El Real Decreto 463/2020 dispone, en su artículo 18, que los operadores críticos previstos en la Ley 8/2011 sobre protección de infraestructuras críticas (Ley PIC) adoptarán las medidas necesarias para asegurar la prestación de los servicios esenciales que les son propios. Dicha exigencia será igualmente adoptada por aquellas empresas y proveedores que, no teniendo la consideración de críticos, son esenciales para asegurar el abastecimiento de la población y de dichos servicios.
En desarrollo del mencionado real decreto, la Orden INT/226/2020, de 15 de marzo, por la que se establecen criterios de actuación para las Fuerzas y Cuerpos de Seguridad (FCS), el Ministerio del Interior asigna al Centro Nacional de Protección de Infraestructuras y Ciberseguridad (CNPIC) la misión de recabar de los operadores críticos información sobre el personal vinculado con las tareas necesarias de mantenimiento de sus servicios esenciales. Información que se facilitará a las FCS para su consulta. Igualmente, el CNPIC emitirá las pertinentes acreditaciones a aquellas personas autorizadas para efectuar determinados desplazamientos, que deberán exhibirse cuando sean requeridas para ello por las FCS.
En otro espacio, proyectaremos nuestra mirada sobre la protección de los servicios esenciales en España para analizar, en su conjunto, los aciertos y debilidades del complejo entramado que se levanta para asegurar su continuidad. El Real Decreto-Ley 10/2020, de 29 de marzo, por el que se regula un permiso retribuido recuperable para las personas trabajadoras por cuenta ajena que no presten servicios esenciales, tiene por objeto limitar al máximo la movilidad. A tal fin, los sectores de actividad a cuyas personas trabajadoras se excluye del disfrute obligatorio del permiso se justifican por estrictas razones de necesidad, ampliando así el concepto de servicios esenciales a unas nuevas categorías coyunturales, fruto de la situación específica en la que nos encontramos.
El valor del Sistema PIC
Pero en este momento es de justicia reconocer que, si hoy disponemos de las piezas necesarias para que el engranaje funcione de forma razonablemente satisfactoria, es gracias al extraordinario esfuerzo del CNPIC que, con una dedicación permanente y escasos recursos, ha logrado impulsar el Sistema de Protección de Infraestructuras Críticas (PIC) hasta un elevado grado de desarrollo.
Gracias a ello, existen canales establecidos para la comunicación permanente con los responsables de seguridad y enlace y los CISO de todos los operadores críticos designados. A nadie se le escapa la importancia de disponer de estos canales plenamente operativos en una situación de crisis como la que vivimos. Y lo que es aún más importante, la relación entre el operador crítico y la Administración se ha construido sobre la base de un clima de confianza y proximidad, cultivado con esmero por ambas partes desde el primer momento. Algo que facilita la relación y el necesario intercambio de información.
Desde la Fundación Borredá hemos sido testigos privilegiados del esfuerzo empeñado en conseguir ese clima que, a la postre, es la causa del éxito del modelo; tanto más meritorio si tenemos en cuenta que la Ley PIC carece de régimen sancionador. Nos sentimos especialmente orgullosos de haber podido contribuir a ello mediante acciones de concienciación de todo tipo: jornadas, talleres, cursos, informes y hasta seis congresos nacionales organizados con el CNPIC. Incluso hemos tenido la ocasión de proyectar nuestro modelo a Latinoamérica organizando el primer Congreso Mexicano de Protección de Infraestructuras Críticas.
El sector Salud cobra verdadera importancia
Por otra parte, la Directiva de la Unión Europea sobre protección e identificación de las infraestructuras críticas, planteaba un escenario en el que sólo se tomaban en consideración, a estos efectos, los sectores del Transporte y la Energía. Sin embargo, nuestro legislador, al hacer la transposición, tuvo el acierto de contemplar hasta 12 sectores estratégicos en la Ley PIC. Siempre cabe pensar que falte o sobre alguno, pero es indudable que se han tenido en cuenta sustancialmente todas las áreas que proporcionan servicios esenciales. En particular, la incorporación del sector de la Salud cobra su verdadera importancia en esta crisis.
Hemos de felicitarnos, pues, por la visión del legislador al incluir la Salud, servicio esencial donde los haya, en el conjunto de los sectores estratégicos proveedores de estos servicios. Gracias al desarrollo de este mandato legal se pueden planificar mejor hoy las acciones derivadas de la crisis por la pandemia del coronavirus. En efecto, el Plan Estratégico Sectorial de la Salud estudia e identifica a los operadores necesarios para el eficaz funcionamiento del servicio, ofrece un mapa de la situación actualizado de los recursos disponibles y establece unos canales de comunicación directos e inmediatos, indispensables para la buena coordinación del conjunto, contemplando también la aportación del sector privado.
