Source: https://boe.es/diario_boe/txt.php?id=BOE-A-2019-959
Timestamp: 2020-04-06 09:34:53+00:00

Document:
BOE.es - Documento BOE-A-2019-959
Documento BOE-A-2019-959
«BOE» núm. 22, de 25 de enero de 2019, páginas 7097 a 7123 (27 págs.)
BOE-A-2019-959
ECLI:ES:TC:2018:142.
El Pleno del Tribunal Constitucional, compuesto por don Juan José González Rivas, Presidente, doña Encarnación Roca Trías, don Andrés Ollero Tassara, don Fernando Valdés Dal-Ré, don Santiago Martínez-Vares García, don Juan Antonio Xiol Ríos, don Pedro González-Trevijano Sánchez, don Antonio Narváez Rodríguez, don Alfredo Montoya Melgar, don Ricardo Enríquez Sancho, don Cándido Conde-Pumpido Tourón y doña María Luisa Balaguer Callejón, Magistrados, ha pronunciado.
1. El 31 de octubre de 2017 tuvo entrada en el registro de este Tribunal el recurso de inconstitucionalidad interpuesto por el Abogado del Estado, en representación del Presidente del Gobierno, contra la Ley 15/2017, de 25 de julio, de la Agencia de Ciberseguridad de Cataluña. El Abogado del Estado invocó los artículos 161.2 CE y 30 de la Ley Orgánica del Tribunal Constitucional (LOTC), a fin de que se produjera la suspensión de la aplicación de la Ley 15/2017.
El Abogado del Estado comienza señalando que se recurre la Ley 15/2017 en su conjunto en atención no solo a la asunción de competencias estatales por parte de la Agencia, sino también a la unidad de sentido de la Ley por su carácter de «estructura de estado». La impugnación tiene un motivo fundamentalmente competencial, en cuanto la Ley vulnera la competencia exclusiva del Estado en materia de seguridad pública del artículo 149.1.29 CE, dentro de la cual se integra la ciberseguridad, en conexión con las competencias estatales en materia de defensa y telecomunicaciones.
De acuerdo con esa concepción, la Ley 15/2017 establece una completa regulación de la ciberseguridad en todos sus ámbitos y en todo el territorio de Cataluña. El precepto central de la norma es el artículo 2 que define el objeto y funciones de la Agencia de Ciberseguridad, siendo el resto meramente instrumentales para la creación de esa Agencia o para adaptar su creación a la actual organización administrativa de la Generalitat. La inconstitucionalidad de la Ley en su conjunto deriva, no solo de constituir una «estructura de estado», sino también de tener un objeto y asumir unas funciones que inciden, al interpretarlas conjuntamente, en la competencia exclusiva del Estado en materia de seguridad pública conforme al artículo 149.1.29 CE, en conexión con las atribuciones estatales en materia de defensa, telecomunicaciones y régimen general de comunicaciones. El artículo 2, después de definir como objeto de la Agencia «garantizar la ciberseguridad en el territorio de Cataluña» (art. 2.1), fija como su finalidad «la ejecución de las políticas en materia de ciberseguridad» (art. 2.2) para desglosar en cuatro apartados lo que se entiende por ejecución. A su vez, el apartado 3 del artículo 2 dispone que la Agencia «para la ejecución de los objetivos» puede ejercer sus funciones en relación con las personas físicas y jurídicas situadas en Cataluña y establecer la colaboración necesaria con los prestadores de servicios de la sociedad de la información y de comunicaciones electrónicas que actúen o tengan infraestructuras en Cataluña. El artículo 2.4 desglosa las funciones que asume la Agencia para el cumplimiento de sus objetivos, entre las que se destaca por su relevancia, el apartado f). El artículo 2.5 desarrolla las funciones de la Agencia en el ámbito de la Generalitat, aludiendo específicamente la demanda al apartado b) que atribuye competencia a la Generalitat para «informar preceptivamente» de las disposiciones normativas estatales sobre ciberseguridad, sin que ninguna competencia autonómica pueda sustentar esta atribución.
Alude específicamente al artículo 2.4 f) que atribuye a la Agencia la función de «Investigar y analizar tecnológicamente los ciberincidentes y ciberataques sobre infraestructuras tecnológicas, sistemas de información, servicios de tecnologías de la información y la comunicación o la propia información en los que la Agencia intervenga por razón de su competencia». Señala el Abogado del Estado que este precepto fue considerado inconstitucional por el propio Consejo de Garantías Estatutarias, cuando se pronunció en relación con el texto de la ley en fase de proyecto. El Consejo valoró que el objeto de estas funciones de respuesta forma parte de manera clara de las policiales de preservación de la seguridad pública, que sobrepasan las que corresponden a la Agencia de Ciberseguridad de Cataluña, ya que la potestad de investigar y analizar los ciberincidentes y ciberataques, se proyecta sobre hechos que son constitutivos de delitos informáticos, y permite entender que va más allá de la capacidad de respuesta en el orden técnico y organizativo ante estas situaciones.
A continuación, el Abogado del Estado plantea los motivos por los que a su parecer, la Ley en su conjunto resulta inconstitucional. Destaca que la Ley 15/2017 establece, en su artículo 2.1, que «la Agencia de Ciberseguridad de Cataluña tiene por objeto garantizar la ciberseguridad en el territorio de Cataluña, entendida como la seguridad de las redes de comunicaciones electrónicas y de los sistemas de información». Esta previsión se considera inconstitucional pues es susceptible de afectar a infraestructuras situadas fuera del territorio catalán; afecta también a las competencias estatales ya reseñadas, y específicamente a aquellas que se refieren a la protección de la seguridad nacional y las telecomunicaciones. La Ley 15/2017 atribuye a la mencionada agencia el ejercicio de amplias funciones en materia de ciberseguridad, sin que contenga ningún mandato ni previsión de coordinación y colaboración con los organismos, estrategias, planes y autoridades nacionales. Esta conclusión se ve reforzada si se atiende a las especificaciones de los apartados siguientes de este artículo 2. El Abogado del Estado alude específicamente a los apartados 2 y 3, así como, citando el dictamen del Consejo de Estado, a los artículos 2.4, letras b), e) y f) y 2.5, letras a) y d) y, finalmente, al artículo 2.5 b), al que ya había hecho referencia anteriormente.
Las consideraciones anteriores de la demanda se completan con una referencia a la Agencia de Ciberseguridad como «estructura de estado». A tal efecto, se destaca la relación teleológica que la Ley 15/2017 guarda con otras leyes catalanas aprobadas poco después y que se enmarcan dentro del conjunto de actuaciones llevadas a cabo por la Generalitat en su propósito declarado de construir estructuras de Estado con virtualidad sustitutoria de las actualmente vigentes en el sistema estatal. Además de la doctrina de la STC 52/2017, de 10 de mayo, se citan las Leyes 17/2017, de 1 de agosto, del código tributario de Cataluña y de aprobación de los libros primero, segundo y tercero, relativos a la Administración tributaria de la Generalitat, y 21/2017, de 20 de septiembre, de la Agencia de protección social de Cataluña, ambas impugnadas ante el Tribunal Constitucional, que ha admitido a trámite los recursos mediante providencias de 12 de septiembre y 17 de octubre de 2017.
Concluye la demanda señalando que la Ley 15/2017 está redactada en unos términos ambiguos, incluye algunas previsiones que podrían entenderse indistintamente aplicables dentro del orden de distribución de competencias diseñado por la Constitución de 1978 o al margen de él, pero tampoco oculta que la Agencia que crea dicha Ley constituye, en su propio ámbito, una estructura organizativa idónea para actuar de forma autónoma en un eventual Estado catalán independiente. Su creación, de hecho, se encuentra prevista en el «Informe sobre la seguridad interna e internacional de Cataluña», elaborado por el ya mencionado Consejo Asesor para la Transición Nacional de Cataluña, que tiene por objeto analizar los principales retos y actuaciones de Cataluña en el ámbito de la seguridad interna e internacional durante el periodo de transición nacional y, más concretamente, los primeros meses de construcción de un eventual nuevo Estado catalán.
