Archivado el plan para proteger la infraestructura crítica del país

ASAMBLEA LEGISLATIVA DE LA REPÚBLICA DE COSTA RICA

PROYECTO DE LEY

LEY PARA LA PROTECCIÓN DE INFRAESTRUCTURA CRÍTICA

JORGE LUIS FONSECA FONSECA Y OTRAS SEÑORAS DIPUTADAS

EXPEDIENTE N.° 22.591

DEPARTAMENTO DE SERVICIOS PARLAMENTARIOS UNIDAD DE PROYECTOS, EXPEDIENTES Y LEYES

PROYECTO DE LEY

LEY PARA LA PROTECCIÓN DE INFRAESTRUCTURA CRÍTICA

Expediente N.° 22.591

ASAMBLEA LEGISLATIVA:

Ante la exposición de los riesgos, generados, en gran medida, por la evolución de la tipología de los conflictos, tanto internos como inter -estatales, en un mundo globalizado, entre los que se cuentan el terrorismo, la proliferación de armas de destrucción masiva o el crimen organizado, los Estados modernos se enfrentan actualmente a diferentes desafíos que confieren a la seguridad nacional un carácter cada vez más complejo y es en esta línea de complejidad que el Estado cuenta con un sistema de infraestructuras que dan soporte y posibilitan el normal desenvolvimiento de los sectores productivos, de gestión y de la vida ciudadana en general. Estas infraestructuras suelen ser sumamente interdependientes entre sí, razón por la cual los problemas de seguridad que pueden desencadenarse en un efecto de bola de nieve, pudiendo esto ocasionar fallos inesperados y cada vez más graves en los servicios básicos para los ciudadanos.

Cualquier interrupción de los servicios denominados esenciales, incluso por un corto periodo de tiempo, ya sea por efectos de la naturaleza o por ataques deliberados (terrorismo- crimen organizado- delito común) podría tener graves consecuencias en los flujos de suministros vitales o en el funcionamiento de los servicios, además de provocar perturbaciones y disfunciones graves en materia de seguridad humana.

Las infraestructuras críticas deben ser una prioridad estratégica en la seguridad nacional, estas se encuentran en exposición a una serie de amenazas, por lo que su protección se hace necesaria. Esta labor debe iniciar identificando y documentando mediante un catálogo, aquellas que prestan servicios esenciales a nuestra sociedad para así diseñar un planeamiento que pueda contener las medidas de prevención y protección que sean eficaces y eficientes contra las posibles amenazas, siendo que esta prevención y protección se brinden tanto en el plano de la seguridad física como en el de la seguridad de las tecnologías de la información, comunicación y la ciberseguridad.

En esa línea se han emprendido diversas actuaciones desarrolladas a nivel internacional, tras atentados contra infraestructuras críticas, de los cuales Costa Rica pudiera también estar expuesta a ser víctima de esta. Europa ha realizado una serie de actuaciones, por ejemplo, tras varios atentados en Madrid, el Consejo Europeo de junio de 2004 instó a la Comisión Europea a elaborar una estrategia global sobre protección de infraestructuras críticas. El 20 de octubre de 2004 la Comisión adoptó una comunicación sobre protección de las infraestructuras críticas en la lucha contra el terrorismo, que contiene propuestas para mejorar la prevención, preparación y respuesta de Europa frente a atentados terroristas que les afecten. Con posterioridad, en diciembre de 2004, el Consejo aprobó el Pepic (Programa europeo de protección de infraestructuras críticas).

Como eventos a nivel mundial, se ejemplifican ataques deliberados como el suscitado en octubre de 2019 en Chile, cuando por un estallido social provocado por el alza del pasaje del Metro de Santiago, manifestantes colocaron una barricada incendiaria sobre las vías ferroviarias del Puente Llolleo, lo que afectó el adecuado funcionamiento del puerto de Valparaíso, principal y más importante de Chile, afectando los niveles de carga y descarga. A este evento se le denominó como el primer atentado a infraestructura crítica para la logística portuaria en Chile.

