Plan de Seguridad del Operador T25: Contenidos mínimos de Planes de seguridad del Operador (PSO), Planes de Protección Específicos (PPE) Elena Maestre Socio PwC

Índice Introducción Desarrollo Conclusiones Bibliografía Glosario

1 – Introducción Marco Legislativo PEPIC (Programa Europeo de Protección de Infraestructuras Críticas) aprobado en diciembre de 2004 PNPIC (Plan Nacional de Protección de Infraestructuras Críticas) aprobado el 7 de mayo de 2007 Catálogo Nacional de Infraestructuras Estratégicas custodiado por el CNPIC y con más 3.700 infraestructuras en España Directiva 2008/114/CE, de 8 de diciembre, sobre la identificación y designación de Infraestructuras Críticas Europeas y la evaluación de la necesidad de mejorar su protección. Ley 8/2011 de 28 de Abril, por la que se establecen las medidas de protección de las infraestructuras críticas RD 704/2011 de 21 de mayo, por el que se aprueba el Reglamento de protección de las infraestructuras críticas Disposición Transitoria Segunda. Plazos de implantación de las medidas de seguridad La implantación de las medidas de seguridad previstas en el presente real decreto deberá producirse con arreglo a las siguientes reglas: Respecto de los ficheros automatizados que existieran en la fecha de entrada en vigor del presente real decreto: En el plazo de un año desde su entrada en vigor, deberán implantarse las medidas de seguridad de nivel medio exigibles a los siguientes ficheros: Aquéllos de los que sean responsables las Entidades Gestoras y Servicios Comunes de la Seguridad Social y se relacionen con el ejercicio de sus competencias. Aquéllos de los que sean responsables las mutuas de accidentes de trabajo y enfermedades profesionales de la Seguridad Social. Aquéllos que contengan un conjunto de datos de carácter personal que ofrezcan una definición de las características o de la personalidad de los ciudadanos y que permitan evaluar determinados aspectos de la personalidad o del comportamiento de los mismos, respecto de las medidas de este nivel que no fueran exigibles conforme a lo previsto en el artículo 4.4 del Reglamento de Medidas de seguridad de los ficheros automatizados de datos de carácter personal, aprobado por Real Decreto 994/1999, de 11 de junio. En el plazo de un año desde su entrada en vigor deberán implantarse las medidas de seguridad de nivel medio y en el de dieciocho meses desde aquella fecha, las de nivel alto exigibles a los siguientes ficheros: Aquéllos que contengan datos derivados de actos de violencia de género. Aquéllos de los que sean responsables los operadores que presten servicios de comunicaciones electrónicas disponibles al público o exploten redes públicas de comunicaciones electrónicas respecto a los datos de tráfico y a los datos de localización. En los demás supuestos, cuando el presente reglamento exija la implantación de una medida adicional, no prevista en el Reglamento de Medidas de seguridad de los ficheros automatizados de datos de carácter personal, aprobado por Real Decreto 994/1999, de 11 de junio, dicha medida deberá implantarse en el plazo de un año desde la entrada en vigor del presente real decreto. Respecto de los ficheros no automatizados que existieran en la fecha de entrada en vigor del presente real decreto: Las medidas de seguridad de nivel básico deberán implantarse en el plazo de un año desde su entrada en vigor. Las medidas de seguridad de nivel medio deberán implantarse en el plazo de dieciocho meses desde su entrada en vigor. Las medidas de seguridad de nivel alto deberán implantarse en el plazo de dos años desde su entrada en vigor. Los ficheros, tanto automatizados como no automatizados, creados con posterioridad a la fecha de entrada en vigor del presente real decreto deberán tener implantadas, desde el momento de su creación la totalidad de las medidas de seguridad reguladas en el mismo. Disposición transitoria tercera. Régimen transitorio de las solicitudes para el ejercicio de los derechos de las personas A las solicitudes para el ejercicio de los derechos de acceso, oposición, rectificación y cancelación que hayan sido efectuadas antes de la entrada en vigor del presente real decreto, no les será de aplicación el mismo, rigiéndose por la normativa anterior. Disposición transitoria cuarta. Régimen transitorio de los procedimientos A los procedimientos ya iniciados antes de la entrada en vigor del presente real decreto, no les será de aplicación el mismo, rigiéndose por la normativa anterior. Disposición transitoria quinta. Régimen transitorio de las actuaciones previas A las actuaciones previas iniciadas con anterioridad a la entrada en vigor del presente real decreto, no les será de aplicación el mismo, rigiéndose por la normativa anterior. El presente real decreto se aplicará a las actuaciones previas que se inicien después de su entrada en vigor. Especificar un poco las medidas que, puede poner, es decir poner algún ejemplo,

1 – Introducción Sectores Disposición Transitoria Segunda. Plazos de implantación de las medidas de seguridad La implantación de las medidas de seguridad previstas en el presente real decreto deberá producirse con arreglo a las siguientes reglas: Respecto de los ficheros automatizados que existieran en la fecha de entrada en vigor del presente real decreto: En el plazo de un año desde su entrada en vigor, deberán implantarse las medidas de seguridad de nivel medio exigibles a los siguientes ficheros: Aquéllos de los que sean responsables las Entidades Gestoras y Servicios Comunes de la Seguridad Social y se relacionen con el ejercicio de sus competencias. Aquéllos de los que sean responsables las mutuas de accidentes de trabajo y enfermedades profesionales de la Seguridad Social. Aquéllos que contengan un conjunto de datos de carácter personal que ofrezcan una definición de las características o de la personalidad de los ciudadanos y que permitan evaluar determinados aspectos de la personalidad o del comportamiento de los mismos, respecto de las medidas de este nivel que no fueran exigibles conforme a lo previsto en el artículo 4.4 del Reglamento de Medidas de seguridad de los ficheros automatizados de datos de carácter personal, aprobado por Real Decreto 994/1999, de 11 de junio. En el plazo de un año desde su entrada en vigor deberán implantarse las medidas de seguridad de nivel medio y en el de dieciocho meses desde aquella fecha, las de nivel alto exigibles a los siguientes ficheros: Aquéllos que contengan datos derivados de actos de violencia de género. Aquéllos de los que sean responsables los operadores que presten servicios de comunicaciones electrónicas disponibles al público o exploten redes públicas de comunicaciones electrónicas respecto a los datos de tráfico y a los datos de localización. En los demás supuestos, cuando el presente reglamento exija la implantación de una medida adicional, no prevista en el