Configuración jurídica, alcance sistémico y el papel estructural del director de seguridad
I. Introducción: del paradigma de “protección de infraestructuras críticas” al concepto de “resiliencia integral”
El Anteproyecto de Ley de Protección y Resiliencia de Entidades Críticas representa un cambio sustancial en la arquitectura normativa española en materia de seguridad estratégica. Supone la superación del modelo clásico instaurado por la Ley 8/2011 de Protección de Infraestructuras Críticas (PIC), que estaba orientado primordialmente a la protección física frente a actos terroristas, para adoptar un enfoque más amplio y transversal alineado con la Directiva (UE) 2022/2557 relativa a la resiliencia de las entidades críticas (Directiva CER).
El desplazamiento conceptual es relevante: ya no se protege únicamente la infraestructura física, sino la capacidad operativa de la entidad para prestar servicios esenciales de manera continuada, incluso ante perturbaciones graves. La variable central deja de ser exclusivamente la amenaza intencional (terrorismo) para incorporar riesgos sistémicos, híbridos, tecnológicos, climáticos, sanitarios y organizativos.
Este tránsito normativo responde a un entorno geopolítico caracterizado por:
- Interdependencia crítica entre sectores.
- Riesgos híbridos (ciberataques combinados con sabotaje físico).
- Vulnerabilidad ante fenómenos climáticos extremos.
- Amenazas internas (insider threat).
- Dependencia tecnológica y logística global.
En este contexto, el artículo 8.3 del anteproyecto introduce una exigencia estructural: la obligación de que cada entidad crítica disponga de un Director de Seguridad habilitado, lo que convierte la función de seguridad en un elemento nuclear de gobernanza corporativa
II. Concepto jurídico de “entidad crítica”
1. Naturaleza jurídica de la entidad crítica
La noción de entidad crítica no responde a una categoría jurídica clásica del Derecho administrativo o mercantil, sino a una categoría funcional de carácter transversal, construida a partir del impacto sistémico de la actividad desarrollada y no de la forma jurídica del sujeto que la ejerce.
Desde el punto de vista jurídico, la entidad crítica no es una nueva persona jurídica, ni una figura organizativa autónoma, sino una calificación administrativa especial que se superpone a una entidad ya existente (empresa, organismo público, consorcio, operador privado, etc.). Esta calificación activa un régimen jurídico reforzado de obligaciones en materia de seguridad, resiliencia y cooperación con los poderes públicos.
El elemento esencial es la función que la entidad desempeña en el sistema social y económico, no su titularidad pública o privada ni su tamaño empresarial. Así:
- Una empresa privada puede ser entidad crítica.
- Un organismo público puede no serlo.
- Una pyme puede adquirir carácter crítico si su servicio es insustituible o altamente dependiente.
Esto supone una ruptura con modelos anteriores centrados exclusivamente en infraestructuras estatales o grandes operadores estratégicos.
2. Naturaleza híbrida público-privada
La calificación de entidad crítica genera un régimen híbrido en el que:
- La entidad mantiene su autonomía organizativa y empresarial.
- El Estado impone obligaciones de seguridad por razones de interés general.
- Se establece una relación permanente de cooperación y supervisión.
No se trata de una nacionalización funcional ni de una intervención directa, sino de un modelo de corresponsabilidad, donde el interés general justifica limitaciones proporcionadas a la libertad de empresa (art. 38 CE).
3. Calificación administrativa condicionada y revisable
La condición de entidad crítica:
- No es perpetua.
- Puede ser revisada periódicamente.
- Depende de evaluaciones dinámicas del entorno de riesgo.
Esto introduce una lógica de derecho administrativo adaptativo, donde la intensidad regulatoria se ajusta a la evolución del riesgo y del contexto estratégico.
III. El concepto de resiliencia como eje estructural del nuevo modelo normativo
1. Evolución del concepto: de la seguridad clásica a la resiliencia sistémica
El concepto de resiliencia constituye el verdadero núcleo doctrinal del Anteproyecto de Ley de Protección y Resiliencia de Entidades Críticas. No se trata de una simple ampliación terminológica del concepto tradicional de seguridad, sino de una reformulación profunda del paradigma de protección frente a riesgos.
En el modelo clásico —especialmente el derivado de la normativa antiterrorista y de la protección de infraestructuras críticas— la seguridad se concebía como:
- Prevención de amenazas identificables.
- Protección de activos físicos.
- Respuesta reactiva ante incidentes.
Este enfoque resultaba adecuado en un entorno de amenazas claramente definidas, intencionales y externas, pero se ha demostrado insuficiente ante riesgos:
- Multicausales.
- Difusos.
