A kommunikációs hálózatok ellenálló képessége kulcsfontosságú témává vált a politikai és üzleti napirendeken, valamint a mindennapi beszélgetésekben. Az áramkimaradások, özönvízszerű esőzések, vulkánkitörések és világjárványok azt mutatják, hogy amikor a telekommunikáció meghibásodik, gyakorlatilag minden leáll: a közszolgáltatások, a gazdasági tevékenység, a katasztrófaelhárítás, sőt még az emberek közötti legalapvetőbb kommunikáció is.
Ebben az összefüggésben a Digitális Transzformációért és Közigazgatásért Felelős Minisztérium előterjesztett egy királyi rendelettervezetet az elektronikus hírközlő hálózatok és szolgáltatások , valamint bizonyos digitális infrastruktúrák biztonságáról és ellenálló képességéről . Ez a szöveg, amely jelenleg a nyilvános konzultáció és meghallgatás szakaszában van, rendkívül részletes jogi keretet hoz létre a biztonság megerősítése, a szolgáltatás folytonosságának garantálása és az incidensek felhasználókra gyakorolt hatásának minimalizálása érdekében, az üzemeltetők és az infrastruktúra-üzemeltetők számára előírt szigorú kötelezettségek alapján.
Miért vált prioritássá a hálózat ellenálló képessége?
Az elmúlt években számos kritikus esemény, mint például a COVID-19 világjárvány, a La Palma vulkán kitörése, a 2024-ben a valenciai közösséget sújtó DANA vihar és az áprilisi áramszünet óriási terhet rótt a telekommunikációs infrastruktúrára. Mindezek az események ugyanarra a problémára világítottak rá: megbízható kommunikáció nélkül, ahogyan az a felhőszolgáltatások kiesése esetén is történik , a vészhelyzet-kezelés jelentősen megnehezül.
Ezek az események világossá tették, hogy a hálózatok, az elektronikus kommunikációs szolgáltatások és a kapcsolódó digitális infrastruktúra nem luxuscikk, hanem alapvető eszköz az ország válsághelyzetekben való működéséhez . Ezért a kormány úgy döntött, hogy vészhelyzet kihirdetésekor hivatalosan is alapvető fontosságú létesítményeknek és szolgáltatásoknak minősíti azokat.
Ez a besorolás azt jelenti, hogy súlyos incidens esetén minden közigazgatási szervnek és állambiztonsági erőnek együtt kell működnie ezen hálózatok védelmében, karbantartásában és gyors helyreállításában. Ez már nem csak az üzemeltetők „magánügye”, hanem közös felelősség, amely magában foglalja a nemzetbiztonságot, a polgári védelmet és az alapvető szolgáltatások folytonosságát.
A rendelettervezet egy szabályozási hiányosság pótlására is szolgál: eddig a kiberbiztonság, a kritikus infrastruktúrák védelme vagy a katasztrófavédelem területén szétszórt kötelezettségek voltak érvényben, de nem volt egységes, naprakész és konkrét keretrendszer a kommunikációs hálózatok és bizonyos stratégiai digitális infrastruktúrák biztonságára és ellenálló képességére vonatkozóan.
A királyi rendelet hatálya és az érintettek
A királyi rendelettervezet egy nagyon specifikus érdekelt felet céloz meg, kezdve a Spanyolországban a nyilvánosság számára szolgáltatásokat nyújtó elektronikus hírközlési szolgáltatókkal . Ide tartoznak a nagyobb távközlési vállalatok (Telefónica, MasOrange, Vodafone, Digi stb.), de más kisebb vállalatok is, amelyek megfelelnek a megállapított kritériumoknak.
A hálózatüzemeltetőkön kívül a szabályozás a kulcsfontosságú digitális infrastruktúráért felelősökre is vonatkozik . Ide tartoznak a Spanyolországot más országokkal összekötő tenger alatti kábelek, a műholdas rendszerek , az adatközpontok és az internetes csomópontok (IXP-k), amelyek meghaladják a bizonyos releváns küszöbértékeket.
Konkrétan ezek a kötelezettségek azokra vonatkoznak, akik több mint 500 000 felhasználóval rendelkező vagy 50 millió eurót meghaladó éves bevétellel rendelkező infrastruktúrát kezelnek . Ide tartoznak továbbá a kritikus infrastruktúrára vonatkozó szabályozás értelmében kritikusnak minősített üzemeltetők, vagy a sürgősségi szolgáltatásokat nyújtók, valamint más, bizonyos követelményeknek megfelelő konkrét esetek.
