Operador · grave · aquí cae la seguridad de redes

Conducta

Incumplir las obligaciones relativas a la integridad y seguridad en la prestación de servicios o el suministro de redes de comunicaciones electrónicas

Importe

Hasta 2 000 000 EUR

Art. 107.22 y art. 109.1.c)

Operador · muy grave por reiteración · con inhabilitación

Conducta

Reiterar: dos o más sanciones firmes en vía administrativa por el mismo tipo infractor grave en un período de tres años. La reiteración es la única vía por la que un fallo de seguridad llega a muy grave

Importe

Hasta 20 000 000 EUR, y hasta cinco años de inhabilitación para suministrar redes o prestar servicios de comunicaciones electrónicas

Art. 106.16, art. 109.1.a) y b), y art. 109.6

Operador · grave · interceptación legal

Conducta

Incumplir las obligaciones en materia de interceptación legal de comunicaciones impuestas en desarrollo del artículo 58

Importe

Hasta 2 000 000 EUR

Art. 107.43 y art. 109.1.c)

Operador · leve · no entregar la información de seguridad

Conducta

No facilitar los datos requeridos por la Administración de telecomunicaciones, o retrasar injustificadamente su aportación. Es el tipo que alcanza a negarse a entregar las políticas de seguridad o el resultado de la auditoría del artículo 63.5

Importe

Hasta 100 000 EUR

Art. 108.12 y art. 109.1.d)

Directivo · sanción personal añadida a la de la empresa

Conducta

Representantes legales y miembros de órganos directivos o colegiados de administración que hayan intervenido en el acuerdo o decisión. Es sanción personal y se suma a la de la empresa

Importe

Hasta 60 000 EUR en infracciones muy graves o hasta 30 000 EUR en las graves

Art. 109.5

Cualquier obligado · multa coercitiva diaria

Conducta

No cumplir una resolución o un requerimiento de información del Ministerio o de la CNMC. Es independiente de la sanción y compatible con ella

Importe

Multa coercitiva diaria de 125 a 30 000 EUR

Disp. adicional sexta

La ley no fija ningún plazo para notificar. Ni horas, ni días, ni siquiera una fórmula abierta: el artículo 63.3 dice «notificarán» y se acaba ahí, mientras que el artículo 60.3, tres artículos antes, sí escribe «sin dilaciones indebidas» para las violaciones de datos personales. El reloj se remite a los mecanismos de supervisión y a las instrucciones vinculantes que dicte el Ministerio (art. 63.5), y el análisis de referencias del BOE, consultado el 2026-08-04, no registra ninguna norma que desarrolle el artículo 63. Quien monte su cuadro de plazos con esta norma delante no encontrará el reloj aquí. Conviene saber además dónde acaba la notificación: el Ministerio la traslada, cuando procede, a las autoridades de otros Estados miembros y a ENISA; a la Secretaría de Estado de Seguridad si afecta a operadores estratégicos nacionales, en el marco de la Ley PIC; y a la CNMC si afecta a obligaciones impuestas por ella en los mercados de referencia.

Incidente de seguridad con impacto significativo en el suministro de redes o servicios

Plazo

Sin plazo en la ley

Desde cuándo corre

Desde que el incidente ha tenido impacto significativo, ponderado con cinco parámetros sin umbral y solo «cuando se disponga de ellos»

Art. 63.3

Amenaza particular y significativa de incidente: informar a los usuarios que pudieran verse afectados

Plazo

Sin plazo en la ley

Desde cuándo corre

Desde que existe la amenaza, antes de que haya incidente. Se informa siempre de las medidas o soluciones que puede adoptar el usuario, y de la amenaza misma «cuando proceda»

Art. 63.4

Riesgo particular de violación de la seguridad de la red o del servicio: informar a los abonados

Plazo

Sin plazo en la ley

Desde cuándo corre

Desde que existe un riesgo particular de violación de la seguridad. Se informa del riesgo y de las medidas a adoptar

Art. 60.2

Violación de los datos personales: notificar a la Agencia Española de Protección de Datos

Plazo

«sin dilaciones indebidas»

Desde cuándo corre

Desde la violación de seguridad que provoque destrucción, pérdida, alteración, revelación o acceso no autorizados a datos personales tratados en relación con el servicio

Art. 60.3

Violación de datos personales que pueda afectar negativamente a un abonado o particular: notificarle también a él

Plazo

«sin dilaciones indebidas»

Desde cuándo corre

Desde que se aprecia el posible efecto adverso. Hay exención si el operador prueba ante la AEPD que aplicó medidas que convierten los datos en incomprensibles para quien no está autorizado