- No intencionales.
- Sistémicos.
- De evolución rápida.
La resiliencia emerge como respuesta a esta insuficiencia, desplazando el foco desde la eliminación del riesgo (objetivo inalcanzable) hacia la capacidad de la entidad para seguir funcionando bajo condiciones adversas.
2. Definición jurídica y técnica de resiliencia
Desde una perspectiva jurídica-técnica, la resiliencia puede definirse como:
La capacidad organizativa, operativa y estructural de una entidad para anticipar, resistir, absorber, adaptarse y recuperarse de incidentes disruptivos, garantizando la continuidad de los servicios esenciales.
Esta definición incorpora cinco dimensiones clave:
- Anticipación
- Resistencia
- Absorción del impacto
- Adaptación dinámica
- Recuperación funcional
La resiliencia no se limita a la fase posterior al incidente, sino que abarca todo el ciclo de vida del riesgo.
3. Resiliencia frente a seguridad: distinción conceptual necesaria
Uno de los errores habituales es identificar resiliencia con seguridad reforzada. Jurídica y operativamente, son conceptos distintos:
La resiliencia no sustituye a la seguridad, sino que la integra dentro de un marco más amplio.
Desde el punto de vista normativo, esto implica que el incumplimiento de medidas de resiliencia no puede justificarse por la inexistencia de incidentes previos: la obligación es estructural, no reactiva.
4. La resiliencia como obligación jurídica permanente
El anteproyecto configura la resiliencia como una obligación jurídica continua, no como un objetivo programático o declarativo.
Esto implica que las entidades críticas deben:
- Mantener capacidades operativas mínimas incluso en escenarios degradados.
- Revisar periódicamente sus medidas.
- Adaptarse a la evolución del riesgo.
No basta con aprobar un plan; es necesario demostrar su eficacia real.
La resiliencia se convierte así en un criterio de cumplimiento normativo, evaluable por la autoridad competente.
5. Componentes estructurales de la resiliencia
La resiliencia exigida por la ley es multidimensional y debe abarcar, como mínimo, los siguientes componentes:
A. Resiliencia organizativa
Se refiere a la capacidad de la estructura interna para seguir funcionando:
- Claridad en la cadena de mando.
- Delegación de funciones en crisis.
- Sustitución de puestos clave.
- Protocolos de decisión en escenarios de urgencia.
Una organización rígida es, por definición, poco resiliente.
B. Resiliencia operativa
Incluye la capacidad de mantener el servicio esencial, aunque sea en niveles reducidos:
- Planes de continuidad de negocio.
- Redundancia de procesos críticos.
- Capacidad de operación manual.
- Alternativas logísticas.
El objetivo no es evitar la degradación, sino controlarla.
C. Resiliencia tecnológica
Abarca tanto sistemas físicos como digitales:
- Redundancia de sistemas.
- Segregación de redes.
- Protección de datos críticos.
- Recuperación de sistemas.
La dependencia tecnológica convierte este componente en uno de los más sensibles.
D. Resiliencia física
Incluye infraestructuras, instalaciones y equipamientos:
- Protección frente a riesgos naturales.
- Capacidad de aislamiento de daños.
- Subsanabilidad rápida.
- Seguridad perimetral adaptativa.
La infraestructura deja de ser un fin en sí misma para convertirse en un medio de continuidad.
E. Resiliencia humana
Uno de los aspectos más innovadores del modelo:
- Formación del personal.
- Conciencia de seguridad.
- Gestión del estrés en crisis.
- Prevención de amenazas internas.
La resiliencia fracasa si el factor humano no está integrado.
6. Tipología de riesgos integrados en la resiliencia
El anteproyecto rompe con la lógica monoriesgo e impone una visión integral del riesgo, incluyendo:
A. Riesgos naturales
- Inundaciones.
- Olas de calor.
- Incendios.
- Fenómenos meteorológicos extremos.
La resiliencia climática deja de ser una cuestión ambiental para convertirse en un requisito de seguridad.
B. Riesgos tecnológicos
- Fallos de suministro.
- Errores de diseño.
- Obsolescencia.
- Dependencia de proveedores únicos.
Aquí aparece el concepto de riesgo sistémico no intencional.
C. Amenazas intencionales
- Terrorismo.
- Sabotaje.
- Activismo violento.
- Interferencias externas.
Estas amenazas se integran en un marco más amplio, ya no exclusivo.
D. Amenazas híbridas
Combinación de:
- Ciberataques.
- Desinformación.
- Presión económica.
- Sabotaje físico limitado.
La resiliencia exige capacidad de respuesta multidominio.
E. Amenazas internas (Insider threat)
- Fraude.