Reglamento de Medidas de seguridad de los ficheros automatizados de datos de carácter personal, aprobado por Real Decreto 994/1999, de 11 de junio, dicha medida deberá implantarse en el plazo de un año desde la entrada en vigor del presente real decreto. Respecto de los ficheros no automatizados que existieran en la fecha de entrada en vigor del presente real decreto: Las medidas de seguridad de nivel básico deberán implantarse en el plazo de un año desde su entrada en vigor. Las medidas de seguridad de nivel medio deberán implantarse en el plazo de dieciocho meses desde su entrada en vigor. Las medidas de seguridad de nivel alto deberán implantarse en el plazo de dos años desde su entrada en vigor. Los ficheros, tanto automatizados como no automatizados, creados con posterioridad a la fecha de entrada en vigor del presente real decreto deberán tener implantadas, desde el momento de su creación la totalidad de las medidas de seguridad reguladas en el mismo. Disposición transitoria tercera. Régimen transitorio de las solicitudes para el ejercicio de los derechos de las personas A las solicitudes para el ejercicio de los derechos de acceso, oposición, rectificación y cancelación que hayan sido efectuadas antes de la entrada en vigor del presente real decreto, no les será de aplicación el mismo, rigiéndose por la normativa anterior. Disposición transitoria cuarta. Régimen transitorio de los procedimientos A los procedimientos ya iniciados antes de la entrada en vigor del presente real decreto, no les será de aplicación el mismo, rigiéndose por la normativa anterior. Disposición transitoria quinta. Régimen transitorio de las actuaciones previas A las actuaciones previas iniciadas con anterioridad a la entrada en vigor del presente real decreto, no les será de aplicación el mismo, rigiéndose por la normativa anterior. El presente real decreto se aplicará a las actuaciones previas que se inicien después de su entrada en vigor. Especificar un poco las medidas que, puede poner, es decir poner algún ejemplo,

1 – Introducción Ley 8/2011 “Artículo 13. Operadores críticos. Los operadores considerados críticos en virtud de esta Ley deberán colaborar con las autoridades competentes del Sistema, con el fin de optimizar la protección de las infraestructuras críticas y de las infraestructuras críticas europeas por ellos gestionados. Con ese fin, deberán: a) … b) … c) Elaborar el Plan de Seguridad del Operador en los términos y con los contenidos que se determinen reglamentariamente. d) Elaborar, según se disponga reglamentariamente, un Plan de Protección Específico por cada una de las infraestructuras consideradas como críticas en el Catálogo. e) … f) … g)…” Disposición Transitoria Segunda. Plazos de implantación de las medidas de seguridad La implantación de las medidas de seguridad previstas en el presente real decreto deberá producirse con arreglo a las siguientes reglas: Respecto de los ficheros automatizados que existieran en la fecha de entrada en vigor del presente real decreto: En el plazo de un año desde su entrada en vigor, deberán implantarse las medidas de seguridad de nivel medio exigibles a los siguientes ficheros: Aquéllos de los que sean responsables las Entidades Gestoras y Servicios Comunes de la Seguridad Social y se relacionen con el ejercicio de sus competencias. Aquéllos de los que sean responsables las mutuas de accidentes de trabajo y enfermedades profesionales de la Seguridad Social. Aquéllos que contengan un conjunto de datos de carácter personal que ofrezcan una definición de las características o de la personalidad de los ciudadanos y que permitan evaluar determinados aspectos de la personalidad o del comportamiento de los mismos, respecto de las medidas de este nivel que no fueran exigibles conforme a lo previsto en el artículo 4.4 del Reglamento de Medidas de seguridad de los ficheros automatizados de datos de carácter personal, aprobado por Real Decreto 994/1999, de 11 de junio. En el plazo de un año desde su entrada en vigor deberán implantarse las medidas de seguridad de nivel medio y en el de dieciocho meses desde aquella fecha, las de nivel alto exigibles a los siguientes ficheros: Aquéllos que contengan datos derivados de actos de violencia de género. Aquéllos de los que sean responsables los operadores que presten servicios de comunicaciones electrónicas disponibles al público o exploten redes públicas de comunicaciones electrónicas respecto a los datos de tráfico y a los datos de localización. En los demás supuestos, cuando el presente reglamento exija la implantación de una medida adicional, no prevista en el Reglamento de Medidas de seguridad de los ficheros automatizados de datos de carácter personal, aprobado por Real Decreto 994/1999, de 11 de junio, dicha medida deberá implantarse en el plazo de un año desde la entrada en vigor del presente real decreto. Respecto de los ficheros no automatizados que existieran en la fecha de entrada en vigor del presente real decreto: Las medidas de seguridad de nivel básico deberán implantarse en el plazo de un año desde su entrada en vigor. Las medidas de seguridad de nivel medio deberán implantarse en el plazo de dieciocho meses desde su entrada en vigor. Las medidas de seguridad de nivel alto deberán implantarse en el plazo de dos años desde su entrada en vigor. Los ficheros, tanto automatizados como no automatizados, creados con posterioridad a la fecha de entrada en vigor del presente real decreto deberán tener implantadas, desde el momento de su creación la totalidad de las medidas de seguridad reguladas en el mismo. Disposición transitoria tercera. Régimen transitorio de las solicitudes para el ejercicio de los derechos de las personas A las solicitudes para el ejercicio de los derechos de acceso, oposición, rectificación y cancelación que hayan sido efectuadas antes de la entrada en vigor del presente real decreto, no les será de aplicación el mismo, rigiéndose por la normativa anterior. Disposición transitoria cuarta. Régimen transitorio de los procedimientos A los procedimientos ya iniciados antes de la entrada en vigor del presente real decreto, no les será de aplicación el mismo, rigiéndose por la normativa anterior. Disposición transitoria quinta. Régimen transitorio de las actuaciones previas A las actuaciones previas iniciadas con anterioridad a la entrada en vigor del presente real decreto, no les será de aplicación el mismo, rigiéndose por la normativa anterior. El presente real decreto se aplicará a las actuaciones previas que se inicien después de su entrada en vigor. Especificar un poco las medidas que, puede poner, es decir poner algún ejemplo,

