Infracción muy grave

Conducta

Infracción muy grave: el incumplimiento por los operadores 5G que sean titulares o exploten elementos críticos de una red pública 5G de las obligaciones del artículo 12.3, que son la estrategia de diversificación, las dos prohibiciones de suministrador de alto riesgo, la autorización previa de estaciones en ubicaciones sensibles y la ubicación de los elementos críticos en territorio nacional

Importe

No determinable con certeza a partir del texto vigente. El artículo 30.6 remite a las sanciones del artículo 79 de la Ley 9/2014, derogada por la Ley 11/2022 sin cláusula que reconduzca las referencias; ver los matices

RDL, art. 30.3 · art. 30.6

Infracción grave

Conducta

Infracciones graves: el incumplimiento por el operador 5G del resto del artículo 12, por el suministrador 5G del artículo 13, por el usuario corporativo del artículo 15 y por las Administraciones públicas del artículo 17; el incumplimiento de estipulaciones del Esquema Nacional cuando sean directamente exigibles; y la desatención de un requerimiento de información una vez pasado un mes desde el fin del plazo dado

Importe

No determinable con certeza a partir del texto vigente, por la misma remisión rota del artículo 30.6

RDL, art. 30.4 · art. 30.6 · ENS5G, arts. 21.3 y 30.3

Infracción leve

Conducta

Infracciones leves: los cumplimientos defectuosos y los incumplimientos parciales de cualquiera de las conductas clasificadas como graves. No hay tipos leves propios, solo la versión degradada de los graves

Importe

No determinable con certeza a partir del texto vigente, por la misma remisión rota del artículo 30.6

RDL, art. 30.5 · art. 30.6

Dos avisos que se pierden al leer solo el esquema. El primero es que la remisión del artículo 28.1 se anticipó por escrito a la transposición de NIS2: dice «o en base a la normativa que pudiera remplazar a esta regulación», de forma que el día que exista ley española de transposición el régimen de notificación de un operador 5G cambia solo, sin tocar ni una coma de estas dos normas. El segundo es que el canal específicamente 5G no existe todavía: el artículo 28.6 anuncia una orden ministerial que fijaría la tipología de incidentes y los protocolos para que el Ministerio conozca de ellos a través del Centro de Operaciones de Seguridad 5G de referencia, y esa orden no consta dictada a 10 de agosto de 2026.

Cualquier incidente de seguridad en los sistemas, redes o servicios 5G de un sujeto obligado. El esquema no lo tipifica ni lo umbraliza: se notifica lo que el régimen al que remite considere notificable

Plazo

El del régimen al que remite. El Real Decreto-ley 12/2018 no contiene plazos numéricos, solo «sin dilación indebida»; los números están en la tabla 3 del anexo del Real Decreto 43/2021, con notificación inicial inmediata y las intermedias y finales contadas desde el envío de la inicial

Desde cuándo corre

El del régimen al que remite. El esquema no fija ninguno propio, y por eso no hay un reloj 5G distinto del general

ENS5G, art. 28.1

El INCIBE-CERT, del Instituto Nacional de Ciberseguridad de España

Cuándo

Cuando el sujeto obligado no sea una entidad del sector público, es decir, no esté incluido en el ámbito subjetivo de la Ley 40/2015

En España

Es el equipo de respuesta que atiende a operadores, suministradores y usuarios corporativos privados. Ejerce sus funciones e implementa sus procedimientos en los términos del Real Decreto-ley 12/2018 y del Real Decreto 43/2021, así que la puerta y el procedimiento son los mismos que ya usa quien está en el régimen general.

INCIBE-CERT ↗

ENS5G, art. 28.2

El CCN-CERT, del Centro Criptológico Nacional

Cuándo

Cuando el sujeto obligado sea una entidad del sector público incluida en el ámbito subjetivo de la Ley 40/2015

En España

Atiende a las Administraciones públicas que despliegan o usan 5G, con la misma remisión al régimen general. El reparto es idéntico al del Real Decreto-ley 12/2018, y por eso una entidad pública no cambia de interlocutor por el hecho de que el incidente ocurra en una red 5G.

CCN-CERT ↗

ENS5G, art. 28.3

El ESPDEF-CERT, del Mando Conjunto del Ciberespacio

Cuándo

Cuando el CCN-CERT o el INCIBE-CERT lo requieran en apoyo de un operador 5G, y necesariamente en aquellos operadores que tengan incidencia en la Defensa Nacional

En España

No es una puerta de entrada alternativa: coopera con los otros dos, no los sustituye. Su intervención es obligada, y no discrecional, en los operadores con incidencia en la Defensa Nacional.

ESPDEF-CERT · Mando Conjunto del Ciberespacio ↗

ENS5G, art. 28.4

El Centro de Operaciones de Seguridad 5G de referencia, a través del Ministerio

Cuándo

Cuando se dicte la orden ministerial que fije la tipología de incidentes y los protocolos de actuación y comunicación. No consta dictada a 10 de agosto de 2026, así que este canal no está operativo

En España

Sería el único canal específicamente 5G del régimen. Su gestión y coordinación corresponde, desde el 29 de noviembre de 2024, a la División de Seguridad de las Telecomunicaciones e Infraestructuras Digitales, dependiente de la Subdirección General de Seguridad Digital. Mientras la orden no exista, lo que sí funciona es el envío voluntario de datos en tiempo real del artículo 7.5, que es vigilancia y no notificación.

ENS5G, art. 28.6

Operadores 5G

Quien instala, despliega o explota redes públicas 5G, o presta servicios 5G disponibles al público a través de ellas, con red propia o sin ella, y ha notificado su actividad al Registro de operadores o está inscrito en él (art. 3.1.a) y art. 4.a)

Suministradores 5G

El fabricante, el representante autorizado, el importador, el distribuidor, el prestador de servicios logísticos y el proveedor de servicios auxiliares que intervenga en el funcionamiento u operación de redes 5G o en la prestación de servicios 5G, incluidos los de hardware y de software (art. 3.1.f) y art. 4.b)

Usuarios corporativos 5G con espectro otorgado

Quien instala, despliega o explota una red privada 5G o presta servicios 5G para fines profesionales o en autoprestación, y tiene otorgados derechos de uso del dominio público radioeléctrico para hacerlo. Los derechos de uso del espectro no son un detalle, son la condición (art. 3.1.g) y art. 4.c)

Operadores con elementos críticos de red

El operador titular o explotador de las funciones del núcleo, de los sistemas de control y gestión con los servicios de apoyo, o de la red de acceso en las zonas y ubicaciones que se determinen. Suma la estrategia de diversificación, las prohibiciones de suministrador de alto riesgo, la autorización previa de estaciones y la ubicación en territorio nacional (art. 6.3 y art. 12.3)

Suministradores calificados de alto riesgo o de riesgo medio

Los que el Consejo de Ministros haya calificado como tales, previo informe del Consejo de Seguridad Nacional y con audiencia de quince días hábiles. Pasan a un régimen reforzado: análisis de riesgos e informe de medidas en seis meses desde la calificación, y los dos cada dos años a partir de entonces (art. 14, arts. 7.3 y 7.4, arts. 13.4 y 13.5)

Administraciones que despliegan o usan 5G

Órganos y entidades públicas que instalen, desplieguen o exploten redes 5G, públicas o privadas, o presten servicios 5G, disponibles al público o en autoprestación. Tienen una prohibición absoluta de equipo de suministradores de alto riesgo o de riesgo medio, y son el único sujeto al que el esquema exige una política de seguridad 5G formalmente aprobada (art. 17 del real decreto-ley y arts. 4.2 y 26 del esquema)

