Meddelande 001
Meddelande från kommissionen - TRIS/(2023) 3739
Direktiv (EU) 2015/1535
Anmälan: 2023/0761/ES
Anmälan av ett utkast till text från en medlemsstat
Notification – Notification – Notifzierung – Нотификация – Oznámení – Notifikation – Γνωστοποίηση – Notificación – Teavitamine – Ilmoitus – Obavijest – Bejelentés – Notifica – Pranešimas – Paziņojums – Notifika – Kennisgeving – Zawiadomienie – Notificação – Notificare – Oznámenie – Obvestilo – Anmälan – Fógra a thabhairt
Does not open the delays - N'ouvre pas de délai - Kein Fristbeginn - Не се предвижда период на прекъсване - Nezahajuje prodlení - Fristerne indledes ikke - Καμμία έναρξη προθεσμίας - No abre el plazo - Viivituste perioodi ei avata - Määräaika ei ala tästä - Ne otvara razdoblje kašnjenja - Nem nyitja meg a késéseket - Non fa decorrere la mora - Atidėjimai nepradedami - Atlikšanas laikposms nesākas - Ma jiftaħx il-perijodi ta’ dewmien - Geen termijnbegin - Nie otwiera opóźnień - Não inicia o prazo - Nu deschide perioadele de stagnare - Nezačína oneskorenia - Ne uvaja zamud - Inleder ingen frist - Ní osclaíonn sé na moilleanna
MSG: 20233739.SV
1. MSG 001 IND 2023 0761 ES SV 29-12-2023 ES NOTIF
2. Spain
3A. Subdirección de Asuntos Industriales, Energéticos, de Transportes, Comunicaciones y de Medioambiente
D.G. de Mercado Interior y otras Políticas Comunitarias
Ministerio de Asuntos Exteriores, UE y Cooperación
3B. Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales.
Secretaría General de Telecomunicaciones y Ordenación de los Servicios de Comunicación Audiovisual.
Subdirección General de Ordenación de las Telecomunicaciones.
Ministerio de Transformación Digital
4. 2023/0761/ES - V00T - Telekommunikation
5. KUNGLIGT DEKRET OM GODKÄNNANDE AV DET NATIONELLA SÄKERHETSSYSTEMET FÖR 5G-NÄT OCH 5G-TJÄNSTER
6. 5G-nät och 5G-tjänster för elektronisk kommunikation
Telekommunikationsutrustning
7.
8. Detta dekret består av en förklarande del, en enda artikel om godkännande av det nationella säkerhetssystemet för 5G, två tilläggsbestämmelser och fyra slutbestämmelser.
Det nationella säkerhetssystem för 5G som ska godkännas består av 33 artiklar indelade i åtta kapitel samt tre bilagor.
I motiveringen förklaras skälen till antagandet av dekretet och de artiklar i det kungliga lagdekret som utarbetas.
I den enda artikeln godkänns det nationella säkerhetssystemet för 5G-nät och 5G-tjänster.
I den första tilläggsbestämmelsen anges att regeringen genom kungligt dekret, på förslag av ministeriet för digital omvandling, efter en rapport från det nationella säkerhetsrådet, ska se över det nationella säkerhetssystemet för 5G-nät och 5G-tjänster när omständigheterna så kräver och under alla omständigheter vart fjärde år.
I den andra tilläggsbestämmelsen anges att kungligt lagdekret 7/2022 av den 29 mars 2022 och det nationella säkerhetssystemet för 5G ska tillämpas på generationer av elektronisk kommunikation efter den femte generationen, då det inte finns specifik reglering för dessa.
I den första slutbestämmelsen om behörighet anges att det kungliga dekretet och det system som godkänns genom det utfärdas med stöd av bestämmelserna i artikel 149.1.21 och 149.1.29 i den spanska konstitutionen, som ger staten exklusiv behörighet i frågor som rör det allmänna telekommunikationssystemet respektive i frågor som rör allmän säkerhet.
