Ley 8/2011, de 28 de abril, por la que se establecen medidas para la protección de las infraestructuras críticas

El artículo 1.1 fija el objeto de la Ley 8/2011: establecer las estrategias y las estructuras adecuadas que permitan dirigir y coordinar las actuaciones de los distintos órganos de las Administraciones Públicas en materia de protección de infraestructuras críticas, previa identificación y designación de las mismas, con el fin de mejorar la prevención, la preparación y la respuesta del Estado frente a atentados terroristas u otras amenazas que afecten a infraestructuras críticas. Para ello se impulsa además la colaboración e implicación de los organismos gestores y propietarios de dichas infraestructuras, a fin de optimizar su grado de protección contra ataques deliberados de todo tipo, contribuyendo así a la protección de la población.

El artículo 1.2 añade que la Ley regula también las especiales obligaciones que deben asumir tanto las Administraciones Públicas como los operadores de aquellas infraestructuras que se determinen como críticas, según lo dispuesto en los párrafos e) y f) del artículo 2.

Según expone el preámbulo, la norma incorpora al ordenamiento español la Directiva 2008/114/CE, del Consejo, de 8 de diciembre, sobre la identificación y designación de Infraestructuras Críticas Europeas y la evaluación de la necesidad de mejorar su protección. La Ley consta de 18 artículos estructurados en tres títulos, cuatro disposiciones adicionales, cinco disposiciones finales y un anexo.

El artículo 2 recoge las definiciones legales aplicables a toda la norma. La letra a) define el servicio esencial como el servicio necesario para el mantenimiento de las funciones sociales básicas, la salud, la seguridad, el bienestar social y económico de los ciudadanos, o el eficaz funcionamiento de las Instituciones del Estado y las Administraciones Públicas.

La letra b) define el sector estratégico como cada una de las áreas diferenciadas dentro de la actividad laboral, económica y productiva que proporciona un servicio esencial o que garantiza el ejercicio de la autoridad del Estado o de la seguridad del país; su categorización viene determinada en el anexo de la Ley.

La letra c) define el subsector estratégico como cada uno de los ámbitos en que se dividen los distintos sectores estratégicos, conforme a la distribución que contenga, a propuesta de los ministerios y organismos afectados, el documento técnico que apruebe el Centro Nacional de Protección de las Infraestructuras Críticas.

La letra d) define las infraestructuras estratégicas como las instalaciones, redes, sistemas y equipos físicos y de tecnología de la información sobre las que descansa el funcionamiento de los servicios esenciales.

El artículo 2, letra e), define las infraestructuras críticas como las infraestructuras estratégicas cuyo funcionamiento es indispensable y no permite soluciones alternativas, por lo que su perturbación o destrucción tendría un grave impacto sobre los servicios esenciales.

La letra f) define las infraestructuras críticas europeas como aquellas infraestructuras críticas situadas en algún Estado miembro de la Unión Europea cuya perturbación o destrucción afectaría gravemente al menos a dos Estados miembros, con arreglo a la Directiva 2008/114/CE.

La letra g) define la zona crítica como aquella zona geográfica continua donde estén establecidas varias infraestructuras críticas a cargo de operadores diferentes e interdependientes, que sea declarada como tal por la autoridad competente. La declaración de una zona crítica tiene por objeto facilitar la mejor protección y una mayor coordinación entre los diferentes operadores titulares de infraestructuras críticas o críticas europeas radicadas en un sector geográfico reducido, así como con las Fuerzas y Cuerpos de Seguridad del Estado y las Policías Autonómicas de carácter integral.

El artículo 2, letra h), define los criterios horizontales de criticidad como los parámetros en función de los cuales se determina la criticidad, la gravedad y las consecuencias de la perturbación o destrucción de una infraestructura crítica, que se evalúan atendiendo a cuatro factores.

El primero es el número de personas afectadas, valorado en función del número potencial de víctimas mortales o heridos con lesiones graves y las consecuencias para la salud pública. El segundo es el impacto económico, en función de la magnitud de las pérdidas económicas y el deterioro de productos y servicios. El tercero es el impacto medioambiental, entendido como la degradación en el lugar y sus alrededores. El cuarto es el impacto público y social, por la incidencia en la confianza de la población en la capacidad de las Administraciones Públicas, el sufrimiento físico y la alteración de la vida cotidiana, incluida la pérdida y el grave deterioro de servicios esenciales.