Quien pone en el mercado equipos terminales 5G

Fabricantes, importadores, distribuidores y quienes comercialicen equipos terminales y dispositivos para conectarse a una red 5G. Deben colaborar y remitir la información que se les requiera para la ejecución del esquema, y su producto queda condicionado al cumplimiento de los requisitos de ciberseguridad de la normativa europea (art. 24 del real decreto-ley y arts. 31 y 35 del esquema)

Centros de Operaciones de Seguridad 5G propios

Constituirlos es voluntario, pero constituirlos activa once elementos mínimos de gestión que no se exigen al resto, incluida la autenticación multifactorial o continua, y tres deberes de relación con el Centro de referencia del Ministerio (art. 27 del esquema)

Ministerio para la Transformación Digital y de la Función Pública

Departamento competente para aplicar el esquema. Requiere información con respuesta en quince días hábiles, ordena auditorías, autoriza estaciones en ubicaciones sensibles y puede modificar de oficio la estrategia de diversificación de un operador. La inspección y la potestad sancionadora corresponden a la Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales (arts. 28, 29 y 30.8 del real decreto-ley y arts. 39, 40 y 42 del esquema)

Centro de Operaciones de Seguridad 5G de referencia

Órgano de apoyo y supervisión creado por el artículo 41 del esquema, dependiente del Ministerio, con catorce funciones que van del apoyo operativo a los sujetos obligados a la elaboración de planes nacionales de gestión de crisis. Su gestión y coordinación está atribuida desde el 29 de noviembre de 2024 a la División de Seguridad de las Telecomunicaciones e Infraestructuras Digitales

Exclusiones

Real Decreto-ley 7/2022, de 29 de marzo, sobre requisitos para garantizar la seguridad de las redes y servicios de comunicaciones electrónicas de quinta generación

Identificador

BOE-A-2022-4973

Fuente

BOE · Texto consolidado · Agencia Estatal Boletín Oficial del Estado

Ciberseguridad

No hay un solo precepto de estas dos normas que regule otra cosa que la seguridad: análisis de riesgos, gestión de riesgos, cadena de suministro, certificación, auditoría, respuesta a incidentes e inspección. Por eso el nivel es el máximo, que mide cuánto pesa la ciberseguridad dentro de la norma y no cuánto se ha aplicado. Conviene leerlo junto al hecho incómodo: cuatro años después, el mecanismo que da nombre a la norma en la conversación pública, la calificación de suministradores de alto riesgo, no se ha usado ni una vez, y la conformidad certificable del artículo 33 del esquema depende de una Instrucción Técnica de Seguridad que no se ha dictado. Lo que sí muerde hoy son las obligaciones ordinarias, que tienen plazos vencidos desde octubre de 2024 y se repiten cada dos años.

Valoración del curador · nivel 5 de 5

Análisis de riesgos del operador, cada dos años Ciber

El operador analiza los riesgos de sus redes y servicios 5G, y no solo de la infraestructura: también los que le afectan como empresa. Si es titular o gestiona elementos de red de una red pública, el estudio tiene que ser pormenorizado e individualizado sobre los elementos del anexo I y seguir la metodología del anexo II. El esquema amplía la lista de factores obligatorios de ocho a once, añadiendo la priorización y jerarquización de riesgos, las estrategias de resiliencia y recuperación ante desastres con redundancia de los sistemas críticos, y el análisis regular de vulnerabilidades. Y exige usar herramientas y metodologías de análisis y gestión de riesgos reconocidas nacional o internacionalmente. El reloj: un nuevo análisis antes del 1 de octubre de 2024 y, a partir de ahí, cada dos años o cuando el Ministerio lo requiera si ha habido cambios significativos.

Literal de la norma El análisis de riesgos por el operador 5G debe ser llevado a cabo cada dos años y ser remitido al Ministerio de Asuntos Económicos y Transformación Digital.

RDL, arts. 6.1, 6.2, 6.4, 6.6 y 6.7 · ENS5G, art. 18

Análisis de riesgos del suministrador, a requerimiento Ciber

El suministrador analiza los riesgos de los equipos, programas y servicios auxiliares que intervienen en la red o en el servicio 5G, y también los de la gestión de su propia empresa. La diferencia con el operador está en el reloj, y es grande: el suministrador ordinario solo entrega su análisis cuando el Ministerio se lo requiere, sin periodicidad. El calificado de alto riesgo o de riesgo medio, en cambio, tiene seis meses desde la calificación para remitirlo y luego lo repite cada dos años. El esquema añade que el análisis se entrega también a los operadores a los que suministra, no solo al Ministerio, y que el suministrador es responsable de él.

RDL, art. 7 · ENS5G, art. 19

Análisis de riesgos del usuario corporativo Ciber

Quien tiene red privada 5G con espectro otorgado analiza los riesgos de los elementos, infraestructuras, recursos y servicios que emplea o provee en esa red. Se entrega al Ministerio solo cuando lo requiera. Es el régimen más ligero de los tres, pero no es voluntario: el análisis tiene que existir antes de que llegue el requerimiento, porque el plazo para responderlo son quince días hábiles.

RDL, art. 8 · ENS5G, art. 20

El suministrador entrega sus prácticas de seguridad al operador Ciber

El operador tiene que recabar de sus suministradores las prácticas y medidas de seguridad adoptadas en los productos y servicios suministrados, teniendo en cuenta los factores de riesgo del capítulo y el perfil de riesgo del suministrador. Y el suministrador tiene que dárselas: la obligación corre en los dos sentidos. La información es confidencial y solo puede usarse para el análisis y la gestión de riesgos, y por el Ministerio y los organismos competentes para aplicar estas dos normas. Merece atención el giro del esquema, que en su artículo 18.4 pone la obligación del lado del suministrador («el suministrador deberá proporcionar») donde el real decreto-ley la ponía del lado del operador («el operador deberá recabar»).

RDL, art. 6.5 · ENS5G, arts. 7.4 y 18.4

Las diez obligaciones de seguridad del operador Ciber

El bloque matriz. Garantizar la integridad física y lógica de la red y la continuidad del servicio; planes de contingencia específicos para los otros servicios esenciales de la sociedad que dependan del 5G; seleccionar e identificar a quien puede acceder a los activos físicos y lógicos, con registros de acceso; mantener las credenciales de usuario en posesión del operador; usar únicamente productos certificados; cumplir las normas y especificaciones técnicas aplicables; cumplir los esquemas europeos de certificación; someterse a auditoría a su costa; exigir a los suministradores estándares de seguridad desde el diseño; y controlar la propia cadena de suministro y la estrategia de diversificación. El esquema añade tres piezas propias en su artículo 23.2: extiende la identificación de personas al personal de empresas contratadas, obliga a establecer procedimientos para abordar las vulnerabilidades detectadas y obliga a colaborar con el Centro de Operaciones de Seguridad 5G de referencia enviándole datos en tiempo real.

Literal de la norma Mantener las credenciales de usuario para el acceso a la red en posesión del operador.

RDL, art. 12.1 y 12.2 · ENS5G, art. 23.1 y 23.2

Dos suministradores en la red de acceso, uno solo en el núcleo Ciber

Aquí está el cambio de fondo que trajo el Real Decreto-ley 6/2023, y es el que más se malinterpreta. La redacción original de 2022 exigía dos suministradores diferentes para toda la red pública 5G. La vigente exige dos solo en la red de acceso, y admite expresamente suministrador único en el núcleo de la red y en los sistemas de control y gestión con los servicios de apoyo. Es decir: la parte más crítica de la red puede depender de un único proveedor. Dos suministradores no son diferentes si pertenecen al mismo grupo de empresas conforme al artículo 42 del Código de Comercio, así que la diversificación no se cumple contratando con dos filiales. El esquema precisa que los equipos que hay que diversificar en la red de acceso son los de transmisión radio, y da tres motivos: continuidad del servicio, sustituibilidad de los equipos y evitar la dependencia exclusiva.