I den andra slutbestämmelsen anges att lag 11/2022 av den 28 juni 2022 om allmän telekommunikation och dess genomförandeförordningar ska tillämpas som komplement, och att i alla frågor som inte regleras i den nämnda lagstiftningen ska kungligt lagdekret 12/2018 av den 7 september 2018 om säkerhet i nät och informationssystem och lag 8/2011 av den 28 april 2011 om åtgärder för skydd av kritisk infrastruktur, samt deras respektive genomförandeförordningar, tillämpas som komplement.
Genom den tredje slutbestämmelsen om utarbetande av lagstiftning blir det möjligt för chefen för ministeriet för digital omvandling att utveckla bestämmelserna i detta kungliga dekret och det system som godkänns genom det, och att genom dekret ändra innehållet i bilagorna i enlighet med den tekniska utvecklingen, godkänna nya tekniska standarder och certifieringssystem för telekommunikationsutrustning och anslutna produkter och utveckla olika konfigurationer och tekniska parametrar för 5G-nät och 5G-tjänster och framtida generationer av elektronisk kommunikation.
I den fjärde slutbestämmelsen föreskrivs att dekretet ska träda i kraft dagen efter det att det har offentliggjorts i den Spaniens officiella tidning.
Följande gäller angående innehållet i det nationella säkerhetssystemet för 5G, som godkänns:
I artikel 1 anges att dekretet utfärdas i enlighet med kungligt lagdekret 7/2022 av den 29 mars 2022, särskilt genom genomförande av kapitel IV.
I artikel 2 hänvisas till syftena med dekretets, vilka redan har analyserats.
I artikel 3 anges att definitionerna i kungligt lagdekret 7/2022 av den 29 mars 2022, lag 11/2022 av den 28 juni 2022 om allmän telekommunikation och den europeiska kodexen för elektronisk kommunikation ska användas.
I artikel 4 föreskrivs att dekretet ska vara tillämplig på 5G-operatörer, 5G-leverantörer och företagsanvändare av 5G som har rätt att använda den allmänna radiodomänen för att installera, bygga ut eller driva ett privat 5G-nät eller tillhandahålla 5G-tjänster för yrkesmässigt bruk eller för eget bruk.
I artikel 5 fastställs de beståndsdelar, den infrastruktur och de resurser som minst krävs för att bilda ett 5G-nät för elektronisk kommunikation, med hänvisning till bilaga I för en detaljerad beskrivning av dem. I den artikeln anges också de kritiska beståndsdelarna i ett 5G-nät, som i regel ska vara belägna på det nationella territoriet (inklusive eventuella undantag).
I artikel 6 hänvisas till en övergripande behandling av säkerheten i enlighet med internationell unionslagstiftning och nationell lagstiftning som har antagits eller kan komma att antas, genom vilken de förpliktade parterna åläggs att med hjälp av en övergripande metod utföra en analys av sårbarheter, hot och risker som påverkar dem som ekonomiska aktörer och de olika komponenterna, samt en adekvat och heltäckande hantering av dessa risker genom användning av teknik och åtgärder som är lämpliga för att minska eller eliminera dem och för att uppnå det slutliga målet säker användning och drift av 5G-nät och 5G-tjänster.
I artikel 7 betonas att riskanalys och riskhantering är en väsentlig del av säkerhetsprocessen och bör vara en pågående verksamhet som kontinuerligt uppdateras.
Artikel 8 avser fortlöpande övervakning och regelbunden omvärdering.
I artikel 9 anges att riskanalysen på nationell nivå är den som anges i bilaga II och har genomförts med beaktande av olika faktorer, såsom information som samlats in från ansvariga parter, undersökning av sårbarheter kopplade till försörjningskedjan för 5G-nät och 5G-tjänster, bedömningen av leverantörernas beroendegrad, risken för avbrott i försörjningen på grund av ekonomiska, företagsrelaterade eller kommersiella omständigheter som påverkar leverantörerna eller bedömningen av effektiviteten hos de säkerhetsåtgärder som tillämpas.
