Llei 8/2011, de 28 d'abril, per la qual s'estableixen mesures per a la protecció de les infraestructures crítiques

Article 1. Objecte

1. Aquesta Llei té per objecte establir les estratègies i les estructures adequades que permetin dirigir i coordinar les actuacions dels diferents òrgans de les administracions públiques en matèria de protecció d'infraestructures crítiques, prèvia identificació i designació de les mateixes, per millorar la prevenció, preparació i resposta del nostre Estat davant d'atemptats terroristes o altres amenaces que afectin infraestructures crítiques. Per a això s'impulsarà, a més, la col·laboració i la implicació dels organismes gestors i propietaris d'aquestes infraestructures, a fi d'optimitzar el grau de protecció d'aquestes contra atacs deliberats de qualsevol tipus, amb la finalitat de contribuir a la protecció de la població.

2. Igualment, la present Llei regula les especials obligacions que han d'assumir tant les administracions públiques com els operadors d'aquelles infraestructures que es determinin com a infraestructures crítiques, d'acord amb el que disposen els paràgrafs e) i f) de l'article 2 de la mateixa.

Article 2. Definicions

Als efectes de la present Llei, s'entendrà per:

a) Servei essencial: el servei necessari per al manteniment de les funcions socials bàsiques, la salut, la seguretat, el benestar social i econòmic dels ciutadans, o el funcionament eficaç de les institucions de l'Estat i les administracions públiques.

b) Sector estratègic: cadascuna de les àrees diferenciades dins de l'activitat laboral, econòmica i productiva, que proporciona un servei essencial o que garanteix l'exercici de l'autoritat de l'Estat o de la seguretat del país. La seva categorització ve determinada en l'annex d'aquesta norma.

c) Subsector estratègic: cadascun dels àmbits en els quals es divideixen els diferents sectors estratègics, d'acord amb la distribució que contingui, a proposta dels ministeris i organismes afectats, el document tècnic que aprovi el Centre Nacional de Protecció de les Infraestructures Crítiques.

d) Infraestructures estratègiques: les instal·lacions, xarxes, sistemes i equips físics i de tecnologia de la informació sobre els quals descansa el funcionament dels serveis essencials.

e) Infraestructures crítiques: les infraestructures estratègiques el funcionament de les quals és indispensable i no admet solucions alternatives, de manera que la seva pertorbació o destrucció tindria un greu impacte sobre els serveis essencials.

f) Infraestructures crítiques europees: aquelles infraestructures crítiques situades en algun estat membre de la Unió Europea, la pertorbació o destrucció de les quals afectaria greument almenys dos estats membres, tot d'acord amb la Directiva 2008/114, del Consell, de 8 de desembre, sobre la identificació i designació d'Infraestructures Crítiques Europees i l'avaluació de la necessitat de millorar-ne la protecció (d'ara endavant, Directiva 2008/114/CE).

g) Zona crítica: aquella zona geogràfica contínua on estiguin establertes diverses infraestructures crítiques a càrrec d'operadors diferents i interdependents, que sigui declarada com a tal per l'autoritat competent. La declaració d'una zona crítica tindrà per objecte facilitar la millor protecció i una major coordinació entre els diferents operadors titulars d'infraestructures crítiques o infraestructures crítiques europees radicades en un sector geogràfic reduït, així com amb les Forces i Cossos de Seguretat de l'Estat i les Policies Autonòmiques de caràcter integral.

h) Criteris horitzontals de criticitat: els paràmetres en funció dels quals es determina la criticitat, la gravetat i les conseqüències de la pertorbació o destrucció d'una infraestructura crítica s'avaluaran en funció de: 1r. El nombre de persones afectades, valorat en funció del nombre potencial de víctimes mortals o ferits amb lesions greus i les conseqüències per a la salut pública. 2n. L'impacte econòmic en funció de la magnitud de les pèrdues econòmiques i el deteriorament de productes i serveis. 3r. L'impacte mediambiental, la degradació en el lloc i els seus voltants. 4t. L'impacte públic i social, per la incidència en la confiança de la població en la capacitat de les administracions públiques, el patiment físic i l'alteració de la vida quotidiana, inclosa la pèrdua i el greu deteriorament de serveis essencials.

