Interior blinda infraestructuras críticas: más control, seguridad y resiliencia ante incidentes.
En un mundo cada vez más interconectado y vulnerable a diversas amenazas, la protección de las infraestructuras críticas se ha convertido en una prioridad fundamental para la seguridad nacional y el bienestar de la sociedad. El reciente anteproyecto de Ley de Protección y Resiliencia de Entidades Críticas, aprobado por el Consejo de Ministros, representa un paso significativo en esta dirección, estableciendo un marco legal más robusto para salvaguardar los servicios esenciales que sostienen nuestra vida cotidiana. Esta normativa no solo busca prevenir incidentes, sino también garantizar la capacidad de recuperación ante eventos adversos, ya sean de origen natural o provocados por acciones humanas.
Fortalecimiento de la Vigilancia y Control del Personal
Uno de los pilares centrales de la nueva ley es el reforzamiento de la vigilancia y el control de los empleados que trabajan en infraestructuras críticas. La comprobación exhaustiva de antecedentes personales, incluyendo los registros penales, se implementará para evaluar la idoneidad de quienes tienen acceso a estas instalaciones sensibles. Esta medida, aunque pueda generar debate en torno a la privacidad, se justifica por la necesidad de mitigar el riesgo de sabotaje, terrorismo o cualquier otra actividad que pueda comprometer la seguridad de los servicios esenciales. Es crucial destacar que esta verificación se limitará estrictamente a lo necesario para evaluar el riesgo, respetando los derechos individuales y garantizando la proporcionalidad en la aplicación de la ley.
Además de la verificación de antecedentes, la ley obliga a las entidades críticas a designar un responsable de seguridad. Esta figura tendrá la tarea de implementar y supervisar las medidas de seguridad, así como de coordinar la respuesta ante incidentes. La designación de un responsable de seguridad centralizado permitirá una gestión más eficiente y proactiva de los riesgos, asegurando que las entidades estén preparadas para afrontar cualquier eventualidad. La ley también establece la obligación de notificar incidentes a las autoridades competentes, lo que permitirá una respuesta rápida y coordinada ante cualquier amenaza.
Definición y Alcance de las Entidades Críticas
La ley define las entidades críticas como aquellas infraestructuras y servicios esenciales para el funcionamiento de la sociedad y la economía. Esto incluye centrales energéticas, aeropuertos, hospitales, sistemas de suministro de agua, redes de transporte, sistemas financieros y de comunicación, entre otros. La protección de estas entidades es vital para garantizar la continuidad de los servicios básicos, evitar el caos y minimizar el impacto de cualquier incidente grave. El anteproyecto contempla la creación de un Catálogo Nacional de Entidades Críticas y Estratégicas, que permitirá a las autoridades identificar y proteger estas infraestructuras de manera más efectiva.
Es importante señalar que el catálogo distingue entre entidades críticas y entidades estratégicas, preservando el carácter clasificado de estas últimas. Esta diferenciación permite proteger la información sensible relacionada con infraestructuras de alta importancia nacional, limitando su acceso a un número reducido de personas autorizadas. La ley también establece que quedan fuera de su ámbito de aplicación las entidades dependientes del Ministerio de Defensa, las fuerzas y cuerpos de seguridad del Estado y las policías autonómicas, así como la ciberseguridad, que será abordada en otra normativa específica.
Evaluación de Amenazas y Riesgos: Un Enfoque Proactivo
La ley introduce la figura de la Evaluación Nacional de Amenazas y Riesgos, que será elaborada por la Secretaría de Estado de Seguridad. Esta evaluación tendrá como objetivo identificar las entidades críticas y ayudarles a adoptar medidas adecuadas y proporcionadas para garantizar su resiliencia. La evaluación considerará una amplia gama de riesgos y amenazas, tanto de origen natural como humano, incluyendo accidentes, catástrofes naturales, emergencias de salud pública, amenazas híbridas y terrorismo. Un enfoque proactivo en la evaluación de riesgos permitirá a las entidades anticiparse a posibles incidentes y tomar medidas preventivas para minimizar su impacto.
