Odporność sieci komunikacyjnych stała się kluczowym tematem debat politycznych i biznesowych, a także codziennych rozmów. Przerwy w dostawie prądu, ulewne deszcze, erupcje wulkanów i pandemie pokazały, że gdy zawodzi telekomunikacja, praktycznie wszystko ulega zatrzymaniu: usługi publiczne, działalność gospodarcza, reagowanie kryzysowe, a nawet najprostsza komunikacja międzyludzka.
W tym kontekście Ministerstwo Transformacji Cyfrowej i Administracji Publicznej promowało projekt Dekretu Królewskiego w sprawie bezpieczeństwa i odporności sieci i usług komunikacji elektronicznej oraz niektórych infrastruktur cyfrowych . Tekst ten, będący obecnie w fazie konsultacji społecznych i wysłuchań, ustanawia bardzo szczegółowe ramy prawne mające na celu wzmocnienie bezpieczeństwa, zagwarantowanie ciągłości usług i minimalizację wpływu incydentów na użytkowników, w oparciu o rygorystyczne obowiązki operatorów i zarządców infrastruktury.
Dlaczego odporność sieci stała się priorytetem
W ostatnich latach seria krytycznych wydarzeń, takich jak pandemia COVID-19, erupcja wulkanu La Palma, sztorm DANA, który dotknął Walencję w 2024 roku, oraz przerwa w dostawie prądu w kwietniu, wywarły ogromne obciążenie na infrastrukturę telekomunikacyjną. Wszystkie te wydarzenia uwypukliły ten sam problem: bez niezawodnej komunikacji, podobnie jak w przypadku awarii usług w chmurze , zarządzanie kryzysowe staje się znacznie trudniejsze.
Wydarzenia te jasno pokazały, że sieci, usługi komunikacji elektronicznej i powiązana z nimi infrastruktura cyfrowa nie są luksusem, lecz niezbędnym atutem dla funkcjonowania kraju w sytuacjach kryzysowych . Dlatego też rząd podjął decyzję o formalnym zaklasyfikowaniu ich jako infrastruktury i usług niezbędnych w przypadku ogłoszenia stanu wyjątkowego.
Klasyfikacja ta oznacza, że w przypadku poważnego incydentu wszystkie organy administracji publicznej i państwowe siły bezpieczeństwa muszą współpracować w zakresie ochrony, utrzymania i szybkiego przywracania tych sieci do działania. Nie jest to już tylko „prywatna” sprawa operatorów, ale wspólna odpowiedzialność obejmująca bezpieczeństwo narodowe, ochronę ludności i ciągłość działania podstawowych usług.
Projekt rozporządzenia powstał również po to, aby wypełnić lukę regulacyjną: do tej pory istniały różne, rozproszone obowiązki w obszarze cyberbezpieczeństwa, ochrony infrastruktury krytycznej czy zarządzania kryzysowego, ale brakowało ujednoliconych, aktualnych i szczegółowych ram dotyczących bezpieczeństwa i odporności sieci komunikacyjnych oraz niektórych strategicznych infrastruktur cyfrowych.
Zakres dekretu królewskiego i kogo on dotyczy
Projekt Dekretu Królewskiego skierowany jest do bardzo specyficznej grupy interesariuszy, począwszy od operatorów komunikacji elektronicznej świadczących usługi publiczne w Hiszpanii . Należą do nich duże firmy telekomunikacyjne (Telefónica, MasOrange, Vodafone, Digi itp.), ale także inne mniejsze firmy spełniające ustalone kryteria.
Oprócz operatorów sieci, rozporządzenie dotyczy również podmiotów odpowiedzialnych za kluczową infrastrukturę cyfrową . Obejmuje ono kable podmorskie łączące Hiszpanię z innymi krajami, systemy satelitarne , centra danych i punkty wymiany ruchu internetowego (IXP), które przekraczają określone progi istotności.
Obowiązki te będą dotyczyć w szczególności podmiotów zarządzających infrastrukturą obsługującą ponad 500 000 użytkowników lub o rocznych przychodach przekraczających 50 milionów euro . Dotyczy to również operatorów wyznaczonych jako podmioty krytyczne na mocy przepisów dotyczących infrastruktury krytycznej lub podmiotów świadczących usługi ratunkowe, a także innych szczególnych przypadków, które spełniają określone wymagania.