A nemzetbiztonsággal és védelemmel kapcsolatos hálózatok kifejezetten ki vannak zárva e szöveg hatálya alól , mivel rájuk saját, külön szabályozások vonatkoznak. Ez a kizárás elkerüli az átfedéseket más, érzékenyebb szabályozási keretekkel.
Érdemes hangsúlyozni, hogy a királyi rendelet nem csak a nagy gerinchálózatokra vagy a legláthatóbb infrastruktúrákra összpontosít; célja, hogy az elektronikus kommunikációs lánc minden releváns láncszeme olyan biztonsági intézkedéseket és folytonossági terveket fogadjon el, amelyek összhangban vannak létesítményeinek kritikusságával.
Kötelező biztonsági tervek és létesítménybesorolás
Az új szabályozás egyik központi pillére az érintett felek kötelezettsége egy Általános Biztonsági Terv kidolgozására , valamint különféle, az egyes hálózatok, szolgáltatások és az esetlegesen felmerülő incidensek típusaihoz igazított konkrét tervek kidolgozására.
Az Általános Biztonsági Tervnek legalább egy szisztematikus kockázatelemzést kell tartalmaznia , amely figyelembe veszi a természeti fenyegetéseket (szélsőséges időjárási jelenségek, árvizek, tűzvészek, földrengések), a technikai problémákat (tömeges meghibásodások, konfigurációs hibák, berendezések romlása) és a szándékos fenyegetéseket (kibertámadások, szabotázs, behatolások fizikai infrastruktúrákba).
Ezen elemzés alapján az üzemeltetőnek meg kell határoznia a megelőzés, a védelem, az észlelés és a reagálás prioritási intézkedéseit . Ez magában foglal mindent a redundáns architektúrák tervezésétől és az átviteli útvonalak diverzifikálásától kezdve az áramkimaradásokra való reagálás protokolljainak kidolgozásán át a belső és külső kommunikációs tervekig, valamint a hatóságokkal való koordinációs eljárásokig.
Az átfogó terv mellett minden hálózattípusra és szolgáltatásra (pl. mobilhálózatok, vezetékes hálózatok, nagykereskedelmi szolgáltatások, nemzetközi szegmensek stb.), valamint minden egyes incidenstípusra (áramkimaradás, tömeges szoftverhiba, lokalizált természeti katasztrófa, széles körű kibertámadás stb.) külön tervekre van szükség. Ezeket a dokumentumokat a helyszínen kell végrehajtani, és részletezni kell a felelősségi köröket, a válaszidőket, a rendelkezésre álló tartalék erőforrásokat és a forgalompriorizálási stratégiákat.
A rendszer kulcsfontosságú eleme az összes üzemeltető létesítményének különböző szintekbe sorolása, kritikusságuk és egy hosszabb kiesés hatása alapján. Azok a berendezések, amelyek kiesése komolyan befolyásolhatja az alapvető szolgáltatások nyújtását, a legmagasabb szintre kerülnek, míg a kisebb hatással járó helyszínek a középső vagy alapvető szintekre.
Az elektromos autonómiára és a szolgáltatás folytonosságára vonatkozó követelmények
A királyi rendelettervezet legigényesebb – és egyben legvitatottabb – része az, amely meghatározza a létesítmények által garantálandó minimális elektromos autonómiát hosszabb áramkimaradás esetén. Itt a szöveg nagyon világos, és a hozzárendelt kritikussági szint szerint három szintet határoz meg.
Egyrészt az első osztályúként besorolt infrastruktúrának legalább 24 órán át képesnek kell lennie a hagyományos villamosenergia-hálózatról érkező áram nélkül működni. Ez a központi csomópontokat, a gerinchálózat elemeit és azokat a helyszíneket érinti, ahol a leállás hatalmas hatással lenne az összekapcsoltságra.
A második szintet a közepes szintű létesítmények alkotják , amelyeknek legalább 12 órán át működőképességet kell garantálniuk. Ezek fontos helyszínek, de hatásuk földrajzilag vagy az érintett szolgáltatások tekintetében korlátozottabb.
Végül, a fennmaradó létesítményeknek – az alapszintűeknek – rendelkezniük kell a legalább négy órás elektromos autonómia fenntartásának erőforrásaival . Bár a küszöbérték alacsonyabb, még mindig jelentős ugrást jelent a jelenlegi helyzethez képest számos helyszínen, különösen a sűrűn lakott városi környezetben.