- Filtraciones.
- Conductas negligentes.
Este punto justifica medidas de control interno y supervisión.
7. Resiliencia e interdependencias críticas
Uno de los elementos más complejos es la gestión de interdependencias:
- Dependencia energética.
- Dependencia tecnológica.
- Dependencia logística.
- Dependencia de terceros países.
La ley exige que la resiliencia no se evalúe de forma aislada, sino en red.
Una entidad puede cumplir formalmente con sus obligaciones y, sin embargo, ser no resiliente si depende de un proveedor vulnerable.
8. La resiliencia como criterio de gobernanza corporativa
El anteproyecto introduce implícitamente la resiliencia en la gobernanza de las entidades críticas:
- La dirección debe implicarse.
- La seguridad deja de ser delegable sin control.
- Se exige responsabilidad organizativa.
La resiliencia se convierte en una variable estratégica, comparable a la solvencia o a la sostenibilidad financiera.
9. Relación entre resiliencia y responsabilidad jurídica
Desde el punto de vista del Derecho administrativo y civil, la resiliencia tiene implicaciones claras:
- La ausencia de medidas puede constituir negligencia.
- La falta de adaptación a riesgos conocidos puede agravar responsabilidades.
- El incumplimiento reiterado puede generar sanciones.
La resiliencia no es solo un deber preventivo, sino un criterio de diligencia exigible.
10. Resiliencia y legitimación de la intervención pública
La exigencia de resiliencia legitima constitucionalmente la intervención del Estado porque:
- Protege servicios esenciales.
- Reduce riesgos sistémicos.
- Previene daños colectivos.
La clave está en la proporcionalidad: las medidas deben ser adecuadas, necesarias y equilibradas.
IV. Obligaciones legales de las entidades críticas: Contenido normativo, alcance y efectos jurídicos
1. Naturaleza jurídica de las obligaciones: de la recomendación técnica al deber legal exigible
Uno de los rasgos más relevantes del nuevo marco normativo es la transformación de prácticas históricamente voluntarias o recomendadas (gestión de riesgos, continuidad de negocio, planes de contingencia) en obligaciones legales plenamente exigibles.
Estas obligaciones no tienen carácter programático ni orientativo. Son:
- Mandatos jurídicos directos.
- De cumplimiento verificable.
- Sujetos a control administrativo.
- Respaldados por un régimen sancionador específico.
Desde el punto de vista dogmático, nos encontramos ante obligaciones administrativas especiales, impuestas por razón del interés general, que recaen únicamente sobre entidades previamente calificadas como críticas.
No se exige un resultado absoluto (inexistencia de incidentes), pero sí una diligencia reforzada, superior a la exigible a entidades no críticas.
2. Obligación de integración estructural de la resiliencia en la organización
La ley no se limita a imponer medidas aisladas, sino que exige una integración estructural de la resiliencia en la arquitectura interna de la entidad.
Esto implica, entre otros aspectos:
- Incorporar la gestión de riesgos y resiliencia en los procesos de toma de decisiones estratégicas.
- Garantizar que las políticas internas, procedimientos y manuales operativos reflejen las exigencias legales.
- Evitar que la resiliencia quede confinada a departamentos técnicos sin capacidad de influencia real.
Desde una perspectiva jurídica, esta obligación supone que la alta dirección no puede alegar desconocimiento, ni delegar sin supervisión efectiva. La resiliencia pasa a ser una responsabilidad organizativa transversal.
3. Obligación de documentación, trazabilidad y evidencia de cumplimiento
Una de las obligaciones menos visibles, pero más relevantes en términos jurídicos, es la obligación de documentar.
Las entidades críticas deben poder acreditar de forma fehaciente:
- Que medidas han adoptado.
- Cuando las han implantado.
- Como se han evaluado.
- Que revisiones se han realizado.
- Que decisiones se han tomado y por qué.
Esta exigencia responde a una lógica clara: lo que no está documentado, jurídicamente no existe.
En caso de inspección, incidente o procedimiento sancionador, la carga de la prueba recae en la entidad. La ausencia de documentación puede interpretarse como incumplimiento, incluso aunque existan medidas informales.
4. Obligación de cooperación activa con las autoridades competentes
El anteproyecto establece un modelo de cooperación reforzada, que va más allá del simple deber de obediencia administrativa.
Esta cooperación incluye:
- Facilitar información relevante para la evaluación de riesgos.
- Atender requerimientos técnicos.
- Participar en ejercicios o simulaciones.
- Permitir verificaciones y controles.
No se trata de una relación jerárquica clásica, sino de una relación funcional de corresponsabilidad, donde la entidad crítica actúa como operador esencial del sistema de seguridad nacional.