I artikel 10 om riskhantering på nationell nivå anges att kriterierna, kraven, villkoren och tidsfristerna för de ansvariga parterna att utforma och genomföra riskreducerande tekniker och åtgärder är de som anges i bilaga III.
I artikel 11 utvecklas bestämmelserna i artikel 14 i kungligt lagdekret 7/2022 av den 29 mars 2022 med avseende på det förfarande och de aspekter som ska bedömas av ministerrådet för klassificering av leverantörer som högriskleverantörer och de faktorer som ska beaktas vid beställning av eventuell ersättning av utrustning, produkter och tjänster som tillhandahålls av dessa leverantörer. I enlighet med bestämmelserna i ovannämnda kungliga lagdekret anges också att högriskleverantörer vars telekommunikationsutrustning, hårdvara, programvara eller sidotjänster uteslutande används i privata 5G-nät eller för tillhandahållande av 5G-tjänster för eget bruk ska klassificeras som medelhögriskleverantörer.
I artikel 12 om fastställande av platser där utrustning från leverantörer som klassificerats som högriskleverantörer inte får installeras anges att det nationella säkerhetsrådet, efter en rapport från ministeriet för digital omvandling, får fastställa de platser, områden och centrum där utrustning från leverantörer som klassificeras som högriskleverantörer inte får installeras. För installation, ändring eller anpassning av radiostationer som täcker dessa platser, områden och centrum måste 5G-operatörer begära tillstånd från ministeriet för digital omvandling.
Enligt artikel 13 ska 5G-operatörer utforma en strategi för diversifiering av leveranskedjan och ha överföringsutrustning i accessnät som tillhandahålls av minst två olika leverantörer. Artikeln innehåller också kriterier som ministerrådet ska beakta för att avgöra om det är möjligt att behålla en enda leverantör om antalet leverantörer minskar till följd av sammanslagningar. Dessutom anges de antaganden och förfaranden genom vilka ministeriet för digital omvandling kan ändra strategin för diversifiering av leveranskedjan för en 5G-operatör.
I artikel 14 ligger fokus på den riskanalys som ska utföras av 5G-operatörer med avseende på alla beståndsdelar, infrastruktur och resurser i nätet i bilaga I, en förteckning upprättas över de faktorer som ska beaktas och operatörerna åläggs att från sina leverantörer samla in de säkerhetsrutiner och säkerhetsåtgärder som antagits för de produkter och tjänster som de har levererat till dem och att inkludera en prioritering och hierarki av risker i enlighet med vissa parametrar som också förtecknas. Senast den 1 oktober 2024 ska 5G-operatörer lämna in en riskanalys och därefter vartannat år.
I artikel 15 om 5G-leverantörers riskanalys föreskrivs genomförandet av en analys av riskerna med utrustning, hårdvara och programvara för telekommunikation och tillhörande tjänster som är involverade i funktionen eller driften av 5G-nät eller i samband med tillhandahållandet av 5G-tjänster, och att den analysen ska tillhandahållas ministeriet på begäran. När det gäller leverantörer som klassificeras som högrisk- eller medelhögriskleverantörer ska analysen lämnas in inom sex månader från klassificeringen och därefter vartannat år.
Enligt artikel 16 om riskanalyser genomförda av företagsanvändare av 5G ska riskanalysen lämnas till ministeriet för digital omvandling, när sådana användare är skyldiga att göra det.