Sieci związane z bezpieczeństwem narodowym i obronnością są wyraźnie wyłączone z zakresu niniejszego tekstu , ponieważ podlegają one własnym, szczegółowym przepisom. To wyłączenie pozwala uniknąć nakładania się z innymi, bardziej wrażliwymi ramami regulacyjnymi.
Warto podkreślić, że Dekret Królewski nie koncentruje się wyłącznie na dużych sieciach szkieletowych lub najbardziej widocznych infrastrukturach; jego celem jest, aby każde istotne ogniwo w łańcuchu komunikacji elektronicznej przyjęło środki bezpieczeństwa i plany ciągłości działania dostosowane do krytyczności swoich obiektów.
Obowiązkowe plany bezpieczeństwa i klasyfikacja obiektów
Jednym z głównych filarów nowych regulacji jest obowiązek opracowania przez strony zainteresowane ogólnego planu bezpieczeństwa , a ponadto różnych szczegółowych planów dostosowanych do specyfiki każdej sieci, usługi i rodzaju incydentu, z jakim mogą się spotkać.
Ogólny plan bezpieczeństwa musi obejmować co najmniej systematyczną analizę ryzyka , uwzględniającą zagrożenia naturalne (ekstremalne zjawiska pogodowe, powodzie, pożary, trzęsienia ziemi), problemy techniczne (poważne awarie, błędy konfiguracji, degradację sprzętu) i celowe zagrożenia (cyberataki, sabotaż, włamania do infrastruktury fizycznej).
Na podstawie tej analizy operator musi określić priorytetowe środki zapobiegania, ochrony, wykrywania i reagowania . Obejmuje to wszystko, od projektowania redundantnych architektur i dywersyfikacji tras przesyłu, po ustanowienie protokołów reagowania na przerwy w dostawie prądu, plany komunikacji wewnętrznej i zewnętrznej oraz procedury koordynacji z organami publicznymi.
Oprócz planu ogólnego, wymagane są szczegółowe plany dla każdego typu sieci i usługi (np. sieci komórkowych, sieci stacjonarnych, usług hurtowych, segmentów międzynarodowych itp.), a także dla każdego rodzaju incydentu (przerwy w dostawie prądu, poważnej awarii oprogramowania, lokalnej klęski żywiołowej, rozległego cyberataku itp.). Dokumenty te muszą zostać wdrożone na miejscu i szczegółowo określać obowiązki, czasy reakcji, dostępne zasoby zapasowe oraz strategie priorytetyzacji ruchu.
Kluczowym elementem programu jest klasyfikacja wszystkich obiektów operatorów na różne poziomy, w oparciu o ich krytyczność i wpływ, jaki mogłaby mieć długotrwała awaria. Sprzęt, którego niedostępność mogłaby poważnie wpłynąć na świadczenie podstawowych usług, zostanie umieszczony na najwyższym poziomie, podczas gdy inne lokalizacje o mniejszym wpływie zostaną umieszczone na poziomie pośrednim lub podstawowym.
Wymagania dotyczące autonomii elektrycznej i ciągłości działania
Najbardziej wymagającą – a zarazem najbardziej kontrowersyjną – częścią projektu Dekretu Królewskiego jest ta, która określa minimalną autonomię elektryczną, jaką obiekty muszą zagwarantować w przypadku długotrwałej przerwy w dostawie prądu. W tym przypadku tekst jest bardzo jasny i ustanawia trzy poziomy w zależności od przypisanego poziomu krytyczności.
Z jednej strony infrastruktura sklasyfikowana jako pierwsza musi być zdolna do kontynuowania działania przez co najmniej 24 godziny bez zasilania z konwencjonalnej sieci elektroenergetycznej. Dotyczy to węzłów centralnych, elementów szkieletowych i lokalizacji, w których odłączenie miałoby ogromny wpływ na łączność.
Drugi poziom obejmuje obiekty średniego szczebla , które muszą gwarantować zdolność operacyjną przez co najmniej 12 godzin. Są to ważne obiekty, ale ich wpływ jest bardziej ograniczony geograficznie lub pod względem objętych usług.
Wreszcie, pozostałe obiekty – te na poziomie podstawowym – będą musiały dysponować zasobami umożliwiającymi utrzymanie zasilania przez co najmniej cztery godziny autonomii elektrycznej . Chociaż próg jest niższy, nadal stanowi on znaczący krok naprzód w porównaniu z obecną sytuacją w wielu lokalizacjach, zwłaszcza w gęsto zaludnionych obszarach miejskich.
