Protección de Infraestructuras Críticas

Tema desarrollado para preparar el primer ejercicio de conocimientos de la Escala Ejecutiva (Inspector/a) de la Policía Nacional. La información es orientativa y está verificada a la fecha de actualización frente al BOE. La norma base es la Ley 8/2011, de 28 de abril, por la que se establecen medidas para la protección de las infraestructuras críticas, y su Reglamento (RD 704/2011); los artículos de la Ley 8/2011 se reproducen literalmente del texto consolidado (BOE-A-2011-7630). El contenido evaluable lo fija el temario del anexo II de tu convocatoria (Resolución de 31 de julio de 2025, BOE-A-2025-16611).

Índice

• 0. Introducción: por qué proteger las infraestructuras críticas
• 1. Conceptos y sectores estratégicos
  • 1.1. Las definiciones del art. 2
  • 1.2. Los doce sectores estratégicos
• 2. El Catálogo Nacional de Infraestructuras Estratégicas
• 3. El Sistema de Protección de Infraestructuras Críticas y sus agentes
• 4. Los instrumentos de planificación
• 5. Operadores críticos y comunicaciones con la Administración
• 6. Ciberseguridad
• 7. El papel de la Policía Nacional
• Ideas fuerza para el test

0. Introducción: por qué proteger las infraestructuras críticas

Las sociedades modernas dependen de un conjunto de infraestructuras —energéticas, de agua, de transporte, financieras, sanitarias o de telecomunicaciones— cuyo funcionamiento continuo resulta indispensable para la vida cotidiana. Un ataque terrorista, un sabotaje, un desastre natural o un incidente cibernético que inutilice una de estas instalaciones puede provocar consecuencias en cascada de enorme gravedad. Por ello, la protección de las infraestructuras críticas se ha convertido en una política pública de primer orden, en el cruce entre la seguridad nacional, la seguridad ciudadana y la resiliencia económica.

El impulso normativo tiene un claro origen europeo y responde a la experiencia de los grandes atentados de principios de siglo —Nueva York, Madrid, Londres—, que evidenciaron la vulnerabilidad de los servicios esenciales frente a la amenaza terrorista y la necesidad de una respuesta coordinada. La Unión Europea aprobó, en respuesta, la Directiva 2008/114/CE, de 8 de diciembre, sobre la identificación y designación de infraestructuras críticas europeas. España la transpuso mediante la Ley 8/2011, de 28 de abril, por la que se establecen medidas para la protección de las infraestructuras críticas, desarrollada por el Real Decreto 704/2011, de 20 de mayo, que aprobó su Reglamento. La Ley 8/2011 crea un sistema integral que agrupa a las Administraciones y a los operadores en torno a un objetivo común y sienta las bases de la cooperación público-privada, pues buena parte de las infraestructuras críticas están en manos de empresas privadas. En el ámbito europeo, la Directiva 2008/114/CE ha sido sustituida por la Directiva (UE) 2022/2557 sobre la resiliencia de las entidades críticas (Directiva CER), que amplía el enfoque de la protección a la resiliencia y cuya transposición actualiza progresivamente el marco español.

La Ley 8/2011 persigue un doble objetivo, según su artículo 1: por un lado, regular la protección de las infraestructuras críticas contra ataques deliberados de toda naturaleza (con especial atención a la amenaza terrorista); y, por otro, impulsar y coordinar los mecanismos necesarios para garantizar la seguridad de las infraestructuras que prestan servicios esenciales. La ley se aplica tanto a las infraestructuras de titularidad pública como privada, y su desarrollo reglamentario (RD 704/2011) precisa el funcionamiento del sistema, los agentes, los instrumentos de planificación y las obligaciones de los operadores. Buena parte del contenido operativo del sistema tiene carácter reservado o clasificado, de modo que el estudio se centra en la arquitectura y los conceptos, no en el detalle sensible de cada infraestructura.

El Reglamento de Protección de las Infraestructuras Críticas (RD 704/2011) desarrolla la ley en tres grandes bloques: la organización del Sistema PIC (agentes y sus funciones), los instrumentos de planificación (los cinco planes que se examinan en el apartado 4) y las obligaciones de los operadores críticos, incluida la designación de sus figuras de seguridad. El Reglamento fija también el procedimiento de designación de las infraestructuras críticas y de los operadores, los plazos de elaboración y aprobación de cada plan y el régimen de confidencialidad de la información. La estructura de la ley, por su parte, se ordena en un título preliminar de disposiciones generales, el régimen del Sistema y de sus agentes, el Catálogo, y el marco de planificación, cerrándose con el anexo de sectores; conocer esta arquitectura permite ubicar cada institución con rapidez.