La Evaluación Nacional de Amenazas y Riesgos también tendrá en cuenta los riesgos intersectoriales y transfronterizos, reconociendo que las infraestructuras críticas están cada vez más interconectadas y que un incidente en un sector puede tener consecuencias en otros. Esta perspectiva integral permitirá una gestión más coordinada y efectiva de los riesgos, asegurando que se tengan en cuenta todas las posibles vulnerabilidades. La evaluación se revisará periódicamente para adaptarse a la evolución de las amenazas y a los cambios en el entorno.
Notificación de Incidentes y Esquema Nacional de Certificación
La ley establece la obligación de las entidades críticas de notificar a la Secretaría de Estado de Seguridad, a través del Centro Nacional para la Protección y Resiliencia de las Entidades Críticas, los incidentes que puedan perturbar de forma significativa la prestación de servicios esenciales. La notificación deberá realizarse en un plazo máximo de 24 horas desde que se tenga conocimiento del incidente, salvo que se acredite la incapacidad de hacerlo. Esta obligación de notificación es fundamental para garantizar una respuesta rápida y coordinada ante cualquier amenaza, permitiendo a las autoridades evaluar la situación y tomar las medidas necesarias para proteger a la población.
Además, la ley prevé la creación de un esquema nacional de certificación en materia de resiliencia de las entidades críticas. Este esquema permitirá evaluar y acreditar la capacidad de las entidades para prevenir, resistir, absorber, adaptarse y recuperarse de incidentes. La certificación de resiliencia se convertirá en un sello de calidad que demostrará el compromiso de las entidades con la seguridad y la protección de los servicios esenciales. La ley también introduce el concepto de "efecto perturbador significativo", que servirá para determinar la gravedad de un incidente y la necesidad de tomar medidas específicas.
Sanciones y Responsabilidades
La ley establece un régimen de sanciones para las entidades que cometan infracciones, incluyendo multas de hasta 10 millones de euros para las infracciones muy graves. Estas infracciones incluyen la ausencia de notificación de incidentes perturbadores en la prestación de servicios esenciales dentro del plazo establecido, si causa un riesgo o perjuicio muy grave. Además de la multa, las sanciones pueden incluir la suspensión temporal de licencias, autorizaciones o permisos, así como la clausura temporal de fábricas, locales o establecimientos. Estas sanciones buscan disuadir a las entidades de incumplir la ley y garantizar que se tomen las medidas necesarias para proteger las infraestructuras críticas.
La ley también establece las responsabilidades de las entidades críticas en materia de seguridad y resiliencia. Las entidades deberán implementar medidas de seguridad adecuadas para proteger sus infraestructuras y servicios, así como elaborar planes de contingencia para hacer frente a posibles incidentes. La ley también establece la obligación de cooperar con las autoridades competentes en materia de seguridad y de facilitar la información necesaria para la evaluación de riesgos y la respuesta ante incidentes. El cumplimiento de estas responsabilidades es fundamental para garantizar la protección de las infraestructuras críticas y la seguridad de la sociedad.
Consideraciones Sectoriales Específicas
El anteproyecto de ley reconoce las particularidades de diferentes sectores, como el bancario, las infraestructuras de los mercados financieros y las infraestructuras digitales. Para el sector bancario, se contemplan medidas específicas para proteger la estabilidad financiera y evitar el contagio de crisis. En cuanto a las infraestructuras de los mercados financieros, se refuerzan los requisitos de seguridad para garantizar la integridad de los sistemas de negociación y liquidación. Para las infraestructuras digitales, se establece la necesidad de proteger los sistemas de información y las redes de comunicación contra ciberataques y otras amenazas.
Estas consideraciones sectoriales específicas demuestran la voluntad del Gobierno de adaptar la normativa a las necesidades y características de cada sector, garantizando una protección más efectiva de las infraestructuras críticas. La ley también prevé la posibilidad de desarrollar normativa específica para otros sectores en el futuro, en función de la evolución de las amenazas y de las necesidades de seguridad. La flexibilidad de la normativa permitirá adaptarla a los cambios en el entorno y garantizar su eficacia a largo plazo.
Artículos relacionados