Otpornost komunikacijskih mreža postala je ključna tema na političkim i poslovnim dnevnim redovima, kao i u svakodnevnim razgovorima. Nestanci struje, bujične kiše, vulkanske erupcije i pandemije pokazali su da kada telekomunikacije zakažu, gotovo sve staje: javne usluge, gospodarska aktivnost, hitne intervencije, pa čak i najosnovnija komunikacija među ljudima.
U tom kontekstu, Ministarstvo za digitalnu transformaciju i javnu upravu promoviralo je nacrt Kraljevske uredbe o sigurnosti i otpornosti elektroničkih komunikacijskih mreža i usluga , kao i određenih digitalnih infrastruktura . Ovaj tekst, koji je sada u fazi javnih konzultacija i saslušanja, uspostavlja vrlo detaljan pravni okvir za jačanje sigurnosti, jamčenje kontinuiteta usluge i minimiziranje utjecaja incidenata na korisnike, na temelju zahtjevnih obveza za operatere i upravitelje infrastrukture.
Zašto je otpornost mreže postala prioritet
Posljednjih godina, niz kritičnih događaja, poput pandemije COVID-19, erupcije vulkana La Palma, oluje DANA koja je pogodila Valencijsku zajednicu 2024. i nestanka struje u travnju, izložio je telekomunikacijsku infrastrukturu ogromnom opterećenju. Svi ovi događaji istaknuli su isti problem: bez pouzdane komunikacije, kao što je slučaj s prekidima usluga u oblaku , upravljanje u hitnim slučajevima postaje znatno teže.
Ovi događaji jasno su pokazali da mreže, elektroničke komunikacijske usluge i pripadajuća digitalna infrastruktura nisu luksuz, već ključna imovina za funkcioniranje zemlje u kriznim situacijama . Stoga je Vlada odlučila formalno ih klasificirati kao bitne objekte i usluge kada se proglasi izvanredno stanje.
Ova klasifikacija znači da u slučaju ozbiljnog incidenta sve javne uprave i državne sigurnosne snage moraju surađivati u zaštiti, održavanju i brzom oporavku tih mreža. To više nije samo „privatna“ stvar za operatere, već zajednička odgovornost koja uključuje nacionalnu sigurnost, civilnu zaštitu i kontinuitet osnovnih usluga.
Nacrt uredbe također proizlazi kako bi se popunila regulatorna praznina: do sada su postojale različite raspršene obveze u području kibernetičke sigurnosti, zaštite kritične infrastrukture ili upravljanja u hitnim slučajevima, ali nije postojao jedinstveni, ažurirani i specifičan okvir o sigurnosti i otpornosti komunikacijskih mreža i određenih strateških digitalnih infrastruktura.
Opseg Kraljevskog dekreta i na koga se odnosi
Nacrt kraljevske uredbe usmjeren je na vrlo specifičnu skupinu dionika, počevši od operatora elektroničkih komunikacija koji pružaju usluge javnosti u Španjolskoj . To uključuje velike telekomunikacijske tvrtke (Telefónica, MasOrange, Vodafone, Digi itd.), ali i druge manje tvrtke koje ispunjavaju utvrđene kriterije.
Osim mrežnih operatora, uredba se odnosi i na one odgovorne za ključnu digitalnu infrastrukturu . To uključuje podmorske kabele koji povezuju Španjolsku s drugim zemljama, satelitske sustave , podatkovne centre i točke razmjene interneta (IXP) koje prelaze određene pragove relevantnosti.
Konkretno, ove obveze primjenjivat će se na one koji upravljaju infrastrukturom s više od 500.000 korisnika ili s godišnjim prihodima većim od 50 milijuna eura . Uključeni su i operateri koji su određeni kao kritični prema propisima o kritičnoj infrastrukturi ili oni koji pružaju hitne službe, među ostalim specifičnim slučajevima koji ispunjavaju određene uvjete.