En febrero del 2021 la Ciudad de Oldsmar, Florida, sufrió un ataque deliberado, cuando un hacker intentó envenenar una ciudad a través del suministro de agua, obteniendo acceso al panel que contrala de forma remota el sistema de tratamiento de agua para aumentar los productos químicos del tratamiento del agua a un nivel peligro para la salud del ser humano.

En mayo de 2021, en Estado Unidos, un grupo de piratas informáticos robó más de 100GB de información del Oleoducto Colonial y provocó un apagón en el sistema. Este oleoducto de aproximadamente 200 km transporta más de 2,5 millones barriles de petróleo por día, aproximadamente el 45% del suministro de diésel, gasolina y combustible que consumen los aviones de la costa este, lo que repercutió en un aumento en los precios del combustible.

Existen a nivel mundial directivas sobre infraestructura critica, que establece la responsabilidad estatal de proteger las infraestructuras críticas y a los operadores de estas, donde se determina el desarrollo de una serie de obligaciones y de actuaciones que son necesarias de incorporar a la legislación nacional.

En relación con nuestro hemisferio, Costa Rica al ser miembro de la Organización de Estados Americanos (OEA) participa activamente en el Comité Interamericano contra el Terrorismo (Cicte), donde en varias de las agendas de sus sesiones se incluye y se analiza la importancia que los Estados miembros concienticen e implementen acciones a proteger sus infraestructuras críticas a nivel nacional. Se cita la declaración emitida por su sesión de su decimoquinto periodo ordinario de sesiones OEA/Ser.L/X.2. de 20 de marzo de 2015 Cicte/doc.1/15 Washington, D.C. 23 marzo 2015, que se denominó DECLARACIÓN PROTECCIÓN DE INFRAESTRUCTURA CRÍTICA ANTE LAS AMENAZAS EMERGENTES (Aprobado durante la quinta sesión plenaria, celebrada el 20 de marzo de 2015), donde en uno de sus apartados se indica:

1. RECONOCIENDO lo contenido en la resolución 2178 del Consejo de Seguridad de las Naciones Unidas que reafirma que el terrorismo en todas sus formas y manifestaciones constituye una de las amenazas más graves para la paz y la seguridad internacionales; y que los actos de terrorismo son criminales e injustificables, cualquiera que sea su motivación y donde quiera y por quien quiera que sean cometidos; y resuelto a seguir contribuyendo a reforzar la eficacia de todos los esfuerzos por luchar contra este flagelo a nivel mundial; (…)

2. RENOVANDO LOS COMPROMISOS asumidos en la Declaración de Panamá sobre la Protección de la Infraestructura Critica en el Hemisferio frente al Terrorismo (CICTE/DEC. 1/07), y en todas las Declaraciones adoptadas en los períodos de sesiones del Comité Interamericano contra el Terrorismo; y reconociendo todas las Resoluciones aprobadas en materia de terrorismo por la Asamblea General y el Consejo Permanente de la OEA; (…)

3. TENIENDO EN CUENTA que la infraestructura crítica consiste, entre otras, en aquellas instalaciones, sistemas y redes, así como servicios y equipos físicos y de tecnología de la información, cuya inhabilitación o destrucción tendría un impacto negativo sobre la población, la salud pública, la seguridad, la actividad económica, el medio ambiente, servicios de gobierno, o el eficaz funcionamiento de un Estado miembro y que cualquier interrupción de estos causada por actos terroristas tendría 5 graves consecuencias para los flujos de servicios esenciales y el funcionamiento de las cadenas de suministros; (…)

4. SUBRAYANDO que la protección de las infraestructuras críticas contra ataques terroristas y otras amenazas emergentes, tales como el uso del Internet para fines terroristas, entre otros, así como su normal funcionamiento, son una preocupación de los Estados Miembros; que llama a la implementación de programas de seguridad, que incluyan la resiliencia de la infraestructura crítica basados en análisis de riesgos desarrollados en cooperación con las partes interesadas, por medio del intercambio de buenas prácticas y experiencias, a efectos de garantizar la seguridad de las mismas; todo lo cual constituye una responsabilidad compartida de actores públicos y privados y hace necesaria la concienciación, cooperación y colaboración entre los mismos;

