Código internacional para la protección de los buques y de las instalaciones portuarias (Código PBIP / ISPS)

Los atentados del 11 de septiembre de 2001 en Estados Unidos pusieron de manifiesto la vulnerabilidad del transporte marítimo ante amenazas de naturaleza terrorista. La Organización Marítima Internacional (OMI), organismo especializado de las Naciones Unidas con sede en Londres, reaccionó convocando una Conferencia Diplomática que se celebró en diciembre de 2002. En esa conferencia se adoptaron enmiendas al Convenio SOLAS (Convenio Internacional para la Seguridad de la Vida Humana en el Mar, de 1974) y se aprobó el Código Internacional para la Protección de los Buques y de las Instalaciones Portuarias, conocido por sus siglas en español como Código PBIP y en inglés como ISPS Code (International Ship and Port Facility Security Code).

El Código PBIP entró en vigor el 1 de julio de 2004, siendo de aplicación obligatoria para los Estados parte del Convenio SOLAS. Su desarrollo normativo quedó integrado como enmienda al Capítulo XI-2 de SOLAS, que es el capítulo específicamente dedicado a las medidas especiales para incrementar la protección marítima. España, como Estado miembro de la Unión Europea, lo incorporó también a través del Reglamento (CE) n.º 725/2004 del Parlamento Europeo y del Consejo, reforzando su aplicación en el ámbito comunitario.

El instrumento surge, por tanto, de la confluencia entre el derecho marítimo internacional (SOLAS/OMI) y las políticas de seguridad nacional e internacional, con el objetivo de crear un marco de cooperación entre gobiernos, autoridades portuarias y sector naviero para detectar y neutralizar amenazas antes de que se materialicen.

Datos clave

• Adoptado: Conferencia Diplomática OMI, diciembre de 2002.
• Entrada en vigor: 1 de julio de 2004.
• Base jurídica internacional: Capítulo XI-2 del Convenio SOLAS 1974.
• Base jurídica UE: Reglamento (CE) n.º 725/2004.
• Organismo impulsor: OMI (Organización Marítima Internacional), con sede en Londres.
• Siglas: PBIP (español) / ISPS Code (inglés).

El Código PBIP persigue tres grandes objetivos: establecer un marco internacional de cooperación para detectar y evaluar amenazas a la protección marítima; definir las funciones y responsabilidades de los distintos actores implicados (gobiernos, armadores, explotadores de instalaciones portuarias y personal embarcado); y garantizar el intercambio oportuno de información sobre protección entre los Estados contratantes.

En cuanto al ámbito de aplicación, el Código se dirige a dos tipos de entidades: los buques y las instalaciones portuarias que los atienden. Respecto a los buques, se aplica a los de pasaje (incluidos los de pasaje de gran velocidad) que realicen viajes internacionales, a los buques de carga de arqueo bruto igual o superior a 500 GT en viajes internacionales y a las unidades móviles de perforación mar adentro. Quedan excluidos los buques de guerra, embarcaciones de pesca, embarcaciones de recreo y, en general, los que no realicen viajes internacionales.

Por lo que se refiere a las instalaciones portuarias, el Código PBIP se aplica a aquellas que prestan servicio a los buques incluidos en el ámbito anterior cuando realicen viajes internacionales. Esto significa que no toda la instalación portuaria queda sujeta al Código, sino únicamente la parte o las partes que interactúan con buques en tráfico internacional. En el caso del Puerto de Bilbao, las terminales que reciben cruceros, ferries internacionales y buques de carga en líneas internacionales se encuentran plenamente sujetas al Código PBIP.

Datos clave

• Buques de pasaje en viajes internacionales: incluidos.
• Buques de carga >= 500 GT en viajes internacionales: incluidos.
• Unidades móviles de perforación mar adentro: incluidas.
• Buques de guerra y pesca: excluidos.
• Instalaciones portuarias: solo las que sirven a buques en tráfico internacional.
• Criterio clave: viaje internacional (entre puertos de distintos Estados).

El Código PBIP se articula en dos partes bien diferenciadas que responden a distinto carácter normativo. La Parte A contiene los requisitos obligatorios que todos los Estados contratantes del Convenio SOLAS deben cumplir. En ella se regulan las responsabilidades de los gobiernos contratantes, las obligaciones de las compañías navieras, los requisitos de los buques y los deberes de las instalaciones portuarias, así como el sistema de certificación y verificación de la conformidad.

