Tema desarrollado para preparar el examen de conocimientos de la Escala Básica (100 preguntas, 50 minutos). La información es orientativa y está verificada a fecha de actualización contra el BOE y fuentes oficiales. Las citas entre comillas angulares reproducen el articulado LITERAL de la Ley 8/2011; el resto de instituciones y planes se explica en RESUMEN, indicándolo expresamente, porque su regulación de detalle está en el reglamento y en normas técnicas.

Índice

• 0. Introducción y marco normativo
• 1. Conceptos clave (art. 2 de la Ley 8/2011)
• 2. Los doce sectores estratégicos
• 3. El Catálogo Nacional de Infraestructuras Estratégicas
• 4. El Sistema de Protección de Infraestructuras Críticas
  • 4.1. Los agentes del Sistema
  • 4.2. El CNPIC (art. 7 de la Ley 8/2011)
  • 4.3. Los órganos colegiados
• 5. Los instrumentos de planificación
• 6. Obligaciones de los operadores críticos
• 7. La ciberseguridad
  • 7.1. La Ley 36/2015 de Seguridad Nacional
  • 7.2. El Esquema Nacional de Seguridad (RD 311/2022)
  • 7.3. La Directiva NIS y su transposición (RD-ley 12/2018 y RD 43/2021)
  • 7.4. Los equipos de respuesta: CCN-CERT, INCIBE-CERT y ESPDEF-CERT
  • 7.5. La Directiva NIS2 (UE 2022/2555): trampa de vigencia
• 8. Dato de examen: PIC frente a ciberseguridad
• 9. Ideas fuerza para el test

0. Introducción y marco normativo

Un país moderno depende de un puñado de instalaciones y redes sin las cuales la vida se detiene: la electricidad, el agua potable, las telecomunicaciones, el sistema financiero, los hospitales, el transporte. Protegerlas frente a atentados y ataques, tanto físicos como cibernéticos, es el objeto de este tema. La materia tiene dos caras que el tribunal separa con nitidez y que conviene no mezclar: la protección de infraestructuras críticas (PIC), de naturaleza sobre todo física y organizativa, y la ciberseguridad, que protege los sistemas de información. Cada una tiene su bloque normativo propio.

El marco de la protección de infraestructuras críticas descansa en dos normas nacionales que traspusieron la Directiva europea 2008/114/CE, del Consejo, de 8 de diciembre, sobre identificación y designación de infraestructuras críticas europeas:

• La Ley 8/2011, de 28 de abril, por la que se establecen medidas para la protección de las infraestructuras críticas (BOE-A-2011-7630), conocida como Ley PIC. Es la norma con rango de ley que crea el sistema, define los conceptos y crea el CNPIC.
• El Real Decreto 704/2011, de 20 de mayo, que aprueba el Reglamento de protección de las infraestructuras críticas, que desarrolla la ley: concreta los agentes del Sistema, el contenido del Catálogo y la cascada de planes.

El órgano director de todo el sistema es el CNPIC, integrado en el Ministerio del Interior a través de la Secretaría de Estado de Seguridad. La Policía Nacional y la Guardia Civil participan en la protección operativa de las infraestructuras críticas de su respectiva demarcación, elaborando los planes de apoyo operativo que veremos más adelante. Por eso este tema es materia policial de primer orden.

El origen de este marco es europeo y responde a una preocupación nacida tras los grandes atentados de principios de siglo (Nueva York en 2001, Madrid en 2004, Londres en 2005): la constatación de que las sociedades avanzadas son extraordinariamente vulnerables si un atentado logra paralizar un servicio esencial. La Directiva 2008/114/CE se centró en un primer momento en dos sectores especialmente sensibles, la energía y el transporte, y estableció el procedimiento para identificar y designar las infraestructuras críticas europeas. España fue más allá de la directiva y, con la Ley 8/2011 y su reglamento, construyó un sistema nacional completo que abarca los doce sectores estratégicos, no solo la energía y el transporte.

El objeto de la Ley 8/2011 (art. 1) es doble: por un lado, regular la protección de las infraestructuras críticas frente a ataques deliberados de todo tipo (con especial atención a los de origen terrorista); por otro, definir un sistema organizativo que integre a las Administraciones Públicas y a los operadores, públicos y privados, en un esfuerzo de cooperación. La ley parte de una premisa realista: como la mayoría de las infraestructuras críticas están en manos privadas, la seguridad no puede imponerse solo desde arriba, sino que exige corresponsabilidad entre el Estado y los operadores.

