Rechenzentren & Telekommunikation in Spanien

Der Stromausfall auf der Iberischen Halbinsel am 28. April 2025 macht die Bedeutung übergreifender Versorgungsszenarien deutlich: Der spanische Untersuchungsausschuss beschrieb in seinem Bericht vom Juni 2025 einen durch mehrere Faktoren verursachten Überspannungsvorfall und fand keine Hinweise auf einen Cyberangriff als Ursache. [1] Die CNMC leitete daraus im März 2026 auch Empfehlungen für andere stromabhängige Sektoren ab, darunter eine engere Abstimmung von Telekommunikation und Stromversorgungsplanung. [2]

Die betriebliche Konsequenz reicht über die installierte Notstromleistung hinaus. Rechenleistung bleibt nur nutzbar, solange auch Kühlung, Netzanbindung und die erforderlichen Betriebsabläufe funktionieren. Für längere Ausfälle sind deshalb Brennstoffnachschub, erreichbare Dienstleister und ausreichend Personal ebenso entscheidend wie die technische Reserve.

Für Investitions- und Betriebsentscheidungen ist damit nicht allein die zusätzliche Kapazität eines Systems relevant, sondern ihr Beitrag zur Verfügbarkeit des gesamten Standorts. Eine Reserve, deren Nachversorgung im selben Störungsszenario ausfällt, bietet nur begrenzte Überbrückung.

Ein versorgtes Rechenzentrum kann seine Funktion nur erfüllen, wenn die benötigten Verbindungen verfügbar bleiben. Zwei Anschlüsse bieten begrenzten Schutz gegen gemeinsame Ausfallursachen, wenn sie dieselbe Trasse, denselben Übergabepunkt oder dieselbe Stromversorgung nutzen. Für die Kontinuität zählen deshalb auch die Erkennung von Störungen, Ausweichmöglichkeiten und die abgestimmte Wiederherstellung durch die beteiligten Netzbetreiber.

Artikel 63 des spanischen Telekommunikationsgesetzes 11/2022 verlangt von Betreibern öffentlicher Netze und öffentlich verfügbarer elektronischer Kommunikationsdienste angemessene technische und organisatorische Sicherheitsmaßnahmen sowie die Meldung erheblicher Sicherheitsvorfälle an das zuständige Ministerium. [3] Bei katastrophalen Netzausfällen oder höherer Gewalt sind außerdem die größtmögliche Verfügbarkeit von Sprachkommunikation und Internetzugang sowie der ununterbrochene Zugang zu Notdiensten und die Übermittlung öffentlicher Warnungen sicherzustellen. [3]

Das Digitalministerium kündigte im Juni 2026 zusätzliche Vorgaben zur Netzresilienz und zur Überbrückung von Stromausfällen an; diese Veröffentlichung beschreibt ein noch zu verabschiedendes Regelwerk. [4] Für Investitionsentscheidungen sind solche Vorhaben ein Planungssignal. Verbindliche Auslegungsanforderungen ergeben sich jedoch erst aus den jeweils geltenden Vorschriften, nicht aus einer Ankündigung allein.

Eigentümer, Colocation-Betreiber, Cloud-Anbieter und Telekommunikationsunternehmen tragen unterschiedliche Verantwortung. Ein gemeinsamer Standort hebt diese Unterschiede nicht auf. Schutzmaßnahmen und Zuständigkeiten müssen deshalb zum jeweiligen Dienst und Rechtsträger passen.

Das spanische Gesetz 8/2011 knüpft die besonderen Pflichten kritischer Betreiber an die Einstufung ihrer Infrastruktur; der Betrieb eines Rechenzentrums allein begründet diese Einstufung nicht. [5] Für entsprechend benannte Betreiber sieht es unter anderem einen „Plan de Seguridad del Operador“, spezifische Schutzpläne für die kritischen Infrastrukturen sowie benannte Sicherheits- und Verbindungsverantwortliche vor. [5]

Die zugehörige Verordnung 704/2011 verbindet physische und logische Sicherheit ausdrücklich: Betreiberpläne müssen entsprechende Bedrohungen berücksichtigen, spezifische Schutzpläne auch die Informationssysteme der jeweiligen kritischen Infrastruktur. [6] Für betroffene Betreiber liegt die Aufgabe damit in einer zusammenhängenden Schutzorganisation: bauliche und technische Maßnahmen, Sicherheitsverantwortung und Krisenabläufe müssen denselben Schutzauftrag abbilden.

NIS2 erfasst Rechenzentrums- und Cloud-Dienste unter den jeweiligen Anwendungsbedingungen und verlangt einen Allgefahrenansatz, der auch die physische Umgebung der Informationssysteme einbezieht; bei diesen Diensten ist für die Zuständigkeit zudem die Hauptniederlassung innerhalb der EU relevant. [7] Im zum 14. November 2026 geprüften EUR-Lex-Verzeichnis sind für Spanien keine nationalen Umsetzungsmaßnahmen notifiziert; eine fehlende Notifizierung ist dabei von der Prüfung des tatsächlich geltenden nationalen Rechts zu unterscheiden. [8]

Der bestehende spanische NIS-Rahmen aus Real Decreto-ley 12/2018 und Real Decreto 43/2021 regelt bereits Sicherheitsmaßnahmen und Vorfallmanagement für erfasste Betreiber wesentlicher Dienste und bestimmte digitale Dienste, darunter Cloud-Dienste; Anwendungsbedingungen und Ausnahmen sind jeweils zu prüfen. [9] [10] Der offene Umsetzungsstand im Register bedeutet somit keinen pflichtenfreien Raum. Maßgeblich sind die angebotenen Dienste, der verantwortliche Rechtsträger und die einschlägige Zuständigkeit.