Mreže povezane s nacionalnom sigurnošću i obranom izričito su isključene iz opsega ovog teksta , jer su regulirane vlastitim specifičnim propisima. Ovo isključenje izbjegava preklapanja s drugim, osjetljivijim regulatornim okvirima.
Vrijedi naglasiti da se Kraljevski dekret ne usredotočuje samo na velike okosnice mreža ili najvidljiviju infrastrukturu; njegov je cilj da svaka relevantna karika u lancu elektroničkih komunikacija usvoji sigurnosne mjere i planove kontinuiteta usklađene s kritičnošću svojih objekata.
Obvezni sigurnosni planovi i klasifikacija objekata
Jedan od središnjih stupova novih propisa je obveza pogođenih strana da razviju Opći sigurnosni plan i, uz to, razne specifične planove prilagođene karakteristikama svake mreže, usluge i vrste incidenta s kojima se mogu suočiti.
Opći sigurnosni plan mora uključivati, kao minimum, sustavnu analizu rizika koja uzima u obzir prirodne prijetnje (ekstremne vremenske pojave, poplave, požare, potrese), tehničke probleme (masovne kvarove, pogreške u konfiguraciji, degradaciju opreme) i namjerne prijetnje (kibernetičke napade, sabotaže, upade u fizičku infrastrukturu).
Na temelju ove analize, operater mora definirati prioritetne mjere za sprječavanje, zaštitu, otkrivanje i odgovor . To uključuje sve, od projektiranja redundantnih arhitektura i diverzifikacije prijenosnih putova do uspostavljanja protokola za reagiranje na nestanke struje, internih i eksternih komunikacijskih planova te postupaka koordinacije s javnim vlastima.
Uz opći plan, potrebni su specifični planovi za svaku vrstu mreže i uslugu (npr. mobilne mreže, fiksne mreže, veleprodajne usluge, međunarodni segmenti itd.), kao i za svaku vrstu incidenta (nestanak struje, masovni softverski kvar, lokalizirana prirodna katastrofa, rašireni kibernetički napad itd.). Ovi dokumenti moraju se implementirati na licu mjesta i detaljno opisati odgovornosti, vrijeme odziva, dostupne rezervne resurse i strategije određivanja prioriteta prometa.
Ključni element sheme je klasifikacija svih postrojenja operatera u različite razine, na temelju njihove kritičnosti i utjecaja koji bi dugotrajni prekid imao. Oprema čija bi nedostupnost mogla ozbiljno utjecati na pružanje bitnih usluga bit će smještena na najvišoj razini, dok će se druge lokacije s manjim utjecajem smjestiti na srednjim ili osnovnim razinama.
Zahtjevi za električnu autonomiju i kontinuitet usluge
Najzahtjevniji - i ujedno najkontroverzniji - dio nacrta Kraljevske uredbe je onaj koji utvrđuje minimalnu električnu autonomiju koju postrojenja moraju jamčiti u slučaju duljeg nestanka struje. Ovdje je tekst vrlo jasan i postavlja tri razine prema dodijeljenoj razini kritičnosti.
S jedne strane, infrastruktura klasificirana kao infrastruktura prvog reda mora biti sposobna nastaviti raditi najmanje 24 sata bez napajanja iz konvencionalne električne mreže. To utječe na središnje čvorove, elemente okosnice i lokacije gdje bi prekid napajanja imao ogroman utjecaj na povezivost.
Druga razina obuhvaća objekte srednje razine , koji moraju jamčiti operativni kapacitet najmanje 12 sati. To su važna mjesta, ali njihov utjecaj je ograničeniji geografski ili u smislu pogođenih usluga.
Konačno, preostali objekti - oni na osnovnoj razini - morat će imati resurse za održavanje usluge tijekom najmanje četiri sata električne autonomije . Iako je prag niži, i dalje predstavlja značajan skok u usporedbi sa trenutnom situacijom na mnogim lokacijama, posebno u gustim urbanim sredinama.