Enligt artikel 17 får ministeriet för digital omvandling från de ansvariga parterna samla in den information som är nödvändig för riskanalysen och klassificera underlåtenheten att tillhandahålla sådan information inom 15 arbetsdagar som en allvarlig överträdelse. Uppgifterna betraktas som konfidentiella och får inte användas för något annat ändamål än att uppfylla de mål och skyldigheter som fastställs i kungligt lagdekret 7/2022 av den 29 mars 2022, i det nationella säkerhetssystemet för 5G och i de rättsakter som utfärdas för genomförande av båda dessa bestämmelser.
I artikel 18 proklameras alla parters allmänna skyldighet att hantera säkerhetsrisker.
I artikel 19 ligger fokus på 5G-operatörers säkerhetshantering, upprättas en förteckning över skyldigheter för alla operatörer (t.ex. att anta beredskapsplaner och beredskapsåtgärder, att följa europeiska standarder eller tekniska specifikationer och certifieringssystem, att genomföra en säkerhetsrevision på egen bekostnad eller att kräva att deras leverantörer följer säkerhetsstandarder) och ytterligare skyldigheter för de operatörer som äger eller driver kritiska beståndsdelar av 5G-nät (t.ex. förbud mot användning av utrustning från högriskleverantörer i kritiska beståndsdelar av nät eller på vissa platser, områden och centrum). 5G-operatörer ska till ministeriet för digital omvandling lämna in en beskrivning av de tekniska och organisatoriska åtgärder som utformats och genomförts för att hantera och minska risker senast den 1 oktober 2024 och därefter vartannat år. Dessutom måste 5G-operatörer som äger eller driver kritiska beståndsdelar av ett offentligt 5G-nät lämna in en strategi för diversifiering av leveranskedjan till ministeriet för digital omvandling senast den 1 oktober 2024 och därefter varje gång strategin är föremål för ändringar. Information om genomförandet av denna strategi ska lämnas senast den 1 oktober varje år.
Artikel 20 om 5G-leverantörers säkerhetshantering innehåller en förteckning över skyldigheter, inbegripet en säkerhetsgranskning av utrustning, produkter och tjänster, tillhandahållande av information om eventuella störningar från tredje parter i utformningen, driften och funktionen av deras utrustning, produkter och tjänster samt samarbete med 5G-operatörer och företagsanvändare av 5G genom att tillhandahålla information och intyga efterlevnad av standarder och certifieringar. 5G-leverantörer ska utarbeta en rapport om tekniska och organisatoriska åtgärder som utformats och genomförts för att hantera och minska risker och på begäran lämna en sådan rapport till ministeriet. När det gäller leverantörer som klassificeras som högrisk- eller medelhögriskleverantörer ska rapporten lämnas in inom sex månader från klassificeringen och därefter vartannat år.
I artikel 21 om säkerhetshantering som bedrivs av företagsanvändare av 5G anges att dessa, i kritiska beståndsdelar av nät, inte får använda telekommunikationsutrustning, överföringssystem, kopplings- eller dirigeringsutrustning och andra resurser som möjliggör transport av signaler, hårdvara, programvara eller sidotjänster från leverantörer som har klassificerats som medelhögriskleverantörer. Dessutom ska användarna på begäran förse ministeriet för digital omvandling med en beskrivning av de tekniska och organisatoriska åtgärder som utformats och vidtagits för att hantera och minska riskerna.
I artikel 22 om offentliga förvaltningars säkerhetsförvaltning anges att offentliga förvaltningar, av hänsyn till nationell säkerhet, vid installation, utbyggnad och drift av, offentliga eller privata, 5G-nät eller tillhandahållande av 5G-tjänster, oavsett om de är allmänt tillgängliga eller för eget bruk, inte får använda utrustning, produkter och tjänster som tillhandahålls av högrisk- eller medelhögriskleverantörer.
I artikel 23 anges att de ansvariga parterna, i enlighet med de skyldigheter som föreskrivs i de föregående artiklarna, ska beakta och tillämpa det som fastställs i kungligt lagdekret 7/2022 av den 29 mars 2022, i det nationella säkerhetssystemet för 5G och i de rättsakter som utfärdas för att genomföra båda dessa bestämmelserna.
