Renovación del régimen químico bajo PIC: lo que 2026 traerá

El régimen de protección de infraestructuras críticas aplicado al sector químico español lleva más de una década apoyándose en el mismo andamiaje legal, mientras la realidad industrial que pretende ordenar ha cambiado de forma, de propietarios y de amenazas. La supervisión química bajo PIC no está rota; está desfasada, lo cual es peor, porque el desfase no obliga a actuar.

Lo que en 2025 se discute en sede parlamentaria, en mesas técnicas con el CNPIC y en consultas informales con asociaciones del sector no es una reforma menor del catálogo de operadores designados. Es la cuestión de fondo, raramente formulada con claridad: si el modelo de Plan de Seguridad del Operador y Plan de Protección Específico, tal como fue concebido a finales de la década pasada, sigue siendo el instrumento adecuado para una industria cuyas vulnerabilidades ya no se concentran en la valla perimetral, sino en la cadena lógica que une sensores de proceso, sistemas SCADA, proveedores externos de mantenimiento, plataformas en la nube y operadores logísticos. La respuesta honesta es que no del todo, y lo que 2026 traerá depende de cuánto de esa honestidad llegue al texto final.

El punto de partida: una arquitectura PIC pensada para otra industria

La Ley 8/2011 y su reglamento de desarrollo configuraron un sistema que, en su lógica original, asumía instalaciones químicas con perímetros físicos identificables, plantillas estables, integradores de control conocidos y una superficie de ataque dominada por intrusión, sabotaje físico y, en menor medida, manipulación interna. Sobre esa premisa, el CNPIC construyó un catálogo de operadores críticos del subsector químico, designó responsables de seguridad y de enlace, y exigió la elaboración de Planes de Protección Específicos para cada instalación designada. El esquema funcionó. Permitió ordenar, durante años, una conversación que antes no existía entre el Ministerio del Interior, los operadores industriales y los servicios de inteligencia. Generó cultura de seguridad donde apenas la había.

El problema es que la industria química peninsular de 2025 no es la de 2012. Buena parte de los grandes complejos de Tarragona, Huelva, Puertollano o Cartagena han sido adquiridos por capital extranjero, fragmentados en unidades de negocio independientes o reorganizados bajo estructuras de servicios compartidos que cruzan fronteras corporativas. La operación del control de procesos descansa, en una proporción que ningún regulador ha cuantificado públicamente, en proveedores externos que acceden de forma remota. El mantenimiento predictivo se ha trasladado a plataformas que residen fuera del operador designado. La trazabilidad logística depende de sistemas de terceros. El perímetro que el Plan de Protección Específico describe sigue ahí, pero ya no encierra lo que de verdad importa proteger.

A esto se añade un fenómeno que el régimen PIC original no contempló con suficiente peso: la convergencia de la seguridad física y la ciberseguridad industrial, materia en la que INCIBE, a través de su CERT industrial, y el CCN-CERT han ido construyendo capacidad de respuesta sin que la articulación con los Planes PIC haya sido siempre fluida. El operador químico designado se encuentra hoy con tres interlocutores estatales que le piden cosas relacionadas pero no idénticas, con plantillas distintas y con plazos que no siempre encajan. Esa fragmentación administrativa es, en sí misma, un riesgo.

El debate parlamentario y lo que en él no se nombra

La discusión que en los últimos meses ha tomado forma en las comisiones competentes se ha centrado, en lo visible, en tres ejes: la actualización del catálogo de operadores críticos, la transposición efectiva de la Directiva NIS2 al ámbito de la resiliencia de las entidades críticas y la articulación entre el régimen PIC y el nuevo marco europeo de la Directiva CER. En lo no visible, que es donde se decide lo importante, se discute si conviene mantener un Plan de Seguridad del Operador unitario para todo el subsector químico o desagregarlo por familias de producto, y si el umbral cuantitativo que activa la designación sigue siendo el adecuado cuando la criticidad de una instalación ya no depende solo de su capacidad nominal, sino de su posición en cadenas de suministro europeas.