Literal de la norma Deberán diseñar una estrategia de diversificación en la cadena de suministro de los equipos de telecomunicación, sistemas de transmisión, equipos de conmutación o encaminamiento y demás recursos que permitan el transporte de señales en una red pública 5G, de forma que dichos equipos, sistemas o recursos sean proporcionados, como mínimo, por dos suministradores diferentes en la red de acceso. En el núcleo de la red y en los sistemas de control y gestión y los servicios de apoyo, el suministrador podrá ser único.

RDL, art. 12.3.a) · ENS5G, art. 17

Nada de alto riesgo en los elementos críticos Ciber

El operador con elementos críticos no puede usar en ellos equipo de telecomunicación, sistemas de transmisión, equipos de conmutación o encaminamiento, otros recursos de transporte de señales, hardware, software ni servicios auxiliares de suministradores calificados de alto riesgo. La prohibición es absoluta en su enunciado y vacía en la práctica, porque su presupuesto es que exista una calificación y a 10 de agosto de 2026 no consta ninguna. Si llegara, el acuerdo del Consejo de Ministros fija el plazo de sustitución, que en ningún caso puede ser inferior a un año, y la disposición transitoria única da cinco años para el núcleo y los sistemas de control y dos para la red de acceso de las zonas determinadas.

Literal de la norma No podrán utilizar en los elementos críticos de red equipos de telecomunicación, sistemas de transmisión, equipos de conmutación o encaminamiento y demás recursos, que permitan el transporte de señales, hardware, software o servicios auxiliares de suministradores que hayan sido calificados de alto riesgo.

RDL, art. 12.3.b) · ENS5G, art. 23.3.b)

Nada de alto riesgo cubriendo ubicaciones sensibles Ciber

La segunda prohibición alcanza a la red de acceso, y no a los elementos críticos: en las estaciones radioeléctricas que den cobertura a centrales nucleares, a centros vinculados a la Defensa Nacional y a las ubicaciones, áreas y centros que determine el Consejo de Seguridad Nacional por su vinculación a la seguridad nacional, al mantenimiento de servicios esenciales o a sectores estratégicos, no cabe equipo de suministrador de alto riesgo. Y esas ubicaciones no se pueden consultar: su determinación y difusión son materia clasificada al amparo de la Ley 9/1968 sobre secretos oficiales. El esquema precisa que la prohibición se aplica de forma exclusiva a los elementos de la red de acceso radio 5G según la definición del 3GPP. Un operador no puede saber por sí mismo si le afecta: tiene que preguntarlo.

RDL, art. 12.3.c) · ENS5G, arts. 16.1 a 16.3 y 23.3.c)

Autorización previa para tocar estaciones en ubicaciones sensibles Ciber

Es la pieza nueva del Real Decreto-ley 6/2023 y la que más cambia la operación diaria. Instalar, modificar o adaptar una estación radioeléctrica que dé cobertura a una de esas ubicaciones exige autorización previa, que en el esquema se pide a la Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales. Se valoran los equipos concretos a instalar, las condiciones técnicas de uso del espectro y las características y fines a proteger de la ubicación. El plazo es de tres meses y el silencio es negativo: sin resolución expresa, la solicitud se entiende desestimada. El esquema abre dos excepciones sensatas: quedan fuera la ampliación, adaptación, reparación y mantenimiento de estaciones ya instaladas y autorizadas, siempre que no impliquen cambio de suministrador en ningún elemento o capa, y la ampliación de equipamiento radioeléctrico de un mismo suministrador en un nodo ya autorizado por razones de capacidad.

Literal de la norma El plazo para el otorgamiento de estas autorizaciones es de tres meses, entendiéndose desestimada la solicitud en caso de ausencia de resolución expresa.

RDL, art. 12.3.d) · ENS5G, art. 16.4

Los elementos críticos, dentro del territorio nacional Ciber

Los elementos críticos de una red pública 5G se ubican en España. El Real Decreto-ley 6/2023 añadió una excepción con condición: determinados elementos, funciones y sistemas del núcleo y de los sistemas de control y gestión pueden estar fuera siempre que el Ministerio pueda ejercer sus facultades, en particular las de inspección y sanción, de manera que pueda verificar íntegramente su funcionamiento y adoptar medidas cautelares o definitivas sobre ellos. El esquema añade el otro extremo de la cuerda: si el Consejo de Ministros concluye que lo ubicado fuera afecta a la seguridad o integridad de la red, o condiciona sensiblemente la supervisión, puede exigir su reubicación en territorio nacional con un plazo que nunca será inferior a un año.

Literal de la norma Deberán ubicar los elementos críticos de una red pública 5G dentro del territorio nacional.

RDL, art. 12.3.e) · ENS5G, arts. 6.2 a 6.4 y 23.3.d)

Remitir la estrategia y su estado de ejecución Ciber

Tres relojes distintos sobre el mismo documento. Una nueva estrategia de diversificación antes del 1 de octubre de 2024, que era la primera exigida bajo el esquema. La estrategia otra vez, cada vez que se modifique, sin plazo asociado. Y la información sobre su estado de ejecución antes del 1 de octubre de cada año, o cuando lo requiera el Ministerio si ha habido cambios significativos en las infraestructuras o los servicios que hagan pensar que las medidas han perdido eficacia. El estado de ejecución anual es la obligación recurrente más fácil de olvidar de todo el régimen, porque no cae en la misma fecha que la auditoría ni que el análisis de riesgos.

RDL, art. 12.5 · ENS5G, art. 23.4

Describir al Ministerio las medidas aplicadas, cada dos años Ciber

El operador remite al Ministerio una descripción de las medidas técnicas y organizativas diseñadas y aplicadas para gestionar y mitigar los riesgos. Bajo el esquema, una nueva descripción antes del 1 de octubre de 2024 y luego cada dos años, o cuando lo requiera el Ministerio si ha habido cambios significativos. Es documento distinto del análisis de riesgos y de la auditoría, aunque los tres se solapen en el tiempo: el análisis dice a qué se está expuesto, la descripción dice qué se ha puesto, y la auditoría dice si lo puesto cumple.

RDL, art. 12.7 · ENS5G, art. 23.5

Avisar si una fusión deja la red con un único suministrador Ciber

Si una operación de concentración empresarial reduce el número de suministradores por debajo del mínimo de dos en la red de acceso, el operador tiene que comunicarlo al Ministerio, que impulsará que el Consejo de Ministros decida, previa audiencia de operadores y suministradores afectados, si cabe mantener un suministrador único. La decisión pondera nueve factores, entre ellos la situación del mercado, las alternativas de suministro viables, la calificación del suministrador como de alto riesgo, la dificultad de sustituir equipos, la migración de redes no autónomas a autónomas y el impacto económico. Es una obligación que se dispara por un hecho ajeno: la fusión la deciden los proveedores, y el deber de avisar es del operador.