i) Anàlisi de riscos: l'estudi de les hipòtesis d'amenaces possibles necessari per determinar i avaluar les vulnerabilitats existents en els diferents sectors estratègics i les possibles repercussions de la pertorbació o destrucció de les infraestructures que els donen suport.

j) Interdependències: els efectes que una pertorbació en el funcionament de la instal·lació o del servei produiria en altres instal·lacions o serveis, distingint-se les repercussions en el propi sector i en altres sectors, i les repercussions d'àmbit local, autonòmic, nacional o internacional.

k) Protecció d'infraestructures crítiques: el conjunt d'activitats destinades a assegurar la funcionalitat, continuïtat i integritat de les infraestructures crítiques amb la finalitat de prevenir, pal·liar i neutralitzar el dany causat per un atac deliberat contra aquestes infraestructures i garantir la integració d'aquestes actuacions amb les altres que corresponguin a altres subjectes responsables dins de l'àmbit de la seva respectiva competència.

l) Informació sensible sobre protecció d'infraestructures estratègiques: les dades específiques sobre infraestructures estratègiques que, si es revelaven, podrien ser utilitzades per planejar i dur a terme accions amb l'objectiu de provocar la pertorbació o la destrucció d'aquestes.

m) Operadors crítics: les entitats o organismes responsables de les inversions o del funcionament diari d'una instal·lació, xarxa, sistema o equip físic o de tecnologia de la informació designat com a infraestructura crítica d'acord amb la present Llei.

n) Nivell de Seguretat: aquell l'activació del qual pel Ministeri de l'Interior està prevista en el Pla Nacional de Protecció d'Infraestructures Crítiques, d'acord amb l'avaluació general de l'amenaça i amb l'específica que en cada supòsit s'efectuï sobre cada infraestructura, en virtut del qual correspondrà declarar un grau concret d'intervenció dels diferents organismes responsables en matèria de seguretat.

o) Catàleg Nacional d'Infraestructures Estratègiques: la informació completa, actualitzada, contrastada i informàticament sistematitzada relativa a les característiques específiques de cadascuna de les infraestructures estratègiques existents en el territori nacional.

Article 3. Àmbit d'aplicació

1. La present Llei s'aplicarà a les infraestructures crítiques ubicades en el territori nacional vinculades als sectors estratègics definits en l'annex d'aquesta Llei.

2. Queden excloses de la seva aplicació les infraestructures depenents del Ministeri de Defensa i de les Forces i Cossos de Seguretat, que es regiran, als efectes de control administratiu, per la seva pròpia normativa i procediments.

3. L'aplicació d'aquesta Llei s'efectuarà sense perjudici de: a) La missió i funcions del Centre Nacional d'Intel·ligència establertes en la seva normativa específica, comptant sempre amb la necessària col·laboració i complementarietat amb aquelles. b) Els criteris i les disposicions continguts en la Llei 25/1964, de 29 d'abril, sobre energia nuclear, i normes de desenvolupament, i en la Llei 15/1980, de 22 d'abril, de creació del Consell de Seguretat Nuclear, reformada per la Llei 33/2007, de 7 de novembre. c) El que preveu el Programa Nacional de Seguretat de l'Aviació Civil contemplat en la Llei 21/2003, de 7 de juliol, de Seguretat Aèria, i la seva normativa complementària.

