Wiadomość 001
Informacja od Komisji - TRIS/(2026) 1822
dyrektywa (UE) 2015/1535
Powiadomienie: 2026/0346/ES
Powiadomienie o projekcie tekstu przez państwo członkowskie
Notification – Notification – Notifzierung – Нотификация – Oznámení – Notifikation – Γνωστοποίηση – Notificación – Teavitamine – Ilmoitus – Obavijest – Bejelentés – Notifica – Pranešimas – Paziņojums – Notifika – Kennisgeving – Zawiadomienie – Notificação – Notificare – Oznámenie – Obvestilo – Anmälan – Fógra a thabhairt
Does not open the delays - N'ouvre pas de délai - Kein Fristbeginn - Не се предвижда период на прекъсване - Nezahajuje prodlení - Fristerne indledes ikke - Καμμία έναρξη προθεσμίας - No abre el plazo - Viivituste perioodi ei avata - Määräaika ei ala tästä - Ne otvara razdoblje kašnjenja - Nem nyitja meg a késéseket - Non fa decorrere la mora - Atidėjimai nepradedami - Atlikšanas laikposms nesākas - Ma jiftaħx il-perijodi ta’ dewmien - Geen termijnbegin - Nie otwiera opóźnień - Não inicia o prazo - Nu deschide perioadele de stagnare - Nezačína oneskorenia - Ne uvaja zamud - Inleder ingen frist - Ní osclaíonn sé na moilleanna
MSG: 20261822.PL
1. MSG 001 IND 2026 0346 ES PL 08-07-2026 ES NOTIF
2. Spain
3A. Subdirección General de Ordenación de las Telecomunicaciones.
Secretaría General de Telecomunicaciones, Infraestructuras Digitales y Seguridad Digital.
Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales.
Ministerio para la Transformación Digital y de la Función Pública
Calle Poeta Joan Maragall 41
28020 Madrid
+34 913462750
3B. Subdirección General de Ordenación de las Telecomunicaciones.
Secretaría General de Telecomunicaciones, Infraestructuras Digitales y Seguridad Digital.
Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales.
Ministerio para la Transformación Digital y de la Función Pública
Calle Poeta Joan Maragall 41
28020 Madrid
+34 913462750
4. 2026/0346/ES - V00T - Telekomunikacja
5. Projekt dekretu królewskiego w sprawie bezpieczeństwa i odporności sieci i usług łączności elektronicznej oraz niektórych elementów infrastruktury cyfrowej.
6. Ma on na celu wzmocnienie bezpieczeństwa, odporności i ciągłości działania sieci i usług łączności elektronicznej, powiązanych z nimi obiektów oraz niektórych elementów infrastruktury cyfrowej w Hiszpanii.
7.
8. Celem dekretu królewskiego jest zapewnienie bezpieczeństwa, odporności i ciągłości działania sieci i usług łączności elektronicznej, związanych z nimi obiektów oraz niektórych elementów infrastruktury cyfrowej w Hiszpanii.
Celem jest zapewnienie świadczenia usług kluczowych w przypadku zdarzeń związanych z bezpieczeństwem, przerw w świadczeniu usług lub znacznego pogorszenia ich jakości, a także uregulowanie obowiązków zgłaszania takich zdarzeń organom.
Podmiotami zobowiązanymi są operatorzy publicznych sieci łączności elektronicznej, dostawcy usług dostępnych publicznie, operatorzy powiązanych obiektów i infrastruktury cyfrowej, takich jak kable podmorskie, systemy satelitarne, centra przetwarzania danych (DPC), sieci dostarczania treści (CDN) oraz punkty wymiany ruchu internetowego (IXP), a także – w pewnym zakresie – centra obsługi numeru alarmowego 112 oraz systemy ostrzegania ludności. Uznaje się również kluczowe znaczenie tych sieci i infrastruktury w sytuacjach kryzysowych.
