ANEXO I

Gu韆 Contenidos M韓imos

Plan de Seguridad del Operador (PSO)

1. Introducci髇.

1.1 Base legal.

El normal funcionamiento de los servicios esenciales que se prestan a la ciudadan韆 descansa sobre una serie de infraestructuras de gesti髇 tanto p鷅lica como privada, cuyo funcionamiento es indispensable y no permite soluciones alternativas: las denominadas infraestructuras cr韙icas. Por ello, se hace necesario el dise駉 de una pol韙ica de seguridad homog閚ea e integral en el seno de las organizaciones que est� espec韋icamente dirigida al 醡bito de las infraestructuras cr韙icas, en la cual se definan los subsistemas de seguridad que se van a implantar para la protecci髇 de las mismas con el objetivo de impedir su destrucci髇, interrupci髇 o perturbaci髇, con el consiguiente perjuicio de la prestaci髇 de los servicios esenciales a la poblaci髇.

Este es precisamente el esp韗itu de la Ley 8/2011 de 28 de abril, por la que se establecen medidas para la protecci髇 de las infraestructuras cr韙icas, que tiene como objeto el establecer las estrategias y las estructuras organizativas adecuadas que permitan dirigir y coordinar las actuaciones de los distintos 髍ganos de las administraciones p鷅licas en materia de protecci髇 de infraestructuras cr韙icas, previa identificaci髇 y designaci髇 de las mismas, impulsando la colaboraci髇 e implicaci髇 de los organismos y/o empresas gestoras y propietarias (operadores cr韙icos) de dichas infraestructuras, a fin de optimizar el grado de protecci髇 de 閟tas contra ataques deliberados tanto f韘icos como l骻icos, que puedan afectar a la prestaci髇 de los servicios esenciales.

Dicha Ley tiene su desarrollo a trav閟 del Real Decreto 704/2011 de 20 de mayo, por el que se aprueba el Reglamento de protecci髇 de las infraestructuras cr韙icas.

El art韈ulo 13 de la Ley explicita una serie de compromisos para los operadores cr韙icos p鷅licos y privados, entre los que se encuentra la necesidad de elaboraci髇 de un Plan de Seguridad del operador (en adelante, PSO) y de los Planes de Protecci髇 Espec韋icos que se determinen (en adelante, PPE).

Por su parte, el art韈ulo 22.4 del Real Decreto 704/2011 responsabiliza a la Secretar韆 de Estado de Seguridad (髍gano superior responsable del Sistema de Protecci髇 de Infraestructuras Cr韙icas Nacionales, conforme al art韈ulo 6 de la Ley 8/2011), a trav閟 del CNPIC, del establecimiento y puesta a disposici髇 de los operadores cr韙icos de los contenidos m韓imos con los que deben contar los PSO, as� como el modelo en el que basar la elaboraci髇 de los mismos.

1.2 Objetivo de este Documento.

Con el presente documento se pretende dar cumplimiento a las instrucciones emanadas del Real Decreto 704/2011, estableciendo los contenidos m韓imos sobre los que se debe de apoyar un operador cr韙ico a la hora del dise駉 y elaboraci髇 de su PSO. A su vez, se establecen algunos puntos explicativos sobre aspectos recogidos en la normativa de referencia.

Igualmente, se pretende orientar a aquellos operadores que hayan sido o vayan a ser designados como cr韙icos en el dise駉 y elaboraci髇 de su respectivo Plan, con el fin de que estos puedan definir el contenido de su pol韙ica general y el marco organizativo de seguridad, que encontrar� su desarrollo espec韋ico en los PPE de cada una de sus infraestructuras cr韙icas.

1.3 Finalidad y contenido del PSO.

El PSO definir� la pol韙ica general del operador para garantizar la seguridad integral del conjunto de instalaciones o sistemas de su propiedad o gesti髇.

El PSO, como instrumento de planificaci髇 del Sistema de Protecci髇 de Infraestructuras Cr韙icas, contendr�, adem醩 de un 韓dice referenciado sobre los contenidos del Plan, informaci髇 sobre:

• • Pol韙ica general de seguridad del operador y marco de gobierno.
• • Relaci髇 de Servicios Esenciales prestados por el operador cr韙ico.
• • Metodolog韆 de an醠isis de riesgo (amenazas f韘icas y de ciberseguridad).
• • Criterios de aplicaci髇 de Medidas de Seguridad Integral.

1.4 M閠odo de revisi髇 y actualizaci髇

Conforme al art韈ulo 24 del Real Decreto 704/2011 de 20 de mayo, por el que se aprueba el Reglamento de protecci髇 de las infraestructuras cr韙icas, entre las obligaciones del operador, adem醩 de la elaboraci髇 y presentaci髇 del PSO al Centro Nacional para la Protecci髇 de las Infraestructuras Cr韙icas (en adelante CNPIC), se incluye su revisi髇 y actualizaci髇 peri骴ica:

• • Revisi髇: Bienal.
• • Actualizaci髇: Cuando se produzca alg鷑 tipo de modificaci髇 en los datos incluidos en el PSO. En este caso, el PSO quedar� actualizado cuando dichas modificaciones hayan sido validadas por el CNPIC, o en las condiciones establecidas en su normativa sectorial espec韋ica.

Independientemente de todo ello, en el caso de que var韊n algunas de las circunstancias indicadas en el PSO (modificaci髇 de datos, identificaci髇 de nuevas infraestructuras cr韙icas, baja de infraestructuras cr韙icas, cese de condiciones para ser considerado operador cr韙ico, etc…), el operador deber� trasladar la informaci髇 oportuna al CNPIC, a trav閟 de los canales habilitados al efecto (Sistema HERMES/PoC oficial), en el plazo m醲imo de diez d韆s a partir de las circunstancias variadas.

1.5 Protecci髇 y Gesti髇 de la informaci髇 y documentaci髇.

La informaci髇 es un valor estrat間ico para cualquier organizaci髇, siendo 閟ta de car醕ter sensible, por lo que en este sentido, el operador debe definir sus procedimientos de gesti髇 y tratamiento, as� como los est醤dares de seguridad precisos para prestar una adecuada y eficaz protecci髇 de esa informaci髇, independientemente del formato en el que 閟ta se encuentre.

Adem醩, los operadores designados como cr韙icos, deber醤 tratar los documentos que se deriven de la aplicaci髇 de la Ley 8/2011 y su desarrollo normativo a trav閟 del Real Decreto 704/2011, de 20 de mayo, por el que se aprueba el Reglamento de protecci髇 de las infraestructuras cr韙icas, seg鷑 el grado de clasificaci髇 que se derive de las citadas normas.

En virtud de la disposici髇 adicional segunda de la ley 08/2011, la clasificaci髇 del PSO constar� de forma expresa en el instrumento de su aprobaci髇. A tal fin, el tratamiento de los PSO deber� estar regido conforme a las orientaciones publicadas por la Autoridad Nacional para la Protecci髇 de la Informaci髇 Clasificada del Centro Nacional de Inteligencia en lo que se refiere al manejo y custodia de informaci髇 clasificada con grado de Difusi髇 Limitada.

Las orientaciones de referencia se encuentran recogidas en los siguientes documentos:

Seguridad documental.

OR- ASIP-04-01.04 – Orientaciones para el Manejo de Informaci髇 Clasificada con Grado de Difusi髇 Limitada.

Seguridad en el Personal.

OR- ASIP-04-02.02 – Instrucci髇 de Seguridad del Personal para acceso a Informaci髇 Clasificada.

Seguridad F韘ica.

OR- ASIP-01-01.03 – Orientaciones para el Plan de Protecci髇 de una Zona de Acceso Restringido.

OR- ASIP-01-02.03–Orientaciones para la Constituci髇 de Zonas de Acceso Restringido.

Seguridad de los Sistemas de Informaci髇 y Comunicaciones.

OR-ASIP-03-01.04 – Orientaciones para la Acreditaci髇 de Sistemas de Informaci髇 y Comunicaciones para el manejo de Informaci髇 Clasificada.