Art. 60.3

Divulgación pública del incidente, cuando el Ministerio se la exija al operador

Plazo

Cuando lo exija el Ministerio

Desde cuándo corre

Desde que el Ministerio estima que la divulgación del incidente reviste interés público y exige al operador que informe

Art. 63.3

Ministerio de Asuntos Económicos y Transformación Digital

Cuándo

Incidentes de seguridad con impacto significativo en el suministro de redes o servicios

En España

No hay CERT de por medio: la notificación va a un departamento ministerial. Las palabras CCN, INCIBE y CSIRT no aparecen ni una sola vez en el texto de la ley. La denominación que usa el artículo 63.3 es la que tenía el ministerio en 2022 y el texto consolidado no la ha actualizado; el órgano con nombre estable es la Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales, a la que el artículo 114.1.c) atribuye además la competencia sancionadora sobre esta materia.

Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales ↗

Art. 63.3

Agencia Española de Protección de Datos

Cuándo

Violación de los datos personales tratados en relación con el servicio

En España

La autoridad de protección de datos. Puede además examinar las medidas de seguridad que adopten los operadores y formular recomendaciones sobre mejores prácticas (art. 60.1), y dictar directrices e instrucciones sobre cuándo, con qué formato y cómo se notifica una violación de datos.

Agencia Española de Protección de Datos ↗

Art. 60.3

Usuarios que pudieran verse afectados por la amenaza

Cuándo

Amenaza particular y significativa de incidente de seguridad

En España

Informa el propio operador, sin intermediario ni autoridad de por medio. El contenido obligatorio son las medidas de protección o soluciones que el usuario puede adoptar; la amenaza en sí se comunica «cuando proceda», y la ley no da criterio para decidirlo.

Art. 63.4

Abonados

Cuándo

Riesgo particular de violación de la seguridad de la red o del servicio

En España

Es el gemelo del aviso del artículo 63.4, pero en clave de datos personales y con destinatario distinto: abonados, no usuarios. Dos avisos preventivos, dos destinatarios, dos artículos.

Art. 60.2

El público

Cuándo

Solo si el Ministerio estima que la divulgación reviste interés público y exige al operador que informe

En España

No es una obligación de transparencia propia del operador: es una potestad del Ministerio, que puede informar él mismo o exigir al operador que lo haga.

Art. 63.3

Operadores de redes públicas

Operadores que suministren redes públicas de comunicaciones electrónicas, que además responden de la integridad de la red para asegurar la continuidad del servicio (art. 63.1 y 63.2)

Servicios de comunicaciones al público

Operadores que presten servicios de comunicaciones electrónicas disponibles al público: acceso a internet, comunicaciones interpersonales y transporte de señales, incluidos los servicios máquina a máquina y la radiodifusión (art. 63.1 y anexo II, apdo. 70)

Servicios interpersonales sin numeración

Servicios de comunicaciones interpersonales independientes de la numeración disponibles al público. Lectura nuestra: quedan dentro del artículo 63 pese a estar exentos de notificar al Registro de operadores; ver notas del curador (art. 6.2, 6.6 y anexo II, apdo. 73)

Instalaciones afectas a redes y servicios

Los centros, establecimientos y dependencias afectos a la instalación y explotación de las redes y a la prestación de los servicios, con medidas de seguridad física disponibles en normalidad y en crisis (art. 4.5)

Operadores estratégicos nacionales

Operadores estratégicos nacionales, cuyos incidentes el Ministerio comunica a la Secretaría de Estado de Seguridad para la protección de infraestructuras críticas (art. 63.3)

Exclusiones

Ley 11/2022, de 28 de junio, General de Telecomunicaciones

Identificador

BOE-A-2022-10757

Fuente

BOE · Texto consolidado · Agencia Estatal Boletín Oficial del Estado

Ciberseguridad

Una ley de telecomunicaciones con un capítulo de seguridad: los arts. 58 a 63 imponen gestión de riesgos y notificación de incidentes a los operadores, pero el resto de la ley regula espectro, despliegue y derechos de usuarios. La ficha solo mapea ese corte.

Valoración del curador · nivel 2 de 5

Gestión de los riesgos de seguridad Ciber

Gestionar los riesgos de seguridad de tus redes y servicios, con medidas técnicas y organizativas proporcionadas y al nivel del estado de la técnica. La ley no enumera ni una sola medida concreta: dice qué conseguir, no qué implantar.

