Muy graves

Conducta

Infracciones muy graves: no notificar en 24 horas cuando el incidente causa riesgo o perjuicio muy grave, carecer de las medidas de resiliencia de los artículos 6, 8 y 11 o no tenerlas implantadas con ese mismo efecto, impedir la supervisión o la inspección, aportar o certificar datos falsos, y no cumplir en plazo las medidas de subsanación exigidas

Importe

De 1.000.001 a 10.000.000 euros, o hasta el 2 % del volumen de negocios anual total a nivel mundial de la empresa a la que pertenece la entidad crítica, la mayor de las dos

Art. 31 · art. 34.1

Graves

Conducta

Infracciones graves: las mismas conductas con riesgo o perjuicio grave en lugar de muy grave, entorpecer la supervisión sin impedirla, no elevar la evaluación de riesgos en nueve meses, no elaborar o no renovar el plan de resiliencia, no obtener o no renovar la certificación, no designar responsable de seguridad y resiliencia o carecer este de la habilitación, no avisar de que se presta servicio en seis o más Estados, y la falta de diligencia de la empresa certificadora

Importe

De 100.001 a 1.000.000 euros

Art. 32 · art. 34.2

Leves

Conducta

Infracciones leves: no notificar en 24 horas cuando el incidente no causa riesgo grave ni muy grave, no comunicar la designación o renovación del responsable de seguridad y resiliencia o del delegado de seguridad, no remitir el informe detallado en plazo o remitirlo incompleto, y el cumplimiento deficiente de los deberes de colaboración

Importe

De 10.000 a 100.000 euros

Art. 33 · art. 34.3

Este régimen no está en vigor. Es el que prevé un proyecto de ley en fase de enmiendas, y ni el destinatario existe: el CNPREC lo crearía la propia ley. Lo que hoy obliga a un operador crítico español es la Ley 8/2011 y, un piso más abajo, la Resolución de 8 de septiembre de 2015 de la Secretaría de Estado de Seguridad, que obliga a que el Plan de Seguridad del Operador y el Plan de Protección Específico recojan por escrito la comunicación de incidentes al CNPIC y la de incidentes de seguridad cibernética al equipo de respuesta, sin plazo escrito en ninguna de las dos normas. Si este texto se aprueba, la diferencia práctica es grande: aparecen un reloj de 24 horas y una infracción tipificada por incumplirlo. Conviene fijarse también en el disparador, que corre desde que se tiene conocimiento del incidente y no desde que se concluye que es significativo, al revés que en NIS2. Y un aviso que sale del propio documento: el índice del proyecto anuncia un «Artículo 19. Plataforma Nacional de Notificación y Seguimiento de Ciberincidentes» que el articulado no contiene (su artículo 19 regula otro órgano); es la única mención a los ciberincidentes en todo el proyecto, y hoy no se sabe si la plataforma se cayó del texto o reaparecerá vía enmienda.

Comunicación del hecho tan pronto como sea conocida su ocurrencia, sin perjuicio de la notificación posterior

Plazo

Sin plazo tasado: «tan pronto como sea conocida su ocurrencia»

Desde cuándo corre

Desde que se conoce que el incidente ha ocurrido. Es un deber distinto del de las 24 horas, y el art. 33.a) lo respalda con infracción leve propia

Art. 10.1

Notificación a la Secretaría de Estado de Seguridad, a través del CNPREC

Plazo

24 horas como máximo

Desde cuándo corre

Desde que la entidad tiene conocimiento del incidente, no desde que concluye que es significativo. Decae si acredita incapacidad operativa para notificar dentro del plazo

Art. 10.1

Informe detallado del incidente

Plazo

1 mes como máximo

Desde cuándo corre

Posterior a la notificación de las 24 horas: el texto dice «Posteriormente, en un plazo no superior a un mes». Aquí el proyecto es más preciso que la Directiva CER, donde el mes cuelga de la misma frase que la notificación inicial y no se sabe desde cuándo cuenta

Art. 10.1

Secretaría de Estado de Seguridad, a través del CNPREC

Cuándo

Todo lo que notifica la entidad: el aviso inmediato, la notificación de 24 horas y el informe detallado

En España

No existe. El CNPREC, Centro Nacional para la Protección y Resiliencia de las Entidades Críticas, lo crearía esta ley como punto de contacto único, dependiente orgánicamente de la Dirección General de Coordinación y Estudios. Mientras tanto el interlocutor de un operador crítico sigue siendo el Ministerio del Interior a través del CNPIC, en el esquema de la Ley 8/2011.