La protección de infraestructuras críticas se integra, además, en el marco más amplio de la Seguridad Nacional (Ley 36/2015, de Seguridad Nacional): las infraestructuras críticas son uno de los ámbitos de especial interés de la Estrategia de Seguridad Nacional, junto con la ciberseguridad, la seguridad energética o la protección ante emergencias. Esta integración permite que la respuesta a una amenaza contra una infraestructura crítica pueda coordinarse, si es necesario, desde el Consejo de Seguridad Nacional y con el conjunto de capacidades del Estado. La materia trasciende, así, la mera protección física de unas instalaciones: se trata de garantizar la continuidad de la vida en sociedad —el suministro eléctrico, el agua potable, las comunicaciones, la sanidad, los pagos— frente a agresiones deliberadas, fallos técnicos o catástrofes, mediante la cooperación de todos los actores implicados.

El rasgo distintivo del sistema es la cooperación público-privada. La mayor parte de las infraestructuras críticas —centrales eléctricas, redes de telecomunicaciones, entidades financieras, plantas potabilizadoras— pertenecen a empresas privadas, de modo que el Estado no puede protegerlas por sí solo: necesita implicar a sus titulares. Por eso la Ley 8/2011 no se limita a imponer obligaciones, sino que construye un modelo de corresponsabilidad en el que la Administración aporta la inteligencia sobre la amenaza, la coordinación y el apoyo policial, y el operador aporta el conocimiento de su instalación, las medidas de seguridad y la respuesta inmediata. Este equilibrio entre el interés público en la continuidad de los servicios esenciales y la iniciativa privada que los presta es la idea que vertebra todo el tema y que conviene tener presente al estudiar cada una de sus piezas.

1. Conceptos y sectores estratégicos

1.1. Las definiciones del art. 2

El art. 2 de la Ley 8/2011 contiene un glosario que constituye la materia más preguntada del tema y que conviene manejar con literalidad. La escala conceptual parte del servicio esencial:

«A los efectos de la presente Ley, se entenderá por:
a) Servicio esencial: el servicio necesario para el mantenimiento de las funciones sociales básicas, la salud, la seguridad, el bienestar social y económico de los ciudadanos, o el eficaz funcionamiento de las Instituciones del Estado y las Administraciones Públicas.» (art. 2 Ley 8/2011)

Repárese en que la definición no se agota en el bienestar de los ciudadanos: incluye «o el eficaz funcionamiento de las Instituciones del Estado y las Administraciones Públicas», coletilla que el tribunal suele omitir en los distractores. Sobre esa base se construyen los conceptos de infraestructura:

«d) Infraestructuras estratégicas: las instalaciones, redes, sistemas y equipos físicos y de tecnología de la información sobre las que descansa el funcionamiento de los servicios esenciales.
e) Infraestructuras críticas: las infraestructuras estratégicas cuyo funcionamiento es indispensable y no permite soluciones alternativas, por lo que su perturbación o destrucción tendría un grave impacto sobre los servicios esenciales.
f) Infraestructuras críticas europeas: aquellas infraestructuras críticas situadas en algún Estado miembro de la Unión Europea, cuya perturbación o destrucción afectaría gravemente al menos a dos Estados miembros, todo ello con arreglo a la Directiva 2008/114, del Consejo, de 8 de diciembre [...] (en adelante, Directiva 2008/114/CE).» (art. 2 Ley 8/2011)

La progresión es nítida: un servicio esencial se sustenta en infraestructuras estratégicas; cuando una de estas es indispensable y no permite soluciones alternativas, pasa a ser infraestructura crítica; y si su perturbación afectaría gravemente al menos a dos Estados miembros, es infraestructura crítica europea. La ley define también el sujeto obligado por excelencia, el operador crítico, con su coletilla final:

«m) Operadores críticos: las entidades u organismos responsables de las inversiones o del funcionamiento diario de una instalación, red, sistema, o equipo físico o de tecnología de la información designada como infraestructura crítica con arreglo a la presente Ley.» (art. 2 Ley 8/2011)

Completan el glosario, entre otros, la protección de infraestructuras críticas —«el conjunto de actividades destinadas a asegurar la funcionalidad, continuidad e integridad de las infraestructuras críticas con el fin de prevenir, paliar y neutralizar el daño causado por un ataque deliberado» (letra k)—; y el sector estratégico (letra b, área que proporciona un servicio esencial o garantiza la autoridad del Estado o la seguridad del país). Merecen cita literal tres nociones técnicas de rendimiento en el examen. La zona crítica (letra g):

