La resiliència de les xarxes de comunicacions s'ha colat de ple a l'agenda política, empresarial i també a les converses del dia a dia. Apagades elèctrices, DANES, erupcions volcàniques o pandèmies han demostrat que, quan les telecomunicacions fallen, pràcticament tot s'atura: serveis públics, activitat econòmica, emergències i fins i tot la comunicació més bàsica entre persones.
En aquest context, el Ministeri per a la Transformació Digital i de la Funció Pública ha impulsat un esborrany de Reial Decret sobre seguretat i resiliència de xarxes i serveis de comunicacions electròniques, així com de determinades infraestructures digitals. Aquest text, ara en fase de consulta i audiència pública, dissenya un marc legal molt detallat per reforçar la seguretat, garantir la continuïtat del servei i minimitzar l‟impacte dels incidents sobre els usuaris, recolzant-se en obligacions exigents per a operadors i gestors d‟infraestructures.
Per què la resiliència de les xarxes s'ha convertit en una prioritat
En els darrers anys, una sèrie de episodis crítics com la pandèmia de la COVID‑19, l'erupció del volcà de La Palma, la DANA que va afectar el País Valencià el 2024 o l'apagada elèctrica d'abril han posat contra les cordes les infraestructures de telecomunicacions. En tots ells es va evidenciar el mateix: sense comunicacions fiables, com passa en caigudes de serveis al núvol, la gestió de l'emergència es complica enormement.
Aquests esdeveniments han deixat clar que les xarxes, els serveis de comunicacions electròniques i les infraestructures digitals associades no són un luxe, sinó un actiu essencial per al funcionament del país en situacions de crisi. Per això el Govern ha decidit qualificar-les formalment com a instal·lacions i serveis de caràcter essencial quan es declara una emergència.
Aquesta qualificació implica que, davant d'un incident greu, totes les administracions públiques i les Forces i Cossos de Seguretat de l'Estat han de col·laborar en la protecció, el manteniment i la ràpida recuperació d'aquestes xarxes. Ja no és només un assumpte “privat” de les operadores, sinó una responsabilitat compartida on entra en joc la seguretat nacional, la protecció civil i la continuïtat dels serveis bàsics.
El projecte de norma també sorgeix per cobrir un buit regulador: fins ara hi havia diferents obligacions disperses en matèria de ciberseguretat, protecció d'infraestructures crítiques o gestió d'emergències, però no n'hi havia un marc unificat, actualitzat i específic sobre seguretat i resiliència de les xarxes de comunicacions i de certes infraestructures digitals estratègiques.
Àmbit del Reial decret i qui en queda afectat
L'esborrany de Reial Decret s'adreça a un conjunt molt concret d'actors, començant pels operadors de comunicacions electròniques que presten serveis al públic a Espanya. Aquí entren les principals telecos (Telefònica, MasOrange, Vodafone, Digi, etc.), però també altres empreses més petites que compleixin els criteris establerts.
A més dels operadors de xarxa, la norma arriba als responsables d'infraestructures digitals considerades clau. Entre elles s'hi inclouen els cables submarins que connecten Espanya amb altres països, els sistemes satel·litals, els centres de dades i els punts dintercanvi dInternet (IXP) que superin certs llindars de rellevància.
En concret, estaran sotmesos a aquestes obligacions els qui gestionin infraestructures amb més de 500.000 usuaris o amb ingressos anuals superiors a 50 milions d'euros. També s'hi incorporen els operadors designats com a crítics per la normativa d'infraestructures crítiques o aquells que prestin serveis d'emergència, entre altres casos particulars que compleixin determinats requisits.
Queden explícitament fora de l'abast del text les xarxes vinculades a Seguretat Nacional i Defensa, que es regeixen per la seva pròpia regulació específica. Aquesta exclusió evita solapaments amb altres marcs normatius més sensibles.
Convé subratllar que el Reial decret no només es fixa a les grans xarxes troncals oa les infraestructures més visibles; el seu objectiu és que tota baula rellevant de la cadena de comunicacions electròniques adopti mesures de seguretat i plans de continuïtat alineats amb la criticitat de les seves instal·lacions.
Plans de seguretat obligatoris i classificació d'instal·lacions
Un dels pilars centrals de la nova normativa és l'obligació que els subjectes afectats elaborin un Pla General de Seguretat i, a més, diversos plans específics adaptats a les característiques de cada xarxa, servei i tipus d'incidents a què es puguin enfrontar.