1 – Introducción RD 704/2011 “Artículo 13. Operadores críticos. Los operadores críticos serán los agentes integrantes del Sistema, que, procedentes tanto del sector público como del sector privado, reúnan las condiciones establecidas en el artículo 13 de la Ley 8/2011, de 28 de abril. 2. En aplicación de lo previsto en la citada Ley, corresponde a los operadores críticos: a) … b) … c) Elaborar el Plan de Seguridad del Operador y proceder a su actualización periódicamente o cuando las circunstancias así lo exijan, conforme a lo que establece el Capítulo III, Título III del presente reglamento. d) Elaborar un Plan de Protección Específico por cada una de las infraestructuras consideradas como críticas en el Catálogo así como proceder a su actualización periódicamente o cuando las circunstancias así lo exijan, conforme a lo establecido en el Capítulo IV, Título III del presente reglamento. e) … f) … g)… ” Disposición Transitoria Segunda. Plazos de implantación de las medidas de seguridad La implantación de las medidas de seguridad previstas en el presente real decreto deberá producirse con arreglo a las siguientes reglas: Respecto de los ficheros automatizados que existieran en la fecha de entrada en vigor del presente real decreto: En el plazo de un año desde su entrada en vigor, deberán implantarse las medidas de seguridad de nivel medio exigibles a los siguientes ficheros: Aquéllos de los que sean responsables las Entidades Gestoras y Servicios Comunes de la Seguridad Social y se relacionen con el ejercicio de sus competencias. Aquéllos de los que sean responsables las mutuas de accidentes de trabajo y enfermedades profesionales de la Seguridad Social. Aquéllos que contengan un conjunto de datos de carácter personal que ofrezcan una definición de las características o de la personalidad de los ciudadanos y que permitan evaluar determinados aspectos de la personalidad o del comportamiento de los mismos, respecto de las medidas de este nivel que no fueran exigibles conforme a lo previsto en el artículo 4.4 del Reglamento de Medidas de seguridad de los ficheros automatizados de datos de carácter personal, aprobado por Real Decreto 994/1999, de 11 de junio. En el plazo de un año desde su entrada en vigor deberán implantarse las medidas de seguridad de nivel medio y en el de dieciocho meses desde aquella fecha, las de nivel alto exigibles a los siguientes ficheros: Aquéllos que contengan datos derivados de actos de violencia de género. Aquéllos de los que sean responsables los operadores que presten servicios de comunicaciones electrónicas disponibles al público o exploten redes públicas de comunicaciones electrónicas respecto a los datos de tráfico y a los datos de localización. En los demás supuestos, cuando el presente reglamento exija la implantación de una medida adicional, no prevista en el Reglamento de Medidas de seguridad de los ficheros automatizados de datos de carácter personal, aprobado por Real Decreto 994/1999, de 11 de junio, dicha medida deberá implantarse en el plazo de un año desde la entrada en vigor del presente real decreto. Respecto de los ficheros no automatizados que existieran en la fecha de entrada en vigor del presente real decreto: Las medidas de seguridad de nivel básico deberán implantarse en el plazo de un año desde su entrada en vigor. Las medidas de seguridad de nivel medio deberán implantarse en el plazo de dieciocho meses desde su entrada en vigor. Las medidas de seguridad de nivel alto deberán implantarse en el plazo de dos años desde su entrada en vigor. Los ficheros, tanto automatizados como no automatizados, creados con posterioridad a la fecha de entrada en vigor del presente real decreto deberán tener implantadas, desde el momento de su creación la totalidad de las medidas de seguridad reguladas en el mismo. Disposición transitoria tercera. Régimen transitorio de las solicitudes para el ejercicio de los derechos de las personas A las solicitudes para el ejercicio de los derechos de acceso, oposición, rectificación y cancelación que hayan sido efectuadas antes de la entrada en vigor del presente real decreto, no les será de aplicación el mismo, rigiéndose por la normativa anterior. Disposición transitoria cuarta. Régimen transitorio de los procedimientos A los procedimientos ya iniciados antes de la entrada en vigor del presente real decreto, no les será de aplicación el mismo, rigiéndose por la normativa anterior. Disposición transitoria quinta. Régimen transitorio de las actuaciones previas A las actuaciones previas iniciadas con anterioridad a la entrada en vigor del presente real decreto, no les será de aplicación el mismo, rigiéndose por la normativa anterior. El presente real decreto se aplicará a las actuaciones previas que se inicien después de su entrada en vigor. Especificar un poco las medidas que, puede poner, es decir poner algún ejemplo,

1 – Introducción Calendario 05/2012 04/2011 05/2011 2013? 1 Año (*) Planes Estratégicos Sectoriales 05/2012 (*) Plan de Seguridad Operador (*) Planes Protección Específicos (*) Planes Apoyo Operativo 1 Año 04/2011 Publicación Ley 8/2011 05/2011 Publicación RD 704/2011 6 Meses 4 Meses Disposición Transitoria Segunda. Plazos de implantación de las medidas de seguridad La implantación de las medidas de seguridad previstas en el presente real decreto deberá producirse con arreglo a las siguientes reglas: Respecto de los ficheros automatizados que existieran en la fecha de entrada en vigor del presente real decreto: En el plazo de un año desde su entrada en vigor, deberán implantarse las medidas de seguridad de nivel medio exigibles a los siguientes ficheros: Aquéllos de los que sean responsables las Entidades Gestoras y Servicios Comunes de la Seguridad Social y se relacionen con el ejercicio de sus competencias. Aquéllos de los que sean responsables las mutuas de accidentes de trabajo y enfermedades profesionales de la Seguridad Social. Aquéllos que contengan un conjunto de datos de carácter personal que ofrezcan una definición de las características o de la personalidad de los ciudadanos y que permitan evaluar determinados aspectos de la personalidad o del comportamiento de los mismos, respecto de las medidas de este nivel que no fueran exigibles conforme a lo previsto en el artículo 4.4 del Reglamento de Medidas de seguridad de los ficheros automatizados de datos de carácter personal, aprobado por Real Decreto 994/1999, de 11 de junio. En el plazo de un año desde su entrada en vigor deberán implantarse las medidas de seguridad de nivel medio y en el de dieciocho meses desde aquella fecha, las de nivel alto exigibles a los siguientes ficheros: Aquéllos que contengan datos derivados de actos de violencia de género. Aquéllos de los que sean responsables los operadores que presten servicios de comunicaciones electrónicas disponibles al público o exploten redes públicas de comunicaciones electrónicas respecto a los datos de tráfico y a los datos de localización. En los demás supuestos, cuando el presente reglamento exija la implantación de una medida adicional, no prevista en el Reglamento de Medidas de seguridad de los