La robustheten til kommunikasjonsnettverk Det har blitt godt forankret i de politiske og forretningsmessige agendaene, og også i hverdagssamtaler. Strømbrudd, kraftig regn, vulkanutbrudd og pandemier har vist at når telekommunikasjonen svikter, stopper så godt som alt opp: offentlige tjenester, økonomisk aktivitet, beredskap og til og med den mest grunnleggende kommunikasjonen mellom mennesker.
I denne sammenhengen har Departementet for digital transformasjon og offentlig forvaltning fremmet en Utkast til kongelig resolusjon om sikkerhet og robusthet i elektroniske kommunikasjonsnettverk og -tjenesterså vel som visse digitale infrastrukturerDenne teksten, som nå er i hørings- og offentlig høringsfase, utformer et svært detaljert juridisk rammeverk for å styrke sikkerheten, garantere tjenestekontinuitet og minimere virkningen av hendelser på brukerne, basert på strenge forpliktelser for operatører og infrastrukturforvaltere.
Hvorfor nettverksrobusthet har blitt en prioritet
De siste årene har en rekke kritiske episoder som COVID-19-pandemien, utbruddet av vulkanen La Palma, DANA-stormen som rammet Valencia-regionen i 2024, eller strømbruddet i april De har satt telekommunikasjonsinfrastrukturen under enormt press. I alle av dem ble det samme tydelig: uten pålitelig kommunikasjon, slik det skjer ved avbrudd i skytjenester, blir beredskapshåndtering svært komplisert.
Disse hendelsene har gjort det klart at nettverk, elektroniske kommunikasjonstjenester og tilhørende digitale infrastrukturer De er ikke en luksus, men en essensiell ressurs for at landet skal fungere i krisesituasjonerDerfor har regjeringen besluttet å formelt klassifisere dem som viktige fasiliteter og tjenester når en nødsituasjon erklæres.
Denne vurderingen innebærer at i tilfelle en alvorlig hendelse, Alle offentlige administrasjoner og statens sikkerhetsstyrker og -korps må samarbeide i beskyttelse, vedlikehold og rask gjenoppretting av disse nettverkene. Det er ikke lenger bare en «privat» sak for operatørene, men et delt ansvar som involverer nasjonal sikkerhet, sivil beskyttelse og kontinuiteten i viktige tjenester.
Utkastet til forskrift oppstår også for å fylle et regulatorisk gap: frem til nå har det vært diverse spredte forpliktelser angående cybersikkerhet, beskyttelse av kritisk infrastruktur og beredskapshåndtering, men det fantes ingen enkelt standard. enhetlig, oppdatert og spesifikt rammeverk for sikkerhet og robusthet i kommunikasjonsnettverk og visse strategiske digitale infrastrukturer.
Omfanget av kongelig resolusjon og hvem som er berørt
Utkastet til kongelig resolusjon er rettet mot en svært spesifikk gruppe aktører, med utgangspunkt i elektroniske kommunikasjonsoperatører som tilbyr tjenester til publikum i SpaniaDette inkluderer de største teleselskapene (Telefónica, MasOrange, Vodafone, Digi osv.), men også andre mindre selskaper som oppfyller de etablerte kriteriene.
I tillegg til nettoperatører gjelder forskriften også ansvarlig for viktige digitale infrastrukturerDisse inkluderer sjøkablene som forbinder Spania med andre land, satellittsystemer, datasentre og internettutvekslingspunkter (IXP-er) som overskrider visse relevansterskler.
Mer spesifikt er det de som vil være underlagt disse forpliktelsene administrere infrastrukturer med mer enn 500 000 brukere eller med en årlig inntekt på over 50 millioner euroOgså inkludert er operatører som er utpekt som kritiske i henhold til forskrifter for kritisk infrastruktur eller de som tilbyr nødtjenester, blant andre spesifikke tilfeller som oppfyller visse krav.