Ministerio del Interior · CNPIC ↗

Art. 10.1

Sistema de Seguridad Nacional, a través del Departamento de Seguridad Nacional

Cuándo

Con la información de las notificaciones recibidas. Lo informa la Secretaría de Estado de Seguridad, no la entidad

Art. 10.4

Los puntos de contacto únicos de los demás Estados miembros afectados

Cuándo

Cuando el incidente tenga o pueda tener repercusiones significativas en la continuidad de servicios esenciales para o en uno o varios Estados miembros. Los avisa la Secretaría de Estado de Seguridad

Art. 10.4

La Comisión Europea

Cuándo

Cuando el incidente tenga o pueda tener repercusiones significativas en la continuidad de los servicios esenciales en seis Estados miembros o más. La notifica la Secretaría de Estado de Seguridad

Comisión Europea ↗

Art. 10.4, párr. tercero

El público

Cuándo

Cuando la Secretaría de Estado de Seguridad considere de interés general informar. Es facultad suya, no obligación de la entidad

Art. 10.3

Entidades críticas identificadas

Entidades u organismos, públicos o privados, que la Comisión Nacional identifica y designa a propuesta de la Secretaría de Estado de Seguridad, cuando concurren los tres criterios: prestar uno o más servicios esenciales, operar en territorio nacional con las infraestructuras críticas situadas en él, y que un incidente tuviera efectos perturbadores significativos (art. 12.1 y 12.2)

Quince sectores del anexo

El anexo reparte las categorías de entidad en quince sectores estratégicos: energía, transporte, banca, infraestructuras de los mercados financieros, sanidad, agua, infraestructura digital, administración pública, espacio, producción y distribución de alimentos, industria nuclear, instalaciones de investigación, industria química, seguridad privada y seguros (anexo)

Especial importancia europea

Entidades ya identificadas como críticas que prestan los mismos o similares servicios esenciales a o en seis o más Estados miembros y a las que la Comisión Europea les notifica esa condición, a través de la Secretaría de Estado de Seguridad, con las obligaciones que les incumben y la fecha desde la que son exigibles (art. 24)

Banca, seguros, mercados financieros y digital

Se identifican como entidades críticas, pero la disposición adicional cuarta las deja fuera de los artículos 6, 7.3, 8, 9, 10, 11, 23, 24 y 25 y del capítulo V entero: sin evaluación de riesgos propia, sin plan de resiliencia, sin comprobación de idoneidad, sin notificación de incidentes, sin certificación, sin supervisión y sin régimen sancionador (disp. adicional cuarta, puntos 3, 4, 7 y 15 del anexo)

Autoridad distinta para cuatro sectores

Para banca, mercados financieros y seguros, la autoridad competente es la que corresponda con arreglo al artículo 46 del Reglamento (UE) 2022/2554 (DORA), según el art. 15.3; para infraestructuras digitales, la autoridad de control que designe la ley de transposición de NIS2, a la que el art. 17.2 encomienda también el punto de contacto especializado del sector

Entidades estratégicas

Responsables o gestores de infraestructuras catalogadas como estratégicas, es decir, relevantes para la prestación de un servicio esencial sin llegar a críticas. La Secretaría de Estado de Seguridad las incluye en el catálogo nacional, y ninguna obligación del articulado recae sobre ellas (art. 2.e), art. 2.j) y art. 14.1)

Entidades de certificación acreditadas

Entidades de certificación acreditadas por la Entidad Nacional de Acreditación, únicas habilitadas para expedir la certificación de resiliencia del esquema nacional que el proyecto encarga crear. El contenido del esquema y el proceso de certificación, supervisión y pérdida quedan al reglamento (art. 11.2)

Exclusiones

Proyecto de Ley de protección y resiliencia de las entidades críticas, expediente 121/000088 de la XV Legislatura, publicado en el Boletín Oficial de las Cortes Generales, Congreso de los Diputados, serie A, núm. 88-1, de 27 de marzo de 2026

Identificador

121/000088 · XV Leg.