ficheros automatizados de datos de carácter personal, aprobado por Real Decreto 994/1999, de 11 de junio, dicha medida deberá implantarse en el plazo de un año desde la entrada en vigor del presente real decreto. Respecto de los ficheros no automatizados que existieran en la fecha de entrada en vigor del presente real decreto: Las medidas de seguridad de nivel básico deberán implantarse en el plazo de un año desde su entrada en vigor. Las medidas de seguridad de nivel medio deberán implantarse en el plazo de dieciocho meses desde su entrada en vigor. Las medidas de seguridad de nivel alto deberán implantarse en el plazo de dos años desde su entrada en vigor. Los ficheros, tanto automatizados como no automatizados, creados con posterioridad a la fecha de entrada en vigor del presente real decreto deberán tener implantadas, desde el momento de su creación la totalidad de las medidas de seguridad reguladas en el mismo. Disposición transitoria tercera. Régimen transitorio de las solicitudes para el ejercicio de los derechos de las personas A las solicitudes para el ejercicio de los derechos de acceso, oposición, rectificación y cancelación que hayan sido efectuadas antes de la entrada en vigor del presente real decreto, no les será de aplicación el mismo, rigiéndose por la normativa anterior. Disposición transitoria cuarta. Régimen transitorio de los procedimientos A los procedimientos ya iniciados antes de la entrada en vigor del presente real decreto, no les será de aplicación el mismo, rigiéndose por la normativa anterior. Disposición transitoria quinta. Régimen transitorio de las actuaciones previas A las actuaciones previas iniciadas con anterioridad a la entrada en vigor del presente real decreto, no les será de aplicación el mismo, rigiéndose por la normativa anterior. El presente real decreto se aplicará a las actuaciones previas que se inicien después de su entrada en vigor. Especificar un poco las medidas que, puede poner, es decir poner algún ejemplo, 2013? Implantación Planes de Seguridad Designación Operador Crítico 2 Meses 3 Meses 3 Meses Designación Delegado de Seguridad Designación Responsable de Seguridad (*) Revisar al menos bienalmente

2 – Desarrollo Plan de Seguridad del Operador (PSO) Plan de Seguridad del Operador (PSO): “Los Planes de Seguridad del Operador son los documentos estratégicos definidores de las políticas generales de los operadores críticos para garantizar la seguridad del conjunto de instalaciones o sistemas de su propiedad o gestión.” El PSO definirá la política general del operador para garantizar la seguridad integral del conjunto de instalaciones o sistemas de su propiedad o gestión. El PSO como instrumento de planificación del Sistema de Protección de Infraestructuras Críticas deberá de contener al menos la siguiente información: Política general de seguridad del operador y marco de gobierno. Relación de servicios Esenciales prestados por el operador critico. Metodología de análisis de riesgo (amenazas físicas y lógicas). Criterios de aplicación de Medidas de Seguridad Integral. Documentación Complementaria. Finalidad y Contenido Disposición Transitoria Segunda. Plazos de implantación de las medidas de seguridad La implantación de las medidas de seguridad previstas en el presente real decreto deberá producirse con arreglo a las siguientes reglas: Respecto de los ficheros automatizados que existieran en la fecha de entrada en vigor del presente real decreto: En el plazo de un año desde su entrada en vigor, deberán implantarse las medidas de seguridad de nivel medio exigibles a los siguientes ficheros: Aquéllos de los que sean responsables las Entidades Gestoras y Servicios Comunes de la Seguridad Social y se relacionen con el ejercicio de sus competencias. Aquéllos de los que sean responsables las mutuas de accidentes de trabajo y enfermedades profesionales de la Seguridad Social. Aquéllos que contengan un conjunto de datos de carácter personal que ofrezcan una definición de las características o de la personalidad de los ciudadanos y que permitan evaluar determinados aspectos de la personalidad o del comportamiento de los mismos, respecto de las medidas de este nivel que no fueran exigibles conforme a lo previsto en el artículo 4.4 del Reglamento de Medidas de seguridad de los ficheros automatizados de datos de carácter personal, aprobado por Real Decreto 994/1999, de 11 de junio. En el plazo de un año desde su entrada en vigor deberán implantarse las medidas de seguridad de nivel medio y en el de dieciocho meses desde aquella fecha, las de nivel alto exigibles a los siguientes ficheros: Aquéllos que contengan datos derivados de actos de violencia de género. Aquéllos de los que sean responsables los operadores que presten servicios de comunicaciones electrónicas disponibles al público o exploten redes públicas de comunicaciones electrónicas respecto a los datos de tráfico y a los datos de localización. En los demás supuestos, cuando el presente reglamento exija la implantación de una medida adicional, no prevista en el Reglamento de Medidas de seguridad de los ficheros automatizados de datos de carácter personal, aprobado por Real Decreto 994/1999, de 11 de junio, dicha medida deberá implantarse en el plazo de un año desde la entrada en vigor del presente real decreto. Respecto de los ficheros no automatizados que existieran en la fecha de entrada en vigor del presente real decreto: Las medidas de seguridad de nivel básico deberán implantarse en el plazo de un año desde su entrada en vigor. Las medidas de seguridad de nivel medio deberán implantarse en el plazo de dieciocho meses desde su entrada en vigor. Las medidas de seguridad de nivel alto deberán implantarse en el plazo de dos años desde su entrada en vigor. Los ficheros, tanto automatizados como no automatizados, creados con posterioridad a la fecha de entrada en vigor del presente real decreto deberán tener implantadas, desde el momento de su creación la totalidad de las medidas de seguridad reguladas en el mismo. Disposición transitoria tercera. Régimen transitorio de las solicitudes para el ejercicio de los derechos de las personas A las solicitudes para el ejercicio de los derechos de acceso, oposición, rectificación y cancelación que hayan sido efectuadas antes de la entrada en vigor del presente real decreto, no les será de aplicación el mismo, rigiéndose por la normativa anterior. Disposición transitoria cuarta. Régimen transitorio de los procedimientos A los procedimientos ya iniciados antes de la entrada en vigor del presente real decreto, no les será de aplicación el mismo, rigiéndose por la normativa anterior. Disposición transitoria quinta. Régimen transitorio de las actuaciones previas A las actuaciones previas iniciadas con anterioridad a la entrada en vigor del presente real decreto, no les será de aplicación el mismo, rigiéndose por la normativa anterior. El presente real decreto se aplicará a las actuaciones previas que se inicien después de su entrada en vigor. Especificar un poco las medidas que, puede poner, es decir poner algún ejemplo,