«g) Zona crítica: aquella zona geográfica continua donde estén establecidas varias infraestructuras críticas a cargo de operadores diferentes e interdependientes, que sea declarada como tal por la Autoridad competente. [...]» (art. 2 Ley 8/2011)

Las interdependencias (letra j), que explican el temido efecto en cascada:

«j) Interdependencias: los efectos que una perturbación en el funcionamiento de la instalación o servicio produciría en otras instalaciones o servicios, distinguiéndose las repercusiones en el propio sector y en otros sectores, y las repercusiones de ámbito local, autonómico, nacional o internacional.» (art. 2 Ley 8/2011)

Y los criterios horizontales de criticidad (letra h), que son los parámetros con los que se decide si una infraestructura estratégica es, además, crítica: (1) el número de personas afectadas (víctimas mortales o heridos graves y consecuencias para la salud pública); (2) el impacto económico (pérdidas económicas y deterioro de productos y servicios); (3) el impacto medioambiental; y (4) el impacto público y social (incidencia en la confianza de la población, sufrimiento físico y alteración de la vida cotidiana, incluida la pérdida de servicios esenciales). A ellos se añade el análisis de riesgos (letra i) y el Catálogo Nacional de Infraestructuras Estratégicas (letra o), del que se ocupa el apartado 2. La criticidad se determina ponderando estos criterios horizontales, junto con criterios sectoriales: no toda infraestructura estratégica es crítica, sino solo aquella cuya perturbación tendría un grave impacto y para la que no existe alternativa, de modo que el universo de las críticas es mucho más reducido que el de las estratégicas.

1.2. Los doce sectores estratégicos

El anexo de la Ley 8/2011 identifica doce sectores estratégicos —y los ministerios u organismos del sistema competentes en cada uno—. Es una lista de memorización clásica:

• Administración
• Espacio
• Industria nuclear
• Industria química
• Instalaciones de investigación
• Agua
• Energía
• Salud
• Tecnologías de la Información y las Comunicaciones (TIC)
• Transporte
• Alimentación
• Sistema financiero y tributario

Cada sector se subdivide en subsectores y ámbitos (art. 2.c: los subsectores los aprueba, en un documento técnico, el CNPIC), y para cada uno se elabora su planificación estratégica. Así, dentro de la Energía se distinguen electricidad, gas y petróleo; dentro del Transporte, los ámbitos aéreo, marítimo, ferroviario y por carretera; dentro de las TIC, las redes de telefonía, de datos y los servicios esenciales de Internet; y dentro del Agua, la captación, el almacenamiento, la potabilización y la distribución. El procedimiento de designación sigue una secuencia lógica: a partir de los Planes Estratégicos Sectoriales y de los análisis de riesgos, el CNPIC propone qué infraestructuras deben considerarse críticas y qué entidades son sus operadores; la Comisión Nacional adopta el acuerdo de designación; y este se notifica al operador afectado, momento a partir del cual corren los plazos para elaborar sus planes de seguridad. La designación como infraestructura crítica europea requiere, además, un procedimiento de identificación bilateral o multilateral con los demás Estados miembros afectados, conforme a la directiva europea, y todo ello con las debidas garantías de confidencialidad.

2. El Catálogo Nacional de Infraestructuras Estratégicas

El Catálogo Nacional de Infraestructuras Estratégicas, definido en el art. 2.o, es el registro que contiene «la información completa, actualizada, contrastada e informáticamente sistematizada relativa a las características específicas de cada una de las infraestructuras estratégicas existentes en el territorio nacional». Incluye tanto las infraestructuras estratégicas en general como, dentro de ellas, las infraestructuras críticas y las infraestructuras críticas europeas, y recoge datos de descripción, ubicación, titularidad, servicios que prestan, dependencias y nivel de seguridad. Dada su extraordinaria sensibilidad, el Catálogo tiene la consideración de información clasificada conforme a la legislación de secretos oficiales, con el grado que reglamentariamente se determine.

