La resilienza delle reti di comunicazione è diventata un tema centrale nelle agende politiche ed economiche, nonché nelle conversazioni di tutti i giorni. Interruzioni di corrente, piogge torrenziali, eruzioni vulcaniche e pandemie hanno dimostrato che quando le telecomunicazioni falliscono, praticamente tutto si ferma: servizi pubblici, attività economica, gestione delle emergenze e persino la comunicazione più elementare tra le persone.
In tale contesto, il Ministero per la Trasformazione Digitale e la Pubblica Amministrazione ha promosso una bozza di Regio Decreto sulla sicurezza e la resilienza delle reti e dei servizi di comunicazione elettronica , nonché di alcune infrastrutture digitali . Questo testo, attualmente in fase di consultazione pubblica e di audizione, definisce un quadro giuridico molto dettagliato per rafforzare la sicurezza, garantire la continuità del servizio e minimizzare l'impatto degli incidenti sugli utenti, sulla base di obblighi stringenti per gli operatori e i gestori delle infrastrutture.
Perché la resilienza della rete è diventata una priorità
Negli ultimi anni, una serie di eventi critici, come la pandemia di COVID-19, l'eruzione del vulcano La Palma, la tempesta DANA che ha colpito la Comunità Valenciana nel 2024 e il blackout di aprile, hanno messo a dura prova le infrastrutture di telecomunicazione. Tutti questi eventi hanno evidenziato lo stesso problema: senza comunicazioni affidabili, come nel caso delle interruzioni dei servizi cloud , la gestione delle emergenze diventa significativamente più difficile.
Questi eventi hanno chiarito che le reti, i servizi di comunicazione elettronica e le relative infrastrutture digitali non sono un lusso, bensì una risorsa essenziale per il funzionamento del Paese in situazioni di crisi . Pertanto, il Governo ha deciso di classificarli formalmente come servizi e infrastrutture essenziali in caso di dichiarazione di stato di emergenza.
Questa classificazione implica che, in caso di incidente grave, tutte le amministrazioni pubbliche e le forze di sicurezza statali debbano collaborare alla protezione, alla manutenzione e al rapido ripristino di queste reti. Non si tratta più di una questione "privata" dei singoli operatori, ma di una responsabilità condivisa che coinvolge la sicurezza nazionale, la protezione civile e la continuità dei servizi essenziali.
Il progetto di regolamento nasce anche per colmare una lacuna normativa: fino ad ora esistevano obblighi frammentari in materia di sicurezza informatica, protezione delle infrastrutture critiche e gestione delle emergenze, ma mancava un quadro normativo unificato, aggiornato e specifico sulla sicurezza e la resilienza delle reti di comunicazione e di alcune infrastrutture digitali strategiche.
Ambito di applicazione del decreto reale e soggetti interessati
Il progetto di Regio Decreto si rivolge a un gruppo ben preciso di soggetti interessati, a cominciare dagli operatori di telecomunicazioni che forniscono servizi al pubblico in Spagna . Tra questi figurano le principali compagnie di telecomunicazioni (Telefónica, MasOrange, Vodafone, Digi, ecc.), ma anche altre aziende di dimensioni minori che soddisfano i criteri stabiliti.
Oltre agli operatori di rete, il regolamento si applica anche ai responsabili delle infrastrutture digitali chiave . Ciò include i cavi sottomarini che collegano la Spagna ad altri paesi, i sistemi satellitari , i data center e i punti di interscambio Internet (IXP) che superano determinate soglie di rilevanza.
Nello specifico, tali obblighi si applicheranno a coloro che gestiscono infrastrutture con più di 500.000 utenti o con un fatturato annuo superiore a 50 milioni di euro . Sono inclusi anche gli operatori designati come critici ai sensi della normativa sulle infrastrutture critiche o coloro che forniscono servizi di emergenza, tra gli altri casi specifici che soddisfano determinati requisiti.