Følgende er uttrykkelig unntatt fra tekstens omfang: nettverk knyttet til nasjonal sikkerhet og forsvarsom er underlagt sine egne spesifikke forskrifter. Dette unntaket unngår overlappinger med andre, mer sensitive regelverk.
Det er verdt å understreke at den kongelige resolusjonen ikke bare fokuserer på store stamnettverk eller den mest synlige infrastrukturen; målet er at alle relevante ledd i den elektroniske kommunikasjonskjeden skal vedta sikkerhetstiltak og kontinuitetsplaner i samsvar med kritiskheten til anleggene dine.
Obligatoriske sikkerhetsplaner og klassifisering av anlegg
En av de sentrale søylene i det nye regelverket er plikten for de berørte partene til å utarbeide en Generell sikkerhetsplan og i tillegg diverse spesifikke planer tilpasset egenskapene til hvert nettverk, hver tjeneste og hver type hendelse de kan møte.
Den generelle sikkerhetsplanen må minst inneholde en systematisk risikoanalyse som tar hensyn til naturlige trusler (ekstreme værfenomener, flom, branner, jordskjelv), tekniske problemer (massive feil, konfigurasjonsfeil, utstyrsforringelse) og bevisste trusler (cyberangrep, sabotasje, inntrenging i fysisk infrastruktur).
Basert på denne analysen må operatøren definere Prioriterte tiltak for forebygging, beskyttelse, deteksjon og responsDette inkluderer alt fra design av redundante arkitekturer og diversifisering av overføringsruter, inkludert protokoller for tiltak i tilfelle strømbrudd, interne og eksterne kommunikasjonsplaner og koordineringsprosedyrer med offentlige myndigheter.
I tillegg til hovedplanen kreves følgende Spesifikke planer etter nettverkstype og tjeneste (for eksempel mobilnett, fastnett, grossisttjenester, internasjonale segmenter osv.), og også etter type hendelse (strømbrudd, massiv programvarefeil, lokal naturkatastrofe, omfattende cyberangrep osv.). Disse dokumentene må tilpasses den spesifikke situasjonen og detaljere ansvar, reaksjonstider, tilgjengelige sikkerhetskopieressurser og strategier for trafikkprioritering.
Et sentralt element i ordningen er klassifisering av alle anlegg Operatørene er kategorisert på forskjellige nivåer, avhengig av hvor kritiske de er og hvilken innvirkning langvarig nedetid vil ha. Utstyr hvis utilgjengelighet kan påvirke leveringen av viktige tjenester alvorlig, vil bli plassert på høyeste nivå, mens andre steder med mindre innvirkning vil bli plassert på mellomliggende eller grunnleggende nivåer.
Krav til elektrisk autonomi og driftskontinuitet
Den mest krevende – og også den mest kontroversielle – delen av utkastet til kongelig resolusjon er den som fastsetter Minimum elektrisk autonomi som anleggene må garantere Ved langvarig forsyningsavbrudd. Her er teksten veldig tydelig og etablerer tre nivåer i henhold til det tildelte kritikalitetsnivået.
På den ene siden, infrastrukturer klassifisert som første nivå De må kunne fortsette å fungere i minst 24 timer uten strøm fra det konvensjonelle strømnettet. Dette påvirker sentrale noder, stamnettinfrastruktur og steder der et strømbrudd ville ha en enorm innvirkning på tilkoblingen.
På et andre nivå er fasiliteter på mellomnivåDisse stedene må garantere driftskontinuitet i minst 12 timer. De er viktige steder, men deres innvirkning er mer begrenset geografisk eller med tanke på hvilke tjenester som berøres.
Til slutt vil de gjenværende fasilitetene – de på basisnivå – trenge ressurser for å opprettholde et minimumsnivå av service. fire timer med elektrisk autonomiSelv om terskelen er lavere, er det fortsatt et betydelig sprang sammenlignet med dagens situasjon mange steder, spesielt i tettbygde bymiljøer.