Literal de la norma Los operadores de redes públicas de comunicaciones electrónicas y de servicios de comunicaciones electrónicas disponibles al público, gestionarán adecuadamente los riesgos de seguridad que puedan afectar a sus redes y servicios a fin de garantizar un adecuado nivel de seguridad y evitar o reducir al mínimo el impacto de los incidentes de seguridad en los usuarios y en otras redes y servicios, para lo cual deberán adoptar las medidas técnicas y organizativas adecuadas, que deberán ser proporcionadas y en línea con el estado de la técnica, pudiendo incluir el cifrado.

Art. 63.1

Integridad de la red Ciber

Si suministras red pública, garantizar su integridad para que los servicios que la usan no se interrumpan. Aquí integridad es la de la infraestructura, no la de los datos.

Literal de la norma Asimismo, los operadores de redes públicas de comunicaciones electrónicas garantizarán la integridad de las mismas a fin de asegurar la continuidad en la prestación de los servicios que utilizan dichas redes.

Art. 63.2

Disponibilidad ante fallo catastrófico Ciber

Sostener el servicio en catástrofe. Para voz e internet, «la mayor disponibilidad posible»; para emergencias y alertas públicas, acceso sin interrupciones. El 112 y las alertas no admiten degradación.

Literal de la norma En particular, los operadores garantizarán la mayor disponibilidad posible de los servicios de comunicaciones vocales y de acceso a internet a través de las redes públicas de comunicaciones electrónicas en caso de fallo catastrófico de la red o en casos de fuerza mayor, y adoptarán todas las medidas necesarias para garantizar el acceso sin interrupciones a los servicios de emergencia y la transmisión ininterrumpida de las alertas públicas.

Art. 63.6

Control de acceso, protección de los datos y política de seguridad Ciber

Implantar tres controles nominados para proteger los datos personales: que solo acceda el personal autorizado, que los datos estén protegidos en reposo y en tránsito, y que haya una política de seguridad aplicada de verdad. Es lo único de la ley que dice qué implantar, y llega por la puerta de la protección de datos.

Literal de la norma Los operadores que suministren redes públicas de comunicaciones electrónicas o que presten servicios de comunicaciones electrónicas disponibles al público, incluidas las redes públicas de comunicaciones que den soporte a dispositivos de identificación y recopilación de datos, deberán adoptar las medidas técnicas y de gestión adecuadas para preservar la seguridad en el suministro de su red o en la prestación de sus servicios, con el fin de garantizar la protección de los datos de carácter personal.

Art. 60.1

Seguridad física de los centros e instalaciones Ciber

Los centros e instalaciones afectos a la red llevan medidas de seguridad física, vigilancia y protección fijadas por el Gobierno, y tienen que estar disponibles también en crisis y en estado de alarma. Qué medidas son concretamente no está en la ley.

Literal de la norma Los bienes muebles o inmuebles vinculados a los centros, establecimientos y dependencias afectos a la instalación y explotación de las redes y a la prestación de los servicios de comunicaciones electrónicas dispondrán de las medidas y sistemas de seguridad, vigilancia, difusión de información, prevención de riesgos y protección que se determinen por el Gobierno, a propuesta de los Ministerios de Defensa, del Interior o de Asuntos Económicos y Transformación Digital, dentro del ámbito de sus respectivas competencias.

Art. 4.5

Notificación de incidentes al Ministerio Ciber

Notificar al Ministerio los incidentes con impacto significativo. Sin plazo, sin umbral y sin CERT de por medio: la ley no dice cuándo, no dice cuánto, y el destinatario es un departamento ministerial.

Literal de la norma Los operadores que suministren redes públicas o presten servicios de comunicaciones electrónicas disponibles al público notificarán al Ministerio de Asuntos Económicos y Transformación Digital los incidentes de seguridad que hayan tenido un impacto significativo en el suministro de las redes o los servicios.

Art. 63.3

Aviso a los usuarios ante amenaza significativa Ciber

Avisar a los usuarios que puedan verse afectados cuando haya una amenaza significativa, antes de que haya incidente. Informar de las medidas es siempre; informar de la amenaza en sí es «cuando proceda», y quien decide eso eres tú.

Literal de la norma En caso de que exista una amenaza particular y significativa de incidente de seguridad en las redes públicas de comunicaciones electrónicas o en los servicios de comunicaciones electrónicas disponibles para el público, los operadores deberán informar a sus usuarios que pudieran verse afectados por dicha amenaza sobre las posibles medidas de protección o soluciones que pueden adoptar los usuarios.