A mobilhálózatok területén a rendelet egy nagyon konkrét kötelezettséget vezet be: ennek a négyórás autonómiának elegendőnek kell lennie ahhoz, hogy a lakosság legalább 85%-a számára biztosítsa a kommunikációs lefedettséget . Ez nem azt jelenti, hogy minden egyes antennának önmagában el kell érnie ezt a küszöbértéket, hanem azt, hogy a hálózat egészét úgy kell méretezni, hogy ebben az időszakban a polgárok túlnyomó többsége továbbra is hozzáférhessen a szolgáltatáshoz, beleértve a 112-es segélyhívó szám hívását is.
E cél elérése érdekében minden szolgáltató rugalmasan kialakíthatja saját technológiaprioritási stratégiáját . Megerősíthetik például a kulcsfontosságú telephelyek autonómiáját, előnyben részesíthetik a hangátvitelt az adatátvitellel szemben, az erőforrásokat sűrűn lakott területeken vagy különösen érzékeny infrastruktúrára (kórházak, sürgősségi koordinációs központok, kritikus létesítmények stb.) koncentrálhatják. A lényeg az, hogy az eredmény összességében megfeleljen a lefedettségi és folytonossági követelményeknek.
Becsült költségek, iparági megbeszélések és telepítési kihívások
A királyi rendelet tervezetét kísérő jelentés becslése szerint a rugalmassági és biztonsági intézkedések – elsősorban az elektromos autonómia megerősítésével kapcsolatosak – végrehajtásának teljes költsége az összes mobilkommunikációs hálózat esetében 51 és 73 millió euró között lesz.
Hivatalos becslések szerint a lakosság 85%-ának lefedettségét garantáló, körülbelül 10 400 hálózati helyszín mintegy 30%-a már rendelkezik akkumulátorokkal vagy generátorokkal, amelyek képesek négy órán át fenntartani a szolgáltatást. Ez körülbelül 7.280 helyszínt jelentene, amelyeket új biztonsági mentési megoldásokkal kellene megerősíteni.
A kormányzat – telephelyenként átlagosan 7.000 eurós beruházást alapul véve – – – körülbelül 30%-os mennyiségi kedvezménnyel arra a következtetésre jutott, hogy a teljes költség 50,96 és 72,8 millió euró között lenne. A kormányzat hangsúlyozza, hogy ez az összeg arányos és ésszerű, különösen a kommunikáció széles körű hanyatlásának társadalmi és gazdasági hatásához képest.
A telekommunikációs szektoron belüli források azonban azt állítják, hogy a tényleges költség sokkal magasabb lehet , könnyen elérheti a több százmillió eurót. A vállalatok azzal érvelnek, hogy a hivatalos becslés alábecsüli számos telepítés technikai és városrendezési összetettségét, különösen a nagyvárosokban, ahol a legtöbb antennát az épületek tetejére szerelik fel.
Ezekben a városi környezetben a nagy kapacitású akkumulátorok vagy generátorok telepítése helyproblémákat, szerkezeti túlterhelést és bürokratikus akadályokat vet fel a lakástulajdonosok egyesületeivel . Sok tetőt nem úgy terveztek, hogy elbírja a megnövekedett terhelést, amit ezek a rendszerek jelentenek, ami megerősítési munkálatokat vagy ugyanolyan vagy akár drágább alternatív megoldások keresését teszi szükségessé.
Továbbá a toronycégek (többek között a Cellnex, a Vantage Towers, a Totem, az American Tower) nem fogják egyedül vállalni a beruházást, ha a szolgáltatókkal kötött szerződések nem garantálnak olyan megtérülést , amely ellensúlyozza a költségeket. Végső soron ennek a pénzügyi tehernek a jelentős része a távközlési vállalatok mérlegére lesz kihatással, amelyeket már így is megterhel az intenzív verseny, az árnyomás, valamint a kapacitásba, az 5G-be és az új funkciókba történő folyamatos beruházások szükségessége.
Az állam szempontjából a kormány hangsúlyozza, hogy a közvetlen költségvetési hatás gyakorlatilag nulla lesz , mivel a felügyelet, a koordináció és a reagálás feladatai a meglévő struktúrákra és ügynökségekre fognak támaszkodni. Elismeri azonban az incidenskezelési eszközökkel, a technikai irányelvek kidolgozásával vagy az audit kampányokkal kapcsolatos marginális költségek lehetőségét, de jelentős új kiadásokra nem vállal kötelezettséget, kivéve, ha a jövőben társfinanszírozási program vagy célzott támogatás válik elérhetővé.