Opracowano „Narodowy plan bezpieczeństwa i odporności”, który określi sposób organizacji działań kryzysowych oraz mechanizmy koordynacji między instytucjami. Nakłada on również na podmioty zobowiązane obowiązek sporządzenia „planu ogólnego” dla każdego podmiotu zobowiązanego oraz „planów szczegółowych” dla każdego rodzaju sieci i poszczególnych usług. Muszą one obejmować analizy ryzyka, określenie kluczowej infrastruktury, środki zapobiegawcze, mechanizmy przywracania sprawności oraz protokoły postępowania w różnych sytuacjach, takich jak przerwy w dostawie prądu, klęski żywiołowe, pożary, awarie systemów informatycznych lub cyberataki.
Wprowadza się konkretne obowiązki mające na celu zapewnienie ciągłości świadczenia usług telekomunikacyjnych. Operatorzy podejmują środki mające na celu zminimalizowanie wpływu zdarzeń oraz zapewnienie funkcjonowania usług kluczowych, w szczególności łączności alarmowej. W wyjątkowych okolicznościach mogą one priorytetowo traktować niektóre rodzaje ruchu, takie jak zgłoszenia alarmowe lub usługi połączeń głosowych i wiadomości SMS, przy jednoczesnym poszanowaniu zasady neutralności technologicznej. Ponadto określono minimalne wymagania dotyczące autonomii energetycznej dla infrastruktury o kluczowym znaczeniu oraz nałożono na operatorów sieci komórkowych obowiązek stopniowego zapewnienia w ciągu trzech lat co najmniej czterogodzinnego zasilania awaryjnego dla 75 % ludności.
Obejmuje to system zgłaszania poważnych zdarzeń, które nie są uznawane za zdarzenia związane z cyberbezpieczeństwem; te ostatnie są uregulowane w dyrektywie NIS2 oraz dyrektywie CER. Operatorzy są zobowiązani do powiadomienia Sekretariatu Stanu o każdym poważnym zdarzeniu w ciągu godziny od momentu jego stwierdzenia, a następnie do przekazywania regularnych aktualizacji przez cały czas trwania zakłócenia, po czym – po przywróceniu usług – do przedłożenia raportu końcowego.
Ustanowiono szczegółowe środki dotyczące komunikacji w sytuacjach kryzysowych za pośrednictwem numeru 112 oraz systemów ostrzegania ludności. Zarówno centra obsługi zgłoszeń alarmowych, jak i operatorzy muszą wprowadzić środki w zakresie redundancji i ciągłości działania, sporządzić szczegółowe plany awaryjne i niezwłocznie zgłaszać wszelkie zakłócenia w świadczeniu tych usług, które są automatycznie klasyfikowane jako poważne zdarzenia.
W dekrecie królewskim określono środki i mechanizmy koordynacji z przepisami w sprawie cyberbezpieczeństwa i odporności podmiotów krytycznych (dyrektywa NIS2 i dyrektywa CER), ustanowienie Komitetu Koordynacyjnego ds. Bezpieczeństwa i Odporności, a także przyszłe wdrożenie platform cyfrowych do zarządzania zdarzeniami i komunikacji na ich temat. Ogólnie rzecz biorąc, oznacza to znaczne zaostrzenie obowiązków w zakresie bezpieczeństwa, ciągłości działania i nadzoru mających zastosowanie do sektora telekomunikacyjnego oraz krytycznej infrastruktury cyfrowej.
9. Postępująca cyfryzacja gospodarki i usług publicznych znacznie zwiększyła zależność od sieci łączności elektronicznej i wspierającej je infrastruktury cyfrowej. Sytuacja ta uwypukliła istnienie podatności i zagrożeń, które nie ograniczają się wyłącznie do obszaru cyberbezpieczeństwa, ale mają również wpływ na bezpieczeństwo fizyczne oraz zdolność infrastruktury do wytrzymania zdarzeń niepożądanych i powrotu do normalnego stanu po ich wystąpieniu. W tym kontekście w rozporządzeniu uznaje się za konieczne wzmocnienie zdolności w zakresie zapobiegania zdarzeniom, które mogłyby zagrozić dostępności, integralności lub funkcjonowaniu sieci i usług łączności elektronicznej, reagowania na takie zdarzenia i usuwania ich skutków.