W obszarze sieci komórkowych dekret wprowadza bardzo konkretny obowiązek: ta czterogodzinna autonomia musi być wystarczająca, aby zapewnić zasięg łączności dla co najmniej 85% populacji . Nie oznacza to, że każda antena musi samodzielnie osiągnąć ten próg, ale że sieć jako całość musi być tak dobrana, aby w tym okresie zdecydowana większość obywateli nadal miała dostęp do usługi, w tym do połączeń z numerem alarmowym 112.
Aby osiągnąć ten cel, każdy operator będzie mógł elastycznie projektować własną strategię priorytetyzacji technologii . Może na przykład wzmocnić autonomię kluczowych lokalizacji, nadać priorytet transmisji głosu nad danymi, skoncentrować zasoby w obszarach gęsto zaludnionych lub na szczególnie wrażliwej infrastrukturze (szpitale, centra koordynacji kryzysowej, obiekty krytyczne itp.). Ważne jest, aby ogólny wynik spełniał wymagania dotyczące zasięgu i ciągłości działania.
Szacowane koszty, dyskusje branżowe i wyzwania związane z wdrożeniem
W sprawozdaniu dołączonym do projektu dekretu królewskiego oszacowano, że całkowity koszt wdrożenia środków zwiększających odporność i bezpieczeństwo – przede wszystkim tych związanych ze wzmocnieniem autonomii elektrycznej – wyniesie od 51 do 73 milionów euro dla wszystkich sieci łączności mobilnej.
Według oficjalnych szacunków, około 30% z około 10 400 lokalizacji sieciowych niezbędnych do zapewnienia zasięgu 85% populacji posiada już akumulatory lub generatory zdolne do podtrzymania zasilania przez cztery godziny. Oznacza to, że około 7.280 lokalizacji wymagałoby wzmocnienia za pomocą nowych rozwiązań rezerwowych.
Przyjmując jako punkt odniesienia średnią inwestycję w wysokości 7.000 euro na lokalizację – wliczając w to rabat ilościowy wynoszący około 30% – rząd stwierdza, że całkowity koszt wyniesie od 50,96 do 72,8 mln euro. Administracja podkreśla, że kwota ta jest proporcjonalna i rozsądna, zwłaszcza w porównaniu ze społecznymi i ekonomicznymi skutkami powszechnego spadku liczby połączeń.
Źródła w sektorze telekomunikacyjnym utrzymują jednak, że rzeczywisty koszt może być znacznie wyższy , sięgając nawet kilkuset milionów euro. Firmy argumentują, że oficjalne szacunki nie uwzględniają złożoności technicznej i urbanistycznej wielu wdrożeń, zwłaszcza w dużych miastach, gdzie większość anten jest instalowana na dachach budynków.
W tych miejskich kontekstach instalacja akumulatorów lub generatorów o dużej pojemności wiąże się z problemami związanymi z przestrzenią, przeciążeniem konstrukcyjnym i biurokracją ze wspólnotami mieszkaniowymi . Wiele dachów nie jest zaprojektowanych tak, aby wytrzymać zwiększone obciążenie, jakie niosą ze sobą te systemy, co wymusza konieczność wzmocnienia konstrukcji lub poszukiwania równie kosztownych, a nawet droższych rozwiązań alternatywnych.
Co więcej, firmy obsługujące wieże (m.in. Cellnex, Vantage Towers, Totem i American Tower) nie będą same ponosić kosztów inwestycji, jeśli umowy z operatorami nie zagwarantują zwrotu , który zrekompensuje poniesione koszty. Ostatecznie znaczna część tego obciążenia finansowego wpłynie na bilanse firm telekomunikacyjnych, już obciążone silną konkurencją, presją cenową i koniecznością dalszych inwestycji w przepustowość, 5G i nowe funkcje.
Z perspektywy państwa, rząd podkreśla, że bezpośredni wpływ na budżet będzie praktycznie zerowy , ponieważ zadania związane z nadzorem, koordynacją i reagowaniem będą realizowane w oparciu o istniejące struktury i agencje. Dopuszcza jednak możliwość wystąpienia kosztów marginalnych związanych z narzędziami do zarządzania incydentami, opracowywaniem wytycznych technicznych lub kampaniami audytowymi, jednak bez zobowiązania się do ponoszenia znacznych nowych wydatków, chyba że w przyszłości pojawi się program współfinansowania lub konkretna pomoc.