Le reti relative alla sicurezza nazionale e alla difesa sono esplicitamente escluse dall'ambito di applicazione del presente testo , in quanto disciplinate da normative specifiche. Tale esclusione evita sovrapposizioni con altri quadri normativi più delicati.
È opportuno sottolineare che il Regio Decreto non si concentra solo sulle grandi reti dorsali o sulle infrastrutture più visibili; il suo obiettivo è che ogni anello rilevante della catena delle comunicazioni elettroniche adotti misure di sicurezza e piani di continuità commisurati alla criticità delle sue infrastrutture.
Piani di sicurezza obbligatori e classificazione delle strutture
Uno dei pilastri centrali della nuova normativa è l'obbligo per le parti interessate di elaborare un Piano di Sicurezza Generale e, in aggiunta, diversi piani specifici adattati alle caratteristiche di ciascuna rete, servizio e tipologia di incidente che potrebbero trovarsi ad affrontare.
Il Piano di Sicurezza Generale deve includere, come minimo, un'analisi sistematica dei rischi che prenda in considerazione le minacce naturali (fenomeni meteorologici estremi, alluvioni, incendi, terremoti), i problemi tecnici (guasti massicci, errori di configurazione, degrado delle apparecchiature) e le minacce intenzionali (attacchi informatici, sabotaggi, intrusioni nelle infrastrutture fisiche).
In base a questa analisi, l'operatore deve definire le misure prioritarie per la prevenzione, la protezione, il rilevamento e la risposta . Ciò include tutto, dalla progettazione di architetture ridondanti e la diversificazione delle linee di trasmissione alla definizione di protocolli per la gestione delle interruzioni di corrente, piani di comunicazione interni ed esterni e procedure di coordinamento con le autorità pubbliche.
Oltre al piano generale, sono necessari piani specifici per ogni tipo di rete e servizio (ad esempio, reti mobili, reti fisse, servizi all'ingrosso, segmenti internazionali, ecc.), nonché per ogni tipo di incidente (interruzione di corrente, guasto software di vasta portata, calamità naturale localizzata, attacco informatico su vasta scala, ecc.). Questi documenti devono essere implementati in loco e devono specificare le responsabilità, i tempi di risposta, le risorse di backup disponibili e le strategie di prioritizzazione del traffico.
Un elemento chiave del sistema è la classificazione di tutti gli impianti degli operatori in diversi livelli, in base alla loro criticità e all'impatto che un'interruzione prolungata avrebbe. Le apparecchiature la cui indisponibilità potrebbe compromettere seriamente l'erogazione dei servizi essenziali saranno collocate al livello più alto, mentre le altre sedi con un impatto minore saranno classificate a livelli intermedi o di base.
Requisiti di autonomia elettrica e continuità del servizio
La parte più impegnativa – e anche la più controversa – del progetto di Regio Decreto è quella che stabilisce l' autonomia elettrica minima che gli impianti devono garantire in caso di interruzione prolungata della corrente. Su questo punto, il testo è molto chiaro e definisce tre livelli in base al livello di criticità assegnato.
Da un lato, le infrastrutture classificate come di primo livello devono essere in grado di continuare a funzionare per almeno 24 ore senza alimentazione dalla rete elettrica convenzionale. Ciò riguarda i nodi centrali, gli elementi della dorsale e le aree in cui una disconnessione avrebbe un impatto enorme sulla connettività.
Un secondo livello comprende strutture di livello intermedio , che devono garantire la capacità operativa per almeno 12 ore. Si tratta di siti importanti, ma il loro impatto è più limitato geograficamente o in termini di servizi interessati.
Infine, le restanti infrastrutture – quelle di livello base – dovranno disporre delle risorse necessarie per garantire un'autonomia elettrica di almeno quattro ore . Sebbene la soglia sia inferiore, rappresenta comunque un notevole passo avanti rispetto alla situazione attuale in molte località, soprattutto in contesti urbani densamente popolati.
