La résilience des réseaux de communication est devenue un sujet central des agendas politiques et économiques, ainsi que des conversations quotidiennes. Les pannes de courant, les pluies torrentielles, les éruptions volcaniques et les pandémies ont démontré que lorsque les télécommunications sont défaillantes, pratiquement tout s'arrête : les services publics, l'activité économique, les interventions d'urgence et même les communications les plus élémentaires entre les personnes.
Dans ce contexte, le ministère de la Transformation numérique et de l'Administration publique a présenté un projet de décret royal relatif à la sécurité et à la résilience des réseaux et services de communications électroniques , ainsi que de certaines infrastructures numériques . Ce texte, actuellement soumis à consultation publique, établit un cadre juridique précis visant à renforcer la sécurité, garantir la continuité de service et minimiser l'impact des incidents sur les utilisateurs, en imposant des obligations strictes aux opérateurs et aux gestionnaires d'infrastructures.
Pourquoi la résilience du réseau est devenue une priorité
Ces dernières années, une série d' événements critiques, tels que la pandémie de COVID-19, l'éruption du volcan La Palma, la tempête Dana qui a frappé la Communauté valencienne en 2024 et la panne de courant d'avril, ont mis à rude épreuve les infrastructures de télécommunications. Tous ces événements ont mis en lumière un même problème : sans communications fiables, comme c'est le cas lors des interruptions de services cloud , la gestion des situations d'urgence devient beaucoup plus complexe.
Ces événements ont clairement démontré que les réseaux, les services de communications électroniques et l'infrastructure numérique associée ne constituent pas un luxe, mais un atout essentiel au fonctionnement du pays en situation de crise . Par conséquent, le gouvernement a décidé de les classer officiellement comme services et infrastructures essentiels en cas d'état d'urgence.
Cette classification implique qu’en cas d’incident grave, toutes les administrations publiques et les forces de sécurité de l’État doivent collaborer à la protection, à la maintenance et au rétablissement rapide de ces réseaux. Il ne s’agit plus seulement d’une affaire « privée » pour les opérateurs, mais d’une responsabilité partagée impliquant la sécurité nationale, la protection civile et la continuité des services essentiels.
Le projet de règlement vise également à combler une lacune réglementaire : jusqu’à présent, il existait différentes obligations éparses dans le domaine de la cybersécurité, de la protection des infrastructures critiques ou de la gestion des urgences, mais il n’y avait pas de cadre unifié, actualisé et spécifique sur la sécurité et la résilience des réseaux de communication et de certaines infrastructures numériques stratégiques.
Champ d’application du décret royal et personnes concernées
Le projet de décret royal vise un groupe d'acteurs très précis, à commencer par les opérateurs de communications électroniques fournissant des services au public en Espagne . Cela inclut les principaux opérateurs de télécommunications (Telefónica, MasOrange, Vodafone, Digi, etc.), mais aussi d'autres entreprises plus petites répondant aux critères établis.
Outre les opérateurs de réseau, la réglementation s'applique également aux responsables des infrastructures numériques essentielles . Cela inclut les câbles sous-marins reliant l'Espagne à d'autres pays, les systèmes satellitaires , les centres de données et les points d'échange Internet (IXP) qui dépassent certains seuils de pertinence.
Plus précisément, ces obligations s'appliqueront aux gestionnaires d'infrastructures comptant plus de 500 000 utilisateurs ou dont le chiffre d'affaires annuel dépasse 50 millions d'euros . Sont également concernés les opérateurs désignés comme critiques au titre de la réglementation relative aux infrastructures critiques ou ceux fournissant des services d'urgence, ainsi que d'autres cas spécifiques répondant à certains critères.
Les réseaux liés à la sécurité et à la défense nationales sont expressément exclus du champ d'application du présent texte , car ils sont régis par leur propre réglementation. Cette exclusion permet d'éviter tout chevauchement avec d'autres cadres réglementaires plus sensibles.
Il convient de souligner que le décret royal ne se concentre pas uniquement sur les grands réseaux dorsaux ou les infrastructures les plus visibles ; son objectif est que chaque maillon pertinent de la chaîne de communications électroniques adopte des mesures de sécurité et des plans de continuité adaptés à la criticité de ses installations.
Plans de sécurité obligatoires et classification des installations
L'un des piliers centraux de la nouvelle réglementation est l'obligation pour les parties concernées d'élaborer un plan général de sécurité et, en outre, divers plans spécifiques adaptés aux caractéristiques de chaque réseau, service et type d'incident auquel elles peuvent être confrontées.