El artículo 2, letra i), define el análisis de riesgos como el estudio de las hipótesis de amenazas posibles necesario para determinar y evaluar las vulnerabilidades existentes en los diferentes sectores estratégicos y las posibles repercusiones de la perturbación o destrucción de las infraestructuras que les dan apoyo.

La letra j) define las interdependencias como los efectos que una perturbación en el funcionamiento de una instalación o servicio produciría en otras instalaciones o servicios, distinguiendo las repercusiones en el propio sector y en otros sectores, y las de ámbito local, autonómico, nacional o internacional.

La letra k) define la protección de infraestructuras críticas como el conjunto de actividades destinadas a asegurar la funcionalidad, continuidad e integridad de las infraestructuras críticas para prevenir, paliar y neutralizar el daño causado por un ataque deliberado. La letra l) define la información sensible sobre protección de infraestructuras estratégicas como los datos específicos que, de revelarse, podrían utilizarse para planear y ejecutar acciones dirigidas a provocar su perturbación o destrucción.

La letra m) define a los operadores críticos como las entidades u organismos responsables de las inversiones o del funcionamiento diario de una instalación, red, sistema o equipo designado como infraestructura crítica. La letra n) define el nivel de seguridad como aquel cuya activación por el Ministerio del Interior está prevista en el Plan Nacional de Protección de Infraestructuras Críticas, según la evaluación de la amenaza. La letra o) define el Catálogo Nacional de Infraestructuras Estratégicas como la información completa, actualizada, contrastada e informáticamente sistematizada relativa a las características de cada infraestructura estratégica existente en el territorio nacional.

El artículo 3.1 establece que la Ley se aplica a las infraestructuras críticas ubicadas en el territorio nacional vinculadas a los sectores estratégicos definidos en el anexo.

El artículo 3.2 exceptúa de su aplicación a las infraestructuras dependientes del Ministerio de Defensa y de las Fuerzas y Cuerpos de Seguridad, que se rigen, a efectos de control administrativo, por su propia normativa y procedimientos.

El artículo 3.3 precisa que la aplicación de la Ley se efectúa sin perjuicio de tres regímenes específicos: la misión y funciones del Centro Nacional de Inteligencia, según su normativa propia, contando siempre con su colaboración; los criterios de la Ley 25/1964, de 29 de abril, sobre energía nuclear, y de la Ley 15/1980, de 22 de abril, de creación del Consejo de Seguridad Nuclear, reformada por la Ley 33/2007, de 7 de noviembre; y lo previsto en el Programa Nacional de Seguridad de la Aviación Civil, contemplado en la Ley 21/2003, de 7 de julio, de Seguridad Aérea.

El artículo 4.1 atribuye al Ministerio del Interior, a través de la Secretaría de Estado de Seguridad, la responsabilidad sobre el Catálogo Nacional de Infraestructuras Estratégicas, instrumento que contiene toda la información y valoración de las infraestructuras estratégicas del país, incluidas las clasificadas como críticas o críticas europeas, en las condiciones que determine el reglamento de desarrollo.

El artículo 4.2 atribuye igualmente al Ministerio del Interior, a través de la Secretaría de Estado de Seguridad, la competencia para clasificar una infraestructura como estratégica y, en su caso, como crítica o crítica europea, así como para incluirla en el Catálogo, incluidas las propuestas que puedan realizar los órganos competentes de las Comunidades Autónomas y Ciudades con Estatuto de Autonomía que ostenten competencias estatutariamente reconocidas para la protección de personas y bienes y el mantenimiento del orden público, respecto de las infraestructuras ubicadas en su demarcación territorial.

El Título II regula el Sistema de Protección de Infraestructuras Críticas. El artículo 5.1 lo define como el conjunto de instituciones, órganos y empresas, procedentes tanto del sector público como del privado, con responsabilidades en el correcto funcionamiento de los servicios esenciales o en la seguridad de los ciudadanos.