U specifičnom području mobilnih mreža, uredba uvodi vrlo specifičnu obvezu: ova četverosatna autonomija mora biti dovoljna za održavanje komunikacijske pokrivenosti za najmanje 85% stanovništva . To ne znači da svaka pojedinačna antena mora samostalno dosegnuti taj prag, već da mreža u cjelini mora biti dimenzionirana tako da tijekom tog razdoblja velika većina građana i dalje ima pristup usluzi, uključujući pozive na broj za hitne slučajeve 112.
Kako bi se postigao ovaj cilj, svaki će operater imati fleksibilnost u osmišljavanju vlastite strategije određivanja prioriteta tehnologije . Mogu, na primjer, ojačati autonomiju ključnih lokacija, dati prioritet glasu u odnosu na podatke, koncentrirati resurse u gusto naseljenim područjima ili na posebno osjetljivoj infrastrukturi (bolnice, centri za koordinaciju hitnih slučajeva, kritični objekti itd.). Važno je da ukupni rezultat zadovoljava zahtjeve pokrivenosti i kontinuiteta.
Procijenjeni troškovi, rasprave u industriji i izazovi u implementaciji
U izvješću koje prati nacrt kraljevske uredbe procjenjuje se da će ukupni trošak provedbe mjera otpornosti i sigurnosti - prvenstveno onih vezanih uz jačanje električne autonomije - iznositi između 51 i 73 milijuna eura za sve mobilne komunikacijske mreže.
Prema službenim procjenama, oko 30% od otprilike 10 400 mrežnih lokacija potrebnih za jamčenje pokrivenosti za 85% stanovništva već ima baterije ili generatore sposobne za održavanje rada četiri sata. To bi ostavilo oko 7 280 lokacija koje bi trebalo ojačati novim rezervnim rješenjima.
Koristeći prosječno ulaganje od 7.000 eura po lokaciji kao referentnu točku - uključujući popust na količinu od približno 30% - Vlada zaključuje da bi ukupni trošak spadao u raspon od 50,96 milijuna eura do 72,8 milijuna eura. Administracija naglašava da je ta brojka proporcionalna i razumna, posebno u usporedbi sa društvenim i ekonomskim utjecajem široko rasprostranjenog pada komunikacija.
Međutim, izvori iz telekomunikacijskog sektora tvrde da bi stvarni trošak mogao biti puno veći , lako dosegnuvši nekoliko stotina milijuna eura. Tvrtke tvrde da službena procjena podcjenjuje tehničku i urbanističku složenost mnogih implementacija, posebno u velikim gradovima gdje je većina antena postavljena na krovovima zgrada.
U tim urbanim kontekstima, ugradnja baterija ili generatora velikog kapaciteta predstavlja probleme s prostorom, strukturnim preopterećenjem i birokratskim preprekama za udruge vlasnika kuća . Mnogi krovovi nisu projektirani da izdrže povećano opterećenje koje ovi sustavi podrazumijevaju, što prisiljava na potrebu za ojačavanjem ili potragu za jednako ili čak skupljim alternativnim rješenjima.
Nadalje, tvrtke koje posjeduju tornjeve (Cellnex, Vantage Towers, Totem, American Tower, između ostalih) neće same podnijeti ulaganje ako ugovori s operaterima ne jamče povrat koji nadoknađuje trošak. U konačnici, značajan dio ovog financijskog tereta utjecat će na bilance telekomunikacijskih tvrtki, koje su već opterećene intenzivnom konkurencijom, pritiscima na cijene i potrebom za nastavkom ulaganja u kapacitete, 5G i nove značajke.
Iz perspektive države, Vlada naglašava da će izravni utjecaj na proračun biti praktički nikakav , budući da će se zadaci nadzora, koordinacije i odgovora oslanjati na postojeće strukture i agencije. Međutim, priznaje mogućnost marginalnih troškova povezanih s alatima za upravljanje incidentima, razvojem tehničkih smjernica ili revizijskim kampanjama, ali bez obveze na značajne nove rashode, osim ako u budućnosti ne postane dostupan program sufinanciranja ili posebna pomoć.