Fuente

BOCG · Congreso de los Diputados, serie A, núm. 88-1 · Congreso de los Diputados

Ciberseguridad

Hereda la naturaleza de la Directiva que incorpora: resiliencia de todo peligro, con la ciberseguridad cedida a otra norma. Su artículo 3.2.b) excluye del ámbito «las materias reguladas en la ley por la que se transponga la Directiva (UE) 2022/2555», y cuando el proyecto habla de protección habla de vallas, barreras, vigilancia perimetral y control de accesos. Lo que lo separa de la Directiva y sostiene el nivel 2 en lugar de uno más bajo: añade al baremo de magnitud del incidente el nivel de riesgo para la información y los datos personales (art. 10.2.d), que la Directiva no tiene, y regula la instalación de sistemas biométricos de control de acceso con cifrado, revocabilidad del vínculo y evaluación de impacto previa (disp. adicional séptima). Al nivel hay que sumarle lo que dice el estado de la ficha: nada de esto obliga todavía.

Valoración del curador · nivel 2 de 5

Notificación de la identificación como entidad crítica

Si te identifican, el CNPREC te lo notifica en el plazo de un mes, y en esa misma notificación te dice qué obligaciones te incumben y desde cuándo son exigibles. No hay periodo de gracia tasado como en la Directiva CER, donde el capítulo de medidas se aplica a los diez meses de la notificación: aquí la fecha la fija la notificación.

Literal de la norma En el plazo de un mes desde su identificación como entidad crítica, a través del CNPREC, se notificará dicha circunstancia a la entidad afectada, así como las obligaciones que, en su caso, le incumben con arreglo a lo dispuesto en esta ley, y la fecha a partir de la cual le serán exigibles.

Art. 12.3

Aviso de servicio en seis o más Estados

Informar a la Secretaría de Estado de Seguridad de qué servicios esenciales prestas y en qué Estados miembros, cuando los prestes en al menos seis. No hacerlo es infracción grave.

Art. 24.2

Evaluación de riesgos de la entidad crítica Ciber parcial

Hacer tu propia evaluación de riesgos y elevarla a la Secretaría de Estado de Seguridad para su validación en el plazo máximo de nueve meses desde que te notifican la identificación, y repetirla siempre que sea necesario y como mínimo cada cuatro años. Vale reutilizar evaluaciones hechas para otras normas, y la Secretaría puede declararlas conformes en todo o en parte. La validación por la autoridad es adición española: la Directiva CER solo pide que la evaluación se haga.

Literal de la norma En el plazo máximo de nueve meses posteriores a la notificación de su identificación como entidad crítica, esta elevará su evaluación de riesgos a la Secretaría de Estado de Seguridad para su validación.

Art. 6.1

Plan de Resiliencia

Adoptar un Plan de Resiliencia con las medidas técnicas, organizativas, procedimentales u operativas de seguridad, en el marco del plan estratégico sectorial y sobre la base de la evaluación nacional de amenazas y de tu propia evaluación de riesgos. Se elabora en los seis meses siguientes a la evaluación de riesgos, o a su renovación, y se remite a la Secretaría de Estado de Seguridad para su validación. Vale un documento equivalente que ya tengas, y la Secretaría puede declararlo conforme en todo o en parte.

Literal de la norma Las entidades críticas deben adoptar un Plan de Resiliencia que contenga las medidas técnicas, organizativas, procedimentales u operativas de seguridad adecuadas y proporcionadas para garantizar su resiliencia

Art. 8.1

Prevención de incidentes

Medidas para evitar que los incidentes se produzcan, valorando especialmente la reducción del riesgo de catástrofes y la adaptación al cambio climático.