2. Pol韙ica General de Seguridad del Operador y Marco de seguridad.

2.1 Pol韙ica General de Seguridad del Operador Cr韙ico.

El objetivo de una Pol韙ica de Seguridad es dirigir y dar soporte a la gesti髇 de la seguridad. En ella, la Direcci髇 de la Organizaci髇 debe establecer claramente cu醠es son sus l韓eas de actuaci髇 y manifestar su apoyo y compromiso con la seguridad.

Por tanto, en este apartado, el operador deber� reflejar el contenido de su Pol韙ica de Seguridad de una forma homog閚ea e integral que est� espec韋icamente dirigido al 醡bito de las infraestructuras cr韙icas y que sirva de marco de referencia para la protecci髇 de las mismas, con el objetivo de impedir su perturbaci髇 o destrucci髇.

Los aspectos m韓imos que debe recoger la Pol韙ica de Seguridad son:

• • Objeto: La meta que pretende conseguir la Organizaci髇 con la pol韙ica y su posterior desarrollo y aplicaci髇.
• • 羗bito o Alcance de Aplicaci髇: Una pol韙ica puede estar limitada a determinados campos o aspectos o, por el contrario, ser de aplicaci髇 a toda la Organizaci髇. El operador deber� reflejar sobre qu� partes de su Organizaci髇 es aplicable la Pol韙ica de Seguridad de protecci髇 de infraestructuras cr韙icas, sin perder de vista que la misma ha de tener un car醕ter integral, considerando tanto la seguridad f韘ica como la ciberseguridad.
• • Compromiso de la Alta Direcci髇: El operador debe garantizar que a la seguridad debe d醨sele la misma importancia que a otros factores de la producci髇 o negocio de la organizaci髇.

  Por ello, el compromiso de la Organizaci髇 con la Pol韙ica de Seguridad y lo que de ella se desarrolle deber� quedar plasmado mediante la aprobaci髇, sanci髇 y apoyo de la misma por el 髍gano (Consejo de Administraci髇, Consejo de Direcci髇, etc.) o la persona (Presidente, Consejero Delegado, etc.) de gobierno o direcci髇 de la misma con capacidad suficiente para implantarla en la organizaci髇, as� como su firme y expl韈ito compromiso con la protecci髇 de los servicios esenciales prestados, compromiso que se debe ver reflejado en el propio plan.

• • Car醕ter Integral de la Seguridad: La seguridad f韘ica y la ciberseguridad son 醨eas que deben ser abordadas de forma interrelacionada y con una perspectiva hol韘tica de la seguridad. Esto redundar� en una visi髇 global de la seguridad, posibilitando el dise駉 de una estrategia corporativa 鷑ica, y optimizando el conocimiento, los recursos y los equipos. Por ello, el operador deber� remarcar el car醕ter integral de la seguridad aplicada a sus infraestructuras cr韙icas, indicando en todo caso el procedimiento por el que se pretende alcanzar dicha seguridad integral: aspectos concretos de la organizaci髇, estructuras, procedimientos, etc閠era. En este sentido, una respuesta integral a las diferentes amenazas existentes requiere la aplicaci髇 coordinada de medidas de seguridad f韘ica y ciberseguridad.
• • Actualizaci髇 de la Pol韙ica General de Seguridad del Operador: Al ser la pol韙ica de seguridad un documento de alto nivel, no suele requerir cambios significativos a lo largo del tiempo. No obstante, el operador deber� asegurarse de que 閟ta se mantenga actualizada y refleje aquellos cambios requeridos por variaciones en los activos a proteger, del entorno que les pueda afectar (amenazas, vulnerabilidades, impactos, salvaguardas), o en la reglamentaci髇 aplicable. En este apartado, el operador deber� recoger el proceso a seguir para la actualizaci髇 y mantenimiento de su Pol韙ica de Seguridad, incluyendo la periodicidad y el responsable de llevar a cabo estas acciones.

2.2 Marco de Gobierno de Seguridad.

2.2.1 Organizaci髇 de la Seguridad y Comunicaci髇.

El operador cr韙ico debe designar a un Responsable de Seguridad y Enlace y a los Delegados de Seguridad en cada una de las infraestructuras cr韙icas identificadas, as� como a los sustitutos de ambos, de acuerdo a los requisitos establecidos en la Ley 8/2011. Deber�, por tanto, asegurar que se encuentren en un nivel jer醨quico suficiente dentro de su estructura organizativa, de tal forma que los designados puedan garantizar el cumplimiento y la aplicaci髇 de la Pol韙ica y de los requisitos establecidos para la protecci髇 de las infraestructuras cr韙icas bajo su responsabilidad.

Asimismo, deber� asegurar la presencia f韘ica del delegado de seguridad en la infraestructura en un tiempo prudencial, en caso de que ello sea necesario.

En este apartado, el operador cr韙ico deber� describir su organigrama de seguridad (comprendiendo tanto la Seguridad F韘ica como la Ciberseguridad), con indicaci髇 de las figuras recogidas en la Ley, as� como los niveles jer醨quicos que les correspondan en su estructura organizativa.

Dicho organigrama debe incluir la ubicaci髇 f韘ica, estructura, jerarqu韆, 髍gano de gobierno e interrelaci髇 de todas las 醨eas de la organizaci髇 con responsabilidad en cada uno de los 醡bitos de la seguridad corporativa. Adem醩, deber� dejar constancia de que los designados tienen capacidad suficiente para llevar a cabo todas aquellas acciones que se deriven de la aplicaci髇 de la Ley y el Real Decreto. En este sentido, el operador cr韙ico deber� presentar:

• • Un organigrama general, donde se identifique la estructura de seguridad corporativa.
• • Un organigrama espec韋ico de la estructura de seguridad que integre la informaci髇 sobre las distintas funciones que desempe馻 en la organizaci髇.

En su caso, el operador cr韙ico deber� se馻lar los comit閟 u 髍ganos de decisi髇 existentes en materia de seguridad, as� como las funciones de cada uno de ellos.

Igualmente, se reflejar醤 los procedimientos de gesti髇 y mantenimiento de la seguridad, haciendo constar si 閟tos son de car醕ter propio o son subcontratados. En este 鷏timo caso, ser� necesario relacionar la empresa o empresas subcontratadas, las certificaciones en materia de seguridad con las que cuentan aqu閘las, la sede desde la que se ejercen dichos servicios contratados, as� como los servicios y compromisos acordados entre ambos. De igual forma, se definir� la metodolog韆 mediante la cual se lleva a cabo la comprobaci髇 del cumplimiento por parte de la empresa contratada, con los protocolos de seguridad implementados en su caso por el operador.

En el campo de la ciberseguridad, y en lo relacionado con la protecci髇 de infraestructuras cr韙icas, el CERT de Seguridad e Industria (en adelante CERTSI) es el responsable de la resoluci髇 de incidencias cibern閠icas que puedan afectar a la prestaci髇 de los servicios esenciales gestionados por los

El CERTSI, en aplicaci髇 del Acuerdo Marco suscrito entre la Secretar韆 de Estado de Seguridad y la Secretar韆 de Estado de Telecomunicaciones y para la Sociedad de la Informaci髇, da apoyo directo al CNPIC en todo lo relativo a la prevenci髇 y reacci髇 ante incidentes que puedan afectar a las redes y sistemas de los operadores de infraestructuras cr韙icas y a la disponibilidad de los servicios que 閟tos prestan.

Para todo ello, y previa suscripci髇 de un acuerdo de confidencialidad entre las partes (operador cr韙ico – CNPIC – CERTSI), dicho CERT podr� proporcionar servicios de prevenci髇, detecci髇, alerta temprana y respuesta a incidentes en apoyo a los departamentos encargados de esta labor en el seno de cada organizaci髇.

