La Comisión Europea ha puesto sobre la mesa una revisión profunda de su Ley de Ciberseguridad con un objetivo claro: blindar las infraestructuras críticas del continente frente a amenazas procedentes de terceros países y reducir la dependencia de proveedores considerados de “alto riesgo”. La iniciativa, que podría obligar a los Estados miembros a retirar en un plazo máximo de tres años equipamiento de telecomunicaciones y tecnologías de la información de determinados fabricantes, marca un punto de inflexión en la política digital europea y reabre el debate sobre el papel de empresas como Huawei en las redes estratégicas.
Bruselas justifica el movimiento por el incremento de los llamados ataques híbridos, una combinación de ciberataques, espionaje, sabotaje y presión geopolítica que, según la Comisión, afecta ya a todos los niveles de la infraestructura europea: desde las redes móviles y los centros de datos hasta los sistemas energéticos y de transporte. Frente a este escenario, el Ejecutivo comunitario propone evaluaciones de riesgo a escala de la Unión y la adopción de medidas de mitigación coordinadas, entre ellas la prohibición de componentes procedentes de proveedores clasificados como peligrosos para la seguridad.
El foco sobre Huawei y ZTE
Aunque el borrador no menciona explícitamente a ninguna empresa, el contexto es inequívoco. En 2023, el entonces comisario de Mercado Interior, Thierry Breton, defendió públicamente la necesidad de vetar en toda la UE el equipamiento de fabricantes chinos como Huawei y ZTE ante el temor de que pudiera incorporar puertas traseras que facilitaran el acceso remoto por parte de las autoridades de Pekín o incluso la interrupción deliberada de servicios esenciales. Ese mismo año, la propia Comisión anunció la retirada de este tipo de tecnología de sus redes internas.
La preocupación no es menor si se tiene en cuenta el peso real de estos proveedores en Europa. Solo en Alemania, Huawei llegó a suministrar cerca del 60 % del equipamiento utilizado en las redes 5G, fruto de su temprana apuesta por el desarrollo de estándares y su competitividad en costes. Para muchos operadores, la tecnología china ha sido durante años una pieza clave para desplegar infraestructuras de alta capacidad en plazos y presupuestos ajustados.
Seguridad nacional frente a dependencia tecnológica
Desde la óptica de la seguridad nacional, los críticos insisten en que la legislación china obliga a empresas y ciudadanos a colaborar con los servicios de inteligencia cuando así se les requiera, lo que, a su juicio, convierte a cualquier gran proveedor tecnológico en un potencial vector de injerencia. Huawei ha negado reiteradamente estas acusaciones y sostiene que nunca ha actuado como brazo operativo del Estado chino.
La compañía también ha advertido de que excluir a proveedores por su país de origen, y no por criterios técnicos objetivos, vulneraría los principios de no discriminación y proporcionalidad de la UE, así como sus compromisos en el marco de la Organización Mundial del Comercio. Aun así, Bruselas mantiene que la protección de las infraestructuras críticas y la soberanía digital justifican un enfoque más restrictivo.
Una nueva arquitectura legal para la ciberseguridad europea
Más allá del pulso geopolítico, la reforma de la Ley de Ciberseguridad persigue reforzar la soberanía digital europea mediante varios ejes. Por un lado, establecer un marco sólido para proteger la cadena de suministro en infraestructuras críticas, reduciendo la exposición a componentes opacos o difíciles de auditar. Por otro, simplificar y armonizar el sistema de certificación de ciberseguridad a nivel comunitario, de modo que los productos y servicios que se desplieguen en sectores sensibles cumplan requisitos comunes y verificables.
La Comisión también quiere potenciar el papel de la Agencia de la Unión Europea para la Ciberseguridad (ENISA) y aliviar las cargas administrativas asociadas a la directiva NIS2, cuya transposición a los ordenamientos nacionales avanza con retraso: solo dos Estados miembros cumplieron el plazo inicial.
El reto del desmantelamiento en las redes 5G
En el ámbito específico de las redes móviles, el texto prevé un “phase-out” de los proveedores de alto riesgo y prohíbe que los organismos de certificación evalúen o validen productos procedentes de estos fabricantes. El calendario, sin embargo, es ambicioso: un máximo de 36 meses para retirar los componentes afectados desde la publicación de la lista oficial.
La experiencia británica sirve de advertencia. El Reino Unido ordenó en 2020 eliminar la tecnología de Huawei de su 5G antes de 2027, pero en 2024 el operador BT reconoció que había incumplido los hitos intermedios para limpiar el núcleo de su red. Además, el propio sector ha señalado que el proceso de sustitución desvió recursos que podrían haberse destinado a ampliar cobertura y mejorar la calidad del servicio, lo que ha lastrado la posición del país en los rankings europeos de conectividad.