Enligt artikel 24 får ministeriet för digital omvandling från de ansvariga parterna samla in den information som är nödvändig för riskhanteringen och klassificera underlåtenheten att tillhandahålla sådan information inom 15 arbetsdagar som en allvarlig överträdelse. Uppgifterna betraktas som konfidentiella och får inte användas för något annat ändamål än att uppfylla de mål och skyldigheter som fastställs i kungligt lagdekret 7/2022 av den 29 mars 2022, i det nationella säkerhetssystemet för 5G och i de rättsakter som utfärdas för genomförande av båda dessa bestämmelser.
I artikel 25 anges att alla ansvariga parter samt offentliga förvaltningar, tillverkare, importörer, distributörer och dem som släpper ut och säljer terminalutrustning och apparater för anslutning till ett 5G-nät och för att kunna tillhandahålla 5G-tjänster måste samarbeta och lämna den information som krävs för att ändra och genomföra det nationella säkerhetssystemet för 5G.
I artikel 26 anges att genom beslut av chefen för ministeriet för digital omvandling kan användningen av viss utrustning, ett visst system, ett visst program eller en viss tjänst bli föremål för förhandscertifiering i enlighet med Europaparlamentets och rådets förordning (EU) 2019/881 av den 17 april 2019 om cybersäkerhet eller enligt certifieringssystem och tekniska standarder för certifiering av 5G-utrustning och 5G-produkter som kan godkännas på EU-nivå eller internationell nivå.
I artikel 27 anges att dekretet ska tillämpas utan att det påverkar tillämpningen av utländska investerings- och konkurrensregler.
I artikel 28 om terminalutrustning föreskrivs att tillverkning, import, distribution, utsläppande på marknaden och försäljning av terminalutrustning och apparater för anslutning till ett 5G-nät och för att kunna tillhandahålla 5G-tjänster ska vara villkorade av att säkerhetskraven för digitala produkter och de tillämpliga väsentliga cybersäkerhetskrav som antagits i enlighet med unionslagstiftning, särskilt när det gäller skydd av personuppgifter, integritet och skydd mot bedrägerier, uppfylls.
I artikel 29 hänvisas till det internationella samarbete som ska utvecklas av ministeriet för digital omvandling, särskilt på EU-nivå.
I artikel 30 hänvisas till den behörighet som ministeriet för digital omvandling har när det gäller genomförandet av det nationella säkerhetssystemet för 5G. Ministeriet bör samordna med de andra organ som ansvarar för cybersäkerhet och kritisk infrastruktur för att säkerställa ett konsekvent genomförande av det nationella säkerhetssystemet för 5G.
I artikel 31 anges de befogenheter för genomförandet av det nationella säkerhetssystemet för 5G som åligger ministeriet för digital omvandling, t.ex. utveckling, specificering och detaljering av innehållet i det nationella säkerhetssystemet för 5G, genomförandet av revisioner för att kontrollera och övervaka efterlevnaden av de ålagda skyldigheterna och beviljandet av offentligt stöd.
I artikel 32 tillskrivs ministeriet för digital omvandling alla kontrollfunktionsbefogenheter.
I artikel 33 om påföljdssystemet hänvisas till bestämmelserna i artiklarna 30 och 31 i kungligt lagdekret 7/2022 av den 29 mars 2022.
I bilaga I beskrivs de beståndsdelar, den infrastruktur och de resurser som utgör ett 5G-nät.
Bilaga II innehåller riskanalysen på nationell nivå.
I bilaga III fastställs riskhantering på nationell nivå.
9. Femte generationens mobilkommunikation eller 5G-mobilkommunikation är ett nytt paradigm för elektronisk kommunikation med stor omvälvande potential till gagn för samhället och ekonomin, eftersom det öppnar upp möjligheten att införliva nya funktioner som kommer att ha stor inverkan, t.ex. datornätverk, och möjliggör skapandet av virtuella nätverk, erbjuder låg latens och tillhandahåller tjänster med högt mervärde på områden som medicin, transport och energi.