Article 4. El Catàleg Nacional d'Infraestructures Estratègiques

1. El Ministeri de l'Interior, a través de la Secretaria d'Estat de Seguretat, serà el responsable del Catàleg Nacional d'Infraestructures Estratègiques (d'ara endavant, el Catàleg), instrument que contindrà tota la informació i valoració de les infraestructures estratègiques del país, entre les quals s'hi trobaran incloses les classificades com a Crítiques o Crítiques Europees, en les condicions que es determinin en el Reglament que desenvolupi la present Llei.

2. La competència per classificar una infraestructura com a estratègica, i si escau com a infraestructura crítica o infraestructura crítica europea, així com per incloure-la en el Catàleg Nacional d'Infraestructures Estratègiques, correspondrà al Ministeri de l'Interior, a través de la Secretaria d'Estat de Seguretat, incloses les propostes, si escau, de l'òrgan competent de les comunitats autònomes i ciutats amb Estatut d'Autonomia que ostentin competències estatutàriament reconegudes per a la protecció de persones i béns i per al manteniment de l'ordre públic en relació amb les infraestructures ubicades en la seva demarcació territorial.

Article 5. Finalitat

1. El Sistema de Protecció d'Infraestructures Crítiques (d'ara endavant, el Sistema) es compon d'una sèrie d'institucions, òrgans i empreses, procedents tant del sector públic com del privat, amb responsabilitats en el correcte funcionament dels serveis essencials o en la seguretat dels ciutadans.

2. Són agents del Sistema, amb les funcions que es determinin reglamentàriament, els següents: a) La Secretaria d'Estat de Seguretat del Ministeri de l'Interior. b) El Centre Nacional per a la Protecció de les Infraestructures Crítiques. c) Els ministeris i organismes integrats en el Sistema, que seran els inclosos en l'annex d'aquesta Llei. d) Les comunitats autònomes i les ciutats amb Estatut d'Autonomia. e) Les Delegacions del Govern en les comunitats autònomes i en les ciutats amb Estatut d'Autonomia. f) Les corporacions locals, a través de l'associació d'entitats locals de major implantació a nivell nacional. g) La Comissió Nacional per a la Protecció de les Infraestructures Crítiques. h) El Grup de Treball Interdepartamental per a la Protecció de les Infraestructures Crítiques. i) Els operadors crítics del sector públic i privat.

Article 6. La Secretaria d'Estat de Seguretat

La Secretaria d'Estat de Seguretat és l'òrgan superior del Ministeri de l'Interior responsable del Sistema de Protecció de les infraestructures crítiques nacionals.

Per a l'exercici de la seva funció, el Reglament de desenvolupament d'aquesta Llei determinarà les seves competències en la matèria, que exercirà amb l'assistència dels altres integrants del Sistema i, principalment, del Centre Nacional per a la Protecció de les Infraestructures Crítiques.

Article 7. El Centre Nacional per a la Protecció de les Infraestructures Crítiques

1. Es crea el Centre Nacional per a la Protecció de les Infraestructures Crítiques (d'ara endavant, el CNPIC) com a òrgan ministerial encarregat de l'impuls, la coordinació i la supervisió de totes les activitats que té encomanades la Secretaria d'Estat de Seguretat en relació amb la protecció de les infraestructures crítiques en el territori nacional.

2. El CNPIC dependrà orgànicament de la Secretaria d'Estat de Seguretat, i les seves funcions seran les que reglamentàriament s'estableixin.

3. Sense perjudici del que disposa l'apartat anterior, correspondrà al CNPIC la realització d'altes, baixes i modificacions d'infraestructures en el Catàleg, així com la determinació de la criticitat de les infraestructures estratègiques incloses en el mateix.

Article 8. Ministeris i organismes integrats en el Sistema de Protecció d'Infraestructures Crítiques

1. Per cada sector estratègic, es designarà almenys un ministeri, organisme, entitat o òrgan de l'Administració General de l'Estat integrat en el Sistema. El nomenament, alta o baixa en aquest d'un ministeri o organisme amb responsabilitat sobre un sector estratègic s'efectuarà mitjançant la modificació de l'annex de la present Llei.