2.2.1.1 El Responsable de Seguridad y Enlace.

Conforme al art韈ulo 16.2 de la Ley, el operador cr韙ico deber� nombrar, en el plazo de tres meses desde su designaci髇 como tal, al Responsable de Seguridad y Enlace de la organizaci髇, que deber� estar habilitado por el Ministerio del Interior como Director de Seguridad, en virtud de lo dispuesto en el Real Decreto 2364/1994, de 9 de diciembre, en el que se aprueba el Reglamento de Seguridad Privada, o tener una habilitaci髇 equivalente, seg鷑 su normativa sectorial espec韋ica. Tal nombramiento deber� ser comunicado a la Secretar韆 de Estado de Seguridad, a trav閟 del CNPIC.

El operador cr韙ico deber� hacer constar en este apartado el nombre y datos de contacto (direcci髇, tel閒onos y email) de la persona que fue designado como Responsable de Seguridad y Enlace as� como de su sustituto, con id閚ticas condiciones, en ausencia del titular. Sus funciones en relaci髇 con el art韈ulo 34.2 del Real Decreto 704/2011 son las siguientes:

• • Representar al operador cr韙ico ante la Secretaria de Estado de Seguridad:
  • – En materias relativas a la seguridad de sus infraestructuras.
  • – En lo relativo a los diferentes planes especificados en el Real Decreto.
  • • Canalizar las necesidades operativas e informativas que surjan entre el operador cr韙ico y el CNPIC.

2.2.1.2 El Delegado de Seguridad de la Infraestructura Cr韙ica.

Conforme al art韈ulo 17 de la Ley, el operador cr韙ico con infraestructuras designadas como cr韙icas o cr韙icas europeas comunicar� a las Delegaciones del Gobierno o, en su caso, al 髍gano competente de la Comunidad Aut髇oma con competencias estatutariamente reconocidas para la protecci髇 de personas y bienes y para el mantenimiento del orden p鷅lico donde aqu閘las se ubiquen, la persona designada como Delegado de Seguridad y su sustituto. Esta comunicaci髇 deber� realizarse tambi閚 al CNPIC, en el plazo de tres meses desde la notificaci髇 oficial de que es propietario o gestor de al menos una infraestructura cr韙ica o cr韙ica europea.

El operador cr韙ico deber� hacer constar en este apartado el nombre y datos de contacto (direcci髇, tel閒onos y email) de la persona designada como Delegado de Seguridad, as� como de su sustituto, con id閚ticas condiciones, cumpliendo los plazos establecidos desde su designaci髇 como operador cr韙ico, as� como su participaci髇 a las Autoridades correspondientes, seg鷑 lo establecido en el art韈ulo 35.1 del Real Decreto 704/2011.

Es aconsejable que tanto el Delegado de Seguridad como su sustituto sean poseedores de titulaci髇 relativa a la rama de seguridad, adem醩 de pertenecer al departamento de seguridad de la entidad en cuesti髇.

Sus funciones en relaci髇 con el art韈ulo 35.2 del Real Decreto 704/2011, son las siguientes:

• • Ser el enlace operativo y el canal de informaci髇 con las autoridades competentes en materias relativas a la seguridad de sus infraestructuras.
• • Canalizar las necesidades operativas e informativas que surjan, a nivel infraestructura, entre el operador y las autoridades competentes.

2.2.2 Formaci髇 y Concienciaci髇.

El operador cr韙ico deber� colaborar con los programas o ejercicios que puedan derivarse del Plan Estrat間ico Sectorial, as� como en su momento de los Planes de Apoyo Operativo.

El operador cr韙ico reflejar� en este apartado el Plan de Formaci髇 previsto para el personal relacionado con la protecci髇 de las infraestructuras cr韙icas, indicando la duraci髇, objetivos que se pretende conseguir, mecanismos de evaluaci髇 que se contemplan para el mismo y periodos de actualizaci髇. As� mismo, se incluir� el responsable del plan y la capacitaci髇 del mismo.

En el caso de que disponga de un Plan de Formaci髇 General, especificar� la parte relacionada con la protecci髇 de las infraestructuras cr韙icas, y la incluir� en este punto.

El operador cr韙ico deber� reflejar en este apartado su participaci髇 en ejercicios de simulaci髇 en incidentes de seguridad (f韘icos y cibern閠icos), y la periodicidad programada para tales ejercicios.

El personal implicado directamente en la protecci髇 de los servicios esenciales e infraestructuras cr韙icas deber� ser formado para alcanzar conocimientos, a nivel b醩ico:

• • Sobre seguridad integral (seguridad f韘ica y ciberseguridad).
• • Sobre autoprotecci髇.
• • Sobre seguridad del medio ambiente.
• • Sobre habilidades organizativas y de comunicaci髇.
• • Sobre sus responsabilidades/actuaciones en caso de materializarse un incidente, o en el caso de que se active un nivel de amenaza 4 � 5 del Plan de Prevenci髇 y Protecci髇 Antiterrorista y/o del Plan Nacional de Protecci髇 de las Infraestructuras Cr韙icas.

El personal no directamente implicado deber� ser concienciado mediante la aplicaci髇 de las pol韙icas de formaci髇 y operacionales activas en la organizaci髇.

2.2.3 Modelo de Gesti髇 aplicado.

La seguridad integral depende de un proceso de gesti髇 que debe aportar el control organizativo y t閏nico necesario para determinar en todo momento el nivel de exposici髇 a las amenazas y el nivel de protecci髇 y respuesta que es capaz de proporcionar la organizaci髇 para la protecci髇 y seguridad de sus servicios esenciales e Infraestructuras Cr韙icas.

Por tanto, de acuerdo con la Pol韙ica de Seguridad marcada, el operador cr韙ico deber� recoger dentro del PSO su modelo de gesti髇 elegido, que deber� contemplar como m韓imo:

• • Una implementaci髇 de controles de seguridad alineada con las prioridades y necesidades evaluadas.
• • Una evaluaci髇 y monitorizaci髇 contin鷄 de la seguridad, con identificaci髇 de procesos y periodos.
• • En el supuesto de que el operador cr韙ico haya dise馻do un sistema de gesti髇 y/o la evaluaci髇 de la seguridad de las tecnolog韆s de la informaci髇, de acuerdo a alg鷑 est醤dar de referencia internacional se debe indicar 閟te, as� como las certificaciones que posee dicho sistema y el organismo certificador.

2.2.4 Comunicaci髇.

El operador cr韙ico deber� recoger expl韈itamente en este apartado los procedimientos establecidos para la comunicaci髇 e intercambio de informaci髇 relativa a la protecci髇 de infraestructuras cr韙icas, de la siguiente manera:

Comunicaci髇 al CNPIC:

• • De aquellos incidentes o situaciones que puedan poner en riesgo o comprometer la seguridad de alguna de las infraestructuras de la que el operador es gestor y/o propietario, conforme al protocolo de comunicaci髇 de incidentes PIC elaborado por este Centro y puesto a disposici髇 de los operadores cr韙icos.
• • De aquellas variaciones de car醕ter organizativo, de planificaci髇 o estructural que se produzcan en el seno del propio operador y que afecten de alguna manera a las infraestructuras cr韙icas objeto de protecci髇 (por ejemplo, ajuste de cartera de servicios, fusiones, adquisiciones o ventas de activos, cambios t閏nicos, modificaci髇 de infraestructuras, cambio de instalaciones, etc.).

Comunicaci髇 al CERTSI:

• • A trav閟 de la Oficina de Coordinaci髇 Cibern閠ica del Ministerio del Interior (OCC), de los incidentes que puedan comprometer la seguridad cibern閠ica de los sistemas y redes del operador cr韙ico y la disponibilidad de los servicios que presta. Todo ello, conforme al protocolo de comunicaci髇 de incidentes PIC elaborado por el CNPIC y puesto a disposici髇 de los operadores cr韙icos.

3. Relaci髇 de Servicios esenciales prestados por el Operador Cr韙ico.

El PSO deber� incluir, a modo de introducci髇, la informaci髇 de contexto suficiente para describir los siguientes aspectos:

• • Presentaci髇 general del operador cr韙ico y sector/subsector principal/es de su actividad. En caso de grupos empresariales, se identificar� claramente, con nombre y CIF, cu醠 de las empresas es el operador cr韙ico.
• • Estructura organizativa y societaria de todo el Grupo (en el caso de grupos empresariales).
• • Presencia geogr醘ica en los 醡bitos nacional e internacional, con un resumen de las Comunidades Aut髇omas donde presten sus servicios esenciales, as� como de aquellos pa韘es donde presten servicios similares.
• • Principales l韓eas de actividad con la tipolog韆 general de servicios/productos que ofrecen.