Centra 112, systemy powiadamiania publicznego i służby ratunkowe
Oprócz zagadnień ogólnej łączności, w tekście poświęcono specjalną sekcję komunikacji związanej ze służbami ratunkowymi , ze szczególnym naciskiem na centra zarządzające numerem 112 i systemy powiadamiania publicznego dla ludności.
Te centra koordynacji reagowania kryzysowego, a także operatorzy zapewniający im łączność, będą musieli opracować własne plany bezpieczeństwa , dostosowane do ogólnego planu bezpieczeństwa operatora, ale ze szczególnym uwzględnieniem ciągłości komunikacji w sytuacjach krytycznych.
Celem jest zapewnienie, że nawet w ekstremalnych sytuacjach, takich jak poważne przerwy w dostawie prądu, klęski żywiołowe czy jednoczesne incydenty w całym kraju, numer alarmowy 112 i systemy masowego powiadamiania pozostaną sprawne. Ostatnie doświadczenia pokazują, że bez tej łączności możliwości służb obrony cywilnej, policji, straży pożarnej i pogotowia ratunkowego są poważnie ograniczone.
Rozporządzenie ma na celu zapewnienie redundancji, alternatywnych tras i wystarczającej autonomii energetycznej zarówno centrom powiadamiania ratunkowego 112, jak i sieciom je obsługującym , co pozwoli uniknąć pojedynczych punktów awarii i zminimalizować przestoje. Ma ono również na celu wzmocnienie mechanizmów koordynacji między tymi centrami, operatorami oraz władzami krajowymi i regionalnymi odpowiedzialnymi za zarządzanie kryzysowe.
Jednocześnie wprowadzono przepisy mające na celu zagwarantowanie, że systemy ostrzegania publicznego – na przykład masowe wysyłanie wiadomości na telefony komórkowe w razie zbliżającej się katastrofy – zachowają zdolność operacyjną w tak samo wymagających warunkach, jakie obowiązują w przypadku pozostałych kluczowych usług.
System powiadamiania o incydentach i klasyfikacja ich ważności
Kolejny ważny fragment Dekretu Królewskiego dotyczy procedury zgłaszania incydentów bezpieczeństwa i ciągłości działania . Celem jest zapewnienie władzom jak najszybszego dostępu do rzetelnych i aktualnych informacji, aby mogły koordynować skuteczne reakcje.
Po pierwsze, operatorzy są zobowiązani do wysłania wstępnego powiadomienia w ciągu godziny od wystąpienia istotnego incydentu. To wczesne powiadomienie nie musi zawierać wszystkich szczegółów technicznych, ale musi zawierać wystarczające informacje o wstępnym zakresie, usługach, których dotyczy problem, oraz możliwych przyczynach.
Od tego momentu konieczne będzie okresowe wysyłanie powiadomień tymczasowych w celu aktualizacji statusu incydentu, postępów w pracach naprawczych oraz wszelkich istotnych zmian w zakresie wpływu na użytkowników. Częstotliwość tych powiadomień będzie dostosowana do skali i rozwoju zdarzenia.
Po rozwiązaniu incydentu zostanie wysłane ostateczne powiadomienie , aby formalnie zamknąć cykl informacyjny, a w późniejszym terminie konieczne będzie przygotowanie szczegółowego raportu , który będzie szczegółowo analizował główne przyczyny, błędy projektowe lub operacyjne, które mogły się przyczynić do incydentu, rzeczywisty wpływ na użytkowników i usługi oraz środki naprawcze, które zostaną wprowadzone w celu zapobiegania ponownemu wystąpieniu problemu.
Dekret wprowadza również system klasyfikacji incydentów jako „znaczące” lub „drobne” w oparciu o obiektywne kryteria: liczbę użytkowników, których dotyczy awaria, czas trwania zakłócenia, obszar geograficzny, którego dotyczy awaria, oraz rodzaj zagrożonej usługi. Klasyfikacja ta pomoże w ustaleniu priorytetów zasobów, uruchomieniu określonych protokołów i ułatwi koordynację z innymi organami krajowymi i europejskimi.
