España intenta torpedear 'in extremis' la ley de la UE que obligará a vetar a proveedores chinos

El Gobierno está haciendo gestiones de última hora en Bruselas para torpedear la actualización de la Ley de Ciberseguridad de la Unión Europea. La normativa se presentará en enero y entre sus principales novedades debería incluir una retirada progresiva y obligatoria de proveedores chinos de las infraestructuras críticas de los Estados miembros. Fuentes de los organismos comunitarios han confirmado a THE OBJECTIVE que el equipo del Ejecutivo de Pedro Sánchez intenta suavizar su alcance para minimizar el impacto económico y político que tendría este dictamen para España.

España —junto con Alemania— es uno de los países más señalados por sus vínculos con Pekín y con proveedores como Huawei y ZTE. El Gobierno lleva al menos cinco años desoyendo las advertencias de la UE para que vete a estos suministradores y preserve la seguridad y soberanía estratégica de las infraestructuras críticas. Mientras que Berlín ya ha comenzado a dar pasos para desconectar de esta dependencia, Madrid renovó antes del verano el contrato para que Huawei almacene las escuchas telefónicas de la Guardia Civil.

Además, un tercio del despliegue español de 5G sigue estando en manos de Huawei. Ante las críticas de Bruselas, España sigue sosteniendo que respeta la normativa y que la publicación de la Ley de Ciberseguridad 5G (de marzo de 2022) es suficiente para cumplir con las directrices de la Unión Europea. Al contrario, en el entorno comunitario se considera que no solo no se han cumplido, sino que en tres años la implicación con el fabricante ha ido a más y ya llega a buena parte de los sectores estratégicos.

Exposición a Huawei

Lo que se ha filtrado es que la propuesta de ley de ciberseguridad de la UE —aún a debate y sujeta a modificaciones— es que obligaría a sectores estratégicos como la sanidad, la energía y las telecomunicaciones a eliminar las tecnologías chinas de menor coste de toda la cadena de suministro. En los últimos años, la Comisión Europea ha sugerido una retirada progresiva, pero la mitad de los países del continente (14 de los 27 miembros) no han movido ficha, incluido España. Por ello, ahora la norma será de carácter vinculante.

Fuentes comunitarias consultadas por este diario dicen que las presiones de España y Alemania (que pese a sus esfuerzos de desconexión también tendría un importante impacto económico), así como divisiones internas en temas clave como la fecha límite para que norma entre en vigor, retrasarán la presentación del borrador al menos una semana. El plazo original marcado por Bruselas era el 14 de enero, pero todo parece indicar que se trasladará al 21 de este mismo mes.

El Gobierno español quiere suavizar al máximo la normativa para no cancelar la decena de contratos que tiene con Huawei en ámbitos como la Seguridad Social y la Agencia Tributaria, y evitar un duro impacto para el sector de las telecomunicaciones local con MasOrange, Vodafone y Telefónica como los más afectados. Los informes internos de la Comisión Europea señalan que España y Francia serán dos de los países con mayor impacto económico por este veto.

‘Toolbox’ de la UE

En términos generales, se espera que la nueva ley actualice el papel de la agencia europea de ciberseguridad ENISA; establezca normas de certificación para estandarizar sus capacidades cibernéticas; aborde los riesgos de seguridad en la cadena de suministro y simplifique algunas regulaciones digitales existentes. Las negociaciones están a cargo del equipo de la vicepresidenta ejecutiva de la Comisión Europea para la Soberanía Tecnológica, la Seguridad y la Democracia, Henna Virkkunen.

Se trata además de hacer vinculantes las disposiciones del conjunto de herramientas del toolbox de seguridad que ya lanzó la UE hace más de tres años. En este caso, los productos afectados abarcarán desde hardware, como piezas de automóviles, hasta software, como modelos de IA. Se espera que lo que se considera estratégico se defina en la Ley de Ciberseguridad renovada, inspirada en la Directiva de Seguridad de las Redes y de la Información 2 (NIS2).

Sustitución de equipos

En el caso de la retirada de proveedores chinos, se les calificará como «de alto riesgo» al estar directamente relacionados con (e influidos por) Pekín, en el marco de los vetos vinculados a potencias hostiles como China, Rusia e Irán. El plan es establecer un calendario de plazos concretos para eliminarlos de las infraestructuras de manera escalonada, pero de momento no hay acuerdo total en todos los países del continente. Incluso se baraja no establecer pasos a demanda, para adaptar la normativa a la velocidad que pueda asumir cada uno de los Estados miembros.

En cualquier caso, la norma indica que no solo se suspendan los futuros desarrollos con estos proveedores, sino que también se sustituyan completamente de los actuales equipos por suministradores europeos como Nokia y Ericsson. Esto tendrá un grave impacto económico en operadores de telecomunicaciones como Orange, Vodafone, Telefónica y Deutsche Telekom. Un coste calculado en centenares de millones de euros que ha abierto un debate respecto de si la factura debe ser asumida íntegramente por las telecos o si estas empresas deben contar con ayudas públicas.