1. Conceptos clave (art. 2 de la Ley 8/2011)

La ley maneja una escalera de conceptos que hay que distinguir con precisión, porque el examen juega precisamente con las diferencias entre ellos. Las definiciones son las del artículo 2 de la Ley 8/2011, que reproducimos de forma literal:

«Infraestructuras estratégicas: las instalaciones, redes, sistemas y equipos físicos y de tecnología de la información sobre las que descansa el funcionamiento de los servicios esenciales.» (art. 2, Ley 8/2011)

«Infraestructuras críticas: las infraestructuras estratégicas cuyo funcionamiento es indispensable y no permite soluciones alternativas, por lo que su perturbación o destrucción tendría un grave impacto sobre los servicios esenciales.» (art. 2, Ley 8/2011)

«Infraestructuras críticas europeas: aquellas infraestructuras críticas situadas en algún Estado miembro de la Unión Europea, cuya perturbación o destrucción afectaría gravemente al menos a dos Estados miembros, todo ello con arreglo a la Directiva 2008/114/CE, del Consejo, de 8 de diciembre.» (art. 2, Ley 8/2011)

«Servicio esencial: el servicio necesario para el mantenimiento de las funciones sociales básicas, la salud, la seguridad, el bienestar social y económico de los ciudadanos, o el eficaz funcionamiento de las Instituciones del Estado y las Administraciones Públicas.» (art. 2, Ley 8/2011)

«Operadores críticos: las entidades u organismos responsables de las inversiones o del funcionamiento diario de una instalación, red, sistema, o equipo físico o de tecnología de la información designada como infraestructura crítica con arreglo a la presente Ley.» (art. 2, Ley 8/2011)

La idea nuclear que hay que retener es esta jerarquía: existe un servicio esencial (la luz, el agua); sobre él descansan unas infraestructuras estratégicas (las centrales, las redes, los sistemas informáticos); y algunas de esas infraestructuras estratégicas son, además, críticas, porque su funcionamiento es indispensable y no permite soluciones alternativas. En una frase de examen: toda infraestructura crítica es estratégica, pero no toda estratégica es crítica. Lo que convierte a una infraestructura en crítica es la ausencia de alternativa a su servicio: si su caída puede suplirse con otra, no es crítica.

La infraestructura crítica europea (ICE) añade un elemento transfronterizo: es la infraestructura crítica cuya perturbación o destrucción afectaría gravemente al menos a dos Estados miembros de la Unión Europea. El operador crítico, por su parte, es la entidad, pública o privada, responsable de las inversiones o del funcionamiento diario de una infraestructura designada como crítica: es la empresa o el organismo que hay detrás de la instalación, y sobre él recaen las obligaciones de seguridad del sistema.

Dato de examen: memoriza la diferencia entre estratégica (soporta un servicio esencial) y crítica (estratégica + indispensable + sin alternativa). Y la clave de la ICE: afecta a dos o más Estados miembros. Un distractor típico define la infraestructura crítica sin el requisito de «no permite soluciones alternativas»: sin esa nota, es solo estratégica.

2. Los doce sectores estratégicos

El sistema no protege cualquier instalación, sino las que prestan servicios esenciales agrupados en sectores estratégicos. El anexo del RD 704/2011 identifica doce sectores estratégicos (dato de examen: son doce). Conviene tener la lista completa, porque es habitual que el test pregunte si un sector concreto está o no incluido:

• Administración
• Espacio
• Industria nuclear
• Industria química
• Instalaciones de investigación
• Agua
• Energía
• Salud
• Tecnologías de la información y las comunicaciones (TIC)
• Transporte
• Alimentación
• Sistema financiero y tributario

Cada sector estratégico se subdivide en subsectores y se asigna a uno o varios ministerios u organismos responsables, integrados en el Sistema. Algunos ejemplos ayudan a fijar la idea: el sector de la energía comprende la electricidad, los hidrocarburos y el gas; el del agua, los embalses, el almacenamiento, el tratamiento y las redes de distribución; el de las TIC, las redes de telecomunicaciones, los centros de datos y los servicios de internet; el del transporte, el aéreo, el marítimo, el ferroviario y el por carretera; y el sistema financiero y tributario, los servicios bancarios, los de pagos y los mercados de valores. Una misma empresa puede ser operador crítico en varios subsectores, y una infraestructura puede prestar servicio a más de un sector. Para cada sector se elabora, como veremos, un Plan Estratégico Sectorial que identifica los servicios esenciales, las amenazas y las medidas de protección propias del sector.

