Interior reforzará la seguridad de servicios y entidades vitales para España: las claves

Más que una sugerencia es un mandato la preocupación en la OTAN por la resiliencia de las infraestructuras críticas y los servicios esenciales en Europa y América del Norte, y no solo por aquellas que tienen utilidad militar. Y hay un consenso absoluto entre ministerios del Interior europeos en que esas infraestructuras -logística del agua y los alimentos, centros productores de energía, cables y estaciones de comunicaciones, aeropuertos, puertos, almacenes de materias primas, regasificadoras…- y también las empresas que las gestionan son puntos frágiles de la seguridad, objetivos de primer nivel en guerras híbridas y posteriores fases de guerra de alta intensidad.

La lección aprendida en Ucrania se impone e impregna las iniciativas de refuerzo de la seguridad. El ministerio del Interior presenta este martes una nueva ley en fase de anteproyecto, que mira a la “protección y resiliencia de entidades críticas”, como dice la primera denominación que se le ha dado al proyecto. El texto ha de pasar aún el trámite parlamentario, por lo que no es fácil aventurar una fecha de entrada en vigor.

El objetivo, dice la exposición del nuevo texto legal, son las entidades que “resultan indispensables para mantener las funciones sociales o las actividades económicas vitales”, teniendo en cuenta que el marco de referencia, Europa, es sobre todo una economía “cada vez más interdependiente”, y algunos fallos locales pueden teneer afectaciones globales.

Estas son las claves de la iniciativa de Interior:

1. Estar preparados

Cada entidad que se señale como crítica debe hacer una evaluación de todos los riesgos que puedan interrumpir su servicio. Esas entidades están mandatadas para preparar un Plan de Resiliencia. En ese plan deberán especificar las medidas de prevención adoptadas, y las previstas para responder a un incidente y recuperar el servicio.

El plan también debe abarcar la formación del personal para la gestión de una crisis, y así como la actuación de la entidad con su cadena de suministro.

En el espíritu del anteproyecto está una orientación hacia la proactividad en esta vigilancia de infraestructuras y servicios clave, “dada la existencia de un panorama dinámico de amenazas”: antes que la mitigación, la prevención; además de la recuperación tras una crisis, la respuesta… Tan dinámica la reacción como el panorama de amenazas que define el texto.

2. Que el enemigo no se cuele

Una de las principales novedades en la proactividad del sistema de seguridad y resiliencia del Estado es la obligación para las entidades críticas de comprobar los antecedentes del “personal sensible”. Evitar la infiltración en las estructuras de mando de servicios esenciales.

Quienes no haya pasado los filtros y acreditaciones de seguridad pertinentes no podrán acceder a instalaciones, maquinaria, conducciones o sistemas críticos.

3. Todo tipo de riesgos

No se contempla en esta ley solo la amenaza clásica de actores hostiles extranjeros o del interior que perpetren sabotajes o desencadenen ofensivas híbridas y no atribuibles desde lugares desconocidos o inaccesibles para la defensa.

La alerta se amplía a los fenómenos naturales, de los que Europa viene tomando buena nota en su propio territorio con especial intensidad desde comienzos de siglo, con endémica incidencia de inundaciones, contaminación e incendios.

4. Mandato europeo

La base para el proyecto legislativo es la directiva europea CER, de Protección de los Servicios Esenciales en Europa, que sustituye por obsoleta a una directiva europea anterior de protección de infraestructuras críticas, promulgada en 2008.

Las directivas CER y NIS2 forman una red legal en la UE para la protección y la ciberprotección, y establecen la obligación de las entidades implicadas -más de 100.000 en toda Europa- de actualizar continuamente sus planes de seguridad.

5. Atención al servicio

El proyecto del Gobierno evoluciona desde los tiempos de la mera vigilancia estática de infraestructuras, en el siglo pasado, hacia la creación de redes de responsabilidad y acción, en las que los operadores de servicios esenciales se cuidan de la seguridad de sus propios cometidos.

Por llevarlo al terreno práctico, se trata no solo de vigilar un cable submarino o una central nuclear con guardias, alarmas y videocámaras, también de establecer las condiciones para que los suministradores de señal 5G para internet de las cosas, o de energía eléctrica en determinadas fases del día, no se vean afectados por otro tipo de incidentes que los dejen fuera de juego, más allá del sabotaje físico.