INFRAESTRUCTURAS CRITICAS

‘Infraestructuras críticas’

¿Qué pasaría si un día falla todo?

¿Qué podría ocurrir si un día no funcionase nada, no hubiese luz, la comida se echase a perder,

no se pudiera sacar dinero del cajero, ni pagar con tarjeta, ni cargar el móvil...? El Centro Nacional para la Protección de las Infraestructuras Críticas (CNPIC) se ocupa de proteger los puntos determinantes del sistema, los que podrían instaurar el caos si fallasen. El Ministerio del Interior ha señalado 54 nuevos “operadores críticos”, empresas que dan servicios esenciales. El mapa de alto riesgo de España está formado hoy por 93.

 

    Foto Nacho Perez.

¿Pero qué entendemos por “Operadores Críticos”?

El    operador    crítico    es    una    figura    clave    del    sistema    PIC    (Protección    de

Infraestructuras Críticas). (Artº 13 Ley 8/2011, de 28 de abril)

La figura del operador crítico es una de las piedras angulares sobre las que se apoya el sistema de protección de infraestructuras críticas (en adelante, sistema PIC) a nivel nacional desde que entró en vigor la Ley 8/2011, de 28 de abril, por la que se establecían medidas para la protección de las infraestructuras críticas, y el Real Decreto 704/2011, de 20 de mayo, por el que se aprobaba el Reglamento de protección de las infraestructuras críticas que desarrolla reglamentariamente la citada norma.

El objeto fundamental de las actuaciones realizadas por el CNPIC (Centro Nacional de Protección de Infraestructuras Críticas) durante esta década en materia de protección de infraestructuras críticas, y en relación a los operadores críticos, ha sido y es el de mejorar los mecanismos de prevención, preparación y respuesta de nuestro Estado frente a atentados terroristas u otras amenazas que puedan afectar a las infraestructuras críticas. En este ámbito, es muy importante la colaboración e implicación de los organismos gestores y propietarios de las infraestructuras, en definitiva, de los operadores críticos, con el fin de optimizar el grado de protección de las mismas contra ataques deliberados de todo tipo y contribuir a la protección de la población, así como garantizar el normal funcionamiento de los servicios esenciales que se prestan a la sociedad.

Una treintena de personas, ingenieros, informáticos, químicos, hackers, con una media de edad de 40 años, y con un teniente coronel de la Guardia Civil al frente, controlan y protegen —desde las anodinas instalaciones de unas antiguas oficinas de la Dirección General de Tráfico— la seguridad de los puntos más determinantes del sistema, todas aquellas infraestructuras que hacen que nuestra vida sea como es.

Es decir, que cuando se apriete un interruptor se encienda la luz, o que al abrir el grifo salga 

 

agua, pero también que se pueda sacar dinero de un cajero o pagar con una tarjeta en un comercio. Operaciones aparentemente sin importancia. Pero qué pasaría si un día no funcionase nada. Qué pasaría si, por ejemplo, se fuese la luz de manera masiva. El Centro Nacional para la Protección de Infraestructuras Críticas (CNPIC), creado en 2007 y que depende directamente del Secretario de Estado de Seguridad, trabaja constantemente con esa clase de hipótesis catastróficas para cubrir los huecos de seguridad de un sistema cada vez más interconectado —más allá de las fronteras españolas— en el que cualquier disfunción podría provocar un efecto dominó y hacerlo colapsar.

El establecimiento del nivel cuatro de amenaza terrorista ha llevado al Ministerio del Interior a reforzar esos Planes Estratégicos de Protección. Actualmente en España hay 93 operadores críticos, o sea, empresas que ofrecen servicios esenciales a la sociedad.

Recientemente, tras la llamada Ley PIC (Ley 8/2011) que reguló la protección de Infraestructuras Críticas, se han designado 54 nuevos operadores críticos en los sectores del agua y del transporte.

Previamente, en 2014 se señalaron operadores críticos en los sectores:

•      Eléctrico

•      Nuclear

•      Gas

•      Petróleo

•      Sistema financiero

y próximamente le tocará al sector alimenticio y al sanitario. 

 

El punto de inflexión, de toma de conciencia de los grandes riesgos, fue el 11-S y después el

11-M. Hasta entonces, la protección de las llamadas infraestructuras críticas —en su mayoría (un

80%) empresas privadas, que prestan servicios esenciales— dependía exclusivamente de sus propietarios. Pero el hecho de que fuesen las responsables de nutrir al sistema y de mantener el correcto funcionamiento de la sociedad por el tipo de servicio que prestaban, las convertía también en un asunto de Estado. Por esa razón se creó el CNPIC y por eso se empezaron a incluir esos “operadores críticos” en una lista en los planes de protección, dando lugar a una especie de mapa de riesgos, que permanece “a buen recaudo”.

La idea es que ese mapa de alto riesgo se vaya completando progresivamente y sean cada vez más las empresas incorporadas y mayor la protección de esos servicios esenciales. Cuantos más elementos incluya ese plano crítico, más seguro será el país al que corresponda.

