Ley 8/2011 — Medidas para la protección de las infraestructuras críticas (LPIC)

La Ley 8/2011, de 28 de abril, por la que se establecen medidas para la protección de las infraestructuras críticas, conocida como LPIC, nació como respuesta a la necesidad de dotar a España de un marco jurídico específico para proteger aquellas instalaciones y servicios cuya interrupción podría afectar gravemente a la seguridad nacional, la economía o el bienestar de los ciudadanos. España transpuso con esta ley la Directiva 2008/114/CE del Consejo, relativa a la identificación y designación de infraestructuras críticas europeas.

La ley define el sistema de protección de infraestructuras críticas, establece las obligaciones de los operadores y crea los instrumentos de planificación que articulan la cooperación entre las administraciones públicas y el sector privado. Su ámbito de aplicación abarca los sectores estratégicos que sostienen la vida económica y social del país, entre ellos el transporte, la energía, las comunicaciones, el agua y la salud.

Para los puertos de interés general, como el de Bilbao gestionado por la Autoridad Portuaria, la LPIC tiene especial relevancia: las instalaciones portuarias son infraestructuras del sector transporte susceptibles de ser designadas críticas si cumplen los criterios de umbral establecidos. La Policía Portuaria interviene en la cadena de protección como agente de seguridad en el perímetro y en los accesos.

Datos clave

• Ley 8/2011, de 28 de abril — LPIC (Ley de Protección de Infraestructuras Críticas).
• Transpone la Directiva europea 2008/114/CE.
• Desarrollada reglamentariamente por el RD 704/2011, de 20 de mayo.
• Protege sectores estratégicos: energía, transporte, agua, TIC, salud, entre otros.
• Base jurídica: artículo 149.1.29.a CE (seguridad pública, competencia estatal).

La LPIC establece un glosario preciso que conviene dominar para la oposición. Una infraestructura estratégica es cualquier instalación, red, sistema o equipo físico o de tecnología de la información sobre la que descansa el funcionamiento de los servicios esenciales. El concepto es más amplio que el de infraestructura crítica y actúa como categoría previa.

Una infraestructura crítica es aquella infraestructura estratégica cuyo funcionamiento es indispensable y no permite soluciones alternativas, de forma que su perturbación o destrucción tendría un grave impacto sobre los servicios esenciales. La infraestructura crítica europea (ICE) es aquella cuya afectación impactaría sobre al menos dos Estados miembros de la UE. Ambas categorías se identifican mediante criterios de umbral: víctimas, impacto económico e impacto social.

Un servicio esencial es el necesario para el mantenimiento de las funciones sociales básicas, la salud, la seguridad, el bienestar social y económico de los ciudadanos. El operador crítico es la persona física o jurídica responsable de una infraestructura crítica, ya sea entidad pública o privada. Las autoridades portuarias pueden ostentar esta condición respecto de terminales o infraestructuras portuarias estratégicas.

Datos clave

• Infraestructura estratégica: categoría amplia, base del sistema de identificación.
• Infraestructura crítica (IC): estratégica + indispensable + sin alternativa + impacto grave.
• Infraestructura crítica europea (ICE): IC con impacto en 2 o mas Estados miembros UE.
• Operador crítico: titular o gestor de la IC, puede ser público o privado.
• Criterios de umbral: numero de victimas, impacto economico, impacto social/medioambiental.
• Servicio esencial: funciones basicas de salud, seguridad y bienestar ciudadano.

El Sistema PIC es el conjunto de órganos, instrumentos y procedimientos que, bajo la dirección del Ministerio del Interior, articulan la colaboración entre administraciones públicas y operadores privados para proteger las infraestructuras críticas españolas. No se trata de una organización rígida sino de un sistema integrado de coordinación en el que cada actor tiene funciones diferenciadas.

Los agentes que integran el Sistema PIC son: la Secretaría de Estado de Seguridad, que ejerce la dirección y coordinación superior; el Centro Nacional de Protección de Infraestructuras Críticas (CNPIC), que actúa como órgano técnico de apoyo; la Comisión Nacional para la Protección de las Infraestructuras Críticas, con funciones consultivas y de coordinación interministerial; los ministerios y organismos con competencias en cada sector estratégico, denominados ministerios coordinadores; y los propios operadores críticos, que gestionan las infraestructuras y elaboran los planes de seguridad.