El Pla General de Seguretat ha d'incloure, com a mínim, un anàlisi sistemàtica de riscos que contempli amenaces naturals (fenòmens meteorològics extrems, inundacions, incendis, terratrèmols), problemes tècnics (fallades massives, errors de configuració, degradació d'equips) i amenaces intencionades (ciberatacs, sabotatges, intrusions en infraestructures físiques).
A partir d'aquesta anàlisi, l'operador haurà de definir les mesures prioritàries de prevenció, protecció, detecció i resposta. Això inclou des del disseny de arquitectures redundants i la diversificació de rutes de transmissió, fins a protocols dactuació en cas dapagades, plans de comunicació interna i externa, i procediments de coordinació amb autoritats públiques.
A més del pla general, s'exigeixen plans específics per tipus de xarxa i servei (per exemple, xarxes mòbils, xarxes fixes, serveis majoristes, trams internacionals, etc.), i també per tipus d'incident (apagada elèctrica, fallada massiva de programari, desastre natural localitzat, ciberatac generalitzat, etc.). Aquests documents han de baixar al terreny i detallar responsabilitats, temps de reacció, recursos de seguretat disponibles i estratègies de priorització de trànsit.
Un element clau de lesquema és la classificació de totes les instal·lacions dels operadors a diferents nivells, en funció de la seva criticitat i de l'impacte que tindria la caiguda prolongada. Aquell equipament la indisponibilitat del qual pugui afectar greument la prestació de serveis essencials se situarà en el nivell més alt, mentre que altres ubicacions de menor impacte quedaran en nivells intermedis o bàsics.
Exigències d'autonomia elèctrica i continuïtat del servei
La part més exigent -i també la més polèmica- de l'esborrany de Reial decret és la que estableix la autonomia elèctrica mínima que han de garantir les instal·lacions en cas de tall perllongat del subministrament. Aquí el text és molt clar i marca tres esglaons segons el nivell de criticitat assignat.
D'una banda, les infraestructures classificades com de primer nivell han d'estar capacitades per continuar funcionant, com a mínim, durant 24 hores sense alimentació de la xarxa elèctrica convencional. Això afecta nodes centrals, elements troncals i ubicacions on la desconnexió tindria un impacte massiu en la connectivitat.
En un segon esglaó se situen les instal·lacions de nivell intermedi, que han de garantir l'operativitat durant almenys 12 hores. Es tracta d'emplaçaments rellevants, però l'impacte dels quals és més acotat geogràficament o en termes de serveis afectats.
Finalment, la resta d'instal·lacions -les de nivell bàsic- hauran de disposar de recursos per mantenir el servei un mínim de quatre hores d'autonomia elèctrica. Tot i que el llindar és menor, continua sent un salt important respecte a la situació actual a molts emplaçaments, especialment en entorns urbans densos.
A l'àmbit específic de les xarxes mòbils, el decret introdueix una obligació molt concreta: aquesta autonomia de quatre hores ha de ser suficient per mantenir la cobertura de comunicacions per a almenys el 85% de la població. Això no vol dir que cada antena individual hagi d'arribar a aquest llindar per si sola, sinó que el conjunt de la xarxa ha d'estar dimensionat perquè, durant aquest període, la immensa majoria de la ciutadania continuï tenint accés al servei, incloent-hi les trucades al número d'emergències 112.
Per assolir aquest objectiu, cada operador tindrà marge per dissenyar la seva pròpia estratègia de priorització tecnològica. Podrà, per exemple, reforçar l'autonomia d'emplaçaments clau, prioritzar la veu davant les dades, concentrar recursos en zones densament poblades o en infraestructures especialment sensibles (hospitals, centres de coordinació d'emergències, instal·lacions crítiques, etc.). L'important és que el resultat global compleixi el requisit de cobertura i continuïtat.
Costos estimats, debat amb el sector i reptes de desplegament
La memòria que acompanya l'esborrany del Reial decret estima que el cost total dimplantar les mesures de resiliència i seguretat -fonamentalment les relatives a reforços d'autonomia elèctrica- se situaran entre 51 i 73 milions d'euros per al conjunt de les xarxes de comunicacions mòbils.
Segons els càlculs oficials, al voltant d'un 30% dels aproximadament 10.400 emplaçaments de xarxa necessaris per garantir la cobertura al 85% de la població ja disposen de bateries o grups electrògens capaços de sostenir el servei durant quatre hores. Això deixaria en uns 7.280 els emplaçaments que caldria reforçar amb noves solucions de suport.