DECLARAN

9. Encomendar a la Secretaría Ejecutiva del Comité Interamericano contra el Terrorismo (CICTE) que a pedido de los Estados Miembros que lo requieran desarrolle un proyecto de asistencia técnica que, permita a estos la elaboración de un listado de su infraestructura crítica y su clasificación, basados en sus respectivos activos, sistemas, redes y funciones esenciales, para hacer posible la mejor evaluación de vulnerabilidades, brechas, amenazas, riesgos e interdependencia, a efectos del desarrollo de planes para su mejor protección a través del intercambio de buenas prácticas y experiencias. (…)

10. Su compromiso de implementar esta Declaración y el Plan de Trabajo del CICTE, el cual incluye áreas de trabajo en materia de identificación de aquellas infraestructuras críticas, cuyas vulnerabilidades, amenazas o riesgos puedan ser minimizados o eliminados por medio de la aplicación del intercambio de buenas prácticas y experiencias.

Al existir un compromiso internacional de nuestro país, es de alta necesidad la implementación de medidas, dentro del marco jurídico costarricense, que fortalezcan la organización, prevención, resiliencia de nuestras infraestructuras críticas. Lo anterior, en cumplimiento de las obligaciones internacionales adquiridas por el Estado y las gestiones que emprende y articula dentro del sistema multilateral, conforme al derecho internacional, el derecho internacional de los derechos humanos y el derecho internacional humanitario, y principios como el deber de no intervención y responsabilidad estatal, aplicable al uso de las tecnologías de la información y de la comunicación (TIC) por parte de los Estados y de quienes son responsables internacionalmente.

El desarrollo y cumplimiento de la gestión de las infraestructuras críticas están vinculadas intrínsecamente con las tecnologías de la información y comunicación, que tienen una base de información y de comunicación, de carácter público y abierto, es por esto que las actuaciones necesarias para optimizar la seguridad de las infraestructuras se enmarcan principalmente en el ámbito de la protección contra agresiones deliberadas, especialmente, contra ataques terroristas. Es por lo anterior que la seguridad de las infraestructuras críticas requiere organizarse y determinar las actuaciones que van más allá de la mera protección material contra posibles agresiones o ataques, por la cual resulta imprescindible que la Administración Pública, instituciones del Estado y del sector privado se organicen para la identificación de riesgos y la atención de algún incidente.

Es preciso contar, por tanto, con la cooperación de todos los actores involucrados en la regulación, planificación y operación de las diferentes infraestructuras que proporcionan los servicios esenciales para la sociedad, sin perjuicio de la coordinación que ejercerá el Ministerio de Seguridad Pública como órgano director y rector en la materia, y el Ministerio de Relaciones Exteriores y Culto como institución rectora en materia de política exterior y seguimiento de las obligaciones internacionales.

Debido a la importancia que reviste este tema y a la complejidad de la materia, la incidencia sobre la seguridad de las personas y sobre el funcionamiento de las estructuras básicas nacionales, inclusive internacionales, se hace preciso elaborar una ley que va a tener por objetivo, regular la protección de las infraestructuras críticas contra ataques deliberados tanto de carácter físico como lógico y, por otro lado, organizar la protección de dichas infraestructuras que pertenecen a la Administración Pública y a entidades privadas que pueden ser afectadas.

El objetivo primordial de esta ley es el establecimiento de medidas marco de organización para la protección de las infraestructuras críticas, que proporcionen una base adecuada sobre la que se asiente una eficaz coordinación de la Administración Pública, de las entidades y organismos gestores o propietarios de infraestructuras que presten servicios esenciales para la sociedad, con el fin de lograr para estas una mejor seguridad.

