Plan Nacional de Protección de Infraestructuras Críticas

El Plan Nacional de Protección de Infraestructuras Críticas (PNPIC) es el documento estratégico de máximo nivel del Sistema PIC español. No es una norma jurídica, no es público y no lo aprueba el Consejo de Ministros: lo elabora la Secretaría de Estado de Seguridad con apoyo del CNPIC, lo aprueba el propio Secretario de Estado de Seguridad y está clasificado como materia reservada. Esta guía ordena su naturaleza, contenido, jerarquía con los demás planes, niveles de alerta y los errores típicos del examen.

Marco normativo

España debía transponer las Directivas CER y NIS2 en 2024. El temario CNP las está incorporando progresivamente.

Naturaleza jurídica del PNPIC

• Documento estratégico, no normativo. No publica derechos ni obligaciones nuevas: ordena los existentes.
• Vinculante para las Administraciones Públicas integradas en el Sistema PIC y para los operadores críticos.
• Clasificado: sometido a la Ley 9/1968 de Secretos Oficiales. No es accesible al público.
• Su contenido sensible no se estudia memorizando apartados internos: el examen pregunta funciones, jerarquía y órganos.

Quién lo elabora y aprueba

Trampa típica de examen: atribuir la aprobación al Consejo de Ministros o al Ministro del Interior. La aprueba el Secretario de Estado de Seguridad.

Contenido mínimo del PNPIC

El PNPIC contiene, como mínimo:

• Criterios y directrices generales para movilizar las capacidades operativas del Sistema PIC.
• Medidas preventivas y de protección graduadas según riesgo.
• Niveles de seguridad aplicables a las infraestructuras críticas.
• Directrices para la elaboración de los Planes Estratégicos Sectoriales (PES).
• Mecanismos de coordinación entre Administraciones, operadores y FFCCS.
• Procedimientos de actuación ante incidentes.

Al estar clasificado, no se estudian los detalles operativos. Se estudia su estructura, finalidad y posición en la jerarquía PIC.

Sectores estratégicos (Anexo de la Ley 8/2011)

La Ley 8/2011 identifica 12 sectores estratégicos sobre los que se aplica el Sistema PIC:

1. Administración
2. Espacio
3. Industria nuclear
4. Industria química
5. Instalaciones de investigación
6. Agua
7. Energía
8. Salud
9. Tecnologías de la información y las comunicaciones (TIC)
10. Transporte
11. Alimentación
12. Sistema financiero y tributario

Cada uno genera un Plan Estratégico Sectorial (PES) específico.

Jerarquía completa del Sistema PIC

PNPIC (Plan Nacional, vértice)
   └── PES (Plan Estratégico Sectorial, uno por sector)
         └── PSO (Plan de Seguridad del Operador, uno por operador crítico)
               └── PPE (Plan de Protección Específico, uno por infraestructura)
                     └── PAO (Plan de Apoyo Operativo, uno por infraestructura)

Niveles de seguridad: NAIC

El NAIC (Nivel de Alerta de Infraestructuras Críticas) se coordina con el PPRA (Plan de Prevención y Protección Antiterrorista) pero puede divergir si la amenaza afecta específicamente al ámbito PIC:

Cada PPE y PAO recoge medidas graduadas que se activan al cambiar el NAIC. La activación corresponde al Secretario de Estado de Seguridad a propuesta del CNPIC.

Caso práctico de subsunción

Supuesto: una eléctrica española opera una central nuclear designada como infraestructura crítica europea (ICE).

Diferencias con planes vecinos

Trampa frecuente: confundir PNPIC con PPRA. Son planes distintos y aprobados por distintas vías de coordinación, aunque comparten muchos niveles.

Seis trampas reales del examen

1. "Lo aprueba el Consejo de Ministros" — Falso. Lo aprueba el Secretario de Estado de Seguridad.
2. "Es público" — Falso. Está clasificado como materia reservada por la Ley 9/1968.
3. "Es una norma jurídica" — Falso. Es un documento estratégico, no normativo.
4. "Hay un PAO por operador" — Falso. El PAO se elabora por infraestructura, no por operador. El PSO es el que existe por operador.
5. "El NAIC y el PPRA coinciden siempre" — Falso. Pueden divergir si la amenaza afecta solo al ámbito PIC.
6. "Las directivas CER y NIS2 son lo mismo" — Falso. CER (2022/2557) es resiliencia física de entidades críticas; NIS2 (2022/2555) es ciberseguridad de entidades esenciales e importantes.

Reformas recientes

• Directiva (UE) 2022/2557 (CER) — sustituye la Directiva 2008/114/CE; amplía sectores y refuerza obligaciones de resiliencia.
• Directiva (UE) 2022/2555 (NIS2) — ciberseguridad para entidades esenciales e importantes; deroga la NIS de 2016.
• Reglamento (UE) 2022/2554 (DORA) — resiliencia digital del sector financiero. Aplicable desde enero 2025.
• RD-Ley 7/2022, de 29 de marzo — requisitos de ciberseguridad para 5G y operadores.
• Pendiente: transposición a Derecho interno de CER y NIS2 mediante ley de transposición que actualizará la Ley 8/2011.

Fuentes oficiales

• BOE: Ley 8/2011, de 28 de abril, PIC — marco legal del Sistema PIC.
• BOE: RD 704/2011, Reglamento PIC — desarrollo reglamentario.
• CNPIC — Centro Nacional de Protección de Infraestructuras y Ciberseguridad — órgano coordinador.
• Directiva (UE) 2022/2557 — CER — resiliencia de entidades críticas.
• Directiva (UE) 2022/2555 — NIS2 — ciberseguridad.
• BOE: Ley 9/1968 de Secretos Oficiales — régimen de clasificación.

Posts hermanos

• RD 704/2011: Reglamento de infraestructuras críticas
• Criterios horizontales de criticidad: los 4 parámetros
• Operador crítico y operador esencial: diferencia
• PSO, PPE y PAO: planes de infraestructuras críticas
• Temario Policía Nacional 2026: los 45 temas
• Cómo preparar la oposición a Policía Nacional desde cero

Guía revisada el 27 de mayo de 2026 con la Ley 8/2011, el RD 704/2011 y las Directivas CER (UE) 2022/2557 y NIS2 (UE) 2022/2555.