Protección de infraestructuras críticas y ciberseguridad: Ley 8/2011, CNPIC y Estrategia Nacional
La protección de infraestructuras críticas es un tema recurrente en las oposiciones a Escala Básica del CNP. Concentra preguntas sobre definiciones legales, agentes del sistema, plazos de los distintos planes y la estructura de ciberseguridad nacional. Dominar las diferencias entre los conceptos de infraestructura estratégica, crítica y crítica europea, así como las funciones de cada órgano del sistema, marca la diferencia en el examen.
La Ley 8/2011: objeto y ámbito de aplicación
La Ley 8/2011, de 28 de abril, establece las estrategias y estructuras que permiten dirigir y coordinar las actuaciones de las Administraciones Públicas en materia de protección de infraestructuras críticas (PIC). Su objetivo es mejorar la prevención, preparación y respuesta frente a atentados terroristas u otras amenazas.
Se aplica a las infraestructuras críticas ubicadas en territorio nacional vinculadas a los sectores estratégicos definidos en su Anexo (Administración, Energía, Transporte, Salud, TIC, Agua, Alimentación, Industria Nuclear, Industria Química, Sistema Financiero, Espacio e Instalaciones de Investigación).
Quedan excluidas las infraestructuras dependientes del Ministerio de Defensa y de las Fuerzas y Cuerpos de Seguridad, que se rigen por su propia normativa.
Definiciones clave de la Ley PIC
- Servicio esencial: el necesario para mantener funciones sociales básicas, la salud, la seguridad, el bienestar socioeconómico o el funcionamiento de las instituciones del Estado.
- Infraestructura estratégica: instalaciones, redes, sistemas y equipos físicos y de TI sobre los que descansan los servicios esenciales.
- Infraestructura crítica: aquella infraestructura estratégica que cumple uno o más criterios horizontales de criticidad.
- Infraestructura crítica europea: la situada en un Estado miembro de la UE cuya perturbación afectaría gravemente al menos a dos Estados miembros (Directiva 2008/114/CE).
- Operador crítico: entidad u organismo responsable del funcionamiento diario de una instalación designada como infraestructura crítica.
Los criterios horizontales de criticidad evalúan: número de personas afectadas, impacto económico, impacto medioambiental e impacto público y social.
El Sistema de Protección de Infraestructuras Críticas: agentes
El sistema se compone de nueve tipos de agentes, tanto públicos como privados:
La Secretaría de Estado de Seguridad (SES) dirige el sistema. Aprueba todos los planes excepto los Planes Estratégicos Sectoriales, declara los niveles de seguridad y preside la Comisión Nacional PIC.
El Centro Nacional de Protección de Infraestructuras Críticas (CNPIC) depende orgánicamente de la SES. Impulsa, coordina y supervisa las actividades del sistema. Determina la criticidad de las infraestructuras, mantiene el Catálogo actualizado y actúa como punto nacional de contacto con la Comisión Europea. Se estructura en tres unidades: Seguridad Física, Seguridad Lógica y Normativa y Coordinación. Integra la Oficina de Coordinación de Ciberseguridad (OCC).
La Comisión Nacional para la Protección de las Infraestructuras Críticas es un órgano colegiado adscrito a la SES, presidido por el Secretario de Estado de Seguridad. Aprueba los Planes Estratégicos Sectoriales y designa a los operadores críticos. Se reúne al menos una vez al año.
El Grupo de Trabajo Interdepartamental elabora los Planes Estratégicos Sectoriales y propone a la Comisión la designación de operadores críticos. Lo preside el director del CNPIC y se reúne al menos dos veces al año.
Instrumentos de planificación del sistema PIC
El sistema articula cinco planes con distintos responsables y plazos de revisión:
Plan Nacional de Protección de IC: elaborado por la SES, establece criterios y niveles de seguridad coordinados con el Plan de Prevención y Protección Antiterrorista. Se revisa cada cinco años.
Planes Estratégicos Sectoriales: elaborados por el Grupo de Trabajo, aprobados por la Comisión en un máximo de doce meses. Se revisan cada dos años.
Planes de Seguridad del Operador (PSO): cada operador crítico lo elabora en seis meses desde su designación y lo presenta al CNPIC. Define las políticas generales de seguridad del operador. Se revisa cada dos años.
Planes de Protección Específicos (PPE): uno por cada infraestructura crítica, en cuatro meses desde la aprobación del PSO. Contienen las medidas concretas de seguridad integral (física y lógica). Se revisan cada dos años.
Planes de Apoyo Operativo (PAO): elaborados por el cuerpo policial competente en cuatro meses desde la aprobación del PPE correspondiente. Recogen medidas de vigilancia, prevención, protección y reacción de las FCS y, en su caso, Fuerzas Armadas. Son siempre complementarios a los PPE. Validados y aprobados por la SES a través del CNPIC. Se revisan cada dos años.
