La Ley PIC no tiene régimen sancionador. No hay infracciones tipificadas, ni cuantías, ni autoridad sancionadora, ni habilitación al reglamento para crearlas: la palabra sanción no aparece en el articulado más que en la fórmula de promulgación. Lo que sí hay es supervisión con consecuencia: el operador crítico debe facilitar las inspecciones de las autoridades competentes y solventar las deficiencias «en el menor tiempo posible» (art. 13.1.g), y desde 2022 acreditar la implantación de las medidas de sus planes «a través de la certificación oportuna» (art. 13.1.c y d). La consecuencia de incumplir se busca en la normativa sectorial de cada sector estratégico, no aquí.

Hay obligación de comunicar incidentes, pero no hay reloj escrito para ellos. Ni la ley ni la Resolución fijan plazo: las dos remiten al protocolo de comunicación de incidentes PIC que elabora el CNPIC y pone a disposición de los operadores críticos, documento que no es público. Lo que sí lleva plazo en la Resolución es la variación de las circunstancias del plan (diez días). Y la notificación de incidentes del operador crítico en cuanto operador de servicios esenciales vive además en el Real Decreto-ley 12/2018, que es norma distinta y tiene ficha propia.

Comunicación al CNPIC de los incidentes o situaciones que puedan poner en riesgo o comprometer la seguridad de alguna de las infraestructuras del operador

Plazo

Sin plazo en la Resolución: lo fija el protocolo de comunicación de incidentes PIC del CNPIC, que no es público

Desde cuándo corre

Desde el incidente o la situación de riesgo sobre una infraestructura de la que el operador es gestor o propietario

Resolución de 8 de septiembre de 2015 (BOE-A-2015-10060), anexo I, punto 2.2.4, y anexo II, punto 4.2.2

Comunicación al CERTSI, a través de la Oficina de Coordinación Cibernética del Ministerio del Interior (OCC), de los incidentes que puedan comprometer la seguridad cibernética de los sistemas y redes y la disponibilidad de los servicios prestados

Plazo

Sin plazo en la Resolución: lo fija el mismo protocolo de comunicación de incidentes PIC del CNPIC

Desde cuándo corre

Desde el incidente que puede comprometer la seguridad cibernética de los sistemas y redes del operador (anexo I) o de la infraestructura concreta (anexo II)

Resolución de 8 de septiembre de 2015 (BOE-A-2015-10060), anexo I, punto 2.2.4, y anexo II, punto 4.2.2

Traslado al CNPIC de la variación de las circunstancias indicadas en el plan: modificación de datos, identificación de nuevas infraestructuras críticas, baja de infraestructuras críticas o cese de las condiciones para ser considerado operador crítico

Plazo

Diez días como máximo, por los canales habilitados al efecto (Sistema HERMES o punto de contacto oficial)

Desde cuándo corre

Corre a partir de las circunstancias variadas

Resolución de 8 de septiembre de 2015 (BOE-A-2015-10060), anexo I, punto 1.4, y anexo II, punto 1.4

Designación y comunicación del Responsable de Seguridad y Enlace

Plazo

Sin plazo en la ley

Desde cuándo corre

Desde la designación como operador crítico; el plazo se remite expresamente al desarrollo reglamentario

Art. 16.1

Comunicación de la existencia del Delegado de Seguridad de cada infraestructura

Plazo

Sin plazo en la ley

Desde cuándo corre

Desde que el Ministerio del Interior considera la infraestructura Crítica o Crítica Europea

Art. 17.1 y 17.2

Actualización de los datos de las infraestructuras propias aportadas al Catálogo

Plazo

Periodicidad anual, y en todo caso a requerimiento

Desde cuándo corre

Corre desde la última actualización; además, en cualquier momento a requerimiento del Ministerio del Interior

Art. 13.1.a)