RDL, art. 12.4 · ENS5G, art. 17.4

El Ministerio puede reescribir tu estrategia de suministro Ciber

La facultad más dura del régimen, y también nueva del Real Decreto-ley 6/2023. Si el Ministerio considera que no queda garantizada la continuidad del servicio o la integridad de la red, o que existe una amplia exposición al equipamiento de un suministrador que en determinadas circunstancias puede poner en peligro la funcionalidad de la red, o para garantizar la seguridad de los servicios usados por Seguridad Nacional, Defensa Nacional o las Administraciones públicas, puede modificar la estrategia de diversificación de un operador. Antes hay un trámite de audiencia de quince días hábiles con el operador y los suministradores afectados, y la resolución pone fin a la vía administrativa. No hace falta que haya calificación de alto riesgo: su existencia es solo uno de los elementos a tener en cuenta. Es un cambio impuesto en la política de compras de una empresa, con quince días para alegar.

RDL, art. 12.6 · ENS5G, art. 17.5

Las siete obligaciones de seguridad del suministrador Ciber

Cumplir estándares de seguridad desde el diseño de los equipos, productos y servicios hasta su puesta en funcionamiento; reforzar la integridad del software, la actualización y la gestión de parches; acreditar la certificación de los productos y servicios de tecnologías de la información que se usen en la red; garantizar por un sistema de certificación la aplicación de medidas técnicas y organizativas estándar; auditar sus equipos, productos y servicios; informar de posibles injerencias de terceros; y colaborar con operadores y usuarios corporativos acreditándoles el cumplimiento de estándares. El real decreto-ley dice expresamente que estas obligaciones se concretan y desarrollan en el esquema, y el esquema lo hace poniéndoles nombre a las normas: ISO/IEC 27001 para la seguridad desde el diseño, NESAS y SCAS para la certificación de equipo, medidas de categoría Alta del Esquema Nacional de Seguridad general o ISO/IEC 27002:2022 para las especificaciones técnicas. Añade además que las partes implicadas acuerden los mecanismos de actualización periódica de software y de respuesta a vulnerabilidades considerando el ciclo de vida de los equipos.

RDL, art. 13.1 y 13.2 · ENS5G, art. 24.1 y 24.2

Informar de posibles injerencias de terceros Ciber

El suministrador tiene que proporcionar información sobre posibles injerencias de terceros en el diseño, la operación y el funcionamiento de sus equipos, productos y servicios. Es la obligación más singular de todo el régimen y no tiene equivalente en ninguna otra norma del observatorio: no pide una medida técnica, pide declarar la presión externa que se sufre. Su parentesco está en el otro lado del expediente, en los seis factores del artículo 14.3 que el Gobierno valora para calificar a un suministrador de alto riesgo, entre ellos los vínculos con gobiernos de terceros países, la composición del capital social y el poder de un tercer Estado para ejercer presión sobre la actuación o la ubicación de la empresa.

Literal de la norma Proporcionar información sobre posibles injerencias de terceros en el diseño, operación y funcionamiento de sus equipos, productos y servicios.

RDL, art. 13.2.f) · ENS5G, art. 24.2.f)

Describir las medidas aplicadas, a requerimiento o cada dos años Ciber

El suministrador ordinario aporta la descripción de las medidas técnicas y organizativas solo cuando el Ministerio se la requiere. El calificado de alto riesgo o de riesgo medio tiene seis meses desde la calificación para remitir un informe de esas medidas, y luego repite la descripción cada dos años. El esquema añade el verbo que faltaba: las medidas son para detectar, gestionar y mitigar los riesgos, no solo para gestionarlos y mitigarlos. Y deja escrito que el suministrador es responsable de la definición y ejecución de las medidas y del cumplimiento de estos deberes de información.

RDL, art. 13.3, 13.4 y 13.5 · ENS5G, art. 24.3, 24.4 y 24.5

Explotar la red privada de forma segura Ciber

El usuario corporativo con espectro otorgado garantiza la instalación, el despliegue y la explotación seguros de su red privada 5G y la prestación segura de servicios en autoprestación, aplicando técnicas y procedimientos de operación y supervisión. Y aporta al Ministerio la descripción de las medidas técnicas y organizativas cuando se lo requiera. El enunciado es corto y el contenido no lo es: el artículo 22 del esquema, que fija las quince medidas comunes de gestión, se dirige a los sujetos obligados sin distinguir, así que alcanza también a esta figura.

RDL, art. 15 · ENS5G, art. 25

Las Administraciones no pueden usar equipo de alto ni de riesgo medio Ciber

La prohibición más amplia de las tres que contiene el régimen, y la única que alcanza también al riesgo medio. No distingue entre elementos críticos y no críticos, ni entre red pública y red privada, ni admite plazo de sustitución: si la Administración despliega o usa 5G, no puede haber ahí equipo, producto ni servicio de un suministrador calificado de alto riesgo o de riesgo medio, por razones de seguridad nacional. Como las demás, hoy no muerde: depende de que exista una calificación que no se ha producido.

Literal de la norma las administraciones públicas que quieran llevar a cabo la instalación, despliegue y explotación de redes 5G, ya sean públicas o privadas, o la prestación de servicios 5G, disponibles al público o en autoprestación, no podrán, por razones de seguridad nacional, utilizar equipos, productos y servicios proporcionados por suministradores de alto riesgo o riesgo medio.

RDL, art. 17.2 · ENS5G, art. 26.2

Política de seguridad 5G formalmente aprobada, solo para el sector público Ciber

Cada órgano o entidad pública dentro del ámbito del esquema tiene que contar con una política de seguridad referida a los sistemas, redes y servicios 5G, formalmente aprobada por el órgano competente. Puede ser una sola política que cubra a varios órganos administrativos o a entidades del sector público institucional. Es la única obligación de política escrita y aprobada de todo el régimen: a los sujetos privados el esquema les pide políticas de seguridad como uno de los quince elementos del artículo 22.1, sin exigir aprobación formal ni documento único.

Literal de la norma Cada órgano o entidad de la Administración pública incluida en el ámbito de aplicación de este esquema contará con una política de seguridad referida a los sistemas, redes y servicios 5G, formalmente aprobada por el órgano competente.

ENS5G, arts. 26.1 y 26.3

Las quince medidas comunes de gestión Ciber

El artículo que más se parece a un catálogo de controles, y el único que se dirige a todos los sujetos obligados por igual. Quince elementos mínimos: políticas de seguridad de los sistemas, redes y servicios 5G; análisis de riesgos; gestión de incidentes; continuidad de las actividades, con copias de seguridad, recuperación en caso de catástrofe y gestión de crisis; seguridad de la cadena de suministro y, cuando proceda, estrategia de diversificación; seguridad en la adquisición, el desarrollo y el mantenimiento; políticas y procedimientos de criptografía y cifrado; seguridad de los recursos humanos, control de acceso y gestión de activos; soluciones de autenticación y comunicaciones seguras de voz, vídeo y texto y sistemas seguros de comunicaciones de emergencia; uso de componentes certificados; protección de servicios y datos en la nube; monitorización de sistemas, redes y servicios; seguridad física; protección de la información; y evaluaciones periódicas de vulnerabilidades y pruebas de penetración. Quien conozca NIS2 reconocerá la lista casi entera, con dos añadidos propios del 5G: la nube y la diversificación.