Su gestión corresponde al CNPIC: el art. 7.3 de la ley le atribuye expresamente «la realización de altas, bajas y modificaciones de infraestructuras en el Catálogo, así como la determinación de la criticidad de las infraestructuras estratégicas incluidas en el mismo». El acceso a su contenido está estrictamente restringido y sometido al principio de necesidad de conocer: solo pueden consultarlo, y únicamente en la parte que les corresponda, los agentes del sistema debidamente autorizados, con arreglo a la clasificación de seguridad de la información. La divulgación no autorizada de estos datos podría facilitar precisamente los ataques que el sistema pretende evitar, por lo que su protección se refuerza con las garantías de la legislación sobre secretos oficiales y de protección de datos. El Catálogo es la herramienta central de conocimiento del sistema —no se puede proteger lo que no se conoce— y su actualización permanente es condición del buen funcionamiento del conjunto. La incorporación de una infraestructura al Catálogo, y en particular su designación como crítica, activa el conjunto de obligaciones del operador, singularmente la elaboración de sus planes de seguridad.

La información del Catálogo se estructura por sectores, subsectores y tipos de infraestructura e incorpora los datos aportados por los propios operadores y por los distintos ministerios del sistema, lo que lo convierte en un instrumento vivo y en permanente evolución. Para cada infraestructura se recogen, entre otros, sus datos de identificación y ubicación, el servicio esencial que sustenta, su titularidad y su nivel de seguridad, así como sus principales dependencias e interdependencias con otras infraestructuras. Esta última información es especialmente valiosa para anticipar los efectos en cascada: conocer qué instalaciones dependen de cuáles permite priorizar la protección y planificar la respuesta ante un incidente. Precisamente por concentrar información tan sensible, el Catálogo se blinda con las máximas garantías: su condición de información clasificada, el principio de necesidad de conocer y el control de accesos aseguran que su contenido no pueda emplearse, paradójicamente, para planificar los ataques que el sistema pretende conjurar.

3. El Sistema de Protección de Infraestructuras Críticas y sus agentes

El art. 5 de la ley define el Sistema de Protección de Infraestructuras Críticas (el Sistema PIC) y enumera taxativamente a sus agentes:

«1. El Sistema de Protección de Infraestructuras Críticas [...] se compone de una serie de instituciones, órganos y empresas, procedentes tanto del sector público como del privado, con responsabilidades en el correcto funcionamiento de los servicios esenciales o en la seguridad de los ciudadanos.
2. Son agentes del Sistema [...]:
a) La Secretaría de Estado de Seguridad del Ministerio del Interior.
b) El Centro Nacional para la Protección de las Infraestructuras Críticas.
c) Los Ministerios y organismos integrados en el Sistema [...].
d) Las Comunidades Autónomas y las Ciudades con Estatuto de Autonomía.
e) Las Delegaciones del Gobierno en las Comunidades Autónomas y en las Ciudades con Estatuto de Autonomía.
f) Las Corporaciones Locales, a través de la asociación de Entidades Locales de mayor implantación a nivel nacional.
g) La Comisión Nacional para la Protección de las Infraestructuras Críticas.
h) El Grupo de Trabajo Interdepartamental para la Protección de las Infraestructuras Críticas.
i) Los operadores críticos del sector público y privado.» (art. 5 Ley 8/2011)

Conviene profundizar en los órganos capitales. La Secretaría de Estado de Seguridad es, según el art. 6, «el órgano superior del Ministerio del Interior responsable del Sistema de Protección de las infraestructuras críticas nacionales», que ejerce sus competencias «con la asistencia de los demás integrantes del Sistema y, principalmente, del Centro Nacional para la Protección de las Infraestructuras Críticas». El CNPIC es el órgano director y de coordinación, configurado en el art. 7:

«1. Se crea el Centro Nacional para la Protección de las Infraestructuras Críticas (en adelante, el CNPIC) como órgano ministerial encargado del impulso, la coordinación y supervisión de todas las actividades que tiene encomendadas la Secretaría de Estado de Seguridad en relación con la protección de las Infraestructuras Críticas en el territorio nacional.
2. El CNPIC dependerá orgánicamente de la Secretaría de Estado de Seguridad, y sus funciones serán las que reglamentariamente se establezcan.
3. [...] corresponderá al CNPIC la realización de altas, bajas y modificaciones de infraestructuras en el Catálogo, así como la determinación de la criticidad de las infraestructuras estratégicas incluidas en el mismo.» (art. 7 Ley 8/2011)