Ministerio del Interior, a través del CNPIC

Cuándo

Datos del Catálogo y comunicación del Responsable de Seguridad y Enlace por la ley; incidentes o situaciones que comprometan la seguridad de una infraestructura, y variación de las circunstancias del plan, por la Resolución de contenidos mínimos

En España

El CNPIC es el punto directo de interlocución del operador crítico con el Ministerio del Interior. La ley lo crea en 2011 como Centro Nacional para la Protección de las Infraestructuras Críticas; la denominación que usa hoy la legislación en vigor es Centro Nacional de Protección de Infraestructuras y Ciberseguridad, con las mismas siglas (Real Decreto-ley 12/2018, art. 9). Depende de la Secretaría de Estado de Seguridad.

Ministerio del Interior · CNPIC ↗

Art. 13.1.a, 13.4 y 16.1 · Resolución de 8 de septiembre de 2015, anexo I, puntos 1.4 y 2.2.4

Delegación del Gobierno o, en su caso, órgano competente de la comunidad autónoma

Cuándo

Comunicación del Delegado de Seguridad de cada infraestructura crítica

En España

Se comunica a la Delegación del Gobierno donde se ubique la infraestructura, salvo que la comunidad autónoma tenga competencias estatutarias para la protección de personas y bienes y el mantenimiento del orden público, en cuyo caso el destinatario es su órgano competente. Los Delegados del Gobierno actúan aquí bajo la autoridad del Secretario de Estado de Seguridad. No hay un punto de contacto único: depende del territorio, y por eso esta entrada no lleva enlace.

Art. 17.1

CERTSI, a través de la Oficina de Coordinación Cibernética del Ministerio del Interior (OCC)

Cuándo

Incidentes que puedan comprometer la seguridad cibernética de los sistemas y redes del operador crítico, o de una infraestructura concreta, y la disponibilidad de los servicios prestados

En España

La Resolución nombra al CERT de Seguridad e Industria (CERTSI), que actúa en virtud del Acuerdo Marco entre la Secretaría de Estado de Seguridad y la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información, y le fija como vehículo la Oficina de Coordinación Cibernética, que la legislación en vigor adscribe al CNPIC. El equipo de respuesta que la norma vigente designa hoy para los incidentes de los operadores críticos es el INCIBE-CERT, operado conjuntamente por el INCIBE y el CNPIC en todo lo referido a esos incidentes (Real Decreto-ley 12/2018, art. 11.1). La Resolución de 2015 no se ha modificado desde su publicación y sigue escribiendo CERTSI.

INCIBE-CERT ↗

Resolución de 8 de septiembre de 2015 (BOE-A-2015-10060), anexo I, punto 2.2.4, y anexo II, punto 4.2.2

Operadores críticos designados

Operadores críticos del sector público y del privado, designados por la Comisión Nacional a propuesta del Grupo de Trabajo Interdepartamental (art. 11.2 y art. 13)

Sectores estratégicos del anexo

Infraestructuras críticas ubicadas en territorio nacional y vinculadas a alguno de los doce sectores estratégicos del anexo (art. 3.1)

Zonas críticas

Zonas críticas: áreas geográficas continuas con varias infraestructuras críticas de operadores distintos e interdependientes, declaradas como tales por la Autoridad competente (art. 2.g)

Ministerios y organismos del Sistema

Los ministerios y organismos del Sistema, que actúan como puntos de contacto especializados de cada sector estratégico (art. 8)

CCAA con competencias de seguridad

Comunidades autónomas y Ciudades con Estatuto de Autonomía con competencias estatutarias para la protección de personas y bienes y el mantenimiento del orden público (art. 10)

Exclusiones

Ley 8/2011, de 28 de abril, por la que se establecen medidas para la protección de las infraestructuras críticas

Identificador

BOE-A-2011-7630

Fuente

BOE · Texto consolidado · Agencia Estatal Boletín Oficial del Estado

Ciberseguridad

Su consecuencia ciber es real pero indirecta: obliga a planes de seguridad (PSO y PPE) que cubren ataques deliberados físicos y cibernéticos, pero no trae catálogo de medidas técnicas, ni sanciones, ni una sola mención a la notificación de incidentes en su articulado. La comunicación de incidentes ciber del operador crítico existe, pero un piso más abajo: la fija la Resolución de contenidos mínimos del PSO y del PPE, dictada al amparo de su reglamento. El régimen ciber operativo del operador crítico vive en el RDL 12/2018.