Innenfor det spesifikke området mobilnettverk innfører dekretet en helt spesifikk forpliktelse: at fire timers autonomi må være tilstrekkelig for å opprettholde kommunikasjonsdekning for minst 85 % av befolkningenDette betyr ikke at hver enkelt antenne må nå den terskelen alene, men snarere at hele nettverket må dimensjoneres slik at de aller fleste innbyggerne i løpet av denne perioden fortsatt har tilgang til tjenesten, inkludert anrop til nødnummeret 112.
For å oppnå dette målet vil hver operatør ha spillerom til å utforme sine egne strategi for teknologiprioriteringFor eksempel kan det styrke autonomien til viktige steder, prioritere tale over data, konsentrere ressurser i tettbygde områder eller spesielt sensitiv infrastruktur (sykehus, nødkoordineringssentre, kritiske anlegg osv.). Det viktigste er at det samlede resultatet oppfyller kravene til dekning og kontinuitet.
Estimerte kostnader, bransjediskusjoner og utfordringer knyttet til utrulling
Rapporten som følger med utkastet til kongelig resolusjon anslår at totale kostnader for å implementere robusthets- og sikkerhetstiltak – først og fremst de som er knyttet til styrking av elektrisk autonomi – vil ligge på mellom 51 og 73 millioner euro for hele mobilkommunikasjonsnettverket.
Ifølge offisielle anslag, rundt én 30 % av de omtrent 10 400 nettverksstedene som trengs for å sikre dekning for 85 % av befolkningen De har allerede batterier eller generatorer som kan opprettholde driften i fire timer. Dette ville etterlate omtrent 7.280 steder som må forsterkes med nye backup-løsninger.
Med en referanse på en gjennomsnittlig investering på 7.000 euro per tomt Med en volumrabatt på omtrent 30 % konkluderer regjeringen med at den totale kostnaden vil ligge innenfor intervallet 50,96 millioner euro til 72,8 millioner euro. Administrasjonen hevder at dette tallet er proporsjonalt og rimelig, spesielt sammenlignet med de sosiale og økonomiske konsekvensene av en omfattende kommunikasjonsforstyrrelse.
Kilder innenfor selve telekommunikasjonssektoren hevder imidlertid at Den faktiske regningen kan bli mye høyere.lett opp i flere hundre millioner euro. Selskaper hevder at det offisielle anslaget undervurderer den tekniske og byplanleggingsmessige kompleksiteten ved mange utplasseringer, spesielt i store byer der de fleste antenner er installert på bygningstak.
I disse urbane sammenhengene øker installasjonen av batterier eller generatorsett med høy kapasitet plassproblemer, strukturell overbelastning og prosedyrer med huseierforeningerMange tak er ikke forberedt på å tåle den økte belastningen som dette utstyret medfører, noe som tvinger frem forsterkningsarbeid eller leting etter like eller dyrere alternative løsninger.
I tillegg eier selskapene som eier tårnene (blant annet Cellnex, Vantage Towers, Totem, American Tower) De vil ikke foreta investeringen på egenhånd dersom kontraktene med operatørene ikke garanterer lønnsomhet. for å oppveie utgiftene. Til slutt vil mye av den økonomiske innsatsen ende opp med å påvirke balansen til telekomselskapene, som allerede er presset av intens konkurranse, prispress og behovet for å fortsette å investere i kapasitet, 5G og nye funksjoner.
Fra statens perspektiv understreker regjeringen at Den direkte budsjettmessige effekten vil være så godt som null.Siden oppgavene med tilsyn, koordinering og respons vil avhenge av eksisterende strukturer og organisasjoner, erkjennes muligheten for marginale kostnader knyttet til verktøy for hendelseshåndtering, utvikling av tekniske veiledninger eller revisjonskampanjer, men uten å forplikte seg til betydelige nye utgifter med mindre et samfinansieringsprogram eller spesifikk støtte blir tilgjengelig i fremtiden.