Las Fuerzas y Cuerpos de Seguridad del Estado, incluida la Guardia Civil y el Cuerpo Nacional de Policía, participan en el sistema a través de los Planes de Apoyo Operativo. Las policías autonómicas y locales con competencias en el ámbito territorial también se integran en la cadena. La Policía Portuaria, como cuerpo de seguridad privada especializado, colabora en el nivel de protección físico-perimetral de acuerdo con las directrices del operador crítico.

Datos clave

• Dirección superior: Secretaria de Estado de Seguridad (Ministerio del Interior).
• Organo tecnico: CNPIC (Centro Nacional de Proteccion de Infraestructuras Criticas).
• Organo consultivo: Comision Nacional para la Proteccion de las Infraestructuras Criticas.
• Ministerios coordinadores: uno por cada sector estrategico.
• Operadores criticos: elaboran PSO y PPE; son el pilar privado del sistema.

El Centro Nacional de Protección de Infraestructuras Críticas (CNPIC) es el órgano responsable del impulso, coordinación y supervisión de todas las actividades que tiene encomendadas la Secretaría de Estado de Seguridad en materia de protección de infraestructuras críticas. Fue creado por acuerdo del Consejo de Ministros en 2007, con anterioridad a la propia LPIC, y su existencia quedó respaldada y reforzada por la ley.

El CNPIC actúa como punto de contacto con las instituciones europeas en esta materia, en particular con la Red de Advertencia de Infraestructuras Críticas (CIWIN) de la Comisión Europea. Elabora y mantiene actualizado el Catálogo Nacional de Infraestructuras Estratégicas, coordina la redacción de los Planes Estratégicos Sectoriales y supervisa el cumplimiento de las obligaciones de los operadores críticos. También gestiona el sistema de alerta temprana y el intercambio de información clasificada entre los agentes del sistema.

La Secretaría de Estado de Seguridad ejerce la dirección superior del Sistema PIC y aprueba los principales instrumentos de planificación. Preside la Comisión Nacional para la Protección de las Infraestructuras Críticas. En el plano operativo, coordina la respuesta ante incidentes que afecten a infraestructuras críticas, integrando la respuesta policial, los servicios de emergencia y los propios operadores.

Datos clave

• CNPIC: organo tecnico adscrito a la Secretaria de Estado de Seguridad.
• Creado por acuerdo de Consejo de Ministros en 2007 (antes de la LPIC).
• Punto de contacto nacional con CIWIN (red europea de alerta IC).
• Mantiene el Catalogo Nacional de Infraestructuras Estrategicas (clasificado).
• Supervisa cumplimiento de PSO y PPE de los operadores criticos.

El Catálogo Nacional de Infraestructuras Estratégicas es el registro elaborado y mantenido por el CNPIC que recoge todas las infraestructuras estratégicas del país, con independencia de que hayan sido o no designadas como críticas. Su carácter es secreto, conforme a la Ley 9/1968, de Secretos Oficiales, lo que supone que el acceso a su contenido está restringido a quienes tienen habilitación de seguridad y necesidad de conocer.

El catálogo se nutre de las comunicaciones que los ministerios coordinadores, las comunidades autónomas y los propios operadores realizan al CNPIC. Se actualiza de forma periódica y recoge datos sobre la localización, características técnicas y nivel de criticidad de cada infraestructura. La designación como infraestructura crítica, a partir de la información del catálogo, es el punto de partida para la aplicación de las obligaciones de la LPIC al operador correspondiente.

Para el sector transporte, el catálogo incluye puertos de interés general, aeropuertos, redes ferroviarias de alta velocidad, corredores de transporte de mercancías y grandes infraestructuras viarias. Una instalación portuaria puede aparecer en el catálogo como estratégica sin haber sido todavía designada crítica, lo que no exime a la autoridad portuaria de cooperar con el CNPIC cuando este lo requiera.

Datos clave

• Caracter: secreto (Ley 9/1968 de Secretos Oficiales).
• Elaborado y actualizado por el CNPIC.
• Incluye tanto IC como infraestructuras estrategicas no designadas criticas.
• Ministerios coordinadores y operadores deben comunicar sus infraestructuras.
• Sector transporte: puertos, aeropuertos, ferrocarril, corredores de mercancias.
• La designacion como critica activa las obligaciones de la LPIC para el operador.

La LPIC articula la protección de las infraestructuras críticas mediante una jerarquía de planes que van de lo general a lo particular. En la cúspide se sitúa el Plan Nacional de Protección de Infraestructuras Críticas (PNPIC), aprobado por el Secretario de Estado de Seguridad, que establece los objetivos, criterios y directrices del sistema para todo el territorio nacional.