2. Por providencia de 28 de noviembre de 2017, el Pleno, a propuesta de la Sección Tercera, acordó admitir a trámite el recurso de inconstitucionalidad promovido por el Presidente del Gobierno y, en su representación y defensa, por el Abogado del Estado, contra la Ley 15/2017, de 25 de julio, de la Agencia de Ciberseguridad de Cataluña; dar traslado de la demanda y documentos presentados, conforme establece el artículo 34 de la Ley Orgánica del Tribunal Constitucional (LOTC), al Congreso de los Diputados y al Senado, por conducto de sus Presidentes, así como al Gobierno de Cataluña y al Parlamento de Cataluña, por conducto de sus Presidentes, al objeto de que, en el plazo de quince días, puedan personarse en el proceso y formular las alegaciones que estimaren convenientes. Con el fin de evitar un conflicto en la defensa de los intereses del Estado y de la Comunidad Autónoma de Cataluña, se suspendió el plazo para que el Gobierno de Cataluña pueda personarse y formular alegaciones, en tanto el Consejo de Ministros, de conformidad con el artículo 5 del Real Decreto 944/2017, de 27 de octubre, ejerza las funciones y competencias que corresponden al Consejo de Gobierno de la Generalitat de Cataluña. Asimismo, se tuvo por invocado por el Presidente del Gobierno el artículo 161.2 de la Constitución, lo que, a su tenor y conforme dispone el artículo 30 LOTC, produce la suspensión de la vigencia y aplicación de la Ley impugnada, desde la fecha de interposición del recurso –31 de octubre de 2017– para las partes del proceso y desde el día en que aparezca publicada la suspensión en el «Boletín Oficial del Estado» para los terceros, lo que se comunicará a los Presidentes del Gobierno de Cataluña y Parlamento de Cataluña. Finalmente, se acordó publicar la incoación del recurso en el «Boletín Oficial del Estado» y en el «Diari Oficial de la Generalitat de Cataluña».
3. Mediante escrito registrado el día 7 de diciembre de 2017, la Presidenta del Congreso de los Diputados comunicó al Tribunal el Acuerdo de la Mesa de la Cámara por el que se persona en el procedimiento y ofrece su colaboración a los efectos del artículo 88.1 LOTC. Lo mismo hizo el Presidente del Senado por escrito que tuvo entrada en este Tribunal el día 13 de diciembre.
4. Por escrito registrado el día 15 de diciembre de 2017, el Letrado del Parlamento de Cataluña se personó en el procedimiento y solicitó una prórroga por el máximo legal, siendo atendida dicha petición por providencia de este Tribunal de 16 de diciembre de 2017, por la que se prorrogó en ocho días más el plazo concedido por la anterior providencia de 28 de noviembre.
5. Las alegaciones del Parlamento de Cataluña, interesando la desestimación del recurso, se registraron en este Tribunal Constitucional el día 15 de enero de 2018.
Defiende en primer lugar que se trata de un recurso preventivo incompatible con el principio de presunción de constitucionalidad de la ley. El recurso de inconstitucionalidad se dirige indiscriminadamente contra toda la Ley, sin hacer selección alguna de sus preceptos a efectos de impugnación. Esta falta de criterio selectivo «sorprende aún más cuando observamos que, aunque el objeto y las funciones de la Agencia se concentran prácticamente en un único precepto (el art. 2), se trata de un precepto notablemente amplio y extenso cuya lectura nos permite observar también la distinta naturaleza de algunas de las funciones de la Agencia y las consecuencias que ello debería suponer a los efectos de los diferentes títulos competenciales que hay que considerar para resolver adecuadamente el presente recurso». Por otra parte, el recurso tiene interés en destacar que su fundamentación jurídica es esencialmente competencial por cuanto considera que la Ley vulnera la competencia exclusiva del Estado en materia de seguridad pública (art. 149.1.29 CE).
Sin embargo, se evidencia claramente que la impugnación obedece al carácter de «estructura de estado» que, a juicio del recurrente, tiene la Agencia creada por la Ley impugnada. Se trata de un juicio de valor sobre el riesgo que podría suponer la creación de la Agencia de Ciberseguridad de Cataluña, porque la misma pudiera ser utilizada en el futuro como una «estructura de estado». Juicio preventivo o prospectivo que no tiene cabida en el marco de un recurso de inconstitucionalidad, sobre todo cuando se admite que las previsiones de la ley pueden desarrollarse dentro del sistema de distribución de competencias. Estas consideraciones deben ponerse en relación con las exigencias mínimas que la jurisprudencia constitucional ha establecido para la viabilidad de un recurso de inconstitucionalidad, que tienen que ver con la naturaleza de dicho recurso, con su finalidad no preventiva y con el principio de constitucionalidad de las leyes. La aplicación de lo anterior lleva necesariamente a la conclusión de que el presente debate no puede ser influido de ninguna manera por juicios de valor sobre las intenciones del legislador o por la voluntad de obtener declaraciones preventivas para ponerse a cubierto de eventuales aplicaciones inconstitucionales de la norma. Por el contrario, la resolución del recurso ha de fundamentarse solo en el contraste objetivo de la ley impugnada con la Constitución en el contexto competencial que le corresponde y sin olvidar el juego del principio de presunción de constitucionalidad de la ley.
El Letrado del Parlamento de Cataluña sostiene a continuación que, dado el carácter genérico e impreciso de la impugnación, el recurso tampoco cumple con la carga que tiene el recurrente de argumentar y fundamentar de manera suficiente los motivos que lo sustentan. Las alegaciones del recurso se centran en lo dispuesto en el artículo 2, precepto que presenta diversos contenidos que no pueden ser tratados bajo una única perspectiva, es decir, sin tomar en consideración las distintas finalidades a las que responden las también distintas atribuciones que la ley confiere a la Agencia. Se trata, en cualquier caso, de funciones de distinta naturaleza y con implicaciones competenciales más complejas que la relativa a la seguridad pública, que constituye la única base de la impugnación. Por tanto, una impugnación global de la ley debería tenerlo en cuenta y obligar al recurrente a fundamentar jurídicamente las razones por las cuales se impugnan todas las atribuciones de la Agencia, sin excepción o matiz alguno derivados de su diferente naturaleza y sin que se haga un contraste mínimamente argumentado entre los contenidos del artículo 2 de la Ley con las reglas de reparto competencial, para así justificar la vulneración que se denuncia, lo que solo se hace respecto a dos puntos concretos del artículo 2, la letra f) del apartado 4 y la letra b) del apartado 5. Por ello, la representación procesal del Parlamento de Cataluña entiende que los fundamentos del recurso «adolecen de los mínimos exigibles por la jurisprudencia constitucional en cuanto a la obligación de precisar los motivos de la impugnación y de fundamentar, de forma pormenorizada, las razones de la supuesta inconstitucionalidad». La conclusión es que «más allá de la motivación concreta que se hace respecto de la letra f) del apartado 4 del artículo 2, no existe en el recurso ningún análisis mínimamente detallado de los motivos que podrían justificar la inconstitucionalidad de todas las demás funciones de la Agencia. Respecto de las demás funciones de la Agencia solamente se aportan, a modo de comodín y en contraposición a lo que exigiría el análisis de cada caso en concreto, los argumentos genéricos e imprecisos que antes se han expuesto. La gravedad de este defecto procesal es tal que por este solo motivo la mayor parte del recurso debería ser rechazada».
6. Próximo a finalizar el plazo de los cinco meses que señala el artículo 161.2 CE desde que se produjo la suspensión de los preceptos impugnados en este recurso de inconstitucionalidad, el Pleno, por providencia de 7 de febrero de 2018, acordó oír a las partes personadas –Abogado del Estado– para que, en el plazo de cinco días, exponga lo que considere conveniente acerca del mantenimiento o levantamiento de dicha suspensión.
