El proyecto de ley de entidades críticas incluye sectores como hidrógeno, aguas residuales, calefacción y refrigeración
El Consejo de Ministros aprobó ayer, en segunda vuelta y para su remisión a las Cortes, el proyecto de Ley de Protección y Resiliencia de las Entidades Críticas, la norma con la que España va a transponer la Directiva (UE) 2022/2557 y que sustituye el enfoque clásico de “protección de infraestructuras críticas” por otro más amplio centrado en la resiliencia de las entidades que prestan servicios esenciales.
El texto refuerza las obligaciones de análisis de riesgos, planes de resiliencia, notificación de incidentes y supervisión pública, incorpora nuevos ámbitos como el hidrógeno, los sistemas urbanos de calefacción y refrigeración, las aguas residuales, determinadas instalaciones de investigación y parte de la seguridad privada, y deja fuera sectores como banca, mercados financieros e infraestructuras digitales al entender que ya cuentan con marcos regulatorios específicos.
La norma aprobada ayer por el Gobierno llega en un momento de claro retraso respecto al calendario europeo. La Directiva sobre resiliencia de las entidades críticas entró en vigor el 16 de enero de 2023 y obligaba a los Estados miembros a transponerla antes del 17 de octubre de 2024. España no cumplió ese plazo y la Comisión Europea ya ha abierto actuaciones por incumplimiento a varios Estados, entre ellos España.
El cambio de filosofía jurídica es profundo. La ley vigente hasta ahora, la Ley 8/2011, nació para incorporar la Directiva 2008/114/CE y estaba construida sobre la idea de proteger infraestructuras críticas frente a ataques deliberados, con especial énfasis en la amenaza terrorista y en la seguridad física y lógica de instalaciones concretas. Su propio preámbulo subrayaba esa orientación y el artículo 14 articulaba el sistema alrededor del Plan Nacional de Protección de las Infraestructuras Críticas, los planes estratégicos sectoriales, los planes de seguridad del operador, los planes de protección específicos y los planes de apoyo operativo.
De la infraestructura a la entidad y de la protección a la resiliencia
La nueva ley desplaza el foco desde la infraestructura hacia la entidad y desde la mera protección hacia la resiliencia. Eso significa que lo decisivo ya no será solo blindar una instalación frente a un ataque, sino garantizar que una entidad pública o privada capaz de prestar un servicio esencial pueda seguir funcionando o recuperarse con rapidez ante perturbaciones de muy distinta naturaleza, desde fenómenos naturales extremos y emergencias sanitarias hasta sabotajes, amenazas híbridas o fallos en cascada derivados de la interdependencia entre sectores.
Ese es exactamente el espíritu de la Directiva (UE) 2022/2557, que obliga a los Estados a aprobar una estrategia nacional, realizar evaluaciones de riesgo periódicas, identificar entidades críticas y exigirles medidas técnicas, organizativas y de seguridad, además de la notificación de incidentes.
La directiva europea cubre once grandes sectores. Son energía, transporte, banca, infraestructuras de mercados financieros, salud, agua de consumo, aguas residuales, infraestructuras digitales, administración pública, espacio y producción, transformación y distribución de alimentos. En ese marco, la Comisión Europea aprobó además una lista de servicios esenciales que debe servir de base para que los Estados hagan sus análisis de riesgo e identifiquen sus entidades críticas.
El proyecto español comparte ese armazón, pero no lo copia de forma mecánica. El ministro del Interior, Fernando Grande-Marlaska, explicó tras el Consejo de Ministros que el texto remitido a las Cortes excluye del ámbito de aplicación a las entidades de los sectores bancario, de mercados financieros, seguros e infraestructuras digitales, aun cuando puedan ser críticas, porque entiende que esos ámbitos ya están cubiertos por normativa específica. También quedan fuera las entidades dependientes del Ministerio de Defensa, las Fuerzas y Cuerpos de Seguridad del Estado y las policías autonómicas, igualmente sujetas a sus propios regímenes jurídicos.
Esa es una de las diferencias más relevantes respecto del esquema europeo. La Directiva CER sí incluye banca, infraestructuras de mercado financiero e infraestructuras digitales dentro de sus once sectores, mientras que el proyecto español opta por una transposición parcialmente “desdoblada”, coordinada con otras normas sectoriales, en particular con la futura ley de coordinación y gobernanza de la ciberseguridad llamada a incorporar la Directiva NIS2. El propio Marlaska insistió en que la ciberseguridad se está tramitando por otra vía normativa y que no debe confundirse con esta ley, centrada en protección y resiliencia física y operativa.
Nuevo ámbitos o subsectores
Al mismo tiempo, el proyecto español amplía el perímetro material del sistema heredado de 2011. La vieja ley española incluía en su anexo sectores estratégicos como administración, espacio, industria nuclear, industria química, instalaciones de investigación, agua, energía, salud, tecnologías de la información y las comunicaciones, transporte, alimentación y sistema financiero y tributario. El nuevo texto, según la referencia del Consejo de Ministros y la explicación del Ministerio del Interior, incorpora de forma expresa nuevos ámbitos o subsectores como el hidrógeno, los sistemas urbanos de calefacción y refrigeración, la seguridad privada vinculada a servicios esenciales, las instalaciones de investigación y las aguas residuales.