Dato de examen: el número es doce. Un error frecuente es olvidar sectores poco intuitivos como Espacio, Instalaciones de investigación o Administración, o añadir alguno que no figura como sector autónomo (por ejemplo, no aparece un sector de «defensa» separado). Si te preguntan «cuántos sectores estratégicos hay», la respuesta es doce.

3. El Catálogo Nacional de Infraestructuras Estratégicas

El Catálogo Nacional de Infraestructuras Estratégicas es el registro central del sistema. La propia Ley 8/2011 lo define de forma literal:

«Catálogo Nacional de Infraestructuras Estratégicas: la información completa, actualizada, contrastada e informáticamente sistematizada relativa a las características específicas de cada una de las infraestructuras estratégicas existentes en el territorio nacional.» (art. 2, Ley 8/2011)

Es decir, el Catálogo contiene todas las infraestructuras estratégicas del país (no solo las críticas), con la información necesaria para su protección: localización, titularidad, servicios que prestan, nivel de criticidad y datos de contacto de sus responsables. Sus notas de examen son dos:

• Su custodia, gestión y mantenimiento corresponde al Ministerio del Interior, a través de la Secretaría de Estado de Seguridad, y en la práctica lo gestiona el CNPIC. La ley (art. 7.3) le atribuye expresamente «la realización de altas, bajas y modificaciones de infraestructuras en el Catálogo, así como la determinación de la criticidad de las infraestructuras estratégicas incluidas en el mismo».
• Es un registro clasificado: su contenido tiene la clasificación de seguridad que corresponda y no es público, por la extrema sensibilidad de los datos. Difundir la localización y las vulnerabilidades de las infraestructuras críticas equivaldría a entregar un mapa a un posible atacante.

Dato de examen: el Catálogo abarca las infraestructuras estratégicas (el género), no solo las críticas; lo gestiona el CNPIC, que decide las altas, bajas y modificaciones y determina la criticidad; y es un documento clasificado, no accesible al público.

4. El Sistema de Protección de Infraestructuras Críticas

4.1. Los agentes del Sistema

El Sistema de Protección de Infraestructuras Críticas es el conjunto de instituciones, órganos y empresas, tanto de las Administraciones Públicas como del sector privado, con responsabilidades en la seguridad de las infraestructuras. No es un organismo, sino una red de agentes que cooperan. Según el RD 704/2011, sus agentes son, principalmente:

• La Secretaría de Estado de Seguridad del Ministerio del Interior y, dentro de ella, el CNPIC como órgano director.
• Los Ministerios y organismos integrados en el Sistema, que son los responsables de cada sector estratégico.
• Las Comunidades Autónomas y las Ciudades con Estatuto de Autonomía (Ceuta y Melilla).
• Las Delegaciones del Gobierno en las comunidades autónomas y en las Ciudades de Ceuta y Melilla.
• Las Corporaciones Locales, a través de la asociación de entidades locales de ámbito estatal con mayor implantación.
• La Comisión Nacional para la Protección de las Infraestructuras Críticas y el Grupo de Trabajo Interdepartamental (los dos órganos colegiados).
• Los operadores críticos, públicos y privados.

La lógica del sistema es de colaboración público-privada: la mayor parte de las infraestructuras críticas están en manos de empresas privadas (eléctricas, operadoras de telecomunicaciones, banca), de modo que su protección exige que el Estado y el sector privado trabajen juntos, compartiendo información sensible bajo estrictas garantías de confidencialidad.

4.2. El CNPIC (art. 7 de la Ley 8/2011)

El CNPIC es la pieza central del sistema. Lo crea el artículo 7 de la Ley 8/2011, que reproducimos literalmente:

«1. Se crea el Centro Nacional para la Protección de las Infraestructuras Críticas (en adelante, el CNPIC) como órgano ministerial encargado del impulso, la coordinación y supervisión de todas las actividades que tiene encomendadas la Secretaría de Estado de Seguridad en relación con la protección de las Infraestructuras Críticas en el territorio nacional. 2. El CNPIC dependerá orgánicamente de la Secretaría de Estado de Seguridad, y sus funciones serán las que reglamentariamente se establezcan. 3. Sin perjuicio de lo dispuesto en el apartado anterior, corresponderá al CNPIC la realización de altas, bajas y modificaciones de infraestructuras en el Catálogo, así como la determinación de la criticidad de las infraestructuras estratégicas incluidas en el mismo.» (art. 7, Ley 8/2011)