Para el cumplimiento del objetivo, es necesaria la creación de la Dirección Nacional de Protección de Infraestructuras Críticas, como dependencia del Ministerio de Seguridad Pública, esto para que ejecute las funciones que se le encomiendan como órgano responsable de esta especial responsabilidad.

También, para el cumplimento de este objetivo será necesaria la creación de un catálogo denominado Catálogo Nacional de Infraestructuras Estratégicas, donde quedará registrada e identificada cada infraestructura estratégica nacional. Adicionalmente, se creará el Plan Nacional de Protección de Infraestructuras Críticas, como una de las principales herramientas en la gestión de la seguridad de nuestras infraestructuras.

El proyecto consta de 17 artículos, estructurados en 4 títulos. El título I contiene definiciones, así como lo relativo al ámbito de aplicación y objeto. El título II se dedica a la designación de infraestructura crítica y el papel de los propietarios, operadores de infraestructuras críticas. El título III establece instrumentos con los cuales la Dirección Nacional para la Protección de Infraestructuras Críticas realizará las tareas asignadas. El título IV establece aspectos que refieren a la confidencialidad de la información que debe administrar y proteger la Dirección Nacional para la Protección de Infraestructuras Críticas, los propietarios y operadores de las infraestructuras.

El proyecto pretende enmarcar, definir organizar, lo concerniente a la composición, competencias y funcionamiento de los componentes necesarios para la protección de la infraestructura crítica de nuestro país, así como los elementos necesarios para la construcción de los planes de protección, a fin de poder cubrir eficientemente aquellas obligaciones que la ley impone y que requieren una cobertura legal específica, hoy inexistente.

Además, es responsabilidad del Estado promover y generar los esfuerzos necesarios para articular acciones y coordinaciones, entre la Administración Pública, otros Poderes del Estado y el sector privado, que aseguren el disfrute de los servicios esenciales y estratégicos a los habitantes de nuestro país, garanticen su bienestar y desarrollo humano. Por otra parte, el Estado debe promover acciones que aseguren a las empresas nacionales y transnacionales, que operen servicios estratégicos sobre infraestructuras críticas, un marco de organización en materia de seguridad, que permita una articulación entre las partes, para atender situaciones de riesgo de sus operaciones, siendo esta coordinación un elemento acorde con la evolución de seguridad de protección sobre las infraestructuras críticas a nivel internacional, y sobre la que Costa Rica debe de evolucionar como un elemento diferenciador en la región.

En virtud de lo expuesto, se somete a conocimiento y aprobación de la Asamblea Legislativa, el presente proyecto de ley: Ley para la Protección de Infraestructura Crítica.

LA ASAMBLEA LEGISLATIVA DE LA REPÚBLICA DE COSTA RICA DECRETA:

LEY PARA LA PROTECCIÓN DE INFRAESTRUCTURA CRÍTICA

TÍTULO I

Disposiciones generales

ARTÍCULO 1- Objeto

Esta ley tiene por objeto establecer las estrategias y las estructuras adecuadas que permitan coordinar y dirigir las actuaciones de los distintos órganos de la Administración Pública en materia de protección a infraestructuras críticas, previa identificación y designación de estas, para mejorar la prevención, preparación y respuesta del país frente a riesgos y ataques deliberados que afecten a infraestructuras críticas. Para ello se impulsará, además, la colaboración e implicación de los organismos gestores y propietarios de dichas infraestructuras, a fin de optimizar el grado de protección de estas contra ataques deliberados de todo tipo, con el fin de contribuir a la protección de la población.

Asimismo, la presente ley regula las especiales obligaciones que deben asumir tanto la Administración Pública como los propietarios, operadores públicos o privados de aquellas infraestructuras que se determinen como infraestructuras críticas.

ARTÍCULO 2- Ámbito de aplicación

La presente ley se aplicará para las instituciones de la Administración Pública y empresas privadas que cuenten con las infraestructuras críticas ubicadas en el territorio nacional vinculadas a los sectores estratégicos definidos por la Dirección Nacional de Protección de Infraestructuras Críticas.