Los ministerios y organismos del Sistema (art. 8) impulsan las políticas de seguridad sobre cada sector estratégico y actúan como puntos de contacto especializados; su alta o baja se efectúa modificando el anexo, y un mismo ministerio puede tener competencias sobre dos o más sectores. Las Delegaciones del Gobierno (art. 9) ejercen sus funciones bajo la autoridad del Secretario de Estado de Seguridad, y las comunidades autónomas con competencias en seguridad pública y las corporaciones locales participan en su ámbito. La Comisión Nacional para la Protección de las Infraestructuras Críticas es el órgano colegiado —presidido por el Secretario de Estado de Seguridad e integrado por representantes de los ministerios y organismos con competencias— cuyas funciones esenciales son aprobar los Planes Estratégicos Sectoriales y designar formalmente a los operadores críticos; el Grupo de Trabajo Interdepartamental, órgano de apoyo y estudio de la Comisión, prepara sus trabajos, elabora las propuestas y coordina técnicamente a los distintos departamentos. Este entramado combina la dirección estatal —Interior, Secretaría de Estado de Seguridad y CNPIC— con la participación del resto de Administraciones y del sector privado, en un modelo de corresponsabilidad imprescindible dado que la mayor parte de las infraestructuras no son de titularidad estatal. Debe subrayarse que hoy el CNPIC integra también, en la práctica, competencias de ciberseguridad, articulando la protección física y la lógica.

4. Los instrumentos de planificación

El Reglamento (RD 704/2011) articula la protección en una escalera de planes que van de lo general a lo concreto y que constituyen una de las claves del tema. Son cinco:

• Plan Nacional de Protección de las Infraestructuras Críticas (PNPIC): instrumento de programación general que dirige y coordina las actuaciones precisas para proteger las infraestructuras críticas frente a las amenazas. Lo dirige la Secretaría de Estado de Seguridad.
• Planes Estratégicos Sectoriales (PES): estudian, por cada sector estratégico, los riesgos, las vulnerabilidades y las consecuencias potenciales, y establecen los criterios y las líneas de actuación. Los aprueba la Comisión Nacional.
• Plan de Seguridad del Operador (PSO): documento estratégico que elabora cada operador crítico y en el que define su política general de seguridad y el marco organizativo para garantizar la protección de todas sus infraestructuras.
• Planes de Protección Específicos (PPE): documentos operativos que elabora el operador para cada una de sus infraestructuras críticas, con las medidas concretas —permanentes, temporales graduales y de seguridad de los sistemas de información—.
• Planes de Apoyo Operativo (PAO): los elabora el Cuerpo Policial estatal o autonómico competente para cada infraestructura crítica, plasmando las medidas de vigilancia, prevención, protección o reacción que prestarán las Fuerzas y Cuerpos de Seguridad en apoyo del operador.

La lógica del sistema es de complementariedad: los planes de nivel superior (PNPIC y PES) fijan el marco; el operador asume su parte con el PSO y los PPE; y las Fuerzas y Cuerpos de Seguridad refuerzan la protección con los PAO. Tras la designación de una infraestructura como crítica, el operador dispone de un plazo para presentar su PSO —que incluye la política de seguridad, el análisis de riesgos de todas sus infraestructuras y el marco de gestión— y, a continuación, los PPE de cada infraestructura, que detallan las medidas de seguridad permanentes (adoptadas de forma constante), las temporales graduales (que se activan según el nivel de amenaza declarado) y las de seguridad de los sistemas de información. Los PPE deben ser informados por el Delegado del Gobierno o el órgano competente y aprobados por el CNPIC, y los PAO del cuerpo policial se coordinan con ellos para que exista correspondencia entre lo que hace el operador y lo que aporta la seguridad pública. El conjunto se revisa periódicamente y se actualiza cuando cambian las circunstancias de amenaza o de la propia infraestructura.

Conviene fijar la autoría y aprobación de cada plan, que es lo más preguntado: el PNPIC lo dirige la Secretaría de Estado de Seguridad; los PES los elabora el Grupo de Trabajo Interdepartamental y los aprueba la Comisión Nacional; el PSO y los PPE los elabora el operador crítico (el PSO, con visión estratégica y global de todas sus infraestructuras; los PPE, con visión operativa e individualizada por cada infraestructura crítica), correspondiendo su aprobación al CNPIC; y los PAO los elabora el Cuerpo Policial estatal o autonómico competente. Las medidas de seguridad de los PPE se clasifican en permanentes (de aplicación constante), temporales graduales (que se activan y se intensifican en función del nivel de seguridad declarado) y de seguridad de los sistemas de información (la vertiente ciber). El Reglamento fija plazos tasados: tras la notificación de la designación como crítica, el operador dispone de un plazo para presentar el PSO y, después, los PPE; y el cuerpo policial competente elabora el PAO en coordinación con estos. La distinción entre el nivel estratégico (PSO) y el nivel operativo (PPE), y entre lo que corresponde al operador y lo que corresponde a la seguridad pública (PAO), es la clave para responder cualquier pregunta sobre planificación.