A nivel sectorial, los Planes Estratégicos Sectoriales (PES) son elaborados por los ministerios coordinadores para cada uno de los sectores estratégicos. El PES del sector transporte, por ejemplo, define las amenazas específicas del sector, las medidas de protección recomendadas y los mecanismos de coordinación entre los operadores del transporte. Sirven de referencia para que los operadores elaboren sus propios planes.

En el ámbito del operador, la LPIC impone dos instrumentos propios. El Plan de Seguridad del Operador (PSO) es un documento de carácter horizontal que el operador crítico elabora para exponer su política general de seguridad, identificar sus activos críticos y describir las medidas permanentes de protección. El Plan de Protección Específico (PPE) es el documento operativo que se elabora para cada infraestructura crítica concreta y detalla las medidas técnicas y organizativas de protección. Por su parte, el Plan de Apoyo Operativo (PAO) es elaborado por las Fuerzas y Cuerpos de Seguridad del Estado y recoge los apoyos que estos prestarán ante incidentes en una infraestructura crítica determinada.

Datos clave

• PNPIC: Plan Nacional, aprobado por el Secretario de Estado de Seguridad.
• PES: Plan Estrategico Sectorial, uno por sector, elaborado por ministerio coordinador.
• PSO: Plan de Seguridad del Operador, horizontal, politica global del operador critico.
• PPE: Plan de Proteccion Especifico, uno por infraestructura critica, operativo.
• PAO: Plan de Apoyo Operativo, elaborado por las FCSE para cada IC.
• Jerarquia: PNPIC > PES > PSO/PPE > PAO.

Una vez que una infraestructura es designada crítica y su titular es reconocido como operador crítico mediante resolución del Secretario de Estado de Seguridad, nacen un conjunto de obligaciones específicas que la LPIC y su reglamento (RD 704/2011) desarrollan en detalle. El cumplimiento de estas obligaciones es objeto de supervisión por parte del CNPIC.

La primera obligación sustancial es la elaboración del Plan de Seguridad del Operador (PSO) en el plazo de seis meses desde la notificación de la designación. El PSO debe ser aprobado por el CNPIC y revisado cada dos años o cuando se produzcan cambios significativos. Posteriormente, el operador debe elaborar un Plan de Protección Específico (PPE) para cada una de sus infraestructuras críticas, en el plazo que determine el ministerio coordinador correspondiente.

Además de los planes, el operador crítico está obligado a designar a un Responsable de Seguridad y Enlace (RSE), que actúa como interlocutor con el CNPIC y las autoridades competentes, y a un Delegado de Seguridad por cada infraestructura crítica. Ambas figuras tienen funciones diferenciadas pero complementarias. El operador también debe comunicar al CNPIC cualquier incidente que afecte a sus infraestructuras y participar en los ejercicios y simulacros que se convoquen en el marco del sistema.

Datos clave

• Designacion como operador critico: por resolucion del Secretario de Estado de Seguridad.
• Plazo PSO: 6 meses desde la notificacion de designacion.
• Revision del PSO: cada 2 anos o ante cambios significativos.
• Obligaciones: elaborar PSO y PPE, designar RSE y Delegado de Seguridad, comunicar incidentes.
• Supervision del cumplimiento: CNPIC.
• RD 704/2011: reglamento de desarrollo de la LPIC.

La LPIC crea dos figuras de seguridad especificas dentro de la estructura organizativa de los operadores criticos. El Responsable de Seguridad y Enlace (RSE) es designado por el operador critico para actuar como punto de contacto permanente con el CNPIC y con las autoridades competentes en materia de proteccion de infraestructuras criticas. Sus datos deben comunicarse al CNPIC y se incorporan al registro correspondiente.

Las funciones del RSE son de caracter horizontal: coordina internamente la politica de seguridad del operador, vela por el cumplimiento del PSO, sirve de enlace en situaciones de crisis y participa en los foros y reuniones convocados por el CNPIC. Es, en definitiva, la figura que asegura la coherencia de la accion del operador en el marco del Sistema PIC.

El Delegado de Seguridad, por su parte, es designado para cada infraestructura critica concreta. Su funcion es mas operativa: gestiona la aplicacion del PPE en la instalacion, coordina con los responsables de seguridad de la propia infraestructura y actua como interlocutor con las Fuerzas y Cuerpos de Seguridad y con los servicios de emergencia en el ambito de esa instalacion especifica. En el contexto portuario, el Delegado de Seguridad de una terminal critica trabajaria en coordinacion directa con la Policia Portuaria y con la Guardia Civil del Puesto de Policia Fronteriza.