2 – Desarrollo 1. Política general de seguridad del operador y marco de gobierno Política General de Seguridad del Operador Marco de Gobierno de seguridad Organización de seguridad Responsable de Seguridad y Enlace Delegados de Seguridad Formación y concienciación Modelo de gestión aplicado Identificación de los servicios esenciales Mantenimiento del inventario de servicios esenciales Estudio y consecuencias de la interrupción del servicio esencial Interdependencias Disposición Transitoria Segunda. Plazos de implantación de las medidas de seguridad La implantación de las medidas de seguridad previstas en el presente real decreto deberá producirse con arreglo a las siguientes reglas: Respecto de los ficheros automatizados que existieran en la fecha de entrada en vigor del presente real decreto: En el plazo de un año desde su entrada en vigor, deberán implantarse las medidas de seguridad de nivel medio exigibles a los siguientes ficheros: Aquéllos de los que sean responsables las Entidades Gestoras y Servicios Comunes de la Seguridad Social y se relacionen con el ejercicio de sus competencias. Aquéllos de los que sean responsables las mutuas de accidentes de trabajo y enfermedades profesionales de la Seguridad Social. Aquéllos que contengan un conjunto de datos de carácter personal que ofrezcan una definición de las características o de la personalidad de los ciudadanos y que permitan evaluar determinados aspectos de la personalidad o del comportamiento de los mismos, respecto de las medidas de este nivel que no fueran exigibles conforme a lo previsto en el artículo 4.4 del Reglamento de Medidas de seguridad de los ficheros automatizados de datos de carácter personal, aprobado por Real Decreto 994/1999, de 11 de junio. En el plazo de un año desde su entrada en vigor deberán implantarse las medidas de seguridad de nivel medio y en el de dieciocho meses desde aquella fecha, las de nivel alto exigibles a los siguientes ficheros: Aquéllos que contengan datos derivados de actos de violencia de género. Aquéllos de los que sean responsables los operadores que presten servicios de comunicaciones electrónicas disponibles al público o exploten redes públicas de comunicaciones electrónicas respecto a los datos de tráfico y a los datos de localización. En los demás supuestos, cuando el presente reglamento exija la implantación de una medida adicional, no prevista en el Reglamento de Medidas de seguridad de los ficheros automatizados de datos de carácter personal, aprobado por Real Decreto 994/1999, de 11 de junio, dicha medida deberá implantarse en el plazo de un año desde la entrada en vigor del presente real decreto. Respecto de los ficheros no automatizados que existieran en la fecha de entrada en vigor del presente real decreto: Las medidas de seguridad de nivel básico deberán implantarse en el plazo de un año desde su entrada en vigor. Las medidas de seguridad de nivel medio deberán implantarse en el plazo de dieciocho meses desde su entrada en vigor. Las medidas de seguridad de nivel alto deberán implantarse en el plazo de dos años desde su entrada en vigor. Los ficheros, tanto automatizados como no automatizados, creados con posterioridad a la fecha de entrada en vigor del presente real decreto deberán tener implantadas, desde el momento de su creación la totalidad de las medidas de seguridad reguladas en el mismo. Disposición transitoria tercera. Régimen transitorio de las solicitudes para el ejercicio de los derechos de las personas A las solicitudes para el ejercicio de los derechos de acceso, oposición, rectificación y cancelación que hayan sido efectuadas antes de la entrada en vigor del presente real decreto, no les será de aplicación el mismo, rigiéndose por la normativa anterior. Disposición transitoria cuarta. Régimen transitorio de los procedimientos A los procedimientos ya iniciados antes de la entrada en vigor del presente real decreto, no les será de aplicación el mismo, rigiéndose por la normativa anterior. Disposición transitoria quinta. Régimen transitorio de las actuaciones previas A las actuaciones previas iniciadas con anterioridad a la entrada en vigor del presente real decreto, no les será de aplicación el mismo, rigiéndose por la normativa anterior. El presente real decreto se aplicará a las actuaciones previas que se inicien después de su entrada en vigor. Especificar un poco las medidas que, puede poner, es decir poner algún ejemplo, 2. Relación de servicios Esenciales prestados por el operador critico

2 – Desarrollo 3. Metodología de análisis de riesgo (amenazas físicas y lógicas) Descripción de la metodología de análisis Tipologías de activos que soportan los servicios esenciales Identificación y evaluación de amenazas Valoración y Gestión de riesgos Dentro del ámbito de la seguridad integral, el operador definirá a grandes rasgos los criterios utilizados en su organización para la aplicación y administración de la seguridad. En este sentido, incluirá de forma genérica las medidas de seguridad implantadas sobre el conjunto de sus activos y recursos sobre los que se apoyan los servicios esenciales y que se recogerán en sus respectivos Planes de Protección Específicos, al objeto de hacer frente a aquellas amenazas tanto físicas como lógicas identificadas en los oportunos análisis de riesgos sobre cada una de las tipologías de sus activos. Normativa, Buenas prácticas y Regulatoria Coordinación con otros planes 4. Criterios de aplicación de Medidas de Seguridad Integral Disposición Transitoria Segunda. Plazos de implantación de las medidas de seguridad La implantación de las medidas de seguridad previstas en el presente real decreto deberá producirse con arreglo a las siguientes reglas: Respecto de los ficheros automatizados que existieran en la fecha de entrada en vigor del presente real decreto: En el plazo de un año desde su entrada en vigor, deberán implantarse las medidas de seguridad de nivel medio exigibles a los siguientes ficheros: Aquéllos de los que sean responsables las Entidades Gestoras y Servicios Comunes de la Seguridad Social y se relacionen con el ejercicio de sus competencias. Aquéllos de los que sean responsables las mutuas de accidentes de trabajo y enfermedades profesionales de la Seguridad Social. Aquéllos que contengan un conjunto de datos de carácter personal que ofrezcan una definición de las características o de la personalidad de los ciudadanos y que permitan evaluar determinados aspectos de la personalidad o del comportamiento de los mismos, respecto de las medidas de este nivel que no fueran exigibles conforme a lo previsto en el artículo 4.4 del Reglamento de Medidas de seguridad de los ficheros automatizados de datos de carácter