ARTÍCULO 3- Creación de la Dirección Nacional de Protección de Infraestructuras Críticas

Créase la Dirección Nacional de Protección de Infraestructuras Críticas como dependencia del Ministerio de Seguridad Pública, quien tendrá a cargo el impulso, la coordinación, supervisión y dirección de todas las actividades en relación con la protección de las infraestructuras críticas en el territorio nacional.

Corresponderá a la Dirección Nacional de Protección de Infraestructuras Críticas las siguientes funciones:

1- La elaboración de un Catálogo Nacional de Infraestructuras Estratégicas.

2- La clasificación, definición y valoración de la infraestructura estratégica y crítica incluyéndolas dentro del Catálogo Nacional de Infraestructuras Estratégicas.

3- La preparación, ejecución y actualización anual de un programa denominado “Programa Nacional para la Protección de Infraestructuras Críticas”.

4- Realizar las coordinaciones estratégicas con operadores de infraestructura críticas del sector público y privado para la ejecución e implementación del Programa Nacional para la Protección de Infraestructuras Críticas, para lo cual podrá coordinar con instituciones rectoras que correspondan.

5- La supervisión de la ejecución de los planes de seguridad del operador crítico.

6- Coordinación de los diversos planes de actuación frente a eventuales amenazas a las infraestructuras críticas.

7- Emisión de directrices a los propietarios y operadores de infraestructuras estratégicas y críticas, para el adecuado funcionamiento y cumplimiento del objeto de la ley.

8- La coordinación que corresponda, con entes nacionales que faciliten el cumplimiento del objeto de esta ley.

ARTÍCULO 4- Representación del Estado y coordinación internacional

Considerando que el Ministerio de Relaciones Exteriores y Culto tiene por función colaborar en la formulación sistematizada de la política exterior del país, en la orientación de sus relaciones internacionales y en la salvaguardia de la soberanía nacional, será necesario que la Dirección Nacional de Protección de Infraestructuras Críticas, coordine con ese Ministerio en abordar las amenazas que puedan llegar a afectar la infraestructura crítica en pleno respeto del derecho internacional, en particular del de los derechos humanos y del derecho internacional humanitario.

Gestionar, coordinar y negociar futuros instrumentos internacionales, así como establecer alianzas de cooperación internacional en la prevención y represión de estas conductas que atenten contra la infraestructura crítica. Contribuir en la cooperación e intercambio de información, dada la naturaleza dinámica de las amenazas tanto física como cibernéticas. Seguimiento de los contextos de crisis regional y universal que, por su naturaleza, las infraestructuras críticas resultan particularmente vulnerables.

ARTÍCULO 5- Definiciones

A los efectos de la presente ley, se entenderá por:

1- Servicio esencial: para efectos de esta ley se entiende por servicio esencial aquel cuya suspensión, discontinuidad o paralización que pueda causar daño significativo a los derechos a la vida, la salud, el medio ambiente, la seguridad pública, el bienestar social y económico de los ciudadanos, o el eficaz funcionamiento de las Instituciones del Estado y la Administración Pública.

Para la calificación de un servicio público esencial es irrelevante el que sea prestado por instituciones, entes o personas públicas o privadas, físicas o jurídicas.

2- Sector estratégico: cada una de las áreas diferenciadas dentro de la actividad laboral, económica y productiva, que proporciona un servicio esencial o que garantiza el ejercicio de la autoridad del Estado o de la seguridad del país.

3- Subsector estratégico: cada uno de los ámbitos en los que se dividen los distintos sectores estratégicos, conforme a la distribución que contenga el Catálogo Nacional de Infraestructuras Estratégicas.

4- Infraestructuras estratégicas: las instalaciones, redes terrestres, subterráneas, aéreas o subacuáticas, sistemas y equipos físicos y de tecnología de la información y comunicación, tanto privadas como públicas, sobre las que descansa el funcionamiento de los servicios esenciales.