Die unmittelbar geltende NIS2-Durchführungsverordnung (EU) 2024/2690 konkretisiert für die von ihrem Anwendungsbereich erfassten Anbieter unter anderem Versorgungssicherheit, physischen Zutritt, Geschäftskontinuität, Wiederherstellung und Lieferantenmanagement. [11] Auch die europäische CER-Richtlinie ist differenziert zu betrachten: Artikel 8 nimmt kritische Einrichtungen der digitalen Infrastruktur von bestimmten Vorschriften aus, lässt aber unionsrechtskonforme weitergehende nationale Resilienzregeln zu. [12]

Bei Leistungen für öffentliche Auftraggeber kann das „Esquema Nacional de Seguridad“, kurz ENS, relevant werden: Artikel 2 Absatz 3 der Verordnung 311/2022 bezieht unter den dort genannten Voraussetzungen auch Systeme privater Anbieter ein, die Leistungen oder Lösungen für die Wahrnehmung öffentlicher Verwaltungsaufgaben bereitstellen; entsprechende Anforderungen können sich auf die Lieferkette erstrecken. [13] Entscheidend ist der betroffene Leistungs- und Systemumfang. Ein einzelner öffentlicher Kunde begründet keine pauschale Anforderung an sämtliche Standorte.

Für Finanzkunden verlangt DORA konkrete Vertragsregelungen mit IKT-Dienstleistern, etwa zu Leistungs- und Datenverarbeitungsorten sowie, bei kritischen oder wichtigen Funktionen, zu Prüfungsrechten und Ausstiegsregelungen. [14] Damit wird Nachweisfähigkeit zu einer operativen Aufgabe: Vertragliche Zusagen müssen durch die tatsächlichen Abläufe, Verantwortlichkeiten und verfügbaren Unterlagen getragen werden.

Auch Energie- und Umweltanforderungen beeinflussen den Betrieb: Für Rechenzentren mit einem Leistungsbedarf der installierten IT von mindestens 500 kW sieht die EU-Verordnung 2024/1364 eine jährliche Meldung von Kennzahlen an die europäische Datenbank vor. [15] Spanien hat 2026 zudem die Ausarbeitung weiterer Vorgaben zu Nachhaltigkeit, Resilienz und digitaler Souveränität gesetzlich vorgesehen; der auf der MITECO-Fachseite dokumentierte Ausführungsstand wird als Verordnungsprojekt geführt. [16] [17] Für Standortentscheidungen sind deshalb bestehende Berichtspflichten und mögliche künftige Anschluss- oder Betriebsanforderungen getrennte Planungsgrößen. Wasser, Kühlung und Energieversorgung verbinden dabei Ressourcenbedarf und Ausfallsicherheit.

Aus diesen Abhängigkeiten ergeben sich fünf Handlungsprioritäten. Maßgeblich ist jeweils, ob eine Schutzmaßnahme auch dann trägt, wenn weitere Systeme oder externe Leistungen gleichzeitig eingeschränkt sind.

• Zutritt und Intervention verbinden: Berechtigungen und Schutzbereiche begrenzen den Zugang. Für die Reaktion auf unzulässigen Zutritt müssen Alarmierung, verfügbare Einsatzkräfte und Entscheidungsbefugnisse zusammenpassen.
• Notbetrieb bis zum Wiederanlauf planen: Die Überbrückungsdauer hängt von Energie, Kühlung, Nachversorgung und Personal gemeinsam ab. Zum Betriebskonzept gehört auch der kontrollierte Übergang zurück in den Normalbetrieb.
• Gemeinsame Standortgefahren berücksichtigen: Brandabschnitte, die Lage kritischer Technik und der Schutz vor Wasserzutritt beeinflussen, ob mehrere Systeme zugleich ausfallen können. Zufahrten müssen auch unter den betrachteten Störungsbedingungen für Betrieb und Einsatzkräfte nutzbar sein.
• Fernwartung mit Verantwortung verknüpfen: Zugänge zur Betriebstechnik und Gebäudeautomation benötigen nachvollziehbare Berechtigungen und Änderungszuständigkeiten. Die Verantwortung an der Schnittstelle zu externen Dienstleistern muss auch im Störungsfall eindeutig bleiben.
• Krisenfähigkeit nachweisbar machen: Eskalationswege, Ersatzkommunikation und Wiederherstellungsplanung brauchen benannte Verantwortliche und erprobte Abläufe. Übungen und Dokumentation machen Annahmen überprüfbar und Handlungsbedarf sichtbar.

Für die Einordnung möglicher Überflutungsgefahren steht in Spanien die amtliche Kartierung SNCZI zur Verfügung; das Umweltministerium weist ausdrücklich darauf hin, dass nicht alle gefährdeten Gebiete kartiert sind. [18] Eine fehlende Markierung ist daher kein Nachweis eines ungefährdeten Standorts. Örtliche Gegebenheiten, Zufahrten und die Position versorgungswichtiger Anlagen bleiben für die Standortentscheidung relevant.