinco años, de acuerdo con lo establecido en el apartado 2 del artículo 34 de la Ley 14/2011, de 1 de junio, de la Ciencia, la Tecnología y la Innovación, tras la modificación operada por el Real Decreto-ley 3/2019, de 8 de febrero, de medidas urgentes en el ámbito de la Ciencia, la Tecnología, la Innovación y la Universidad, pudiendo prorrogarse antes de su finalización por mutuo acuerdo expreso de las partes, mediante adenda de prórroga, por un periodo de hasta cinco años adicionales.

Décima. Legislación aplicable en materia de protección de datos.

Las partes se comprometen a cumplir, en los términos que sea de aplicación, lo que está establecido en el Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos, RGPD), y en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, así como en las disposiciones de desarrollo que se dicten durante la vigencia del presente convenio.

En concreto, las partes se comprometen a:

a) Comunicar a la otra parte datos personales de interesados solo en la medida en que dichos datos personales se hayan recopilado y tratado legalmente.

b) Garantizar que los interesados han sido debidamente informados de conformidad con la legislación aplicable en materia de protección de datos y que, según proceda, se ha obtenido la autorización válida de los interesados, de forma particular en relación con el tratamiento realizado por las partes a efectos del presente convenio.

c) Utilizar los datos personales solo para los fines estrictamente necesarios para cumplir el presente convenio y tal como acuerden las partes.

d) Compartir los datos personales recabados y tratados como resultado del presente convenio solo con terceros que proporcionen las mismas garantías que se definen a continuación cuando la cesión deba tener lugar conforme a la legalidad.

e) Abstenerse de transferir datos personales a terceros ubicados fuera del Espacio Económico Europeo sin obtener el consentimiento previo de la otra parte, debiendo, en su caso, tener lugar la transferencia internacional de datos conforme a la legalidad.

f) Adoptar medidas técnicas y organizativas para garantizar un nivel de protección adecuado de los datos personales tratados.

g) Eliminar los datos personales cuando dejen de ser necesarios a efectos del presente convenio o a instancias de la otra parte.

Los datos personales que se traten con motivo del presente convenio se incorporarán a los Registros de Actividades de Tratamiento de las partes intervinientes, con la finalidad de gestionar las actuaciones que se prevén en el propio convenio. Los titulares de los datos personales podrán ejercitar ante los responsables de los datos personales los derechos de acceso, rectificación, supresión y portabilidad de los datos personales, y de limitación u oposición al tratamiento.

Sobre ambas partes recaen las responsabilidades que deriven de la condición de responsables del tratamiento de datos personales. Ambas partes asumen la obligación de informar a los interesados sobre las características del tratamiento de los datos personales, y las obligaciones que se deriven de la implantación de medidas técnicas y organizativas de cada corresponsable y el mecanismo establecido en caso de violaciones de seguridad; así como el establecimiento de los oportunos mecanismos de respuesta al ejercicio de derechos por parte de los interesados.

Si cualquiera de las partes destinase o tratase los datos personales a finalidad distinta de la prevista en el presente convenio, los comunicaran o los utilizaran incumpliendo lo estipulado en el acuerdo y/o la normativa de protección de datos personales, cada uno de los antes citados responderá de las responsabilidades que deriven de los daños y perjuicios en que pueda haber incurrido, a fin de garantizar la indemnización efectiva del interesado, sin perjuicio de lo previsto en el artículo 82.5 RGPD europeo.

El acceso de una de las partes a los datos personales de la otra parte se hará en concepto de encargado de tratamiento, en los términos y condiciones previstos en el artículo 28 del RGPD.

Las garantías que, en orden a los datos personales se establecen, tendrán validez durante la vigencia del presente convenio y de sus prórrogas.

Undécima. Actividad Editorial.

Los representantes del INTA en la Comisión Mixta de Seguimiento velarán por que se dé cumplimiento a lo dispuesto en la Instrucción 1/2022, de 12 de enero, de la Subsecretaria de Defensa, que regula la actividad editorial en el ámbito del Ministerio de Defensa.

Para el uso, en su caso, de elementos de imagen institucional en publicaciones derivadas de lo establecido en el convenio, dichos representantes solicitarán previamente la conformidad de la Subdirección General de Publicaciones y Patrimonio Cultural.

Sin perjuicio de lo anterior, con carácter previo a cualquier publicación, las partes consensuarán el alcance y contenido de la misma con el fin de evitar, a modo de ejemplo, la publicación de secretos empresariales o información confidencial.

Duodécima. Imagen institucional.

Ambas partes se comprometen a lo dispuesto en la disposición adicional segunda del Real Decreto 1465/1999, de 17 de septiembre, por el que se establecen criterios de imagen institucional y se regula la producción documental y el material impreso de la Administración General del Estado, sobre la utilización de la imagen institucional en los instrumentos contractuales y convencionales.

En todo caso, nade en este convenio otorga a cualquiera de las partes derecho alguno de uso de los nombres comerciales, marcas, logos o derechos análogos de la otra parte, salvo autorización expresa y con sujeción a la normativa aplicable.

Y en prueba de conformidad de cuanto antecede, firman el presente convenio electrónicamente en el lugar indicado en el encabezamiento.–Por parte del INTA, el Director General, Enrique Campo Loarte.–Por parte de S2 Grupo Soluciones de Seguridad, su Apoderado, Rafael Rosell Tejada.