El artículo 5.2 enumera los agentes del Sistema: la Secretaría de Estado de Seguridad del Ministerio del Interior; el Centro Nacional para la Protección de las Infraestructuras Críticas; los ministerios y organismos integrados en el Sistema, recogidos en el anexo; las Comunidades Autónomas y las Ciudades con Estatuto de Autonomía; las Delegaciones del Gobierno en las Comunidades Autónomas y en las Ciudades con Estatuto de Autonomía; las Corporaciones Locales, a través de la asociación de Entidades Locales de mayor implantación a nivel nacional; la Comisión Nacional para la Protección de las Infraestructuras Críticas; el Grupo de Trabajo Interdepartamental para la Protección de las Infraestructuras Críticas; y los operadores críticos del sector público y privado.

El artículo 6 configura la Secretaría de Estado de Seguridad como el órgano superior del Ministerio del Interior responsable del Sistema de Protección de las infraestructuras críticas nacionales; el reglamento de desarrollo determinará sus competencias, que ejercerá con la asistencia de los demás integrantes del Sistema y, principalmente, del Centro Nacional para la Protección de las Infraestructuras Críticas.

El artículo 7.1 crea el Centro Nacional para la Protección de las Infraestructuras Críticas (CNPIC) como órgano ministerial encargado del impulso, la coordinación y la supervisión de todas las actividades encomendadas a la Secretaría de Estado de Seguridad en relación con la protección de las infraestructuras críticas en el territorio nacional. El artículo 7.2 establece que el CNPIC depende orgánicamente de la Secretaría de Estado de Seguridad y que sus funciones se establecerán reglamentariamente. El artículo 7.3 atribuye al CNPIC la realización de altas, bajas y modificaciones de infraestructuras en el Catálogo, así como la determinación de la criticidad de las infraestructuras estratégicas incluidas en él.

El artículo 8.1 establece que por cada sector estratégico se designará al menos un ministerio, organismo, entidad u órgano de la Administración General del Estado integrado en el Sistema; el nombramiento, alta o baja se efectúa mediante la modificación del anexo de la Ley.

El artículo 8.2 encomienda a estos ministerios y organismos impulsar, en el ámbito de sus competencias, las políticas de seguridad del Gobierno sobre los distintos sectores estratégicos nacionales, velar por su aplicación y actuar como puntos de contacto especializados, colaborando con el Ministerio del Interior a través de la Secretaría de Estado de Seguridad. El artículo 8.3 remite sus funciones concretas al desarrollo reglamentario. El artículo 8.4 permite que un mismo ministerio u organismo del Sistema tenga competencias sobre dos o más sectores estratégicos, conforme al anexo.

El artículo 9.1 atribuye a los Delegados del Gobierno en las Comunidades Autónomas y en las Ciudades con Estatuto de Autonomía, bajo la autoridad del Secretario de Estado de Seguridad, una serie de facultades respecto de las infraestructuras críticas localizadas en su demarcación. El artículo 9.2 precisa que el desarrollo reglamentario de esas facultades incluirá, en todo caso, la intervención a través de las Fuerzas y Cuerpos de Seguridad en la implantación de los Planes de Protección Específico y de Apoyo Operativo, así como la propuesta a la Secretaría de Estado de Seguridad de la declaración de una zona como crítica. El artículo 9.3 dispone que las Comunidades Autónomas con competencias estatutariamente reconocidas para la protección de personas y bienes desarrollarán las facultades de las Delegaciones del Gobierno relativas a la coordinación de los cuerpos policiales autonómicos y, en su caso, a la activación del Plan de Apoyo Operativo correspondiente.

El artículo 10.1 permite a esas mismas Comunidades Autónomas y Ciudades con Estatuto de Autonomía desarrollar, sobre las infraestructuras de su demarcación, las facultades que reglamentariamente se determinen. El artículo 10.2 dispone que participarán en la declaración de zona crítica, en la aprobación del Plan de Apoyo Operativo correspondiente y en las reuniones del Grupo de Trabajo Interdepartamental, y serán miembros de la Comisión Nacional. El artículo 10.3 establece que el resto de Comunidades Autónomas participarán en el Sistema y en sus órganos de acuerdo con las competencias que les reconozcan sus respectivos Estatutos de Autonomía.