Para ello España tiene elaborado un

“Plan Nacional de Protección de las Infraestructuras Críticas”

El PNPIC es un instrumento de programación del Estado, cuyo objetivo fundamental es mantener seguras las infraestructuras españolas que proporcionan los servicios esenciales a la sociedad. Para ello, a lo largo de su contenido, recoge una serie de medidas de prevención y protección frente a las amenazas que puedan afectar a tales infraestructuras, tanto si son de carácter físico como si se trata de tecnologías de la información y de las comunicaciones 

Este plan recoge, además, los criterios y directrices que sigue el Estado para movilizar sus capacidades operativas frente a ataques deliberados, así como los mecanismos de coordinación establecidos con los operadores críticos en estos casos. En ese sentido, el PNPIC contiene varios niveles de seguridad que se activarán en función de la amenaza y la probabilidad de que ésta se materialice (siempre en coordinación con el Plan de Prevención y Protección Antiterrorista). A medida que aumente el nivel de seguridad, se establecen de manera gradual diferentes dispositivos y medidas de protección, que requerirán según el caso la intervención de las Fuerzas y Cuerpos de Seguridad, de las Fuerzas Armadas y, obviamente, de los operadores de las infraestructuras críticas.

Características del PNPIC

El Plan Nacional de Protección de las Infraestructuras Críticas se estructura en un cuerpo principal y en un anexo, donde se recogen las medidas a implantar en cada nivel de activación del mismo por los diferentes agentes participantes. Este plan está clasificado

El vigente PNPIC supone la culminación del Sistema de Protección de Infraestructuras Críticas emanado de la Ley 8/2011 Asímismo significa, como principal novedad, la puesta en marcha de medidas operativas concretas sobre dos presupuestos fundamentales:

•      La inclusión, por primera vez, de la figura del operador crítico como partícipe del sistema de seguridad nacional en el plano operativo.

•      La inserción, también por primera vez, de medidas de ciberseguridad en un documento de estas características.

Operador Crítico 

 

Los principales actores participantes en el PNPIC son:

•      El Centro Nacional para la Protección de las Infraestructuras Críticas (CNPIC)

•      El Centro de Inteligencia contra el Terrorismo y el Crimen Organizado (CITCO)

•      Las Fuerzas y Cuerpos de Seguridad: encargadas de la protección a través de dispositivos preventivos y reactivos de las infraestructuras críticas que se encuentran ubicadas en su área

de responsabilidad.

•      Los Operadores Críticos (OC): los propietarios y/o gestores de las infraestructuras críticas que prestan servicios esenciales a la sociedad.

En el anexo del plan vienen recogidas todas las medidas graduales exigidas de los operadores críticos por cada uno de los cinco niveles de alerta, así como las responsabilidades y cometidos de los diferentes órganos del Ministerio del Interior (Fuerzas y Cuerpos de Seguridad del Estado, CITCO y CNPIC) en cada uno de ellos.

Medidas de ciberseguridad 

  Estas medidas se incluyen como complemento a las existentes en el marco de la seguridad física, para la consecución de la seguridad integral a la que ya hace referencia la Ley 8/2011 PIC.

Entre otros aspectos se regulan en este plan: 

•        El   rol   que   desempeña   tanto   el CERTSI_ como la Oficina de Coordinación 

Cibernética en los diferentes niveles de alerta que se declaren.

•      La necesidad, por parte de los operadores críticos, de reportar incidentes, en función de la criticidad de los mismos y del nivel de alerta declarado, a los anteriores organismos.

•      La determinación de umbrales de seguridad digital y de labores de vigilancia digital a

desarrollar tanto por los operadores críticos como por las instituciones públicas responsables.

•      La designación de responsables de Seguridad de la información de los operadores críticos (CISOs) como puntos de contacto previstos para reportar y coordinar con el CERTSI a través de la Oficina de Coordinación Cibernética y con el conocimiento de sus respectivos responsables

de Seguridad y Enlace.

Los procedimientos concretos de intervención e intercambio de información.

Consideraciones finales

Como resumen, hay que apuntar que el vigente Plan Nacional de Protección de las Infraestructuras Críticas, aprobado a través de la Instrucción 01/2016 de 5 de febrero, de la Secretaría de Estado de Seguridad, al mismo tiempo que completa la batería legislativa que deriva de la Ley

8/2011, homogeniza las medidas operativas que contiene el Plan de Prevención y Protección Antiterrorista en vigor desde mayo de 2015, identificándose con los niveles de alerta consignados en éste último.

Finalmente, el PNPIC de febrero de 2016 extiende responsabilidades y cometidos en ambos ámbitos a un nuevo actor, el operador crítico, estableciendo así un doble enlace operativo vinculante con la Secretaría de Estado de Seguridad y con las unidades de las Fuerzas y Cuerpos de Seguridad a nivel territorial

FUENTES:

•      “El País”. Patricia Ortega Dolz – “Infraestructuras Críticas”

•      Seguritecnia.es

•      Ley 8/2011, de 28 de abril, por la que se establecen medidas para la protección de las infraestructuras críticas.