概要

  • Cybersecurity Act 2 案は、指定された高リスク部品を36か月以内にモバイルネットワークの主要資産から撤去するよう求める
  • Connect Europe と GSMA Europe は、コストと運用上の負担を理由に、サプライチェーン条項の削除を求めている

事実

European Commission は1月、これまで主に自主対応に委ねられていた 5G セキュリティの手法に代え、高リスク供給業者を対象とする EU 全域の枠組みを導入する Cybersecurity Act 2 を提案した。この提案は立法手続き中で、まだ法律にはなっていない。

第4編では、高リスクに指定された供給業者の部品を、モバイル、固定、衛星ネットワークの主要 ICT 資産から撤去することを義務付ける。モバイルネットワークでは、該当する高リスク供給業者リストの公表から移行期間を36か月以内とする案だ。

提案自体は Huawei や ZTE を名指ししていない。ただし European Commission は以前、両社に対して加盟国が課した制限は 5G Toolbox に照らして正当化されると述べ、両社をリスクが実質的により高い供給業者とみなしている。

Connect Europe と GSMA Europe は第4編の削除を求め、強制的な撤去は多額の財務・運用コストを課すと主張している。Connect Europe は、業界が委託した調査に基づき、より広範な要件による業界の負担は最大400億ユーロに達する可能性があるとしている。

ドイツの例は、なぜ日程が重要なのかを示している。同国の既存合意では、重要部品を2026年末までに 5G コアネットワークから撤去し、5G アクセス・伝送ネットワークの重要管理システムを2029年末までに置き換えることが求められている。同年までにアクセス・伝送設備をすべて撤去することまでは求めていない。

評価

技術面の負担は、最終的な EU 規則がどのネットワーク資産を対象にするかで変わる。限られたコアシステムの置き換えは、比較的少数の拠点に集中する。段階的撤去を無線アクセス網、伝送網、またはそれらの管理システムまで広げると、作業ははるかに大規模な物理ネットワーク全体に及び、設備交換、統合、試験、保守時間帯の確保が加わる。

このため、36か月という期限の意味は事業者ごとに異なる。各国の計画は、既存設備、契約、更新サイクルを前提に設計されている。EU 共通の期限が、より後の更新を予定していた資産まで対象にすれば、一部の作業を前倒しせざるを得なくなる可能性がある。

BTW の読者にとって、違いを決めるのは最終的な資産リストだ。要件が狭ければ、集中的なネットワーク移行にとどまる。要件が広ければ、特定供給業者の機器撤去は、サービスを継続しながら数千のネットワーク要素にわたって調整しなければならない現場対応計画になる。

注目点

欧州議会と理事会が第4編をどのように修正するか、とりわけ主要 ICT 資産の定義、高リスク供給業者の指定手続き、36か月の期限がいつ始まるかに注目したい。ドイツが設定した2029年のアクセス・伝送管理システムの期限は、有用な比較対象となる。資金支援や補償に関する条項も、事業者が自ら負担しなければならない交換費用の規模を左右する。