Art. 8.1.a)

Protección física de las instalaciones

Vallas, barreras, herramientas y rutinas de vigilancia perimetral, equipos de detección y controles de acceso. La letra los enumera así: es donde mejor se ve que esta no es una norma de ciberseguridad.

Art. 8.1.b)

Respuesta, resistencia y mitigación

Procedimientos y protocolos de gestión de riesgos y de crisis, y rutinas de alerta.

Art. 8.1.c)

Recuperación y continuidad Ciber parcial

Medidas de continuidad de las actividades e identificación de cadenas de suministro alternativas, para retomar la prestación del servicio esencial.

Literal de la norma Recuperarse de incidentes, atendiendo en especial a medidas de continuidad de las actividades y la identificación de cadenas de suministro alternativas, a fin de retomar la prestación del servicio esencial.

Art. 8.1.d)

Protección de los empleados

Determinar las categorías de personal que ejerce funciones esenciales, fijar derechos de acceso a instalaciones, infraestructuras críticas e información delicada, y establecer procedimientos de comprobación de idoneidad identificando de forma motivada, para cada infraestructura y activo crítico, qué puestos los justifican y con qué nivel de comprobación. Hay que contar también al personal de los proveedores de servicios externos. La Secretaría de Estado de Seguridad rechaza las comprobaciones que no estén suficientemente motivadas y justificadas.

Art. 8.1.e)

Concienciación del personal

Cursos de formación, ejercicios y material de información sobre todas las medidas anteriores.

Art. 8.1.f)

Simulacros con los cuerpos policiales

Realizar simulacros de distintas amenazas contando con los cuerpos policiales competentes en el territorio y en la materia. Esta letra no está en la Directiva CER: es adición española, y es la única del plan que obliga a coordinarse con la policía.

Literal de la norma Realizar simulacros de distintas amenazas con la colaboración de los cuerpos policiales competentes territorial y funcionalmente.

Art. 8.1.g)

Responsable de seguridad y resiliencia

Nombrar y comunicar al CNPREC, en los tres meses siguientes a la designación, una persona, unidad u órgano responsable de seguridad y resiliencia, que es además el punto de contacto con las autoridades. Las renovaciones se comunican en 72 horas. No vale cualquiera: la persona, o quien dirija la unidad, tiene que estar habilitada como Director de Seguridad por el Ministerio del Interior. Es el equivalente al Responsable de Seguridad y Enlace de la Ley PIC, con la misma exigencia de habilitación.

Literal de la norma Esta persona, o el titular de la citada unidad u órgano, deberán contar con la habilitación de Director de Seguridad expedida por el Ministerio del Interior, en los términos previstos en la normativa de seguridad privada.

Art. 8.3, párr. primero

Delegado de seguridad de cada infraestructura

Designar un delegado de seguridad por cada infraestructura crítica, que es el punto de contacto con el cuerpo policial competente para elaborar el Plan de Apoyo Operativo. Se comunica en los mismos plazos que el responsable de seguridad y resiliencia.

Art. 8.3, párr. segundo

Área de Seguridad

Disponer de un Área de Seguridad, que es una unidad organizativa y no un documento. El texto no dice qué es ni de qué se compone: lo remite al reglamento. La persona responsable de seguridad y resiliencia puede dirigirla.

Art. 8.3, párr. tercero

Certificación de resiliencia Ciber parcial

Obtener y renovar la certificación del esquema nacional de certificación en materia de resiliencia, que expide una entidad acreditada por la Entidad Nacional de Acreditación y acredita que las medidas están efectivamente implantadas en cada infraestructura crítica. Dura dos años como máximo y depende de superar las auditorías de seguimiento. No obtenerla o no renovarla en el plazo que fije el reglamento es infracción grave. El esquema no existe: el texto encarga crearlo y remite al reglamento su contenido y su proceso.

Literal de la norma La certificación tendrá una validez máxima de dos años, condicionada a la superación de las correspondientes auditorías de seguimiento.