W uzasadnieniu do dekretu królewskiego zwrócono uwagę na szereg niedawnych wydarzeń, które wykazały potrzebę zwiększenia odporności tej infrastruktury. Wśród nich wymieniono zjawiska naturalne, takie jak erupcja wulkanu na La Palma w 2021 r. i zimny system niskociśnieniowy, który dotknął różne części Hiszpanii w 2024 r., a także zdarzenia pochodzenia nienaturalnego, takie jak ostatnie ogólnokrajowe przerwy w dostawie energii elektrycznej. Wydarzenia te pokazały, że zarówno ekstremalne zjawiska naturalne, jak i awarie techniczne lub przerwy w dostawach energii mogą powodować poważne zakłócenia w funkcjonowaniu sieci komunikacyjnych oraz zagrażać ciągłości świadczenia usług niezbędnych dla społeczeństwa i organów publicznych.
Ponadto transformacja cyfrowa znacząco zmienia architekturę i funkcjonowanie sieci telekomunikacyjnych. Wdrożenie takich technologii, jak Internet rzeczy (IoT), sztuczna inteligencja (AI), Big Data, przetwarzanie w chmurze oraz wirtualizacja usług, umożliwiło poprawę wydajności, łączności i rozwoju gospodarczego, ale jednocześnie zwiększyło złożoność systemów i spowodowało pojawienie się nowych zagrożeń operacyjnych i związanych z bezpieczeństwem. W związku z tym uważa za niezbędne, aby ramy regulacyjne ewoluowały w taki sposób, aby wyprzedzać te zagrożenia oraz zapewnić odpowiedni poziom ochrony i odporności.
Z prawnego punktu widzenia inicjatywa ta opiera się głównie na art. 63 ustawy 11/2022 – Ogólna ustawa o telekomunikacji, dotyczącym integralności i bezpieczeństwa sieci i usług łączności elektronicznej. Ponadto opiera się ona na obowiązujących przepisach dotyczących bezpieczeństwa sieci 5G, w szczególności na dekrecie królewskim z mocą ustawy nr 7/2022, dekrecie królewskim z mocą ustawy nr 12/2018 w sprawie bezpieczeństwa sieci i systemów informatycznych oraz dekrecie królewskim nr 443/2024 zatwierdzającym Krajowe Ramy Bezpieczeństwa dla sieci i usług 5G. Niezależnie od powyższego, choć przepisy te przyczyniły się do znacznego postępu, konieczne jest opracowanie konkretnych ram, które w sposób kompleksowy uwzględniałyby kwestie bezpieczeństwa i odporności wszystkich sieci i usług łączności elektronicznej, a także niektórych rodzajów infrastruktury cyfrowej.
Na koniec w tekście wyjaśniono, że nowy dekret królewski ma stanowić uzupełnienie przyszłych hiszpańskich przepisów dotyczących cyberbezpieczeństwa i odporności podmiotów o znaczeniu krytycznym. W związku z tym obowiązki wynikające z przepisów transponujących dyrektywę NIS2 i dyrektywę CER będą nadal w pełni miały zastosowanie do zdarzeń związanych z cyberbezpieczeństwem oraz do zdarzeń, które mają wpływ na sieci, usługi i infrastrukturę cyfrową, a które nie zostały wyraźnie uregulowane w niniejszym dekrecie królewskim. Celem jest zatem zapewnienie spójności między różnymi instrumentami regulacyjnymi, uniknięcie nakładania się przepisów oraz ustanowienie kompleksowego systemu ochrony, który wzmocni bezpieczeństwo, ciągłość i odporność infrastruktury telekomunikacyjnej i cyfrowej niezbędnej do funkcjonowania hiszpańskiego społeczeństwa i hiszpańskiej gospodarki.
9a. Środek ten jest odpowiedni do osiągnięcia zamierzonego celu, jakim jest wzmocnienie bezpieczeństwa, odporności i ciągłości działania sieci i usług łączności elektronicznej oraz niektórych rodzajów infrastruktury cyfrowej.