ENS5G, art. 22

El catálogo técnico del anexo III Ciber

El anexo III es la parte más concreta de todo el régimen y la que menos se cita, quizá porque está escrita en prosa y no en tabla. Divide las medidas en genéricas y específicas de 5G. Las genéricas cubren la configuración de los nodos (gestión de identidad con autenticación y autorización, ciclo de vida del usuario, trazabilidad de accesos y comandos ejecutados, credenciales robustas, respuestas que no filtren información al fallar el acceso y políticas de bloqueo), el bastionado (solo servicios necesarios activos, separación del interfaz de gestión y el de servicio, tolerancia a paquetes malformados y a picos de tráfico, protección del almacenamiento, arranque bloqueado desde memorias no autorizadas y protección de las API expuestas), las pruebas de seguridad periódicas, el aislamiento de planos de red y el control de flujo, la seguridad física de emplazamientos críticos, la concienciación, la formación y la gestión de incidentes. Las específicas de 5G añaden control del software (integridad de la actualización, ausencia de puertas traseras, ausencia de vulnerabilidades conocidas explotables de riesgo alto en el despliegue), cifrado e integridad en el interfaz aire y entre acceso radio y núcleo, privacidad del usuario, algoritmos de autenticación mutua, antisuplantación en señalización e itinerancia, protección de la interconexión con SEPP, aislamiento de funciones virtualizadas y de tráficos, monitorización de accesos y comandos en elementos críticos, mitigación de ataques volumétricos y pruebas de redundancia y recuperación antes de desplegar en entornos críticos. La palabra que importa está en el artículo 14.1: son las medidas que figuran «al menos» en el anexo, es decir, un suelo.

Literal de la norma Los criterios, requisitos, condiciones y plazos para que los sujetos obligados puedan diseñar e implementar técnicas y medidas de mitigación de riesgos son los que, al menos, figuran en el anexo III de este real decreto.

ENS5G, art. 14.1 · anexo III

NESAS, SCAS y los esquemas europeos, con nombre propio Ciber

El real decreto-ley se limitaba a exigir productos certificados y cumplimiento de los esquemas europeos de certificación. El esquema pone los nombres, y ahí es donde el requisito se vuelve comprable. El operador tiene que exigir a sus suministradores la certificación del esquema GSMA Network Equipment Security Assurance Scheme (NESAS) y las Security Assurance Specification (SCAS) del 3GPP, y también los certificados de conformidad con los esquemas europeos que se desarrollen bajo el Reglamento (UE) 2019/881, bajo la normativa de requisitos horizontales de ciberseguridad para productos con elementos digitales o bajo cualquier otra legislación europea o nacional relacionada. El suministrador, por su parte, debe cumplir esa certificación para los elementos de la red 5G a los que resulte de aplicación, y cualquier otro esquema de aseguramiento equiparable para los demás; y aportar las certificaciones tanto a los operadores como al Ministerio. La referencia a los esquemas europeos está escrita en condicional («que puedan desarrollarse»), lo que reconoce que en 2024 no había ninguno cerrado para 5G.

ENS5G, arts. 23.2.e), 23.2.f), 23.2.h) y 24.2.b) · RDL, art. 12.2.e) y 12.2.g)

Medidas de categoría Alta del Esquema Nacional de Seguridad, o ISO/IEC 27002 Ciber

La exigencia con más carga de trabajo escondida de toda la ficha, y la que un lector rápido se salta porque parece una remisión de cortesía. Operadores y suministradores deben cumplir las medidas de seguridad aplicables a sistemas de información de categoría Alta del Real Decreto 311/2022, que regula el Esquema Nacional de Seguridad general, o del Perfil de Cumplimiento Específico que resulte de aplicación. Y si no están comprendidos en el ámbito de ese Esquema Nacional de Seguridad ni de un perfil específico, entonces las de la norma técnica ISO/IEC 27002:2022. Traducido: una empresa privada que nunca ha estado bajo el Esquema Nacional de Seguridad acaba teniendo que implantar su catálogo en el nivel más exigente, o justificar por qué le corresponde la vía de la norma ISO. La disyuntiva no es libre: la primera opción manda, y la segunda solo entra en defecto de la primera.

Literal de la norma Especialmente, se deberán cumplir con las medidas de seguridad aplicables a sistemas de información de categoría Alta contempladas en el Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad o en el Perfil de Cumplimiento Específico que resultara de aplicación o, en su caso, las recogidas en la norma técnica 27002:2022: Seguridad de la Información, ciberseguridad y protección de la privacidad-controles de seguridad de la información, de no estar comprendidas en el ámbito de aplicación del Esquema Nacional de Seguridad o en el Perfil de Cumplimiento Específico que resultara de aplicación.

ENS5G, arts. 23.2.g) y 24.2.c)

Auditoría bienal a su costa, y extraordinaria si hay cambio sustancial Ciber

El real decreto-ley solo decía que el operador se sometiera a su costa a una auditoría de seguridad por entidad pública o privada acreditada. El esquema la convierte en un programa: auditoría ordinaria al menos cada dos años que verifique el cumplimiento de los requerimientos del propio esquema, auditoría extraordinaria siempre que se produzcan modificaciones sustanciales que puedan repercutir en las medidas de seguridad requeridas, y el reloj de los dos años se recalcula desde la extraordinaria. El informe tiene contenido tasado: debe dictaminar sobre el grado de cumplimiento identificando hallazgos de cumplimiento y de incumplimiento, y recoger los criterios metodológicos, el alcance, el objetivo y los datos, hechos y observaciones en que se basen las conclusiones. El resultado se presenta al Ministerio con periodicidad bienal. Los suministradores tienen todo eso y además una auditoría específica sobre la aplicación de NESAS y SCAS, de ISO/IEC 27001 y del Esquema Nacional de Seguridad en categoría Alta, también bienal.

ENS5G, arts. 23.2.j) y 24.2.e) · RDL, art. 12.2.h)

Certificar la conformidad y publicarla, cuando exista la instrucción Ciber

Los sujetos obligados serán objeto de un proceso para determinar su conformidad con el esquema, y para ello precisan una auditoría de certificación, sin perjuicio de la auditoría de seguridad, que puede servir también a esos fines. Después tienen que dar publicidad a las certificaciones en sus portales de internet o sedes electrónicas. El problema es que las dos cosas, la auditoría de certificación y la publicidad, se realizan «en los términos que se determinen en la correspondiente Instrucción Técnica de Seguridad», que además concretaría los requisitos exigibles a las entidades certificadoras. Esa instrucción no consta dictada a 10 de agosto de 2026. La obligación existe y su forma de cumplimiento no: no hay entidades certificadoras acreditadas para este esquema porque no hay norma que diga qué se les exige.

Literal de la norma Tanto la auditoría prevista en los artículos 23 y 24 como la auditoría de certificación se realizarán en los términos que se determinen en la correspondiente Instrucción Técnica de Seguridad, que concretará asimismo los requisitos exigibles a las entidades certificadoras.

ENS5G, art. 33

Procedimientos para abordar las vulnerabilidades detectadas Ciber

El operador debe establecer procedimientos apropiados para abordar las vulnerabilidades cuando se detecten. Va acompañado de dos deberes que cierran el ciclo por delante: el análisis de riesgos incluye la realización regular de análisis de vulnerabilidades para identificarlas proactivamente y resolverlas antes de que puedan ser explotadas, y las quince medidas comunes incluyen evaluaciones periódicas de vulnerabilidades y pruebas de penetración. Lo que no hay es divulgación coordinada ni publicación: el régimen mira hacia dentro, no hacia el investigador externo ni hacia el cliente.

Literal de la norma Establecer procedimientos apropiados para abordar las vulnerabilidades cuando se detecten.