112-sentraler, offentlige varslingssystemer og nødetater
Utover generell tilknytning, vier teksten en egen seksjon til kommunikasjon knyttet til nødetatenemed særlig vekt på sentralene som administrerer 112-nummeret og på offentlige varslingssystemer for befolkningen.
Disse nødkoordineringssentrene, samt operatørene som sørger for tilkobling til dem, vil være pålagt å utvikle sine egne sikkerhetsplaner, i samsvar med operatørens generelle sikkerhetsplan, men med et svært spesifikt fokus på kontinuitet i kommunikasjonen i kritiske situasjoner.
Målet er at selv i ekstreme scenarioer som store strømbrudd, naturkatastrofer eller samtidige hendelser i forskjellige deler av landet, nummer 112 og massevarslingssystemene til publikum forbli operative. Nyere erfaring har vist at uten denne kommunikasjonen er kapasiteten til sivilforsvaret, politiet, brannvesenet eller ambulansetjenesten alvorlig kompromittert.
Forskriften har som mål å sikre at både 112-sentrene og nettverkene som støtter dem har overtallighet, alternative ruter og tilstrekkelig energiautonomiDette har som mål å unngå enkeltstående feilpunkter og minimere nedetid. Det søker også å styrke koordineringsmekanismer mellom disse sentrene, operatørene og nasjonale og regionale myndigheter med ansvar for nødsituasjoner.
Parallelt er det inkludert bestemmelser som skal sikre at offentlige varslingssystemer – for eksempel masseutsendelser av mobilmeldinger i tilfelle en overhengende katastrofe – opprettholder sin driftssikkerhet under de samme krevende forholdene som kreves for resten av de kritiske tjenestene.
Hendelsesvarslingssystem og alvorlighetsklassifisering
En annen viktig del av den kongelige resolusjonen er den som omhandler Prosedyre for varsling av sikkerhets- og kontinuitetshendelserTanken er at myndighetene skal ha pålitelig og oppdatert informasjon på kortest mulig tid for å koordinere effektive tiltak.
Først må operatørene utstede en første varsel innen maksimalt én time Fra det øyeblikket en relevant hendelse inntreffer. Denne tidlige kommunikasjonen trenger ikke å inneholde alle tekniske detaljer, men den bør gi tilstrekkelig informasjon om det foreløpige omfanget, berørte tjenester og mulige årsaker.
Derfra må de sendes periodiske mellomliggende varsler De vil gi oppdateringer om statusen til hendelsen, fremdriften i gjenopprettingsarbeidet og eventuelle vesentlige endringer i virkningen på brukerne. Hyppigheten av denne kommunikasjonen vil bli justert i henhold til omfanget og utviklingen av hendelsen.
Når hendelsen er løst, en endelig melding som formelt avslutter informasjonssyklusen, og på et senere tidspunkt må det utarbeides en Detaljert rapport som grundig analyserer de underliggende årsakene, design- eller driftsfeil som kan ha bidratt, den reelle effekten når det gjelder brukere og tjenester, og de korrigerende tiltakene som vil bli iverksatt for å forhindre en gjentakelse.
Dekretet innfører også et system med klassifisering av hendelser som «betydelige» eller «mindre» Basert på objektive kriterier: antall berørte brukere, varigheten av avbruddet, berørt geografisk område og type kompromittert tjeneste. Denne klassifiseringen vil bidra til å prioritere ressurser, aktivere spesifikke protokoller og legge til rette for koordinering med andre nasjonale og europeiske organer.
Tilsyn, institusjonell koordinering og en ny sikkerhetskomité
La Statssekretariatet for telekommunikasjon og digital infrastruktur Den er opprettet som myndigheten som er ansvarlig for å føre tilsyn med at alle forpliktelser som er fastsatt i kongelig resolusjon overholdes. Dens funksjoner inkluderer å motta og analysere hendelsesrapporter, gjennomgå sikkerhetsplaner og gjennomføre kontroller eller revisjoner.