Nello specifico ambito delle reti mobili, il decreto introduce un obbligo molto preciso: questa autonomia di quattro ore deve essere sufficiente a garantire la copertura delle comunicazioni ad almeno l'85% della popolazione . Ciò non significa che ogni singola antenna debba raggiungere tale soglia, bensì che la rete nel suo complesso debba essere dimensionata in modo tale che, durante tale periodo, la stragrande maggioranza dei cittadini continui ad avere accesso al servizio, comprese le chiamate al numero di emergenza 112.
Per raggiungere questo obiettivo, ogni operatore avrà la flessibilità di definire la propria strategia di prioritizzazione tecnologica . Ad esempio, potrà rafforzare l'autonomia dei siti chiave, dare priorità alla voce rispetto ai dati, concentrare le risorse nelle aree densamente popolate o su infrastrutture particolarmente sensibili (ospedali, centri di coordinamento delle emergenze, strutture critiche, ecc.). L'importante è che il risultato complessivo soddisfi i requisiti di copertura e continuità.
Costi stimati, discussioni di settore e sfide di implementazione
La relazione che accompagna la bozza del Regio Decreto stima che il costo totale dell'attuazione delle misure di resilienza e sicurezza , principalmente quelle relative al rafforzamento dell'autonomia elettrica, sarà compreso tra 51 e 73 milioni di euro per tutte le reti di comunicazione mobile.
Secondo le stime ufficiali, circa il 30% dei circa 10.400 siti di rete necessari a garantire la copertura all'85% della popolazione dispone già di batterie o generatori in grado di sostenere il servizio per quattro ore. Rimarrebbero quindi circa 7.280 siti che necessiterebbero di essere potenziati con nuove soluzioni di backup.
Utilizzando come punto di riferimento un investimento medio di 7.000 euro per sito , incluso uno sconto per acquisti in volume di circa il 30%, il governo conclude che il costo totale si collocherebbe in un intervallo compreso tra 50,96 e 72,8 milioni di euro. L'amministrazione sottolinea che questa cifra è proporzionata e ragionevole, soprattutto se confrontata con l'impatto sociale ed economico di un diffuso declino delle comunicazioni.
Tuttavia, fonti interne al settore delle telecomunicazioni sostengono che il costo effettivo potrebbe essere molto più elevato , raggiungendo facilmente diverse centinaia di milioni di euro. Le aziende affermano che la stima ufficiale sottovaluta la complessità tecnica e urbanistica di molte installazioni, soprattutto nelle grandi città dove la maggior parte delle antenne viene installata sui tetti degli edifici.
In questi contesti urbani, l'installazione di batterie o generatori ad alta capacità presenta problemi di spazio, sovraccarico strutturale e ostacoli burocratici con le associazioni di proprietari di immobili . Molti tetti non sono progettati per sopportare il maggiore carico che questi sistemi comportano, rendendo necessari lavori di rinforzo o la ricerca di soluzioni alternative altrettanto o addirittura più costose.
Inoltre, le società che gestiscono le torri (tra cui Cellnex, Vantage Towers, Totem e American Tower) non si faranno carico da sole dell'investimento se i contratti con gli operatori non garantiranno un ritorno che compensi la spesa. In definitiva, una parte significativa di questo onere finanziario ricadrà sui bilanci delle compagnie di telecomunicazioni, già messi a dura prova dall'intensa concorrenza, dalle pressioni sui prezzi e dalla necessità di continuare a investire in capacità, 5G e nuove funzionalità.
Dal punto di vista dello Stato, il Governo sottolinea che l' impatto diretto sul bilancio sarà praticamente nullo , poiché le attività di supervisione, coordinamento e risposta si baseranno su strutture e agenzie già esistenti. Riconosce, tuttavia, la possibilità di costi marginali relativi a strumenti di gestione degli incidenti, allo sviluppo di linee guida tecniche o a campagne di audit, senza però impegnarsi in nuove spese significative a meno che, in futuro, non si renda disponibile un programma di cofinanziamento o un aiuto specifico.