personal, aprobado por Real Decreto 994/1999, de 11 de junio. En el plazo de un año desde su entrada en vigor deberán implantarse las medidas de seguridad de nivel medio y en el de dieciocho meses desde aquella fecha, las de nivel alto exigibles a los siguientes ficheros: Aquéllos que contengan datos derivados de actos de violencia de género. Aquéllos de los que sean responsables los operadores que presten servicios de comunicaciones electrónicas disponibles al público o exploten redes públicas de comunicaciones electrónicas respecto a los datos de tráfico y a los datos de localización. En los demás supuestos, cuando el presente reglamento exija la implantación de una medida adicional, no prevista en el Reglamento de Medidas de seguridad de los ficheros automatizados de datos de carácter personal, aprobado por Real Decreto 994/1999, de 11 de junio, dicha medida deberá implantarse en el plazo de un año desde la entrada en vigor del presente real decreto. Respecto de los ficheros no automatizados que existieran en la fecha de entrada en vigor del presente real decreto: Las medidas de seguridad de nivel básico deberán implantarse en el plazo de un año desde su entrada en vigor. Las medidas de seguridad de nivel medio deberán implantarse en el plazo de dieciocho meses desde su entrada en vigor. Las medidas de seguridad de nivel alto deberán implantarse en el plazo de dos años desde su entrada en vigor. Los ficheros, tanto automatizados como no automatizados, creados con posterioridad a la fecha de entrada en vigor del presente real decreto deberán tener implantadas, desde el momento de su creación la totalidad de las medidas de seguridad reguladas en el mismo. Disposición transitoria tercera. Régimen transitorio de las solicitudes para el ejercicio de los derechos de las personas A las solicitudes para el ejercicio de los derechos de acceso, oposición, rectificación y cancelación que hayan sido efectuadas antes de la entrada en vigor del presente real decreto, no les será de aplicación el mismo, rigiéndose por la normativa anterior. Disposición transitoria cuarta. Régimen transitorio de los procedimientos A los procedimientos ya iniciados antes de la entrada en vigor del presente real decreto, no les será de aplicación el mismo, rigiéndose por la normativa anterior. Disposición transitoria quinta. Régimen transitorio de las actuaciones previas A las actuaciones previas iniciadas con anterioridad a la entrada en vigor del presente real decreto, no les será de aplicación el mismo, rigiéndose por la normativa anterior. El presente real decreto se aplicará a las actuaciones previas que se inicien después de su entrada en vigor. Especificar un poco las medidas que, puede poner, es decir poner algún ejemplo, 5. Documentación Complementaria

2 – Desarrollo Método de revisión y actualización Revisión: Bienal. Actualización: Cuando se produzca algún tipo de modificación en lo datos incluidos en el PSO. En este caso, el PSO quedará actualizado cuando dichas modificaciones hayan sido validadas por el CNPIC, o en las condiciones establecidas en su normativa sectorial específica. El operador debe definir sus procedimientos de gestión y tratamiento de la información, así como los estándares de seguridad precisos para prestar una adecuada y eficaz protección de la información, independientemente del formato en el que ésta se encuentre. Además, los operadores designados como críticos, deberán tratar los documentos que se deriven de la aplicación de la Ley 08/2011 por la que se establecen medidas para la protección de las infraestructuras críticas. Disposición Transitoria Segunda. Plazos de implantación de las medidas de seguridad La implantación de las medidas de seguridad previstas en el presente real decreto deberá producirse con arreglo a las siguientes reglas: Respecto de los ficheros automatizados que existieran en la fecha de entrada en vigor del presente real decreto: En el plazo de un año desde su entrada en vigor, deberán implantarse las medidas de seguridad de nivel medio exigibles a los siguientes ficheros: Aquéllos de los que sean responsables las Entidades Gestoras y Servicios Comunes de la Seguridad Social y se relacionen con el ejercicio de sus competencias. Aquéllos de los que sean responsables las mutuas de accidentes de trabajo y enfermedades profesionales de la Seguridad Social. Aquéllos que contengan un conjunto de datos de carácter personal que ofrezcan una definición de las características o de la personalidad de los ciudadanos y que permitan evaluar determinados aspectos de la personalidad o del comportamiento de los mismos, respecto de las medidas de este nivel que no fueran exigibles conforme a lo previsto en el artículo 4.4 del Reglamento de Medidas de seguridad de los ficheros automatizados de datos de carácter personal, aprobado por Real Decreto 994/1999, de 11 de junio. En el plazo de un año desde su entrada en vigor deberán implantarse las medidas de seguridad de nivel medio y en el de dieciocho meses desde aquella fecha, las de nivel alto exigibles a los siguientes ficheros: Aquéllos que contengan datos derivados de actos de violencia de género. Aquéllos de los que sean responsables los operadores que presten servicios de comunicaciones electrónicas disponibles al público o exploten redes públicas de comunicaciones electrónicas respecto a los datos de tráfico y a los datos de localización. En los demás supuestos, cuando el presente reglamento exija la implantación de una medida adicional, no prevista en el Reglamento de Medidas de seguridad de los ficheros automatizados de datos de carácter personal, aprobado por Real Decreto 994/1999, de 11 de junio, dicha medida deberá implantarse en el plazo de un año desde la entrada en vigor del presente real decreto. Respecto de los ficheros no automatizados que existieran en la fecha de entrada en vigor del presente real decreto: Las medidas de seguridad de nivel básico deberán implantarse en el plazo de un año desde su entrada en vigor. Las medidas de seguridad de nivel medio deberán implantarse en el plazo de dieciocho meses desde su entrada en vigor. Las medidas de seguridad de nivel alto deberán implantarse en el plazo de dos años desde su entrada en vigor. Los ficheros, tanto automatizados como no automatizados, creados con posterioridad a la fecha de entrada en vigor del presente real decreto deberán tener implantadas, desde el momento de su creación la totalidad de las medidas de seguridad reguladas en el mismo. Disposición transitoria tercera. Régimen transitorio de las solicitudes para el ejercicio de los derechos de las personas A las solicitudes para el ejercicio de los derechos de acceso, oposición, rectificación y cancelación que hayan sido efectuadas antes de la entrada en vigor del presente real decreto, no les será de aplicación el mismo, rigiéndose por la normativa anterior. Disposición transitoria cuarta. Régimen transitorio de los procedimientos A los procedimientos ya iniciados antes de la entrada en vigor del presente real decreto, no les será de aplicación el mismo, rigiéndose por la normativa anterior. Disposición transitoria quinta. Régimen transitorio de las actuaciones previas A las actuaciones previas iniciadas con anterioridad a la entrada en vigor del presente real decreto, no les será de aplicación el mismo, rigiéndose por la normativa anterior. El presente real decreto se aplicará a las actuaciones previas que se inicien después de su entrada en vigor. Especificar un poco las medidas que, puede poner, es decir poner algún ejemplo, Protección y gestión de la información y documentación