3.1 Identificaci髇 de los Servicios esenciales.

El PSO deber� identificar aquellos servicios esenciales para la ciudadan韆 prestados por el operador a trav閟 del conjunto de sus infraestructuras estrat間icas ubicadas en el territorio nacional, en relaci髇 al concepto de servicio esencial recogido en el art韈ulo 2. a) de la Ley:

• • Servicio necesario para el mantenimiento de las funciones sociales b醩icas, la salud, la seguridad, el bienestar social y econ髆ico de los ciudadanos.
• • Eficaz funcionamiento de las Instituciones del Estado y las Administraciones P鷅licas.

3.2 Mantenimiento del inventario de servicios esenciales.

Peri骴icamente, al menos bienalmente, el operador cr韙ico deber� revisar la relaci髇 de servicios esenciales que figuran en su PSO, como consecuencia de la evoluci髇 normal que cualquier empresa experimenta respecto a los servicios que ofrece.

As�, en este mantenimiento deber� incorporar aquellos cambio/s que se produzcan:

• • Por causas end骻enas (por ejemplo, ajuste de cartera de servicios, fusiones, adquisiciones o ventas de activos, cambios t閏nicos, modificaci髇 de infraestructuras, cambio de instalaciones, etc.).
• • Como consecuencia de la adecuaci髇 a los per韔dos establecidos en el Plan conforme al punto 1.4 de esta gu韆.

3.3 Estudio de las consecuencias de la interrupci髇 del servicio esencial.

El operador cr韙ico deber� llevar a cabo un estudio de las consecuencias que supondr韆 la interrupci髇 y no disponibilidad del servicio esencial que presta a la sociedad, motivado por:

• • Alteraci髇 o interrupci髇 temporal del servicio prestado.
• • Destrucci髇 parcial o total de la infraestructura que gestiona el servicio.

Adicionalmente, deber� identificar claramente, para cada uno de los casos anteriores, la siguiente informaci髇:

• • Extensi髇 geogr醘ica y n鷐ero de personas que pueden verse afectadas.
• • Efecto sobre operadores y servicios esenciales dependientes.
• • Existencia de alternativas de prestaci髇 del servicio esencial o mecanismos de contingencia proporcionados por el propio operador y nivel de degradaci髇 que conllevan.

3.4 Interdependencias.

En relaci髇 con el concepto de interdependencias recogido en el art韈ulo 2. j) de la Ley, pueden existir efectos y repercusiones que afecten los servicios esenciales y las infraestructuras cr韙icas propias y/o de otros operadores, tanto dentro del mismo sector como en otros sectores diferentes. Estas interdependencias deber醤 ser en todo caso consideradas en el an醠isis de riesgos que realicen los operadores en el marco global de su organizaci髇.

El operador cr韙ico deber� hacer referencia a las interdependencias que identifique, explicando en l韓eas generales el motivo que origina dichas dependencias:

• • Entre sus propias instalaciones o servicios.
• • Con operadores del mismo sector.
• • Con operadores de distintos sectores.
• • Con operadores de otros pa韘es, del mismo sector o no.
• • Con sus proveedores de servicio dentro de la cadena de suministros.
• • Con los proveedores de servicios TIC contratados, tales como: proveedor(es) de telecomunicaciones, Centros de Proceso de Datos, servicios de seguridad (Centro de Operaciones de Seguridad, CERT privado, etc閠era) y cualesquiera otros que se considere, especificando para cada uno de ellos el nombre del proveedor, los servicios contratados, acuerdos de nivel de servicio (SLA) y cumplimiento del servicio provisto con la pol韙ica general de seguridad del operador.

4. Metodolog韆 del An醠isis de Riesgos.

En virtud de lo establecido en el art韈ulo 22.3 del Real Decreto 704/2011, en el PSO se plasmar� la metodolog韆 o metodolog韆s de an醠isis de riesgos empleadas por el operador cr韙ico. Dichas metodolog韆s deber醤 estar internacionalmente reconocidas, garantizar la continuidad de los servicios proporcionados por dicho operador y contemplar, de una manera global, tanto las amenazas f韘icas como l骻icas existentes contra la totalidad de sus activos cr韙icos. Todo ello, con independencia de las medidas m韓imas que se puedan establecer para los Planes de Protecci髇 Espec韋icos conforme a lo establecido por el art韈ulo 25.

4.1 Descripci髇 de la metodolog韆 de an醠isis.

Se describir� de forma gen閞ica la metodolog韆 empleada por la Organizaci髇 para la realizaci髇 de los an醠isis de riesgos de los diferentes Planes de Protecci髇 Espec韋icos (PPE) que se deriven tras la designaci髇 de sus infraestructuras cr韙icas. Al menos, se aportar� la siguiente informaci髇:

• • Etapas esenciales.
• • Algoritmos de c醠culo empleados.
• • M閠odo empleado para la valoraci髇 de los impactos.
• • M閠ricas de medici髇 de riesgos aceptables, residuales, etc.
• • En particular, se har醤 constar las relaciones entre los an醠isis de riesgos realizados a distintos niveles: A nivel de corporaci髇, a nivel de servicios y el m醩 concreto, a nivel de infraestructuras cr韙icas.

4.2 Tipolog韆s de activos que soportan los servicios esenciales.

Se denominan activos los recursos necesarios para que la Organizaci髇 funcione correctamente y alcance los objetivos propuestos por su Direcci髇.

Sobre la base de los servicios identificados en el apartado 3.1 anterior, se incluir醤 en este apartado, para cada servicio esencial, los tipos de activos que los soportan, diferenciando aqu閘los que son cr韙icos de los que no lo son.

Las tipolog韆s de activos a considerar ser醤, al menos:

• • Las instalaciones necesarias para la prestaci髇 del servicio esencial.
• • Los sistemas inform醫icos necesarios para dar soporte a los servicios esenciales (hardware y software).
• • Las redes de comunicaciones necesarias para la prestaci髇 del servicio esencial.
• • Las personas que explotan u operan todos los elementos anteriormente citados.

El objeto de esta secci髇 es la identificaci髇 gen閞ica de tipolog韆s de activos asociadas a los servicios esenciales prestados por dicho operador, y sobre los que se focalizar� el an醠isis de riesgos que efect鷈 el operador. El nivel de detalle ser� aquel que permita una comprensi髇 del funcionamiento de los servicios, as� como las interrelaciones entre activos y servicios.

Los activos no ser醤 necesariamente espacios f韘icos concretos, pudiendo por ejemplo considerarse como activos sistemas distribuidos, tales como una red de datos.

4.3 Identificaci髇 y evaluaci髇 de amenazas.

En el marco de la normativa de protecci髇 de infraestructuras cr韙icas y de cara a garantizar la adecuada protecci髇 de aquellas infraestructuras que prestan servicios esenciales, el operador cr韙ico deber� tener como referencia el 醨bol de amenazas proporcionado por el CNPIC, considerando de forma especial aquellas amenazas de origen terrorista o intencionado. El operador deber� indicar expresamente las amenazas que ha considerado para la realizaci髇 de los an醠isis de riesgos, plasmando al menos:

• • Las intencionadas, de tipo tanto f韘ico como l骻ico, que puedan afectar al conjunto de sus infraestructuras, las cuales deber醤 identificarse de forma espec韋ica en sus respectivos PPE, en su caso.
• • Las procedentes de interdependencias, que puedan afectar directamente a los servicios esenciales, sean estas deliberadas o no.