Centri 112, sistemi di allerta pubblica e servizi di emergenza
Oltre alla connettività generale, il testo dedica una sezione specifica alle comunicazioni legate ai servizi di emergenza , con particolare attenzione ai centri che gestiscono il numero 112 e ai sistemi di allerta pubblica per la popolazione.
Questi centri di coordinamento per le emergenze, così come gli operatori che forniscono loro la connettività, saranno tenuti a sviluppare i propri piani di sicurezza , allineati al piano generale di sicurezza dell'operatore, ma con un'attenzione specifica alla continuità delle comunicazioni in situazioni critiche.
L'obiettivo è garantire che, anche in scenari estremi come gravi interruzioni di corrente, calamità naturali o incidenti simultanei in tutto il Paese, il numero di emergenza 112 e i sistemi di allerta di massa rimangano operativi. L'esperienza recente ha dimostrato che senza queste comunicazioni, la capacità della protezione civile, della polizia, dei vigili del fuoco e dei servizi medici di emergenza risulta seriamente compromessa.
Il regolamento mira a garantire che sia i centralini di emergenza 112 sia le reti che li supportano dispongano di ridondanza, percorsi alternativi e sufficiente autonomia energetica , prevenendo singoli punti di guasto e riducendo al minimo i tempi di inattività. Si propone inoltre di rafforzare i meccanismi di coordinamento tra questi centralini, gli operatori e le autorità nazionali e regionali responsabili della gestione delle emergenze.
Parallelamente, sono previste disposizioni per garantire che i sistemi di allerta pubblica , ad esempio i messaggi di massa inviati ai telefoni cellulari in caso di catastrofe imminente, mantengano la loro operatività nelle stesse condizioni rigorose richieste per gli altri servizi critici.
Sistema di notifica degli incidenti e classificazione della gravità
Un altro importante paragrafo del Regio Decreto riguarda la procedura per la segnalazione di incidenti relativi alla sicurezza e alla continuità operativa . L'obiettivo è garantire che le autorità abbiano accesso a informazioni affidabili e aggiornate nel più breve tempo possibile, al fine di coordinare risposte efficaci.
Innanzitutto, gli operatori sono tenuti a emettere una notifica iniziale entro un'ora dal verificarsi di un incidente rilevante. Questa comunicazione preliminare non deve necessariamente contenere tutti i dettagli tecnici, ma deve fornire informazioni sufficienti sull'entità iniziale del problema, sui servizi interessati e sulle possibili cause.
Da quel momento in poi, dovranno essere inviate periodicamente notifiche intermedie per aggiornare lo stato dell'incidente, l'andamento delle operazioni di ripristino e qualsiasi cambiamento significativo nell'impatto sugli utenti. La frequenza di queste comunicazioni sarà adeguata all'entità e all'evoluzione dell'evento.
Una volta risolto l'incidente, verrà inviata una notifica finale per chiudere formalmente il ciclo informativo e, in un secondo momento, dovrà essere redatto un rapporto dettagliato che analizzi in profondità le cause principali, gli eventuali errori di progettazione o operativi che vi hanno contribuito, l'impatto reale in termini di utenti e servizi e le misure correttive che verranno introdotte per prevenirne il ripetersi.
Il decreto introduce inoltre un sistema di classificazione degli incidenti come "significativi" o "minori" sulla base di criteri oggettivi: numero di utenti interessati, durata dell'interruzione, area geografica colpita e tipologia di servizio compromesso. Tale classificazione contribuirà a dare priorità alle risorse, ad attivare protocolli specifici e a facilitare il coordinamento con altri organismi nazionali ed europei.
