BOLETÍN OFICIAL DEL ESTADO Núm. 264 Miércoles 4 de noviembre de 2015 l) m) n) o) Dos. Sec. I. Pág. 104248 Registro de actividad. Incidentes de seguridad. Continuidad de la actividad. Mejora continua del proceso de seguridad.» El apartado 3 del artículo 15 queda redactado como sigue: «3. Las Administraciones públicas exigirán, de manera objetiva y no discriminatoria, que las organizaciones que les presten servicios de seguridad cuenten con profesionales cualificados y con unos niveles idóneos de gestión y madurez en los servicios prestados.» Tres. Se modifica el artículo 18, cuyo título pasa a ser «Adquisición de productos de seguridad y contratación de servicios de seguridad» y sus apartados 1 y 4 quedan redactados como sigue: «1. En la adquisición de productos de seguridad de las tecnologías de la información y comunicaciones que vayan a ser empleados por las Administraciones públicas se utilizarán, de forma proporcionada a la categoría del sistema y nivel de seguridad determinados, aquellos que tengan certificada la funcionalidad de seguridad relacionada con el objeto de su adquisición, salvo en aquellos casos en que las exigencias de proporcionalidad en cuanto a los riesgos asumidos no lo justifiquen a juicio del responsable de Seguridad.» «4. Para la contratación de servicios de seguridad se estará a lo dispuesto en los apartados anteriores y en el artículo 15.» Cuatro. El apartado a) del artículo 19 queda redactado como sigue: «a) El sistema proporcionará la mínima funcionalidad requerida para que la organización alcance sus objetivos.» Cinco. El apartado 2 del artículo 24 queda redactado como sigue: «2. Se dispondrá de procedimientos de gestión de incidentes de seguridad y de debilidades detectadas en los elementos del sistema de información. Estos procedimientos cubrirán los mecanismos de detección, los criterios de clasificación, los procedimientos de análisis y resolución, así como los cauces de comunicación a las partes interesadas y el registro de las actuaciones. Este registro se empleará para la mejora continua de la seguridad del sistema.» Se añaden dos nuevos apartados 4 y 5 al artículo 27 redactados como sigue: «4. La relación de medidas seleccionadas del Anexo II se formalizará en un documento denominado Declaración de Aplicabilidad, firmado por el responsable de seguridad. 5. Las medidas de seguridad referenciadas en el Anexo II podrán ser reemplazadas por otras compensatorias siempre y cuando se justifique documentalmente que protegen igual o mejor el riesgo sobre los activos (Anexo I) y se satisfacen los principios básicos y los requisitos mínimos previstos en los capítulos II y III del real decreto. Como parte integral de la Declaración de Aplicabilidad se indicará de forma detallada la correspondencia entre las medidas compensatorias implantadas y las medidas del Anexo II que compensan y el conjunto será objeto de la aprobación formal por parte del responsable de seguridad.» Siete. Se modifica el artículo 29, cuyo título pasa a ser «Instrucciones técnicas de seguridad y guías de seguridad» y queda redactado como sigue: «1. Para el mejor cumplimiento de lo establecido en el Esquema Nacional de Seguridad, el Centro Criptológico Nacional, en el ejercicio de sus competencias, cve: BOE-A-2015-11881 Verificable en http://www.boe.es Seis.