Datos clave

• RSE (Responsable de Seguridad y Enlace): figura horizontal, enlace con CNPIC.
• Designado por el operador critico; sus datos se comunican al CNPIC.
• Delegado de Seguridad: figura operativa, uno por infraestructura critica.
• El Delegado coordina la aplicacion del PPE en la instalacion concreta.
• Coordinacion operativa: Delegado de Seguridad, FCSE y servicios de emergencia.
• Ambas figuras son de obligatoria designacion para todo operador critico.

La LPIC identifica doce sectores estratégicos cuyas infraestructuras son susceptibles de ser designadas criticas: administracion, agua, alimentacion, energia, espacio, industria nuclear, industria quimica, instalaciones de investigacion, salud y sanidad, tecnologias de la informacion y las comunicaciones (TIC), transporte, y sistema financiero y tributario. Cada sector tiene asignado un ministerio coordinador responsable de elaborar el PES correspondiente.

El sector transporte tiene especial relevancia para la Policia Portuaria porque incluye los puertos de interes general, los aeropuertos, las redes ferroviarias y las grandes infraestructuras viarias. Los puertos de interes general, como el de Bilbao, son gestionados por autoridades portuarias que dependen del Ministerio de Transportes, organismo que actua como ministerio coordinador del sector. Esto significa que el PES del sector transporte es la referencia normativa sectorial para las autoridades portuarias con infraestructuras designadas criticas.

En el ambito portuario, la seguridad fisica de las instalaciones esta regulada tanto por la LPIC como por el Reglamento (CE) n.o 725/2004 de proteccion de buques e instalaciones portuarias (codigo ISPS) y la Ley 14/2014, de Navegacion Maritima. La interaccion entre estos marcos normativos configura un modelo de seguridad en capas en el que la Policia Portuaria ocupa el primer nivel de respuesta en el perimetro y los accesos de la instalacion.

Datos clave

• 12 sectores estrategicos definidos en el Anexo de la LPIC.
• Transporte: incluye puertos de interes general, aeropuertos, ferrocarril y vias.
• Ministerio coordinador del transporte: Ministerio de Transportes y Movilidad Sostenible.
• PES transporte: plan sectorial de referencia para autoridades portuarias con IC.
• Complementariedad normativa: LPIC + Codigo ISPS (Reg. CE 725/2004) + Ley 14/2014.
• Energia y TIC: otros sectores con alta densidad de IC designadas en Espana.

La proteccion de las infraestructuras criticas conlleva el manejo de informacion sensible sobre instalaciones, vulnerabilidades y medidas de seguridad. La LPIC establece que toda la informacion generada en el marco del sistema tiene caracter reservado y solo puede ser compartida con quienes tengan habilitacion de seguridad y necesidad de conocer, de acuerdo con la Ley 9/1968, de Secretos Oficiales, y su normativa de desarrollo.

El Catalogo Nacional de Infraestructuras Estrategicas, los PSO, los PPE y los PAO tienen caracter clasificado. El CNPIC establece los requisitos de proteccion de la informacion y los niveles de clasificacion aplicables a cada tipo de documento. Los operadores criticos estan obligados a implantar medidas de seguridad de la informacion acordes con el nivel de clasificacion de los documentos que manejan, incluyendo controles de acceso fisico y logico, cifrado y auditoria.

En el contexto de la Policia Portuaria, el acceso a la informacion sobre el plan de proteccion de la instalacion portuaria (PPE) esta restringido al personal con necesidad de conocer. Los agentes de la Policia Portuaria que intervienen en la aplicacion de las medidas de seguridad del PPE pueden tener acceso a partes del documento relevantes para sus funciones, pero no necesariamente al documento completo. Esta segmentacion es una practica habitual en los sistemas de seguridad de infraestructuras criticas para minimizar el riesgo de exposicion involuntaria de informacion sensible.

Datos clave

• Regimen juridico: Ley 9/1968 de Secretos Oficiales y normativa de desarrollo.
• Documentos clasificados: Catalogo, PSO, PPE, PAO y documentos del CNPIC.
• Principio de necesidad de conocer: acceso restringido segun funcion y habilitacion.
• Operadores criticos deben implantar medidas de seguridad de la informacion.
• CNPIC establece los niveles de clasificacion y requisitos de proteccion.
• Segmentacion del acceso: buena practica para reducir riesgo de exposicion.