BOLETÍN OFICIAL DEL ESTADO
Martes 25 de abril de 2023

Sec. TC. Pág. 57885

febrero, FJ 6, y 86/2014, de 29 de mayo, FFJJ 2 y 4. Y, circunscribiéndose dentro de la
seguridad pública a la ciberseguridad, la considera materia incardinada en la
competencia estatal sobre seguridad pública ex art. 149.1.29 CE, que es el título
competencial prevalente en los incisos de los artículos y la disposición impugnados por
motivos competenciales.
Con la finalidad de justificar el indicado encuadre competencial destaca: (i) que la
ciberseguridad es uno de los aspectos imprescindibles a tener en cuenta al configurar la
estrategia en materia de seguridad nacional, y la Ley 8/2011, de 28 de abril, que
establece medidas para la protección de las infraestructuras críticas se dicta de
conformidad con el art. 149.1.29 CE; (ii) que el art. 10 de la Ley 36/2015, de 28 de
septiembre, de seguridad nacional –que se dicta al amparo del art. 149.1.4 y 29 CE–,
incluye la ciberseguridad en los ámbitos de especial interés para la seguridad nacional;
(iii) la ciberseguridad es una de las funciones propias del Centro Nacional de Inteligencia,
tal y como resulta de la letra b) del art. 4 de la Ley 11/2002, de 6 de mayo, reguladora del
Centro Nacional de Inteligencia; (iv) la Orden PCI/870/2018, de 3 de agosto, confirma la
relación entre ciberseguridad y seguridad nacional; (v) la disposición final primera del
Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de
información, afirma que dicha norma, que identifica los sectores en los que es necesario
garantizar la protección de las redes y sistemas de información, y establece
procedimientos para identificar los servicios esenciales ofrecidos en dichos sectores, así
como los principales operadores que prestan esos servicios, se dicta al amparo de las
competencias estatales del art. 149.1.21 y 29 CE.
Destaca el abogado del Estado que las tareas de prevención de actividades
delictivas forman parte de la seguridad pública, que alcanza a la sociedad de la
información (SSTC 104/1989, de 8 de junio, y 142/2018, de 20 de diciembre). De modo
que la regulación de los sistemas y de las medidas de protección relativos a la
administración digital no forma parte de las competencias que corresponden a la
Comunidad Autónoma del País Vasco en materia de autoorganización, ya que, a través
de dicha regulación, el Estado ejerce sus funciones en materia de seguridad pública para
la prevención de actividades delictivas y, en particular, de todas aquellas que pueden
afectar gravemente al interés general, tal y como se indica al vincularlas a la seguridad
nacional, al orden público y a la protección de las telecomunicaciones; medidas de
protección que, por su propia finalidad, exceden del ámbito territorial de una comunidad
autónoma.
La STC 142/2018, de 20 de diciembre, que resuelve el recurso del presidente del
Gobierno contra la Ley 15/2017, de 25 de julio, de la Agencia de Ciberseguridad de
Cataluña, declara dicha ley parcialmente inconstitucional precisamente por vulnerar la
competencia exclusiva del Estado en materia de seguridad pública del art. 149.1.29 CE,
remarcando que dentro de esta competencia se integra la ciberseguridad. De modo que
el Tribunal Constitucional, al abordar la ciberseguridad, entiende que esta, como
sinónimo de seguridad en la red, se integra en la seguridad pública (art. 149.1.29 CE),
así como en las telecomunicaciones (art. 149.1.21 CE). El Tribunal cita en este sentido la
conexión existente entre ciberseguridad y seguridad nacional (ATC 29/2018, de 20 de
marzo). Y es que «debe partirse del carácter transversal e interconectado de las
tecnologías de la información y las comunicaciones y de su conceptuación como un
conjunto de mecanismos dirigidos a la protección de las infraestructuras informáticas y
de la información digital que albergan los sistemas interconectados».
b) En segundo lugar, alega el abogado del Estado que el Gobierno Vasco, al
afirmar que los preceptos impugnados establecen un control jerárquico que desconoce la
potestad autoorganizatoria de la comunidad autónoma, asumiendo el Estado una función
ejecutiva no amparada en el art. 149.1.18 CE, omite de forma significativa en su examen
la justificación de la autorización desde el punto de vista de la ciberseguridad. Considera
que la potestad organizativa de la comunidad autónoma se respeta al ser amplio el
abanico de posibilidades para el acceso a los servicios públicos online, y que por ello el
establecimiento de un régimen de verificación es plenamente compatible con dicha

cve: BOE-A-2023-10045
Verificable en https://www.boe.es

Núm. 98