Dos precisiones importantes de actualidad. Primera: la ley crea el organismo con la denominación literal de «Centro Nacional para la Protección de las Infraestructuras Críticas», pero el Ministerio del Interior utiliza hoy la denominación ampliada «Centro Nacional de Protección de Infraestructuras y Ciberseguridad», que conserva las mismas siglas (CNPIC) y refleja que, con el tiempo, asumió también funciones de coordinación en ciberseguridad. Segunda: el CNPIC depende orgánicamente de la Secretaría de Estado de Seguridad (Ministerio del Interior); es el órgano de impulso, coordinación y supervisión de la protección de las infraestructuras críticas, gestiona el Catálogo, elabora los planes de ámbito nacional y actúa como punto de contacto nacional en la materia.

Dato de examen: el CNPIC lo crea el art. 7 de la Ley 8/2011; depende de la Secretaría de Estado de Seguridad del Ministerio del Interior; y le corresponden en exclusiva las altas, bajas y modificaciones del Catálogo y la determinación de la criticidad de las infraestructuras. Sus verbos clave son impulso, coordinación y supervisión.

4.3. Los órganos colegiados

El sistema se completa con dos órganos colegiados que apoyan al CNPIC (RESUMEN según el RD 704/2011):

• La Comisión Nacional para la Protección de las Infraestructuras Críticas: es el órgano colegiado de decisión. Le corresponde aprobar los Planes Estratégicos Sectoriales y designar a los operadores críticos, a propuesta del CNPIC. En ella están representados los ministerios y organismos con responsabilidades en la materia.
• El Grupo de Trabajo Interdepartamental para la Protección de las Infraestructuras Críticas: es el órgano de apoyo técnico a la Comisión Nacional. Entre otras tareas, elabora los Planes Estratégicos Sectoriales (que luego aprueba la Comisión) y propone la designación de operadores críticos.

Dato de examen: distingue quién decide (la Comisión Nacional: aprueba los PES y designa operadores críticos) de quién da apoyo técnico (el Grupo de Trabajo Interdepartamental: elabora los PES). Y no confundas ninguno de los dos con el CNPIC, que es el órgano director permanente que gestiona el Catálogo.

5. Los instrumentos de planificación

La protección se articula en una cascada de planes, que va de lo general (la política del Estado y de cada sector) a lo concreto (la seguridad de cada infraestructura). Es el cuadro más preguntado del tema. Lo explicamos en RESUMEN a partir del RD 704/2011:

Plan	Quién lo elabora	Alcance
Plan Nacional de Protección de las Infraestructuras Críticas (PNPIC)	La Secretaría de Estado de Seguridad	Instrumento de programación general de la protección en España; marco director del conjunto
Planes Estratégicos Sectoriales (PES)	Los elabora el Grupo de Trabajo Interdepartamental y los aprueba la Comisión Nacional	Uno por cada sector estratégico; fijan los criterios y las medidas de cada sector
Plan de Seguridad del Operador (PSO)	El operador crítico	Uno por operador: su política general de seguridad para todas sus infraestructuras
Plan de Protección Específico (PPE)	El operador crítico	Uno por cada infraestructura designada como crítica
Plan de Apoyo Operativo (PAO)	El cuerpo policial estatal o autonómico competente en la demarcación	Uno por cada infraestructura crítica; concreta el apoyo policial a su protección

La regla de oro que hay que memorizar es el reparto de autores. Los dos planes del operador se distinguen por su alcance: el PSO es la estrategia global del operador y es único (uno por operador), mientras que el PPE se refiere a una infraestructura concreta y hay uno por cada infraestructura crítica del operador. El PAO, en cambio, no lo hace el operador, sino la policía (la Policía Nacional o la Guardia Civil, según la demarcación, o el cuerpo autonómico competente), y también hay uno por cada infraestructura crítica.

Cada plan tiene un contenido característico que conviene distinguir. El PSO recoge la política general de seguridad del operador y el marco organizativo con el que aborda la protección de todas sus infraestructuras: define responsabilidades, metodología de análisis de riesgos y criterios de aplicación de las medidas. El PPE, en cambio, es un documento operativo referido a una infraestructura concreta: contiene las medidas de seguridad permanentes (las que se aplican siempre), las temporales (graduables según el nivel de alerta del Plan Nacional de Protección de las Infraestructuras Críticas) y las específicas frente a amenazas particulares. El PAO lo redacta la policía y planifica el apoyo y la respuesta de las Fuerzas y Cuerpos de Seguridad a esa infraestructura ante una amenaza o un incidente.