2. Els ministeris i organismes del Sistema seran els encarregats d'impulsar, en l'àmbit de les seves competències, les polítiques de seguretat del Govern sobre els diferents sectors estratègics nacionals i de vetllar per la seva aplicació, actuant igualment com a punts de contacte especialitzats en la matèria. Per a això, col·laboraran amb el Ministeri de l'Interior a través de la Secretaria d'Estat de Seguretat.

3. Amb aquests objectius, els ministeris i organismes del Sistema exerciran les funcions que reglamentàriament es determinin.

4. Un ministeri o organisme del Sistema podrà tenir competències, igualment, sobre dos o més sectors estratègics, d'acord amb el que estableix l'annex de la present Llei.

Article 9. Delegacions del Govern en les comunitats autònomes i en les ciutats amb Estatut d'Autonomia

1. Els delegats del Govern en les comunitats autònomes i en les ciutats amb Estatut d'Autonomia tindran, sota l'autoritat del Secretari d'Estat de Seguretat, i en l'exercici de les seves competències, una sèrie de facultats respecte de les infraestructures crítiques localitzades en la seva demarcació.

2. El desenvolupament reglamentari d'aquestes facultats inclourà en tot cas la intervenció, a través de les Forces i Cossos de Seguretat, en la implantació dels diferents Plans de Protecció Específic i de Suport Operatiu, així com la proposta a la Secretaria d'Estat de Seguretat de la declaració d'una zona com a crítica.

3. No obstant el que disposa l'apartat primer d'aquest article, les comunitats autònomes amb competències estatutàriament reconegudes per a la protecció de béns i persones i el manteniment de l'ordre públic desenvoluparan, sobre les infraestructures ubicades en el seu territori, aquelles facultats de les Delegacions del Govern relatives a la coordinació dels cossos policials autonòmics i, si escau, a l'activació per aquells del Pla de Suport Operatiu que correspongui per respondre davant d'una alerta de seguretat.

Article 10. Comunitats autònomes i ciutats amb Estatut d'Autonomia

1. Les comunitats autònomes i ciutats amb Estatut d'Autonomia que ostentin competències estatutàriament reconegudes per a la protecció de persones i béns i per al manteniment de l'ordre públic podran desenvolupar, sobre les infraestructures ubicades en la seva demarcació territorial, les facultats que reglamentàriament es determinin respecte a la seva protecció, sense perjudici dels mecanismes de coordinació que s'estableixin.

2. En tot cas, les comunitats autònomes esmentades en l'apartat anterior participaran en el procés de declaració d'una zona com a crítica, en l'aprovació del Pla de Suport Operatiu que correspongui, i en les reunions del Grup de Treball Interdepartamental. Igualment, seran membres de la Comissió Nacional per a la Protecció de les Infraestructures Crítiques.

3. Les comunitats autònomes no incloses en els apartats anteriors participaran en el Sistema de Protecció d'Infraestructures Crítiques i en els òrgans previstos en aquesta Llei, d'acord amb les competències que els reconeguin els seus respectius Estatuts d'Autonomia.

Article 11. Comissió Nacional per a la Protecció de les Infraestructures Crítiques

1. Es crea la Comissió Nacional per a la Protecció de les Infraestructures Crítiques (d'ara endavant, la Comissió) com a òrgan col·legiat adscrit a la Secretaria d'Estat de Seguretat.

2. La Comissió serà la competent per aprovar els diferents Plans Estratègics Sectorials, així com per designar els operadors crítics, a proposta del Grup de Treball Interdepartamental per a la Protecció d'Infraestructures Crítiques.

3. Les seves funcions i composició seran les que reglamentàriament s'estableixin.

Article 12. Grup de Treball Interdepartamental per a la Protecció de les Infraestructures Crítiques

1. El Sistema comptarà amb un Grup de Treball Interdepartamental per a la Protecció de les Infraestructures Crítiques (d'ara endavant, el Grup de Treball), la composició i les funcions del qual es determinaran reglamentàriament.