5- Infraestructuras críticas: las infraestructuras estratégicas cuya interrupción o destrucción tuviera grave impacto en la salud, medio ambiente, la seguridad o el bienestar económico o social, según los criterios horizontales de criticidad.

6- Zona crítica: aquella zona geográfica continua donde estén establecidas varias infraestructuras críticas a cargo de operadores diferentes e interdependientes, que sea declarada como tal por la Dirección Nacional de Protección de las Infraestructuras Críticas. La declaración de una zona crítica tendrá por objeto facilitar la mejor protección y una mayor coordinación entre los diferentes operadores titulares de infraestructuras críticas radicadas en un sector geográfico reducido.

7- Criterios horizontales de criticidad: los parámetros en función de los cuales se determina la criticidad, la gravedad y las consecuencias de la perturbación o destrucción de una infraestructura crítica se evaluarán en función de:

a) El número de personas afectadas, valorado en función del número potencial de víctimas mortales o heridos con lesiones graves y las consecuencias para la salud pública.

b) El impacto económico en función de la magnitud de las pérdidas económicas y el deterioro de productos y servicios.

c) El impacto medioambiental, degradación en el lugar y sus alrededores.

d) El impacto público y social, por la incidencia en la confianza de la población en la capacidad de la Administración Pública, la alteración de la vida cotidiana, incluida la pérdida y el grave deterioro de servicios esenciales.

8- Análisis de riesgos: el estudio de las hipótesis de las posibles amenazas para determinar y evaluar las vulnerabilidades existentes en los diferentes sectores estratégicos y las posibles repercusiones de la perturbación o destrucción de las infraestructuras que le dan apoyo.

9- Interdependencias: los efectos que una perturbación en el funcionamiento de la instalación o servicio produciría en otras instalaciones o servicios, distinguiéndose las repercusiones en el propio sector y en otros sectores y las repercusiones de ámbito local, nacional o internacional.

10- Protección de infraestructuras críticas: el conjunto de actividades destinadas a asegurar la funcionalidad, continuidad e integridad de las infraestructuras críticas con el fin de prevenir, disminuir o neutralizar el daño causado por una posibilidad de ataque o ataque deliberado contra dichas infraestructuras, garantizando la integración de estas actuaciones con las demás que procedan de otros sujetos responsables dentro del ámbito de su respectiva competencia.

11- Información sensible sobre protección de infraestructuras estratégicas: los datos específicos sobre infraestructuras estratégicas que, de revelarse, podrían utilizarse para planear y llevar a cabo acciones cuyo objetivo sea provocar la perturbación o la destrucción de estas.

12- Operadores críticos: las entidades u organismos responsables de las inversiones o del funcionamiento diario de una instalación, red, sistema, o equipo físico o de tecnología de la información y comunicación designada como infraestructura crítica con arreglo a la presente ley.

13- Catálogo Nacional de Infraestructuras Estratégicas: la información completa, actualizada, contrastada e informáticamente sistematizada relativa a las características específicas de cada una de las infraestructuras estratégicas existentes en el territorio nacional.

14- Gestor de seguridad de infraestructura crítica: funcionario del operador, encargado de las actividades estratégicas en seguridad. Persona designada como enlace con la Dirección Nacional de Protección de Infraestructuras Críticas, para la creación, comunicación y aplicación del plan de seguridad del operador.

15- Delegado de seguridad de infraestructura crítica: funcionario del operador crítico, responsable ante el operador y la Dirección Nacional de Protección de Infraestructuras Críticas, por la infraestructura crítica designada que administre el operador. Es designado por el gestor, para el cumplimiento del plan de seguridad del operador.

ARTÍCULO 6- El Catálogo Nacional de Infraestructuras Estratégicas

La Dirección Nacional de Protección de Infraestructuras Críticas será la responsable del Catálogo Nacional de Infraestructuras Estratégicas, instrumento que contendrá toda la información y valoración de las infraestructuras estratégicas del país, entre las que se hallarán incluidas aquellas clasificadas como críticas, en las condiciones que se determinen en el reglamento que desarrolle la presente ley.