Hay una segunda capa de debate que apenas asoma en los borradores conocidos pero que condicionará la aplicación del régimen renovado. Es la cuestión de la responsabilidad. El modelo vigente designa al operador, no a la instalación, y deposita en una persona física, el responsable de seguridad y enlace, la interlocución con el CNPIC. Cuando esa persona trabaja en una filial española de un grupo multinacional cuyas decisiones de inversión en seguridad se toman en otra jurisdicción, la designación se vuelve, en la práctica, un ejercicio formal. La reforma que se discute para 2026 contempla, según las versiones que han circulado, mecanismos de responsabilidad solidaria del grupo matriz y obligaciones reforzadas de comunicación de cambios de control accionarial. Si esos mecanismos sobreviven al trámite legislativo, el régimen químico habrá dado un paso real. Si quedan diluidos en remisiones reglamentarias, el sistema seguirá descansando sobre una ficción.

Una tercera dimensión, raramente verbalizada en el debate público pero presente en las consultas con la AEPD, es la articulación entre la protección de infraestructuras críticas y el régimen de tratamiento de datos personales de empleados, contratistas y visitantes. Los sistemas modernos de control de accesos, videovigilancia analítica y monitorización de comportamientos generan volúmenes de información personal cuya base jurídica no siempre está bien construida en los Planes de Protección Específicos heredados. La AEPD ha emitido en los últimos años pronunciamientos que han obligado a revisar despliegues que se daban por consolidados.

Lo que el sector ya está haciendo, con o sin reforma

Los operadores del subsector químico no han esperado al texto definitivo para mover ficha. En las direcciones de seguridad de los grandes complejos peninsulares se observa, desde hace al menos dieciocho meses, una reorientación silenciosa pero sistemática. Las inversiones en sustitución de sistemas analógicos de videovigilancia por plataformas con analítica de vídeo basada en visión por computador han pasado de proyectos piloto a despliegues completos. La integración de los centros de control de seguridad física con los centros de operaciones de ciberseguridad, que durante años fue una recomendación incumplida, se ha convertido en una decisión organizativa concreta en varios grupos.

La razón no es regulatoria. Es operativa. El coste del personal de vigilancia ha subido de forma sostenida, la disponibilidad de personal cualificado para rondas nocturnas en entornos industriales se ha estrechado, y las primas de seguro asociadas a paradas no programadas por incidentes de seguridad han comenzado a reflejar, en las cotizaciones de Unespa y en las propias condiciones que los aseguradores trasladan a los operadores, una sensibilidad nueva al estado real de los sistemas de protección. El operador que renueva su capa tecnológica no lo hace porque el CNPIC se lo exija; lo hace porque la matemática del riesgo se lo impone.

En esa renovación, los robots de vigilancia perimetral autónomos, las torres móviles de vídeo con autonomía energética propia y los sistemas de analítica de vídeo entrenados sobre datos del propio sector han pasado de ser curiosidades a integrarse en los planos de protección. La lógica es la que en el libro BOSWAU + KNAUER. Del oficio constructor a la tecnología de seguridad se describe como el paso del improvisar al sistematizar: un operador humano que con la tecnología adecuada cubre cinco emplazamientos en lugar de uno, sin que ello implique reducir personal sino redirigir su atención hacia los vectores que de verdad exigen criterio humano. La autonomía controlada, en la que el sistema toma decisiones rutinarias y entrega las excepciones documentadas a un operador, es la única forma de cuadrar la cuenta cuando la superficie a proteger crece y la plantilla disponible no.

Lo que la reforma de 2026 debería hacer, si quiere acompañar este movimiento en lugar de obstaculizarlo, es reconocer en el régimen PIC la legitimidad de estos sistemas, definir sus requisitos mínimos de robustez y trazabilidad, y articular su uso con las exigencias de la AEPD. Lo que no debería hacer es congelar el catálogo de tecnologías aceptables en una lista que envejecerá antes de publicarse.