Centri 112, sustavi javnog uzbunjivanja i hitne službe
Osim opće povezivosti, tekst posvećuje poseban odjeljak komunikacijama povezanim s hitnim službama , s posebnim naglaskom na centre koji upravljaju brojem 112 i na sustave javnog uzbunjivanja za stanovništvo.
Ovi centri za koordinaciju u hitnim slučajevima, kao i operateri koji im pružaju povezivost, morat će razviti vlastite sigurnosne planove , usklađene s Općim sigurnosnim planom operatera, ali s vrlo specifičnim naglaskom na kontinuitet komunikacije u kritičnim situacijama.
Cilj je osigurati da, čak i u ekstremnim scenarijima poput velikih nestanaka struje, prirodnih katastrofa ili istovremenih incidenata diljem zemlje, broj za hitne slučajeve 112 i sustavi masovnog uzbunjivanja ostanu operativni. Nedavna iskustva pokazala su da su bez ovih komunikacija kapaciteti civilne zaštite, policije, vatrogasaca i hitne medicinske pomoći ozbiljno ugroženi.
Cilj uredbe je osigurati da i centri za hitne pozive 112 i mreže koje ih podržavaju imaju redundanciju, alternativne rute i dovoljnu energetsku autonomiju , sprječavajući pojedinačne točke kvara i minimizirajući vrijeme zastoja. Također nastoji ojačati mehanizme koordinacije između tih centara, operatera te nacionalnih i regionalnih tijela s odgovornostima upravljanja hitnim situacijama.
Paralelno s tim, uključene su odredbe kojima se osigurava da sustavi javnog uzbunjivanja - na primjer, masovne poruke na mobilne telefone u slučaju neposredne katastrofe - održavaju svoju operativnost pod istim zahtjevnim uvjetima koji su potrebni za ostale kritične usluge.
Sustav obavještavanja o incidentima i klasifikacija ozbiljnosti
Drugi važan dio Kraljevske uredbe odnosi se na postupak prijavljivanja sigurnosnih incidenata i incidenata kontinuiteta poslovanja . Cilj je osigurati da vlasti imaju što brži pristup pouzdanim i ažurnim informacijama kako bi koordinirale učinkovite odgovore.
Prvo, operateri su dužni izdati početnu obavijest unutar jednog sata od nastanka relevantnog incidenta. Ova rana komunikacija ne mora sadržavati sve tehničke detalje, ali mora pružiti dovoljno informacija o preliminarnom opsegu, pogođenim uslugama i mogućim uzrocima.
Od tog trenutka nadalje, periodične privremene obavijesti moraju se slati kako bi se ažurirao status incidenta, napredak napora za oporavak i sve značajne promjene u utjecaju na korisnike. Učestalost ovih komunikacija bit će prilagođena veličini i razvoju događaja.
Nakon što se incident riješi, poslat će se konačna obavijest kojom se formalno zatvara ciklus informiranja, a kasnije će se morati pripremiti detaljno izvješće koje detaljno analizira temeljne uzroke, moguće nedostatke u dizajnu ili radu, stvarni utjecaj na korisnike i usluge te korektivne mjere koje će se uvesti kako bi se spriječilo ponavljanje.
Uredba također uvodi sustav za klasifikaciju incidenata kao „značajnih“ ili „manjih“ na temelju objektivnih kriterija: broja pogođenih korisnika, trajanja poremećaja, pogođenog geografskog područja i vrste ugrožene usluge. Ova klasifikacija pomoći će u određivanju prioriteta resursa, aktiviranju specifičnih protokola i olakšavanju koordinacije s drugim nacionalnim i europskim tijelima.