El incumplimiento de este deber de cooperación constituye una infracción autónoma, incluso aunque no exista un daño efectivo.
5. Obligación de notificación cualificada de incidentes
La obligación de notificar incidentes no es un mero deber informativo, sino una obligación cualificada, con implicaciones jurídicas relevantes.
Las entidades deben:
- Identificar correctamente qué constituye un incidente relevante.
- Comunicarlo dentro de los plazos legales.
- Proporcionar información veraz, suficiente y actualizada.
- Colaborar en el seguimiento posterior.
La omisión, retraso injustificado o comunicación incompleta puede agravar la responsabilidad administrativa y, en determinados supuestos, generar consecuencias civiles o penales indirectas.
Esta obligación introduce un cambio cultural: la transparencia operativa en materia de seguridad deja de ser opcional.
6. Obligación de revisión periódica y adaptación continua
A diferencia de otros marcos normativos estáticos, el anteproyecto impone una obligación de actualización permanente.
Las entidades críticas deben:
- Revisar sus medidas ante cambios en el entorno de riesgo.
- Adaptarse a nuevas amenazas.
- Incorporar lecciones aprendidas tras incidentes.
- Ajustar sus sistemas ante cambios tecnológicos u organizativos.
El cumplimiento formal inicial no exonera de responsabilidad futura. La inacción ante riesgos emergentes puede ser considerada incumplimiento, incluso sin modificación expresa de la norma.
7. Obligación de control interno y supervisión de funciones sensibles
Sin entrar en conceptos ya tratados sobre amenaza interna, la ley impone una obligación clara: controlar adecuadamente las funciones y posiciones que resultan críticas para la prestación del servicio esencial.
Esto se traduce en:
- Definición de puestos sensibles.
- Establecimiento de controles de acceso.
- Separación de funciones.
- Mecanismos de supervisión.
Desde un punto de vista jurídico, esta obligación conecta con el deber de organización diligente, ampliamente reconocido por la jurisprudencia administrativa y mercantil.
8. Obligación de asignación de recursos suficientes
Una de las obligaciones implícitas más relevantes es la de asignar recursos adecuados.
La entidad crítica no puede alegar falta de medios económicos o humanos como justificación del incumplimiento. La calificación como crítica presupone que:
- El servicio prestado es esencial.
- La seguridad de su prestación es prioritaria.
- Los recursos deben alinearse con ese nivel de exigencia.
La insuficiencia deliberada de medios puede ser interpretada como negligencia estructural, especialmente si la entidad mantiene niveles elevados de inversión en otras áreas no críticas.
9. Obligación de coherencia entre cumplimiento normativo y práctica real
El anteproyecto busca evitar el fenómeno del “compliance cosmético”: documentos impecables sin aplicación efectiva.
Por ello, la obligación no se agota en:
- Aprobar planes.
- Designar responsables.
- Adoptar políticas formales.
Se exige coherencia entre lo declarado y lo ejecutado. La divergencia sistemática entre ambos planos puede ser sancionada como incumplimiento material.
10. Obligaciones y responsabilidad de los órganos de administración
Aunque las obligaciones recaen formalmente sobre la entidad, sus efectos se proyectan sobre:
- Consejos de administración.
- Órganos de dirección.
- Altos cargos ejecutivos.
Desde una perspectiva de responsabilidad:
- La falta de supervisión puede generar responsabilidad por omisión.
- La ignorancia deliberada no exime.
- La ausencia de mecanismos de control interno puede agravar sanciones.
La resiliencia y la seguridad dejan de ser cuestiones técnicas para convertirse en materias de gobierno corporativo.
V. El Director de Seguridad: fundamento jurídico del artículo 8.3 del Proyecto
Como ya hemos referido el Plan de Resiliencia no es un documento estratégico abstracto, sino un instrumento jurídico-operativo que concreta cómo la entidad cumple sus obligaciones legales y en este contexto, el Director de Seguridad no es un mero redactor o custodio formal del plan, sino su responsable técnico integral, lo que implica liderazgo, supervisión y control continuo.
1. Función de diseño y estructuración del Plan
En la fase de elaboración, el Director de Seguridad debe:
- Traducir las exigencias legales en medidas concretas.
- Alinear el plan con la realidad operativa de la entidad.
- Evitar soluciones genéricas o copiadas de otros contextos.
- Garantizar la coherencia interna del documento.
El plan debe ser realista, aplicable y verificable, lo que exige un conocimiento profundo de la organización y de sus procesos críticos.
2. Coordinación interna para la elaboración del Plan
El Director de Seguridad actúa como eje vertebrador entre distintas áreas:
- Dirección general.