5. Operadores críticos y comunicaciones con la Administración

La designación como operador crítico comporta obligaciones relevantes: elaborar y mantener actualizados el PSO y los PPE; colaborar con el sistema y con las Fuerzas y Cuerpos de Seguridad; facilitar las inspecciones y la información; adoptar las medidas de seguridad —físicas y lógicas— previstas en sus planes; comunicar los incidentes que afecten a la seguridad de sus infraestructuras; y designar dos figuras clave. El Responsable de Seguridad y Enlace es la persona, con habilitación de director de seguridad, que representa al operador ante la Secretaría de Estado de Seguridad en todo lo relativo a la seguridad de sus infraestructuras y canaliza las comunicaciones. El Delegado de Seguridad de la infraestructura es el enlace operativo de cada infraestructura crítica concreta con las autoridades competentes, disponible para la coordinación en caso de activación de los planes o de incidente. No conviene confundir ambas figuras: el Responsable de Seguridad y Enlace tiene alcance corporativo (representa al operador para el conjunto de sus infraestructuras y ha de contar con habilitación de director de seguridad), mientras que el Delegado de Seguridad tiene alcance local (es el enlace de una infraestructura crítica concreta con las autoridades).

El procedimiento de designación de un operador crítico se desencadena a partir de los Planes Estratégicos Sectoriales y de los análisis de riesgos: el CNPIC instruye la propuesta, la Comisión Nacional adopta el acuerdo y este se notifica al interesado, abriéndose entonces los plazos para la elaboración de los planes de seguridad. A partir de la designación, el operador queda sujeto a un régimen de inspección y verificación por parte de las autoridades competentes, que comprueban la efectiva implantación de las medidas previstas en sus planes y el cumplimiento de sus obligaciones. La colaboración es, por tanto, un deber continuo, no un mero trámite inicial: el operador debe mantener actualizados sus planes, comunicar los cambios relevantes en la infraestructura o en el escenario de amenaza y facilitar cuanta información y acceso resulten precisos para la labor inspectora.

Las comunicaciones entre los operadores críticos y las Administraciones Públicas se rigen por principios de confidencialidad, seguridad y colaboración. La información sensible se maneja con arreglo a su clasificación, y el CNPIC actúa como punto central de contacto y de intercambio. En situaciones de elevación del nivel de amenaza —por ejemplo, la activación del Plan de Prevención y Protección Antiterrorista y sus niveles de alerta—, el sistema permite trasladar con rapidez instrucciones y medidas reforzadas a los operadores a través de sus Responsables de Seguridad y Enlace y de los Delegados de Seguridad. La lealtad informativa es esencial: el operador debe comunicar los incidentes significativos, y la Administración debe compartir la información de amenaza pertinente.

La protección de las infraestructuras críticas se articula, además, con la seguridad privada examinada en temas anteriores: muchos operadores contratan servicios de vigilancia y disponen de departamentos de seguridad dirigidos por directores de seguridad habilitados, que colaboran con las Fuerzas y Cuerpos de Seguridad en la aplicación de los planes. Es importante advertir que la Ley 8/2011 no contiene un régimen sancionador propio: el incumplimiento de las obligaciones del operador se reconduce, según los casos, a la responsabilidad prevista en la legislación sectorial aplicable y, en su caso, a la normativa de seguridad privada o de seguridad ciudadana, además de la eventual responsabilidad por los daños causados. Este planteamiento subraya que el sistema descansa más en la cooperación y la corresponsabilidad público-privadas que en la mera coacción.

6. Ciberseguridad

La protección de las infraestructuras críticas tiene una dimensión física y una dimensión lógica o cibernética cada vez más importante, pues muchos servicios esenciales dependen de sistemas informáticos y de control industrial expuestos a ciberataques. En el ámbito europeo, la Directiva (UE) 2016/1148 (Directiva NIS) estableció las primeras medidas para un elevado nivel común de seguridad de las redes y sistemas de información; España la transpuso mediante el Real Decreto-ley 12/2018, de 7 de septiembre, desarrollado por el Real Decreto 43/2021, de 26 de enero. En el sector público rige, además, el Esquema Nacional de Seguridad (ENS), aprobado por el Real Decreto 311/2022, de 3 de mayo, que fija los principios y requisitos mínimos de seguridad de los sistemas de información de las Administraciones.