Valoración del curador · nivel 2 de 5

Plan de Seguridad del Operador (PSO) Ciber parcial

Elaborar el Plan de Seguridad del Operador, que es un documento único con las políticas de seguridad de todas tus infraestructuras críticas, y, desde 2022, acreditar con una certificación que las medidas exigidas están realmente implantadas. Ya no basta con tener el plan escrito. El contenido concreto lo fija el reglamento.

Literal de la norma Elaborar el Plan de Seguridad del Operador en los términos y con los contenidos que se determinen reglamentariamente, debiendo acreditar la implantación de las medidas exigidas por la autoridad competente a través de la certificación oportuna.

Art. 13.1.c)

Plan de Protección Específico (PPE) Ciber parcial

Elaborar un Plan de Protección Específico por cada infraestructura crítica, con las medidas permanentes y las temporales, y acreditar también con certificación la implantación de sus medidas.

Literal de la norma Elaborar, según se disponga reglamentariamente, un Plan de Protección Específico por cada una de las infraestructuras consideradas como críticas en el Catálogo, debiendo acreditar la implantación de las medidas exigidas por la autoridad competente a través de la certificación oportuna.

Art. 13.1.d)

Plan de Apoyo Operativo

Elaborar el Plan de Apoyo Operativo de cada infraestructura crítica que ya tenga Plan de Protección Específico. Esta obligación no es del operador: es del cuerpo policial estatal o autonómico competente en la demarcación.

Art. 14.5

Responsable de Seguridad y Enlace

Nombrar y comunicar al Ministerio del Interior un Responsable de Seguridad y Enlace, que es el interlocutor único del operador con la Administración. No vale cualquiera: tiene que estar habilitado como Director de Seguridad.

Literal de la norma En todo caso, el Responsable de Seguridad y Enlace designado deberá contar con la habilitación de Director de Seguridad expedida por el Ministerio del Interior según lo previsto en la normativa de seguridad privada o con la habilitación equivalente, según su normativa específica.

Art. 16

Delegado de Seguridad de la infraestructura

Comunicar a la Delegación del Gobierno (o al órgano autonómico competente) que cada infraestructura crítica o crítica europea tiene su Delegado de Seguridad.

Art. 17

Área de Seguridad del Operador

Constituir un Área de Seguridad del Operador, que es una unidad organizativa y no un documento. La ley no dice qué es ni de qué se compone: lo remite a un reglamento que es anterior a la propia obligación.

Literal de la norma Constituir un Área de Seguridad del Operador, de la manera que reglamentariamente se determine

Art. 13.1.h)

Datos del Catálogo al día

Mantener al día los datos de tus infraestructuras en el Catálogo Nacional: revisión anual como mínimo, y siempre que el Ministerio del Interior lo pida.

Literal de la norma Asesorar técnicamente al Ministerio del Interior, a través del CNPIC, en la valoración de las infraestructuras propias que se aporten al Catálogo, actualizando los datos disponibles con una periodicidad anual y, en todo caso, a requerimiento del citado Ministerio.

Art. 13.1.a)

Facilitar la inspección

Dejar entrar a la inspección y corregir lo que encuentre cuanto antes. Es el único mecanismo de supervisión con consecuencia que tiene la ley, porque no hay multas.

