La SOCI Act explicada: la ley australiana de infraestructuras críticas

La SOCI Act es la Security of Critical Infrastructure Act de Australia: la ley que impone obligaciones de seguridad y resiliencia a las organizaciones que poseen y operan las infraestructuras sin las que un país no puede funcionar. Su finalidad es fácil de enunciar: hacer más difíciles de interrumpir los servicios esenciales de los que todos dependemos, ya sea la amenaza un ciberataque, un ataque físico, un empleado malintencionado o un proveedor comprometido. Esto es información general, no asesoramiento legal.

Para qué sirve la ley

Las infraestructuras críticas son el conjunto de sistemas cuyo fallo causaría un daño grave a la economía, la seguridad o la vida diaria: la red eléctrica, el agua, las redes de comunicaciones, los sistemas de pago, los hospitales, los puertos. La SOCI Act existe porque estos sistemas son cada vez más digitales, interconectados y atacados, y porque las consecuencias de un ataque con éxito van mucho más allá del operador y alcanzan a toda la comunidad. En lugar de dejar la protección al criterio comercial de cada operador, la ley convierte un nivel básico de seguridad en un deber legal para los activos cubiertos, y da al Gobierno visibilidad y, en los incidentes graves, la capacidad de asistir o intervenir.

Los sectores que cubre

La ley define las infraestructuras críticas en una amplia gama de sectores, y ha ido creciendo con sucesivas reformas desde un punto de partida acotado hasta un alcance amplio. Entre las áreas cubiertas están, entre otras:

• Energía: electricidad, gas y combustibles líquidos.
• Agua y saneamiento.
• Comunicaciones.
• Servicios y mercados financieros.
• Almacenamiento o procesamiento de datos.
• Atención sanitaria y medicina.
• Educación superior e investigación.
• Alimentación y distribución alimentaria.
• Transporte: incluidos los puertos, la aviación y el transporte de mercancías.
• Tecnología espacial e industria de defensa.

Dentro de cada sector, la ley designa clases de activos concretas que se consideran críticas, y las obligaciones aplicables dependen de la clase. Como la lista y las definiciones han cambiado con las reformas de la ley, los operadores deben confirmar con las normas vigentes si un activo concreto está cubierto.

Las obligaciones positivas de seguridad

En el núcleo de la ley están las obligaciones positivas de seguridad: los deberes básicos que exigen a las entidades cubiertas hacer cosas de forma activa, y no solo evitar conductas prohibidas. A grandes rasgos son:

• Registro de activos. Facilitar y mantener actualizada cierta información sobre el activo, incluidos los datos de propiedad y operación, en un registro público.
• Notificación obligatoria de incidentes. Notificar al Gobierno los incidentes de ciberseguridad que cumplan los criterios dentro de plazos fijados (se explica más abajo).
• Programa de gestión de riesgos. Adoptar, mantener y cumplir un programa de gestión de riesgos de las infraestructuras críticas.

Cuáles de ellas se activan para un activo concreto depende de su clase y de las normas dictadas en virtud de la ley, así que el conjunto de obligaciones no es uniforme para todas las organizaciones cubiertas.

Notificación obligatoria de incidentes

Una de las obligaciones con más consecuencias es la notificación. Las entidades responsables deben notificar al Gobierno australiano los incidentes de ciberseguridad significativos dentro de plazos obligatorios: un plazo más corto para los incidentes con un impacto significativo y otro más largo para los que tienen un impacto relevante menor. La finalidad es dar al Gobierno una visibilidad oportuna de las amenazas a las infraestructuras críticas para que pueda ayudar al operador afectado, avisar a otros y construir un panorama nacional de amenazas. Como no cumplir un plazo de notificación es una de las formas más claras de incumplir la ley, los operadores deben conocer las definiciones y los plazos vigentes con precisión, no de forma aproximada. Tener un plan de respuesta a incidentes y de continuidad de negocio que incorpore estos pasos de notificación es la forma práctica de cumplir el deber bajo presión.

El programa de gestión de riesgos

La ley exige a las entidades cubiertas mantener un programa de gestión de riesgos que identifique y mitigue los peligros en cuatro ámbitos: cibernético, físico, de personal (amenaza interna) y de la cadena de suministro. Esto refleja una visión madura de la seguridad: un activo crítico puede caer por un empleado descontento o un proveedor comprometido igual que por un hacker remoto. Un marco de controles estructurado como el NIST Cybersecurity Framework encaja de forma natural con la parte cibernética, y el ámbito de la cadena de suministro es justo donde una evaluación de riesgos de proveedores demuestra su valor, dada la frecuencia con la que un incidente llega a un operador crítico a través de un tercero. Si eres nuevo en por qué todo esto importa a escala nacional, nuestro explicativo más general sobre por qué es importante la ciberseguridad pone el contexto.

Obligaciones reforzadas y sistemas de importancia nacional

Por encima del nivel básico hay un conjunto más reducido, designado de forma privada, de los activos más cruciales: los sistemas de importancia nacional. La designación tiene en cuenta cómo dependen unos sectores de otros, y no es pública. Para estos activos, el Gobierno puede imponer obligaciones de ciberseguridad reforzadas además de las obligaciones positivas de seguridad, que pueden incluir elaborar planes de respuesta a incidentes, participar en ciberejercicios, realizar evaluaciones de vulnerabilidades y compartir información de los sistemas para construir conciencia situacional. La ley también prevé medidas de asistencia del Gobierno y, para los incidentes graves, facultades de intervención.

Por qué importa a los operadores

El mensaje práctico es que, para los activos cubiertos, la seguridad ya no es solo una decisión comercial: es un deber legal con registros que mantener, incidentes que notificar a contrarreloj y un programa de riesgos que ejecutar y acreditar. La ley refleja una tendencia mundial más amplia de los gobiernos a tratar la resiliencia de las infraestructuras críticas como una cuestión de seguridad nacional. Los operadores que tratan las obligaciones como un programa auténtico, y no como un trámite burocrático, acaban siendo más resilientes además de cumplir. De nuevo, esto es información general; las obligaciones exactas dependen de la clase de activo y de las normas vigentes, y las dudas concretas de cumplimiento merecen asesoramiento legal profesional.

Preguntas frecuentes

¿Qué es la SOCI Act? La Security of Critical Infrastructure Act de Australia, que impone obligaciones de seguridad y resiliencia a los propietarios y operadores de infraestructuras críticas frente a amenazas cibernéticas, físicas, de personal y de la cadena de suministro.

¿Qué sectores cubre? Una amplia gama que incluye la energía, el agua, las comunicaciones, los servicios financieros, el almacenamiento y procesamiento de datos, la sanidad, la educación, la alimentación y la distribución alimentaria, el transporte, el espacio y la industria de defensa, con clases de activos concretas designadas en cada uno.

¿Cuáles son las obligaciones positivas de seguridad? Mantener la información del activo en un registro, notificar los incidentes cibernéticos que cumplan los criterios dentro de plazos obligatorios y mantener un programa de gestión de riesgos de las infraestructuras críticas.

¿Cuáles son las normas de notificación de incidentes? Los incidentes significativos deben notificarse al Gobierno dentro de plazos fijados, con un plazo más corto para los impactos más graves y otro más largo para los impactos menores.

¿Qué son los sistemas de importancia nacional? Un subconjunto, designado de forma privada, de los activos más cruciales, para los que el Gobierno puede imponer obligaciones reforzadas, como planes de respuesta, ejercicios y evaluaciones de vulnerabilidades, además del nivel básico.