Le plan général de sécurité doit comprendre, au minimum, une analyse systématique des risques qui prenne en compte les menaces naturelles (phénomènes météorologiques extrêmes, inondations, incendies, tremblements de terre), les problèmes techniques (pannes massives, erreurs de configuration, dégradation des équipements) et les menaces intentionnelles (cyberattaques, sabotage, intrusions dans les infrastructures physiques).
Sur la base de cette analyse, l'opérateur doit définir des mesures prioritaires de prévention, de protection, de détection et d'intervention . Cela comprend notamment la conception d'architectures redondantes , la diversification des itinéraires de transmission, l'établissement de protocoles de gestion des pannes de courant, de plans de communication internes et externes, ainsi que de procédures de coordination avec les autorités publiques.
Outre le plan global, des plans spécifiques sont requis pour chaque type de réseau et de service (réseaux mobiles, réseaux fixes, services de gros, segments internationaux, etc.), ainsi que pour chaque type d'incident (panne de courant, défaillance logicielle majeure, catastrophe naturelle localisée, cyberattaque de grande ampleur, etc.). Ces documents doivent être mis en œuvre sur site et détailler les responsabilités, les délais d'intervention, les ressources de secours disponibles et les stratégies de priorisation du trafic.
Un élément clé de ce dispositif est la classification des installations de tous les opérateurs en différents niveaux, en fonction de leur criticité et de l'impact qu'aurait une panne prolongée. Les équipements dont l'indisponibilité pourrait gravement affecter la fourniture des services essentiels seront classés au niveau le plus élevé, tandis que les autres sites, moins impactés, seront classés aux niveaux intermédiaire ou de base.
Exigences en matière d'autonomie électrique et de continuité de service
La partie la plus exigeante – et aussi la plus controversée – du projet de décret royal est celle qui fixe l’ autonomie électrique minimale que les installations doivent garantir en cas de coupure de courant prolongée. Le texte est très clair à ce sujet et définit trois niveaux en fonction du degré de criticité attribué.
D'une part, les infrastructures de premier niveau doivent pouvoir fonctionner pendant au moins 24 heures sans alimentation électrique provenant du réseau conventionnel. Cela concerne les nœuds centraux, les éléments dorsaux et les sites où une coupure aurait un impact majeur sur la connectivité.
Un deuxième niveau comprend les installations de niveau intermédiaire , qui doivent garantir une capacité opérationnelle d'au moins 12 heures. Ce sont des sites importants, mais leur impact est plus limité géographiquement ou en termes de services affectés.
Enfin, les installations restantes – celles de base – devront disposer des ressources nécessaires pour assurer un service d’autonomie électrique d’au moins quatre heures . Bien que ce seuil soit plus bas, il représente tout de même un progrès considérable par rapport à la situation actuelle dans de nombreux endroits, notamment en milieu urbain dense.
Dans le domaine spécifique des réseaux mobiles, le décret introduit une obligation très précise : cette autonomie de quatre heures doit être suffisante pour maintenir la couverture des communications pour au moins 85 % de la population . Cela ne signifie pas que chaque antenne individuelle doit atteindre ce seuil, mais plutôt que le réseau dans son ensemble doit être dimensionné de manière à ce que, pendant cette période, la grande majorité des citoyens continuent d’avoir accès au service, y compris aux appels d’urgence au 112.
Pour atteindre cet objectif, chaque opérateur aura la latitude de définir sa propre stratégie de priorisation technologique . Il pourra, par exemple, renforcer l'autonomie des sites clés, privilégier la voix sur les données, concentrer les ressources dans les zones densément peuplées ou sur les infrastructures particulièrement sensibles (hôpitaux, centres de coordination des urgences, installations critiques, etc.). L'essentiel est que le résultat global réponde aux exigences de couverture et de continuité.
Estimation des coûts, discussions sectorielles et défis de déploiement
Le rapport accompagnant le projet de décret royal estime que le coût total de la mise en œuvre des mesures de résilience et de sécurité – principalement celles liées au renforcement de l’autonomie électrique – se situera entre 51 et 73 millions d’euros pour l’ensemble des réseaux de communications mobiles.
D'après les estimations officielles, environ 30 % des quelque 10 400 sites de réseau nécessaires pour garantir la couverture de 85 % de la population sont déjà équipés de batteries ou de générateurs capables d'assurer l'alimentation pendant quatre heures. Il resterait donc environ 7 280 sites à renforcer avec de nouvelles solutions de secours.
