El pleno del Tribunal Constitucional ha declarado nulos por inconstitucionales varios apartados de la ley de la Agencia de Ciberseguridad de Catalunya, al entender que invaden competencias del Estado. En concreto se trata del apartado 1 de su artículo 2 y de varios incisos en los que se atribuye la capacidad de "planificar, gestionar, coordinar y supervisar la ciberseguridad en Catalunya, estableciendo la capacidad preventiva y reactiva necesaria para paliar los efectos de los incidentes de ciberseguridad que afecten al territorio de Cataluña, así como las pruebas que puedan organizarse en materia de ciberseguridad”.
El alto tribunal entiende que la redacción de estos apartados excede de las competencias del legislador autonómico, porque la Constitucional otorga la competencia en exclusiva del Estado en materia de seguridad pública, dentro de la que se integra la ciberseguridad.
La ley que crea la Agencia de Ciberseguridad catalana afirmaba que "tiene por objeto garantizar la ciberseguridad en el territorio de Catalunya, entendida como la seguridad de las redes de comunicaciones electrónicas y de los sistemas de información”, lo que para el alto tribunal es una definición "muy extensa", cuando "la ciberseguridad se integra en las competencias estatales en materia de seguridad pública y de telecomunicaciones”.
La sentencia declara que esa “atribución incondicionada” a la Agencia en el territorio de Catalunya desborda en su enunciación los márgenes en los que la ciberseguridad se incluye en las competencias autonómicas".
En cuanto a la referencia que la ley hace que la agencia puede ejercer sus funciones “con relación a las personas físicas o jurídicas situadas en Cataluña”, la sentencia la declara inconstitucional, por cuanto “no se limita a objetivos relacionados con la necesidad de proteger las redes y sistemas de información propios y los de los particulares y de otras administraciones que se relacionan por medios electrónicos con la Administración”.
La sentencia señala que la ley "presupone el diseño de un marco estratégico e institucional en esta materia que supera las competencias de la Generalitat en este ámbito, ya que no se refiere a la actuación de la administración y tampoco puede relacionarse con las competencias autonómicas derivadas de la creación de la policía de seguridad propia”.
En lo que el Constitucional no da la razón al recurso del Gobierno es en el segundo apartado del artículo 2 del texto, ya que no lo ve inconstitucional si se interpreta en el sentido de que “el objetivo que persigue la Agencia se relaciona con la necesidad de proteger las redes y sistemas de información de la Administración de la Generalitat y de su sector público y los de los particulares y otras administraciones públicas que se relacionan por medios electrónicos con dicha administración”.
El tribunal también avala la constitucionalidad de las funciones de la Agencia circunscritas al “ámbito del Gobierno y de la Administración de la Generalidad y su sector público dependiente”, y que entre sus funciones esté “investigar y analizar tecnológicamente los ciberincidentes y ciberataques sobre infraestructuras tecnológicas, sistemas de información, servicios de tecnologías de la información y la comunicación o la propia información en los que la Agencia intervenga por razón de su competencia”.