Hay unos plazos que a veces se preguntan y que conviene tener presentes en su lógica general: una vez que una entidad es designada operador crítico, dispone de un plazo para elaborar y presentar su PSO y, a continuación, el PPE de cada una de sus infraestructuras críticas; sobre la base del PPE, el cuerpo policial competente elabora el PAO correspondiente. La secuencia lógica, por tanto, es designación del operador, PSO, PPE y PAO. Los planes no son documentos estáticos: deben revisarse y actualizarse periódicamente y siempre que cambien las circunstancias que motivaron la designación o las medidas.

Dato de examen: el error más común es atribuir el PAO al operador: falso, lo elabora la policía. El segundo error es confundir PSO (uno por operador, su política global) con PPE (uno por cada infraestructura crítica). Y recuerda: el marco general es el PNPIC (Secretaría de Estado de Seguridad) y, por sector, los PES (elabora el Grupo de Trabajo Interdepartamental, aprueba la Comisión Nacional).

6. Obligaciones de los operadores críticos

Sobre el operador crítico recaen las obligaciones prácticas del sistema (RESUMEN de la Ley 8/2011 y el RD 704/2011). Las principales son: elaborar el Plan de Seguridad del Operador y los Planes de Protección Específicos de sus infraestructuras; colaborar con las autoridades del Sistema y facilitar la información necesaria; designar a dos figuras de enlace obligatorias, el Responsable de Seguridad y Enlace (interlocutor del operador con el CNPIC en el nivel corporativo y de planificación) y el Delegado de Seguridad de cada infraestructura crítica (interlocutor operativo, en el plano de la instalación concreta); y revisar y actualizar los planes periódicamente y ante cambios relevantes.

Dato de examen: no confundas las dos figuras de enlace. El Responsable de Seguridad y Enlace es la figura corporativa del operador (una por operador, se relaciona con el CNPIC); el Delegado de Seguridad es la figura de cada infraestructura (nivel operativo, en contacto con las Delegaciones del Gobierno y la policía de la demarcación).

La condición de operador crítico no se autoproclama: se adquiere por designación. El procedimiento (RESUMEN del RD 704/2011) parte del análisis de riesgos de cada sector, que permite identificar qué infraestructuras son críticas atendiendo a su criticidad. Para valorar la criticidad se ponderan, entre otros, criterios como el número de personas afectadas (víctimas potenciales), el impacto económico (pérdidas y deterioro de bienes y servicios), el impacto medioambiental y las consecuencias sobre la confianza pública y el funcionamiento de las instituciones. A partir de ese análisis, y a propuesta del CNPIC, la Comisión Nacional para la Protección de las Infraestructuras Críticas designa formalmente a los operadores críticos; la resolución se les notifica y, a partir de ese momento, nacen sus obligaciones de planificación.

Conviene subrayar una idea que el test aprecia: el sistema descansa en la confidencialidad. Toda la información sobre vulnerabilidades, planes y localización de infraestructuras críticas circula con clasificación de seguridad y solo se comparte con quien tiene necesidad de conocerla. La revelación indebida de esos datos puede constituir, además, una infracción grave o muy grave conforme a la propia LO 4/2015 de seguridad ciudadana estudiada en el tema anterior (por ejemplo, la intrusión en instalaciones que prestan servicios básicos o su sobrevuelo).

7. La ciberseguridad

La protección de las infraestructuras se extiende al ciberespacio: hoy la mayoría de los servicios esenciales dependen de sistemas de información, de modo que un ciberataque puede tener el mismo efecto devastador que un atentado físico. Las ciberamenazas son de muy distinta naturaleza (programas maliciosos o malware, secuestro de datos o ransomware, ataques de denegación de servicio, robo de credenciales, espionaje industrial o campañas de desinformación) y su origen puede ser delincuencia organizada, hacktivismo o incluso Estados. Un incidente en un operador crítico puede dejar sin luz a una región o paralizar un hospital, de ahí que la ciberseguridad se haya convertido en una prioridad de la seguridad nacional. El marco español de ciberseguridad es un mosaico de normas y organismos que conviene ordenar, y su columna vertebral son la notificación obligatoria de incidentes a los equipos de respuesta (CSIRT) y la cooperación entre el sector público y el privado.