- Operaciones.
- Recursos humanos.
- Sistemas.
- Servicios externos.
- Auditoria y servicios jurídicos…..
Esta coordinación no es meramente consultiva; implica integrar visiones, resolver conflictos y priorizar medidas conforme a criterios de riesgo y legalidad.
3. Implementación efectiva del Plan de Resiliencia
Una vez aprobado, el Director de Seguridad debe asegurar que el plan:
- Se despliega en la práctica.
- Se traduce en procedimientos operativos y protocolos.
- Es conocido por el personal afectado y toda la dirección.
- Se prueba mediante ejercicios y simulaciones.
Desde el punto de vista jurídico, la falta de implementación convierte el plan en papel sin valor normativo, lo que puede constituir incumplimiento material.
4. Actualización y revisión continua
El Director de Seguridad es el garante de que el Plan de Resiliencia:
- Se revise periódicamente.
- Se adapte a cambios internos o externos.
- Incorpore lecciones aprendidas tras incidentes.
- Corrija desviaciones.
- Se soliciten y adquiera los medios necesarios y acordes a cada fin.
- Evolucione con el contexto de riesgo.
Esta función convierte al plan en un instrumento vivo, no en un documento estático.
5. Relación del Plan con la supervisión administrativa
El Director de Seguridad es también el interlocutor técnico ante la autoridad competente en todo lo relativo al Plan de Resiliencia:
- Presentación.
- Requerimientos de modificación.
- Aclaraciones técnicas.
- Evaluaciones de adecuación.
Su criterio profesional adquiere aquí un valor jurídico relevante, al servir de base para la valoración administrativa del cumplimiento.
6. El Plan como eje de la responsabilidad organizativa
Finalmente, el Plan de Resiliencia se convierte en el marco de referencia para evaluar la actuación de la entidad y de sus responsables en caso de incidente.
El Director de Seguridad, como responsable técnico del plan:
- Debe alertar sobre deficiencias.
- Proponer mejoras.
- Documentar decisiones y limitaciones.
Su función no es garantizar que nada falle, sino garantizar que la entidad esté preparada conforme a la ley y al estado del riesgo.
VI. Implicaciones organizativas de la condición de entidad crítica y de la figura del director de seguridad
1. Transformación del modelo organizativo clásico
La designación de una entidad como crítica produce un impacto directo en su modelo organizativo, obligándola a abandonar esquemas tradicionales basados en compartimentación funcional y en jerarquías rígidas orientadas exclusivamente a la eficiencia económica.
El nuevo marco normativo impone una lógica organizativa orientada a la continuidad, donde la prioridad ya no es únicamente optimizar procesos en condiciones normales, sino garantizar la capacidad de funcionamiento bajo escenarios degradados.
Esto exige organizaciones:
- Más transversales.
- Menos dependientes de personas concretas.
- Capaces de operar con estructuras reducidas o alternativas.
- Preparadas para la toma de decisiones acelerada.
La resiliencia, por tanto, no se añade a la organización existente: la reconfigura.
2. Revisión profunda de organigramas y cadenas de mando
Una de las primeras consecuencias prácticas es la revisión del organigrama. Las entidades críticas deben analizar si sus actuales estructuras:
- Permiten identificar claramente quién decide en situaciones de crisis.
- Evitan solapamientos o vacíos de responsabilidad.
- Garantizan sustituciones funcionales inmediatas.
La experiencia demuestra que muchos organigramas están diseñados para entornos estables y fallan en contextos de estrés operativo tanto públicos como privados. El nuevo marco obliga a:
- Clarificar jerarquías funcionales.
- Definir líneas de autoridad alternativas.
- Formalizar delegaciones automáticas en escenarios excepcionales.
No se trata de crear más niveles jerárquicos, sino de hacer explícita la capacidad real de decisión.
3. Elevación de la seguridad al nivel de función estratégica
Una implicación organizativa clave es la reubicación de la seguridad dentro del sistema de poder interno de la entidad.
La seguridad deja de ser:
- Un servicio auxiliar.
- Un coste operativo.
- Una función subordinada a áreas técnicas o administrativas.
Y pasa a convertirse en:
- Una función estratégica.
- Un elemento condicionante de decisiones corporativas.
- Un criterio de viabilidad operativa.
Esto obliga a integrar la seguridad —y por extensión al Director de Seguridad— en:
- Comités de dirección.
- Procesos de planificación.
- Decisiones de inversión.
- Cambios organizativos relevantes.
La exclusión de la seguridad de estos ámbitos puede constituir, de facto, un incumplimiento organizativo de las obligaciones legales.