Art. 11

Notificación de incidentes Ciber parcial

Comunicar el hecho tan pronto como se conozca, notificar a la Secretaría de Estado de Seguridad a través del CNPREC en un máximo de 24 horas desde que se tiene conocimiento del incidente, y presentar después un informe detallado en un plazo no superior a un mes. La notificación incluye toda la información disponible para entender naturaleza, causa y consecuencias, incluidas las posibles repercusiones transfronterizas. Notificar no acarrea mayor responsabilidad para la entidad, y no exime del deber de denunciar los hechos que puedan ser delito.

Literal de la norma Sin perjuicio de la obligación de comunicar el hecho tan pronto como sea conocida su ocurrencia, las entidades críticas notificarán a la Secretaría de Estado de Seguridad, a través del CNPREC, los incidentes que perturben o puedan perturbar de forma significativa la prestación de servicios esenciales en el plazo máximo de 24 horas desde que tengan conocimiento de aquellos

Art. 10.1 y 10.2

Colaboración con la supervisión

Prestar a la Secretaría de Estado de Seguridad la colaboración necesaria y darle acceso a la información, los sistemas y las instalaciones relacionados con la prestación de los servicios esenciales. Enfrente hay inspecciones in situ, supervisión externa de las medidas, auditorías ordenadas o realizadas por la autoridad, incluidos planes de auditoría preventiva de un sector entero, y directrices generales o específicas. Impedir el ejercicio de la supervisión es infracción muy grave; entorpecerlo sin impedirlo, grave.

Art. 26.2

Pruebas de aplicación efectiva y auditoría independiente Ciber parcial

Si además de crítica eres entidad esencial o importante conforme a la ley de transposición de NIS2, la Secretaría de Estado de Seguridad puede pedir, por conducto de la autoridad de aquella ley, que aportes la información para evaluar tus medidas de resiliencia y las pruebas de que se aplican de verdad, incluida una auditoría de un auditor cualificado e independiente que eliges tú y pagas tú. Este mecanismo depende entero de una ley que no existe: sin autoridad NIS2 designada no hay conducto por el que ejercerlo.

Literal de la norma Las pruebas de la aplicación efectiva de dichas medidas, incluidos los resultados de una auditoría realizada por un auditor cualificado e independiente seleccionado por la entidad y a expensas de ésta.

Art. 26.3

Subsanación de los incumplimientos detectados

Adoptar, en el plazo razonable que fije la autoridad, las medidas necesarias y proporcionadas para subsanar lo que la supervisión haya detectado. Si no se adoptan, la autoridad puede suspender temporalmente una certificación o autorización de parte o de todos tus servicios, y pedir a los tribunales que prohíban temporalmente ejercer funciones de dirección o representación a tu director general o representante legal.

Art. 26.4

Acceso a la misión de asesoramiento

Si eres de especial importancia europea, dar a la misión de asesoramiento acceso a la información, los sistemas y las instalaciones relacionados con la prestación de tus servicios esenciales.

Literal de la norma Las entidades críticas de especial importancia europea proporcionarán a la misión de asesoramiento acceso a la información, los sistemas y las instalaciones relacionados con la prestación de sus servicios esenciales que resulte necesario para llevar a cabo su función.

Art. 25.6

Sistemas biométricos de control de acceso Ciber parcial

La entidad crítica puede instalar sistemas de reconocimiento biométrico de identificación o autenticación para el control de accesos y desplazamientos, con fines de prevención de delitos y seguridad física, y su implantación se regulará por real decreto. Si los instala: evaluación de impacto en protección de datos previa y obligatoria, privacidad desde el diseño y minimización, cifrado adecuado, plantillas revocables y no reutilizables, prohibición de usarlos con fines laborales o de control de jornada, prohibición de decisiones totalmente automatizadas, e información previa a las personas afectadas. Si se emplean sistemas de inteligencia artificial, el control de acceso y presencia se ajusta al Reglamento de Inteligencia Artificial.

Literal de la norma Es obligatorio la realización previa de una Evaluación de Impacto para la protección de datos.

