Resumo

  • A proposta do Cybersecurity Act 2 exigiria que componentes classificados como de alto risco fossem retirados dos ativos-chave das redes móveis em até 36 meses
  • Connect Europe e GSMA Europe querem que as disposições sobre a cadeia de suprimentos sejam excluídas, citando custos e pressão operacional

O fato

A European Commission propôs o Cybersecurity Act 2 em janeiro, substituindo a abordagem de segurança do 5G, em grande parte voluntária, por uma estrutura aplicável em toda a EU para fornecedores de alto risco. A proposta segue em tramitação legislativa e ainda não se tornou lei.

Nos termos do Título IV, componentes de fornecedores designados como de alto risco teriam de ser removidos de ativos-chave de TIC em redes móveis, fixas e via satélite. Para as redes móveis, o período de transição proposto seria de, no máximo, 36 meses a partir da publicação da lista pertinente de fornecedores de alto risco.

A proposta não cita Huawei ou ZTE, embora a European Commission já tenha afirmado que as restrições impostas pelos Estados-membros às duas empresas são justificadas no âmbito do 5G Toolbox e que as considera fornecedoras com nível de risco substancialmente mais alto.

Connect Europe e GSMA Europe querem que o Título IV seja excluído, argumentando que a retirada obrigatória imporia custos financeiros e operacionais substanciais. Connect Europe afirma que as exigências mais amplas poderiam custar ao setor até € 40 bilhões, com base em um estudo encomendado pelo setor.

A Alemanha mostra por que o cronograma importa. Seu acordo atual exige que componentes críticos sejam retirados dos núcleos das redes 5G até o fim de 2026, enquanto sistemas críticos de gestão nas redes de acesso e transporte 5G devem ser substituídos até o fim de 2029. O acordo não exige que todos os equipamentos de acesso e transporte sejam removidos até essa data.

A análise

O esforço de engenharia depende de quais ativos de rede as regras finais da EU venham a abranger. A substituição de um conjunto limitado de sistemas de núcleo fica concentrada em relativamente poucos locais. Estender a retirada gradual ao acesso por rádio, ao transporte ou a seus sistemas de gestão distribui o trabalho por uma rede física muito maior e acrescenta substituição de equipamentos, integração, testes e janelas de manutenção.

É por isso que a contagem de 36 meses afeta cada operadora de forma diferente. Os programas nacionais foram planejados em função dos equipamentos, contratos e ciclos de substituição existentes. Um prazo comum da EU poderia antecipar parte desse trabalho caso abrangesse ativos cuja renovação estava prevista para mais tarde.

Para os leitores da BTW, a diferença está na lista final de ativos. Uma exigência restrita continua sendo uma migração de rede concentrada; uma exigência mais ampla transforma a retirada de equipamentos de fornecedores em um programa de campo que precisa ser coordenado em milhares de elementos de rede enquanto o serviço permanece em operação.

O que acompanhar

Acompanhe como o Parlamento e o Conselho alteram o Título IV, especialmente a definição de ativos-chave de TIC, o processo de designação de fornecedores de alto risco e o momento em que começa a contagem de 36 meses. O prazo de 2029 da Alemanha para os sistemas de gestão das redes de acesso e transporte oferece uma comparação útil. Disposições de financiamento ou compensação também afetariam a parcela dos gastos de substituição que as operadoras teriam de absorver por conta própria.