El Parlamento Europeo propone reducir a 24 meses el plazo para que las empresas de la UE eliminen equipos de proveedores considerados de alto riesgo, como Huawei y ZTE.
La medida afecta a infraestructuras críticas como redes de telecomunicaciones, centros de datos, cables submarinos y electricidad.
Las operadoras europeas advierten que los plazos de desconexión propuestos son inviables y podrían costar entre 30.000 y 40.000 millones de euros.
España se opone a la propuesta y propone un plazo mínimo de 48 meses para la sustitución de componentes en activos críticos y medidas de protección adicionales para equipos ya instalados.
El Parlamento Europeo propone reducir de 36 a 24 meses el plazo para que las empresas europeas desmonten de sus infraestructuras todos los equipos de proveedores declarados de alto riesgo (high-risk suppliers).
Esto supone recortar en un año el plazo impuesto por la Comisión Europea en el borrador de la actualización de la ley de ciberseguridad (Cybersecurity Act 2) que en estos momentos se discute en las instituciones comunitarias.
En el punto de mira siguen los proveedores de tecnología chinos como Huawei y ZTE ya que la nueva norma exige que si un país y empresas son declaradas de alto riesgo, deben salir de las redes y cadenas de suministros de las empresas de la Unión Europea (UE).
Esto incluye no sólo redes de telecomunicaciones, sino también centros de datos, cables submarinos, electricidad y todas las infraestructuras críticas del continente.
EL ESPAÑOL-Invertia ha accedido a la propuesta que el Parlamento Europeo ha enviado a la Comisión esta misma semana. Con el borrador, este documento y el del Consejo Europeo (donde están los Gobiernos) se deberá elaborar el texto definitivo antes de finalizar el año.
Es así como las propuestas firmadas por la ponente Markéta Gregorová reflejan que el posicionamiento del Parlamento Europeo es, en algunos puntos, incluso más restrictivo que la posición de la propia Comisión.
Lo mismo pasa con el grupo socialista en el Parlamento (S&D) que -como contó este mismo periódico- pedían rebajar este plazo desde los 36 meses propuestos en el borrador a los doce meses.
El documento se conoce además en medio de las críticas de las operadoras de telecomunicaciones al proyecto que, a través de su patronal europea Connect, han advertido que los plazos de desconexión planteados son inasumibles.
En su último informe indican que eliminar a los proveedores de alto riesgo como Huawei en un plazo inferior a siete años es financieramente inviable y generaría graves cuellos de botella en la infraestructura europea.
La patronal -que representa a Telefónica, Orange, Vodafone y Deutsche Telekom, entre otras- señala que un desmantelamiento rápido en tres años, como pretende la Comisión, costaría entre 30.000 y 40.000 millones de euros.
Indican además que reduciría la competencia a un duopolio de solo dos empresas, las europeas Nokia (con sede en Finlandia) y Ericsson (de origen sueco).
Los CEOs de estas mismas empresas reunidas en Connect enviaron la semana pasada una carta a la Comisión volviendo a pedir una reforma urgente a las políticas para asegurar el liderazgo tecnológico del continente.
El documento critica la propuesta actual de la ley de redes digitales (DNA) y también las restricciones de la actualización a la ley de ciberseguridad, indicando que las normativas vigentes frenan la innovación y la competitividad global.
Sin embargo, tanto la Comisión como el Parlamento Europeo van en la dirección contraria. En el caso del documento al que ha tenido acceso este diario se busca proteger la infraestructura digital local y la cadena de suministro de la UE.
Para ello introducen la creación de un punto de entrada único gestionado por ENISA para simplificar la notificación de incidentes y un servicio de asistencia contra el ransomware.
Establecen además un marco riguroso para identificar proveedores de alto riesgo, exigiendo la exclusión de componentes críticos de dichas entidades en sectores estratégicos como la energía y las telecomunicaciones.
Modifica también la definición y designación de proveedores de alto riesgo sustituyendo la declaración general por países por una evaluación técnica basada en una matriz de criterios objetivos sobre propiedad, control y gobernanza.
Este era uno de los debates en la UE porque la Comisión optaba por identificar países como China o naciones ajenas a la OTAN, mientras que los Estados miembros se decantaban por señalar empresas.
Además, el texto promueve el uso de software de código abierto para mejorar la transparencia y propone un sistema de certificación obligatoria por niveles de seguridad.
Propuestas del Parlamento Europeo
También se busca garantizar que ENISA cuente con los recursos financieros adecuados y que las sanciones por incumplimiento sean uniformes en todos los Estados miembros.
Es así como España se queda como uno de los pocos países que defiende una protección extrema a los proveedores chinos. Este diario ya explicó que el Gobierno de Pedro Sánchez fue el que más enmiendas presentó al proyecto.
Una situación que fue interpretada en círculos europeos como una intención de España de torpedear la ley. En la línea de la relación privilegiada de Madrid con Pekín. Y de Sánchez con Xi Jinping.
El Ejecutivo español sigue sosteniendo que los Estados (y no la Comisión) deben tener la última palabra para decidir sobre estos proveedores de alto riesgo y que siempre hay que evitar no afectar las relaciones comerciales y económicas con terceros países.
Propuesta de España
Es así como España propone un plazo mínimo de 48 meses para entidades esenciales en la sustitución o desmontaje de componentes en activos críticos.
Además propone un escudo protector de 36 meses frente para los equipos y componentes que ya estuvieran instalados y operativos a la fecha de publicación de la lista oficial de suministradores de alto riesgo.
También pide una transición de 24 meses para nuevas compras y cláusulas de caducidad, es decir que las empresas en la lista de suministradores de alto riesgo caduquen a los tres años, salvo renovación tras una nueva evaluación de riesgo.