PSO, PPE y PAO: tres tipos de planes del Sistema PIC

El Sistema PIC español articula la protección de infraestructuras críticas en 5 planes encadenados que descienden del nivel general nacional al apoyo policial concreto: PNPIC → PES → PSO → PPE → PAO. Los tres últimos (PSO, PPE y PAO) son los planes operativos por excelencia y caen prácticamente todos los años en oposición a CNP y Guardia Civil. Esta guía recoge quién elabora cada plan, qué contiene, quién lo aprueba, los plazos exactos del RD 704/2011 y la Resolución de 8 de septiembre de 2015 sobre contenidos mínimos.

Marco normativo

La cascada de los 5 planes del Sistema PIC

PNPIC (nivel nacional, SES + CNPIC)
   └── PES (por cada sector estratégico)
         └── PSO (uno por operador crítico)
               └── PPE (uno por infraestructura crítica)
                     └── PAO (uno por infraestructura, FFCCS)

Art. 14 Ley 8/2011 y RD 704/2011 · quién firma cada plan

Cuatro de cinco los firma la SES

Plan · quién lo elaboraQuién lo apruebaDónde lo dice

1. Plan Nacional · lo elabora la SESSESarts. 16 y 17 RD 704/2011
2. Plan Estratégico Sectorial · lo elabora el Grupo de TrabajoComisión Nacionalart. 14.3 Ley · arts. 19 y 20 RD
3. Plan de Seguridad del Operador · lo elabora el operadorSESart. 23.1 · previo informe del CNPIC
4. Plan de Protección Específico · lo elabora el operadorSESart. 26.1 · con informe de la Delegación
5. Plan de Apoyo Operativo · lo elabora el cuerpo policialSESart. 31.1 · a través del CNPIC

Los tres en coral son los que la tabla del texto atribuye a otros: el PSO al CNPIC, el PPE a la Delegación o al CNPIC y el PAO a la Delegación. Lo que aprueban CNPIC y Delegación son las revisiones de cada dos años (arts. 24, 27 y 32).

La tabla del texto

Plan	Quien elabora	Quien aprueba	Alcance
PNPIC	SES con apoyo del CNPIC	SES	Estratégico nacional
PES	Grupo de Trabajo Sectorial	Comisión Nacional PIC	Por cada sector estratégico (los 12 del Anexo Ley 8/2011)
PSO	Operador crítico	Secretario de Estado de Seguridad u órgano delegado	Política general de seguridad del operador
PPE	Operador crítico	Secretaría de Estado de Seguridad	Una infraestructura crítica concreta
PAO	Cuerpo policial estatal o autonómico competente	Secretaría de Estado de Seguridad, a través del CNPIC	Apoyo policial externo a la infraestructura

Órganos según la Ley 8/2011 y el RD 704/2011. En coral, las tres correcciones a la tabla del texto.

Tabla comparativa PSO vs PPE vs PAO

Arts. 22, 25 y 30 RD 704/2011 · uno, uno por instalación, uno desde fuera

Una carpeta gruesa, dos finas y un plano

123

1. 1PSO · uno por operadorEl documento estratégico con la política general de seguridad «del conjunto de instalaciones o sistemas» del operador (art. 22.1 RD).
2. 2PPE · uno por infraestructura críticaLas medidas concretas, físicas y lógicas, de cada instalación crítica (art. 25.1); una más cada vez que se identifique otra (art. 25.2).
3. 3PAO · uno por infraestructura con PPEEl cuerpo policial de la demarcación planifica el apoyo desde fuera, sobre los datos del PPE (art. 30.2).

Tres filas de la tabla, corregidas: el «Quién aprueba» es la SES en los tres (arts. 23.1, 26.1 y 31.1); el plazo del PSO cuenta desde la notificación de la resolución de designación, no desde una «notificación firme» (art. 22.2); y el «Reservado» no lo fija ninguna norma: la clasificación consta en cada resolución (arts. 23.4, 26.4 y 31.3).