El artículo 11.1 crea la Comisión Nacional para la Protección de las Infraestructuras Críticas como órgano colegiado adscrito a la Secretaría de Estado de Seguridad. El artículo 11.2 la hace competente para aprobar los diferentes Planes Estratégicos Sectoriales y para designar a los operadores críticos, a propuesta del Grupo de Trabajo Interdepartamental. El artículo 11.3 remite sus funciones y composición al desarrollo reglamentario.

El artículo 12.1 dota al Sistema de un Grupo de Trabajo Interdepartamental para la Protección de las Infraestructuras Críticas, cuya composición y funciones se determinarán reglamentariamente. El artículo 12.2 le atribuye, en todo caso, la elaboración de los Planes Estratégicos Sectoriales y la propuesta a la Comisión de la designación de los operadores críticos de cada sector estratégico.

El artículo 13.1 impone a los operadores críticos el deber de colaborar con las autoridades competentes del Sistema para optimizar la protección de sus infraestructuras críticas y críticas europeas, mediante ocho obligaciones concretas: asesorar técnicamente al Ministerio del Interior, a través del CNPIC, actualizando anualmente los datos de sus infraestructuras en el Catálogo; colaborar con el Grupo de Trabajo en la elaboración de los Planes Estratégicos Sectoriales y en los análisis de riesgos; elaborar el Plan de Seguridad del Operador; elaborar un Plan de Protección Específico por cada infraestructura crítica; designar un Responsable de Seguridad y Enlace; designar un Delegado de Seguridad por cada infraestructura crítica o crítica europea; facilitar las inspecciones de las autoridades competentes, solventando las deficiencias encontradas; y constituir un Área de Seguridad del Operador.

El artículo 13.2 exige, como requisito para la designación de operadores críticos, tanto del sector público como del privado, que al menos una de las infraestructuras que gestionen tenga la consideración de infraestructura crítica, informando el CNPIC al operador antes de la clasificación definitiva. El artículo 13.3 remite la designación por sectores o subsectores al desarrollo reglamentario. El artículo 13.4 establece que los operadores críticos tienen en el CNPIC su punto directo de interlocución con el Ministerio del Interior.

El artículo 14.1 enumera los cinco planes de actuación del Sistema: el Plan Nacional de Protección de las Infraestructuras Críticas, los Planes Estratégicos Sectoriales, los Planes de Seguridad del Operador, los Planes de Protección Específicos y los Planes de Apoyo Operativo.

El artículo 14.2 encomienda al Ministerio del Interior, a través de la Secretaría de Estado de Seguridad, la elaboración del Plan Nacional, documento estructural para dirigir y coordinar las actuaciones de protección de infraestructuras críticas en la lucha contra el terrorismo. El artículo 14.3 atribuye la elaboración de los Planes Estratégicos Sectoriales al Grupo de Trabajo y su aprobación a la Comisión, incluyendo por sectores los criterios definidores de las medidas frente a una situación de riesgo. El artículo 14.4 obliga a los operadores críticos a elaborar los Planes de Seguridad del Operador y los Planes de Protección Específicos respecto de todas sus infraestructuras clasificadas como críticas o críticas europeas. El artículo 14.5 encarga los Planes de Apoyo Operativo al Cuerpo Policial estatal o, en su caso, autonómico con competencia en la demarcación, para cada infraestructura crítica o crítica europea dotada de Plan de Protección Específico. El artículo 14.6 remite el contenido y el procedimiento de elaboración, aprobación y registro de cada plan al desarrollo reglamentario.

El artículo 15 encomienda a la Secretaría de Estado de Seguridad arbitrar los sistemas de gestión que permitan la actualización y revisión de la información del Catálogo por el CNPIC y su difusión a los organismos autorizados, obliga a las Administraciones Públicas a velar por la confidencialidad de los datos sobre infraestructuras estratégicas, y exige que sistemas, comunicaciones e información cuenten con medidas de seguridad que garanticen confidencialidad, integridad y disponibilidad según el nivel de clasificación asignado.

El artículo 16 regula el Responsable de Seguridad y Enlace: los operadores críticos deben nombrarlo y comunicarlo al Ministerio del Interior en el plazo reglamentario; dicho responsable debe contar con la habilitación de Director de Seguridad expedida por el Ministerio del Interior, según la normativa de seguridad privada, o con la habilitación equivalente según su normativa específica; sus funciones se determinarán reglamentariamente.