Prenent com a referència una inversió mitjana de 7.000 euros per emplaçament -incloent-hi un descompte per volum proper al 30%-, el Govern conclou que el cost agregat es mouria en aquesta forquilla de 50,96 a 72,8 milions d'euros. Des de l'administració s'insisteix que és una xifra proporcional i raonable, sobretot si es compara amb l'impacte social i econòmic que té una caiguda generalitzada de les comunicacions.
Tot i això, fonts del propi sector de les telecomunicacions sostenen que la factura real podria ser molt superior, situant fàcilment en diversos centenars de milions d'euros. Les empreses argumenten que l'estimació oficial infravalora la complexitat tècnica i urbanística de molts desplegaments, especialment a grans ciutats on la majoria d'antenes s'instal·len als terrats d'edificis.
En aquests contextos urbans, la instal·lació de bateries de gran capacitat o grups electrògens planteja problemes despai, sobrepès estructural i tràmits amb comunitats de propietaris. Moltes cobertes no estan preparades per suportar l'increment de càrrega que suposen aquests equips, cosa que obliga a emprendre obres de reforç oa buscar solucions alternatives igual o més cares.
A això se suma que les empreses propietàries de torres (Cellnex, Vantage Towers, Totem, American Tower, entre d'altres) no assumiran per si soles la inversió si els contractes amb els operadors no garanteixen una rendibilitat que compensi la despesa. Al final, bona part d'aquest esforç econòmic acabarà repercutint en els balanços de les telecos, ja de per si mateix tensionats per la forta competència, la pressió sobre els preus i la necessitat de continuar invertint en capacitat, 5G i noves funcionalitats.
Des de la perspectiva de l'Estat, el Govern subratlla que el impacte pressupostari directe serà pràcticament nul, ja que les tasques de supervisió, coordinació i resposta es recolzaran en estructures i organismes ja existents. S'admet, això sí, la possibilitat de costos marginals lligats a eines de gestió d'incidents, elaboració de guies tècniques o campanyes d'auditoria, però sense comprometre noves despeses significatives llevat que, en el futur, es pogués habilitar algun programa de cofinançament o ajuts específics.
Centres 112, sistemes d'alerta pública i serveis d'emergència
Més enllà de la connectivitat general, el text dedica un apartat especial a les comunicacions vinculades als serveis d'emergència, amb especial èmfasi als centres que gestionen el número 112 i als sistemes d'alertes públiques a la població.
Aquests centres de coordinació d'emergències, així com els operadors que els proporcionen connectivitat, estaran obligats a elaborar els seus propis plans de seguretat, alineats amb el Pla General de Seguretat de l'operador però amb un enfocament molt específic en la continuïtat de les comunicacions en situacions límit.
L'objectiu és que, fins i tot en escenaris extrems com grans apagades, catàstrofes naturals o incidents simultanis en diferents punts del país, el número 112 i els sistemes d'avís massiu a la ciutadania segueixin operatius. L'experiència recent ha mostrat que, sense aquestes comunicacions, la capacitat dels serveis de protecció civil, policia, bombers o emergències sanitàries es veu compromesa seriosament.
La norma persegueix que tant els centres 112 com les xarxes que els suporten comptin amb redundàncies, rutes alternatives i autonomia energètica suficientevitant punts únics de fallada i reduint al mínim el temps d'inactivitat. També es pretén reforçar els mecanismes de coordinació entre aquests centres, els operadors i les autoritats nacionals i autonòmiques amb competències en emergència.
En paral·lel, s'inclouen disposicions orientades a garantir que els sistemes d'alertes públiques -per exemple, els missatges massius a mòbils en cas de catàstrofe imminent- mantinguin la seva operativitat en les mateixes condicions exigents que es demanen per a la resta de serveis crítics.
Règim de notificació d'incidents i classificació de la gravetat
Un altre bloc important del Reial decret és el relatiu al procediment de notificació d'incidents de seguretat i continuïtat. La idea és que les autoritats disposin d‟informació fiable i actualitzada en el menor temps possible per poder coordinar respostes eficaces.
En primer lloc, s'exigeix als operadors l'emissió d'una notificació inicial en un termini màxim d'una hora des del moment en què es produeix un incident rellevant. Aquesta comunicació primerenca no ha de contenir tots els detalls tècnics, però sí que ha d'aportar informació suficient sobre l'abast preliminar, serveis afectats i possibles causes.
A partir d'aquí, s'hauran de remetre notificacions intermèdies periòdiques que vagin actualitzant l'estat de la incidència, els avenços en les feines de recuperació i qualsevol canvi significatiu en l'impacte sobre els usuaris. El ritme d'aquestes comunicacions s'adaptarà a la magnitud i l'evolució del succés.