112-es központok, közúti riasztórendszerek és sürgősségi szolgálatok
Az általános összekapcsolhatóságon túl a szöveg külön részt szentel a segélyszolgálatokhoz kapcsolódó kommunikációnak , különös tekintettel a 112-es számot kezelő központokra és a lakosságot érintő riasztórendszerekre.
Ezeknek a vészhelyzeti koordinációs központoknak, valamint az őket összeköttetést biztosító üzemeltetőknek, saját biztonsági terveket kell kidolgozniuk , amelyek összhangban vannak az üzemeltető általános biztonsági tervével, de nagyon különös hangsúlyt fektetnek a kommunikáció folytonosságára kritikus helyzetekben.
A cél annak biztosítása, hogy még szélsőséges forgatókönyvek, például nagyobb áramkimaradások, természeti katasztrófák vagy országszerte egyidejű események esetén is működőképesek maradjanak a 112-es segélyhívó szám és a tömeges riasztórendszerek . A közelmúlt tapasztalatai azt mutatják, hogy ezen kommunikációs rendszerek nélkül a polgári védelem, a rendőrség, a tűzoltóság és a sürgősségi orvosi szolgálatok kapacitása komolyan veszélybe kerül.
A szabályozás célja annak biztosítása, hogy mind a 112-es segélyhívó központok, mind az azokat támogató hálózatok redundanciával, alternatív útvonalakkal és megfelelő energia-autonómiával rendelkezzenek , megelőzve az egyszeres meghibásodási pontokat és minimalizálva a leállási időt. Emellett a központok, az üzemeltetők, valamint a vészhelyzet-kezelési felelősséggel rendelkező nemzeti és regionális hatóságok közötti koordinációs mechanizmusok megerősítésére is törekszik.
Ezzel párhuzamosan rendelkezéseket is beillesztenek annak biztosítására, hogy a lakossági riasztórendszerek – például a mobiltelefonokra küldött tömeges üzenetek küszöbön álló katasztrófa esetén – ugyanolyan igényes feltételek mellett is működőképesek maradjanak, mint a többi kritikus szolgáltatás esetében.
Incidensértési rendszer és súlyossági besorolás
A királyi rendelet egy másik fontos szakasza a biztonsági és üzletmenet-folytonossági incidensek bejelentési eljárásával foglalkozik . A cél annak biztosítása, hogy a hatóságok a lehető leggyorsabban hozzáférjenek megbízható és naprakész információkhoz a hatékony válaszlépések összehangolása érdekében.
Először is, az üzemeltetőknek egy órán belül előzetes értesítést kell kiadniuk a releváns esemény bekövetkeztét követően. Ennek a korai kommunikációnak nem kell tartalmaznia az összes technikai részletet, de elegendő információt kell nyújtania az előzetes hatókörről, az érintett szolgáltatásokról és a lehetséges okokról.
Ettől a ponttól kezdve rendszeres időközi értesítéseket kell küldeni az incidens állapotának frissítésére, a helyreállítási erőfeszítések előrehaladására és a felhasználókra gyakorolt hatás jelentős változásaira vonatkozóan. Ezen kommunikációk gyakoriságát az esemény nagyságrendjéhez és alakulásához kell igazítani.
Miután az incidens megoldódott, egy utolsó értesítést küldenek az információs ciklus hivatalos lezárásaként, majd egy későbbi időpontban részletes jelentést kell készíteni , amely mélyrehatóan elemzi a kiváltó okokat, az esetlegesen közrejátszó tervezési vagy működési hibákat, a felhasználókra és a szolgáltatásokra gyakorolt valós hatást, valamint a megismétlődés megelőzése érdekében bevezetendő korrekciós intézkedéseket.
A rendelet bevezet egy olyan rendszert is, amely objektív kritériumok alapján osztályozza az incidenseket „jelentősnek” vagy „kisebbnek” : az érintett felhasználók száma, a zavar időtartama, az érintett földrajzi terület és a veszélyeztetett szolgáltatás típusa. Ez az osztályozás segít az erőforrások rangsorolásában, a konkrét protokollok aktiválásában és a más nemzeti és európai szervekkel való koordináció megkönnyítésében.
Felügyelet, intézményi koordináció és egy új Biztonsági Bizottság
A Távközlésért és Digitális Infrastruktúráért Felelős Államtitkárság felelős a királyi rendeletben foglalt összes kötelezettség betartásának felügyeletéért. Feladatai közé tartozik az incidensjelentések fogadása és elemzése, a biztonsági tervek felülvizsgálata, valamint az ellenőrzések vagy auditok lefolytatása.