La Parte B, en cambio, ofrece orientaciones y recomendaciones sobre la manera en que pueden cumplirse los requisitos de la Parte A. Aunque formalmente no es vinculante en el plano internacional, muchos Estados —entre ellos los de la Unión Europea— han optado por incorporar las disposiciones de la Parte B con carácter obligatorio en su derecho interno. El Reglamento (CE) n.º 725/2004 así lo hizo para los Estados miembros de la UE, de manera que en el ámbito europeo la distinción entre ambas partes pierde en la práctica su relevancia.

Esta estructura de dos niveles responde a la lógica habitual de los instrumentos de la OMI: la Parte A fija el "qué" (qué debe hacerse) y la Parte B explica el "cómo" (de qué manera puede llevarse a la práctica). Permite a los Estados cierta flexibilidad en la implementación sin renunciar a la uniformidad en los estándares mínimos de protección exigidos a nivel internacional.

Datos clave

• Parte A: obligatoria para todos los Estados contratantes de SOLAS.
• Parte B: recomendaciones; obligatoria en la UE por el Reglamento (CE) n.º 725/2004.
• Estructura OMI habitual: Parte A = "qué"; Parte B = "cómo".
• La UE equipara ambas partes en obligatoriedad.
• La certificación de buques y la aprobación de planes son requisitos de la Parte A.

El Código PBIP establece un sistema de tres niveles de protección marítima que permite graduar las medidas adoptadas en función de la amenaza existente en cada momento. Este sistema es aplicable tanto a los buques como a las instalaciones portuarias y facilita la coordinación entre unos y otros cuando operan conjuntamente.

El Nivel 1 es el nivel normal, que se aplica en circunstancias ordinarias cuando no existe una amenaza específica identificada. En este nivel se mantienen siempre las medidas mínimas de protección previstas en el Plan de Protección: controles de acceso habituales, vigilancia general y supervisión de operaciones de carga y pasaje. Es el nivel de funcionamiento cotidiano de cualquier instalación portuaria o buque sujeto al Código.

El Nivel 2 es el nivel reforzado, que se activa cuando existe un mayor riesgo de que se produzca un incidente de protección, aunque la amenaza no sea todavía específica o concreta. Implica la adopción de medidas adicionales de protección durante un periodo determinado, como la intensificación de controles de acceso, la ampliación de zonas vigiladas o la restricción de ciertas operaciones. El Nivel 3 es el nivel excepcional, que se aplica cuando existe una amenaza específica, creíble e inminente contra un buque o una instalación portuaria. En este nivel se adoptan medidas extraordinarias de protección que pueden incluir la suspensión de operaciones o el cierre de accesos. En España, la fijación del nivel de protección corresponde a las autoridades gubernativas competentes en materia de seguridad del Estado.

Datos clave

• Nivel 1 (normal): amenaza no específica; medidas mínimas permanentes.
• Nivel 2 (reforzado): riesgo elevado pero no concreto; medidas adicionales temporales.
• Nivel 3 (excepcional): amenaza específica e inminente; medidas extraordinarias.
• La fijación del nivel corresponde a las autoridades gubernativas del Estado.
• Niveles aplicables tanto a buques como a instalaciones portuarias.
• Los planes de protección deben prever medidas para cada uno de los tres niveles.

La Evaluación de la Protección de la Instalación Portuaria, conocida por sus siglas EPIP, es el punto de partida obligatorio para la implementación del Código PBIP en cada instalación portuaria. Consiste en un análisis sistemático y documentado de los riesgos a los que está expuesta la instalación, con el fin de determinar qué medidas de protección son necesarias y en qué grado deben aplicarse.

La EPIP debe identificar y evaluar los activos e infraestructuras críticos que es importante proteger, las posibles amenazas a esos activos, la probabilidad de que tales amenazas se materialicen y las consecuencias de posibles incidentes. También debe considerar las vulnerabilidades de la instalación, incluyendo aspectos físicos (vías de acceso, zonas de almacenamiento, muelles), operativos (procedimientos de control de carga, gestión de accesos) y organizativos (formación del personal, cadena de mando en emergencias).

Corresponde a la autoridad gubernamental competente llevar a cabo o aprobar la EPIP, aunque en la práctica puede encomendarse a una organización de protección reconocida (OPR). En España esta función recae en el Ministerio de Transportes y en las autoridades portuarias, bajo la supervisión de la Administración General del Estado. La EPIP debe revisarse periódicamente y siempre que se produzcan cambios significativos en la instalación o en el entorno de amenaza. Es el fundamento documental sobre el que se construye el Plan de Protección de la Instalación Portuaria.

Datos clave

• EPIP: Evaluación de la Protección de la Instalación Portuaria.
• Obligatoria para toda instalación portuaria sujeta al Código PBIP.
• Analiza activos críticos, amenazas, probabilidad y consecuencias.
• Puede realizarla una Organización de Protección Reconocida (OPR).
• Debe ser aprobada por la autoridad gubernamental competente.
• Revisión periódica obligatoria y ante cambios significativos.