Nadzór, koordynacja instytucjonalna i nowy Komitet Bezpieczeństwa
Sekretariat Stanu ds. Telekomunikacji i Infrastruktury Cyfrowej jest organem odpowiedzialnym za nadzór nad przestrzeganiem wszystkich obowiązków określonych w Dekrecie Królewskim. Do jego zadań należy przyjmowanie i analizowanie zgłoszeń incydentów, przegląd planów bezpieczeństwa oraz przeprowadzanie kontroli lub audytów.
Ten organ będzie również odpowiedzialny za koordynację działań z innymi administracjami , zarówno na szczeblu krajowym, jak i regionalnym, a także za nawiązywanie współpracy z europejskimi i międzynarodowymi podmiotami zajmującymi się bezpieczeństwem sieci, cyberodpornością lub ochroną infrastruktury krytycznej.
Tekst przewiduje utworzenie Komitetu Koordynacyjnego ds. Bezpieczeństwa i Odporności Sieci i Usług Łączności Elektronicznej . Forum to ma służyć jako stała przestrzeń wymiany informacji, debaty technicznej i monitorowania wdrażania planowanych środków.
Przedstawiciele operatorów, zarządców infrastruktury, organów regulacyjnych, służb bezpieczeństwa i innych kluczowych interesariuszy będą mogli wziąć udział w tym okrągłym stole, którego celem będzie promowanie ćwiczeń symulacyjnych, dzielenie się najlepszymi praktykami i analizowanie istotnych incydentów w celu wyciągnięcia wniosków na przyszłość.
Istnienie tego kolegialnego ciała było również powtarzającym się żądaniem samego sektora telekomunikacyjnego , który domagał się stabilnego i ustrukturyzowanego kanału komunikacji z administracją w celu zajmowania się wszelkimi kwestiami związanymi z bezpieczeństwem i ciągłością świadczenia usług.
Proces konsultacji i wysłuchanie publiczne projektu rozporządzenia
Przed uzyskaniem ostatecznego zatwierdzenia projekt Dekretu Królewskiego podlega podwójnemu procesowi udziału społeczeństwa , zgodnie z postanowieniami ogólnych przepisów o postępowaniu administracyjnym i tworzeniu aktów wykonawczych.
Najpierw przeprowadzono wstępne konsultacje społeczne , których celem było zebranie wstępnych opinii od operatorów, obywateli i wszystkich zainteresowanych stron na temat potrzeby i możliwości opracowania szczegółowych przepisów dotyczących bezpieczeństwa i odporności sieci komunikacji elektronicznej oraz niektórych infrastruktur cyfrowych.
W ramach konsultacji osoby i podmioty mogły przesyłać swoje uwagi na adres e-mail [email protected] pod warunkiem prawidłowego zidentyfikowania się i skupienia swoich komentarzy na uzasadnieniu, zakresie i ogólnej treści przyszłego rozporządzenia. Zaznaczono również, że uwagi będą podlegały publikacji, z wyjątkiem części wyraźnie oznaczonych jako poufne.
Po przejściu tej wstępnej fazy projekt tekstu został opublikowany do konsultacji publicznych , które potrwają do 8 stycznia 2026 r. Na tym etapie operatorzy, stowarzyszenia, przedsiębiorstwa i obywatele są ponownie zapraszani do formułowania bardziej szczegółowych uwag na temat proponowanych artykułów, ich szczegółowych obowiązków i wykonalności w praktyce.
Na tym etapie uwagi należy przesyłać na adres e-mail [email protected] , wyraźnie wskazując tożsamość nadawcy i ograniczając się do oceny konieczności, trafności lub treści tekstu przesłanego do konsultacji. Celem jest zapewnienie, że końcowy rezultat będzie technicznie rzetelnym standardem, dostosowanym do realiów sektora i zgodnym z europejskimi normami dotyczącymi cyberbezpieczeństwa i odporności infrastruktury krytycznej.
Całe te ramy regulacyjne i proceduralne mają na celu zapewnienie, że w obliczu przyszłych kryzysów — niezależnie od tego, czy będą one spowodowane przerwami w dostawie prądu, ekstremalnymi zjawiskami pogodowymi, awariami technicznymi czy cyberatakami na szeroką skalę — kraj będzie dysponował o wiele solidniejszymi sieciami i usługami komunikacyjnymi, operatorami zobowiązanymi do planowania i inwestowania w odporność, a administracjami lepiej połączonymi, skoordynowanymi i przygotowanymi do ochrony infrastruktury, która stała się, bez przesady, systemem nerwowym społeczeństwa cyfrowego.
