• Der vorgeschlagene Cybersecurity Act 2 würde vorschreiben, dass ausgewiesene Komponenten mit hohem Risiko innerhalb von 36 Monaten zentrale Mobilfunk-Netzwerkanlagen verlassen müssen
  • Connect Europe und GSMA Europe fordern die Streichung der Lieferkettenbestimmungen und verweisen auf Kosten- und Betriebsdruck

Die Fakten

Die European Commission hat im Januar einen überarbeiteten Cybersecurity Act vorgelegt, der Teile des EU-Ansatzes gegenüber Hochrisiko-Telekomlieferanten in verbindliche Regeln überführen würde. Der Vorschlag wird noch verhandelt und ist nicht in Kraft getreten. Nach Titel IV könnten Ausrüstung von als Hochrisiko eingestuften Lieferanten aus zentralen Mobilfunk-, Festnetz- und Satelliten-Netzwerkanlagen entfernt werden müssen. Für Mobilfunknetze liegt die vorgeschlagene Frist bei maximal 36 Monaten nach Veröffentlichung der betreffenden Lieferantenliste.

Der Vorschlag nennt weder Huawei noch ZTE. Die European Commission hat separat erklärt, dass Beschränkungen einzelner Mitgliedstaaten gegenüber den beiden Unternehmen nach der 5G Toolbox gerechtfertigt seien. Connect Europe und GSMA Europe fordern die Streichung von Titel IV mit dem Argument, dass ein verpflichtender Austausch erhebliche finanzielle und betriebliche Kosten verursachen würde.

Deutschland hat bereits einen eigenen Zeitplan. Kritische 5G-Kernkomponenten sind bis Ende 2026 zu entfernen, während kritische Managementsysteme in Zugangs- und Transportnetzen bis Ende 2029 ersetzt werden müssen. Das bedeutet nicht, dass sämtliche Ausrüstung in Zugangs- und Transportnetzen bis 2029 entfernt werden muss.

Die Bewertung

Wie schwierig dies wird, hängt davon ab, welche Ausrüstung die endgültigen EU-Regeln abdecken. Der Austausch von Kernsystemen konzentriert sich auf vergleichsweise wenige Standorte. Greifen die Regeln weiter in Funk- und Transportnetze hinein, stehen Betreiber vor Arbeiten an deutlich mehr Standorten – mit Gerätetausch, Tests, Integration und Wartungsfenstern.

Die 36-Monats-Frist könnte Betreiber daher sehr unterschiedlich treffen. Manche haben Austauschprogramme bereits angestoßen; bei anderen bleibt Ausrüstung noch für Jahre im Einsatz geplant. Eine einheitliche Frist könnte solche Aufrüstungen vorziehen.

Für BTW-Leser ist entscheidend, welche Netzwerkanlagen unter die endgültigen Regeln fallen. Reicht die Anforderung tief in Zugangs- und Transportnetze hinein, wird die Compliance zu einem großangelegten Feldtechnik-Programm statt zu einer konzentrierten Kernnetz-Migration.

Worauf zu achten ist

Zu beobachten ist, wie Parlament und Rat Titel IV ändern – insbesondere die Definition zentraler IKT-Anlagen, das Verfahren zur Einstufung von Hochrisiko-Lieferanten und den Beginn der 36-Monats-Frist. Die deutsche Frist von 2029 für Managementsysteme in Zugangs- und Transportnetzen bietet einen nützlichen Vergleichspunkt. Auch Förder- oder Entschädigungsregelungen würden beeinflussen, wie viel der Austauschkosten die Betreiber selbst tragen müssen.