7. El Pleno, por ATC 29/2018, de 20 de marzo, acordó mantener la suspensión de la Ley 15/2017, de 25 de julio, de la Agencia de Ciberseguridad de Cataluña.
8. El Pleno, por providencia de 5 de junio de 2018, acordó que, perdida la vigencia del Real Decreto 944/2017, de 27 de octubre, conforme a lo previsto en su disposición adicional segunda, procedía alzar la suspensión del plazo acordado, para presentar alegaciones, según se expone en el antecedente 2 en atención a lo dispuesto en su artículo 5, en el presente proceso constitucional. En consecuencia, se dio traslado al Gobierno de la Generalitat de Cataluña, por conducto de su Presidente, al objeto de que, en el plazo de quince días, pueda personarse en el proceso y formular las alegaciones que estime convenientes.
9. Las alegaciones del Gobierno de la Generalitat de Cataluña, interesando la desestimación íntegra del recurso, tuvieron entrada en el registro del Tribunal Constitucional el día 12 de junio de 2018.
Comienza señalando que el recurso tiene un carácter preventivo que se funda en un juicio acerca de la intencionalidad de la Ley, por su supuesto carácter a naturaleza de «estructura de estado», que es ajeno a su contenido dispositivo. La consideración de la Agencia de Ciberseguridad de Cataluña como «estructura de estado» no aparece en el texto de la Ley y esa calificación no pasa de ser un juicio de intenciones y una valoración en términos políticos, carente de toda eficacia jurídica. Además, tal pretensión choca frontalmente con el principio de presunción de constitucionalidad de las leyes y de su debida interpretación conforme con la Constitución. Se trata, por el contrario, de una norma puramente organizativa, que crea nuevo organismo –una agencia gubernamental– en su sector público, para sustituir y suceder a la Fundación que viene ejerciendo en el ámbito de Cataluña las funciones de seguridad de la sociedad de la información, planificación, y la gestión y el control de la seguridad de las tecnologías de la información de la Administración de la Generalitat y de su sector público. Por tanto, la Generalitat no ha pretendido arrogarse con esta Ley la competencia para hacer una regulación general de la ciberseguridad. Además, la pretensión de enjuiciar la Ley 15/2017 en función de su supuesta intencionalidad política resulta totalmente improcedente dentro de un procedimiento de recurso de inconstitucionalidad, que solo permite un control jurídico y en abstracto de la norma recurrida, como tiene reiteradamente establecido el Tribunal Constitucional (cita STC 139/2017, de 29 de noviembre). Ese carácter preventivo de la demanda la hace incompatible con el objeto propio de un recurso de inconstitucionalidad, lo que debería llevar, por sí solo, a la desestimación íntegra.
A continuación, el Abogado de la Generalitat de Cataluña indica que el recurso se ha planteado contra la totalidad de la Ley, si bien en el escrito de demanda se dice que el artículo central de la Ley impugnada es el 2, siendo el resto de sus preceptos meramente instrumentales o accesorios, y se imputa la inconstitucionalidad al conjunto de la Ley por constituir una «estructura de estado» y por invadir las competencias del Estado. Sin embargo, según la representación procesal de la Generalitat, la demanda tan solo formula algún razonamiento específico al referirse a la supuesta inconstitucionalidad por incompetencia del artículo 2.1, y cuestiona la determinación del ámbito de actuación de la Agencia por referencia al territorio de Cataluña, así como la supuesta inconstitucionalidad del artículo 2.4 f), relativo a la investigación y análisis tecnológico de los ciberincidentes y ciberataques, y del artículo 2.5 b), sobre el informe preceptivo de la Agencia en la elaboración de disposiciones normativas tramitadas por la Administración de la Generalitat. Por ello considera que la parte demandante no ha aportado la debida argumentación que pueda fundar la impugnación de los demás preceptos de la Ley 15/2017.
Respecto al artículo 1, indica que se limita a crear la Agencia de Ciberseguridad de Cataluña y a determinar su naturaleza jurídica y su régimen jurídico. En el artículo 2 se examinan por separado cada uno de sus apartados. Sobre el apartado 1 señala que no define a la Agencia como la única entidad que vela por la ciberseguridad en Cataluña, ni dispone que vaya a excluir la actuación que corresponde a las instancias estatales en ejercicio de sus propias competencias. El apartado 2 define el objetivo de la Agencia como «la ejecución de las políticas públicas en materia de seguridad», añadiendo a continuación que ese objetivo se concreta en las actuaciones que se enumeran en los cinco subapartados que integran el precepto. Estos objetivos se corresponden con las funciones de la Generalitat respecto de la administración electrónica y también con las que derivan de la necesidad de proteger las redes y sistemas de información propios, así como los de los particulares que se relacionan por medios electrónicos con la Administración de la Generalitat. Sobre el apartado 3, destaca que nada impide a la Agencia ofrecer la prestación de servicios de ciberseguridad al sector privado, ya que esa oferta se aviene perfectamente con su propia naturaleza de Agencia, en tanto que entidad de derecho público que ajusta su actuación al derecho privado. La Ley no atribuye a la Agencia potestades públicas de regulación ni de intervención sobre el sector privado, sino tan solo funciones de tipo promocional y prestacional, poniendo sus servicios a disposición de los administrados.
10. Por providencia de 18 de diciembre de 2018 se señaló para deliberación y fallo de esta Sentencia el día 20 del mismo mes y año.
1. El presente proceso constitucional tiene por objeto resolver el recurso de inconstitucionalidad que el Presidente del Gobierno ha interpuesto contra la Ley 15/2017, de 25 de julio, de la Agencia de Ciberseguridad de Cataluña.
Como se ha expuesto en los antecedentes, la impugnación tiene un motivo fundamentalmente competencial porque la Ley 15/2017 vulneraría la competencia exclusiva del Estado en materia de seguridad pública del artículo 149.1.29 CE, dentro de la cual se integra la ciberseguridad, en conexión con las competencias estatales en materia de defensa (art. 149.1.4 CE) y telecomunicaciones (art. 149.1.21 CE). La demanda articula, además, un segundo motivo de impugnación relativo al carácter de «estructura de estado» de la Agencia creada por la Ley 15/2017, en función de la relación que dicha Ley 15/2017 guardaría con otras leyes catalanas aprobadas poco después y que se enmarcan dentro del conjunto de actuaciones llevadas a cabo por la Generalitat en su propósito declarado de construir «estructuras de estado», con virtualidad sustitutoria de las actualmente vigentes en el sistema estatal.
2. Expuesto el objeto de este recurso y las posiciones de las partes, es preciso, atendiendo a lo planteado por las representaciones procesales del Parlamento de Cataluña y del Gobierno de la Generalitat, primero, hacer unas consideraciones en torno al carácter cautelar o preventivo del recurso, y, segundo, acerca de la necesidad de argumentar o fundamentar de manera suficiente los motivos que lo sustentan.
a) En cuanto a lo primero, la naturaleza del recurso, debe concluirse que la impugnación no es preventiva, ni cautelar, y no merece, por tanto, el reproche que en tal sentido se hace por parte del Letrado del Parlamento de Cataluña y del Abogado del Gobierno de la Generalitat.