Disp. adicional séptima

Sistemas antidrones

La entidad crítica puede instalar sistemas antidrones en todas o algunas de sus instalaciones para garantizar su protección, teniendo en cuenta la Evaluación Nacional de Amenazas y Riesgos. La implantación, las características y el alcance se regularán por real decreto.

Disp. adicional octava

Autoridad nacional competente y punto de contacto único

Designar a la Secretaría de Estado de Seguridad autoridad nacional competente y al CNPREC punto de contacto único, y comunicar a la Comisión Europea su identidad, funciones, responsabilidades y datos de contacto en los tres meses siguientes a la entrada en vigor. Es la designación que la Directiva CER exigía tener hecha el 17 de octubre de 2024, y la que España no ha hecho.

Art. 15.1 y art. 16

Estrategia y Evaluación Nacional de Amenazas y Riesgos

Aprobar la Estrategia Nacional de Protección y Resiliencia de las Entidades Críticas y elaborar la Evaluación Nacional de Amenazas y Riesgos, ambas con actualización mínima cada cuatro años. La Estrategia incluye un marco de coordinación con las autoridades de la ley de transposición de NIS2 y con DORA para intercambiar información sobre riesgos, amenazas e incidentes, relacionados o no con la ciberseguridad. La Secretaría pone a disposición de las entidades identificadas los elementos pertinentes de la evaluación nacional, que es la base sobre la que ellas hacen la suya.

Art. 4 y art. 5

Identificación de entidades y catálogo nacional

Identificar y designar a las entidades críticas aplicando los tres criterios del artículo 12.2 y los seis del efecto perturbador significativo, y mantener un catálogo nacional de entidades críticas y estratégicas con la información de todas sus infraestructuras, revisado como mucho cada cuatro años. La información del catálogo relativa a infraestructuras críticas tiene la calificación de secreto. A quien deje de estar identificado se le notifica que deja de estar sujeto a las obligaciones desde que recibe la comunicación.

Literal de la norma La información relativa a las infraestructuras críticas que forme parte del catálogo tendrá la calificación de secreto, conforme a lo dispuesto en la legislación en materia de secretos oficiales.

Art. 12, art. 13 y art. 14

Comunicaciones bajo el Esquema Nacional de Seguridad Ciber

Las comunicaciones que regula la ley se efectúan conforme a los procedimientos que fije el reglamento y, en lo que resulte aplicable, al Esquema Nacional de Seguridad y al Esquema Nacional de Interoperabilidad. Es la única remisión del proyecto a un marco de medidas técnicas de seguridad, y va dirigida al canal, no a la entidad.

Literal de la norma Las comunicaciones que se regulan en esta ley se efectuarán conforme a los procedimientos desarrollados reglamentariamente y, en lo que resulte aplicable, al Esquema Nacional de Seguridad y al Esquema Nacional de Interoperabilidad.

Disp. adicional segunda

Entidad crítica

La designa la Administración, no se autodiagnostica nadie: la Comisión Nacional para la Protección y Resiliencia de las Entidades Críticas identifica y designa, a propuesta de la Secretaría de Estado de Seguridad y previa identificación provisional del CNPREC. Hacen falta tres condiciones a la vez, las mismas de la Directiva CER: prestar uno o más servicios esenciales, operar en territorio nacional con las infraestructuras críticas situadas en él, y que un incidente tuviera efectos perturbadores significativos. Es la misma mecánica que la Ley PIC, con distinto nombre: allí el acto administrativo produce un operador crítico, aquí una entidad crítica.

Literal de la norma entidad u organismo, público o privado, identificado conforme a lo previsto en el artículo 12 como perteneciente a una de las categorías de entidades recogidas en el anexo

Art. 2.c) y art. 12

Entidad crítica de especial importancia europea

Una entidad ya identificada como crítica que presta los mismos o similares servicios esenciales a o en seis o más Estados miembros y a la que la Comisión Europea se lo notifica, por conducto de la Secretaría de Estado de Seguridad. Los tres requisitos son acumulativos. El aviso inicial sí es suyo: si presta servicios esenciales en al menos seis Estados tiene que informarlo, y no hacerlo es infracción grave. La consecuencia práctica es una misión de asesoramiento de la Comisión que entra en sus instalaciones.

