Die Ausfallsicherheit von Kommunikationsnetzen ist zu einem zentralen Thema in Politik und Wirtschaft sowie im Alltag geworden. Stromausfälle, Starkregen, Vulkanausbrüche und Pandemien haben gezeigt: Wenn die Telekommunikation ausfällt, kommt praktisch alles zum Erliegen – öffentliche Dienstleistungen, Wirtschaftstätigkeit, Katastrophenschutz und selbst die einfachste Kommunikation zwischen Menschen.
In diesem Zusammenhang hat das Ministerium für digitale Transformation und öffentliche Verwaltung einen Entwurf für ein königliches Dekret zur Sicherheit und Ausfallsicherheit elektronischer Kommunikationsnetze und -dienste sowie bestimmter digitaler Infrastrukturen vorgelegt . Dieser Text, der sich derzeit in der Phase der öffentlichen Konsultation und Anhörung befindet, schafft einen detaillierten Rechtsrahmen zur Stärkung der Sicherheit, zur Gewährleistung der Dienstkontinuität und zur Minimierung der Auswirkungen von Störungen auf die Nutzer. Er basiert auf anspruchsvollen Verpflichtungen für Betreiber und Infrastrukturmanager.
Warum Netzwerkresilienz zu einer Priorität geworden ist
In den letzten Jahren haben eine Reihe kritischer Ereignisse, wie die COVID-19-Pandemie, der Ausbruch des Vulkans La Palma, der Taifun DANA, der 2024 die Region Valencia heimsuchte, und der Stromausfall im April, die Telekommunikationsinfrastruktur enorm belastet. All diese Ereignisse verdeutlichten dasselbe Problem: Ohne zuverlässige Kommunikationsverbindungen, wie sie beispielsweise bei Ausfällen von Cloud-Diensten auftreten , wird das Katastrophenmanagement deutlich erschwert.
Diese Ereignisse haben deutlich gemacht, dass Netzwerke, elektronische Kommunikationsdienste und die dazugehörige digitale Infrastruktur kein Luxus, sondern eine unverzichtbare Ressource für das Funktionieren des Landes in Krisensituationen darstellen . Daher hat die Regierung beschlossen, sie im Falle eines Notstands offiziell als essenzielle Einrichtungen und Dienstleistungen einzustufen.
Diese Einstufung bedeutet, dass im Falle eines schwerwiegenden Vorfalls alle öffentlichen Verwaltungen und staatlichen Sicherheitskräfte bei der Sicherung, Instandhaltung und schnellen Wiederherstellung dieser Netze zusammenarbeiten müssen. Es handelt sich nicht mehr nur um eine „private“ Angelegenheit der Betreiber, sondern um eine gemeinsame Verantwortung, die die nationale Sicherheit, den Katastrophenschutz und die Aufrechterhaltung essenzieller Dienste umfasst.
Der Verordnungsentwurf dient auch dazu, eine regulatorische Lücke zu schließen: Bisher gab es zwar verschiedene, verstreute Verpflichtungen im Bereich der Cybersicherheit, des Schutzes kritischer Infrastrukturen oder des Notfallmanagements, aber es fehlte ein einheitlicher, aktualisierter und spezifischer Rahmen für die Sicherheit und Resilienz von Kommunikationsnetzen und bestimmten strategischen digitalen Infrastrukturen.
Geltungsbereich des königlichen Dekrets und Betroffene
Der Entwurf des Königlichen Dekrets richtet sich an eine sehr spezifische Gruppe von Interessengruppen, allen voran an Betreiber elektronischer Kommunikationsdienste, die in Spanien öffentliche Dienste anbieten . Dazu gehören die großen Telekommunikationsunternehmen (Telefónica, MasOrange, Vodafone, Digi usw.), aber auch kleinere Unternehmen, die die festgelegten Kriterien erfüllen.