3 – Conclusiones Si no se cumple … El reglamento que desarrolla la Ley está mismo no establecen un régimen sancionador, puesto que el espíritu de la normativa PIC se basa en la confianza mutua y la confidencialidad de la información que se comparte. Aún así , en caso de incumplimiento de las obligaciones que establece tanto la Lay como su desarrollo normativo, podrían ser aplicables en la mayor parte de los casos los distintos regímenes sancionadores sectoriales y eventualmente la normativa existente en materia de Seguridad Privada y Seguridad Civil. Disposición Transitoria Segunda. Plazos de implantación de las medidas de seguridad La implantación de las medidas de seguridad previstas en el presente real decreto deberá producirse con arreglo a las siguientes reglas: Respecto de los ficheros automatizados que existieran en la fecha de entrada en vigor del presente real decreto: En el plazo de un año desde su entrada en vigor, deberán implantarse las medidas de seguridad de nivel medio exigibles a los siguientes ficheros: Aquéllos de los que sean responsables las Entidades Gestoras y Servicios Comunes de la Seguridad Social y se relacionen con el ejercicio de sus competencias. Aquéllos de los que sean responsables las mutuas de accidentes de trabajo y enfermedades profesionales de la Seguridad Social. Aquéllos que contengan un conjunto de datos de carácter personal que ofrezcan una definición de las características o de la personalidad de los ciudadanos y que permitan evaluar determinados aspectos de la personalidad o del comportamiento de los mismos, respecto de las medidas de este nivel que no fueran exigibles conforme a lo previsto en el artículo 4.4 del Reglamento de Medidas de seguridad de los ficheros automatizados de datos de carácter personal, aprobado por Real Decreto 994/1999, de 11 de junio. En el plazo de un año desde su entrada en vigor deberán implantarse las medidas de seguridad de nivel medio y en el de dieciocho meses desde aquella fecha, las de nivel alto exigibles a los siguientes ficheros: Aquéllos que contengan datos derivados de actos de violencia de género. Aquéllos de los que sean responsables los operadores que presten servicios de comunicaciones electrónicas disponibles al público o exploten redes públicas de comunicaciones electrónicas respecto a los datos de tráfico y a los datos de localización. En los demás supuestos, cuando el presente reglamento exija la implantación de una medida adicional, no prevista en el Reglamento de Medidas de seguridad de los ficheros automatizados de datos de carácter personal, aprobado por Real Decreto 994/1999, de 11 de junio, dicha medida deberá implantarse en el plazo de un año desde la entrada en vigor del presente real decreto. Respecto de los ficheros no automatizados que existieran en la fecha de entrada en vigor del presente real decreto: Las medidas de seguridad de nivel básico deberán implantarse en el plazo de un año desde su entrada en vigor. Las medidas de seguridad de nivel medio deberán implantarse en el plazo de dieciocho meses desde su entrada en vigor. Las medidas de seguridad de nivel alto deberán implantarse en el plazo de dos años desde su entrada en vigor. Los ficheros, tanto automatizados como no automatizados, creados con posterioridad a la fecha de entrada en vigor del presente real decreto deberán tener implantadas, desde el momento de su creación la totalidad de las medidas de seguridad reguladas en el mismo. Disposición transitoria tercera. Régimen transitorio de las solicitudes para el ejercicio de los derechos de las personas A las solicitudes para el ejercicio de los derechos de acceso, oposición, rectificación y cancelación que hayan sido efectuadas antes de la entrada en vigor del presente real decreto, no les será de aplicación el mismo, rigiéndose por la normativa anterior. Disposición transitoria cuarta. Régimen transitorio de los procedimientos A los procedimientos ya iniciados antes de la entrada en vigor del presente real decreto, no les será de aplicación el mismo, rigiéndose por la normativa anterior. Disposición transitoria quinta. Régimen transitorio de las actuaciones previas A las actuaciones previas iniciadas con anterioridad a la entrada en vigor del presente real decreto, no les será de aplicación el mismo, rigiéndose por la normativa anterior. El presente real decreto se aplicará a las actuaciones previas que se inicien después de su entrada en vigor. Especificar un poco las medidas que, puede poner, es decir poner algún ejemplo,

4 – Bibliografía Ley 8/2011 RD 704/2011 Borrador Contenidos mínimos Plan de Seguridad del Operador (PSO) Disposición Transitoria Segunda. Plazos de implantación de las medidas de seguridad La implantación de las medidas de seguridad previstas en el presente real decreto deberá producirse con arreglo a las siguientes reglas: Respecto de los ficheros automatizados que existieran en la fecha de entrada en vigor del presente real decreto: En el plazo de un año desde su entrada en vigor, deberán implantarse las medidas de seguridad de nivel medio exigibles a los siguientes ficheros: Aquéllos de los que sean responsables las Entidades Gestoras y Servicios Comunes de la Seguridad Social y se relacionen con el ejercicio de sus competencias. Aquéllos de los que sean responsables las mutuas de accidentes de trabajo y enfermedades profesionales de la Seguridad Social. Aquéllos que contengan un conjunto de datos de carácter personal que ofrezcan una definición de las características o de la personalidad de los ciudadanos y que permitan evaluar determinados aspectos de la personalidad o del comportamiento de los mismos, respecto de las medidas de este nivel que no fueran exigibles conforme a lo previsto en el artículo 4.4 del Reglamento de Medidas de seguridad de los ficheros automatizados de datos de carácter personal, aprobado por Real Decreto 994/1999, de 11 de junio. En el plazo de un año desde su entrada en vigor deberán implantarse las medidas de seguridad de nivel medio y en el de dieciocho meses desde aquella fecha, las de nivel alto exigibles a los siguientes ficheros: Aquéllos que contengan datos derivados de actos de violencia