4. Reconfiguración de la cultura interna de la entidad
Más allá de estructuras formales, la condición de entidad crítica exige una transformación cultural interna.
Las organizaciones tradicionalmente orientadas a la productividad tienden a considerar la seguridad como una restricción y un gasto. El nuevo marco normativo obliga a adoptar una cultura donde:
- La prevención es un valor.
- La comunicación de incidentes no se penaliza.
- La disciplina operativa se entiende como protección colectiva.
- La improvisación se sustituye por procedimientos ensayados.
Esta transformación cultural no se logra mediante circulares, sino mediante:
- Formación continuada.
- Ejercicios prácticos.
- Mensajes coherentes desde la alta dirección.
- Ejemplo en la toma de decisiones.
- Inversión acorde al fin y no restringida.
Sin esta evolución cultural, cualquier estructura formal de resiliencia se vuelve frágil.
5. Impacto en la gestión de recursos humanos
La resiliencia organizativa tiene un efecto directo en la política de recursos humanos, sin necesidad de recurrir a conceptos ya tratados sobre control interno o puestos sensibles.
Las entidades críticas deben reconsiderar:
- Políticas de sustitución de personal clave.
- Gestión del conocimiento operativo.
- Dependencia excesiva de perfiles únicos.
- Continuidad de competencias críticas.
Esto implica introducir criterios de resiliencia en:
- Planes de carrera.
- Programas de formación continua.
- Evaluaciones de desempeño.
- Procesos de selección.
La organización debe ser capaz de funcionar incluso cuando pierde temporalmente a personas clave, algo que muchas estructuras tradicionales no contemplan.
6. Formalización de procesos y reducción de dependencia informal
En muchas organizaciones, una parte significativa del funcionamiento real descansa en:
- Conocimientos no documentados.
- Prácticas informales.
- Soluciones improvisadas.
- Redes personales internas.
La condición de entidad crítica obliga a formalizar estos procesos, no por burocracia, sino por resiliencia. Lo informal es frágil en escenarios de crisis.
Esto implica:
- Documentar procesos críticos.
- Estandarizar decisiones clave.
- Reducir la dependencia de memorias individuales.
- Facilitar la replicabilidad de funciones.
La organización debe ser transferible y reproducible, incluso en condiciones adversas.
7. Integración de proveedores y terceros en la estructura organizativa
Una implicación organizativa frecuentemente subestimada es la necesidad de integrar a proveedores críticos y terceros dentro del modelo de resiliencia de la entidad.
Aunque no formen parte de la estructura interna, su impacto funcional obliga a:
- Definir responsabilidades claras.
- Establecer canales de coordinación.
- Incorporarlos en planes y ejercicios.
- Evaluar su capacidad de respuesta.
Desde un punto de vista organizativo, esto supone extender la frontera funcional de la entidad, reconociendo que la continuidad del servicio no depende exclusivamente de recursos propios.
8. Cambios en los procesos de toma de decisiones
El nuevo marco exige que las entidades críticas puedan tomar decisiones rápidas, informadas y legítimas en escenarios de incertidumbre.
Esto obliga a revisar:
- Procedimientos de autorización.
- Niveles de validación jerárquica.
- Dependencia de aprobaciones formales lentas.
- Rigideces administrativas internas.
En contextos críticos, una organización excesivamente burocratizada puede convertirse en un factor de riesgo. La resiliencia organizativa exige equilibrar control y agilidad, algo que debe diseñarse previamente.
9. Redistribución de responsabilidades internas
La introducción de obligaciones específicas en materia de resiliencia obliga a redefinir responsabilidades internas para evitar:
- Duplicidades.
- Conflictos competenciales.
- Vacíos de responsabilidad.
La claridad organizativa es un requisito de seguridad. Cada función crítica debe tener:
- Un responsable identificado.
- Un sustituto previsto.
- Un marco de actuación definido.
La ambigüedad organizativa, tolerable en entornos normales, es inaceptable en contextos de criticidad.
10. Impacto en la planificación estratégica a medio y largo plazo
Finalmente, la condición de entidad crítica obliga a integrar la resiliencia en la planificación estratégica de la organización.
Esto afecta a:
- Decisiones de inversión y compras.
- Externalización de servicios.
- Localización de infraestructuras.
- Innovación tecnológica.
- Expansión o reducción de actividades.
La viabilidad de una decisión ya no se mide solo en términos económicos, sino también en términos de robustez organizativa y capacidad de sostener el servicio esencial.
