El Boletín Oficial de las Cortes Generales publicó el Proyecto de Ley de Protección y Resiliencia de las Entidades Críticas (BOCG-15-A-88-1). Es la transposición de la Directiva europea CER y sustituye, a todos los efectos prácticos, a la Ley 8/2011 de protección de infraestructuras críticas, vigente desde hace quince años.
Cambia el objeto, cambia el ámbito y cambia el régimen sancionador. Ampliaciones relevantes: nuevos sectores —banca, infraestructuras financieras, infraestructuras digitales, espacio—, Plan de Resiliencia obligatorio, notificación de incidentes, esquema de certificación, supervisión activa y sanciones que pueden alcanzar los millones de euros.
El plazo de enmiendas acaba el 17 de julio. A partir de ahí, el texto que salga marca la regla. Tres preguntas sobrias para cualquier organización potencialmente afectada.
Cuatro meses.
El tiempo que separa el debate parlamentario de la obligación operativa.
1 · ¿Está su organización identificada —o lo va a estar?
La nueva ley introduce un Catálogo nacional de entidades críticas y estratégicas con un procedimiento de identificación basado en el concepto de efecto perturbador significativo. No depende de declararse o no. Depende del impacto que tendría la interrupción de su servicio sobre funciones esenciales del Estado.
- ▍Energía, transporte, banca, infraestructura financiera, sanidad, agua potable, aguas residuales, infraestructuras digitales, administración pública, espacio, alimentación y producción y distribución de productos químicos.
- ▍Umbrales sectoriales y criterios de número de usuarios afectados, dependencia de terceros y alcance geográfico.
- ▍Procedimiento de identificación con resolución administrativa motivada y notificación a la entidad.
Si su organización opera en alguno de esos sectores y supera los umbrales, va a ser identificada. La pregunta útil no es si, sino cuándo lo sabrá oficialmente y cuánto margen tendrá para ajustar lo que aún no esté hecho.
2 · ¿Tiene Plan de Resiliencia o sólo Plan de Seguridad del Operador?
La 8/2011 hablaba de PSO y PPE. El nuevo texto los sustituye por un Plan de Resiliencia que cubre, como mínimo, prevención, protección, respuesta, recuperación y continuidad frente a amenazas físicas, digitales, naturales, antrópicas y de seguridad pública. Es un único plan integrado, no dos documentos separados.
- ▍Evaluación de riesgos propia, actualizada y trazable —no basta con la nacional.
- ▍Medidas técnicas, de seguridad física, organizativas y de personal, incluida la comprobación de idoneidad (INCOA).
- ▍Coordinación con el Plan Nacional, con CCAA y con el resto del marco institucional.
Un PSO antiguo no es un Plan de Resiliencia. Recortar y pegar no resiste una supervisión. Lo razonable es revisar el documento contra el nuevo marco antes de que llegue el primer requerimiento.
3 · ¿Cómo notifica un incidente significativo y en qué plazo?
La ley introduce notificación obligatoria de incidentes que afecten o puedan afectar de forma significativa a la prestación del servicio esencial. La Plataforma Nacional de Notificación y Seguimiento de Ciberincidentes y el punto de contacto único actúan como entrada formal. El incumplimiento no es teórico: encaja en infracción grave o muy grave del régimen sancionador.
- ▍Notificación inicial sin demora indebida, seguida de información intermedia y final.
- ▍Criterios de significancia: número de personas afectadas, duración, alcance geográfico, impacto económico y reputacional.
- ▍Trazabilidad interna del proceso: quién decide, cuándo y con qué evidencia.
Si la respuesta a quién aprieta el botón de notificación y con qué criterio no cabe en una página, hay trabajo pendiente.
Lo que no es esta ley
No es papeleo añadido. No es una versión 2.0 cosmética. Y no es, desde luego, un asunto exclusivamente jurídico. Es una redefinición operativa del perímetro: qué se considera servicio esencial, qué se exige al operador y qué pasa cuando algo falla. La diferencia entre llegar preparado y llegar tarde son, exactamente, cuatro meses.
Lectura complementaria
Si su organización entra en el ámbito de la nueva Ley CER y quiere una lectura externa del estado actual de su exposición y de sus planes, se puede plantear una conversación inicial sin compromiso.
Plantear consulta →