En prenant comme référence un investissement moyen de 7 000 € par site – et en appliquant une réduction de volume d’environ 30 % –, le gouvernement estime le coût total entre 50,96 et 72,8 millions d’euros. L’administration souligne que ce montant est proportionné et raisonnable, notamment au regard des conséquences socio-économiques d’une dégradation généralisée des communications.
Cependant, des sources au sein du secteur des télécommunications affirment que le coût réel pourrait être bien plus élevé , atteignant facilement plusieurs centaines de millions d'euros. Les entreprises soutiennent que l'estimation officielle sous-estime la complexité technique et urbaine de nombreux déploiements, notamment dans les grandes villes où la plupart des antennes sont installées sur les toits des immeubles.
En milieu urbain, l'installation de batteries ou de générateurs de grande capacité pose des problèmes d'espace, de surcharge structurelle et de démarches administratives auprès des syndics de copropriété . De nombreuses toitures ne sont pas conçues pour supporter la charge supplémentaire induite par ces systèmes, ce qui nécessite des travaux de renforcement ou la recherche de solutions alternatives tout aussi, voire plus, coûteuses.
De plus, les sociétés de gestion de tours (Cellnex, Vantage Towers, Totem, American Tower, entre autres) ne supporteront pas seules l'investissement si les contrats avec les opérateurs ne garantissent pas un retour sur investissement suffisant pour couvrir les dépenses. Au final, une part importante de cette charge financière pèsera sur les bilans des entreprises de télécommunications, déjà fragilisés par une concurrence intense, la pression sur les prix et la nécessité de continuer à investir dans la capacité, la 5G et les nouvelles fonctionnalités.
Du point de vue de l'État, le gouvernement souligne que l' impact budgétaire direct sera quasi nul , les tâches de supervision, de coordination et d'intervention reposant sur les structures et organismes existants. Il reconnaît toutefois la possibilité de coûts marginaux liés aux outils de gestion des incidents, à l'élaboration de directives techniques ou aux campagnes d'audit, sans pour autant s'engager à de nouvelles dépenses importantes, sauf si un programme de cofinancement ou une aide spécifique est mis en place ultérieurement.
112 centres, systèmes d'alerte publique et services d'urgence
Au-delà de la connectivité générale, le texte consacre une section spéciale aux communications liées aux services d'urgence , avec un accent particulier sur les centres qui gèrent le numéro 112 et sur les systèmes d'alerte publique pour la population.
Ces centres de coordination des urgences, ainsi que les opérateurs qui leur assurent la connectivité, seront tenus d' élaborer leurs propres plans de sécurité , alignés sur le plan général de sécurité de l'opérateur, mais axés très spécifiquement sur la continuité des communications dans les situations critiques.
L’objectif est de garantir que, même dans des situations extrêmes telles que des pannes de courant majeures, des catastrophes naturelles ou des incidents simultanés à l’échelle nationale, le numéro d’urgence 112 et les systèmes d’alerte de masse restent opérationnels. L’expérience récente a démontré que, sans ces moyens de communication, les capacités des services de protection civile, de police, d’incendie et d’aide médicale d’urgence sont gravement compromises.
Ce règlement vise à garantir la redondance, des itinéraires alternatifs et une autonomie énergétique suffisante aux centres d'appels d'urgence 112 et aux réseaux qui les prennent en charge , afin de prévenir les défaillances ponctuelles et de minimiser les interruptions de service. Il vise également à renforcer la coordination entre ces centres, les opérateurs et les autorités nationales et régionales compétentes en matière de gestion des urgences.
Parallèlement, des dispositions sont prévues pour garantir que les systèmes d'alerte publique – par exemple, les messages de masse envoyés aux téléphones portables en cas de catastrophe imminente – restent opérationnels dans les mêmes conditions exigeantes que celles requises pour les autres services critiques.
Système de notification des incidents et classification de leur gravité
Une autre section importante du décret royal concerne la procédure de signalement des incidents de sécurité et de continuité d'activité . L'objectif est de garantir aux autorités un accès rapide à des informations fiables et actualisées afin de coordonner des interventions efficaces.
Premièrement, les opérateurs sont tenus d'émettre une première notification dans l'heure suivant un incident pertinent. Cette communication précoce n'a pas besoin de contenir tous les détails techniques, mais elle doit fournir des informations suffisantes sur l'étendue préliminaire de l'incident, les services affectés et les causes possibles.
À partir de ce moment, des notifications intermédiaires régulières devront être envoyées afin de faire le point sur l'état de l'incident, l'avancement des efforts de rétablissement et toute évolution significative de son impact sur les utilisateurs. La fréquence de ces communications sera adaptée à l'ampleur et à l'évolution de l'événement.