El Real Decreto-ley 12/2018 distingue dos grandes grupos de sujetos obligados: los operadores de servicios esenciales —entre los que se encuentran, precisamente, los operadores críticos designados conforme a la Ley 8/2011— y los proveedores de servicios digitales (mercados en línea, motores de búsqueda y servicios de computación en la nube). A todos ellos se les imponen obligaciones de seguridad de sus redes y sistemas y, sobre todo, el deber de notificar los incidentes con efecto perturbador significativo a las autoridades competentes a través de los CSIRT de referencia: el CCN-CERT del Centro Criptológico Nacional (sector público), el INCIBE-CERT del Instituto Nacional de Ciberseguridad (ciudadanos y sector privado, gestionado con el CNPIC para los operadores críticos) y el ESPDEF-CERT del Ministerio de Defensa. La Estrategia Nacional de Ciberseguridad orienta la política del Estado, en el marco del Consejo de Seguridad Nacional, y en el nivel europeo la agencia ENISA apoya a los Estados.

Atención a una trampa frecuente sobre la vigencia. La Directiva (UE) 2022/2555 (NIS2) —que sustituye a la Directiva NIS de 2016, amplía notablemente los sectores y entidades sujetos y endurece las obligaciones de gobernanza, gestión de riesgos y notificación— es, como su propio nombre indica, una directiva de la Unión Europea, no una ley española. A la fecha de actualización de este tema (2026), su transposición al Derecho español sigue PENDIENTE: el instrumento previsto —el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad— se encuentra en tramitación y no está en vigor; de hecho, el plazo de transposición (17 de octubre de 2024) se incumplió y la Comisión Europea ha requerido a España su aprobación urgente. Por tanto, la NIS2 no debe presentarse como ley española vigente: opera como directiva que obliga a los Estados a transponerla, mientras el marco interno español en vigor sigue siendo el del RD-ley 12/2018, el RD 43/2021 y el ENS (RD 311/2022). En paralelo, la ya citada Directiva CER (UE) 2022/2557, sobre resiliencia de las entidades críticas, sustituye a la Directiva 2008/114/CE y también está pendiente de completar su transposición. La tendencia de fondo es la convergencia de la protección física (Ley 8/2011 y CER) y la ciberprotección (NIS2), que el CNPIC —con vocación de centro nacional de protección de infraestructuras y ciberseguridad— articula en España.

El Esquema Nacional de Seguridad (ENS), aprobado por el Real Decreto 311/2022, de 3 de mayo, merece atención propia por su vigencia y su relevancia para el sector público: establece la política de seguridad en la utilización de medios electrónicos, un conjunto de principios básicos y de requisitos mínimos que permiten una protección adecuada de la información, la categorización de los sistemas según el impacto de un incidente y la realización de auditorías periódicas de cumplimiento. La Estrategia Nacional de Ciberseguridad, integrada en la Estrategia de Seguridad Nacional y aprobada en el marco del Consejo de Seguridad Nacional, orienta la acción del Estado en la materia. La articulación de todos estos instrumentos —Ley 8/2011 para la protección física, RD-ley 12/2018, RD 43/2021 y ENS para la ciberseguridad, y la Ley 36/2015 de Seguridad Nacional como marco integrador— confirma que la seguridad de las infraestructuras críticas es hoy una tarea multidisciplinar en la que convergen la seguridad física, la lógica y la resiliencia, y en la que la coordinación entre organismos resulta tan importante como las medidas técnicas concretas.

7. El papel de la Policía Nacional

La Policía Nacional es un actor central de la protección de infraestructuras críticas. Como cuerpo policial competente en gran parte del territorio, elabora los Planes de Apoyo Operativo (PAO) de las infraestructuras críticas de su demarcación, en coordinación con los Planes de Protección Específicos de los operadores, y despliega las medidas de vigilancia, prevención, protección y reacción que corresponden a la seguridad pública. Participa, además, en el sistema a través de la Secretaría de Estado de Seguridad y del CNPIC, órganos de los que depende funcionalmente buena parte de esta actividad.

La protección se gradúa conforme al Plan de Prevención y Protección Antiterrorista, que establece cinco niveles de alerta (del 1 al 5, siendo el 5 el de riesgo muy alto). Cada nivel activa un paquete de medidas —de seguridad, de vigilancia y de información— que se intensifican de forma progresiva y afectan directamente a la protección reforzada de las infraestructuras críticas más expuestas. La elevación del nivel se traslada con rapidez a los operadores a través de sus Responsables de Seguridad y Enlace y de los Delegados de Seguridad de cada instalación, activándose las medidas temporales graduales previstas en los planes. Así, el sistema permite pasar de una protección estable en tiempos de normalidad a una protección reforzada ante un incremento de la amenaza, garantizando la continuidad de los servicios esenciales. La materia conecta, por último, con la investigación de la ciberdelincuencia por las unidades especializadas de la Policía Nacional y con el tratamiento de datos con fines penales examinado en el tema anterior. Para el Inspector, dominar esta arquitectura es imprescindible tanto en la planificación de la seguridad de su demarcación como en la respuesta a incidentes que afecten a instalaciones estratégicas.