Die Verordnung gilt neben Netzbetreibern auch für diejenigen, die für wichtige digitale Infrastrukturen verantwortlich sind . Dazu gehören Seekabel, die Spanien mit anderen Ländern verbinden, Satellitensysteme , Rechenzentren und Internetknotenpunkte (IXPs), die bestimmte Relevanzschwellen überschreiten.
Diese Verpflichtungen gelten insbesondere für Betreiber von Infrastrukturen mit mehr als 500.000 Nutzern oder einem Jahresumsatz von über 50 Millionen Euro . Ebenfalls eingeschlossen sind Betreiber, die gemäß den Vorschriften für kritische Infrastrukturen als systemrelevant eingestuft sind, sowie Anbieter von Notfalldiensten und weitere spezifische Fälle, in denen bestimmte Anforderungen erfüllt sind.
Netzwerke im Bereich der nationalen Sicherheit und Verteidigung sind ausdrücklich vom Anwendungsbereich dieses Textes ausgenommen , da sie eigenen spezifischen Vorschriften unterliegen. Durch diesen Ausschluss werden Überschneidungen mit anderen, sensibleren Regulierungsrahmen vermieden.
Es ist wichtig zu betonen, dass sich das königliche Dekret nicht nur auf große Backbone-Netzwerke oder die sichtbarsten Infrastrukturen konzentriert; sein Ziel ist es, dass jedes relevante Glied in der elektronischen Kommunikationskette Sicherheitsmaßnahmen und Notfallpläne ergreift, die der Kritikalität seiner Einrichtungen entsprechen.
Obligatorische Sicherheitspläne und Anlagenklassifizierung
Eine der zentralen Säulen der neuen Regelungen ist die Verpflichtung der betroffenen Parteien, einen allgemeinen Sicherheitsplan und darüber hinaus verschiedene spezifische Pläne zu entwickeln, die auf die Merkmale des jeweiligen Netzwerks, Dienstes und der Art des Vorfalls, dem sie ausgesetzt sein können, abgestimmt sind.
Der allgemeine Sicherheitsplan muss mindestens eine systematische Risikoanalyse beinhalten , die natürliche Bedrohungen (extreme Wetterphänomene, Überschwemmungen, Brände, Erdbeben), technische Probleme (massive Ausfälle, Konfigurationsfehler, Geräteverschlechterung) und vorsätzliche Bedrohungen (Cyberangriffe, Sabotage, Eindringen in physische Infrastrukturen) berücksichtigt.
Auf Grundlage dieser Analyse muss der Betreiber Prioritätsmaßnahmen für Prävention, Schutz, Erkennung und Reaktion festlegen . Dies umfasst alles von der Entwicklung redundanter Architekturen und der Diversifizierung von Übertragungswegen bis hin zur Festlegung von Protokollen für den Umgang mit Stromausfällen, internen und externen Kommunikationsplänen sowie Koordinierungsverfahren mit öffentlichen Behörden.
Zusätzlich zum Gesamtplan sind spezifische Pläne für jeden Netzwerktyp und Dienst (z. B. Mobilfunknetze, Festnetze, Wholesale-Dienste, internationale Segmente usw.) sowie für jede Art von Vorfall (Stromausfall, massiver Softwareausfall, lokale Naturkatastrophe, großflächiger Cyberangriff usw.) erforderlich. Diese Dokumente müssen vor Ort umgesetzt werden und Verantwortlichkeiten, Reaktionszeiten, verfügbare Backup-Ressourcen und Strategien zur Priorisierung des Datenverkehrs detailliert beschreiben.
Ein Schlüsselelement des Systems ist die Einteilung aller Anlagen der Betreiber in verschiedene Stufen, basierend auf ihrer Kritikalität und den Auswirkungen eines längeren Ausfalls. Anlagen, deren Nichtverfügbarkeit die Bereitstellung essenzieller Dienstleistungen ernsthaft beeinträchtigen könnte, werden der höchsten Stufe zugeordnet, während andere Standorte mit geringeren Auswirkungen in mittlere oder grundlegende Stufen eingeteilt werden.