Quién aboga, quién resiste, quién observa

En la cartografía de intereses alrededor de la renovación del régimen químico hay tres posiciones nítidas y una cuarta más difusa. Las asociaciones sectoriales, que agrupan a la mayor parte de los operadores designados, abogan por una reforma que clarifique obligaciones, reduzca duplicidades con la transposición de NIS2 y CER, y reconozca la inversión ya realizada en capacidades técnicas. Su argumento es legítimo: nada erosiona más la cultura de cumplimiento que la sensación de que cada nuevo marco invalida lo construido bajo el anterior.

El CNPIC, sin pronunciarse públicamente sobre el contenido concreto de la reforma, ha mantenido una posición de defensa del modelo de planificación específica por instalación, con argumentos sólidos: el conocimiento granular del operador y su instalación es un activo que se perdería si el régimen migrara hacia esquemas más horizontales y declarativos. Esa posición es defendible mientras el modelo siga generando información útil; deja de serlo si los planes se convierten en documentos que se actualizan formalmente cada tres años sin que nadie, dentro o fuera del operador, los relea con criterio entre revisión y revisión.

Los operadores designados, considerados individualmente, muestran posiciones heterogéneas. Los grupos con matriz extranjera tienden a preferir esquemas que reduzcan la singularidad española y se acerquen a estándares europeos comunes, por razones obvias de gestión transnacional. Los operadores nacionales, especialmente los de tamaño intermedio, valoran la relación directa con el CNPIC que el modelo actual permite y temen que una mayor estandarización europea diluya esa interlocución. Ninguna de las dos posiciones es ilegítima; ambas tendrán que ceder algo.

La cuarta voz, la más difusa, es la de los aseguradores y reaseguradores, que en privado expresan una preocupación creciente por la exposición acumulada del subsector químico peninsular a escenarios combinados de incidente físico y ciberincidente. Su preferencia, raramente verbalizada en sede pública, es que la reforma incorpore obligaciones de medición y reporte que permitan a los modelos actuariales discriminar entre operadores. Esa preferencia, si llega al texto, será probablemente el cambio más estructural de todos, aunque pase desapercibido en los titulares.

Lo que un operador debería estar haciendo ahora, antes de que el texto se cierre

La tentación, cuando un marco regulatorio se discute, es esperar. Esperar al texto, esperar al reglamento, esperar a la guía interpretativa. En el caso del régimen químico bajo PIC, esperar es la decisión más cara que un operador puede tomar, por una razón sencilla: las inversiones en capacidad de seguridad que la reforma terminará exigiendo tienen plazos de despliegue que se miden en trimestres, no en semanas, y los proveedores capaces de ejecutarlas no son tantos como el catálogo comercial sugiere.

El operador que en 2025 ya ha completado su diagnóstico interno, ha identificado las brechas entre su Plan de Protección Específico vigente y el escenario que la reforma anuncia, y ha iniciado los pliegos de renovación tecnológica, llegará a la entrada en vigor del nuevo marco con margen. El operador que confía en que el régimen renovado le concederá un plazo de adaptación generoso descubrirá, como ha ocurrido en otras transposiciones, que el plazo se computa desde la publicación, no desde el momento en que la dirección de seguridad consigue la aprobación del presupuesto correspondiente. La asimetría temporal entre el calendario regulatorio y el calendario presupuestario interno es uno de los riesgos menos discutidos y más reales.

Hay una segunda razón para no esperar, que tiene que ver con la naturaleza misma de las amenazas que el régimen pretende ordenar. Los actores que combinan capacidad de intrusión física y vector ciber no están sometidos a calendarios legislativos. La protección de un complejo químico peninsular en 2026 será la que el operador haya construido en 2025, con independencia del título que el Boletín Oficial del Estado le dé a ese esfuerzo cuando finalmente publique el texto reformado.

