El Gobierno creará una lista de proveedores seguros de 5G pero no vetará a Huawei

El Gobierno elaborará una lista de suministradores tecnológicos para las redes de la nueva telefonía móvil 5G que identificará el nivel de riesgo (bajo, medio o alto) de las compañías proveedoras, que podrán ver restringida su presencia en alguna parte o la totalidad de las redes de la nueva tecnología en función de la categoría en la que hayan sido incluidas. De esta forma, se descarta vetar a priori a ninguna firma tecnológica y, en particular, a la china Huawei, como han hecho otros países bajo la presión de Estados Unidos.

Así se recoge en el anteproyecto de la Ley de Ciberseguridad 5G, que se prevé aprobar este verano, y que obligará a los operadores a realizar un análisis de gestión de riesgos cada dos años y a la Administración, al menos cada seis, para fijar los requisitos de ciberseguridad específicos para el despliegue y la explotación de redes de 5G.

El anteproyecto busca desarrollar la llamada telefonía móvil de quinta generación en España en un entorno de confianza que permita al país situarse en una posición avanzada en esta nueva tecnología que cambiará no solo el mundo de las comunicaciones sino el entorno industrial gracias a sus aplicaciones instantáneas a distancia, según han informado este lunes fuentes de la Secretaría de Estado de Telecomunicaciones.

Con esta ley, el Gobierno español sortea de forma diplomática el posible veto a Huawei, ya que el anteproyecto no establece “vetos apriorísticos” a ningún operador, y dependerá del nivel de riesgo en que se categorice al fabricante chino para decidir en cada momento sobre la idoneidad de contratar sus redes y equipos para el despliegue del 5G, según las fuentes citadas de la Administración.

Estados Unidos ha presionado fuertemente a los países aliados para que veten como proveedor tecnológico a Huawei, empresa a la que acusa de poner al servicio de la dictadura china y del Partido Comunista gobernante en el país asiático las redes de 5G desplegadas en todo el mundo con fines de espionaje industrial y militar. Unas acusaciones que ha negado reiteradamente el gigante chino acusando a su vez a la Administración estadounidense de falta de pruebas. La UE decidió dar libertad a los países miembros para que adoptaran una postura al respecto. Algunos como Reino Unido adoptaron la postura más drástica prohibiendo contratar con Huawei. Otros como Alemania y Francia han optado por comprometerse a una vigilancia estricta de la firma asiática pero sin postular su veto expresamente. Una solución muy similar a la que quiere adoptar el Gobierno español.

La propuesta de norma incluye principalmente medidas destinadas a los operadores de redes y servicios 5G, pero también a suministradores, fabricantes y a determinados usuarios corporativos que el texto identifica, así como los procedimientos que se deben seguir en el ámbito público para garantizar la seguridad en el despliegue.

Los operadores de redes (Telefónica, Orange, Vodafone, MásMóvil, Euskaltel y otros) deberán analizar su dependencia en la cadena de suministros y estarán obligados a elaborar e informar de la ejecución de una estrategia de diversificación de suministradores, teniendo que adoptar medidas para limitar la dependencia de un solo suministrador y restricciones para los proveedores que sean calificados de alto riesgo.

Por su parte, el Gobierno adoptará, por Real Decreto, el Esquema de Seguridad de Redes y Servicios 5G, con el cual se realizará un tratamiento integral de la seguridad en las redes y servicios 5G nacionales. Dentro del esquema, se priorizarán los riesgos y las medidas para mitigarlos que deberán tener en cuenta los operadores.

Para la elaboración del mismo se tendrán en cuenta los análisis realizados por los operadores, incluyendo las vulnerabilidades de la cadena de suministros. El borrador establece de modo transparente los factores a considerar en el análisis de la cadena de suministros, desde la garantía técnica de funcionamiento y protección frente a ataques, hasta la limitación de su exposición a injerencias de terceros, según las mismas fuentes.

Análisis de riesgo

En función del análisis de riesgos de la cadena de suministros, y previo informe del Consejo de Seguridad Nacional, el Ministerio de Asuntos Económicos y Transformación Digital podrá promover un Acuerdo del Consejo de Ministros para calificar el nivel de riesgo (bajo, medio o alto) de los distintos suministradores.

Una vez se decida la inclusión de un suministrador en una de las categorías fijadas, esto tendrá consecuencias para dicha compañía en un proceso posterior en el que, en función del riesgo correspondiente, se podría ver excluido de una parte o de la totalidad de la red 5G, según fuentes de la Secretaría de Estado.

Para evaluar el nivel de riesgo de un operador se realizarán dos tipos de análisis, uno que abordará cuestiones puramente técnicas y otro dedicado a identificar riesgos adicionales, como pueden ser la estructura de la sociedad o la capacidad de injerencia de un Gobierno extranjero en la empresa.

El anteproyecto realiza la traslación al marco legal español de las medidas estratégicas, técnicas y de apoyo para mitigar los riesgos de seguridad, contenidas en la llamada caja de herramientas (tool box) consensuada entre los Estados Miembros de la Unión Europea. La caja de herramientas identifica las principales amenazas y sus fuentes, los activos más sensibles, las principales vulnerabilidades y una serie de riesgos estratégicos en el despliegue de redes 5G.