Art. 63.4

Notificación de violaciones de datos e inventario Ciber

Notificar a la AEPD las violaciones de datos personales sin dilaciones indebidas, avisar también al abonado si le puede afectar, y llevar un inventario de todas ellas aunque no haya que notificarlas. La exención del aviso al afectado es cifrado eficaz dicho sin nombrarlo.

Literal de la norma En caso de violación de los datos personales, el operador de servicios de comunicaciones electrónicas disponibles al público notificará sin dilaciones indebidas dicha violación a la Agencia Española de Protección de Datos.

Art. 60.3

Aviso a los abonados ante riesgo de violación Ciber

Informar a los abonados cuando haya un riesgo particular de violación de la seguridad, del riesgo y de las medidas a adoptar. Es el gemelo del aviso del artículo 63.4, con otro destinatario.

Literal de la norma En caso de que exista un riesgo particular de violación de la seguridad de la red pública o del servicio de comunicaciones electrónicas, el operador que suministre dicha red o preste el servicio de comunicaciones electrónicas informará a los abonados sobre dicho riesgo y sobre las medidas a adoptar.

Art. 60.2

Secreto de las comunicaciones e interceptación legal Ciber

Garantizar el secreto de las comunicaciones con medidas técnicas (apdo. 1, de donde sale el literal), y sostener a tu costa la capacidad de interceptación legal: interfaces preparadas en todo momento y entrega de lo interceptado sin tu propio cifrado cuando sea reversible (apdos. 2, 10 y 11).

Literal de la norma Los operadores que suministren redes públicas de comunicaciones electrónicas o que presten servicios de comunicaciones electrónicas disponibles al público deberán garantizar el secreto de las comunicaciones de conformidad con los artículos 18.3 y 55.2 de la Constitución, debiendo adoptar las medidas técnicas necesarias.

Art. 58

Entrega de algoritmos y aparatos de cifra Ciber

Puedes cifrar, y pueden pedirte los algoritmos. La ley reconoce el cifrado como instrumento de seguridad y a la vez permite exigir su entrega, y la de los aparatos de cifra sin coste, por seguridad del Estado o persecución de delitos.

Literal de la norma El cifrado es un instrumento de seguridad de la información.

Art. 62.2

Instrucciones vinculantes, documentación y auditoría Ciber

Aceptar la supervisión: instrucciones vinculantes del Ministerio (incluidas medidas adicionales a las que tú hayas identificado), entrega de tus políticas de seguridad (letra a), y auditoría por un tercero independiente que pagas tú (letra b, de donde sale el literal). La auditoría es una potestad del Ministerio, no un ciclo periódico.

Literal de la norma b) la obligación de someterse a una auditoría de seguridad realizada por un organismo independiente o por una autoridad competente, y de poner el resultado a disposición del Ministerio de Asuntos Económicos y Transformación Digital. El coste de la auditoría será sufragado por el operador.

Art. 63.5

Información para evaluar la integridad y la seguridad Ciber

Entregar al Ministerio y a la CNMC la información que te pidan para evaluar la integridad y la seguridad de las redes y servicios. Alcanza también a los puntos de intercambio de internet y a los centros de proceso de datos vinculados al suministro de redes.

Literal de la norma l) evaluar la integridad y la seguridad de las redes y servicios de comunicaciones electrónicas;

Art. 9.1.l)

Cuerpo normativo de seguridad Compartida

El cuerpo normativo de seguridad: qué se protege, quién decide y contra qué criterios se mide todo lo demás, escrito, comunicado a quien tiene que cumplirlo y vivo.

Arts. 60.1.c) y 63.5.a) · categorización del curador, no de la norma

Gestión de riesgos de seguridad Compartida

Conocer a qué está expuesto el negocio y decidir qué se acepta y qué se trata: el proceso de gestión de riesgos determina las prioridades del resto de iniciativas.

Art. 63.1 · categorización del curador, no de la norma

Seguridad física y del entorno Compartida

Protección del espacio físico donde operan los sistemas, un plano que las medidas lógicas no cubren.

Art. 4.5 · categorización del curador, no de la norma

Capacidad de respuesta a incidentes Compartida

La capacidad de gestionar un incidente de seguridad de principio a fin, desde la detección del primer indicio hasta la recuperación de la operación normal.

Arts. 63.3 y 60.3 · categorización del curador, no de la norma

Monitorización y detección Compartida

Capacidad de observar de forma continua lo que ocurre en sistemas, redes y servicios, sostenida como un servicio con responsable y no como una herramienta desatendida.