2. Li correspondrà, en tot cas, l'elaboració dels diferents Plans Estratègics Sectorials i la proposta a la Comissió de la designació dels operadors crítics per cadascun dels sectors estratègics definits.

Article 13. Operadors crítics

1. Els operadors considerats crítics en virtut d'aquesta Llei hauran de col·laborar amb les autoritats competents del Sistema, amb la finalitat d'optimitzar la protecció de les infraestructures crítiques i de les infraestructures crítiques europees per ells gestionades. Amb aquesta finalitat, hauran de: a) Assessorar tècnicament el Ministeri de l'Interior, a través del CNPIC, en la valoració de les infraestructures pròpies que s'aportin al Catàleg, actualitzant les dades disponibles amb una periodicitat anual i, en tot cas, a requeriment de l'esmentat Ministeri. b) Col·laborar, si escau, amb el Grup de Treball en l'elaboració dels Plans Estratègics Sectorials i en la realització dels anàlisis de riscos sobre els sectors estratègics on estiguin inclosos. c) Elaborar el Pla de Seguretat de l'Operador en els termes i amb els continguts que es determinin reglamentàriament, havent d'acreditar la implantació de les mesures exigides per l'autoritat competent a través de la certificació oportuna. d) Elaborar, d'acord amb el que es disposi reglamentàriament, un Pla de Protecció Específic per cadascuna de les infraestructures considerades com a crítiques en el Catàleg, havent d'acreditar la implantació de les mesures exigides per l'autoritat competent a través de la certificació oportuna. e) Designar un Responsable de Seguretat i Enllaç en els termes de la present Llei. f) Designar un Delegat de Seguretat per cadascuna de les seves infraestructures considerades Crítiques o Crítiques Europees pel Ministeri de l'Interior, comunicant la seva designació als òrgans corresponents. g) Facilitar les inspeccions que les autoritats competents duguin a terme per verificar el compliment de la normativa sectorial i adoptar les mesures de seguretat que siguin necessàries en cada Pla, resolent en el menor temps possible les deficiències trobades. h) Constituir una Àrea de Seguretat de l'Operador, de la manera que reglamentàriament es determini.

2. Serà requisit per a la designació dels operadors crítics, tant del sector públic com del privat, que almenys una de les infraestructures que gestionin tingui la consideració d'Infraestructura Crítica, mitjançant la proposta corresponent de la qual, en tot cas, el CNPIC informarà l'operador abans de procedir a la seva classificació definitiva.

3. La designació com a tals dels operadors crítics en cadascun dels sectors o subsectors estratègics definits s'efectuarà en els termes que reglamentàriament s'estableixin.

4. Els operadors crítics tindran en el CNPIC el punt directe d'interlocució amb el Ministeri de l'Interior pel que fa a les seves responsabilitats, funcions i obligacions. En el cas que els operadors crítics del sector públic estiguin vinculats o depenguin d'una administració pública, l'òrgan competent d'aquesta podrà erigir-se, a través del CNPIC, en l'interlocutor amb el Ministeri de l'Interior.

Article 14. Instruments de planificació del Sistema

1. La protecció de les infraestructures crítiques davant les eventuals amenaces que puguin posar-les en situació de risc requereix l'adopció i l'aplicació dels plans d'actuació següents: a) El Pla Nacional de Protecció de les Infraestructures Crítiques. b) Els Plans Estratègics Sectorials. c) Els Plans de Seguretat de l'Operador. d) Els Plans de Protecció Específics. e) Els Plans de Suport Operatiu.

2. El Ministeri de l'Interior, a través de la Secretaria d'Estat de Seguretat, elaborarà el Pla Nacional de Protecció de les Infraestructures Crítiques, que serà el document estructural que permetrà dirigir i coordinar les actuacions necessàries per protegir les infraestructures crítiques en la lluita contra el terrorisme.