Lo que permanece

El régimen químico bajo PIC se renovará en 2026, en mayor o menor medida, con más o menos coherencia con NIS2 y CER, con más o menos reconocimiento de las tecnologías que el sector ya despliega. Esa renovación no resolverá, por sí sola, la cuestión de fondo: si los operadores designados disponen de la capacidad técnica, organizativa y financiera para sostener una postura de seguridad a la altura de las amenazas reales del subsector. Esa capacidad no se decreta; se construye, instalación a instalación, ronda a ronda, sensor a sensor.

La conversación que el Dr. Nagel mantiene con direcciones de seguridad del subsector químico parte casi siempre del mismo punto: una autoevaluación honesta sobre dónde está cada operador respecto a un escenario que ya no admite improvisación. Para quien quiera iniciar esa conversación sin compromiso, el Camino I, una conversación confidencial de sesenta minutos, está pensado exactamente para eso. Para quien necesite, antes que conversar, ver con ojos externos su propia instalación, el Camino II, una auditoría de tres a cinco días con entregables definidos, ofrece la base documental sobre la que después se decide. Lo que no resiste el calendario que 2026 trae es la opción de no hacer ninguna de las dos cosas.

Preguntas frecuentes

¿Qué es el régimen químico PIC?

Es el conjunto de obligaciones que la Ley 8/2011 de Protección de Infraestructuras Críticas y su reglamento imponen a los operadores designados como críticos dentro del subsector químico. Incluye la designación de un responsable de seguridad y enlace ante el CNPIC, la elaboración de un Plan de Seguridad del Operador para el conjunto de actividades y un Plan de Protección Específico por cada instalación designada. Su finalidad es garantizar la continuidad del servicio esencial que el operador presta y articular la respuesta ante amenazas físicas, lógicas o híbridas que afecten a instalaciones cuya interrupción tendría consecuencias graves para la economía o la seguridad nacional.

¿Ha sido renovado?

A fecha de redacción de este artículo, no. El debate parlamentario sobre la actualización del régimen está abierto y su cierre se proyecta hacia 2026, en articulación con la transposición efectiva de las directivas europeas NIS2 y CER al ordenamiento español. Los borradores que han circulado plantean modificaciones en el catálogo de operadores, en los umbrales de designación, en la articulación con el régimen de ciberseguridad coordinado por INCIBE y el CCN-CERT, y en los mecanismos de responsabilidad en grupos con matriz extranjera. Hasta que el texto se publique, las obligaciones vigentes son las del marco actual y deben cumplirse íntegramente.

¿Qué impacto?

El impacto principal será operativo antes que jurídico. Los operadores designados deberán revisar sus Planes de Protección Específicos para incorporar la convergencia entre seguridad física y ciberseguridad industrial, ajustar la gobernanza interna de responsabilidades cuando existan matrices extranjeras y documentar de forma más exigente la trazabilidad de proveedores con acceso a sistemas críticos. La inversión en tecnologías de vigilancia autónoma, analítica de vídeo y monitorización integrada será, en la práctica, condición para sostener la postura de seguridad exigida. Los plazos de adaptación, según experiencias previas de transposición, serán más estrechos de lo que el calendario presupuestario interno de un operador típico suele admitir.

¿Quién aboga?

Por la reforma abogan, con matices distintos, las asociaciones sectoriales que buscan clarificar obligaciones y reducir duplicidades, los aseguradores que necesitan métricas comparables para sus modelos actuariales, y los operadores con matriz extranjera interesados en una mayor armonización europea. Mantienen posiciones más prudentes el CNPIC, que defiende la riqueza del modelo de planificación específica por instalación, y algunos operadores nacionales de tamaño intermedio que valoran la interlocución directa con la autoridad. INCIBE, el CCN-CERT y la AEPD participan desde sus respectivos ámbitos competenciales. El equilibrio final dependerá de cuánto del debate técnico llegue al texto y cuánto quede remitido a desarrollo reglamentario posterior.