Este Tribunal se ha pronunciado sobre la dificultad de valorar con carácter general y previo el carácter preventivo de un recurso. Verificar si dicho rasgo concurre requiere examinar cada una de las impugnaciones (STC 110/2011, de 22 de junio, FJ 3, con cita de la STC 31/2010, de 28 de junio, FJ 2). El Tribunal tiene declarado que «es constante la doctrina que insiste en que no será legítima la utilización del recurso de inconstitucionalidad con la finalidad de obtener declaraciones preventivas o previsoras ante eventuales agravios competenciales o interpretativas que pongan a cubierto de aplicaciones contrarias al orden de competencias establecidas en la [Constitución] y, dentro del marco constitucional, en los Estatutos de Autonomía (STC 49/1984, de 5 de abril, FJ 2)» (SSTC 110/2011, FJ 3, y 31/2010, FJ 2). Sin embargo, en las mismas Sentencias se declara también que estos defectos «solo podrán ‘verificarse’ caso por caso, con ocasión del examen de cada una de las impugnaciones» por lo que en ellas se rechaza el motivo de oposición al recurso cuando se plantea con carácter general en estos términos.
b) Respecto al incumplimiento por el Abogado del Estado de su carga alegatoria, que también esgrimen el Letrado del Parlamento de Cataluña y el Abogado del Gobierno de la Generalitat, el Tribunal tiene declarado que la obligación de levantar la carga alegatoria en todos los procesos seguidos ante él supone una exigencia de colaboración con la justicia, además de una condición inexcusable inherente a la presunción de constitucionalidad de las normas con rango de ley, que no puede desvirtuarse sin un mínimo de argumentación (por todas, STC 184/2016, de 3 de noviembre, FJ 2). En efecto, «cuando lo que está en juego es la depuración del ordenamiento jurídico, es carga de los recurrentes no sólo la de abrir la vía para que el Tribunal pueda pronunciarse, sino también la de colaborar con la justicia del Tribunal en un pormenorizado análisis de las graves cuestiones que se suscitan. Es justo, pues, hablar… de una carga del recurrente y en los casos en que aquélla no se observe, de una falta de diligencia procesalmente exigible, que es la diligencia de ofrecer la fundamentación que razonablemente es de esperar (STC 11/1981, de 8 de abril, FJ 3, reiterada en las SSTC 43/1996, de 15 de abril, FJ 3; 36/1994, de 10 de febrero, FJ 1, y 61/1997, de 20 de marzo, FJ 13)» (STC 86/2017, de 4 de julio, FJ 2).
A fin de verificar si el recurrente ha satisfecho la diligencia procesal exigible para justificar la existencia de las infracciones constitucionales que denuncia es obligado analizar el contenido del recurso. Atendiendo al mismo, cabe constatar que en la demanda hay una argumentación específica en cuanto al carácter de «estructura de estado» que se imputa a la Agencia creada por la Ley 15/2017, lo que implica que debamos pronunciarnos al respecto.
Sobre la vulneración del orden de distribución de competencias que se reprocha a la norma, el Abogado del Estado denuncia que «la regulación completa que realiza la Ley desborda las competencias autonómicas». La queja es que se establece una completa regulación de la ciberseguridad en todos sus ámbitos y en todo el territorio de Cataluña, pero esa queja, concretada en que las funciones atribuidas a la Agencia de Ciberseguridad de Cataluña superan el ámbito competencial autonómico, solo se desarrolla respecto a un precepto de la norma. Como hemos expuesto con más detalle en los antecedentes, el iter discursivo del recurso arranca con la descripción del contenido de la norma, con especial detenimiento en su artículo 2, a lo que sigue la exposición de la doctrina constitucional sobre el régimen de distribución de competencias entre el Estado y las Comunidades Autónomas en relación con la seguridad pública. Dicha exposición es insuficiente por sí misma para satisfacer la diligencia procesal que permita soportar la impugnación de los concretos preceptos de la Ley 15/2017, pues es exigible que la parte recurrente proyecte la doctrina que expone sobre los mismos mediante un razonamiento que justifique el exceso competencial denunciado (en el mismo sentido, STC 118/2017, de 19 de octubre, FJ 2).
Ese modo de articular el recurso, unido a la reiterada doctrina de este Tribunal, por la que no podemos «reconstruir de oficio la demanda ni suplir las razones de los recurrentes, cuando éstas no se aportan en su recurso» (STC 85/2016, de 28 de abril, FJ 2), lleva a entender que únicamente concurre la carga argumental mínima exigible en relación con la vulneración de las competencias estatales que se denuncian en la demanda respecto al apartado 1, en relación con los apartados 2 y 3; al apartado 4, letras b), e) y f) y a la letras a), b) y d) del apartado 5, todos ellos del artículo 2 de la Ley 15/2017.
3. Señalado lo anterior se puede ya iniciar el enjuiciamiento de la Ley 15/2017.
Comenzaremos por el examen de la queja relativa al carácter de «estructura de estado» que se imputa a la Ley 15/2017 en cuanto crea la Agencia de Ciberseguridad de Cataluña.
El Abogado del Estado argumenta, por referencia al dictamen del Consejo de Estado, que la Ley 15/2017 puede relacionarse con el proceso de creación de estructuras de estado acometido por la Generalitat, sobre el que ya se ha pronunciado la STC 52/2017. Añade que la norma está redactada en unos términos ambiguos, incluyendo algunas previsiones que podrían entenderse indistintamente aplicables dentro del orden de distribución de competencias diseñado por la Constitución o al margen de él, pero tampoco oculta que la Agencia que crea dicha Ley constituye, en su propio ámbito, una estructura organizativa idónea para actuar de forma autónoma en un eventual Estado catalán independiente. Los Letrados autonómicos han negado el carácter de «estructura de estado» que la demanda atribuye a la Agencia, alegando que la norma ha de ser examinada atendiendo al sentido propio y al contenido literal de sus términos.
La Ley 3/2015, de 11 de marzo, de medidas fiscales, financieras y administrativas de Cataluña, vino a materializar propuestas contenidas en los informes del Consejo Asesor para la Transición Nacional de Cataluña, en los que se diseñó la denominada «hoja de ruta» para la constitución de un Estado catalán y se abordaron diversas cuestiones estrechamente relacionadas con la pretensión de crear estructuras de estado, dotadas de características precisas para operar la sustitución del sistema estatal en el momento en que se produjera la pretendida independencia de Cataluña. Dicha norma fue declarada parcialmente inconstitucional en la STC 128/2016. La creación de la Agencia de Ciberseguridad de Cataluña no se encontraba mencionada en la referida Ley 3/2015, como una de las actuaciones encomendadas a la Generalitat de Cataluña dentro del llamado proceso de transición nacional para la «desconexión» del Estado.
Este Tribunal ha rechazado ya en ocasiones anteriores pretensiones similares a la que ahora se formula [SSTC 139/2017, de 29 de noviembre, FJ 2 c); 90/2017, de 5 de julio, FJ 2, y 128/2016, FJ 5 A)]. En los tres casos, el Tribunal ha destacado que el control que desarrolla «es exclusivamente de constitucionalidad, de carácter jurídico, no político, ni de oportunidad, ni de calidad técnica, ni de idoneidad. De modo que las intenciones del legislador, su estrategia política o su propósito último no constituyen, como es evidente, objeto de nuestro enjuiciamiento, que ha de circunscribirse a contrastar los concretos preceptos impugnados y las normas y principios constitucionales que integran en cada caso el parámetro de control» [por todas, STC 185/2016, de 3 de noviembre, FJ 7 a)]. Por ello, la norma impugnada, cuya supuesta inconstitucionalidad se ventila debe ser interpretada y enjuiciada en atención a su propio sentido y tenor literal, no a partir del contexto que la demanda trae a colación referido a su utilización como una eventual «estructura de estado», pues esa apreciación se basa en la intención que se atribuye a la norma catalana (STC 54/2018, de 24 de mayo, FJ 4), no en la literalidad de la disposición. Sentido y tenor literal de las disposiciones impugnadas que fueron las que llevaron a este Tribunal a apreciar, en la STC 128/2016 la inconstitucionalidad y nulidad de las disposiciones adicionales vigésima segunda, vigésima cuarta y vigésima sexta de la mencionada Ley 3/2015.