ENS5G, arts. 23.2.k), 18.3.k) y 22.1.ñ)

Colaborar con el Centro de Operaciones de Seguridad 5G de referencia Ciber

El operador tiene el deber de colaborar con el Centro de referencia para enviarle los datos requeridos para la detección del estado de la ciberseguridad de las redes y servicios 5G en tiempo real. Ojo con la asimetría del texto: el artículo 7.5 dice que los sujetos obligados «podrán» enviar esos datos, y el artículo 23.2.n) impone al operador el deber de colaborar para enviarlos. Quien haya constituido un centro propio suma tres deberes de relación: establecer mecanismos seguros de intercambio de información, celebrar reuniones periódicas para tratar el estado de situación de la ciberseguridad 5G y estudiar mejoras, y designar una persona como punto de contacto con los responsables de la seguridad de la información nombrados por los sujetos obligados del sector de las telecomunicaciones en virtud del artículo 7 del Real Decreto 43/2021. Ese punto de contacto es la costura que une este régimen con el general español de seguridad de las redes.

ENS5G, arts. 7.5, 23.2.n) y 27.3

Si montas un centro de operaciones propio, sube el listón Ciber

Constituir un Centro de Operaciones de Seguridad 5G es voluntario, y hacerlo activa once elementos mínimos que el resto del esquema no exige a nadie: políticas de seguridad de cada elemento de la red con su análisis de riesgos; procedimiento de gestión de incidentes; continuidad, copias, recuperación ante catástrofe y gestión de crisis; seguridad de la cadena de suministro incluidas las relaciones con proveedores directos; seguridad en adquisición, desarrollo y mantenimiento con gestión y divulgación de vulnerabilidades; políticas y procedimientos para evaluar la eficacia de las medidas de gestión de riesgos; prácticas básicas de ciberhigiene y formación en ciberseguridad; criptografía y cifrado; seguridad de los recursos humanos, control de acceso y gestión de activos; soluciones de autenticación multifactorial o continua y comunicaciones seguras de voz, vídeo y texto; y monitorización de la ciberseguridad en las redes y servicios 5G y entre sus componentes. Es el único lugar de todo el régimen donde aparecen la autenticación multifactorial, la ciberhigiene y la divulgación de vulnerabilidades, y solo alcanzan a quien decide montar el centro.

ENS5G, art. 27.1 y 27.2

Notificar incidentes por el régimen general, no por este Ciber

El esquema no crea régimen de notificación: remite al Real Decreto-ley 12/2018 y al Real Decreto 43/2021, o a la norma que los reemplace tras la transposición de NIS2. Lo que sí hace es repartir la respuesta: INCIBE-CERT atiende a los sujetos obligados que no son sector público, CCN-CERT a los que sí lo son, y ESPDEF-CERT coopera con ambos cuando se lo requieran y necesariamente en los operadores con incidencia en la Defensa Nacional. Falta la pieza propiamente 5G: la orden ministerial del artículo 28.6, que fijaría la tipología de incidentes y los protocolos para que el Ministerio los conozca a través del Centro de referencia, no consta dictada.

ENS5G, art. 28

Responder a un requerimiento en quince días hábiles Ciber

El Ministerio puede formular requerimientos de información a cualquier sujeto obligado, directamente o a través del Centro de Operaciones de Seguridad 5G de referencia, y hay que responderlos en quince días hábiles desde el día siguiente a la notificación. Pasado un mes desde el fin de ese plazo sin responder, el propio esquema califica la conducta como infracción grave, tanto para la información de análisis de riesgos como para la de gestión de riesgos. Es el plazo que convierte en exigibles de facto los documentos que en teoría solo se entregan a requerimiento: quince días hábiles no dan para hacer un análisis de riesgos desde cero.

RDL, art. 28.3.b) · ENS5G, arts. 7.6, 21.2, 21.3, 30.2 y 30.3

Colaborar en la elaboración y ejecución del esquema Ciber

Todos los sujetos obligados, y además las Administraciones públicas, los fabricantes, importadores, distribuidores y quienes pongan en el mercado equipos terminales y dispositivos para conectarse a una red 5G, deben prestar colaboración y remitir la información que se les requiera para la elaboración, aprobación, modificación y ejecución del esquema. Es la vía por la que la norma alcanza a quien no aparece en su artículo de ámbito: un fabricante de módulos 5G no es sujeto obligado y tiene deber de información.

RDL, art. 24 · ENS5G, art. 31

Los equipos terminales, condicionados a la ciberseguridad europea Ciber

La fabricación, importación, distribución, puesta en el mercado y comercialización de equipos terminales y dispositivos para conectarse a una red 5G queda condicionada al cumplimiento de los requisitos de ciberseguridad adoptados conforme a la normativa europea, en particular los de protección de los datos personales, la privacidad y la protección contra el fraude. Esos tres son literalmente los requisitos esenciales que activó el Reglamento Delegado (UE) 2022/30 sobre equipos radioeléctricos, exigibles desde el 1 de agosto de 2025. El esquema añade en 2024 una referencia más amplia, «los requisitos de seguridad para los productos digitales», que apunta al Reglamento de Ciberresiliencia. Esta obligación no se cumple en esta norma: se cumple en la que corresponda al producto, y aquí solo se declara la condición.

Literal de la norma La fabricación, importación, distribución, puesta en el mercado y comercialización de equipos terminales y dispositivos para conectarse a una red 5G y poder prestar servicios 5G, estará condicionado al cumplimiento de los requisitos de seguridad para los productos digitales y de los requisitos esenciales aplicables relacionados con la ciberseguridad, adoptados conforme a la normativa europea, en particular, en relación con la protección de los datos personales, la privacidad, y la protección contra el fraude.

ENS5G, art. 35 · RDL, art. 23.4

Gestión de riesgos de seguridad Compartida

Conocer a qué está expuesto el negocio y decidir qué se acepta y qué se trata: el proceso de gestión de riesgos determina las prioridades del resto de iniciativas.

RDL, arts. 6, 7 y 8 · ENS5G, arts. 8, 18, 19, 20 y 22.1.b) · categorización del curador, no de la norma

Cuerpo normativo de seguridad Compartida

El cuerpo normativo de seguridad: qué se protege, quién decide y contra qué criterios se mide todo lo demás, escrito, comunicado a quien tiene que cumplirlo y vivo.

ENS5G, arts. 26.3, 22.1.a) y 27.2.a) · categorización del curador, no de la norma

Gestión de riesgos de terceros (TPRM) Compartida

Gobernar el riesgo que entra por los proveedores: el riesgo del proveedor es riesgo propio, la cadena no termina en quien firma el contrato, y la relación completa, desde la selección hasta la terminación, se gestiona con la seguridad integrada.

RDL, arts. 12.2.i), 12.2.j), 12.3.a), 12.4, 12.6 y 6.5 · ENS5G, arts. 17, 22.1.e), 23.2.e), 23.2.f) y 27.2.d) · categorización del curador, no de la norma

Veto de suministrador y control de la jurisdicción de los elementos críticos

Poder responder tres preguntas antes de firmar una compra o mover una función de red: si el suministrador está o puede quedar vetado, si el emplazamiento afectado está en la lista clasificada de ubicaciones sensibles, y en qué país va a estar alojado cada elemento crítico. No es gestión de proveedores al uso, porque la decisión no la toma la empresa: la toma el Consejo de Ministros calificando a un suministrador, el Consejo de Seguridad Nacional determinando ubicaciones que no se pueden consultar, y el Ministerio autorizando o denegando cada estación. Lo que sí es de la empresa es la trazabilidad que hace falta para ejecutar una sustitución cuando llegue: saber qué equipo, de qué suministrador, hay en qué elemento y bajo qué contrato, y tener calculado el plazo real de reemplazo frente al mínimo legal de un año.