El artículo 17 regula el Delegado de Seguridad de la Infraestructura Crítica: los operadores con infraestructuras críticas o críticas europeas deben comunicar a las Delegaciones del Gobierno, o al órgano competente de la Comunidad Autónoma con competencias estatutarias en la materia, la existencia de este Delegado; el plazo de comunicación y sus funciones se fijarán reglamentariamente. El artículo 18 obliga al operador crítico a garantizar la seguridad de los datos clasificados relativos a sus propias infraestructuras mediante los medios de protección y sistemas de información que se determinen reglamentariamente.

La disposición adicional primera remite el funcionamiento de la Comisión Nacional y del Grupo de Trabajo, en lo no previsto, al régimen de los órganos colegiados del Capítulo II del Título II de la Ley 30/1992, precisando que se financian con cargo a las dotaciones del Ministerio del Interior sin incremento del gasto público. La disposición adicional segunda establece que los planes del artículo 14 tendrán la clasificación que les corresponda según la normativa vigente, debiendo constar de forma expresa en el instrumento de su aprobación. La disposición adicional tercera aclara que las referencias a las Fuerzas y Cuerpos de Seguridad incluyen a los cuerpos policiales de las Comunidades Autónomas con competencias estatutarias en protección de personas y bienes y orden público. La disposición adicional cuarta permite a los Consejos de Gobierno de Ceuta y Melilla emitir informes y propuestas sobre las infraestructuras situadas en su territorio, de acuerdo con la Delegación del Gobierno respectiva.

La disposición final primera ampara la Ley en el título competencial del artículo 149.1.29.ª de la Constitución, en materia de seguridad pública. La disposición final segunda salvaguarda la normativa autonómica en materia de protección civil. La disposición final tercera confirma que la Ley incorpora al derecho español la Directiva 2008/114/CE. La disposición final cuarta habilita al Gobierno para dictar el reglamento de la Ley en el plazo de seis meses y para modificar el anexo por real decreto, a propuesta del Ministerio del Interior y del departamento competente por razón de la materia, permitiendo también a las Comunidades Autónomas dictar sus propias normas reglamentarias de desarrollo. La disposición final quinta fija la entrada en vigor el día siguiente al de la publicación en el BOE, esto es, el 30 de abril de 2011.

El anexo recoge los sectores estratégicos y los ministerios u organismos del Sistema competentes en cada uno: Administración, Espacio, Industria nuclear, Industria química, Instalaciones de investigación, Agua, Energía, Salud, Tecnologías de la Información y las Comunicaciones, Transporte, Alimentación, y Sistema financiero y tributario.

• La Ley 8/2011 se publicó en el BOE núm. 102 de 29 de abril de 2011 y consta de 18 artículos en 3 títulos, 4 disposiciones adicionales, 5 disposiciones finales y un anexo (preámbulo).
• Incorpora al derecho español la Directiva 2008/114/CE sobre Infraestructuras Críticas Europeas (disposición final tercera).
• El CNPIC es el órgano ministerial de impulso, coordinación y supervisión de la protección de infraestructuras críticas, dependiente de la Secretaría de Estado de Seguridad (artículo 7).
• La Comisión Nacional aprueba los Planes Estratégicos Sectoriales y designa a los operadores críticos, a propuesta del Grupo de Trabajo Interdepartamental (artículos 11 y 12).
• Existen cinco planes: Plan Nacional, Planes Estratégicos Sectoriales, Planes de Seguridad del Operador, Planes de Protección Específicos y Planes de Apoyo Operativo (artículo 14.1).
• Los cuatro criterios horizontales de criticidad son el número de personas afectadas, el impacto económico, el impacto medioambiental y el impacto público y social (artículo 2.h).
• Quedan excluidas de la Ley las infraestructuras del Ministerio de Defensa y de las Fuerzas y Cuerpos de Seguridad (artículo 3.2).
• Los operadores críticos deben designar un Responsable de Seguridad y Enlace, con habilitación de Director de Seguridad, y un Delegado de Seguridad por cada infraestructura crítica (artículos 16 y 17).
• El anexo recoge 12 sectores estratégicos, entre ellos Energía, Transporte, TIC y Sistema financiero y tributario.
• El título competencial de la Ley es el artículo 149.1.29.ª de la Constitución, seguridad pública (disposición final primera).