Cuando se aprobó en 2011 la Ley PIC, España dio un paso decisivo: por primera vez se reconocía que servicios esenciales como la energía, el agua, el transporte y las comunicaciones no pueden protegerse de forma improvisada. La norma creó el Catálogo Nacional de Infraestructuras Críticas, definió la figura del operador crítico y puso en marcha un sistema de planes de seguridad coordinado por el Centro Nacional de Protección de Infraestructuras Críticas.
Sin embargo, el mundo en que nació aquella ley poco se parece al actual. Entonces la preocupación principal eran el terrorismo y los accidentes que afectan al funcionamiento de las infraestructuras. Hoy conviven con ellos los ciberataques, los drones, la desinformación y las presiones geopolíticas, que rara vez actúan por separado. Por lo tanto, estamos ante un marco pionero que necesita ponerse al día de manera urgente.
Las asignaturas pendientes de la Ley PIC
La más evidente es la actualización normativa. La Directiva Europea de Resiliencia de Entidades Críticas, conocida como CER, amplía sectores, exige análisis de riesgos más profundos y obliga a notificar incidentes. Su adaptación al ordenamiento español se ha retrasado, generando incertidumbre tanto en el sector administrativo como en el empresarial.
Otro asunto mejorable es la colaboración real entre lo público y lo privado. Los operadores cumplen con sus planes, pero a menudo reciben poca información útil sobre las amenazas que acechan en tiempo real. La confianza se construye compartiendo datos, no solo exigiendo documentos.
Queda también por resolver la cuestión de las dependencias cruzadas. El apagón del 28 de abril de 2025 recordó que la caída de un servicio esencial arrastra a otros, desde las telecomunicaciones hasta los pagos electrónicos. Prever y frenar el alcance de esas conexiones sigue siendo una tarea a medio hacer.
Sabotajes híbridos: proteger lo que no se ve
La amenaza híbrida se caracteriza por su ambigüedad. Un cable submarino averiado, una interferencia en un sistema de control y una ráfaga de falsas noticias tras un incidente pueden parecer hechos aislados, pero comparten una misma estrategia. Su objetivo no siempre es destruir, sino erosionar la confianza y dificultar la atribución.
Frente a esto, la seguridad física y la digital ya no pueden funcionar en compartimentos separados, sino que deben formar parte de un proyecto integral. Los responsables de seguridad necesitan equipos que dialoguen entre sí, ejercicios de simulación que incluyan escenarios mixtos y protocolos claros para decidir quién actúa cuando el origen del problema no está claro.
También importa el factor humano. Un empleado formado para detectar comportamientos extraños, o un proveedor consciente de su papel en la cadena, puede ser la primera barrera. La tecnología ayuda, pero la cultura de seguridad marca la diferencia. La Ley PIC sentó las bases. Ahora toca construir sobre ellas con agilidad, coordinación y una idea clara: proteger las infraestructuras críticas es proteger la vida cotidiana de todos.
La entrada Ley PIC: Asignaturas pendientes y protección ante sabotajes híbridos se publicó primero en Seguritecnia.