Un cop resolt l'incident, se n'enviarà una notificació final que tanqui formalment el cicle informatiu, i en un termini posterior s'haurà d'elaborar un informe detallat que analitzi en profunditat les causes arrel, les fallades de disseny o d'operació que hagin pogut contribuir, l'impacte real en termes d'usuaris i serveis, i les mesures correctores que s'introduiran per evitar una repetició.
El decret introdueix, a més, un sistema de classificació d'incidents en “significatius” o “menors” en funció de criteris objectius: nombre dusuaris afectats, durada de la interrupció, àmbit geogràfic impactat i tipus de servei compromès. Aquesta classificació ajudarà a prioritzar recursos, activar protocols específics i facilitar la coordinació amb altres organismes nacionals i europeus.
Supervisió, coordinació institucional i nova Taula de seguretat
La Secretaria d'Estat de Telecomunicacions i Infraestructures Digitals s'erigeix a l'autoritat responsable de supervisar el compliment de totes les obligacions previstes en el Reial decret. Entre les seves funcions s'inclouen la recepció i l'anàlisi de les notificacions d'incidents, la revisió dels plans de seguretat i la realització de controls o auditories.
Aquest organisme serà també l'encarregat de coordinar les actuacions amb altres administracions, tant a nivell estatal com autonòmic, i articular la col·laboració amb entitats europees i internacionals que treballin en matèria de seguretat de xarxes, ciberresiliència o protecció d'infraestructures crítiques.
El text preveu la creació d'una Taula de coordinació de seguretat i resiliència de xarxes i serveis de comunicacions electròniques. Aquest fòrum pretén funcionar com a espai permanent dintercanvi dinformació, debat tècnic i seguiment de la implementació de les mesures previstes.
En aquesta Mesa hi podran participar representants d'operadors, responsables d'infraestructures, autoritats reguladores, cossos de seguretat i altres actors clau, amb la idea de promoure exercicis de simulació, compartir bones pràctiques i analitzar incidents rellevants que permetin extreure lliçons de cara al futur.
L'existència d'aquest òrgan col·legiat ha estat, a més, una reivindicació recurrent del propi sector de les telecomunicacions, que reclamava un canal estable i estructurat d'interlocució amb l'administració per tractar tot allò relacionat amb la seguretat i la continuïtat del servei.
Procés de consulta i audiència pública del projecte normatiu
Abans d'arribar a la seva aprovació definitiva, el projecte de Reial decret se sotmet a un doble procés de participació pública, d'acord amb el que preveu la legislació general sobre procediment administratiu i elaboració de normes.
En primer lloc, se'n va obrir una consulta pública prèvia, l'objectiu del qual era demanar opinions inicials d'operadors, ciutadans i qualsevol part interessada sobre la necessitat i l'oportunitat de desenvolupar una regulació específica en matèria de seguretat i resiliència de les xarxes de comunicacions electròniques i certes infraestructures digitals.
En aquesta consulta, les persones i les entitats podien remetre les seves aportacions a l'adreça de correu [protegit per correu electrònic], sempre que s'identifiquessin adequadament i centressin els seus comentaris en la justificació, abast i contingut general de la futura norma. S'advertia, a més, que les contribucions serien susceptibles de publicació, llevat de les parts marcades expressament com a confidencials.
Superada aquesta fase inicial, el text de l'esborrany s'ha publicat per audiència pública durant un període que s'estén fins al 8 de gener de 2026. En aquest tram, es convida novament operadors, associacions, empreses i ciutadans a formular observacions més concretes sobre els articles proposats, les obligacions específiques i la viabilitat pràctica.
Les al·legacions en aquesta fase s'han d'enviar a l'adreça electrònica [protegit per correu electrònic], indicant-se de manera clara la identitat del remitent i limitant-se a valorar la necessitat, la pertinència o el contingut del text sotmès a consulta. Amb això es vol que el resultat final sigui una norma tècnicament sòlida, ajustada a la realitat del sector i alineada amb els estàndards europeus en matèria de ciberseguretat i resiliència d'infraestructures crítiques.
Tot aquest entramat normatiu i procedimental persegueix que, davant de futures crisis -ja vinguin de la mà de apagades elèctriques, fenòmens meteorològics extrems, fallades tècniques o ciberatacs de gran escala-, el país compti amb xarxes i serveis de comunicacions molt més robustos, amb operadors obligats a planificar ia invertir en resiliència, i amb unes administracions més ben connectades, coordinades i preparades per protegir unes infraestructures que han esdevingut, sense exagerar, el sistema nerviós de la societat digital.