En este caso, dicho carácter, como explícitamente reconoce el Abogado del Estado, no se deduce indubitadamente del tenor de la norma impugnada. Tampoco la alegación se formula de modo concluyente, sino en términos marcadamente hipotéticos, ya que la propia demanda admite que algunas previsiones de la Ley 15/2017 «podrían entenderse indistintamente aplicables dentro del orden de distribución de competencias diseñado por la Constitución de 1978 o al margen de él». Resulta también de aplicación la consolidada doctrina acerca de que la eventualidad de un uso desviado de la norma no puede servir de fundamento para su anulación. Como señaló la STC 238/2012, de 13 de diciembre, FJ 7, «la mera posibilidad de un uso torticero de las normas no puede ser nunca en sí misma motivo bastante para declarar la inconstitucionalidad de éstas, pues aunque el Estado de Derecho tiende a la sustitución del gobierno de los hombres por el gobierno de las leyes, no hay ningún legislador, por sabio que sea, capaz de producir leyes de las que un gobernante no pueda hacer mal uso (STC 58/1982, de 27 de julio, FJ 2; en el mismo sentido, SSTC 132/1989, de 18 de julio, FJ 14; 204/1994, de 11 de julio, FJ 6; 235/2000, de 5 de octubre, FJ 5, y 134/2006, de 27 de abril, FJ 4)».
4. Se debe analizar ahora la vulneración de las competencias estatales que la demanda denuncia.
La Unión Internacional de Telecomunicaciones define la ciberseguridad como el «conjunto de herramientas, políticas, conceptos de seguridad, salvaguardas de seguridad, directrices, métodos de gestión de riesgos, acciones, formación, prácticas idóneas, seguros y tecnologías que pueden utilizarse para proteger los activos de la organización y los usuarios en el ciberentorno» (Recomendación de la Unión Internacional de Telecomunicaciones UIT-T X.1205). Por su parte, en la Directiva (UE) 2016/1148, de 6 de julio, del Parlamento Europeo y del Consejo, se define la «seguridad de las redes y sistemas de información» como «la capacidad de las redes y sistemas de información de resistir, con un nivel determinado de fiabilidad, toda acción que comprometa la disponibilidad, autenticidad, integridad o confidencialidad de los datos almacenados, transmitidos o tratados, o los servicios correspondientes ofrecidos por tales redes y sistemas de información accesibles a través de ellos» (art. 4.2). Con esta finalidad, y según la propia Directiva, los Estados pueden adoptar medidas de «prevención, detección, respuesta y mitigación de los incidentes y riesgos que afecten a las redes y sistemas de información» (considerando 34).
De acuerdo con ello, la Generalitat debe adoptar medidas en materia de ciberseguridad en tanto en cuanto se aplican a las relaciones que tiene con sus administrados y con otras administraciones, así como respecto de las infraestructuras tecnológicas, que pertenezcan a la estructura de la Administración de la Generalitat y a su sector público. Cabe mencionar, como ejemplo de lo anteriormente expuesto, la aprobación, mediante acuerdo del Gobierno GOV/50/2009, de 17 de marzo, del plan de seguridad de la información de Cataluña. Posteriormente, por acuerdo del Gobierno de 22 de diciembre de 2009, se autorizó la constitución de la Fundación Centro de Seguridad de la Información de Cataluña (CESICAT), a la que se encomendó la consecución de los objetivos perseguidos por el referido plan; por acuerdo del Gobierno GOB/103/2012, de 16 de octubre, se encargó al CESICAT la planificación, gestión y control de la seguridad de las TIC (tecnologías de la información y de la comunicación) de la Administración de la Generalitat de Cataluña y de su sector público. La Agencia de Ciberseguridad de Cataluña, creada al amparo de dicha competencia, pretende sustituir a este organismo autonómico, que deberá iniciar el procedimiento de disolución en el momento de constitución de aquella y cederle sus bienes, derechos y obligaciones (disposición final tercera de la Ley 15/2017). A la Agencia se le encomiendan funciones mucho más amplias, como son las de «prestar el servicio público de ciberseguridad», según se reconoce en la exposición de motivos, desarrollando y liderando tal servicio, coordinando la ciberseguridad en el ámbito de Cataluña y garantizando la ciberseguridad de la Administración de la Generalitat.
En el ATC 29/2018, de 20 de marzo, FJ 5, ya se constató la conexión existente entre ciberseguridad y seguridad nacional «incluida como dice expresamente la Ley 36/2015, en los títulos competenciales de las materias 4 y 29 del artículo 149.1 CE» (STC 184/2016, FJ 3), pues la Ley 36/2015, de 28 de septiembre, de seguridad nacional, identifica en su artículo 10 la ciberseguridad como uno de los «ámbitos de especial interés de la seguridad nacional... que requieren una atención específica, por resultar básicos para preservar los derechos y libertades, así como el bienestar de los ciudadanos, y para garantizar el suministro de los servicios y recursos esenciales». También la Ley 8/2011, de 28 abril, de medidas para la protección de las infraestructuras críticas, dictada al amparo de la competencia atribuida al Estado en virtud del artículo 149.1.29 CE, hace referencia a la ciberseguridad. El artículo 2 de esta Ley define las infraestructuras estratégicas como «las instalaciones, redes, sistemas y equipos físicos y de tecnología de la información sobre las que descansa el funcionamiento de los servicios esenciales». Tales servicios esenciales son los necesarios para el mantenimiento de las funciones sociales básicas, la salud, la seguridad, el bienestar social y económico de los ciudadanos, o el eficaz funcionamiento de las instituciones del Estado y las Administraciones públicas. La Ley 8/2011 también define las infraestructuras críticas como aquellas de las infraestructuras estratégicas «cuyo funcionamiento es indispensable y no permite soluciones alternativas, por lo que su perturbación o destrucción tendría un grave impacto sobre los servicios esenciales». Y en su anexo se incluyen las tecnologías de la información y las comunicaciones como sector estratégico. Las instalaciones, redes, sistemas y equipos de tecnología de la información tienen la consideración, en los casos previstos en dicha norma, bien de instalaciones estratégicas o, incluso, de instalaciones críticas.
A mayor abundamiento, el mantenimiento de la ciberseguridad es una de las funciones propias del Centro Nacional de Inteligencia, según establece el artículo 4 b) de la Ley 11/2002, de 6 de mayo, reguladora del Centro Nacional de Inteligencia. Además, la ciberseguridad es uno de sus objetivos, conforme a la estrategia de seguridad nacional 2017, aprobada por Real Decreto 1008/2017, de 1 de diciembre, a fin de «garantizar un uso seguro de las redes y los sistemas de información y comunicación a través del fortalecimiento de las capacidades de prevención, detección y respuesta a los ciberataques, potenciando y adoptando medidas específicas para contribuir a un ciberespacio seguro y fiable». Este objetivo se desarrolla a través de líneas estratégicas de acción igualmente definidas en la norma, tendentes a mejorar los desarrollos normativos, organizativos y técnicos y los mecanismos de prevención y respuesta frente a posibles agresiones que redunden en un entorno digital seguro y fiable, tanto en el ámbito del sector público como en el empresarial o el de los ciudadanos.
En suma, puede afirmarse que la evolución de las tecnologías de la información y de la comunicación ha hecho que las redes y sistemas de información desempeñen actualmente un papel crucial en nuestra sociedad, siendo su fiabilidad y seguridad aspectos esenciales para el desarrollo de las actividades económicas y sociales. Prueba de ello es que los operadores de redes y servicios de comunicaciones electrónicas disponibles al público están obligados a gestionar «adecuadamente los riesgos de seguridad que puedan afectar a sus redes y servicios a fin de garantizar un adecuado nivel de seguridad y evitar o reducir al mínimo el impacto de los incidentes de seguridad en los usuarios y en las redes interconectadas» (art. 44.1 de la Ley 9/2014, de 9 de mayo, general de telecomunicaciones). Atendiendo a lo que se ha expuesto, puede concluirse que la ciberseguridad se incluye en materias de competencia estatal en cuanto, al referirse a las necesarias acciones de prevención, detección y respuesta frente a las ciberamenazas, afecta a cuestiones relacionadas con la seguridad pública y la defensa, las infraestructuras, redes y sistemas y el régimen general de telecomunicaciones.
5. Como ha indicado el Parlamento de Cataluña en sus alegaciones, la ciberseguridad no es un concepto o materia reconducible a un único título competencial. Puede, como allí se recalca, identificarse con la seguridad nacional o con la seguridad pública cuando se trata de la protección ordinaria de las redes y las infraestructuras de telecomunicaciones. Pero también puede proyectarse sobre otros planos, como es el caso de la administración electrónica, que abarca la organización de medios y previsión de medidas de protección de la administración y, por extensión, la protección de los derechos de los ciudadanos cuando se relacionan con la administración por medios electrónicos.