En el trabajo cotidiano, el mando policial es la bisagra entre el operador y el sistema estatal: recibe, a través del CNPIC y de la Delegación del Gobierno, las instrucciones derivadas de la elevación del nivel de alerta; coordina con el Responsable de Seguridad y Enlace y con los Delegados de Seguridad la aplicación de las medidas temporales graduales; y verifica que la protección física de la instalación (accesos, perímetros, vigilancia) se corresponde con lo previsto en los planes. La correcta correspondencia entre el PPE del operador y el PAO policial es la clave operativa del sistema: el primero define lo que hace el titular de la infraestructura; el segundo, lo que aporta la seguridad pública. Un incidente —un aviso de bomba en una central eléctrica, un ciberataque a un hospital, la intrusión en una infraestructura de agua— pone a prueba esa coordinación, y de su solidez depende que el servicio esencial se mantenga o se restablezca con la mayor rapidez posible. De ahí que el estudio de esta materia no sea meramente teórico: describe la forma en que el Estado organiza la protección de aquello sin lo cual la vida en sociedad se detendría. Comprender el reparto de papeles entre la Secretaría de Estado de Seguridad, el CNPIC, los operadores y las Fuerzas y Cuerpos de Seguridad, y saber quién elabora y quién aprueba cada plan, es lo que el tribunal busca comprobar y lo que el Inspector necesita para actuar con seguridad jurídica en la protección de las infraestructuras de su demarcación.

Ideas fuerza para el test

• Ley 8/2011, de 28 de abril (medidas de protección de IC) + RD 704/2011 (Reglamento); transponen la Directiva 2008/114/CE, hoy sustituida en el plano europeo por la Directiva (UE) 2022/2557 (CER).
• Conceptos (art. 2): servicio esencial → infraestructura estratégica → infraestructura crítica (indispensable y sin soluciones alternativas) → infraestructura crítica europea (afecta al menos a dos Estados miembros). Operadores críticos: responsables de las inversiones o del funcionamiento diario de una infraestructura designada como crítica.
• 12 sectores estratégicos (anexo): Administración, Espacio, Industria nuclear, Industria química, Instalaciones de investigación, Agua, Energía, Salud, TIC, Transporte, Alimentación y Sistema financiero y tributario.
• Catálogo Nacional de Infraestructuras Estratégicas (art. 2.o): información completa, actualizada, contrastada y sistematizada; clasificada; lo gestiona el CNPIC (altas, bajas, modificaciones y determinación de la criticidad, art. 7.3).
• Agentes del Sistema PIC (art. 5): Secretaría de Estado de Seguridad (superior, art. 6), CNPIC (órgano director, art. 7), ministerios y organismos, CCAA, Delegaciones del Gobierno, corporaciones locales, Comisión Nacional (colegiada), Grupo de Trabajo Interdepartamental y operadores críticos.
• Cinco planes: PNPIC (nacional), PES (sectorial, Comisión Nacional), PSO (estratégico, del operador), PPE (por infraestructura, del operador, aprueba el CNPIC) y PAO (Cuerpo Policial competente).
• Figuras del operador: Responsable de Seguridad y Enlace (director de seguridad, representa al operador ante la Secretaría de Estado de Seguridad) y Delegado de Seguridad (enlace operativo de cada infraestructura crítica concreta). La Ley 8/2011 no tiene régimen sancionador propio.
• Policía Nacional: elabora los PAO; protección graduada según los cinco niveles del Plan de Prevención y Protección Antiterrorista. La materia se integra en la Seguridad Nacional (Ley 36/2015).
• Ciberseguridad: Directiva NIS (2016/1148) → RD-ley 12/2018 y RD 43/2021; ENS = RD 311/2022. Actores: CCN-CERT (público), INCIBE-CERT (privado/ciudadanos), ESPDEF-CERT (defensa); ENISA en la UE.
• TRAMPA: la Directiva NIS2 (UE) 2022/2555 es una directiva cuya transposición en España sigue PENDIENTE en 2026 (Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, en tramitación): no es ley española vigente.