VII. Comparativa con la Ley 8/2011 de Protección de Infraestructuras Críticas
La comparación entre el Anteproyecto de Ley de Protección y Resiliencia de las Entidades Críticas y la Ley 8/2011 evidencia una evolución normativa sustancial, tanto en el enfoque conceptual como en la arquitectura jurídica de la protección de servicios esenciales. Mientras la Ley 8/2011 respondió a un contexto dominado por amenazas principalmente físicas y por una concepción clásica de la infraestructura crítica, el nuevo texto legal se adapta a un entorno caracterizado por riesgos complejos, interdependientes y de naturaleza híbrida.
En primer lugar, se aprecia un cambio en el objeto de protección. La Ley 8/2011 se centraba en la infraestructura como elemento material —instalaciones, redes, activos físicos—, mientras que el anteproyecto desplaza el eje hacia la entidad crítica como sistema organizativo, incluyendo procesos, personas, tecnología, información y capacidad operativa. Este desplazamiento no es meramente terminológico, sino que refleja una comprensión más avanzada del riesgo sistémico, en el que la disrupción puede producirse sin daño físico directo.
Desde el punto de vista metodológico, la Ley 8/2011 establecía un modelo de planificación secuencial (planes estratégicos, planes operativos, planes específicos), con un fuerte protagonismo de la Administración y una función más ejecutiva que estratégica por parte de los operadores. El anteproyecto, en cambio, introduce un enfoque dinámico y continuo de gestión del riesgo, basado en la evaluación permanente de amenazas, vulnerabilidades y dependencias críticas, exigiendo capacidades internas estables y profesionalizadas dentro de las propias entidades.
Otra diferencia relevante se encuentra en el nivel de exigencia organizativa. Bajo la Ley 8/2011, la figura del responsable de seguridad no estaba configurada como un elemento estructural obligatorio con responsabilidades estratégicas claramente definidas. El nuevo marco normativo, por el contrario, impone la designación de un Director de Seguridad con funciones transversales, capacidad de interlocución institucional y responsabilidad directa en la resiliencia operativa de la entidad. Esta evolución revela un tránsito desde un modelo de cumplimiento formal hacia uno de responsabilidad funcional y directiva.
Asimismo, el anteproyecto supera las limitaciones sectoriales de la Ley 8/2011 al reconocer explícitamente la interdependencia entre sectores críticos y la posibilidad de efectos en cascada. La normativa anterior trataba los sectores de manera relativamente compartimentada; el nuevo texto incorpora una visión sistémica, en la que la perturbación de una entidad puede comprometer simultáneamente a múltiples servicios esenciales, incluso fuera de su sector principal.
Finalmente, desde una perspectiva jurídica, el nuevo anteproyecto refuerza los mecanismos de supervisión, control y coordinación, dotando a la Administración de mayores capacidades para verificar no solo la existencia de planes, sino su eficacia real, su actualización y su integración en la gobernanza interna de las entidades críticas. Esto supone un avance significativo respecto al modelo de la Ley 8/2011, más orientado al diseño normativo que a la validación operativa.
En conjunto, la comparativa pone de manifiesto que el Anteproyecto no constituye una mera actualización de la Ley 8/2011, sino una reformulación profunda del modelo de protección, alineada con el concepto moderno de resiliencia, con las exigencias del marco europeo y con la realidad actual de las amenazas a los servicios esenciales del Estado.
VIII. Impacto estratégico en el sector privado
La entrada en vigor del nuevo marco de protección y resiliencia de las entidades críticas supone un punto de inflexión estratégico para el sector privado, especialmente para aquellas organizaciones que gestionan servicios esenciales o activos con relevancia sistémica. La norma redefine la posición del operador privado dentro del ecosistema de seguridad nacional, pasando de un rol predominantemente reactivo y regulado a uno activo, corresponsable y estructuralmente integrado en la gestión del riesgo.
Desde una perspectiva de gobernanza corporativa, el impacto más significativo reside en la elevación de la seguridad al nivel estratégico de la organización. Las decisiones relativas a inversión, continuidad operativa, externalización de servicios, digitalización o expansión ya no pueden desvincularse de su impacto en la resiliencia global de la entidad. Esto obliga al sector privado a internalizar la seguridad como variable crítica de planificación, con efectos directos sobre los órganos de dirección y administración, que pasan a asumir responsabilidades indirectas en materia de protección y resiliencia.
En términos operativos, la ley impulsa una profesionalización forzosa de las estructuras internas de seguridad, superando modelos basados en cumplimiento mínimo o externalización descoordinada. Las entidades críticas deberán desarrollar capacidades propias de análisis de riesgos, gestión de crisis, coordinación interdepartamental y relación institucional, lo que conlleva cambios organizativos profundos, inversión sostenida y una redefinición de perfiles profesionales. Este proceso, aunque inicialmente costoso, tiende a generar organizaciones más robustas, previsibles y menos vulnerables a disrupciones graves.