de género. Aquéllos de los que sean responsables los operadores que presten servicios de comunicaciones electrónicas disponibles al público o exploten redes públicas de comunicaciones electrónicas respecto a los datos de tráfico y a los datos de localización. En los demás supuestos, cuando el presente reglamento exija la implantación de una medida adicional, no prevista en el Reglamento de Medidas de seguridad de los ficheros automatizados de datos de carácter personal, aprobado por Real Decreto 994/1999, de 11 de junio, dicha medida deberá implantarse en el plazo de un año desde la entrada en vigor del presente real decreto. Respecto de los ficheros no automatizados que existieran en la fecha de entrada en vigor del presente real decreto: Las medidas de seguridad de nivel básico deberán implantarse en el plazo de un año desde su entrada en vigor. Las medidas de seguridad de nivel medio deberán implantarse en el plazo de dieciocho meses desde su entrada en vigor. Las medidas de seguridad de nivel alto deberán implantarse en el plazo de dos años desde su entrada en vigor. Los ficheros, tanto automatizados como no automatizados, creados con posterioridad a la fecha de entrada en vigor del presente real decreto deberán tener implantadas, desde el momento de su creación la totalidad de las medidas de seguridad reguladas en el mismo. Disposición transitoria tercera. Régimen transitorio de las solicitudes para el ejercicio de los derechos de las personas A las solicitudes para el ejercicio de los derechos de acceso, oposición, rectificación y cancelación que hayan sido efectuadas antes de la entrada en vigor del presente real decreto, no les será de aplicación el mismo, rigiéndose por la normativa anterior. Disposición transitoria cuarta. Régimen transitorio de los procedimientos A los procedimientos ya iniciados antes de la entrada en vigor del presente real decreto, no les será de aplicación el mismo, rigiéndose por la normativa anterior. Disposición transitoria quinta. Régimen transitorio de las actuaciones previas A las actuaciones previas iniciadas con anterioridad a la entrada en vigor del presente real decreto, no les será de aplicación el mismo, rigiéndose por la normativa anterior. El presente real decreto se aplicará a las actuaciones previas que se inicien después de su entrada en vigor. Especificar un poco las medidas que, puede poner, es decir poner algún ejemplo,

5 – Glosario PEPIC – Programa Europeo de Protección de Infraestructuras Críticas PNPIC – Plan Nacional de Protección de Infraestructuras Críticas Ley 8/2011 – Ley de Protección de Infraestructuras Críticas, de 28 de abril, por la que se establecen medidas para la protección de las infraestructuras críticas. RD 704/2011 – Real Decreto ,de 20 de mayo, por el que se aprueba el Reglamento de protección de las infraestructuras críticas PSO – Plan de Seguridad del Operador Disposición Transitoria Segunda. Plazos de implantación de las medidas de seguridad La implantación de las medidas de seguridad previstas en el presente real decreto deberá producirse con arreglo a las siguientes reglas: Respecto de los ficheros automatizados que existieran en la fecha de entrada en vigor del presente real decreto: En el plazo de un año desde su entrada en vigor, deberán implantarse las medidas de seguridad de nivel medio exigibles a los siguientes ficheros: Aquéllos de los que sean responsables las Entidades Gestoras y Servicios Comunes de la Seguridad Social y se relacionen con el ejercicio de sus competencias. Aquéllos de los que sean responsables las mutuas de accidentes de trabajo y enfermedades profesionales de la Seguridad Social. Aquéllos que contengan un conjunto de datos de carácter personal que ofrezcan una definición de las características o de la personalidad de los ciudadanos y que permitan evaluar determinados aspectos de la personalidad o del comportamiento de los mismos, respecto de las medidas de este nivel que no fueran exigibles conforme a lo previsto en el artículo 4.4 del Reglamento de Medidas de seguridad de los ficheros automatizados de datos de carácter personal, aprobado por Real Decreto 994/1999, de 11 de junio. En el plazo de un año desde su entrada en vigor deberán implantarse las medidas de seguridad de nivel medio y en el de dieciocho meses desde aquella fecha, las de nivel alto exigibles a los siguientes ficheros: Aquéllos que contengan datos derivados de actos de violencia de género. Aquéllos de los que sean responsables los operadores que presten servicios de comunicaciones electrónicas disponibles al público o exploten redes públicas de comunicaciones electrónicas respecto a los datos de tráfico y a los datos de localización. En los demás supuestos, cuando el presente reglamento exija la implantación de una medida adicional, no prevista en el Reglamento de Medidas de seguridad de los ficheros automatizados de datos de carácter personal, aprobado por Real Decreto 994/1999, de 11 de junio, dicha medida deberá implantarse en el plazo de un año desde la entrada en vigor del presente real decreto. Respecto de los ficheros no automatizados que existieran en la fecha de entrada en vigor del presente real decreto: Las medidas de seguridad de nivel básico deberán implantarse en el plazo de un año desde su entrada en vigor. Las medidas de seguridad de nivel medio deberán implantarse en el plazo de dieciocho meses desde su entrada en vigor. Las medidas de seguridad de nivel alto deberán implantarse en el plazo de dos años desde su entrada en vigor. Los ficheros, tanto automatizados como no automatizados, creados con posterioridad a la fecha de entrada en vigor del presente real decreto deberán tener implantadas, desde el momento de su creación la totalidad de las medidas de seguridad reguladas en el mismo. Disposición transitoria tercera. Régimen transitorio de las solicitudes para el ejercicio de los derechos de las personas A las solicitudes para el ejercicio de los derechos de acceso, oposición, rectificación y cancelación que hayan sido efectuadas antes de la entrada en vigor del presente real decreto, no les será de aplicación el mismo, rigiéndose por la normativa anterior. Disposición transitoria cuarta. Régimen transitorio de los procedimientos A los procedimientos ya iniciados antes de la entrada en vigor del presente real decreto, no les será de aplicación el mismo, rigiéndose por la normativa anterior. Disposición transitoria quinta. Régimen transitorio de las actuaciones previas A las actuaciones previas iniciadas con anterioridad a la entrada en vigor del presente real decreto, no les será de aplicación el mismo, rigiéndose por la normativa anterior. El presente real decreto se aplicará a las actuaciones previas que se inicien después de su entrada en vigor. Especificar un poco las medidas que, puede poner, es decir poner algún ejemplo,

Fin de la presentación Muchas gracias 15