Anforderungen an die elektrische Autonomie und die Kontinuität der Stromversorgung
Der anspruchsvollste – und zugleich umstrittenste – Teil des Entwurfs des Königlichen Dekrets regelt die Mindestautonomie, die Anlagen im Falle eines längeren Stromausfalls gewährleisten müssen. Der Text ist hier sehr eindeutig und definiert drei Stufen entsprechend dem jeweiligen Kritikalitätsgrad.
Infrastrukturen der ersten Ebene müssen zum einen mindestens 24 Stunden ohne Stromversorgung aus dem herkömmlichen Stromnetz funktionsfähig bleiben. Dies betrifft zentrale Knotenpunkte, Backbone-Elemente und Standorte, an denen eine Unterbrechung der Stromversorgung massive Auswirkungen auf die Konnektivität hätte.
Eine zweite Ebene umfasst Einrichtungen mittlerer Stufe , die eine Betriebsfähigkeit von mindestens 12 Stunden gewährleisten müssen. Dies sind wichtige Standorte, ihre Auswirkungen sind jedoch geografisch oder hinsichtlich der betroffenen Dienstleistungen begrenzter.
Schließlich müssen die verbleibenden Einrichtungen – jene der Basisstufe – über die Ressourcen verfügen, um einen autarken Betrieb von mindestens vier Stunden zu gewährleisten . Obwohl die Schwelle niedriger ist, stellt dies im Vergleich zur aktuellen Situation an vielen Standorten, insbesondere in dicht besiedelten städtischen Gebieten, dennoch einen bedeutenden Fortschritt dar.
Im Bereich der Mobilfunknetze führt die Verordnung eine sehr konkrete Verpflichtung ein: Die vierstündige Autonomie muss ausreichen, um die Kommunikationsabdeckung für mindestens 85 % der Bevölkerung zu gewährleisten . Dies bedeutet nicht, dass jede einzelne Antenne diese Schwelle erreichen muss, sondern dass das gesamte Netz so dimensioniert sein muss, dass während dieses Zeitraums die überwiegende Mehrheit der Bürger weiterhin Zugang zum Dienst hat, einschließlich Anrufen bei der Notrufnummer 112.
Um dieses Ziel zu erreichen, kann jeder Betreiber seine Technologiepriorisierungsstrategie flexibel gestalten . So kann er beispielsweise die Autonomie wichtiger Standorte stärken, Sprach- gegenüber Datenkommunikation priorisieren oder Ressourcen in dicht besiedelten Gebieten oder auf besonders sensible Infrastrukturen (Krankenhäuser, Notfallzentralen, kritische Einrichtungen usw.) konzentrieren. Wichtig ist, dass das Gesamtergebnis die Anforderungen an Abdeckung und Kontinuität erfüllt.
Geschätzte Kosten, Branchengespräche und Herausforderungen bei der Implementierung
Der dem Entwurf des Königlichen Dekrets beigefügte Bericht schätzt die Gesamtkosten für die Umsetzung von Resilienz- und Sicherheitsmaßnahmen – vor allem solche zur Stärkung der elektrischen Autonomie – auf 51 bis 73 Millionen Euro für alle Mobilfunknetze.
Offiziellen Schätzungen zufolge verfügen bereits rund 30 % der etwa 10.400 Netzwerkstandorte, die für eine Versorgung von 85 % der Bevölkerung erforderlich sind, über Batterien oder Generatoren, die den Betrieb für vier Stunden gewährleisten können. Demnach müssten noch rund 7.280 Standorte mit neuen Backup-Lösungen ausgestattet werden.
Ausgehend von einer durchschnittlichen Investition von 7.000 € pro Standort – einschließlich eines Mengenrabatts von rund 30 % – kommt die Regierung zu dem Schluss, dass die Gesamtkosten zwischen 50,96 Millionen € und 72,8 Millionen € liegen würden. Die Regierung betont, dass dieser Betrag verhältnismäßig und angemessen sei, insbesondere im Hinblick auf die sozialen und wirtschaftlichen Folgen eines weitverbreiteten Kommunikationsrückgangs.
