Escrivá refuerza el 'veto' a proveedores chinos como Huawei en el nuevo plan de seguridad 5G

El Esquema Nacional de Seguridad de redes y servicios 5G aprobado por el Consejo de Ministros ha reforzado el veto implícito del Gobierno español a los proveedores chinos como Huawei y ZTE. Como indica el Real decreto publicado en el Boletín Oficial del Estado (BOE) el pasado miércoles, la existencia de proveedores de alto riesgo sigue siendo parte fundamental de la normativa, al mismo tiempo que se consolida el papel del Ejecutivo en la estrategia de diversificación de la cadena de suministro de las operadoras de telecomunicaciones.

Las fuentes del sector consultadas por THE OBJECTIVE coinciden en señalar que con este decreto el Gobierno refuerza su estrategia a través de la disuasión, es decir mediante un esquema altamente restrictivo con los proveedores chinos, pero sin nombrarlos y sin poner plazos para poner vetos a los suministradores de alto riesgo. Dicho de otra manera, mantiene toda la responsabilidad en manos de las operadoras de telecomunicaciones, así como el coste de sustituir equipos y diversificar sus cadenas de suministro.

Las operadoras de telecomunicaciones más expuestas en España son Vodafone, que tiene aproximadamente un 75% de toda su red (incluyendo 4G y 5G) con Huawei; y MásOrange, que ha heredado de Orange una exposición a este proveedor chino de aproximadamente un 50% en toda su red y con todas sus tecnologías. El único de los tres grandes con redes móviles que no tiene gran riesgo es Telefónica, que lleva varios años sustituyendo estos equipos de manera orgánica.

Ley de Ciberseguridad 5G

El ministro de Transición Digital, José Luis Escrivá, ha reiterado en sus recientes comparecencias públicas que el Gobierno «no tiene pensada hacer una lista de proveedores de alto riesgo de 5G», sino que se evaluará caso a caso y en el momento oportuno. Una estrategia que va en la línea de la senda marcada por su antecesora, la ministra de Asuntos Económicos, Nadia Calviño, quien indicó que el objetivo era que las propias operadoras realizaran de manera voluntaria la transición hacia nuevos equipos.

Una diversificación de proveedores se ha convertido en el pilar de este Esquema de Seguridad 5G, dejando a los proveedores de alto resto como uno de sus componentes más destacados. Al leer la normativa, se infiere que es inevitable que el Ejecutivo tarde o temprano tenga que significarse o señalar estos proveedores de riesgo alto o medio, aunque desde el departamento que dirige Escrivá indiquen que esta facultad es una posibilidad, pero no una obligación.

En cualquier caso, entre los objetivos de esta nueva norma que desarrolla la Ley de Ciberseguridad 5G de marzo de 2022 se encuentra el «promover un mercado de suministradores en las redes y servicios de comunicaciones electrónicas 5G suficientemente diversificado en aras de garantizar la seguridad basada en razones técnicas, estratégicas y operativas y evitar, por dichas razones, la presencia de suministradores con una calificación de alto riesgo o de riesgo medio en determinados elementos de red o ámbitos».

Esquema de Seguridad 5G

En este Esquema de Seguridad 5G se establece un detallado procedimiento para declarar proveedores de alto riesgo. Para su determinación se basarán en criterios técnicos de funcionamiento y operatividad de sus equipos, productos y servicios; y criterios estratégicos como, por ejemplo, vínculos de los suministradores y de su cadena de suministro, con los gobiernos de terceros países, la composición de su capital social y la estructura de sus órganos de gobierno o el poder de un tercer Estado para ejercer presión sobre la actuación o ubicación de la empresa.

También se tomarán en cuenta las características de la legislación y la política de ciberdefensa y el respeto al derecho internacional y a las resoluciones y acuerdos de la Organización de las Naciones Unidas (ONU) de ese tercer Estado, los acuerdos de cooperación en materia de seguridad, ciberseguridad, delitos cibernéticos o protección de datos firmados con el país tercero de que se trate, así como los tratados internacionales en esas materias de que sea parte dicho Estado y el grado de adecuación de la normativa del tercer Estado sobre protección de datos personales a la de España al Reglamento General de Protección de Datos de la UE. Una normativa que parece un traje a medida para suministradores chinos.

El procedimiento para la calificación de estos suministradores 5G de alto riesgo se iniciará de oficio mediante acuerdo adoptado por el Ministerio de Transformación Digital. En la tramitación se solicitará informe a la Comisión Nacional de los Mercados y la Competencia (CNMC), al Ministerio del Interior, al Ministerio de Defensa, al Departamento de Seguridad Nacional del Gabinete de la Presidencia del Gobierno, al Centro Nacional de Inteligencia del Ministerio de Defensa y al Instituto Nacional de Ciberseguridad de España.

Proveedores de alto riesgo

De la propuesta de resolución se dará audiencia a los operadores 5G y suministradores 5G afectados por un plazo de 15 días hábiles. Una vez efectuados estos trámites, el Gobierno, mediante acuerdo adoptado en Consejo de Ministros, previo informe del Consejo de Seguridad Nacional, adoptará una decisión en el plazo de seis meses a contar desde la incoación del procedimiento.

Si finalmente el acuerdo del Consejo de Ministros es calificar a determinados suministradores 5G como de alto riesgo, en ese momento se determinará el plazo en que los operadores deberán llevar a cabo la sustitución de los equipos, productos y servicios proporcionados. Se podrá establecer un plazo diferente para los distintos elementos críticos de la red pública 5G en función de las amenazas detectadas aunque nunca podrá ser inferior a un año para cualquier elemento.

El Consejo de Seguridad Nacional, previo informe del Ministerio de Transformación Digital, podrá determinar las ubicaciones, áreas y centros en las que no se podrá instalar equipos de suministradores calificados de alto riesgo. En la emisión de su informe, el ministerio de Escrivá tendrá en cuenta las propuestas que le remitan el Ministerio del Interior, el Ministerio de Defensa, el Departamento de Seguridad Nacional del Gabinete de la Presidencia del Gobierno y el Centro Nacional de Inteligencia del Ministerio de Defensa. Un hándicap para las operadoras que utilicen estos proveedores, ya que podría inhabilitarles para contratos públicos.

Diversificación de proveedores

Por otro lado, las operadoras deberán diseñar una estrategia de diversificación en la cadena de suministro de los equipos de telecomunicación, sistemas de transmisión, equipos de conmutación o encaminamiento y demás recursos que permitan el transporte de señales en una red pública 5G. Deberán contar con equipos de transmisión radio que sean proporcionados, como mínimo, por dos suministradores diferentes, mientras que en el núcleo de la red y en los sistemas de control y gestión y los servicios de apoyo, el suministrador podrá ser único.

El Gobierno se ha atribuido además la posibilidad de modificar la estrategia de diversificación en la cadena de suministro de un operador 5G. Se podrá realizar esta sustitución si es que el Ministerio de Transformación Digital considera que no queda garantizada la continuidad en la prestación de los servicios 5G, la integridad física o lógica de la red o que existe una amplia exposición al equipamiento instalado por un suministrador que en determinadas circunstancias puede poner en peligro la funcionalidad y operatividad de la red.

También se actuará para garantizar la seguridad en la provisión de servicios utilizados por los servicios de Seguridad Nacional, Defensa Nacional o por distintas Administraciones Públicas, y teniendo en cuenta si existe calificación de suministradores de alto riesgo, las alternativas de suministro de equipos y productos sustitutivos viables, la implantación de esos equipos y productos en la red 5G del operador, especialmente en los elementos críticos y los ciclos de actualización de equipos.