Literal de la norma entidad crítica identificada que presta los mismos o similares servicios esenciales a o en seis o más Estados miembros de la Unión Europea y haya sido notificada conforme a lo previsto en el artículo 24

Art. 2.d) y art. 24.1

Entidad estratégica

Figura que no está en la Directiva y que el proyecto añade: quien gestiona o hace funcionar una infraestructura catalogada como estratégica, es decir, relevante para la prestación de un servicio esencial sin llegar a crítica. Entra en el catálogo nacional junto a las críticas, y ahí se acaba: ninguna obligación del articulado recae sobre ella. Se documenta porque estar catalogado no es lo mismo que estar obligado, y la diferencia se lee mal desde fuera.

Literal de la norma entidad u organismo, público o privado, responsable del funcionamiento o gestor de una infraestructura catalogada como estratégica con arreglo a esta ley

Art. 2.e) y art. 14.1

Entidad de certificación

Quien expide la certificación de resiliencia del esquema nacional que el proyecto encarga crear, y que solo puede expedirla si está acreditada por la Entidad Nacional de Acreditación. No es una entidad crítica ni presta un servicio esencial, pero el proyecto tipifica dos conductas suyas: emitir certificaciones a sabiendas de que se han aportado datos falsos, que es infracción muy grave, y no verificar con diligencia la información antes de emitir el certificado, que es grave.

Art. 11.2.a), art. 31.d) y art. 32.g)

Administración

El aparato que el proyecto monta, y sobre el que recae la mayor parte de su articulado. La Secretaría de Estado de Seguridad es la autoridad nacional competente; el CNPREC, Centro Nacional para la Protección y Resiliencia de las Entidades Críticas, es el punto de contacto único y el interlocutor de la entidad; la Comisión Nacional identifica y designa y aprueba los planes estratégicos sectoriales; el Comité Interdepartamental asiste; las Fuerzas y Cuerpos de Seguridad elaboran los Planes de Apoyo Operativo. Ninguno de estos órganos existe hoy con estas funciones: las crea la ley que no se ha aprobado.

Arts. 15 a 21

Enmiendas en comisión

Expediente

121/000088 (XV Legislatura) · Congreso de los Diputados · Comisión de Interior

Situación

La Mesa de la Cámara lo calificó el 24 de marzo de 2026 y encomendó su aprobación con competencia legislativa plena a la Comisión de Interior, conforme al artículo 148 del Reglamento de la Cámara: se aprueba en comisión, sin pasar por el Pleno del Congreso. El plazo de enmiendas se abrió con la publicación del texto y vencía el 17 de abril de 2026; se ha ampliado once veces y la última ampliación llega hasta el 2 de septiembre de 2026. A la fecha de comprobación no hay ponencia designada, ni informe de ponencia, ni dictamen de comisión, ni ninguna publicación posterior al propio texto. Cinco meses después de entrar en la Cámara, el proyecto no ha avanzado un solo trámite.

Presentado

18/03/2026 · publicado el 27/03/2026

Plazo de enmiendas

02/09/2026

Exigible hoy

Nada de este proyecto. En España sigue vigente la Ley 8/2011 de protección de las infraestructuras críticas, con su reglamento y las resoluciones de contenidos mínimos del Plan de Seguridad del Operador y del Plan de Protección Específico, y ese es el régimen que obliga hoy a quien opera una infraestructura crítica. La condición de operador crítico se sigue adquiriendo por designación de la Comisión Nacional de la Ley 8/2011, no por el procedimiento de identificación del artículo 12 de este proyecto, que no está en marcha porque la ley que lo crearía no existe. La lista de entidades críticas, el catálogo nacional, el CNPREC, el régimen sancionador y la obligación de notificar incidentes en 24 horas que se describen en esta ficha son contenido de un texto en tramitación.

Boletín Oficial de las Cortes Generales, Congreso de los Diputados, serie A, núm. 88-1, de 27 de marzo de 2026 · Comprobado el 11/08/2026