Doświadczenia z ostatnich lat pokazują, że sieci telekomunikacyjne stanowią infrastrukturę niezbędną do funkcjonowania społeczeństwa, co potwierdziła pandemia COVID-19, a także sytuacje kryzysowe wynikające ze skrajnych zjawisk naturalnych, przerw w dostawach energii elektrycznej lub zdarzeń związanych z bezpieczeństwem, które miały wpływ na dostępność usług. W tym scenariuszu przyjęcie szczególnych ram regulacyjnych jest odpowiednie do wzmocnienia zdolności do zapobiegania zdarzeniom, reagowania na nie i powrotu do normalnego stanu po takich zdarzeniach, które mogą zagrozić ciągłości łączności elektronicznej.
Rozporządzenie to wprowadza w życie przepisy zawarte w art. 63 ustawy nr 11/2022 – Ogólna ustawa o telekomunikacji. Stanowi ono również uzupełnienie i dostosowanie ram regulacyjnych do postępu technologicznego oraz nowych zagrożeń związanych z cyfryzacją, wirtualizacją sieci, przetwarzaniem w chmurze, sztuczną inteligencją i Internetem rzeczy (IoT), których coraz powszechniejsze stosowanie zwiększa narażenie na słabe punkty zarówno o charakterze fizycznym, jak i cyfrowym. W tym względzie dekret królewski jest odpowiednim instrumentem do określenia obowiązków sektorowych, które umożliwiają kompleksowe podejście do specyfiki technicznej i operacyjnej sektora telekomunikacji.
Stosowność środka znajduje odzwierciedlenie w szczególności we włączeniu mechanizmów zapobiegania i planowania mających na celu poprawę gotowości operatorów w sytuacjach kryzysowych. Obowiązek opracowania „planów ogólnych” i „planów szczegółowych” dla poszczególnych sieci lub usług, a także sporządzenia „Narodowego planu bezpieczeństwa i odporności” oraz „Narodowego planu na wypadek sytuacji kryzysowych”, pozwala na ustanowienie konkretnych procedur w zakresie identyfikacji zagrożeń, zapobiegania im, reagowania na nie oraz przywracania normalnego funkcjonowania.
Podobnie aktualizacja procedur zgłaszania zdarzeń jest odpowiednim środkiem służącym poprawie zdolności właściwych organów w zakresie monitorowania i zarządzania kryzysowego. Doświadczenie pokazuje, że konieczne jest dostosowanie kryteriów, terminów i treści powiadomień do coraz bardziej złożonej rzeczywistości technologicznej i operacyjnej.
Ponadto środek ten doskonale nadaje się do wzmocnienia ochrony szczególnie wrażliwych usług, takich jak komunikacja w sytuacjach kryzysowych za pośrednictwem numeru 112 oraz systemy ostrzegania ludności, poprzez nałożenie na operatorów i centra obsługi zgłoszeń alarmowych konkretnych obowiązków w zakresie ciągłości działania, redundancji i powiadamiania. Pomaga to zapewnić ciągłość działania tych kluczowych usług nawet w sytuacjach, gdy infrastruktura komunikacyjna ulega poważnym zakłóceniom.
Ustanowienie mechanizmów współpracy między organami publicznymi a władzami krajowymi i europejskimi, a także utworzenie stałego komitetu koordynacyjnego z udziałem różnych zainteresowanych stron, stanowi odpowiedni sposób promowania wymiany informacji, koordynacji instytucjonalnej oraz wdrażania najlepszych praktyk w dziedzinie bezpieczeństwa i odporności.
Wreszcie środek ten jest zgodny z europejskimi ramami regulacyjnymi wynikającymi z dyrektyw NIS2 i CER, zapewniając odpowiednią koordynację z przyszłymi krajowymi przepisami transponującymi te dyrektywy oraz zapobiegając lukom regulacyjnym w sektorze o strategicznym znaczeniu dla gospodarki i bezpieczeństwa narodowego.
9b. Przyjęcie dekretu królewskiego stanowi odpowiedź na rzeczywistą i sprawdzoną potrzebę wzmocnienia zdolności w zakresie środków zapobiegania, ochrony i przywracania w odniesieniu do infrastruktury, która stała się niezbędna do funkcjonowania społeczeństwa, gospodarki i usług publicznych.