4.4 Valoraci髇 y Gesti髇 de Riesgos.

Los PSO recoger醤 la estrategia de gesti髇 de riesgos implementada por el operador en cuanto a:

• • Criterios utilizados para la valoraci髇 de las categor韆s de clasificaci髇 de los riesgos.
• • Metodolog韆 de selecci髇 de estrategia (reducci髇, eliminaci髇, transferencia, etc.).
• • Plazos para la implantaci髇 de medidas, en el caso de elegir una estrategia de minimizaci髇 del riesgo con indicaci髇, si existe, de mecanismos de priorizaci髇 de acciones.
• • Tratamiento dado a las amenazas de ataques deliberados y, en particular, a aquellas que tengan una baja probabilidad pero un alto impacto debido a las consecuencias por su destrucci髇 o interrupci髇 en la continuidad de los servicios esenciales.
• • Mecanismos de seguimiento y actualizaci髇 peri骴icos de niveles de riesgo.

5. Criterios de aplicaci髇 de medidas de seguridad integral.

Dentro del 醡bito de la seguridad integral, el operador definir� a grandes rasgos los criterios utilizados en su organizaci髇 para la aplicaci髇 y administraci髇 de la seguridad. En este sentido, incluir� de forma gen閞ica las medidas de seguridad implantadas en el conjunto de activos y recursos sobre los que se apoyan los servicios esenciales y que se recoger醤 en sus respectivos PPE, al objeto de hacer frente a las amenazas f韘icas y l骻icas identificadas en los oportunos an醠isis de riesgos efectuados sobre cada una de las tipolog韆s de sus activos.

6. Documentaci髇 complementaria.

6.1 Normativa, buenas pr醕ticas y regulatoria.

El operador recoger� en una breve referencia motivada toda la normativa de aplicaci髇 y aquellas buenas pr醕ticas que regulen el buen funcionamiento de los servicios esenciales prestados por todas y cada una de sus infraestructuras.

La normativa a incluir comprender� la normativa general y sectorial, tanto de rango nacional, auton髆ico, europeo e internacional, relativas a:

• • Seguridad F韘ica.
• • Ciberseguridad.
• • Seguridad de la Informaci髇.
• • Seguridad Personal.
• • Seguridad Ambiental.
• • Autoprotecci髇 y Prevenci髇 de Riesgos Laborales.

6.2 Coordinaci髇 con otros Planes.

Se identificar醤 todos aquellos Planes dise馻dos por el operador relativos a otros aspectos (continuidad de negocio, gesti髇 del riesgo, respuesta, ciberseguridad, autoprotecci髇, emergencias, etc.) que puedan coordinarse con el Plan de Seguridad del operador y los respectivos Planes de Protecci髇 Espec韋icos que ser醤 activados en el caso de que las medidas preventivas fallen y se produzca un incidente. As� mismo, debe dejarse constancia de la coordinaci髇 existente con el Plan Nacional para la Protecci髇 de las Infraestructuras Cr韙icas.

ANEXO II

Gu韆 de contenidos m韓imos

Plan de Protecci髇 Espec韋ico (PPE)

1. Introducci髇.

1.1 Base legal.

Seg鷑 establece la Ley 8/2011, de 28 de abril, por la que se establecen medidas para la protecci髇 de las infraestructuras cr韙icas, el operador designado como cr韙ico, ya sea 閟te perteneciente al sector p鷅lico o al privado, se integrar� como agente del sistema de protecci髇 de infraestructuras cr韙icas, debiendo cumplir con una serie de responsabilidades recogidas en su art韈ulo 13.

De acuerdo con en el punto 1, letra 玠�, del citado art韈ulo, el operador deber� elaborar un Plan de Protecci髇 Espec韋ico (en adelante, PPE) por cada una de las infraestructuras cr韙icas de las que sea propietario o gestor.

El Real Decreto 704/2011, de 20 de mayo, por el que se aprueba el Reglamento de protecci髇 de las infraestructuras cr韙icas, a trav閟 del cual se da desarrollo reglamentario a la Ley 8/2011, establece, en su cap韙ulo IV del T韙ulo III sobre los Instrumentos de Planificaci髇, aquellos aspectos relativos a la elaboraci髇, finalidad y contenido de dichos planes, adem醩 de su aprobaci髇 o modificaci髇, registro, clasificaci髇 y formas de revisi髇 y actualizaci髇, as� como las autoridades encargadas de su aplicaci髇 y seguimiento, y la compatibilidad con otros planes ya existentes.

En este sentido, y conforme al art韈ulo 25.5 de dicho real decreto, se asigna a la Secretar韆 de Estado de Seguridad, a trav閟 del Centro Nacional para la Protecci髇 de las Infraestructuras Cr韙icas (en adelante, CNPIC), la responsabilidad de establecer los contenidos m韓imos de los PPE, as� como el modelo en el que fundamentar su estructura y compleci髇, sobre la base de las directrices y criterios marcados por el Plan de Seguridad del Operador (en adelante, PSO).

En el PPE, el operador cr韙ico aplicar� los siguientes aspectos y criterios incluidos en su PSO, que afecten de manera espec韋ica a esa instalaci髇:

• • Aspectos relativos a su pol韙ica general de seguridad.
• • Desarrollo de la metodolog韆 de an醠isis de riesgos que garantice la continuidad de los servicios proporcionados por dicho operador a trav閟 de esa infraestructura cr韙ica.
• • Desarrollo de los criterios de aplicaci髇 de las diferentes medidas de seguridad que se implanten para hacer frente a las amenazas, tanto f韘icas como aquellas que afectan a la ciberseguridad, identificadas en relaci髇 con cada una de las tipolog韆s de los activos existentes en esa infraestructura.

1.2 Objetivo de este documento.

Con el presente documento se pretende dar cumplimiento a las instrucciones emanadas del Real Decreto 704/2011, estableciendo los contenidos m韓imos sobre los que se debe apoyar el operador cr韙ico a la hora de elaborar su respectivo PPE en las instalaciones catalogadas como cr韙icas. A su vez, se establecen algunos puntos explicativos sobre aspectos recogidos en la Ley 8/2011 y el Real Decreto 704/2011.

1.3 Finalidad y contenido del PPE.

Los PPE son los documentos operativos donde se definen las medidas concretas a poner en marcha por los operadores cr韙icos para garantizar la seguridad integral (seguridad f韘ica y ciberseguridad) de sus infraestructuras cr韙icas.

Adem醩 de un 韓dice referenciado a los contenidos del Plan, los PPE deber醤 contener, al menos, la siguiente informaci髇 espec韋ica sobre la infraestructura a proteger:

• • Organizaci髇 de la seguridad.
• • Descripci髇 de la infraestructura.
• • Resultado del an醠isis de riesgos:

  Medidas de seguridad integral (tanto las existentes como las que sea necesario implementar) permanentes, temporales y graduales para las diferentes tipolog韆s de activos a proteger y seg鷑 los distintos niveles de amenaza declarados a nivel nacional de acuerdo con lo establecido por el Plan de Prevenci髇 y Protecci髇 Antiterrorista y por el Plan Nacional de Protecci髇 de Infraestructuras Cr韙icas.

• • Plan de acci髇 propuesto (por cada activo evaluado en el an醠isis de riesgos).

Los PPE deber醤 estar alineados con las pautas establecidas en la Pol韙ica General de Seguridad del operador reflejada en el PSO. As� mismo, los an醠isis de riesgos, vulnerabilidades y amenazas que se lleven a cabo, estar醤 sujetos a las pautas metodol骻icas descritas en el PSO.

1.4 M閠odo de Revisi髇 y Actualizaci髇.

Conforme al art韈ulo 27 del Real Decreto por el que se aprueba el Reglamento de protecci髇 de las infraestructuras cr韙icas, entre las obligaciones del operador cr韙ico, adem醩 de la elaboraci髇 y presentaci髇 del PPE al CNPIC, se incluye su revisi髇 y actualizaci髇 peri骴ica:

• • Revisi髇: Bienal, que deber� ser aprobada por las Delegaciones del Gobierno en las CC.AA. y las Ciudades con Estatuto de Autonom韆 o, en su caso, por el 髍gano competente de las Comunidades Aut髇omas con competencias estatutariamente reconocidas para la protecci髇 de personas y bienes y para el mantenimiento del orden p鷅lico, adem醩 de por parte del CNPIC.
• • Actualizaci髇: Cuando se produzca una modificaci髇 en los datos incluidos dentro del PPE. En este caso, el PPE quedar� actualizado cuando dichas modificaciones hayan sido validadas por el CNPIC, o en las condiciones establecidas en su normativa sectorial espec韋ica.