Ez a szerv felelős lesz a fellépések összehangolásáért más közigazgatási szervekkel mind állami, mind regionális szinten, valamint az együttműködés kialakításáért a hálózatbiztonsággal, a kiberbiztonsággal vagy a kritikus infrastruktúra védelmével foglalkozó európai és nemzetközi szervezetekkel.
A szöveg rendelkezik az Elektronikus Hírközlési Hálózatok és Szolgáltatások Biztonságával és Rugalmasságával Foglalkozó Koordinációs Bizottság létrehozásáról . Ez a fórum állandó helyszínként szolgál az információcseréhez, a technikai vitákhoz és a tervezett intézkedések végrehajtásának nyomon követéséhez.
Az üzemeltetők, az infrastruktúra-kezelők, a szabályozó hatóságok, a biztonsági erők és más kulcsfontosságú érdekelt felek képviselői részt vehetnek ezen a kerekasztal-beszélgetésen, amelynek célja a szimulációs gyakorlatok előmozdítása, a legjobb gyakorlatok megosztása és a releváns incidensek elemzése a jövőre vonatkozó tanulságok levonása érdekében.
Ennek a testületnek a létezése a telekommunikációs szektor visszatérő igénye is volt , amely stabil és strukturált kommunikációs csatornát igényelt az adminisztrációval, hogy minden, a szolgáltatás biztonságával és folytonosságával kapcsolatos kérdést kezelni lehessen.
Konzultációs folyamat és nyilvános meghallgatás a rendelettervezettel kapcsolatban
A királyi rendelet tervezete a végleges jóváhagyása előtt kettős nyilvános részvételi eljáráson esik át , a közigazgatási eljárásra vonatkozó általános jogszabályok, valamint a rendeletalkotás rendelkezéseinek megfelelően.
Először egy előzetes nyilvános konzultációt indítottak , amelynek célja az volt, hogy összegyűjtsék az üzemeltetők, a polgárok és minden érdekelt fél kezdeti véleményét az elektronikus hírközlő hálózatok és bizonyos digitális infrastruktúrák biztonságára és ellenálló képességére vonatkozó konkrét szabályozások kidolgozásának szükségességéről és lehetőségéről.
A konzultáció során magánszemélyek és szervezetek a [email protected] e-mail címre küldhették el hozzászólásaikat , feltéve, hogy megfelelően azonosították magukat, és észrevételeiket a jövőbeli szabályozás indoklására, hatályára és általános tartalmára összpontosították. Azt is megjegyezték, hogy a hozzászólások közzétételre kerülnek, kivéve azokat a részeket, amelyeket kifejezetten bizalmasként jelöltek meg.
Miután átment a kezdeti szakaszon, a tervezet szövegét nyilvános konzultációra bocsátották, amely 2026. január 8-ig tart. Ebben a szakaszban az üzemeltetőket, egyesületeket, vállalatokat és polgárokat ismét felkérik, hogy fogalmazzák meg konkrétabb észrevételeiket a javasolt cikkekkel, azok konkrét kötelezettségeivel és gyakorlati megvalósíthatóságával kapcsolatban.
Ebben a szakaszban a megjegyzéseket a [email protected] e-mail címre kell küldeni , egyértelműen feltüntetve a feladó kilétét, és a konzultációra benyújtott szöveg szükségességének, relevanciájának vagy tartalmának értékelésére korlátozva. A cél az, hogy a végeredmény egy technikailag megalapozott szabvány legyen, amely az ágazat realitásaihoz igazodik, és összhangban van a kiberbiztonságra és a kritikus infrastruktúrák ellenálló képességére vonatkozó európai szabványokkal.
Ez a teljes szabályozási és eljárási keretrendszer azt hivatott biztosítani, hogy a jövőbeli válságok esetén – legyenek azok áramkimaradások, szélsőséges időjárási események, műszaki meghibásodások vagy nagyszabású kibertámadások – az ország sokkal robusztusabb kommunikációs hálózatokkal és szolgáltatásokkal rendelkezzen, a szolgáltatóknak pedig tervezniük és be kell fektetniük a rugalmasságba, a közigazgatásoknak pedig jobban összekapcsolódjanak, koordináltak és felkészültek legyenek az infrastruktúrák védelmére, amelyek – túlzás nélkül – a digitális társadalom idegrendszerévé váltak.