Postępująca cyfryzacja działalności gospodarczej i społecznej w połączeniu z rosnącą zależnością od sieci i usług łączności elektronicznej, a także wydarzenia takie jak erupcja wulkanu na La Palma, zimny system niskociśnieniowy, który dotknął różne części kraju, lub ostatnie przerwy w dostawie energii elektrycznej pokazały, że sieci i usługi łączności elektronicznej są narażone na wiele różnych zagrożeń, które mogą poważnie zagrozić świadczeniu usług kluczowych na rzecz obywateli, przedsiębiorstw i organów publicznych. Wydarzenia te uwypukliły potrzebę wzmocnienia odporności infrastruktury cyfrowej oraz poprawy zdolności reagowania na sytuacje nadzwyczajne i kryzysy.
Środek ten jest niezbędny do wdrożenia i nadania skuteczności art. 63 ustawy 11/2022 – Ogólna ustawa o telekomunikacji, który nakłada na operatorów obowiązek odpowiedniego zarządzania ryzykiem dla bezpieczeństwa oraz zapewnienia integralności ich sieci i usług. Konieczne jest opracowanie przepisów, które w sposób bardziej szczegółowy określą obowiązki w zakresie planowania, zapobiegania, zgłaszania zdarzeń, koordynacji międzyinstytucjonalnej oraz nadzoru, jakie muszą wypełniać operatorzy i inne zainteresowane strony.
Podobnie potrzeba rozporządzenia jest uzasadniona częściowym zestarzeniem się obecnie obowiązujących ram regulacyjnych dotyczących zgłaszania zdarzeń. Istniejące procedury nie zapewniają już odpowiedniej reakcji na złożoność zdarzeń, które mogą mieć obecnie wpływ na sieci, usługi i infrastrukturę cyfrową. Aktualizacja rodzajów zdarzeń, procedur komunikacyjnych oraz terminów zgłaszania jest niezbędna, aby właściwe organy dysponowały wystarczającymi i aktualnymi informacjami, pozwalającymi na koordynację szybkiej i skutecznej reakcji na sytuacje kryzysowe.
Konieczne jest również ustanowienie konkretnych mechanizmów zapewniających ciągłość świadczenia szczególnie kluczowych usług, takich jak łączność alarmowa za pośrednictwem numeru 112 oraz systemy ostrzegania ludności. Doświadczenie pokazuje, że każda przerwa w świadczeniu tych usług może mieć bezpośredni wpływ na ochronę życia i nietykalności fizycznej ludzi oraz na zarządzanie sytuacjami kryzysowymi. W związku z tym rozporządzenie nakłada konkretne obowiązki w zakresie planowania, redundancji i ciągłości działania zarówno na operatorów, jak i na centra obsługi zgłoszeń alarmowych.
Ponadto środek ten jest niezbędny do usprawnienia krajowych i europejskich mechanizmów współpracy oraz do powołania specjalnego komitetu koordynacyjnego, który ułatwi wymianę informacji, dzielenie się doświadczeniami oraz ustanowienie wspólnych procedur reagowania na zdarzenia, które ze względu na swój charakter zazwyczaj mają wpływ na wielu operatorów i elementy infrastruktury jednocześnie.
Ponadto konieczne jest zapewnienie spójności hiszpańskiego systemu prawnego z nowymi europejskimi ramami regulacyjnymi wynikającymi z dyrektyw NIS2 i CER. Te europejskie instrumenty wzmacniają obowiązki w zakresie bezpieczeństwa, zarządzania ryzykiem i odporności infrastruktury krytycznej oraz nakładają na państwa członkowskie obowiązek opracowania skutecznych mechanizmów zapobiegania zdarzeniom, ich wykrywania, reagowania na nie oraz przywracania normalnego funkcjonowania po ich wystąpieniu.
9c. Proponowany środek nie nakłada nadmiernego lub nieproporcjonalnego obciążenia w stosunku do zamierzonych celów, ponieważ obowiązki, które wprowadza, odpowiadają potrzebie zapewnienia bezpieczeństwa, odporności i ciągłości infrastruktury, która jest niezbędna do funkcjonowania społeczeństwa, gospodarki i usług publicznych.