Branchenkenner im Telekommunikationssektor gehen jedoch davon aus, dass die tatsächlichen Kosten deutlich höher ausfallen und leicht mehrere hundert Millionen Euro erreichen könnten. Unternehmen argumentieren, dass die offizielle Schätzung die technischen und städtebaulichen Herausforderungen vieler Installationen unterschätzt, insbesondere in Großstädten, wo die meisten Antennen auf Gebäudedächern montiert werden.
In urbanen Kontexten führt die Installation von Hochleistungsbatterien oder Generatoren zu Platzproblemen, statischer Überlastung und bürokratischen Hürden mit den Wohnungseigentümergemeinschaften . Viele Dächer sind nicht für die erhöhte Belastung durch diese Systeme ausgelegt, was Verstärkungsarbeiten oder die Suche nach gleichwertigen oder sogar noch teureren Alternativlösungen erforderlich macht.
Darüber hinaus werden die Turmgesellschaften (u. a. Cellnex, Vantage Towers, Totem und American Tower) die Investitionen nicht allein tragen , wenn die Verträge mit den Netzbetreibern keine Rendite garantieren, die die Kosten deckt. Letztendlich wird ein erheblicher Teil dieser finanziellen Belastung die Bilanzen der Telekommunikationsunternehmen belasten, die bereits durch intensiven Wettbewerb, Preisdruck und den Bedarf an fortlaufenden Investitionen in Kapazität, 5G und neue Funktionen angespannt sind.
Aus staatlicher Sicht betont die Regierung, dass die direkten Auswirkungen auf den Haushalt praktisch null sein werden , da die Aufgaben der Aufsicht, Koordinierung und Reaktion auf bestehende Strukturen und Behörden zurückgreifen. Sie räumt jedoch ein, dass im Zusammenhang mit Instrumenten für das Krisenmanagement, der Entwicklung technischer Leitlinien oder Prüfkampagnen zusätzliche Kosten entstehen können, ohne sich jedoch zu signifikanten neuen Ausgaben zu verpflichten, sofern nicht zukünftig ein Kofinanzierungsprogramm oder spezifische Hilfen zur Verfügung stehen.
Notrufzentralen, öffentliche Warnsysteme und Notfalldienste
Neben der allgemeinen Vernetzung widmet der Text einen speziellen Abschnitt der Kommunikation im Zusammenhang mit Notfalldiensten , wobei besonderer Wert auf die Zentren gelegt wird, die die Notrufnummer 112 verwalten, sowie auf öffentliche Warnsysteme für die Bevölkerung.
Diese Notfallkoordinierungszentren sowie die Betreiber, die ihnen die Konnektivität bereitstellen, werden verpflichtet sein, eigene Sicherheitspläne zu entwickeln , die mit dem allgemeinen Sicherheitsplan des Betreibers abgestimmt sind, jedoch einen ganz besonderen Fokus auf die Aufrechterhaltung der Kommunikation in kritischen Situationen legen.
Ziel ist es, sicherzustellen, dass die Notrufnummer 112 und die Massenwarnsysteme auch in Extremsituationen wie großflächigen Stromausfällen, Naturkatastrophen oder gleichzeitig auftretenden Ereignissen im ganzen Land funktionsfähig bleiben. Jüngste Erfahrungen haben gezeigt, dass die Einsatzfähigkeit von Katastrophenschutz, Polizei, Feuerwehr und Rettungsdienst ohne diese Kommunikationswege ernsthaft beeinträchtigt ist.
Die Verordnung soll sicherstellen, dass sowohl die Notrufzentralen (112) als auch die zugehörigen Netze über Redundanz, alternative Wege und ausreichende Energieautonomie verfügen , um Ausfälle einzelner Standorte zu vermeiden und Ausfallzeiten zu minimieren. Sie zielt außerdem darauf ab, die Koordinierungsmechanismen zwischen diesen Zentralen, den Betreibern sowie den nationalen und regionalen Katastrophenschutzbehörden zu stärken.