El Plan de Protección de la Instalación Portuaria (PPIP) es el documento operativo central del sistema de protección de cada instalación portuaria. Se elabora sobre la base de la EPIP y recoge de forma detallada las medidas, procedimientos y responsabilidades que deben aplicarse para garantizar la protección de la instalación frente a incidentes que puedan atentar contra la seguridad de los buques, las personas, las mercancías o las infraestructuras.

El PPIP debe incluir, entre otros contenidos: las medidas de protección aplicables en cada uno de los tres niveles; los procedimientos para el control de acceso a la instalación y a las zonas restringidas; las medidas para la supervisión de la manipulación de carga, provisiones y equipaje; los procedimientos para atender brechas en la protección o incidentes; el plan de comunicaciones interno y externo; y los programas de formación, ejercicios y simulacros del personal.

El PPIP debe ser aprobado por la administración del Estado y revisado periódicamente. Su contenido es confidencial y no debe divulgarse públicamente, dado que su conocimiento podría facilitar la acción de potenciales agresores. En la Autoridad Portuaria de Bilbao, cada terminal sujeta al Código PBIP dispone de su propio PPIP adaptado a sus características específicas, sin perjuicio de los criterios generales que establece la autoridad portuaria como ente gestor del recinto.

Datos clave

• PPIP: Plan de Protección de la Instalación Portuaria.
• Se elabora a partir de la EPIP.
• Contenido: medidas por nivel, control de acceso, zonas restringidas, carga, comunicaciones y formación.
• Aprobación: autoridad gubernamental del Estado.
• Carácter confidencial; no se divulga públicamente.
• Cada instalación sujeta al Código debe contar con su propio PPIP aprobado.

El Oficial de Protección de la Instalación Portuaria, denominado en inglés Port Facility Security Officer (PFSO) y en español OPIP, es la persona designada por el explotador de la instalación portuaria como responsable de la elaboración, implantación, revisión y mantenimiento del Plan de Protección de la Instalación Portuaria. Su figura es una de las claves del sistema PBIP a nivel operativo en tierra.

Entre las funciones del OPIP se encuentran: llevar a cabo evaluaciones periódicas de la protección de la instalación; garantizar el buen mantenimiento y la actualización del PPIP; coordinar las actividades de protección con las autoridades competentes y con los Oficiales de Protección de los buques que recalan en la instalación; supervisar el control de acceso a la instalación y a las zonas de acceso restringido; asegurarse de que el personal recibe la formación adecuada; responder ante incidentes de protección; y mantener registros de incidentes y ejercicios de protección.

El OPIP debe contar con la formación específica exigida por el Código PBIP y demostrar capacitación en materias como evaluación de riesgos, técnicas de control de acceso, reconocimiento de señales de alerta o procedimientos de respuesta ante incidentes. En el ámbito del Puerto de Bilbao, la coordinación entre los OPIP de las distintas terminales y la autoridad portuaria es esencial para mantener la coherencia del sistema de protección del conjunto del recinto.

Datos clave

• OPIP (español) / PFSO (inglés): Oficial de Protección de la Instalación Portuaria.
• Designado por el explotador de la instalación portuaria.
• Funciones: elaborar/mantener el PPIP, supervisar controles de acceso, coordinar con buques y autoridades.
• Requiere formación específica certificada.
• Mantiene registros de incidentes, ejercicios y simulacros.
• Interlocutor directo con el OPB (Oficial de Protección del Buque) cuando el barco está en puerto.

El Código PBIP define también las figuras responsables de la protección a bordo de los buques y en el nivel de la compañía naviera. El Oficial de Protección del Buque (OPB), en inglés Ship Security Officer (SSO), es la persona designada por la compañía para ser responsable de la protección a bordo, bajo la autoridad del capitán. Sus funciones incluyen la implantación y mantenimiento del Plan de Protección del Buque (PPB), la realización de inspecciones de protección a bordo, la formación de la tripulación, y la coordinación con el OPIP de cada instalación portuaria en la que el buque recale.

El Oficial de la Compañía para la Protección del Buque (OCPB), en inglés Company Security Officer (CSO), actúa a nivel corporativo, siendo el responsable de garantizar que la evaluación de la protección del buque se lleve a cabo de manera adecuada, que el Plan de Protección del Buque sea elaborado, sometido a aprobación y actualizado, y que se disponga de los recursos necesarios. El OCPB es el punto de contacto principal entre la compañía y las administraciones del Estado.