Tal y como ha quedado expuesto, la Ley catalana tiene por objeto la creación de una Agencia de Ciberseguridad como entidad de derecho público de la Administración de la Generalitat (art. 1) a la que corresponde «garantizar la ciberseguridad en el territorio de Cataluña, entendida como la seguridad de las redes de comunicaciones electrónicas y de los sistemas de información» (art. 2.1).
6. Se deben mencionar ahora, en primer lugar, los preceptos del bloque de la constitucionalidad que delimitan la distribución de competencias en la materia de «seguridad pública» y, en segundo lugar, a los términos en los que la doctrina constitucional se ha referido a dicha materia, en particular en lo relativo a las competencias estatales y autonómicas sobre la misma. Aludiremos también a la doctrina constitucional sobre la materia telecomunicaciones y régimen general de comunicaciones, así como acerca de los restantes títulos invocados por los Letrados autonómicos, la potestad relativa a la organización de su propia administración pública de la Comunidad Autónoma y las competencias autonómicas en materia de comercio electrónico.
a) Procede recordar que la materia «seguridad pública» hace referencia a la «protección que se lleva a cabo, preferentemente, mediante la actividad policial propiamente dicha y las funciones no policiales inherentes o complementarias a aquellas» (SSTC 104/1989, de 8 de junio, FJ 6, y 175/1999, de 30 de septiembre, FJ 5). Pero también «puede ir más allá de la regulación de las intervenciones de la ‘policía de seguridad’, es decir, de las funciones propias de las fuerzas y cuerpos de seguridad» (STC 86/2014, de 29 de mayo, FJ 4), de tal suerte que «la actividad policial es una parte de la materia más amplia de la seguridad pública» (SSTC 175/1999, FJ 7). La seguridad pública es, en principio, competencia exclusiva del Estado ex artículo 149.1.29 CE, precepto constitucional que pone de manifiesto que ya en él se establecen salvedades («sin perjuicio de») que, en cierto sentido, vienen a modular la exclusividad de la competencia estatal, proclamada en el párrafo inicial del artículo 149 CE. De esas salvedades pueden derivarse, en su caso, límites, en razón del contenido de los Estatutos de las diferentes Comunidades Autónomas y de la Ley Orgánica a la que la norma constitucional confía la regulación del marco al que ha de ajustarse la creación de policías por las Comunidades Autónomas. Así se ha declarado que «la competencia exclusiva del Estado en materia de seguridad pública no admite más excepción que la que derive de la creación de las policías autónomas» (STC 104/1989, de 8 de junio, FJ 3). Es pues doctrina consolidada de este Tribunal que la seguridad pública es una competencia exclusiva del Estado ex artículo 149.1.29 CE y solamente se encuentra limitada por las competencias que las Comunidades Autónomas hayan asumido respecto a la creación de su propia policía (por todas, STC 148/2000, de 1 de junio, FJ 5).
Por tanto, en esta materia las Comunidades Autónomas no pueden asumir estatutariamente más competencias que las previstas, para la creación de cuerpos propios de policía, en el artículo 149.1.29 CE. Competencias que la Generalitat ostenta con los contenidos funcionales definidos en el artículo 164 EAC y –para determinados efectos– «de acuerdo con lo dispuesto en la legislación estatal» o «en el marco de la legislación estatal» (funciones contempladas, respectivamente, en los números 1 y 3 de dicho artículo).
De este modo, en los términos de nuestra doctrina, no basta únicamente la conexión de una determinada función con la materia seguridad pública, para encuadrarla competencialmente en la esfera de responsabilidad del Estado, sino que, además del dato positivo de esa posible conexión, que se daría en todos los casos de funciones policiales, es necesario el negativo de la inexistencia de vinculación específica con la competencia derivada de la «creación» de la policía autonómica, cuyo ámbito competencial no comporta sólo una referencia orgánica, sino también funcional. Esta competencia autonómica se refiere a la función policial prestada por dicha policía autónoma, esto es, a la capacidad de los poderes autonómicos de organizar aquella y ejercer las funciones o servicios policiales no estatales, así como las potestades administrativas que puedan ser consideradas como complementarias o inherentes a las tareas de prevención e investigación de hechos delictivos y persecución de los culpables, del mantenimiento del orden ciudadano y otras análogas que se atribuyen a los cuerpos y fuerzas de seguridad (por todas, STC 104/1989, FJ 4).
b) En segundo lugar, incide en esta materia la competencia exclusiva estatal en materia de telecomunicaciones y de régimen general de comunicaciones del artículo 149.1.21 CE. La primera de ellas se conecta con los aspectos técnicos de la emisión relativos al uso de las ondas radioeléctricas o electromagnéticas (dominio público radioeléctrico), lo que justifica proceder a una «ordenación conjunta de todas las variantes de telecomunicación y radiocomunicación» [STC 78/2017, de 22 de junio, FJ 4 a), citando la STC 168/1993, de 27 de mayo, FJ 4]. Por su parte la competencia exclusiva estatal respecto del «régimen general de comunicaciones» «comprende, desde luego, la totalidad de las competencias normativas sobre la misma (SSTC 84/1982, FJ 4, y 38/1983, FJ 3); pero implica también un plus», ya que «puede comportar la atribución de las competencias de ejecución necesarias para configurar un sistema materialmente unitario» (STC 195/1996, de 28 de noviembre, FJ 6).
Como recuerda la STC 8/2016, de 21 de enero, FJ 3: «Desde una última perspectiva, más global, se integra también en la materia de telecomunicaciones y de régimen general de comunicaciones (y corresponde por tanto al Estado la competencia exclusiva conforme al 149.1.21 CE) la conformación, regulación o configuración del propio sector de telecomunicaciones (comunicaciones electrónicas) atendiendo a la convergencia tecnológica (y de servicios) y al marco regulador de las comunicaciones electrónicas de la Unión Europea para asegurar una regulación homogénea en todo el territorio español. Esta homogeneidad resulta necesaria, no solo para el desarrollo e innovación del sector, sino también para la garantía de los derechos de los ciudadanos en el marco de la sociedad de la información (o sociedad del conocimiento), si se tiene en cuenta que el desarrollo de las comunicaciones y de las nuevas tecnologías de la información constituye un factor esencial para lograr la cohesión social, económica y territorial necesarias para evitar, o al menos disminuir, la llamada fractura digital».
A este respecto, el artículo 3 b) del Real Decreto-ley 12/2018, dictado al amparo de las competencias exclusivas del Estado en materia de telecomunicaciones y régimen general de comunicaciones (art. 149.1.21 CE) y seguridad pública (art. 149.1.29 CE), define la seguridad de las redes y sistemas de información como: «la capacidad de las redes y sistemas de información de resistir, con un nivel determinado de fiabilidad, toda acción que comprometa la disponibilidad, autenticidad, integridad o confidencialidad de los datos almacenados, transmitidos o tratados, o los servicios correspondientes ofrecidos por tales redes y sistemas de información o accesibles a través de ellos».
El apartado 7 del artículo 140 EAC atribuye a la Generalitat «de acuerdo con la normativa del Estado, la competencia ejecutiva en materia de comunicaciones electrónicas», citando a continuación las potestades que incluye, potestades que la doctrina constitucional ha relacionado preferentemente con la materia relativa a los medios de comunicación social. Dicha competencia no puede menoscabar ni perturbar la competencia estatal en materia de régimen general de comunicaciones que tiene por objeto ordenar normativamente y asegurar la efectividad de las comunicaciones, ni tampoco la dimensión técnica vinculada al uso del dominio público radioeléctrico que está en manos del Estado, que es su titular (art. 149.1.21 CE; STC 31/2010, de 28 de junio, FJ 85).
c) El otro título competencial que invoca la ley catalana, relativo al comercio [art. 121.1.a) EAC], no presta cobertura a esta regulación, cuyo objeto directamente no es el comercio electrónico. Y aunque indirectamente lo fuera, no trata de la actividad comercial a la que se refiere este título competencial, sino de las condiciones de seguridad en las que debe desenvolverse cuando la actividad comercial se desarrolla por vía electrónica, lo cual reconduce al soporte –las redes y servicios de comunicación electrónica– que prevalentemente se encuadran en el ámbito del artículo 149.1.21 CE.
d) Finalmente, puesto que las representaciones de las instituciones autonómicas han entendido que los preceptos impugnados responden a la capacidad de la Generalitat de Cataluña para organizar su propia Administración, procede recordar, siquiera brevemente, nuestra doctrina al respecto.