Parallel dazu werden Vorkehrungen getroffen, um sicherzustellen, dass öffentliche Warnsysteme – beispielsweise Massenbenachrichtigungen an Mobiltelefone im Falle einer unmittelbar bevorstehenden Katastrophe – ihre Funktionsfähigkeit auch unter den gleichen anspruchsvollen Bedingungen beibehalten, die für die übrigen kritischen Dienste gelten.
System zur Meldung von Vorfällen und Klassifizierung des Schweregrades
Ein weiterer wichtiger Abschnitt des Königlichen Dekrets betrifft das Verfahren zur Meldung von Sicherheits- und Geschäftskontinuitätsvorfällen . Ziel ist es, den Behörden schnellstmöglich Zugang zu verlässlichen und aktuellen Informationen zu verschaffen, um wirksame Maßnahmen koordinieren zu können.
Zunächst sind die Betreiber verpflichtet, innerhalb einer Stunde nach dem Eintreten eines relevanten Vorfalls eine erste Meldung zu veröffentlichen. Diese erste Mitteilung muss nicht alle technischen Details enthalten, jedoch ausreichende Informationen über den vorläufigen Umfang, die betroffenen Dienste und mögliche Ursachen liefern.
Ab diesem Zeitpunkt müssen regelmäßig Zwischenbenachrichtigungen versendet werden , um über den Status des Vorfalls, den Fortschritt der Wiederherstellungsmaßnahmen und alle wesentlichen Änderungen der Auswirkungen auf die Nutzer zu informieren. Die Häufigkeit dieser Benachrichtigungen wird an das Ausmaß und die Entwicklung des Ereignisses angepasst.
Sobald der Vorfall behoben ist, wird eine letzte Benachrichtigung versendet , um den Informationszyklus formell abzuschließen. Zu einem späteren Zeitpunkt muss ein detaillierter Bericht erstellt werden , der die Hauptursachen, die möglicherweise dazu beigetragen habenden Konstruktions- oder Betriebsfehler, die tatsächlichen Auswirkungen auf Benutzer und Dienste sowie die Korrekturmaßnahmen, die zur Verhinderung eines erneuten Auftretens eingeführt werden, eingehend analysiert.
Die Verordnung führt außerdem ein System zur Einstufung von Vorfällen als „bedeutend“ oder „geringfügig“ ein . Grundlage hierfür sind objektive Kriterien wie die Anzahl der betroffenen Nutzer, die Dauer der Störung, das betroffene geografische Gebiet und die Art des beeinträchtigten Dienstes. Diese Einstufung erleichtert die Priorisierung von Ressourcen, die Aktivierung spezifischer Protokolle und die Koordination mit anderen nationalen und europäischen Stellen.
Aufsicht, institutionelle Koordinierung und ein neuer Sicherheitsausschuss
Das Staatssekretariat für Telekommunikation und digitale Infrastruktur ist die für die Überwachung der Einhaltung aller im Königlichen Dekret festgelegten Verpflichtungen zuständige Behörde. Zu seinen Aufgaben gehören die Entgegennahme und Analyse von Vorfallsmeldungen, die Überprüfung von Sicherheitsplänen sowie die Durchführung von Kontrollen und Audits.
Dieses Gremium wird auch für die Koordinierung von Maßnahmen mit anderen Verwaltungen auf Landes- und regionaler Ebene sowie für die Etablierung einer Zusammenarbeit mit europäischen und internationalen Einrichtungen zuständig sein, die sich mit Netzwerksicherheit, Cyberresilienz oder dem Schutz kritischer Infrastrukturen befassen.