La cadena de responsabilidad en protección a bordo queda así configurada: el OCPB en el nivel de la compañía, el capitán como máxima autoridad a bordo y el OPB como responsable operativo de la protección del buque en el día a día. Esta estructura tripartita asegura que las responsabilidades están claramente asignadas y que existe una continuidad en la gestión de la protección tanto en navegación como en puerto.

Datos clave

• OPB (español) / SSO (inglés): Oficial de Protección del Buque, designado por la compañía.
• OCPB (español) / CSO (inglés): Oficial de la Compañía para la Protección del Buque.
• El OPB actúa bajo la autoridad del capitán del buque.
• El OCPB es el nexo entre la compañía naviera y las administraciones estatales.
• Cadena: OCPB (compañía) — Capitán — OPB (operativo a bordo).
• OPB coordina con el OPIP de la instalación portuaria en cada escala.

El control de acceso es una de las medidas fundamentales del Código PBIP tanto en los buques como en las instalaciones portuarias. Su objetivo es impedir la entrada de personas no autorizadas a zonas sensibles y evitar la introducción de objetos, sustancias o dispositivos que puedan comprometer la protección del buque o de la instalación. El Código distingue entre zonas de acceso restringido, a las que solo puede acceder personal debidamente autorizado e identificado, y zonas de acceso general, que están abiertas a personal y visitantes bajo condiciones controladas.

En las instalaciones portuarias, el control de acceso se articula mediante sistemas de identificación del personal (tarjetas de identificación portuaria, sistemas biométricos), control vehicular en los accesos al recinto, registro de visitantes y, en los niveles 2 y 3, medidas adicionales como la escolta de personas o la inspección de vehículos y equipajes. La definición y señalización de zonas de acceso restringido en los muelles y terminales es una obligación del PPIP.

La supervisión de la manipulación de la carga es otra de las áreas de atención prioritaria del Código PBIP. El objetivo es detectar posibles alteraciones, manipulaciones no autorizadas o introducción de sustancias peligrosas entre la mercancía legítima. El PPIP debe establecer procedimientos para la verificación de la documentación de la carga, la inspección de contenedores y unidades de carga en función del nivel de protección vigente, y la coordinación con las autoridades aduaneras y de control de fronteras.

Datos clave

• Zonas restringidas: acceso solo para personal autorizado e identificado.
• Medidas de acceso: identificación (tarjetas, biometría), control vehicular, registro de visitantes.
• En Nivel 2-3: medidas reforzadas (escolta, inspección de vehículos/equipajes).
• Manipulación de carga: verificación documental e inspección física según nivel de protección.
• Coordinación con aduanas y control de fronteras es parte del sistema.
• El PPIP debe definir y señalizar las zonas de acceso restringido.

La Declaración de Protección Marítima (DPM), en inglés Declaration of Security (DoS), es un acuerdo documentado que se suscribe entre el responsable de un buque y el responsable de una instalación portuaria (o entre dos buques) cuando ambas partes consideran necesario definir de forma explícita las responsabilidades de cada una en materia de protección durante la escala o la operación conjunta. Su uso puede ser obligatorio a requerimiento de las autoridades competentes o voluntario cuando alguna de las partes estima que el nivel de riesgo lo justifica.

La formación del personal es un pilar esencial del Código PBIP. Tanto el OPIP como el OPB y el OCPB deben acreditar formación específica en materias de protección marítima. El resto del personal de la instalación y de la tripulación debe recibir formación básica sobre sus responsabilidades en protección y sobre cómo actuar ante posibles incidentes. La formación debe ser continua y adaptarse a los cambios en los planes y procedimientos.

Los ejercicios y simulacros son la herramienta para verificar que los planes de protección funcionan en la práctica y que el personal sabe cómo actuar. El Código PBIP exige que se realicen ejercicios con regularidad: ejercicios individuales de los elementos del PPIP al menos una vez cada tres meses y ejercicios conjuntos entre buques e instalaciones portuarias al menos una vez cada año civil. Los simulacros permiten detectar deficiencias y corregirlas antes de que se produzca un incidente real, siendo también un requisito de las inspecciones y auditorías del Estado rector del puerto.

Datos clave

• DPM / DoS: Declaración de Protección Marítima, acuerdo escrito buque-instalación o buque-buque.
• Formación específica obligatoria para OPIP, OPB y OCPB.
• Formación básica obligatoria para todo el personal de instalación y tripulación.
• Ejercicios del PPIP: al menos cada 3 meses.
• Simulacros conjuntos buque-instalación: al menos una vez por año civil.
• Las auditorías del Estado rector del puerto verifican el cumplimiento de estos requisitos.