La «potestad de autoorganización» de la Comunidad Autónoma (STC 204/1992, de 26 de noviembre, FJ 5) supone la potestad para crear, modificar y suprimir los órganos, unidades administrativas o entidades que configuran la respectiva Administración autonómica o dependen de ella (STC 55/1999, de 6 de abril, FJ 3, y las que allí se citan) que nuestra doctrina ha identificado con la competencia autonómica en materia de régimen de organización de su autogobierno, esto es, de decidir cómo organizar el desempeño de sus propias competencias. Resulta de lo anterior que la Comunidad Autónoma puede «conformar libremente la estructura orgánica de su aparato administrativo» (STC 165/1986, de 18 de diciembre, FJ 6), creando los departamentos o unidades que estime convenientes en orden al adecuado ejercicio de las competencias que le han sido atribuidas, siempre y cuando con ello no interfiera en las que son propias del Estado. Así pues, tan indiscutible es esta competencia autonómica para la propia organización, como el que la misma solo podrá ejercerse sobre ámbitos que, materialmente, correspondan a la propia Comunidad Autónoma, «pues no son concebibles, en Derecho, órganos, servicios o agencias autonómicos cuyas funciones no sean reconducibles a unas u otras competencias estatutarias» (STC 52/2017, FJ 5).
La Generalitat ostenta competencias para la organización de su propia Administración (arts. 71.6 y 150 EAC), así como que el diseño, creación y mantenimiento de «servicios de administración electrónica» es un aspecto central de la «potestad de autoorganización» inherente a la autonomía (STC 111/2016, de 9 de junio, FJ 11). Sin embargo, la cuestión planteada no es ésta, sino la de las funciones que la Ley 15/2017 reconoce o atribuye a la Agencia que crea. La queja que ha planteado el Abogado del Estado se centra en que el objeto y funciones en que se inserta la actividad de la Agencia no se ciñe al ámbito de la protección de la seguridad de las redes de comunicación electrónicas de la Administración de la Generalitat, sino que, por el contrario, el abanico de actuaciones que desarrolla la Agencia, de naturaleza muy diversa, permite deducir elementos que, según el caso, pueden incidir sobre las competencias en materia de seguridad pública (149.1.29 CE) y de telecomunicaciones y régimen general de comunicaciones (art. 149.1.21 CE).
7. Conforme a todo lo anterior puede ya abordarse el examen de los preceptos de la Ley 15/2017 impugnados por razones competenciales. Estos son el apartado 1, en relación con los apartados 2 y 3; el apartado 4, letras b), e) y f), y las letras a), b) y d) del apartado 5, todos ellos del artículo 2 de la Ley 15/2017. Dado que la argumentación no es exhaustiva, tampoco habrá de serlo nuestra respuesta (STC 42/2018, de 26 de abril, FJ 5, y a las que se remite).
a) El artículo 2.1 prescribe que «la Agencia de Ciberseguridad de Cataluña tiene por objeto garantizar la ciberseguridad en el territorio de Cataluña, entendida como la seguridad de las redes de comunicaciones electrónicas y de los sistemas de información».
b) Respecto a los apartados 2 y 3, lo único que se alega es que su tenor literal reforzaría la conclusión de inconstitucionalidad que se le imputa al apartado 1.
i) La impugnación del apartado 2 no puede ser estimada, ya que se circunscribe a las actuaciones en relación con la Administración de la Generalitat y de su sector público. Este apartado define el objetivo de la Agencia como «la ejecución de las políticas públicas en materia de ciberseguridad», añadiendo a continuación que, en particular, ese objetivo se concreta en las actuaciones que se enumeran en los cinco subapartados, relativos a asesorar al Gobierno y prestarle apoyo en la elaboración de los planes de ciberseguridad; ejecutar los planes de ciberseguridad; coordinarse con otros organismos en el desarrollo de estos planes; organizar actividades de difusión, formación y concienciación dirigidas a los diferentes colectivos de destinatarios, haciendo especial énfasis en las situaciones de vulnerabilidad y facilitando instrumentos y programas al respecto; e impulsar un clima de confianza y seguridad que contribuya al desarrollo de la economía y de la sociedad digital en Cataluña.
ii) El tenor literal del artículo 2.3 permite diferenciar dos ámbitos en este precepto.
El primero establece que, en la ejecución de los objetivos fijados en el apartado 2, la Agencia «puede ejercer sus funciones» con relación a las personas físicas y jurídicas situadas en Cataluña. Nuevamente la referencia incondicionada a las personas físicas y jurídicas evidencia una pretensión de Generalitat en la actuación de la Agencia que supera las atribuciones autonómicas en esta materia. Es, así, contraria al orden competencial por cuanto no se limita a objetivos relacionados con la necesidad de proteger las redes y sistemas de información propios y los de los particulares y de otras administraciones que se relacionan por medios electrónicos con la Administración.
El segundo prevé que, para la ejecución de esos mismos objetivos, también puede «establecer la colaboración necesaria» con los prestadores de servicios de la sociedad de la información que actúen o tengan su infraestructura en Cataluña. En este punto, como señala el Letrado del Parlamento de Cataluña, la norma no atribuye a la Agencia potestades de intervención o regulación sobre el sector privado, sino funciones de tipo prestacional o de puesta a disposición de servicios en beneficio de los administrados, sin que, por lo demás, la demanda haya argumentado mínimamente en qué se vulnerarían o menoscabarían las competencias estatales en materia de seguridad pública.
Por tanto, el inciso «con relación a las personas físicas o jurídicas situadas en Cataluña» del artículo 2.3 de la Ley 15/2017 es inconstitucional y nulo.
c) En el apartado 4 se deben examinar las letras b), e) y f).
i) La letra b) dispone que una de las funciones de la Agencia de Ciberseguridad es la siguiente: «b) Planificar, gestionar, coordinar y supervisar la ciberseguridad en Cataluña, estableciendo la capacidad preventiva y reactiva necesaria para paliar los efectos de los incidentes de ciberseguridad que afecten al territorio de Cataluña, así como las pruebas que puedan organizarse en materia de ciberseguridad y continuidad. En el ámbito de la Administración de la Generalitat y su sector público, la Agencia debe ejercer estas funciones mediante la prestación de sus servicios, coordinando las actuaciones que requieran su apoyo con el Centro de Telecomunicaciones y Tecnologías de la Información».
En consecuencia, el inciso «planificar, gestionar, coordinar y supervisar la ciberseguridad en Cataluña, estableciendo la capacidad preventiva y reactiva necesaria para paliar los efectos de los incidentes de ciberseguridad que afecten al territorio de Cataluña, así como las pruebas que puedan organizarse en materia de ciberseguridad y continuidad» de la letra b) del apartado 4 del artículo 2 de la Ley 15/2017 es inconstitucional y nulo.