TÍTULO II

Designación de infraestructura crítica y el papel de los propietarios, operadores de infraestructuras críticas

ARTÍCULO 7- Todo propietario u operador que brinde un servicio esencial mediante infraestructuras terrestres, subterráneas, aéreas o subacuáticas, o por medio de sistemas y equipos físicos y de tecnología de la información y comunicación, tanto privadas como públicas, sobre las que descansa el funcionamiento de los servicios esenciales, se encuentra en la obligación de reportar a la Dirección Nacional de Protección de Infraestructuras Críticas, el servicio que brinda y la infraestructura que administra, bajo los lineamientos y requisitos que el reglamento a esta ley establecerá.

ARTÍCULO 8- Designación de una infraestructura crítica

La Dirección Nacional de Protección de Infraestructuras Críticas, con la información facilitada por los propietarios y operadores, será la encargada de realizar las altas, bajas y modificaciones en la calificación de infraestructuras críticas para el Catálogo Nacional de Infraestructuras Estratégicas, con apego de los criterios horizontales de criticidad de la presente ley.

ARTÍCULO 9- Responsabilidades de propietarios y operadores de infraestructuras estratégicas y críticas.

Una vez definida una infraestructura como estratégica o crítica, sus propietarios y operadores adquirirán las siguientes responsabilidades:

1- Asesorar técnicamente a la Dirección Nacional de Protección de Infraestructuras Críticas, en la valoración de las infraestructuras propias que se aporten al Catálogo, actualizando los datos disponibles con una periodicidad anual y, en todo caso, a requerimiento de la citada Dirección.

2- Elaborar el Plan de Seguridad del Operador en los términos y con los contenidos que se determinen reglamentariamente.

3- Colaborar, en su caso, en la elaboración de los planes estratégicos sectoriales y en la realización de los análisis de riesgos sobre los sectores estratégicos donde se encuentren incluidos.

4- Designar a un gestor de seguridad de infraestructura crítica, que se desempeñará como enlace ante la Dirección Nacional de Protección de Infraestructuras Críticas.

5- Designar a un delegado de seguridad por cada una de sus infraestructuras consideradas críticas, comunicando su designación a la Dirección Nacional de Protección de las Infraestructuras Críticas por medio del gestor.

6- Facilitar y cooperar las inspecciones que la Dirección Nacional de Protección de Infraestructuras Críticas lleven a cabo, para verificar el cumplimiento de la normativa sectorial y adoptar las medidas de seguridad que sean establecida para cada plan, solventando en el menor tiempo posible las deficiencias encontradas.

7- La designación de los operadores críticos en cada uno de los sectores o subsectores estratégicos se efectuará en los términos que reglamentariamente se establezcan.

8- Los operadores críticos atenderán las directrices emanadas por la Dirección Nacional de Protección de Infraestructuras Críticas, ante una amenaza o riesgo materializado, en atención de sus responsabilidades, funciones y obligaciones.

TÍTULO III

Instrumentos

ARTÍCULO 10- Programa Nacional para la Protección de Infraestructuras Críticas

La Dirección Nacional de Protección de Infraestructuras Críticas, anualmente elaborará un Programa Nacional de Protección de las Infraestructuras Críticas, siendo este el documento estructural que permitirá dirigir y coordinar las actuaciones precisas para proteger las infraestructuras críticas en la lucha contra el terrorismo y ataques deliberados. Los contenidos del Programa se determinarán vía reglamento, incluyendo en este los instrumentos de planificación establecidos en el siguiente artículo.

ARTÍCULO 11- Instrumentos de planificación

La protección de las infraestructuras críticas frente a las eventuales amenazas que puedan ponerlas en situación de riesgo requiere la adopción y aplicación de los siguientes planes de actuación que formaran parte del Programa Nacional para la Protección de Infraestructuras Críticas:

Los planes estratégicos sectoriales. Los planes de seguridad del operador.