Därför främjar både Europeiska unionen och Spanien en snabb utbyggnad av 5G-nät och genomförandet av projekt som visar att de är användbara för olika sektorer genom att tillhandahålla 5G-tjänster.
Det finns komparativa säkerhetsfördelar med 5G-nät och 5G-tjänster jämfört med tidigare generationer. De medför dock också särskilda risker, till exempel på grund av deras mer komplexa, öppna och disaggregerade nätverksarkitektur, och deras förmåga att transportera enorma mängder information och möjliggöra samtidig interaktion mellan flera personer och saker. Deras sammankoppling med andra nätverk och den gränsöverskridande karaktären hos många av hoten påverkar deras säkerhet, och den förutsebara utbredda användningen av dessa nätverk för viktiga ekonomiska funktioner och samhällsfunktioner kommer att öka den potentiella effekten av de säkerhetsincidenter som de drabbas av.
Dessa nya specifika säkerhetsrisker för 5G-mobilkommunikation behandlades i regel genom kungligt lagdekret 7/2022 av den 29 mars 2022 om krav för att säkerställa säkerheten i femte generationens elektroniska kommunikationsnät och kommunikationstjänster, genom vilken man fullt ut införlivar kommissionens rekommendation (EU) 2019/534 av den 26 mars 2019 ”It-säkerhet i 5G-nät”, samt de rekommendationer som medlemsstaterna gavs genom kommissionens meddelande av den 29 januari 2020 ”Säker 5G-utbyggnad i EU – Genomförande av EU:s verktygslåda” (COM/2020/50 final) med avseende på användningen av denna verktygslåda.
I ovannämnda kungliga lagdekret 7/2022 av den 29 mars 2022 föreskrivs att regelverket ska utvecklas genom det nationella säkerhetssystemet för 5G-nät och 5G-tjänster.
I enlighet med artikel 5.3 i ovannämnda kungliga lagdekret ska det nationella säkerhetssystemet för 5G genomföra en heltäckande behandling av säkerheten för 5G-nät och 5G-tjänster, med beaktande av bidragen till räckvidden för varje agent i 5G-värdekedjan, samt Europeiska unionens, Internationella teleunionens (ITU) och andra internationella organisationers regler, rekommendationer och tekniska standarder, i syfte att garantera det slutliga målet säker användning och drift av 5G-nät och 5G-tjänster i Spanien.
Enligt artikel 20 i det kungliga lagdekretet ska det nationella säkerhetssystemet för 5G för att säkerställa en fortsatt och säker drift av 5G-nätet och 5G-tjänsterna genomföra en riskanalys på nationell nivå av säkerheten i 5G-nät och 5G-tjänster samt identifiera, specificera och utveckla åtgärder för att minska och hantera de analyserade riskerna.
Slutligen ska det nationella säkerhetssystemet för 5G, i enlighet med artikel 21 i det kungliga lagdekretet, godkännas av regeringen genom kungligt dekret, på förslag av ministeriet för digital omvandling, efter en rapport från det nationella säkerhetsrådet.
Genom detta dekret godkänns det nationella säkerhetssystemet för 5G och bestämmelserna i kungligt lagdekret 7/2022 av den 29 mars 2022 om krav för att garantera säkerheten i femte generationens elektroniska kommunikationsnät och kommunikationstjänster utvecklas.
10. Hänvisning till grundtexter:
11. Nej
12.
13. Nej
14. Nej
15. Ja
16.
TBT-aspekt: Nej
SPS-aspekt: Nej
**********
Europeiska kommissionen
Kontaktadress Direktiv (EU) 2015/1535
e-post: grow-dir2015-1535-central@ec.europa.eu