El resto del precepto no infringe el orden constitucional de distribución de competencias. Por un lado, refiere dichas funciones al «ámbito de la Administración de la Generalitat y su sector público». Por otro, la mención del precepto «al territorio de Cataluña» es una aplicación de lo previsto en el artículo 115.1 EAC, que circunscribe al ámbito de Cataluña el ejercicio de las competencias asumidas estatutariamente, competencias esta vez dirigidas a proteger y mejorar la seguridad de las redes y alertar ante la existencia de ciberamenazas relacionadas con la Administración de la Generalitat y sus sistemas de información y comunicaciones.
ii) La función atribuida a la Agencia de Ciberseguridad por la letra e) tiene el siguiente tenor literal: «Actuar como apoyo, en materia de ciberseguridad, de cualquier autoridad competente para el ejercicio de sus funciones públicas y, en particular, en las tareas de lucha contra las conductas ilícitas, incluidas la intervención directa y la obtención de pruebas electrónicas. En la investigación y represión de ilícitos penales, la Agencia debe colaborar con los cuerpos policiales y las autoridades judiciales de acuerdo con lo establecido por la normativa vigente, previo requerimiento, actuando de forma coordinada, y preservando y poniendo a su disposición los elementos relevantes para la investigación y los que puedan constituir una prueba».
La norma contiene un mandato de colaboración con el resto de autoridades con competencias en materia de ciberseguridad que no es sino concreción del principio general de cooperación que informa el Estado autonómico, así como del deber de colaborar con Jueces y Tribunales y con el Ministerio Fiscal que resulta del ordenamiento jurídico vigente. Más específicamente, acerca de la investigación y represión de ilícitos penales, que, evidentemente, no corresponden a la Agencia, el precepto no le atribuye una función directa en esas materias vinculadas a la seguridad pública. Su participación en las funciones propias de los cuerpos policiales y las autoridades judiciales, en particular en lo relativo a la «intervención directa y la obtención de pruebas electrónicas», no se produce por iniciativa de la propia Agencia, sino que se condiciona a que haya sido requerida para hacerlo, así como que se actué de acuerdo con la normativa vigente. Su actuación en este ámbito es meramente auxiliar y requiere la solicitud expresa, bien de los cuerpos policiales, entre los que se encuentra la policía de la Generalitat (art. 164.5 EAC), bien de las autoridades judiciales competentes, en los términos previstos en la legislación procesal.
iii) La letra f) atribuye a la Agencia la función de «investigar y analizar tecnológicamente los ciberincidentes y ciberataques sobre infraestructuras tecnológicas, sistemas de información, servicios de tecnologías de la información y la comunicación o la propia información en los que la Agencia intervenga por razón de su competencia».
La impugnación no puede ser estimada. Por un lado, el tenor literal del precepto circunscribe las labores de investigación y análisis de la Agencia a los aspectos tecnológicos de los ciberincidentes y ciberataques, lo que permite excluir cualquier interferencia en el plano de la detección, persecución e investigación de conductas ilícitas, funciones que corresponden a las fuerzas y cuerpos de seguridad del Estado y también a la policía de la Generalitat-Mossos d’Esquadra. Se trata de funciones dirigidas a prevenir y mitigar los efectos de los ciberataques, pues corresponde a la Generalitat la autoprotección de los servicios de su administración y de su sector público, para lo que ha de ejercer las funciones de análisis, investigación y respuesta necesarios para restablecer sus propios servicios y garantizar su seguridad. Por otro lado, esta función de investigación y análisis tecnológico que se encomienda a la Agencia solo se lleva a cabo respecto de los sistemas de información, servicios de tecnologías de la información y la comunicación «en los que la Agencia intervenga por razón de su competencia», esto es, los que acaban de mencionarse.
d) Restan por enjuiciar las letras a), b) y d) del apartado 5, según las cuales son funciones de la Agencia de Ciberseguridad de Cataluña, específicamente referidas al ámbito del Gobierno y de la Administración de la Generalitat y su sector público dependiente las siguientes:
«a) Impulsar y aprobar un marco de directrices y normas técnicas de seguridad de cumplimiento obligatorio para la Administración de la Generalidad y para los organismos y entidades vinculados o dependientes, para garantizar una protección eficaz, en particular ante el cibercrimen y los ciberataques. En el marco de las directrices y normas técnicas para la protección de los sistemas de información policiales, la Agencia debe coordinarse con el departamento competente en materia de policía y seguridad pública.
b) Informar preceptivamente en los procedimientos de elaboración de disposiciones normativas tramitadas por la Administración de la Generalidad en materia de ciberseguridad y gobernanza de las tecnologías de la información y la comunicación.
d) Garantizar la ciberseguridad en la prestación de los servicios de identificación electrónica y de identidad y confianza digitales por parte de los prestadores establecidos en Cataluña o que, en otro caso, ofrezcan servicios a la Administración de la Generalidad y a los organismos y entidades vinculados o dependientes.»
Los tres apartados impugnados se refieren a funciones circunscritas al «ámbito del Gobierno y de la Administración de la Generalitat y su sector público dependiente». Así, conforme a su tenor literal, todas ellas han de entenderse vinculadas a las políticas de ciberseguridad de las redes y sistemas de información de la Generalitat que no han sido cuestionadas en el presente proceso. Se trata, por tanto, de funciones inherentes a las medidas de protección que resultan de la legislación en materia de Administración electrónica adoptadas al amparo de las competencias autonómicas de los artículos 150 y 159 EAC.
La demanda se refiere expresamente al apartado b) ya que considera contrario al orden competencial que se atribuya a la Agencia la función de informar preceptivamente las disposiciones normativas estatales sobre ciberseguridad. Sin embargo, el tenor literal del precepto desmiente dicha vulneración, ya que alude a «disposiciones normativas tramitadas por la Administración de la Generalitat», lo que se concreta en disposiciones meramente organizativas en relación a sus propias funciones en materia de ciberseguridad (al respecto, STC 31/2010, FJ 61).
1.º Estimar parcialmente el presente recurso de inconstitucionalidad y, en consecuencia, declarar que son inconstitucionales y nulos el apartado 1; el inciso «con relación a las personas físicas o jurídicas situadas en Cataluña» del apartado 3; el inciso «planificar, gestionar, coordinar y supervisar la ciberseguridad en Cataluña, estableciendo la capacidad preventiva y reactiva necesaria para paliar los efectos de los incidentes de ciberseguridad que afecten al territorio de Cataluña, así como las pruebas que puedan organizarse en materia de ciberseguridad y continuidad» de la letra b) del apartado 4, todos ellos del artículo 2 de la Ley 15/2017, de 25 de julio, de la Agencia de Ciberseguridad de Cataluña.
2.º Declarar que el artículo 2.2 de la Ley 15/2017 no es contrario a la Constitución interpretado en los términos del fundamento jurídico 7 b) apartado i) de la presente Sentencia.
La desestimación en relación con la Ley 29/2010, de 3 de agosto, se establece por estar modificada por la Ley 15/2017, de 25 de julio.
DICTADA en el Recurso 5284/2017 (Ref. BOE-A-2017-14162).
la inconstitucionalidad y nulidad de lo indicado del art. 2 y la constitucionalidad, interpretado conforme al fj 7b)i), de su apartado 2 de la Ley 15/2017, de 25 de julio (Ref. BOE-A-2017-9800).
la desestimación en relación con la Ley 29/2010, de 3 de agosto (Ref. BOE-A-2010-13843).

References: artículo 149
 artículo 2
 artículo 149
 artículo 2
 artículo 2
 artículo 2
 artículo 2
 artículo 2
 artículo 2
 artículo 2
 artículo 2
 artículo 34
 artículo 5
 Real Decreto 
 artículo 161
 artículo 30
 artículo 88
 resolución 
 artículo 2
 artículo 2
 artículo 2
 artículo 2
 artículo 161
 Real Decreto 
 artículo 5
 artículo 2
 artículo 2
 artículo 2
 artículo 1
 artículo 2
 artículo 149
 artículo 2
 artículo 2
 artículo 149
 artículo 10
 artículo 149
 artículo 2
 artículo 4
 Real Decreto 
 artículo 149
 artículo 149
 artículo 149
 artículo 149
 artículo 164
 artículo 149
 artículo 3
 artículo 140
 artículo 149
 artículo 2
 artículo 2
 artículo 2
 artículo 2
 artículo 2
 artículo 115
 artículo 2
 artículo 2