Obviamente, la crisis por la pandemia del Covid-19 no solo afecta al sector de la Salud, sino que involucra a otros sectores estratégicos cuyo buen funcionamiento es necesario garantizar. De todos ellos se tiene información exacta y actual gracias a la labor de planificación del Sistema PIC. La excepción es la Administración, cuyo Plan Estratégico Sectorial aún no ha sido elaborado, quizá por su extraordinaria complejidad, que viene a añadir un plus de dificultad a la hora de enfrentar una crisis como esta.
Por eso queremos resaltar el valor del Sistema PIC, en esta o cualquier otra crisis venidera, y el trabajo bien hecho del grupo de profesionales que conforma CNPIC, que pese a sus escasos recursos han sido capaces de desarrollar esta ingente tarea. El Ministerio del Interior, a quien corresponde el liderazgo por ley, no debería dejar pasar ninguna oportunidad de potenciar dicho Sistema y la relación entre sus protagonistas. En este sentido, la suspensión del último Congreso sobre Protección de las Infraestructuras Críticas fue un paso atrás que no debería repetirse.
Queremos resaltar el valor del Sistema PIC, en esta o cualquier otra crisis , y el trabajo bien hecho de los profesionales que conforma CNPIC
No solo ataques deliberados
Por supuesto, cabe también debatir sobre la conveniencia de que la planificación vaya referida a la protección frente a ataques deliberados de todo tipo, obviando la necesidad de garantizar la prestación de los servicios en cualquier otra circunstancia, como desastres naturales, fallos accidentales, pandemias… O incluso para hacer frente a la amenaza interna. Tampoco se entiende que la protección de los servicios esenciales tenga que hacerse a través de dos normas bien diferentes: una para la protección integral de las infraestructuras críticas y otra para la protección de las redes y sistemas de la información, que comportan dos liderazgos no siempre bien coordinados.
Pero es el momento de recalcar lo que se ha hecho y lo que se sigue haciendo bien. Sabemos que el CNPIC está en contacto permanente con los agentes del Sistema PIC en estos momentos de crisis, resolviendo o canalizando la solución a los problemas y dudas que se les plantean (listados de trabajadores que deben acudir a sus puestos y elaboración de las correspondientes acreditaciones; traslado de las necesidades de material sanitario, de desinfección o equipos de protección individual; priorización de acciones de los operadores del sector energético y otros desde el punto de vista estratégico para la nación; canalización de donaciones de empresas a la sanidad pública…). Todo ello con vistas a garantizar el mantenimiento de los servicios esenciales, tratando de paliar sus necesidades de apoyo logístico. Igualmente, traslada información diaria de noticias de interés, incidentes e información relevante a los operadores críticos, y da respuesta o canaliza sus dudas a las autoridades pertinentes, en un servicio que está siendo considerado sumamente útil.
El CNPIC lleva a cabo este contacto con los responsables de seguridad y enlace. No en vano, además de las medidas ya implantadas correspondientes al nivel 4 de alerta antiterrorista, ha dispuesto un servicio extraordinario 24×7, añadido al ya existente, para cubrir tanto la seguridad física como la ciberseguridad de las infraestructuras críticas. En este último ámbito actúa en colaboración con el Incibe-CERT y con el CCN-CERT para detectar campañas de correos maliciosos relacionadas con el Covid-19 y se presta atención a las acciones de desinformación, identificando publicaciones, mensajes o vídeos distribuidos por las redes que contienen información falsa o sesgada. Igualmente, se han detectado campañas de distribución de malware a nivel mundial bajo el amparo de la actual situación, phishing o distribución de aplicaciones móviles maliciosas.
El contacto se materializa vía telefónica o telemática, por las que los responsables de seguridad y enlace se dirigen al CNPIC para participar cualquier incidencia o consulta. Se dispone también de la plataforma PI3, que sirve de apoyo para intercambio de información entre todos los agentes implicados en la protección de las infraestructuras críticas, incluidos los cuerpos policiales. Además, está en funcionamiento la aplicación AlertPIC, en la que están habilitados tanto los responsables de seguridad y enlace como los responsables de Seguridad de la Información de los operadores críticos. La impresión general es que la respuesta de los operadores está siendo excepcional y su colaboración con el CNPIC es total. Esto es fruto, sin duda, de su alto nivel de concienciación e implicación en la importancia de la labor que realizan para el óptimo funcionamiento y mantenimiento de los servicios esenciales de la ciudadanía.
A la vista de estas circunstancias, y con la vista puesta en el futuro, cabe pedir mayor atención a nuestras autoridades para culminar la obra emprendida hace ya 12 años, dotando de los medios necesarios al CNPIC e impulsando los trabajos para finalizar el despliegue del Sistema PIC en todos los sectores estratégicos, al tiempo que se completan las acciones de producción normativa que lo faciliten. Este impulso debería incluir también una revisión del nivel orgánico del CNPIC, para situarlo en el plano de decisión que demandan las necesidades del Sistema. Ciertamente, no parece razonable que un centro que asume tan importantes funciones no goce de una capacidad ejecutiva muy superior a la que le corresponde en la actual estructura orgánica del Ministerio del Interior.