Desde el punto de vista económico y competitivo, el nuevo marco normativo introduce un factor diferencial entre operadores. Aquellas entidades que integren eficazmente la resiliencia en su modelo de negocio obtendrán ventajas en términos de continuidad del servicio, confianza institucional, reputación y acceso a determinados mercados o contratos estratégicos. Por el contrario, los operadores que adopten una visión meramente formalista de la norma asumirán mayores riesgos regulatorios, operativos y reputacionales.
Finalmente, el impacto estratégico se extiende a la relación del sector privado con el Estado. La ley consolida un modelo de colaboración estructurada y permanente, en el que el intercambio de información, la coordinación en escenarios de crisis y la alineación de prioridades dejan de ser excepcionales para convertirse en prácticas ordinarias. Esto transforma al operador privado en un actor clave de la seguridad colectiva, no subordinado, pero sí integrado en un marco común de protección del interés general.
En conjunto, el impacto estratégico del nuevo régimen sobre el sector privado no debe interpretarse como una mera carga regulatoria adicional, sino como una reconfiguración del papel del operador crítico dentro del sistema económico y de seguridad del Estado, con implicaciones directas sobre su sostenibilidad, legitimidad y resiliencia a largo plazo.
IX. Conclusiones Finales al ante Proyecto
El ante Proyecto de Ley de Protección y Resiliencia de las Entidades Críticas debe entenderse, ante todo, como el instrumento normativo imprescindible para la transposición efectiva de la Directiva (UE) 2022/2557, relativa a la resiliencia de las entidades críticas, y su correcta articulación con el marco de ciberseguridad derivado de la Directiva NIS2. Su importancia estratégica radica en que no se limita a una adaptación formal del derecho interno, sino que asume plenamente el espíritu, la lógica y los objetivos estructurales del modelo europeo de resiliencia.
La Directiva europea introduce una visión avanzada basada en la gestión integral del riesgo, la anticipación de amenazas y la responsabilidad directa de las entidades que prestan servicios esenciales. El Proyecto de Ley español materializa esta exigencia mediante un marco jurídico coherente que traslada al plano organizativo interno las obligaciones europeas, evitando una transposición meramente declarativa. De este modo, se garantiza que la resiliencia no quede circunscrita a documentos estratégicos, sino que se traduzca en capacidades reales, verificables y sostenidas en el tiempo.
Uno de los elementos más relevantes en esta adaptación es la incorporación obligatoria de estructuras internas estables de seguridad, en línea con la exigencia europea de responsabilidad clara, trazable y jerarquizada. En este contexto, la figura del Director de Seguridad se erige como pieza clave para el cumplimiento efectivo de la Directiva, al concentrar la función de coordinación, integración y supervisión de todas las medidas de protección y resiliencia exigidas por el marco europeo.
La Directiva CER enfatiza la necesidad de interlocutores claros entre las entidades críticas y las autoridades competentes, así como de responsables con capacidad para integrar riesgos físicos, tecnológicos, organizativos y humanos. El Proyecto de Ley responde directamente a esta exigencia al dotar al Director de Seguridad de un papel transversal, estratégico y operativo, convirtiéndolo en el garante interno del alineamiento entre la entidad y el sistema europeo de protección de servicios esenciales.
Además, esta figura resulta fundamental para abordar uno de los principales retos señalados por la normativa europea: la gestión de interdependencias y efectos en cascada entre sectores críticos. El Director de Seguridad actúa como elemento de cohesión interna, capaz de romper compartimentos estancos y asegurar una visión sistémica del riesgo, condición indispensable para cumplir con los estándares de resiliencia establecidos por la Unión Europea.
En conclusión, el Proyecto de Ley no solo permite a España cumplir con sus obligaciones de transposición, sino que posiciona al sistema nacional de protección en plena coherencia con el modelo europeo, reforzando su credibilidad, eficacia y capacidad de respuesta. La consagración del Director de Seguridad como figura obligatoria y estratégica no es un añadido accesorio, sino la condición necesaria para que los principios de la Directiva europea se conviertan en prácticas reales, sostenibles y alineadas con la protección del interés general en un entorno de amenazas crecientemente complejas.
Vicente Reig Basset es Coronel de la Guardia Civil (Retirado), DSE. Fue Jefe de la Comandancias de Huesca y Las Palmas de Gran Canaria, Director de Seguridad de Mapfre en México, Jefe de los POMLT en Afganistán y Director Proyecto de la UE de Lucha al Narcotráfico en Bolivia.