La tabla del texto

Característica	PSO	PPE	PAO
Significado	Plan de Seguridad del Operador	Plan de Protección Específico	Plan de Apoyo Operativo
Quién elabora	Operador crítico	Operador crítico	FFCCS competente
Quién aprueba	Secretario de Estado de Seguridad u órgano delegado	Secretaría de Estado de Seguridad	Secretaría de Estado de Seguridad, a través del CNPIC
Sobre qué	Política general del operador	Infraestructura crítica concreta	Apoyo policial externo
Cuántos por operador	Uno	Uno por cada IC	Uno por cada IC
Plazo elaboración	6 meses desde notificación de la resolución de designación	4 meses desde aprobación del PSO	4 meses desde aprobación del PPE
Carácter	Clasificado; grado indicado en su aprobación	Clasificado; grado indicado en su aprobación	Clasificado; grado indicado en su aprobación
Revisión	Cada 2 años o cambio circunstancias	Idem	Idem

Escena ilustrativa: sede, instalaciones y patrulla genéricas.

Plan de Seguridad del Operador (PSO)

Concepto

Documento estratégico que cada operador crítico elabora para definir su política general de seguridad y los criterios que aplicará a sus infraestructuras críticas. Es uno por operador, no uno por instalación.

Contenido mínimo (Resolución 8 sept 2015)

Plazo y procedimiento

Arts. 22 a 24 RD 704/2011 · el PSO paso a paso

Seis meses para escribirlo, dos para firmarlo

1. 1Designación

   Se notifica la resolución que designa al operador crítico (art. 14.3 RD).

2. 26 meses

   El operador elabora el PSO y lo presenta al CNPIC (art. 22.2).

3. 3Informe del CNPIC

   Lo evalúa, tras los informes técnicos, y lo propone a la SES (arts. 7.e y 22.2).

4. 4La SES aprueba

   Y notifica en dos meses como máximo (art. 23.1).

5. 5Calendario

   El CNPIC fija recomendaciones y un calendario de implantación gradual; lo guarda en su registro central (art. 23.2-3).

6. 6Cada 2 años

   El operador lo revisa y el CNPIC aprueba la revisión (art. 24.1).

Los contenidos mínimos los fija la Resolución de 8 de septiembre de 2015 de la Secretaría de Estado de Seguridad (BOE de 18 de septiembre), anexo I para el PSO y anexo II para el PPE, dictada conforme al art. 7.e del RD 704/2011.

La tabla del texto

Paso	Plazo
Notificación designación operador crítico	t=0
Presentación del PSO	t + 6 meses
Evaluación e informe del CNPIC	Previos a la resolución, que debe notificarse en un máximo de 2 meses
Aprobación	Por el Secretario de Estado de Seguridad u órgano delegado
Revisión periódica	Cada 2 años o cambio relevante

Pasos del RD 704/2011. En coral, la aprobación, que la tabla del texto da al CNPIC.

Plan de Protección Específico (PPE)

Concepto

Documento operativo que el operador crítico elabora para cada infraestructura crítica designada. Concreta medidas permanentes y temporales para proteger esa instalación.

Contenido mínimo

Arts. 25 y 30 RD 704/2011 · el operador dentro, la policía fuera

Dos planes para la misma instalación

Art. 25 RD 704/2011

PPE: dentro de la valla

• Medidas concretas «ya adoptadas» y «las que se vayan a adoptar» para la seguridad integral, física y lógica (25.1).
• Según el análisis de riesgos, «en particular, las de origen terrorista», incluidos los sistemas de información (25.3).
• Permanentes y, además, temporales y graduadas: las activa el Plan Nacional o un aviso de amenaza concreta (25.4).

Lo escribe el operador.

+

Art. 30 RD 704/2011

PAO: fuera de la valla

• Las medidas de las Administraciones «en apoyo de los operadores críticos» (30.1).
• Vigilancia, prevención, protección y reacción de las unidades policiales y, en su caso, de las Fuerzas Armadas (30.3).
• Se activan con el Plan Nacional o ante una amenaza inminente, y son «siempre complementarias» de las del PPE (30.3).

Lo escribe la policía, con el responsable de seguridad de la infraestructura.