Independientemente de todo ello, en el caso de que var韊n algunas de las circunstancias indicadas en el PPE (organizaci髇 de la seguridad, datos de descripci髇 de la infraestructura, medidas de seguridad, etc…), el operador deber� trasladar la informaci髇 oportuna al CNPIC, a trav閟 de los canales habilitados al efecto (Sistema HERMES/PoC oficial), en el plazo m醲imo de diez d韆s a partir de las circunstancias variadas.

1.5 Protecci髇 y Gesti髇 de la Informaci髇 y Documentaci髇.

La informaci髇 asociada con los PPE y aqu閘la relativa a los an醠isis de riesgos y las medidas de seguridad implantadas sobre las infraestructuras cr韙icas a las que hacen referencia es de car醕ter sensible, por lo que, en este sentido, el operador deber� definir sus procedimientos de tratamiento de dicha informaci髇, as� como los est醤dares de seguridad precisos para prestar una adecuada y eficaz protecci髇 de la informaci髇 utilizados, independientemente del formato en el que 閟ta se encuentre.

Adem醩, los operadores designados como cr韙icos, deber醤 tratar los documentos que se deriven de la aplicaci髇 de la Ley 8/2011 y su desarrollo normativo a trav閟 del Real Decreto 704/2011, de 20 de mayo, por el que se aprueba el Reglamento de protecci髇 de las infraestructuras, seg鷑 el grado de clasificaci髇 que se derive de las citadas normas.

En virtud de la disposici髇 adicional segunda de la Ley 08/2011, la clasificaci髇 del PPE constar� de forma expresa en el instrumento de su aprobaci髇. A tal fin, el tratamiento de los PPE deber� estar regido conforme a las orientaciones publicadas por la Autoridad Nacional para la Protecci髇 de la Informaci髇 Clasificada del Centro Nacional de Inteligencia en lo que se refiere al manejo y custodia de informaci髇 clasificada con grado de Difusi髇 Limitada.

Las orientaciones de referencia se encuentran recogidas en los siguientes documentos:

Seguridad documental.

OR- ASIP-04-01.04.–Orientaciones para el Manejo de Informaci髇 Clasificada con Grado de Difusi髇 Limitada.

Seguridad en el personal.

OR- ASIP-04-02.02 – Instrucci髇 de Seguridad del Personal para acceso a Informaci髇 Clasificada.

Seguridad f韘ica.

OR- ASIP-01-01.03.–Orientaciones para el Plan de Protecci髇 de una Zona de Acceso Restringido.

OR- ASIP-01-02.03.–Orientaciones para la Constituci髇 de Zonas de Acceso Restringido.

Seguridad de los Sistemas de Informaci髇 y Comunicaciones.

OR-ASIP-03-01.04.–Orientaciones para la Acreditaci髇 de Sistemas de Informaci髇 y Comunicaciones para el manejo de Informaci髇 Clasificada.

2. Aspectos organizativos.

2.1 Organigrama de seguridad.

El operador cr韙ico debe presentar gr醘icamente la estructura organizativa funcional que en materia de seguridad integral existe en la infraestructura cr韙ica, con indicaci髇 de todos los actores que participan en aquella, su rol de responsabilidad y su jerarqu韆 en el proceso de toma de decisiones. Del mismo modo, se debe establecer la dependencia de esta estructura con aquella definida en el correspondiente Plan de Seguridad del Operador.

2.2 Delegados de Seguridad de las Infraestructuras Cr韙icas.

Conforme al art韈ulo 17 de la Ley 8/2011, el operador cr韙ico con infraestructuras designadas como cr韙icas o criticas europeas comunicar� a las Delegaciones del Gobierno en las CC.AA. y en las Ciudades con Estatuto de Autonom韆 o, en su caso, al 髍gano competente de la Comunidad Aut髇oma con competencias estatutariamente reconocidas para la protecci髇 de personas y bienes y para el mantenimiento del orden p鷅lico donde aquellas se ubiquen, la persona designada como Delegado de Seguridad y su sustituto. Esta comunicaci髇 deber� realizarse tambi閚 al CNPIC, en el plazo de tres meses desde la designaci髇 de una infraestructura como cr韙ica.

El operador cr韙ico deber� hacer constar en este apartado el nombre y datos de contacto (direcci髇, tel閒onos y email) de la persona designada como Delegado de Seguridad as� como de su sustituto, con id閚ticas condiciones, cumpliendo los plazos establecidos desde su designaci髇, as� como su participaci髇 a las Autoridades correspondientes, seg鷑 lo establecido en el art韈ulo 35.1 del Real Decreto 704/2011.

Es aconsejable que tanto el Delegado de Seguridad como su sustituto sean poseedores de titulaci髇 relativa a la rama de seguridad, adem醩 de pertenecer al departamento de seguridad de la entidad en cuesti髇.

Sus funciones en relaci髇 con el art韈ulo 35.2 del Real Decreto 704/2011, son las siguientes:

• • Ser el enlace operativo y el canal de informaci髇 con las autoridades competentes en materia relativa a la seguridad de sus infraestructuras.
• • Canalizar las necesidades operativas e informativas que surjan.

El operador cr韙ico deber� reflejar en este apartado los cursos o formaci髇 que el Delegado de Seguridad haya recibido, relacionados con las habilidades necesarias para el desempe駉 del puesto, de acuerdo con el Plan de Formaci髇 previsto en el PSO.

2.3 Mecanismos de Coordinaci髇.

El operador cr韙ico deber� reflejar dentro de su PPE los mecanismos existentes de coordinaci髇:

• • Entre el Delegado de Seguridad de la infraestructura cr韙ica con otros Delegados de otras infraestructuras cr韙icas y con el Responsable de Seguridad y Enlace del propio operador.
• • Con autoridades y terceros (Fuerzas y Cuerpos de Seguridad del Estado/Cuerpos Policiales auton髆icos y locales/CNPIC/otros).
• • Con otros planes existentes del operador (planes de continuidad de negocio, planes de evacuaci髇, etc.).
• • Con el CERT de Seguridad e Industria (CERTSI) identificando los puntos de contacto del operador en los 3 niveles requeridos: el institucional, y el directivo y el t閏nico, todos ellos referidos a en la gesti髇 de incidentes.
• • Con los proveedores cr韙icos que se especifiquen a tenor del desarrollo de lo establecido en el punto 3.2.

2.4 Mecanismos y responsables de aprobaci髇.

El operador deber� incluir dentro del PPE los siguientes aspectos relativos a su aprobaci髇 y revisi髇 interna:

• • Responsables de su aprobaci髇.
• • Procedimiento que se sigue para su aprobaci髇.
• • Fecha en la que se produjo su 鷏tima aprobaci髇.
• • Responsable de su revisi髇 y actualizaci髇.
• • Aspectos objeto de revisi髇, en su caso.
• • Registros generados por el procedimiento de revisi髇 que permitan comprobar que el PPE ha sido revisado (reuniones, acta del Comit� correspondiente, estudios y an醠isis realizados, actualizaciones de los an醠isis de riesgos, etc.).

3. Descripci髇 de la Infraestructura Cr韙ica.

3.1 Datos generales de la infraestructura cr韙ica.

El operador cr韙ico deber� incluir los siguientes datos e informaci髇 sobre la infraestructura a proteger:

• • Generales, relativos a la denominaci髇 y tipo de instalaci髇, propiedad y gesti髇 de la misma.
• • Sobre localizaci髇 f韘ica y estructura (localizaci髇, planos generales, fotograf韆s, componentes, etc.)
• • Sobre los sistemas TIC que gestionan la infraestructura cr韙ica y su arquitectura.
• • Datos estrat間icos:

  Descripci髇 del servicio esencial que proporciona y el 醡bito geogr醘ico o poblacional del mismo.