7.1. La Ley 36/2015 de Seguridad Nacional

La Ley 36/2015, de 28 de septiembre, de Seguridad Nacional, es la norma marco que concibe la seguridad nacional como una política pública e integra en ella distintos ámbitos, entre ellos la ciberseguridad como uno de sus componentes. Su arquitectura institucional gira en torno al Consejo de Seguridad Nacional, órgano que asiste al Presidente del Gobierno en la dirección de la política de seguridad nacional y del que dependen los comités especializados, como el Consejo Nacional de Ciberseguridad. La Estrategia de Seguridad Nacional y las estrategias derivadas (entre ellas la de ciberseguridad) se aprueban en este marco. El Consejo de Seguridad Nacional funciona como Comisión Delegada del Gobierno y coordina la actuación de los distintos departamentos ante crisis y amenazas; por debajo de él, el Consejo Nacional de Ciberseguridad apoya al primero en el ámbito específico del ciberespacio, reforzando la coordinación entre los organismos con competencias (Interior, Defensa, CNI, transformación digital). La ley también prevé la declaración de la situación de interés para la seguridad nacional, un mecanismo de gestión de crisis que permite activar recursos de forma coordinada sin necesidad de acudir a los estados de alarma, excepción o sitio del artículo 116 de la Constitución.

7.2. El Esquema Nacional de Seguridad (RD 311/2022)

El Esquema Nacional de Seguridad (ENS) establece los requisitos y medidas de seguridad que deben cumplir los sistemas de información del sector público (y de las empresas privadas que le prestan servicios). Está previsto en el artículo 156.2 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, y se regula hoy por el Real Decreto 311/2022, de 3 de mayo, que derogó y sustituyó al anterior RD 3/2010. El ENS se construye sobre unos principios básicos (seguridad integral, gestión de riesgos, prevención, detección y respuesta, líneas de defensa, vigilancia continua y reevaluación periódica) y un catálogo de medidas de seguridad agrupadas en tres marcos: marco organizativo (políticas y normativa de seguridad), marco operacional (medidas para proteger la operación del sistema) y medidas de protección (de las instalaciones, el personal, los equipos, las comunicaciones y la información). Cada sistema se clasifica en una de tres categorías (básica, media o alta) en función del impacto que tendría un incidente sobre las dimensiones de la seguridad: confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad de la información y los servicios. El cumplimiento del ENS se acredita mediante certificación o autoevaluación, según la categoría, y es supervisado con el apoyo del CCN y sus herramientas.

Dato de examen: el ENS vigente es el RD 311/2022 (no el RD 3/2010, derogado); protege los sistemas del sector público; y su base legal es el art. 156.2 de la Ley 40/2015. No lo confundas con el Esquema Nacional de Interoperabilidad, que es cosa distinta.

7.3. La Directiva NIS y su transposición (RD-ley 12/2018 y RD 43/2021)

En el plano europeo, la primera Directiva NIS (Directiva UE 2016/1148, relativa a la seguridad de las redes y sistemas de información) obligó a los Estados a proteger a los operadores de servicios esenciales y a los proveedores de servicios digitales. España la traspuso mediante el Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información, desarrollado por el Real Decreto 43/2021, de 26 de enero. Este marco creó, entre otras cosas, la figura de las autoridades competentes y los CSIRT de referencia (equipos de respuesta a incidentes), y estableció obligaciones de notificación de incidentes.

Conviene distinguir las dos categorías de sujetos obligados de la primera Directiva NIS. Los operadores de servicios esenciales son entidades que prestan un servicio esencial dependiente de las redes y sistemas de información (energía, transporte, banca, sanidad, agua, infraestructuras digitales), y guardan estrecha relación con los operadores críticos de la Ley 8/2011: de hecho, muchos coinciden. Los proveedores de servicios digitales son otro grupo (mercados en línea, motores de búsqueda y servicios de computación en nube), sometidos a un régimen más ligero. La NIS2, cuando se transponga, sustituirá esta clasificación por la de entidades esenciales y entidades importantes, ampliando notablemente el número de sectores y de empresas obligadas.

El marco europeo se completa con la Agencia de la Unión Europea para la Ciberseguridad (ENISA) y con el Reglamento (UE) 2019/881, llamado Reglamento de Ciberseguridad o Cybersecurity Act, que reforzó a ENISA y creó un marco europeo de certificación de la ciberseguridad de productos, servicios y procesos. A diferencia de las directivas, un reglamento europeo sí es directamente aplicable en España sin necesidad de ley de transposición: es una distinción de examen que conviene tener clara (reglamento = aplicación directa; directiva = necesita transposición).