La tabla del texto

Apartado	Detalle
Identificación detallada de la infraestructura	Localización, planos, dependencias
Identificación del Delegado de Seguridad	Persona específica de esa IC
Análisis de riesgos específico	Amenazas y vulnerabilidades concretas
Medidas permanentes de protección	Físicas, electrónicas, organizativas
Medidas temporales graduables	Por niveles NAIC (1-5)
Procedimientos de comunicación	Internos y externos
Coordinación con FFCCS	Para complementar con el PAO
Plan de continuidad de la IC	Específico

Texto de los arts. 25 y 30 RD 704/2011, abreviado.

Plazo y aprobación

Trampa típica: pensar que el PPE lo aprueba el cuerpo policial. Lo aprueba la Secretaría de Estado de Seguridad. El cuerpo policial elabora el PAO.

Plan de Apoyo Operativo (PAO)

Concepto

Documento elaborado por el cuerpo policial competente (CNP en zonas urbanas, Guardia Civil en zonas rurales habitualmente; policía autonómica si procede) para complementar el PPE con medidas externas de vigilancia, prevención, protección y reacción.

Contenido mínimo

Plazo y aprobación

Resumen de plazos

Arts. 22 a 31 RD 704/2011 · catorce o dieciocho

Faltan los dos meses de cada firma

La cuenta del texto6 + 4 + 4

PSO 6PPE 4PAO 4

Con las aprobacionescada plan se aprueba antes de empezar el siguiente

PSO 62PPE 42PAO 4

meses

06101418

El PPE no cuenta desde el PSO presentado, sino desde el PSO aprobado (art. 25.2), y el PAO, desde el PPE aprobado (art. 30.2). Entre medias, la SES tiene hasta dos meses para cada aprobación (arts. 23.1 y 26.1): con los plazos agotados, son dieciocho meses, no catorce. El PAO, además, se valida y aprueba aparte (art. 31.1).

La tabla del texto

Plan	Plazo desde	Quien hace
PSO	6 meses desde notificación designación	Operador
PPE	4 meses desde aprobación PSO	Operador
PAO	4 meses desde aprobación PPE	FFCCS
Revisión PSO/PPE/PAO	Cada 2 años	Quien elaboró
Revisión PNPIC	Cada 5 años	SES + CNPIC

Escala en meses desde la notificación de la designación, con los plazos máximos agotados. En coral, las aprobaciones.

Mnemotécnica: 6 + 2 + 4 + 2 + 4 = 18 meses al sumar elaboración y resolución del PSO y del PPE hasta elaborar el PAO; no incluye la aprobación del PAO, para la que no se fija aquí un plazo.

Conexión con los niveles NAIC

Los planes graduables (PPE y PAO) activan medidas según el Nivel de Alerta de Infraestructuras Críticas (NAIC):

El NAIC lo activa el Secretario de Estado de Seguridad a propuesta del CNPIC. Puede divergir del PPRA antiterrorista si la amenaza es específica a IIC.

Casos prácticos

Caso 1 — Eléctrica designada operador crítico

Caso 2 — Central nuclear como IC + ICE

Central nuclear designada simultáneamente IC nacional y ICE europea.

Caso 3 — Operador con varias instalaciones, solo una designada IC

Arts. 22, 25 y 30 RD 704/2011 · el caso 3, en una maqueta

Cuatro sitios, una valla

oficinas: fueraalmacén: fueraparque eólico: fuerala única crítica: PPE y PAOun solo PSO para toda la empresa

El PSO abarca todo; el PPE y el PAO, solo lo crítico. El PSO define la seguridad «del conjunto de instalaciones o sistemas» del operador (art. 22.1); el PPE se hace «por cada una de sus infraestructuras críticas» (art. 25.2) y el PAO, por cada una de las dotadas de PPE (art. 30.2).

La tabla del caso 3

Pregunta	Respuesta
¿PSO?	Sí (uno por operador)
¿PPE?	Sí, solo de la instalación designada IC
¿PAO?	Sí, solo de la instalación designada IC
¿Sus otras instalaciones?	Quedan fuera del régimen PIC (sin perjuicio normativa sectorial)

Escena ilustrativa: empresa e instalaciones inventadas. En coral, la única infraestructura crítica.