3. Els Plans Estratègics Sectorials seran igualment elaborats pel Grup de Treball i aprovats per la Comissió, i inclouran, per sectors, els criteris definidors de les mesures a adoptar per fer front a una situació de risc.

4. Els Plans de Seguretat de l'Operador i els Plans de Protecció Específics hauran de ser elaborats pels operadors crítics respecte a totes les seves infraestructures classificades com a Crítiques o Crítiques Europees. Es tracta d'instruments de planificació a través dels quals aquells assumeixen l'obligació de col·laborar en la identificació d'aquestes infraestructures, especificar les polítiques a implementar en matèria de seguretat de les mateixes, així com implantar les mesures generals de protecció, tant les permanents com les de caràcter temporal que, si escau, vagin a adoptar per prevenir, protegir i reaccionar davant d'atacs deliberats contra aquestes.

5. Els Plans de Suport Operatiu hauran de ser elaborats pel cos policial estatal o, si escau, autonòmic, amb competència en la demarcació, per cadascuna de les infraestructures classificades com a Crítiques o Crítiques Europees dotades d'un Pla de Protecció Específic, havent de contemplar les mesures de vigilància, prevenció, protecció o reacció a prestar, de manera complementària a les previstes pels operadors crítics.

6. El contingut concret i el procediment d'elaboració, aprovació i registre de cadascun dels plans seran els que es determinin reglamentàriament.

Article 15. Seguretat de les comunicacions

1. La Secretaria d'Estat de Seguretat arbitrarà els sistemes de gestió que permetin una contínua actualització i revisió de la informació disponible en el Catàleg per part del CNPIC, així com la seva difusió als organismes autoritzats.

2. Les administracions públiques vetllaran per la garantia de la confidencialitat de les dades sobre infraestructures estratègiques a les quals tinguin accés i dels plans que per a la seva protecció se'n derivin, d'acord amb la classificació de la informació emmagatzemada.

3. Els sistemes, les comunicacions i la informació referida a la protecció de les infraestructures crítiques comptaran amb les mesures de seguretat necessàries que en garanteixin la confidencialitat, la integritat i la disponibilitat, d'acord amb el nivell de classificació que els sigui assignat.

Article 16. El Responsable de Seguretat i Enllaç

1. Els operadors crítics nomenaran i comunicaran al Ministeri de l'Interior un Responsable de Seguretat i Enllaç amb l'Administració en el termini que reglamentàriament s'estableixi.

2. En tot cas, el Responsable de Seguretat i Enllaç designat haurà de tenir l'habilitació de Director de Seguretat expedida pel Ministeri de l'Interior d'acord amb el que preveu la normativa de seguretat privada o l'habilitació equivalent, d'acord amb la seva normativa específica.

3. Les funcions específiques del Responsable de Seguretat i Enllaç seran les previstes reglamentàriament.

Article 17. El Delegat de Seguretat de la Infraestructura Crítica

1. Els operadors amb infraestructures considerades Crítiques o Crítiques Europees pel Ministeri de l'Interior comunicaran a les Delegacions del Govern o, si escau, a l'òrgan competent de la comunitat autònoma amb competències estatutàriament reconegudes per a la protecció de persones i béns i per al manteniment de l'ordre públic on aquelles s'ubiquin, l'existència d'un Delegat de Seguretat per a aquesta infraestructura.

2. El termini per efectuar aquesta comunicació, així com les funcions específiques del Delegat de Seguretat de la Infraestructura Crítica, seran les que reglamentàriament s'estableixin.

Article 18. Seguretat de les dades classificades

L'operador crític haurà de garantir la seguretat de les dades classificades relatives a les seves pròpies infraestructures, per mitjà dels mitjans de protecció i dels sistemes d'informació adequats que reglamentàriament es determinin.