Interior podrá solicitar datos del CNI y otros organismos para analizar la idoneidad de los empleados en infraestructuras críticas.
La nueva regulación impone la verificación de identidad y antecedentes, incluyendo información de inteligencia, para impedir infiltraciones en cargos sensibles.
La ley abarca sectores como energía, transporte, sanidad, agua y administración pública, exigiendo a las empresas la elaboración de planes de prevención y respuesta ante incidentes.
Las empresas estarán obligadas a notificar incidentes graves en un plazo de 24 horas y podrían enfrentar sanciones de hasta 10 millones de euros en caso de incumplimiento.
El Ministerio del Interior podrá obtener información de «inteligencia», incluyendo datos procedentes del CNI, para valorar la «idoneidad» de los empleados que trabajen en infraestructuras críticas.
Esta disposición forma parte de la nueva normativa aprobada esta semana por el Consejo de Ministros, que tiene como objetivo fortalecer la seguridad en puntos estratégicos.
El Ejecutivo busca contar con una herramienta integral ante los «riesgos» operativos y físicos que podrían afectar al correcto funcionamiento de servicios esenciales, especialmente en el contexto de la creciente tensión geopolítica.
Se prevé la posibilidad –y prácticamente la obligación– de verificar los «antecedentes personales» de quienes desempeñen funciones en instalaciones clave, así como de quienes tengan acceso a información «delicada», conforme a lo que se establezca «reglamentariamente (…) y en casos debidamente justificados».
Dichas comprobaciones abarcarán la verificación de identidad, la consulta de antecedentes penales y, como novedad, el acceso a información de «inteligencia o de cualquier otro tipo disponible por las autoridades nacionales competentes» que consideren «pertinente» para determinar si una persona puede representar un «riesgo» para la «seguridad».
Desde los servicios de inteligencia indicaron a EL ESPAÑOL que el proyecto tiene como propósito regular principalmente las investigaciones sobre la vida de individuos que vayan a ocupar puestos sensibles en el Estado.
«Este proyecto se refiere al análisis de su trayectoria profesional y personal. Si la persona presenta antecedentes penales, no podrá obtener la Habilitación de Seguridad y, por tanto, no podrá ocupar ningún cargo sensible», explican dichas fuentes.
Este tipo de investigaciones tienen como objetivo, por ejemplo, impedir la infiltración de agentes de servicios de inteligencia extranjeros en sectores estratégicos.
Según los servicios de información, el proyecto busca regular una práctica que ya se venía realizando: «Lo que se pretende es evitar el acceso indiscriminado, para que no sea una vía de entrada sin control».
En este contexto, será la Secretaría de Estado de Seguridad, organismo dependiente del Ministerio liderado por Fernando Grande-Marlaska, quien coordine las solicitudes de datos de inteligencia. Esto se llevará a cabo a través del Centro Nacional de Protección y Resiliencia de Entidades Críticas (CNPREC) –anteriormente CNPIC–.
El anteproyecto de ley
La nueva norma del Ministerio del Interior afecta a sectores estratégicos como energía, transporte, sanidad, agua, Administración pública y seguridad privada, entre otros.
Todas las compañías sujetas deberán analizar los riesgos para la prestación de sus servicios y desarrollar planes para prevenir y responder a incidentes «perturbadores».
De hecho, esta es una de las innovaciones del reglamento, al ampliar el marco legal vigente –la Ley 8/2011– en materia de protección física de las infraestructuras para lograr una «resiliencia integral».
La ley actualiza el marco regulatorio para enfrentar amenazas cada vez más complejas y incidentes graves, incluyendo las amenazas «terroristas».
Asimismo, señala la necesidad de modernizar el marco normativo debido al carácter cada vez más «interconectado» y «transfronterizo» de estos servicios.
Además, supone la transposición de la Directiva europea sobre Resiliencia de las Entidades Críticas aprobada en diciembre de 2022. De hecho, la entrada en vigor de este nuevo texto se producirá con dos años de retraso respecto al plazo establecido por el Parlamento Europeo.
Este aspecto podría incrementar las responsabilidades del Gobierno en el accidente ferroviario de Adamuz, que causó 46 fallecimientos, ya que, conforme a esta normativa, el Ejecutivo debía haber realizado una evaluación de riesgos en infraestructuras críticas, incluyendo las ferroviarias.
La nueva ley también obliga a las empresas «críticas» a comunicar cualquier incidente que afecte el funcionamiento habitual de los servicios en un plazo máximo de 24 horas.
En caso de incumplimiento, podrían ser sancionadas con multas de hasta 10 millones de euros y la suspensión temporal de licencias.
El texto incluye también la creación de una Estrategia Nacional de Protección y Resiliencia de las Entidades Críticas, junto con una Evaluación Nacional de Amenazas y Riesgos, que deberán actualizarse al menos cada cuatro años.