Seis trampas reales del examen

Cómo lo preguntan en el test

Las seis trampas, en la hoja de examen

Hoja de examenPSO, PPE y PAO · RD 704/2011

1. "El PAO lo elabora el operador crítico" — Falso. Lo elabora el cuerpo policial competente (CNP/GC).
2. "El PPE lo aprueba el CNPIC en exclusiva" — Falso. Lo aprueba la Secretaría de Estado de Seguridad según el régimen del RD 704/2011.
3. "Cada operador elabora varios PSO" — Falso. Es uno por operador, política general.
4. "El PAO no tiene plazo" — Falso. 4 meses desde aprobación del PPE.
5. "Los planes son públicos" — Falso. Están clasificados conforme a la Ley 9/1968, con el grado indicado en su aprobación.
6. "PSO y PES son lo mismo" — Falso. PES es Plan Estratégico Sectorial (por sector); PSO es Plan de Seguridad del Operador (por entidad obligada).

Corrección a la trampa 2: el PPE lo aprueba la Secretaría de Estado de Seguridad (art. 26.1 RD 704/2011); la Delegación del Gobierno informa antes, y con el CNPIC aprueba sus revisiones (art. 27.1).

Régimen sancionador por incumplimiento

Ley 8/2011 y RD 704/2011 · un régimen que no existe

La DA 2.ª no es un régimen sancionador

Lo que sí dice la Ley 8/2011

• La disposición adicional 2.ª de la Ley 8/2011 trata de la clasificación de los planes: la que les corresponda, expresa en su aprobación.
• Las obligaciones del operador están en el art. 13 de la Ley: planes, Responsable de Seguridad y Enlace, Delegados, inspecciones y, desde la LO 9/2022, la certificación de las medidas y un Área de Seguridad.

Lo que no está en la Ley ni en el reglamento

• Infracciones y sanciones. Ni la Ley 8/2011 ni el RD 704/2011 tipifican infracción alguna: no hay «grave» ni «muy grave» en ninguno de los dos.
• «Obstrucción a la inspección del CNPIC». Las inspecciones del art. 13.1.g son las de las autoridades competentes para verificar la normativa sectorial.

La tabla del texto

Conducta	Norma
No presentar PSO/PPE en plazo	Obligación del RD 704/2011; la Ley 8/2011 no tipifica una sanción específica
Información incompleta o falsa	La Ley 8/2011 no tipifica una sanción específica
No designar RSE o Delegado de Seguridad	Obligación de la Ley 8/2011; sin sanción específica tipificada en ella
Filtración de datos clasificados	Penal (arts. 598-603 CP)
Obstrucción a inspección CNPIC	La Ley 8/2011 no tipifica una sanción específica; debe identificarse la norma sancionadora aplicable

Con la tabla del texto delante: en verde lo escrito; en coral, lo que la tabla atribuye a la Ley 8/2011.

Reformas pendientes

• Directiva (UE) 2022/2557 CER — sustituye marco europeo; pendiente de transposición.
• Directiva (UE) 2022/2555 NIS2 — ciberseguridad.
• Proyecto Ley PRER — crea CNPREC; sustituirá Ley 8/2011.
• Reglamento (UE) 2022/2554 DORA — resiliencia financiera (en vigor 2025).

Fuentes oficiales

• BOE: Ley 8/2011, art. 14 — instrumentos de planificación.
• BOE: RD 704/2011 — desarrollo reglamentario.
• BOE: Resolución 8 sept 2015 — contenidos mínimos PSO y PPE.
• CNPIC: guías y metodologías — modelos oficiales.
• Directiva (UE) 2022/2557 CER — marco europeo.

Posts hermanos

• Plan Nacional de Protección de Infraestructuras Críticas (PNPIC)
• CNPIC: qué es, de quién depende y funciones
• RD 704/2011: Reglamento de infraestructuras críticas
• Criterios horizontales de criticidad
• Operador crítico y operador esencial: diferencia
• Competencias CNP vs Guardia Civil
• Temario Policía Nacional 2026

Guía revisada el 27 de mayo de 2026 con el art. 14 Ley 8/2011, los arts. 22-32 RD 704/2011, la Resolución de 8 de septiembre de 2015 sobre contenidos mínimos PSO y PPE, y la Directiva (UE) 2022/2557 CER pendiente de transposición.