Der Text sieht die Einrichtung eines Koordinierungsausschusses für die Sicherheit und Resilienz elektronischer Kommunikationsnetze und -dienste vor . Dieses Forum soll als ständige Plattform für Informationsaustausch, technische Diskussionen und die Überwachung der Umsetzung der geplanten Maßnahmen dienen.
Vertreter von Betreibern, Infrastrukturmanagern, Aufsichtsbehörden, Sicherheitskräften und anderen wichtigen Interessengruppen können an diesem Runden Tisch teilnehmen, dessen Ziel es ist, Simulationsübungen zu fördern, bewährte Verfahren auszutauschen und relevante Vorfälle zu analysieren, um Lehren für die Zukunft zu ziehen.
Die Existenz dieses kollegialen Gremiums war auch eine immer wiederkehrende Forderung des Telekommunikationssektors selbst , der einen stabilen und strukturierten Kommunikationskanal mit der Verwaltung verlangte, um alles im Zusammenhang mit der Sicherheit und Kontinuität des Dienstes zu regeln.
Konsultationsprozess und öffentliche Anhörung zum Verordnungsentwurf
Bevor der Entwurf des Königlichen Dekrets seine endgültige Genehmigung erhält, durchläuft er ein zweifaches Verfahren der öffentlichen Beteiligung gemäß den Bestimmungen der allgemeinen Rechtsvorschriften über das Verwaltungsverfahren und die Ausarbeitung von Verordnungen.
Zunächst wurde eine vorläufige öffentliche Konsultation eingeleitet , deren Ziel es war, erste Meinungen von Betreibern, Bürgern und allen Interessierten über die Notwendigkeit und die Möglichkeiten zur Entwicklung spezifischer Vorschriften zur Sicherheit und Widerstandsfähigkeit elektronischer Kommunikationsnetze und bestimmter digitaler Infrastrukturen einzuholen.
Im Rahmen dieser Konsultation konnten Einzelpersonen und Organisationen ihre Beiträge an die E-Mail-Adresse [email protected] senden , sofern sie sich ordnungsgemäß auswiesen und ihre Kommentare sich auf die Begründung, den Anwendungsbereich und den allgemeinen Inhalt der künftigen Verordnung bezogen. Es wurde außerdem darauf hingewiesen, dass die Beiträge veröffentlicht werden, mit Ausnahme der ausdrücklich als vertraulich gekennzeichneten Teile.
Nach Abschluss dieser ersten Phase wurde der Entwurfstext zur öffentlichen Konsultation bis zum 8. Januar 2026 veröffentlicht. In dieser Phase sind Betreiber, Verbände, Unternehmen und Bürger erneut aufgefordert, konkretere Anmerkungen zu den vorgeschlagenen Artikeln, ihren spezifischen Verpflichtungen und ihrer praktischen Umsetzbarkeit zu formulieren.
Kommentare in dieser Phase senden Sie bitte an die E-Mail-Adresse [email protected] und geben Sie dabei Ihre Identität deutlich an. Beschränken Sie sich in Ihren Kommentaren auf die Bewertung der Notwendigkeit, Relevanz und des Inhalts des zur Konsultation eingereichten Textes. Ziel ist es, ein technisch fundiertes Endergebnis zu gewährleisten, das auf die Gegebenheiten des Sektors zugeschnitten ist und den europäischen Standards für Cybersicherheit und Resilienz kritischer Infrastrukturen entspricht.
Dieser gesamte regulatorische und verfahrenstechnische Rahmen zielt darauf ab, sicherzustellen, dass das Land angesichts künftiger Krisen – seien sie durch Stromausfälle, extreme Wetterereignisse, technische Ausfälle oder groß angelegte Cyberangriffe verursacht – über wesentlich robustere Kommunikationsnetze und -dienste verfügt, wobei die Betreiber verpflichtet sind, in Resilienz zu investieren und diese zu planen, und die Verwaltungen besser vernetzt, koordiniert und darauf vorbereitet sind, Infrastrukturen zu schützen, die ohne Übertreibung zum Nervensystem der digitalen Gesellschaft geworden sind.
