Resumen

  • La propuesta Cybersecurity Act 2 exigiría retirar los componentes designados de alto riesgo de los activos clave de las redes móviles en un plazo de 36 meses
  • Connect Europe y GSMA Europe quieren que se eliminen las disposiciones sobre la cadena de suministro, alegando presión operativa y de costes

Los hechos

La European Commission propuso en enero la Cybersecurity Act 2, con la que pretende sustituir el enfoque de seguridad 5G, en gran medida voluntario, por un marco común de la UE para los proveedores de alto riesgo. La propuesta sigue en tramitación legislativa y no se ha convertido en ley.

En virtud del Título IV, los componentes de proveedores designados de alto riesgo tendrían que retirarse de activos TIC clave de redes móviles, fijas y por satélite. Para las redes móviles, el periodo de transición propuesto no superaría los 36 meses desde la publicación de la correspondiente lista de proveedores de alto riesgo.

La propia propuesta no nombra a Huawei ni a ZTE, aunque la Comisión ha señalado anteriormente que las restricciones impuestas por los Estados miembros a ambas compañías están justificadas en virtud de 5G Toolbox y que las considera proveedores con un riesgo sustancialmente mayor.

Connect Europe y GSMA Europe quieren que se suprima el Título IV y sostienen que la retirada obligatoria impondría costes financieros y operativos considerables. Connect Europe afirma que los requisitos más amplios podrían costar al sector hasta 40.000 millones de euros, según un estudio encargado por el propio sector.

Alemania muestra por qué importa el calendario. Su acuerdo vigente exige retirar los componentes críticos de los núcleos de las redes 5G antes de finales de 2026, mientras que los sistemas críticos de gestión de las redes de acceso y transporte 5G deberán sustituirse antes de finales de 2029. No exige retirar para esa fecha todo el equipamiento de acceso y transporte.

Evaluación

La carga de ingeniería depende de qué activos de red abarquen las normas definitivas de la UE. Sustituir un conjunto limitado de sistemas del núcleo concentra el trabajo en relativamente pocos emplazamientos. Extender la retirada gradual a la red de acceso radioeléctrico, al transporte o a sus sistemas de gestión distribuye el trabajo por una red física mucho mayor y añade sustitución de equipos, integración, pruebas y ventanas de mantenimiento.

Por eso, el plazo de 36 meses afecta de forma distinta a cada operador. Los programas nacionales se han diseñado en torno al equipamiento, los contratos y los ciclos de sustitución existentes. Un plazo común de la UE podría adelantar parte de ese trabajo si abarca activos cuya renovación estaba prevista para más adelante.

Para los lectores de BTW, la diferencia reside en la lista final de activos. Un requisito limitado seguiría siendo una migración de red concentrada; uno más amplio convertiría la retirada del equipamiento de determinados proveedores en un programa sobre el terreno que tendría que coordinarse entre miles de elementos de red mientras continúa el servicio.

Qué vigilar

Habrá que seguir cómo modifican el Parlamento y el Consejo el Título IV, en particular la definición de activos TIC clave, el proceso para designar proveedores de alto riesgo y el momento en que empieza a contar el plazo de 36 meses. El plazo alemán de 2029 para los sistemas de gestión de las redes de acceso y transporte ofrece una comparación útil. Las disposiciones de financiación o compensación también determinarían qué parte del gasto de sustitución deben asumir los propios operadores.