Une fois l'incident résolu, une notification finale sera envoyée pour clore officiellement le cycle d'information, et ultérieurement un rapport détaillé devra être établi analysant en profondeur les causes profondes, les défaillances de conception ou d'exploitation qui ont pu y contribuer, l'impact réel en termes d'utilisateurs et de services, ainsi que les mesures correctives qui seront mises en place pour éviter toute récidive.
Le décret instaure également un système de classification des incidents en « importants » ou « mineurs » selon des critères objectifs : nombre d’utilisateurs touchés, durée de l’interruption, zone géographique impactée et type de service compromis. Cette classification permettra de prioriser les ressources, d’activer des protocoles spécifiques et de faciliter la coordination avec les autres organismes nationaux et européens.
Supervision, coordination institutionnelle et un nouveau comité de sécurité
Le Secrétariat d'État aux Télécommunications et aux Infrastructures numériques est l'autorité chargée de veiller au respect de toutes les obligations prévues par le décret royal. Ses fonctions comprennent la réception et l'analyse des rapports d'incidents, l'examen des plans de sécurité et la réalisation de contrôles ou d'audits.
Cet organisme sera également chargé de coordonner les actions avec les autres administrations , tant au niveau national que régional, et d'établir une collaboration avec les entités européennes et internationales travaillant sur la sécurité des réseaux, la cyber-résilience ou la protection des infrastructures critiques.
Le texte prévoit la création d'un Comité de coordination pour la sécurité et la résilience des réseaux et services de communications électroniques . Ce forum a vocation à constituer un espace permanent d'échange d'informations, de débats techniques et de suivi de la mise en œuvre des mesures prévues.
Des représentants des opérateurs, des gestionnaires d'infrastructures, des autorités de réglementation, des forces de sécurité et d'autres acteurs clés pourront participer à cette table ronde, dans le but de promouvoir des exercices de simulation, de partager les meilleures pratiques et d'analyser les incidents pertinents afin d'en tirer des enseignements pour l'avenir.
L'existence de cet organe collégial était également une revendication récurrente du secteur des télécommunications lui-même , qui réclamait un canal de communication stable et structuré avec l'administration pour traiter de tout ce qui concernait la sécurité et la continuité du service.
Processus de consultation et audience publique concernant le projet de règlement
Avant d'être approuvé définitivement, le projet de décret royal est soumis à une double procédure de consultation publique , conformément aux dispositions de la législation générale relative à la procédure administrative et à l'élaboration des règlements.
Dans un premier temps, une consultation publique préliminaire a été ouverte , dont l'objectif était de recueillir les premières opinions des opérateurs, des citoyens et de toute partie intéressée sur la nécessité et l'opportunité d'élaborer une réglementation spécifique sur la sécurité et la résilience des réseaux de communications électroniques et de certaines infrastructures numériques.
Dans le cadre de cette consultation, les personnes physiques et morales pouvaient soumettre leurs contributions à l'adresse électronique [email protected] , à condition de s'identifier correctement et de centrer leurs commentaires sur la justification, la portée et le contenu général de la future réglementation. Il a également été précisé que les contributions seraient publiées, à l'exception des passages expressément désignés comme confidentiels.
Après avoir franchi cette première étape, le projet de texte a été publié pour consultation publique jusqu'au 8 janvier 2026. À ce stade, les opérateurs, les associations, les entreprises et les citoyens sont à nouveau invités à formuler des observations plus spécifiques sur les articles proposés, leurs obligations spécifiques et leur faisabilité pratique.
Les commentaires à ce stade doivent être envoyés à l'adresse électronique [email protected] , en indiquant clairement l'identité de l'expéditeur et en se limitant à évaluer la nécessité, la pertinence ou le contenu du texte soumis à consultation. L'objectif est de garantir que le résultat final soit une norme techniquement solide, adaptée aux réalités du secteur et conforme aux normes européennes en matière de cybersécurité et de résilience des infrastructures critiques.
L’ensemble de ce cadre réglementaire et procédural vise à garantir que, face aux crises futures – qu’elles proviennent de pannes de courant, d’événements climatiques extrêmes, de défaillances techniques ou de cyberattaques de grande ampleur – le pays dispose de réseaux et de services de communication beaucoup plus robustes, avec des opérateurs tenus de planifier et d’investir dans la résilience, et avec des administrations mieux connectées, coordonnées et préparées à protéger les infrastructures qui sont devenues, sans exagération, le système nerveux de la société numérique.