En la práctica, eso supone varias novedades técnicas relevantes. La primera es la creación de un catálogo nacional de entidades críticas y estratégicas, que sustituye el protagonismo que hasta ahora tenía el catálogo de infraestructuras estratégicas. La identificación de esas entidades deberá apoyarse en dos instrumentos que, según el Gobierno, se actualizarán al menos cada cuatro años: una Estrategia Nacional de Protección y Resiliencia de las Entidades Críticas y una Evaluación Nacional de Amenazas y Riesgos, ambas bajo la órbita de la Secretaría de Estado de Seguridad.
Planes de resiliencia
La segunda gran novedad es la obligación de las entidades catalogadas de elaborar un plan de resiliencia. Frente al viejo modelo, más vinculado al plan de seguridad del operador y al plan de protección específico de cada instalación, ahora el énfasis recae en la capacidad de prevención, respuesta, continuidad y recuperación del servicio esencial. Según explicó Interior, estos planes deberán incluir medidas de protección física, de respuesta y de mitigación frente a incidentes de cualquier naturaleza.
La tercera novedad es la profesionalización del cumplimiento. Las entidades críticas deberán designar un responsable de seguridad y resiliencia que actuará como punto de contacto con las autoridades competentes, y también someterse a un sistema de notificación de incidentes. Además, el proyecto regula un esquema nacional de certificación en materia de resiliencia para estandarizar la calidad y el nivel de seguridad de las medidas adoptadas, una figura que no existía como tal en la arquitectura legal de 2011.
La cuarta innovación, especialmente sensible desde el punto de vista laboral y de seguridad, es la previsión de sistemas de comprobación de antecedentes personales para verificar la idoneidad de quienes trabajen en estas entidades. El sector de la seguridad ya ha destacado esta facultad como una de las medidas más novedosas del futuro marco, junto con la inclusión de determinadas empresas de seguridad privada entre los sujetos potencialmente obligados.
Cambios institucionales
En el plano institucional también hay cambios. El Gobierno mantendrá a la Secretaría de Estado de Seguridad como autoridad nacional competente, pero el actual Centro Nacional para la Protección de las Infraestructuras Críticas pasará a llamarse Centro Nacional para la Protección y la Resiliencia de las Entidades Críticas. A su lado se adscribirá una nueva Comisión Nacional de Protección y Resiliencia de las Entidades Críticas, llamada a asumir la aprobación de los planes estratégicos sectoriales. La reforma conserva, por tanto, el liderazgo de Interior, pero adapta la estructura a un modelo más amplio y transversal.
Otra cuestión clave es a quién afectará realmente. No todas las empresas de los sectores mencionados quedarán automáticamente sometidas a la ley. La directiva europea exige que cada Estado identifique las entidades críticas tras evaluar qué servicios esenciales presta cada operador, su ubicación en el territorio, sus interdependencias y el impacto que tendría una perturbación grave sobre funciones sociales o actividades económicas vitales. El proyecto español sigue ese mismo criterio selectivo: no regula sectores en abstracto, sino entidades concretas que, por su papel sistémico, entren en el catálogo nacional.
Plazos de aprobación de la ley
Desde el punto de vista político y procedimental, la iniciativa se encuentra ahora en una fase decisiva. Lo aprobado este martes fue la segunda vuelta gubernamental previa a su envío a las Cortes, de modo que el texto pasa ya a tramitarse como proyecto de ley. A partir de aquí, el itinerario será el ordinario. Una vez publicado en el Boletín Oficial de las Cortes Generales, los grupos podrán presentar enmiendas durante un plazo inicial de quince días. Después vendrán, si los hay, el debate de totalidad, el trabajo en ponencia, el dictamen en comisión y el debate y votación en Pleno del Congreso. Superada esa fase, el texto pasará al Senado, que puede aprobarlo, enmendarlo o vetarlo. En caso de enmiendas o veto, el proyecto regresará al Congreso para su decisión final antes de la sanción real y su publicación en el BOE.
Sobre los plazos, no existe un calendario cerrado y todo dependerá de la capacidad del Gobierno para reunir mayoría suficiente y de si la iniciativa se atasca en enmiendas o negociaciones. En una tramitación ordinaria sin grandes bloqueos, una ley de esta complejidad difícilmente estaría lista antes de varios meses. Un horizonte razonable sería antes del final de 2026, siempre que el proyecto logre pasar Congreso y Senado sin una contestación parlamentaria que lo frene o lo obligue a rehacerse en aspectos sustanciales.
El trasfondo de la reforma es claro. España deja atrás un modelo concebido sobre todo para proteger infraestructuras críticas frente al terrorismo y adopta otro más cercano al de la resiliencia sistémica que hoy promueve Bruselas, donde pesan tanto los sabotajes como los desastres naturales, las crisis sanitarias, las dependencias cruzadas entre sectores y la continuidad efectiva de los servicios esenciales. Esa mutación afecta de lleno a operadores energéticos, hidráulicos, sanitarios, alimentarios, de transporte y de administración pública, pero también a ámbitos hasta ahora menos visibles en este debate, como las aguas residuales, la calefacción urbana, ciertas instalaciones de investigación o la seguridad privada asociada a funciones críticas.