Literal de la norma Facilitar las inspecciones que las autoridades competentes lleven a cabo para verificar el cumplimiento de la normativa sectorial y adoptar las medidas de seguridad que sean precisas en cada Plan, solventando en el menor tiempo posible las deficiencias encontradas.

Art. 13.1.g)

Protección de los datos clasificados Ciber

Proteger los datos clasificados de tus propias infraestructuras con los medios y sistemas que fije el reglamento.

Literal de la norma El operador crítico deberá garantizar la seguridad de los datos clasificados relativos a sus propias infraestructuras, mediante los medios de protección y los sistemas de información adecuados que reglamentariamente se determinen.

Art. 18

Seguridad de los sistemas de la Administración Ciber

La Administración guarda la confidencialidad de los datos del Catálogo y de los planes, y los sistemas que los manejan llevan medidas de seguridad acordes a su nivel de clasificación.

Literal de la norma Los sistemas, las comunicaciones y la información referida a la protección de las infraestructuras críticas contarán con las medidas de seguridad necesarias que garanticen su confidencialidad, integridad y disponibilidad, según el nivel de clasificación que les sea asignado.

Art. 15.2 y 15.3

Plan de Seguridad del Operador (PSO)

El documento único con las políticas de seguridad de todas las infraestructuras críticas del operador, certificado desde 2022: ya no basta con tenerlo escrito, hay que acreditar que sus medidas están implantadas. Cubre seguridad física y ciber en el mismo plan.

Art. 13.1.c) · categorización del curador, no de la norma

Plan de Protección Específico (PPE)

Un plan por cada infraestructura crítica, con las medidas permanentes y las temporales, también certificado. Es la bajada del PSO al terreno de cada activo, físico y ciber juntos.

Art. 13.1.d) · categorización del curador, no de la norma

Protección de los datos clasificados

Proteger los datos clasificados de las propias infraestructuras con los medios y sistemas que fije el reglamento. Es régimen de información clasificada, no seguridad TI general.

Art. 18 · categorización del curador, no de la norma

Confidencialidad del Catálogo y de los planes

Recae en la Administración, no en el operador: guardar la confidencialidad de los datos del Catálogo Nacional y de los planes, con medidas de seguridad acordes en los sistemas que los manejan.

Art. 15.2 y 15.3 · categorización del curador, no de la norma

Operador crítico

Quien es responsable de las inversiones o del funcionamiento diario de una instalación, red, sistema o equipo designado como infraestructura crítica. La condición no nace de operar la infraestructura, nace del acto administrativo: la Comisión Nacional designa operador crítico a propuesta del Grupo de Trabajo Interdepartamental, y el CNPIC se lo comunica al interesado antes de la clasificación definitiva. Es la única norma del corpus en la que el afectado no puede autodiagnosticarse.

Literal de la norma las entidades u organismos responsables de las inversiones o del funcionamiento diario de una instalación, red, sistema, o equipo físico o de tecnología de la información designada como infraestructura crítica con arreglo a la presente Ley.

Art. 2.m) y art. 11.2

Administración

Las Administraciones Públicas que integran el Sistema de protección de infraestructuras críticas. La ley no define el término en el artículo 2, pero el artículo 1.2 las nombra sujeto obligado junto a los operadores, y el articulado reparte las decisiones entre la Secretaría de Estado de Seguridad, órgano superior del Sistema y titular del Catálogo, el CNPIC, que clasifica las infraestructuras y es el interlocutor del operador, y la Comisión Nacional, que designa a los operadores críticos. De contenido, lo que la ley le exige es proteger la información sobre infraestructuras críticas que maneja.

Art. 1.2 y art. 15

Cuerpos policiales

El cuerpo policial estatal o autonómico competente en la demarcación donde se ubica la infraestructura. No entra por designación ni por sector: la ley le encarga un instrumento concreto, el Plan de Apoyo Operativo, y solo para las infraestructuras que ya tienen Plan de Protección Específico. El término tampoco está definido en el artículo 2.

Art. 14.5