Relaci髇 con otras posibles infraestructuras necesarias para la prestaci髇 de ese servicio esencial.

Descripci髇 de sus funciones y de su relaci髇 con los servicios esenciales soportados.

3.2 Activos/elementos de la infraestructura cr韙icas.

Se incluir醤 en este apartado todos los activos que soportan la infraestructura cr韙ica, diferenciando aquellos que son vitales de los que no lo son. En concreto se detallar醤:

• • Las instalaciones o componentes de la infraestructura cr韙ica que son necesarios y por lo tanto vitales para la prestaci髇 del servicio esencial.
• • Los sistemas inform醫icos (hardware y software) utilizados, con especificaci髇 de los fabricantes, modelos y, versiones, etc閠era.
• • Las redes de comunicaciones que permiten intercambiar datos y que se utilicen para dicha infraestructura cr韙ica:

  Arquitectura de red, rangos de IP p鷅licas y, dominios.

  Esquema(s) de red completo y detallado, de tipo gr醘ico y con descripci髇 literaria, donde se recojan los flujos de intercambio de informaci髇 que se realizan en las redes, as� como sus per韒etros electr髇icos.

  Descripci髇 de componentes de la red (servidores, terminales, hubs, switches, nodos, routers, firewalls,…) as� como su ubicaci髇 f韘ica.

• • Las personas o grupos de personas que explotan u operan todos los elementos anteriormente citados, indicando y detallando de forma particular si existe alg鷑 proceso externalizado a terceros.
• • Los proveedores cr韙icos que en general son necesarios para el funcionamiento de dicha infraestructura cr韙ica, y espec韋icamente:

  De suministro el閏trico.

  De comunicaciones (telefon韆, internet, etc. …).

  De tratamiento y almacenamiento de informaci髇 (CPDs, etc.).

  De ciberseguridad (CERTs privados, SOCs, etc.).

• • Sobre los proveedores nombrados por el operador, se especificar醤 los distintos Acuerdos de Nivel de Servicios que se tienen contratados y que son considerados esenciales.

  Del mismo modo, se especificar醤 las interdependencias existentes entre los diferentes activos que soportan o componen la infraestructura cr韙ica. La informaci髇 anterior deber� ser la suficiente para recoger de manera expl韈ita el alcance de la infraestructura a proteger y con el mismo nivel de detalle que se haya establecido dentro del PSO.

3.3 Interdependencias.

En relaci髇 con el concepto de interdependencias recogido en el art韈ulo 2. j) de la Ley, pueden existir efectos y repercusiones que afecten los servicios esenciales y las infraestructuras cr韙icas propias y/o de otros operadores, tanto dentro del mismo sector como en 醡bitos diferentes. Estas interdependencias deber醤 ser en todo caso consideradas en el an醠isis de riesgos que realicen los operadores para la infraestructura cr韙ica de que se trate, en el marco del PPE.

El operador cr韙ico deber� hacer referencia dentro de sus diferentes PPE a las interdependencias que, en su caso, identifique, explicando brevemente el motivo que las origina:

• • Con otras infraestructuras cr韙icas del propio operador.
• • Con otras infraestructuras estrat間icas del propio operador que soportan el servicio esencial.
• • Entre sus propias instalaciones o servicios.
• • Con sus proveedores dentro de la cadena de suministro.
• • Con los proveedores de servicios TIC contratados para esa infraestructura, tales como: proveedor(es) de telecomunicaciones, Centros de Proceso de Datos, servicios de seguridad (Centro de Operaciones de Seguridad, CERT privado, etc閠era) y cualesquiera otros que se considere, especificando para cada uno de ellos el nombre del proveedor, los servicios contratados, acuerdos de nivel de servicio (SLA) y cumplimiento del servicio provisto con la pol韙ica general de seguridad del operador.
• • Con los proveedores de servicios de seguridad f韘ica, indicando los servicios prestados y el personal y medios empleados.

4. Resultados del An醠isis de Riesgos.

El operador cr韙ico deber� reflejar en su PPE los resultados del an醠isis de riesgos integral realizado sobre la infraestructura cr韙ica. Dicho an醠isis de riesgos deber� seguir las pautas metodol骻icas recogidas en su PSO.

A continuaci髇 se reflejan los contenidos m韓imos relativos al an醠isis de riesgos realizado que el operador deber� incluir dentro del PPE.

4.1 Amenazas consideradas.

En el marco de la normativa de protecci髇 de infraestructuras cr韙icas, y de cara a garantizar la adecuada protecci髇 de las infraestructuras cr韙icas, el operador cr韙ico deber� tener como referencia el 醨bol de amenazas proporcionado por el CNPIC, considerando de forma especial aquellas amenazas de origen terrorista o intencionado. El operador deber� indicar expresamente las amenazas que ha considerado para la realizaci髇 de los an醠isis de riesgos, plasmando al menos:

• • Las amenazas intencionadas, tanto de tipo f韘ico como a la ciberseguridad, que afecten de forma espec韋ica a alguno de los activos que soportan la infraestructura cr韙ica.
• • Las amenazas que puedan afectar directamente a la infraestructura procedente de las interdependencias identificadas, sean 閟tas deliberadas o no.
• • Las dirigidas al entorno cercano o elementos interdependientes tanto del ante-per韒etro f韘ico como l骻ico que puedan afectar a la infraestructura.
• • Las amenazas que afecten a los sistemas de informaci髇 que den soporte a la operaci髇 de la infraestructura cr韙ica y todos los que est閚 conectados a dichos sistemas sin contar con las adecuadas medidas de segmentaci髇.
• • Las amenazas que afecten a los sistemas y servicios que soportan la seguridad integral.

4.2 Medidas de seguridad integral existentes.

El operador deber� describir las medidas de seguridad integral (medidas de protecci髇 de las instalaciones, equipos, datos, software de base y aplicativos, personal y documentaci髇) implantadas en la actualidad, con las que se ha contado para la realizaci髇 del an醠isis de riesgos. Deber� distinguir entre las medidas de car醕ter permanente, y aquellas temporales y graduales.

Por medidas permanentes se entienden aquellas medidas concretas ya adoptadas por el operador cr韙ico, as� como aquellas que considere necesarias instalar en funci髇 del resultado del an醠isis de riesgo realizado respecto de los riesgos, amenazas y consecuencias/impacto sobre sus activos, dirigidas todas ellas a garantizar la seguridad integral de su instalaci髇 catalogada como cr韙ica de manera continua.

Por medidas temporales y graduales se entienden aquellas medidas de seguridad de car醕ter extraordinario que reforzar醤 a las permanentes y que se deber醤 implementar de forma ascendente a ra韟 de la activaci髇 de alguno de los niveles de seguridad establecidos respectivamente en el Plan Nacional de Protecci髇 de las Infraestructuras Cr韙icas ( art韈ulo 16.3 del RD 704/2011), en coordinaci髇 con el Plan de Prevenci髇 y Protecci髇 Antiterrorista, principalmente para los niveles 4 y 5, o bien como consecuencia de las comunicaciones que las autoridades competentes puedan efectuar al operador cr韙ico en relaci髇 con una amenaza concreta y temporal sobre la instalaci髇 por 閘 gestionada.

Dichas medidas deber醤 permanecer activas durante el tiempo que est� establecido el nivel de alarma, modific醤dose gradualmente en funci髇 de dicho nivel.

Para su mejor comprensi髇, se recomienda una aproximaci髇 por capas para cada nivel, siendo la escala de niveles del 1 al 5 (nivel 1: riesgo bajo; nivel 2: riesgo moderado; nivel 3 riesgo medio; nivel 4: riesgo alto; nivel 5: riesgo muy alto), especificando para cada nivel las medidas de prevenci髇 y protecci髇, el tiempo de respuesta y el tiempo de recuperaci髇.

En concreto, el operador deber� describir las medidas concretas de que dispone relativas a:

• 4.2.1 Organizativas o de Gesti髇.