Proporcjonalność tego środka wynika przede wszystkim z faktu, że wiele z określonych w nim obowiązków stanowi już część standardowych praktyk operatorów telekomunikacyjnych i podmiotów zarządzających infrastrukturą cyfrową w zakresie zarządzania ryzykiem i zapewniania ciągłości działania. Analizy ryzyka, plany awaryjne, procedury przywracania sprawności oraz mechanizmy nadzoru stanowią standardowe elementy zarządzania infrastrukturą krytyczną i usługami kluczowymi. Dekret królewski nie narzuca tworzenia zupełnie nowych struktur, lecz systematyzuje i ujednolica niektóre obowiązki w celu zapewnienia minimalnych standardów wspólnych dla wszystkich podmiotów zobowiązanych.
Ponadto przewidziane środki są adekwatne do skali zagrożeń, które mają złagodzić. W obliczu tych zagrożeń wymóg posiadania planów bezpieczeństwa i odporności, mechanizmów tworzenia kopii zapasowych oraz procedur wczesnego powiadamiania stanowi rozsądną i niezbędną reakcję mającą na celu zminimalizowanie szkód oraz przyspieszenie przywrócenia usług.
Rozporządzenie zawiera również mechanizmy umożliwiające dostosowanie obowiązków do sytuacji każdego podmiotu objętego regulacją. Szczegółowe plany powinny być opracowywane z uwzględnieniem specyfiki każdej sieci, usługi lub infrastruktury, co pozwoli operatorom na określenie najbardziej odpowiednich środków technicznych i organizacyjnych w zależności od konkretnych zagrożeń, na jakie są narażeni. Ta elastyczność pozwala uniknąć narzucania jednolitych lub sztywnych rozwiązań, które mogłyby generować niepotrzebne koszty, i sprzyja podejściu opartemu na skutecznym zarządzaniu ryzykiem.
Jeśli chodzi o zgłaszanie zdarzeń, obowiązki te wynikają z konieczności dysponowania aktualnymi i wiarygodnymi informacjami, które pozwalają koordynować działania w odpowiedzi na zdarzenia mogące mieć wpływ na dużą liczbę użytkowników, operatorów lub obszarów. Ponadto wymagane informacje to te, które operatorzy są już zobowiązani gromadzić i przetwarzać wewnętrznie w celu rozwiązywania zdarzeń i zapewnienia ciągłości świadczenia usług; nie powoduje to zatem nieproporcjonalnego obciążenia administracyjnego w stosunku do korzyści, jakie przynosi w zakresie koordynacji i zdolności reagowania.
W sprawozdaniu z oceny skutków regulacji stwierdzono również, że skutki gospodarcze wynikające z rozporządzenia są możliwe do opanowania i proporcjonalne do chronionego przez nie interesu publicznego. Chociaż szacunkowe koszty finansowe ponoszone przez podmioty objęte regulacją wynoszą od 45 mln EUR do 90 mln EUR, koszty te są głównie związane z inwestycjami mającymi na celu wzmocnienie odporności infrastruktury i zapewnienie ciągłości usług kluczowych. Ponadto nowe obciążenia administracyjne oszacowano na około 19 276 EUR, co stanowi niewielką kwotę w porównaniu z zakresem działalności i wielkością gospodarczą przedmiotowych podmiotów. Ponadto rozporządzenie to nie wiąże się z żadnymi kosztami budżetowymi dla organów publicznych ani nie ma znaczącego wpływu na konkurencję.
Z tych wszystkich powodów można stwierdzić, że środek nie nakłada nadmiernych obciążeń na strony nim objęte, lecz ustanawia obowiązki, które są proporcjonalne, rozsądne i niezbędne do zapewnienia wysokiego poziomu bezpieczeństwa i odporności sieci i usług łączności elektronicznej.
10. Odniesienia do tekstów podstawowych:
11. Nie
12.
13. Tak
Strategiczne interesy kraju
Sieci i usługi łączności elektronicznej stanowią infrastrukturę o kluczowym znaczeniu dla bezpieczeństwa narodowego, usług publicznych, służb ratowniczych, działalności gospodarczej oraz spójności terytorialnej.
14. Nie
15. Tak
16.
Aspekty TBT: Nie
Aspekty SPS: Nie
**********
Komisja Europejska
Punkt kontaktowy Dyrektywa (UE) 2015/1535
e-mail: grow-dir2015-1535-central@ec.europa.eu