Supervisione, coordinamento istituzionale e un nuovo Comitato per la sicurezza
La Segreteria di Stato per le Telecomunicazioni e le Infrastrutture Digitali è l'autorità responsabile della supervisione del rispetto di tutti gli obblighi previsti dal Regio Decreto. Le sue funzioni includono la ricezione e l'analisi delle segnalazioni di incidenti, la revisione dei piani di sicurezza e lo svolgimento di controlli o verifiche.
Questo organismo sarà inoltre responsabile del coordinamento delle azioni con altre amministrazioni , sia a livello statale che regionale, e della creazione di collaborazioni con enti europei e internazionali che operano nel campo della sicurezza delle reti, della resilienza informatica o della protezione delle infrastrutture critiche.
Il testo prevede la creazione di un Comitato di coordinamento per la sicurezza e la resilienza delle reti e dei servizi di comunicazione elettronica . Questo forum è concepito per fungere da spazio permanente per lo scambio di informazioni, il dibattito tecnico e il monitoraggio dell'attuazione delle misure previste.
Rappresentanti di operatori, gestori di infrastrutture, autorità di regolamentazione, forze di sicurezza e altri soggetti chiave potranno partecipare a questa tavola rotonda, con l'obiettivo di promuovere esercitazioni di simulazione, condividere le migliori pratiche e analizzare incidenti rilevanti per trarne insegnamenti per il futuro.
L'esistenza di questo organismo collegiale è stata anche una richiesta ricorrente dello stesso settore delle telecomunicazioni , che ha auspicato un canale di comunicazione stabile e strutturato con l'amministrazione per affrontare tutto ciò che riguarda la sicurezza e la continuità del servizio.
Processo di consultazione e audizione pubblica per la bozza di regolamento
Prima di giungere all'approvazione definitiva, il progetto di Regio Decreto è soggetto a un duplice processo di partecipazione pubblica , conformemente alle disposizioni della legislazione generale in materia di procedura amministrativa e di redazione di regolamenti.
In primo luogo, è stata avviata una consultazione pubblica preliminare , il cui obiettivo era raccogliere le prime opinioni di operatori, cittadini e di qualsiasi altra parte interessata in merito alla necessità e all'opportunità di sviluppare normative specifiche sulla sicurezza e la resilienza delle reti di comunicazione elettronica e di alcune infrastrutture digitali.
In questa consultazione, individui ed enti potevano inviare i propri contributi all'indirizzo e-mail [email protected] , a condizione che si identificassero correttamente e che i loro commenti si concentrassero sulla giustificazione, la portata e il contenuto generale del futuro regolamento. Si precisava inoltre che i contributi sarebbero stati pubblicati, ad eccezione delle parti espressamente contrassegnate come riservate.
Superata questa fase iniziale, la bozza di testo è stata pubblicata per la consultazione pubblica, che si protrarrà fino all'8 gennaio 2026. In questa fase, operatori, associazioni, imprese e cittadini sono nuovamente invitati a formulare osservazioni più specifiche sugli articoli proposti, sui relativi obblighi e sulla loro fattibilità pratica.
In questa fase, i commenti devono essere inviati all'indirizzo e-mail [email protected] , indicando chiaramente l'identità del mittente e limitandosi a valutare la necessità, la pertinenza o il contenuto del testo sottoposto a consultazione. L'obiettivo è garantire che il risultato finale sia uno standard tecnicamente valido, adattato alle realtà del settore e in linea con gli standard europei in materia di sicurezza informatica e resilienza delle infrastrutture critiche.
L'intero quadro normativo e procedurale mira a garantire che, di fronte a future crisi – siano esse dovute a interruzioni di corrente, eventi meteorologici estremi, guasti tecnici o attacchi informatici su larga scala – il Paese disponga di reti e servizi di comunicazione molto più robusti, con operatori tenuti a pianificare e investire nella resilienza e con amministrazioni meglio connesse, coordinate e preparate a proteggere infrastrutture che sono diventate, senza esagerare, il sistema nervoso della società digitale.
