España deberá alinear su Ley de Ciberseguridad 5G con el esquema encargado por Bruselas a Enisa

La Comisión Europea unificará criterios para todos los países en materia de ciberseguridad en sus redes 5G, a través del esquema común de certificación que ha encargado recientemente a la Agencia de la UE para la Ciberseguridad, Enisa. Algunos países ya han avanzado en esta misma línea, como es el caso de Alemania que incluyó las medidas del ‘Toolbox’ de la Comisión 5G a su legislación.

Mientras en España el anteproyecto de Ley de Ciberseguridad 5G se presentaba el 14 de diciembre, solo dos días después, el 16 de diciembre, el Gobierno en Alemania aprobaba ya el borrador de su Ley de Telecomunicaciones en los que se priman los criterios técnicos como afirmaba el ministro Federal del Interior de Alemania, Horst Seehofer, en una entrevista con el diario alemán ‘Handlesblatt’: «El camino que hemos elegido ahora define mayores requisitos de seguridad para todos los fabricantes, independientemente del país del que procedan. Esto mejorará significativamente la seguridad informática en general». En este sentido, Seehofer apuntaba que «no es principalmente el país de origen lo que importa, sino la tecnología que se utiliza».

En España, a punto de cumplirse dos meses de la presentación en audiencia pública por parte del Gobierno español del anteproyecto de Ley de Ciberseguridad 5G, se prevé que aún tarde varios meses su aprobación y que hasta final de año no se tenga clara la clasificación del nivel de riesgo de los proveedores, una clasificación que según un reciente informe publicado por la consultora del Reino Unido Oxford Economics, podría vulnerar la libre circulación de bienes y servicios, la libertad de empresa y el principio de no discriminación además de causar graves perjuicios económicos y costes a los operadores móviles además de retrasar el despliegue de las redes 5G.

El borrador de Ley del 5G, que traslada al marco legal de España las medidas para reducir los riesgos de seguridad que se incluyen en el ‘Toolbox’ de la Comisión Europea, se ha desarrollado con el propósito de «establecer un marco confiable y seguro que incentive el despliegue y la inversión por parte de los operadores», según se recoge en la comunicación del propio en el propio proyecto. Sin embargo, diversos especialistas apuntan que la falta de concreción y claridad en algunos aspectos del texto están acrecentando las dudas y generando una sensación de inseguridad jurídica en el sector como apunta Javier Fernéndez-Samaniego en un artículo publicado en ‘Expansión’.

En este texto denuncia que «las imitaciones a la libertad de empresa que se podrán llevar a cabo, como la evaluación del riesgo de suministradores individuales mediante métodos de «perfilado» (profiling) no sólo técnicos a la que se refiere su artículo 11, conllevan un riesgo potencial de que su desarrollo reglamentario o aplicación práctica por la Administración española se centre en cuestiones geopolíticas en lugar de en el loable objetivo de la ciberseguridad de las redes 5G y la promoción de un mercado de suministradores suficientemente diversificado sean de cualquier nacionalidad».

Alemania

El Catálogo de Seguridad 2.0. de Alemania, que recoge los requisitos de seguridad que tiene que cumplir fabricantes y proveedores, es efectivo desde el 23 de diciembre. Por su parte, el esquema de Seguridad 5G en España no se publicará hasta después de la aprobación del anteproyecto ley, lo que podría señalan diversos especialistas añadir incertidumbre tanto en operadores como proveedores -reticentes a comprometer sus inversiones-, al no existir un proceso claro tras la aprobación del anteproyecto.

Uno de los factores fundamentales que diferencian ambas legislaciones es el establecimiento de los criterios que determinan los posibles riesgos en las redes 5G. En el caso de Alemania los criterios, muy estrictos, son de carácter exclusivamente técnico. Se basan en la identificación y notificación de los componentes críticos y certificación, declaración de fiabilidad y garantía del vendedor.

En España, tal como está planteado en el borrador del anteproyecto de Ley de Ciberseguridad 5G, los operadores deberán realizar un análisis del nivel de riesgo, que servirá como base para la creación por parte del Gobierno de una lista en la que los suministradores aparecerán clasificados por su nivel de riesgo (bajo, medio o alto). Este análisis se basará en dos tipos de criterios, uno técnico (centrado en estándares, certificaciones, test, auditorías de seguridad) y otro no técnico (en el que se tiene en cuenta, entre otros aspectos, la posible exposición de los suministradores a injerencias externas).