RDL, arts. 12.3.b), 12.3.c), 12.3.d), 12.3.e), 14.4 y disp. transitoria única · ENS5G, arts. 6, 15.5 y 16 · categorización del curador, no de la norma

Conformidad y certificación Compartida

Poder demostrar a un tercero lo que se ha hecho, en sus dos versiones: la conformidad de la organización, que se audita y se certifica, y la del producto, que se evalúa, se documenta y se marca antes de venderlo. Es el expediente que convierte el cumplimiento en algo oponible a un cliente, a un pliego o a un supervisor.

ENS5G, arts. 23.2.e) a 23.2.h), 23.2.j), 24.2.a) a 24.2.e) y 33 · RDL, art. 12.2.e), 12.2.g) y 12.2.h) · categorización del curador, no de la norma

Gobierno de la ciberseguridad Compartida

Llevar la ciberseguridad al órgano de gobierno: que la seguridad tenga dueño con autoridad, atención regular de la dirección y rastro documental de lo que se decide.

RDL, arts. 12.5, 12.7 y 13.3 a 13.5 · ENS5G, arts. 23.4, 23.5, 24.3 a 24.5, 26.3 y 27.3.c) · categorización del curador, no de la norma

Gestión de identidades y accesos (IAM) Compartida

Un sistema de gestión de identidades y accesos: cada identidad, humana o de máquina, es conocida, se autentica por un punto controlado y pierde el acceso cuando corresponde.

RDL, art. 12.2.c) y 12.2.d) · ENS5G, arts. 22.1.h), 22.1.i) y 27.2.j) · anexo III, 1.1.1 · categorización del curador, no de la norma

Criptografía y protección del dato Compartida

Protección del dato en reposo y en tránsito mediante cifrado, gobernada por decisiones documentadas sobre qué se cifra, con qué algoritmos y cómo se custodian las claves.

ENS5G, arts. 22.1.g) e 22.1.i) · anexo III, 2.2, 2.3, 2.4 y 2.8 · categorización del curador, no de la norma

Protección de la red y del perímetro Compartida

Proteger el perímetro y ordenar el interior de la red: sin segmentación, un único compromiso puede extenderse al conjunto de los sistemas.

ENS5G, art. 10 · anexo III, 1.1.2.b), 1.2.1, 1.2.2, 2.9, 2.10, 2.11 y 2.14 · categorización del curador, no de la norma

Monitorización y detección Compartida

Capacidad de observar de forma continua lo que ocurre en sistemas, redes y servicios, sostenida como un servicio con responsable y no como una herramienta desatendida.

ENS5G, arts. 11, 22.1.l), 23.2.n) y 27.2.k) · anexo III, 1.1.1.c) y 2.13 · categorización del curador, no de la norma

Capacidad de respuesta a incidentes Compartida

La capacidad de gestionar un incidente de seguridad de principio a fin, desde la detección del primer indicio hasta la recuperación de la operación normal.

ENS5G, arts. 9, 22.1.c), 27.2.b) y 28 · anexo III, 1.6 · categorización del curador, no de la norma

Proceso de notificación regulatoria Compartida

Saber a quién, qué y en cuánto tiempo hay que notificar un incidente, y poder hacerlo bajo presión y con los relojes en contra.

ENS5G, arts. 28.1 a 28.4, 28.6, 21.2, 21.3, 30.2 y 30.3 · RDL, art. 28.3.b) · categorización del curador, no de la norma

Continuidad de negocio y gestión de crisis Compartida

La capacidad de seguir prestando el servicio cuando algo grande falla y de volver a la normalidad con orden, decidida y preparada antes de necesitarla.

RDL, art. 12.2.a) y 12.2.b) · ENS5G, arts. 22.1.d), 18.3.j) y 27.2.c) · anexo III, 2.15 · categorización del curador, no de la norma

Copias de seguridad y recuperación Compartida

Un esquema de copias de seguridad orientado a la recuperación: qué se copia, con qué frecuencia y en cuánto tiempo se restaura, verificado mediante pruebas de restauración periódicas.

ENS5G, arts. 22.1.d) y 27.2.c) · anexo III, 2.15 · categorización del curador, no de la norma

Gestión de vulnerabilidades Compartida

Tratar las vulnerabilidades como un proceso continuo con responsable y plazos, no como reacciones aisladas: las vulnerabilidades conocidas se gestionan en lugar de acumularse.

ENS5G, arts. 23.2.k), 18.3.k), 22.1.ñ) y 27.2.e) · anexo III, 2.1.c) · categorización del curador, no de la norma

Programa de pruebas de seguridad y resiliencia Compartida

Identificar las debilidades propias antes de que lo haga un atacante: un programa de pruebas de seguridad con dueño y presupuesto sobre los sistemas que sustentan el negocio.

ENS5G, art. 22.1.ñ) · anexo III, 1.1.3 · categorización del curador, no de la norma

Seguridad del producto por diseño y por defecto Compartida

La seguridad dentro del producto que se comercializa, no solo alrededor de los sistemas que se operan: se decide en el diseño y se comprueba antes de la comercialización, cuando el coste de cambio es menor.

ENS5G, art. 24.2 · anexo III, 1.1.2, 2.1 y 2.12 · RDL, art. 13.2 y art. 23.4 · categorización del curador, no de la norma

Soporte y actualizaciones de seguridad del producto Compartida

Comprometer por cuánto tiempo se mantiene lo vendido y montar la infraestructura para sostenerlo. Es una decisión de producto y de precio, no una tarea de cumplimiento.

RDL, art. 13.2.b) · ENS5G, art. 24.2.b) · anexo III, 2.1.a) · categorización del curador, no de la norma

Adquisición y desarrollo seguros Compartida

La seguridad como requisito de compra y de construcción: exigencias al adquirir, prácticas de desarrollo seguro al construir y mantenimiento con la seguridad dentro durante todo el ciclo de vida.

RDL, arts. 12.2.i) y 13.2.a) · ENS5G, arts. 22.1.f), 24.2.a) y 27.2.e) · categorización del curador, no de la norma

Seguridad física y del entorno Compartida

Protección del espacio físico donde operan los sistemas, un plano que las medidas lógicas no cubren.

ENS5G, art. 22.1.m) · anexo III, 1.3 · categorización del curador, no de la norma

Seguridad ligada al personal Compartida

La seguridad dentro del ciclo de vida del empleado: comprobaciones al contratar donde proceda, deberes claros durante la relación y salida ordenada.

RDL, art. 12.2.c) · ENS5G, arts. 23.2.c) y 22.1.h) · categorización del curador, no de la norma

Programa de concienciación y formación Compartida

Un programa de concienciación y formación con contenido, calendario y evaluación de resultados, que incorpore a la plantilla a la defensa en lugar de dejarla como el vector de entrada más accesible.

ENS5G, art. 27.2.g) · anexo III, 1.4 y 1.5 · categorización del curador, no de la norma

Inventario y gestión de activos Compartida

Un inventario completo de los activos y de sus dependencias: sin él, el parcheo, la vigilancia y la recuperación operan sobre un parque desconocido.

ENS5G, arts. 22.1.h), 5.4 y 18.2 · categorización del curador, no de la norma

Evaluación de la eficacia y mejora Compartida

Evaluar si las medidas implantadas son eficaces, no solo si existen, y convertir los resultados de esa evaluación en mejoras aplicadas.

ENS5G, arts. 11, 18.6, 23.5, 24.5 y 27.2.f) · categorización del curador, no de la norma

Operador 5G

Quien instala, despliega o explota redes públicas 5G, o presta servicios 5G disponibles al público a través de ellas, tenga red propia o no, y consta en el Registro de operadores. Es el destinatario principal de las dos normas: sobre él recaen el análisis de riesgos bienal, las diez obligaciones de seguridad del artículo 12.2, la auditoría a su costa y la exigencia de certificaciones a sus propios suministradores. La definición no pide tamaño ni cuota: revende servicios 5G sobre red ajena y ya estás dentro.