  El operador deber� indicar si dispone de al menos de las siguientes medidas organizativas o de gesti髇, y el alcance de cada una de ellas:

  • • An醠isis de Riesgos: Evaluaci髇 y valoraci髇 de las amenazas, impactos y probabilidades para obtener un nivel de riesgo.
  • • Definici髇 de roles y responsabilidades: Asignaci髇 de responsabilidades en materia de seguridad.
  • • Cuerpo normativo definido: Pol韙icas, procedimientos y est醤dares de seguridad.
  • • Normas y/o regulaciones de aplicaci髇 a la infraestructura cr韙ica, as� como identificaci髇 de su nivel de cumplimiento.
  • • Certificaci髇, acreditaci髇 y evaluaci髇 de seguridad obtenidas para la infraestructura cr韙ica.
• 4.2.2 Operacionales o Procedimentales.

  El operador deber� indicar si dispone de al menos las siguientes medidas operacionales o procedimentales, y el alcance de cada una de ellas.

  • • Procedimientos para la realizaci髇, gesti髇 y mantenimiento de activos cr韙icos (ciclo de vida):

    Identificaci髇.

    Adquisici髇.

    Catalogaci髇.

    Alta.

    Actualizaci髇.

    Baja.

  • • Procedimientos de formaci髇, concienciaci髇 y capacitaci髇 (tanto general como espec韋ica) para:

    Empleados/Operarios.

    Personal de seguridad.

    Personal contratado.

    Etc.

  • • Procedimientos de Contingencia/Recuperaci髇, en funci髇 de los escenarios de contingencia que hayan sido definidos. Se deben detallar adem醩 los m閠odos y pol韙icas de copias de respaldo (backup).
  • • Procedimientos operativos para la monitorizaci髇, supervisi髇 y evaluaci髇/auditor韆 de:

    Activos F韘icos de la infraestructura (Alcance/Operaci髇/Seguimiento).

    Activos L骻icos o de sistemas de operaci髇 (Alcance/Operaci髇/Seguimiento).

  • • Procedimientos de seguridad.
  • • Procedimientos para la gesti髇 de acceso:

    Gesti髇 de usuarios: Altas, bajas y modificaciones, procesos de selecci髇, r間imen interno, procedimientos de cese.

    Control de accesos temporales:

    De personas, veh韈ulos, etc. al recinto general o a recintos restringidos.

    Identificadores de usuario temporal de los sistemas (mantenimiento…).

    Control de entradas y salidas:

    Paqueter韆, correspondencia, etc.

    Soportes, equipos e informaci髇 (medidas y tecnolog韆s de prevenci髇 de fuga de informaci髇).

  • • Procedimientos operacionales del personal de seguridad (funciones, horarios, dotaciones, etc.).
  • • Procedimientos de gesti髇 y respuesta ante amenazas e incidentes.
  • • Procedimientos de comunicaci髇 e intercambio de informaci髇 relativos a la protecci髇 de infraestructuras cr韙icas (a trav閟 del protocolo de incidentes proporcionado por el CNPIC al efecto):

    Con el CNPIC:

    Sobre incidentes o situaciones que puedan poner en riesgo o comprometer la seguridad de la infraestructura.

    Sobre variaci髇 de datos sobre la organizaci髇 y medidas de seguridad, datos de descripci髇 de la infraestructura, etc.

    Con el CERTSI:

    A trav閟 de la Oficina de Coordinaci髇 Cibern閠ica del Ministerio del Interior (OCC), de los incidentes que puedan comprometer la seguridad cibern閠ica de los sistemas y redes de la infraestructura y la disponibilidad de los servicios por ella prestada.

• 4.2.3 De Protecci髇 o T閏nicas.
  • • Medidas de Prevenci髇 y Detecci髇:

    Medidas y elementos de seguridad f韘ica y electr髇ica para la protecci髇 del per韒etro y control de accesos:

    Vallas, zonas de seguridad, detectores de intrusos, c醡aras de video vigilancia/CCTV, puertas y esclusas, cerraduras, lectores de matr韈ulas, arcos de seguridad, tornos, scanners, tarjetas activas, lectores de tarjetas, etc.

  Medidas y elementos de ciberseguridad:

  • • Firewalls, DMZ, IPSs, IDSs, segmentaci髇 y aislamiento de redes, cifrado, VPNs, elementos y medidas de control de acceso de usuarios (tokens, controles biom閠ricos, etc.), medidas de instalaci髇 y configuraci髇 segura de elementos t閏nicos, correladores de eventos y logs, protecci髇 frente Malware, etc.

    Redundancia de sistemas (hardware y software).

    Otros.

  • • Medidas de Coordinaci髇 y Monitorizaci髇:

    Centro de Control de Seguridad (control de alarmas, recepci髇 y visionado de im醙enes, etc.).

    Equipos de vigilancia (turnos, rondas, volumen, etc.).

    Sistemas de comunicaci髇.

    Otros.

4.3 Valoraci髇 de riesgos.

En este apartado se describir醤 las principales conclusiones obtenidas en el an醠isis de riesgos. Para cada par activo/amenaza se deber� especificar la valoraci髇 efectuada, sobre la base de los criterios especificados en la metodolog韆 de an醠isis de riesgos detallada en el PSO. Dentro de este apartado deber� incluirse, para cada par activo/amenaza, la siguiente informaci髇:

• • Qui閚 ha evaluado/aprobado el riesgo y la estrategia de tratamiento asociada.
• • Criterios de valoraci髇 de riesgos adoptados.
• • Fecha del 鷏timo an醠isis llevado a cabo.
• • Resultado/conclusi髇 sobre el nivel de riesgo soportado.
• • Evoluci髇 en el tiempo de la evaluaci髇 del par activo/amenaza

En particular, deber醤 detallarse los riesgos asumidos en activos con niveles de impacto elevado y baja probabilidad de ocurrencia, que deber醤 ser validados por el CNPIC.

5. Plan de acci髇 propuesto (por activo).

En caso de ser pertinente y preverse la disposici髇 de medidas complementarias a las existentes a implementar en los pr髕imos tres a駉s, se deber� describir, como parte integrante del PPE:

• • Listado de las medidas complementarias a disponer (f韘icas o de ciberseguridad).
• • Una explicaci髇 de la operativa resultante para cada tipo de protecci髇 (f韘ico y l骻ico).

El operador deber� especificar el conjunto detallado de medidas a aplicar para proteger el activo como consecuencia de los resultados obtenidos en el an醠isis de riesgos. En concreto, deber� incluir la siguiente informaci髇:

• • Activo de aplicaci髇.
• • Acci髇 propuesta, con detalle de su 醡bito (alcance) de aplicaci髇.
• • Responsables de su implantaci髇, plazos, mecanismos de coordinaci髇 y seguimiento, etc.
• • Car醕ter de la medida, permanente, temporal o gradual.

6. Documentaci髇 complementaria.

El operador cr韙ico incorporar� como anexo la planimetr韆 general de la instalaci髇 o sistema y de sus sistemas de informaci髇, as� como aquellos otros planos que incorporen la ubicaci髇 de las medidas de seguridad implementadas. A su vez, se podr� adjuntar aquella otra informaci髇 que se pueda generar de los diferentes apartados de este documento.

Se har� una breve referencia a todos aquellos planes de diferente tipo (emergencia, autoprotecci髇, ciberseguridad, etc.), que afecten a la instalaci髇 o sistema con el fin de establecer una adecuada coordinaci髇 entre ellos, as� como toda aquella normativa y buenas pr醕ticas que regulen el buen funcionamiento del servicio esencial prestado por esa infraestructura y los motivos por los cuales le son de aplicaci髇.

La normativa a incluir comprender� la normativa general y sectorial, tanto de rango nacional, auton髆ico, europeo e internacional, relativas a:

• • Seguridad F韘ica.
• • Ciberseguridad.
• • Seguridad de la Informaci髇.
• • Seguridad Personal.
• • Seguridad Ambiental.
• • Autoprotecci髇 y Prevenci髇 de Riesgos Laborales.