Nadzor, institucionalna koordinacija i novi Sigurnosni odbor
Državni sekretarijat za telekomunikacije i digitalnu infrastrukturu tijelo je odgovorno za nadzor poštivanja svih obveza utvrđenih Kraljevskom uredbom. Njegove funkcije uključuju primanje i analizu izvješća o incidentima, pregled sigurnosnih planova i provođenje kontrola ili revizija.
Ovo tijelo bit će odgovorno i za koordinaciju djelovanja s drugim upravama , kako na državnoj tako i na regionalnoj razini, te za uspostavljanje suradnje s europskim i međunarodnim subjektima koji rade na mrežnoj sigurnosti, kibernetičkoj otpornosti ili zaštiti kritične infrastrukture.
Tekst predviđa stvaranje Koordinacijskog odbora za sigurnost i otpornost elektroničkih komunikacijskih mreža i usluga . Ovaj forum namijenjen je kao stalno mjesto za razmjenu informacija, tehničku raspravu i praćenje provedbe planiranih mjera.
Predstavnici operatera, upravitelja infrastrukture, regulatornih tijela, sigurnosnih snaga i drugih ključnih dionika moći će sudjelovati u ovom Okruglom stolu, s ciljem promicanja simulacijskih vježbi, razmjene najboljih praksi i analize relevantnih incidenata kako bi se izvukle pouke za budućnost.
Postojanje ovog kolegijalnog tijela također je bio ponavljajući zahtjev samog telekomunikacijskog sektora , koji je zahtijevao stabilan i strukturiran kanal komunikacije s upravom kako bi se bavio svime što je vezano uz sigurnost i kontinuitet usluge.
Proces konzultacija i javna rasprava o nacrtu propisa
Prije konačnog odobrenja, nacrt Kraljevske uredbe podliježe dvostrukom postupku sudjelovanja javnosti , u skladu s odredbama općeg zakonodavstva o upravnom postupku i izradi propisa.
Prvo je otvorena preliminarna javna rasprava čiji je cilj bio prikupiti početna mišljenja operatora, građana i svih zainteresiranih strana o potrebi i mogućnosti razvoja posebnih propisa o sigurnosti i otpornosti elektroničkih komunikacijskih mreža i određene digitalne infrastrukture.
U ovom savjetovanju, pojedinci i subjekti mogli su slati svoje doprinose na adresu e-pošte [email protected] , pod uvjetom da su se pravilno identificirali i usmjerili svoje komentare na opravdanost, opseg i opći sadržaj buduće uredbe. Također je napomenuto da će doprinosi biti predmet objavljivanja, osim onih dijelova koji su izričito označeni kao povjerljivi.
Nakon što je prošla tu početnu fazu, nacrt teksta objavljen je za javno savjetovanje u razdoblju do 8. siječnja 2026. U ovoj fazi, operateri, udruge, tvrtke i građani ponovno su pozvani da formuliraju konkretnija zapažanja o predloženim člancima, njihovim specifičnim obvezama i njihovoj praktičnoj izvedivosti.
Komentari u ovoj fazi trebaju se poslati na adresu e-pošte [email protected] , jasno navodeći identitet pošiljatelja i ograničavajući se na procjenu nužnosti, relevantnosti ili sadržaja teksta dostavljenog na konzultacije. Cilj je osigurati da konačni rezultat bude tehnički ispravan standard, prilagođen stvarnosti sektora i usklađen s europskim standardima za kibernetičku sigurnost i otpornost kritične infrastrukture.
Cijeli ovaj regulatorni i proceduralni okvir ima za cilj osigurati da, suočena s budućim krizama - bilo da dolaze od nestanka struje, ekstremnih vremenskih uvjeta, tehničkih kvarova ili velikih kibernetičkih napada - zemlja ima puno robusnije komunikacijske mreže i usluge, s operaterima koji moraju planirati i ulagati u otpornost, te s administracijama koje su bolje povezane, koordinirane i pripremljene za zaštitu infrastrukture koja je, bez pretjerivanja, postala živčani sustav digitalnog društva.