Literal de la norma la persona física o jurídica que instala, despliega o explota redes públicas 5G o presta servicios 5G disponibles al público a través, total o parcialmente, de las redes 5G, disponga de red 5G propia o no, y ha notificado al Registro de operadores el inicio de su actividad o está inscrita en el Registro de operadores

RDL, art. 3.1.a) · art. 4.a) · ENS5G, art. 4.1.a)

Operador 5G con elementos críticos

El operador que además es titular o explota elementos críticos de una red pública 5G, que son tres: las funciones del núcleo de la red, los sistemas de control y gestión con los servicios de apoyo, y la red de acceso en las zonas geográficas y ubicaciones que se determinen. Es la figura que carga con lo que de verdad restringe el negocio, la diversificación en la cadena de suministro, las prohibiciones de suministrador de alto riesgo, la autorización previa de estaciones y la ubicación en territorio nacional, y la única cuyo incumplimiento el real decreto-ley califica de infracción muy grave.

Literal de la norma los operadores 5G que sean titulares o exploten elementos críticos de una red pública 5G

RDL, art. 6.3 · art. 12.3 · art. 30.3 · ENS5G, art. 6.1

Suministrador 5G

Cualquiera que ponga en la red 5G equipo, programa o servicio auxiliar: el fabricante, su representante autorizado, el importador, el distribuidor, el prestador de servicios logísticos y el proveedor de servicios auxiliares que intervenga en el funcionamiento de la red o en la prestación del servicio. Es una definición deliberadamente ancha, y alcanza al proveedor de programas y de servicios en nube tanto como al de antenas. Sus deberes se activan por lo que suministra, no por dónde esté establecido.

Literal de la norma el fabricante, el representante autorizado, el importador, el distribuidor, el prestador de servicios logísticos o cualquier otra persona física o jurídica sujeta a obligaciones en relación con la fabricación de productos, su comercialización o su puesta en servicio en materia de equipos de telecomunicación, los suministradores de hardware y software y los proveedores de servicios auxiliares que intervengan en el funcionamiento u operación de redes 5G o en la prestación de servicios 5G

RDL, art. 3.1.f) · art. 4.b) · ENS5G, art. 4.1.b)

Suministrador de alto riesgo o de riesgo medio

El suministrador al que el Consejo de Ministros ha calificado de alto riesgo, y el de riesgo medio, que es el mismo cuando su equipo se usa única y exclusivamente en redes privadas 5G o en autoprestación. La calificación no la dispara un umbral ni una denuncia: es un procedimiento que incoa de oficio el Ministerio, con informes de media docena de organismos, audiencia de quince días hábiles y resolución del Consejo de Ministros en seis meses. Quien queda calificado pasa a un régimen reforzado, con análisis de riesgos e informe de medidas en seis meses y revisión cada dos años. A 10 de agosto de 2026 no consta ninguna calificación, así que este rol no tiene ocupantes conocidos.

Literal de la norma Los suministradores de alto riesgo cuyos equipos de telecomunicación, hardware, software o servicios auxiliares proporcionados sean utilizados única y exclusivamente en redes privadas 5G o para la prestación de servicios 5G en régimen de autoprestación son calificados como suministradores de riesgo medio.

RDL, art. 14 · art. 7.3 y 7.4 · art. 13.4 y 13.5 · ENS5G, art. 15

Usuario corporativo 5G con espectro

La empresa u organización que monta su propia red privada 5G o se presta servicios 5G a sí misma, y que tiene otorgados derechos de uso del dominio público radioeléctrico para hacerlo. Esa segunda mitad es la que decide: sin derechos de uso del espectro no se entra en el ámbito, aunque se opere una red privada. Es la puerta por la que esta norma de telecomunicaciones alcanza a un puerto, una fábrica, una mina o un hospital. Su régimen es el más ligero de los tres: garantizar el despliegue y la explotación seguros, y entregar el análisis de riesgos y la descripción de medidas solo cuando el Ministerio se los requiera.

Literal de la norma la persona física o jurídica que instala, despliega o explota redes privadas 5G o presta servicios 5G a través, total o parcialmente, de las redes 5G, para fines profesionales o en autoprestación

RDL, art. 3.1.g) · art. 4.c) · art. 8 · art. 15 · ENS5G, art. 4.1.c)

Administración pública que despliega o usa 5G

El órgano o entidad pública que instale, despliegue o explote redes 5G, públicas o privadas, o preste servicios 5G, disponibles al público o en autoprestación. Entra por el artículo 17 del real decreto-ley y por el artículo 4.2 del esquema, y tiene una prohibición que ningún sujeto privado tiene: no puede usar equipo de suministradores de alto riesgo ni de riesgo medio, sin matices ni plazo de sustitución. Además es el único sujeto al que el esquema exige por escrito una política de seguridad formalmente aprobada.

Literal de la norma las entidades de las Administraciones públicas que instalen, desplieguen y exploten redes 5G, ya sean públicas o privadas, o presten servicios 5G, disponibles al público o en autoprestación

RDL, art. 17 · ENS5G, art. 4.2 · art. 26

Centro de Operaciones de Seguridad 5G propio

El centro de operaciones de seguridad que un sujeto obligado decide constituir. Constituirlo es voluntario; una vez constituido, el esquema le fija once elementos mínimos que van más allá de lo exigido al resto, entre ellos la autenticación multifactorial o continua, las políticas de criptografía y cifrado, la ciberhigiene y la evaluación de la eficacia de las medidas. Es el único punto de todo el régimen donde aparece la autenticación multifactorial. Y arrastra tres deberes de relación con el Centro de referencia del Ministerio: mecanismos seguros de intercambio de información, reuniones periódicas y un punto de contacto nombrado.

Literal de la norma Los sujetos obligados podrán constituir Centros de Operaciones de Seguridad 5G

ENS5G, art. 27

Quien pone en el mercado equipos terminales 5G

El fabricante, el importador, el distribuidor y quien ponga en el mercado o comercialice equipos terminales y dispositivos para conectarse a una red 5G. No es un sujeto obligado del artículo 4 del real decreto-ley, y sin embargo las dos normas le alcanzan por dos vías: el deber de colaborar y remitir información para la ejecución del esquema, y la condición de que su producto cumpla los requisitos de ciberseguridad de la normativa europea antes de fabricarse, importarse, distribuirse o venderse. Ese requisito no lo define esta norma: lo definen el régimen de equipos radioeléctricos y, desde diciembre de 2027, el Reglamento de Ciberresiliencia.

Literal de la norma los fabricantes, importadores, distribuidores y quienes pongan en el mercado y comercialicen equipos terminales y dispositivos para conectarse a una red 5G y poder prestar servicios 5G

RDL, art. 23.4 y art. 24 · ENS5G, art. 31 y art. 35

Ministerio y Secretaría de Estado

El Ministerio para la Transformación Digital y de la Función Pública es el departamento competente para aplicar el esquema y ejercer las funciones que le atribuye el real decreto-ley: requerir información en quince días hábiles, ordenar auditorías, autorizar estaciones en ubicaciones sensibles, modificar de oficio la estrategia de diversificación de un operador y crear laboratorios de ensayo. Dentro de él, la inspección la hacen los funcionarios de la Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales, y a su titular corresponde la potestad sancionadora. Se apoya en el Centro de Operaciones de Seguridad 5G de referencia.

RDL, arts. 28, 29 y 30.8 · ENS5G, arts. 39, 40, 41 y 42