La Comisión Europea ha aprobado un conjunto de instrumentos a fin de hacer frente a los riesgos de seguridad relacionados con el despliegue de las redes móviles de quinta generación (5G).
Este paquete de medidas, que toma como base el informe de evaluación de riesgos sobre estas redes, hecho público por la UE el pasado mes de octubre, incluye medidas estratégicas y técnicas, junto con acciones correspondientes para reforzar su eficacia y cuya calibración responde a factores objetivos.
Las medidas estratégicas incluyen medidas relativas al aumento de las facultades regulatorias para que las autoridades puedan examinar la adquisición y el despliegue de redes; medidas específicas para hacer frente a los riesgos relacionados con vulnerabilidades no técnicas (por ejemplo, el riesgo de interferencia de un tercer país o los riesgos de dependencia), así como posibles iniciativas para promover una cadena de suministro y valor de 5G sostenible y diversa a fin de evitar riesgos sistémicos de dependencia a largo plazo. Se considera que estas medidas pueden ser muy eficaces para hacer frente a determinados riesgos de seguridad cibernética de los 5G identificados en el informe de evaluación coordinada de riesgos de la UE.
En concreto, se han identificado ocho medidas estratégicas, entre las que destaca el fortalecimiento del papel de las autoridades nacionales; la realización de auditorías a los operadores y la solicitud de información; la evaluación del perfil de riesgo de los proveedores y la aplicación de restricciones a los proveedores considerados de alto riesgo -incluidas las exclusiones necesarias para mitigar eficazmente los riesgos- para los activos clave; el control del uso de los proveedores de servicios gestionados y el apoyo de los proveedores de equipo.
En cuanto a las medidas técnicas, se orientan a reforzar la seguridad de las redes y equipos de 5G reforzando la seguridad de las tecnologías, los procesos, las personas y los factores físicos. Se considera que la eficacia de estas medidas técnicas en lo que respecta a la mitigación de riesgos variará en función de su alcance y de los tipos de riesgos que deban abordarse. En particular, las medidas técnicas por sí solas no permitirían abordar las vulnerabilidades no técnicas (por ejemplo, el riesgo de interferencia de un tercer país o los riesgos de dependencia).
Se han identificado once medidas técnicas, entre las que se incluyen garantizar la aplicación de los requisitos básicos de seguridad (diseño y arquitectura de redes seguras); garantizar y evaluar la aplicación de las medidas de seguridad en las normas 5G existentes; garantizar controles de acceso estrictos; aumentar la seguridad de las funciones de la red virtualizada y garantizar la gestión, el funcionamiento y la supervisión seguros de la red 5G.
Importancia y vulnerabilidad de las redes 5G
Las redes 5G desempeñarán un papel clave en el futuro desarrollo de la economía y la sociedad digitales de Europa. Si la tecnología 3G hizo posible el acceso a internet desde dispositivos móviles, y el 4G amplió el ancho de banda móvil, se prevé que el 5G se convierta en la infraestructura de conectividad que facilite el desarrollo de nuevos productos y servicios que beneficien a todos los sectores de la sociedad. En concreto, se facilitarán considerablemente los futuros servicios digitales en ámbitos fundamentales de la vida de los ciudadanos y servirán de base importante para las transformaciones digitales y ecológicas.
Con una previsión de ingresos mundiales de las redes 5G cifrados en 225 000 millones de euros en 2025, estas redes son una baza clave para que Europa compita en el mercado mundial, y su ciberseguridad es fundamental para garantizar la autonomía estratégica de la Unión. Estas redes afectan a miles de millones de objetos y sistemas conectados, en sectores fundamentales como la energía, el transporte, la banca y la sanidad, así como a sistemas de control industrial que contienen información delicada y sirven de respaldo a los sistemas de seguridad.
Al mismo tiempo, debido a su arquitectura menos centralizada, a la potencia de computación inteligente puntera, a la necesidad de más antenas y a una mayor dependencia de los programas informáticos, las redes 5G ofrecen más puntos de acceso a los atacantes. Las amenazas a la ciberseguridad aumentan y son cada vez más complejas. Puesto que muchos servicios esenciales dependerán de las redes 5G, garantizar su seguridad reviste la máxima importancia estratégica para toda la UE.
Por ello, mediante este «conjunto de instrumentos», los Estados miembros se comprometen a avanzar de manera conjunta sobre la base de una evaluación objetiva de los riesgos identificados y de medidas de mitigación proporcionadas. Para ello la Comisión pide que se adopten las medidas clave de aquí al 30 de abril de 2020.
Plan de trabajo de la Unión Europea para proteger el despliegue del 5G
Esta actuación es consecuencia del llamamiento del Consejo Europeo en favor de un planteamiento concertado en esta materia y la subsiguiente Recomendación de la Comisión de marzo de 2019. Como consecuencia, tras identificar los riesgos y puntos vulnerables a escala nacional, los Estados miembros publicaron una evaluación conjunta de riesgos de la UE.
Según la Comisión, si bien las decisiones sobre las medidas de seguridad concretas seguirán incumbiendo a los Estados miembros, el trabajo colectivo sobre el conjunto de instrumentos demuestra una firme determinación de responder conjuntamente a los retos en materia de seguridad de las redes 5G. Ello es esencial para que el planteamiento de la seguridad de estas redes que adopte la UE resulte eficaz y creíble, y para que se garantice la apertura del mercado interior, siempre y cuando se respeten los requisitos de seguridad de la UE basados en el riesgo.
En consecuencia, la Comisión apoyará la aplicación del planteamiento de la UE sobre la ciberseguridad de las redes 5G y actuará, según lo solicitado por los Estados miembros utilizando, en su caso, todos los instrumentos a su disposición para garantizar la seguridad de la infraestructura y la cadena de suministro de estas redes, a saber:
• normativa sobre telecomunicaciones y ciberseguridad;
• coordinación en materia de normalización, así como certificación a escala de la UE;
• marco de control de las inversiones extranjeras directas para proteger la cadena de suministro europea de las redes 5G;
• instrumentos de defensa comercial;
• normas de competencia;
• contratación pública, velando por que se tengan debidamente en cuenta los aspectos relacionados con la seguridad;
• programas de financiación de la UE, velando por que los beneficiarios cumplan los requisitos de seguridad pertinentes.
Próximas etapas
La Comisión insta a los Estados miembros a adoptar disposiciones para aplicar el conjunto de medidas recomendadas en las conclusiones sobre el conjunto de instrumentos de aquí al 30 de abril de 2020 y a elaborar un informe conjunto sobre la aplicación en cada Estado miembro a más tardar el 30 de junio de 2020. Para ello, y en colaboración con la Agencia de la Unión Europea para la Ciberseguridad, la Comisión seguirá prestando su pleno apoyo, sobre todo poniendo en marcha acciones pertinentes en los ámbitos de su competencia. Además, el Grupo de cooperación para la seguridad de las redes y sistemas de información seguirá trabajando en apoyo de la aplicación del conjunto de instrumentos.