Arts. 63.3 y 63.4 · categorización del curador, no de la norma

Continuidad de negocio y gestión de crisis Compartida

La capacidad de seguir prestando el servicio cuando algo grande falla y de volver a la normalidad con orden, decidida y preparada antes de necesitarla.

Arts. 63.2 y 63.6 · categorización del curador, no de la norma

Conformidad y certificación Compartida

Poder demostrar a un tercero lo que se ha hecho, en sus dos versiones: la conformidad de la organización, que se audita y se certifica, y la del producto, que se evalúa, se documenta y se marca antes de venderlo. Es el expediente que convierte el cumplimiento en algo oponible a un cliente, a un pliego o a un supervisor.

Art. 63.5.b) · categorización del curador, no de la norma

Criptografía y protección del dato Compartida

Protección del dato en reposo y en tránsito mediante cifrado, gobernada por decisiones documentadas sobre qué se cifra, con qué algoritmos y cómo se custodian las claves.

Arts. 60.1.b), 63.1, 58.1, 58.11 y 62.2 · categorización del curador, no de la norma

Gestión de identidades y accesos (IAM) Compartida

Un sistema de gestión de identidades y accesos: cada identidad, humana o de máquina, es conocida, se autentica por un punto controlado y pierde el acceso cuando corresponde.

Art. 60.1.a) · categorización del curador, no de la norma

Proceso de notificación regulatoria Compartida

Saber a quién, qué y en cuánto tiempo hay que notificar un incidente, y poder hacerlo bajo presión y con los relojes en contra.

Arts. 63.3, 63.4, 60.2 y 60.3 · categorización del curador, no de la norma

Capacidad de interceptación legal

Sostener una capacidad técnica permanente, no atender un trámite jurídico: una o más interfaces preparadas en todo momento hacia los centros de recepción, con el formato que fije el Ministerio, y la capacidad de deshacer tu propia compresión, cifrado o codificación cuando sea reversible. La monta y la paga el operador.

Art. 58, apdos. 2, 10 y 11 · categorización del curador, no de la norma

Acceso ininterrumpido a emergencias y alertas públicas

Diseñar dos flujos con un nivel de servicio distinto del resto de la red: la llamada a los servicios de emergencia y la transmisión de alertas públicas no admiten interrupción ni en fallo catastrófico ni en fuerza mayor. Alimentación, rutas y capacidad reservadas para ellos, y ensayo del escenario que tumba todo lo demás.

Art. 63.6 · categorización del curador, no de la norma

Operador de redes públicas

Quien suministra una red pública de comunicaciones electrónicas, que el anexo II define como la que se utiliza, en su totalidad o principalmente, para prestar servicios disponibles al público y soporta la transferencia de información entre puntos de terminación. Es una de las dos puertas de entrada de la ley, y se cruza sin venderle nada a un usuario final: basta con tender y explotar la red por la que pasa el tráfico de terceros. No hay umbral de tamaño, de facturación ni designación administrativa.

Literal de la norma persona física o jurídica que suministra redes públicas de comunicaciones electrónicas o presta servicios de comunicaciones electrónicas disponibles al público y ha notificado al Registro de operadores el inicio de su actividad o está inscrita en el Registro de operadores.

Anexo II, apdos. 45 y 64

Prestador de servicios al público

Quien presta servicios de comunicaciones electrónicas disponibles al público, que el anexo II desglosa en tres especies: acceso a internet, comunicaciones interpersonales y transporte de señales, incluidos los servicios máquina a máquina y la radiodifusión. Es la segunda puerta de entrada y es independiente de la primera: un revendedor sin un metro de cable propio queda dentro igual. Lectura nuestra, no del texto: también los servicios interpersonales independientes de la numeración, pese a estar exentos de notificar al Registro de operadores que la definición literal exige; ver notas del curador.

Literal de la norma persona física o jurídica que suministra redes públicas de comunicaciones electrónicas o presta servicios de comunicaciones electrónicas disponibles al público y ha notificado al Registro de operadores el inicio de su actividad o está inscrita en el Registro de operadores.

Anexo II, apdos. 45 y 70 · arts. 6.2 y 6.6

Titular de IXP o CPD

Titular de un punto de intercambio de internet o de un centro de proceso de datos vinculado al suministro de redes. No es operador y no le alcanza el artículo 63, pero el artículo 9.1 lo nombra expresamente entre los sujetos a los que el Ministerio y la CNMC pueden requerir información para evaluar la integridad y la seguridad de las redes y servicios. La ley no lo define en el anexo II: el papel se deduce de la lista de sujetos del propio artículo 9.1.

Art. 9.1