7.4. Los equipos de respuesta: CCN-CERT, INCIBE-CERT y ESPDEF-CERT

El sistema español de respuesta a incidentes se reparte entre varios CERT/CSIRT (equipos de respuesta a emergencias informáticas) según a quién protejan. Este cuadro es de examen:

Equipo (CERT/CSIRT)	Depende de	Ámbito de protección
CCN-CERT (del Centro Criptológico Nacional)	Centro Nacional de Inteligencia (CNI), Ministerio de Defensa	Sector público y sistemas clasificados
INCIBE-CERT (del Instituto Nacional de Ciberseguridad, en León)	Ministerio con competencias en transformación digital; para operadores críticos, de forma coordinada con el CNPIC	Ciudadanos, empresas y operadores del sector privado
ESPDEF-CERT / Mando Conjunto del Ciberespacio	Ministerio de Defensa	Redes y sistemas de las Fuerzas Armadas; ciberdefensa

La clave para no equivocarse es a quién protege cada uno: el CCN-CERT se ocupa del sector público (y lo pilota el CNI); el INCIBE-CERT, de los ciudadanos, empresas y operadores privados; y el ESPDEF-CERT, de las Fuerzas Armadas. Para los operadores críticos, el punto de contacto es un CSIRT de referencia que actúa en coordinación con el CNPIC, enlazando así la ciberseguridad con la protección de infraestructuras críticas.

La conexión entre la ciberseguridad y la protección de infraestructuras críticas se materializa en el propio CNPIC, que dispone de una Oficina de Coordinación de Ciberseguridad (OCC) en el ámbito de la Secretaría de Estado de Seguridad, encargada de coordinar la ciberseguridad de los operadores críticos y de canalizar la notificación de ciberincidentes que les afecten. Este es el motivo por el que el organismo pasó a denominarse «Centro Nacional de Protección de Infraestructuras y Ciberseguridad»: la seguridad física y la ciberseguridad de las infraestructuras críticas se gestionan de forma integrada.

Desde la perspectiva propiamente policial, la lucha contra la ciberdelincuencia es competencia tanto de la Policía Nacional (que cuenta con unidades especializadas en investigación tecnológica dedicadas al fraude en línea, la pornografía infantil, los ataques informáticos o el ciberterrorismo) como de la Guardia Civil. Conviene no confundir estos planos: una cosa es la ciberseguridad (protección preventiva de sistemas, ámbito del ENS y de los CERT) y otra la persecución penal del ciberdelito (investigación de delitos cometidos a través de las redes, ámbito de la policía judicial y la Fiscalía). El marco internacional de referencia de esta segunda vertiente es el Convenio sobre la Ciberdelincuencia del Consejo de Europa (Convenio de Budapest, 2001), ratificado por España.

7.5. La Directiva NIS2 (UE 2022/2555): trampa de vigencia

Aquí está la trampa de actualidad más peligrosa del tema. La Unión Europea sustituyó la primera Directiva NIS por la Directiva (UE) 2022/2555, conocida como NIS2, que amplía y refuerza el marco: extiende las obligaciones a más sectores, distingue entre entidades esenciales y entidades importantes, endurece la gobernanza y las sanciones y refuerza la notificación de incidentes. Pero hay que ser muy preciso con su naturaleza y su vigencia:

• NIS2 es una Directiva de la Unión Europea, no una ley española. Una directiva no se aplica directamente como norma interna: necesita ser transpuesta por cada Estado mediante una ley nacional.
• La transposición al Derecho español está PENDIENTE. El instrumento previsto es el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, aprobado por el Consejo de Ministros el 14 de enero de 2025, que a la fecha de actualización de este tema (2026) continúa en tramitación y todavía no ha sido aprobado como ley ni publicado en el BOE. España incumplió el plazo europeo de transposición (17 de octubre de 2024) y la Comisión Europea le ha requerido su cumplimiento.
• Ese futuro texto prevé, entre otras novedades, la creación de un Centro Nacional de Ciberseguridad, pero mientras no se apruebe y publique no es Derecho vigente.

Dato de examen (vigencia): NO presentes la NIS2 como ley española en vigor. Es un marco europeo en fase de transposición. Lo vigente en España sigue siendo el RD-ley 12/2018 y el RD 43/2021 (que transpusieron la primera Directiva NIS de 2016). Si un enunciado afirma que «la Ley de Coordinación y Gobernanza de la Ciberseguridad» ya está en vigor, o que la NIS2 se aplica directamente como norma española, es falso a fecha de 2026. Distingue siempre: NIS2 = directiva europea (pendiente de transponer) frente a RD-ley 12/2018 y RD 43/2021 = normas españolas en vigor.