Dette organet vil også være ansvarlig for koordinere tiltak med andre administrasjoner, både på statlig og regionalt nivå, og for å koordinere samarbeid med europeiske og internasjonale enheter som jobber med nettverkssikkerhet, cyberrobusthet eller beskyttelse av kritisk infrastruktur.
Teksten forutsetter opprettelsen av en Koordinasjonstabell for sikkerhet og robusthet i elektroniske kommunikasjonsnettverk og -tjenesterDette forumet har som mål å fungere som et permanent rom for utveksling av informasjon, teknisk debatt og overvåking av implementeringen av de planlagte tiltakene.
Representanter fra operatører, infrastrukturforvaltere, reguleringsmyndigheter, sikkerhetsstyrker og andre viktige interessenter vil kunne delta i denne rundebordsdiskusjonen, med mål om å fremme simuleringsøvelser, dele beste praksis og analysere relevante hendelser som vil tillate oss å trekke lærdommer for fremtiden.
Eksistensen av dette kollegiale organet har også vært en en tilbakevendende etterspørsel fra selve telekommunikasjonssektoren, som krevde en stabil og strukturert kommunikasjonskanal med administrasjonen for å håndtere alt knyttet til sikkerhet og tjenestekontinuitet.
Høringsprosess og offentlig høring for utkastet til forskrift
Før utkastet til kongelig resolusjon får sin endelige godkjenning, sendes det til en dobbel prosess for offentlig deltakelse, i samsvar med bestemmelsene i den generelle lovgivningen om forvaltningsprosess og utforming av forskrifter.
Først en forutgående offentlig høring, hvis mål var å samle inn innledende meninger fra operatører, borgere og alle interesserte parter om behovet for og muligheten til å utvikle spesifikke forskrifter om sikkerheten og robustheten til elektroniske kommunikasjonsnettverk og visse digitale infrastrukturer.
I denne høringen kan enkeltpersoner og enheter sende sine bidrag til følgende e-postadresse: [e-postbeskyttet]forutsatt at de ble korrekt identifisert og fokuserte kommentarene sine på begrunnelsen, omfanget og det generelle innholdet i den fremtidige standarden. Det ble også bemerket at bidrag ville bli publisert, med unntak av de delene som uttrykkelig er merket som konfidensielle.
Etter å ha kommet over den innledende fasen, er utkastet til teksten publisert for offentlig høring i en periode som strekker seg frem til 8. januar 2026. I denne fasen inviteres operatører, foreninger, selskaper og innbyggere igjen til å formulere mer konkrete observasjoner om de foreslåtte artiklene, deres spesifikke forpliktelser og deres praktiske gjennomførbarhet.
Påstander på dette stadiet må sendes til følgende e-postadresse [e-postbeskyttet]Avsenderens identitet er tydelig angitt, og vurderingen er begrenset til nødvendigheten, relevansen eller innholdet i teksten som sendes inn til høring. Målet er å sikre at det endelige resultatet er en teknisk forsvarlig standard, skreddersydd for sektorens realiteter og i samsvar med europeiske standarder for cybersikkerhet og robusthet for kritisk infrastruktur.
Hele dette regulatoriske og prosedyremessige rammeverket har som mål å sikre at i møte med fremtidige kriser – enten de oppstår fra eller strømbrudd, ekstreme værhendelser, tekniske feil eller storskala cyberangrep– landet vil ha mye mer robuste kommunikasjonsnettverk og -tjenester, med operatører som er forpliktet til å planlegge og investere i robusthet, og med administrasjoner som er bedre tilkoblet, koordinert og forberedt på å beskytte infrastrukturer som uten overdrivelse har blitt nervesystemet i det digitale samfunnet.