El Catálogo Nacional de Infraestructuras Estratégicas
El Catálogo Nacional de Infraestructuras Estratégicas es un registro administrativo con información completa y actualizada de todas las infraestructuras estratégicas del territorio nacional, incluidas las críticas y las críticas europeas. Tiene calificación de SECRETO por Acuerdo del Consejo de Ministros de 2 de noviembre de 2007.
Su custodia, gestión y mantenimiento corresponde al Ministerio del Interior a través de la SES. El CNPIC realiza el proceso de identificación de una infraestructura como crítica. Los datos se actualizan con periodicidad anual.
Responsable de Seguridad y Enlace
En el plazo de tres meses desde la designación como operador crítico, este nombra un Responsable de Seguridad y Enlace, que debe contar con habilitación de Director de Seguridad del Ministerio del Interior. Representa al operador ante la SES.
Delegado de Seguridad de la infraestructura crítica
También en tres meses desde la identificación de una infraestructura como crítica, el operador comunica la identidad de un Delegado de Seguridad para dicha infraestructura. Constituye el enlace operativo con las autoridades competentes sobre la seguridad concreta de la instalación.
Ciberseguridad: Estrategia Nacional y estructura orgánica
La Estrategia de Ciberseguridad Nacional 2019 se estructura en cinco capítulos y establece cuatro principios rectores: liderazgo nacional y coordinación de esfuerzos, responsabilidad compartida, proporcionalidad, racionalidad y eficacia, y cooperación internacional.
La estructura de ciberseguridad, bajo la dirección del Presidente del Gobierno, se compone de: el Consejo de Seguridad Nacional (Comisión Delegada del Gobierno para la Seguridad Nacional), el Consejo Nacional de Ciberseguridad, la Comisión Permanente de Ciberseguridad, el Foro Nacional de Ciberseguridad, el Comité de Situación y los CSIRT de referencia.
Las autoridades competentes en seguridad de redes varían según el sujeto: para operadores críticos actúa la SES a través del CNPIC; para proveedores de servicios digitales, la Secretaría de Estado de Digitalización e Inteligencia Artificial; para operadores y proveedores del sector público no críticos, el Centro Criptológico Nacional (CCN), adscrito al CNI.
El Consejo de Seguridad Nacional
Creado por el Real Decreto 385/2013, el Consejo de Seguridad Nacional asiste al Presidente del Gobierno en la dirección de la política de Seguridad Nacional. Se reúne con carácter bimestral como mínimo. Cuando el Rey asiste, lo preside. Informará al Rey al menos una vez al año, a propuesta del Presidente.
El CETSE: Centro Tecnológico de Seguridad
El Centro Tecnológico de Seguridad (CETSE) es la sede del CNPIC y de la Subdirección General de Sistemas de Información y Comunicaciones para la Seguridad (SGSICS). Coordina, desarrolla e implanta bases de datos y sistemas de comunicaciones de uso conjunto por Policía Nacional y Guardia Civil.
Así te lo pueden preguntar
¿Qué diferencia existe entre infraestructura estratégica, infraestructura crítica e infraestructura crítica europea?
La infraestructura estratégica es toda instalación, red o sistema sobre el que descansan los servicios esenciales. La infraestructura crítica es aquella estratégica que además cumple uno o más criterios horizontales de criticidad. La infraestructura crítica europea es una infraestructura crítica situada en un Estado miembro cuya perturbación afectaría gravemente al menos a dos Estados miembros de la UE.
¿Cada cuánto se revisa el Plan Nacional de Protección de IC y cada cuánto los Planes Estratégicos Sectoriales?
El Plan Nacional se revisa cada cinco años por la SES. Los Planes Estratégicos Sectoriales se revisan cada dos años por los ministerios y organismos del sistema. Ambos plazos se preguntan con frecuencia de forma cruzada para confundir al opositor.
¿Quién aprueba los Planes Estratégicos Sectoriales y quién los elabora?
Los elabora el Grupo de Trabajo Interdepartamental (presidido por el director del CNPIC) y los aprueba la Comisión Nacional para la Protección de las Infraestructuras Críticas. La SES no aprueba estos planes, a diferencia de todos los demás del sistema.
¿En qué plazo debe un operador crítico designar al Responsable de Seguridad y Enlace y qué requisito profesional debe cumplir?
En tres meses desde la notificación de su designación como operador crítico. Debe contar con la habilitación de Director de Seguridad expedida por el Ministerio del Interior conforme a la normativa de seguridad privada, o habilitación equivalente según su normativa específica.
Explora temas relacionados
Empieza ya con Algor
Transforma tus materiales en recorridos de aprendizaje estructurados, visuales y personalizados.
.svg)