El marco español de ciberseguridad se completa con la Estrategia Nacional de Ciberseguridad de 2019, aprobada en el ámbito del Consejo de Seguridad Nacional, que fija los objetivos y líneas de acción del país en el ciberespacio. Verifica siempre en la convocatoria de tu año si se ha aprobado ya la nueva ley de transposición de NIS2, porque será el cambio normativo más probable de este tema.

8. Dato de examen: PIC frente a ciberseguridad

La confusión que más penaliza en este tema es mezclar los dos bloques. Fíjalo con este cuadro-resumen:

Materia	Norma nuclear	Órgano de referencia
Protección de Infraestructuras Críticas (PIC)	Ley 8/2011 y RD 704/2011 (traspusieron la Directiva 2008/114/CE)	CNPIC (Secretaría de Estado de Seguridad, Ministerio del Interior)
Ciberseguridad del sector público	ENS: RD 311/2022 (base: art. 156.2 Ley 40/2015)	CCN-CERT (CNI)
Ciberseguridad de redes y sistemas (NIS)	RD-ley 12/2018 y RD 43/2021 (Directiva NIS 2016/1148); NIS2 2022/2555 en transposición	CSIRT de referencia (INCIBE-CERT, CCN-CERT, ESPDEF-CERT)

Dato de examen: distingue con precisión. La PIC (infraestructuras críticas, físicas) es la Ley 8/2011 + RD 704/2011, con el CNPIC al frente y los sectores, el Catálogo y la cascada de planes. La ciberseguridad es otro bloque: el ENS (RD 311/2022) para el sector público y la Directiva NIS (traspuesta por el RD-ley 12/2018 y el RD 43/2021), con la NIS2 en transposición. Ahí, en la línea que separa lo físico de lo cibernético y lo español de lo europeo pendiente, es donde caen las preguntas capciosas.

Los dos bloques no están aislados: se tocan en el punto en que una infraestructura crítica depende de sistemas de información, y por eso el legislador integró ambas dimensiones en un mismo organismo director, el CNPIC, hoy «de Protección de Infraestructuras y Ciberseguridad». La regla mnemotécnica para el examen es sencilla: si la pregunta habla de operadores críticos, sectores estratégicos, Catálogo o planes (PSO, PPE, PAO), estás en el terreno de la Ley 8/2011; si habla de ENS, CERT/CSIRT, notificación de incidentes o Directiva NIS/NIS2, estás en el terreno de la ciberseguridad. Y no olvides la trampa de vigencia: la NIS2 aún no es ley española.

9. Ideas fuerza para el test

• Normas PIC: Ley 8/2011 (Ley PIC) y su Reglamento, el RD 704/2011; traspusieron la Directiva 2008/114/CE.
• Conceptos (art. 2 Ley 8/2011): infraestructura crítica = estratégica indispensable y sin alternativa; ICE = afecta a dos o más Estados miembros; operador crítico = responsable del funcionamiento de la infraestructura designada.
• Sectores estratégicos: son doce (Administración, Espacio, Nuclear, Química, Investigación, Agua, Energía, Salud, TIC, Transporte, Alimentación y Sistema financiero y tributario).
• Catálogo Nacional de Infraestructuras Estratégicas: registro clasificado; lo gestiona el CNPIC, que realiza altas, bajas y modificaciones y determina la criticidad.
• CNPIC (art. 7 Ley 8/2011): órgano director; depende de la Secretaría de Estado de Seguridad (Ministerio del Interior); hoy denominado «Centro Nacional de Protección de Infraestructuras y Ciberseguridad».
• Órganos colegiados: Comisión Nacional (decide: aprueba PES y designa operadores) y Grupo de Trabajo Interdepartamental (apoyo técnico: elabora PES).
• Planes: PNPIC (Secretaría de Estado de Seguridad) y PES por sector; PSO (operador, uno) y PPE (operador, uno por infraestructura crítica); PAO lo elabora la policía, no el operador.
• Ciberseguridad: Ley 36/2015 de Seguridad Nacional; ENS = RD 311/2022 (deroga el RD 3/2010; base art. 156.2 Ley 40/2015).
• NIS: transpuesta por el RD-ley 12/2018 y el RD 43/2021. CCN-CERT (sector público, CNI), INCIBE-CERT (ciudadanos y empresas) y ESPDEF-CERT (Fuerzas Armadas).
• Trampa de vigencia: la NIS2 (UE 2022/2555) es una directiva europea PENDIENTE de transposición (Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, en tramitación en 2026): NO es ley española en vigor.