ARTÍCULO 12- Los planes estratégicos sectoriales

Los planes estratégicos sectoriales serán elaborados por la Dirección Nacional de Protección de las Infraestructuras Críticas e incluirán, por sectores, los criterios definidores de las medidas a adoptar para hacer frente a una situación de riesgo. Incluyen para su conformación los planes de seguridad del operador. Los contenidos del plan se determinarán vía reglamento.

ARTÍCULO 13- Los planes de seguridad del operador

Los planes de seguridad del operador deberán ser elaborados por los operadores respecto a todas sus infraestructuras clasificadas como críticas. Se trata de instrumentos de planificación a través de los cuales aquellos asumen la obligación en la identificación de dichas infraestructuras, especificar las políticas a implementar en materia de seguridad de estas, así como implantar las medidas generales de protección, tanto las permanentes como aquellas de carácter temporal que, en su caso, vayan a adoptar para prevenir, proteger y reaccionar ante posibles ataques deliberados contra aquellas. Los contenidos de cada plan se determinarán vía reglamento.

ARTÍCULO 14- El gestor de seguridad de infraestructuras críticas

Los propietarios y operadores de infraestructura crítica nombrarán y comunicarán a la Dirección Nacional de Protección de Infraestructuras Críticas un gestor de seguridad de infraestructuras críticas en el plazo que reglamentariamente se establezca.

Las funciones específicas del gestor de seguridad de infraestructuras críticas serán las previstas reglamentariamente.

ARTÍCULO 15- El delegado de seguridad de la infraestructura crítica

Los propietarios y operadores de infraestructura crítica comunicarán a la Dirección Nacional de Protección de Infraestructuras Críticas por medio del gestor, el o los delegados de seguridad de la infraestructura crítica, según corresponda, en el plazo que reglamentariamente se establezca.

Las funciones específicas del delegado de seguridad de la infraestructura crítica serán las previstas reglamentariamente.

TÍTULO IV

Confidencialidad

ARTÍCULO 16- Confidencialidad de la información

Los sistemas, las comunicaciones y la información referida a la protección de las infraestructuras críticas, que administre la Dirección Nacional de Protección de Infraestructuras Críticas contarán con las medidas de seguridad necesarias que garanticen su confidencialidad, integridad y disponibilidad, según el nivel de clasificación que les sea asignado.

ARTÍCULO 17- Seguridad de los datos clasificados

El operador y el propietario de una infraestructura crítica deberá garantizar la seguridad de los datos relativos a sus propias infraestructuras, mediante los medios o herramientas de protección y los sistemas de información adecuados que reglamentariamente se determinen.

TRANSITORIO I- El Poder Ejecutivo deberá reglamentar la presente ley dentro de los seis meses posteriores a su entrada en vigencia. Para la promulgación y reforma del reglamento deberá procurarse la opinión de la Contraloría General de la República, cuyo proyecto se le remitirá oportunamente, a fin de que formule sus observaciones. La falta de reglamentación no impedirá la aplicación de esta ley ni su obligatoria observancia, en cuanto sus disposiciones sean suficientes por sí mismas para ello.

TRANSITORIO II- Una vez reglamentada la presente ley por el Ejecutivo, la Dirección Nacional de Protección de Infraestructuras Críticas, en un plazo no mayor a 24 meses, debe tener identificadas las infraestructuras críticas e iniciar el funcionamiento de los procesos para la protección de las infraestructuras críticas.

Rige a partir de su publicación.

Jorge Luis Fonseca Fonseca

Zoila Rosa Volio Pacheco Carolina Hidalgo Herrera

Diputado y diputadas

10 de agosto 2021

NOTAS: Este proyecto pasó a estudio e informe de la Comisión Especial que se encargará de analizar, estudiar, proponer y dictaminar las reformas legales con respecto al desarrollo de la infraestructura del país. Expediente Legislativo N.° 20.993.

Este proyecto cumplió el trámite de revisión de errores formales, materiales e idiomáticos en el Departamento de Servicios Parlamentarios.