- La norma exigeix a operadors, subministradors i usuaris corporatius analitzar i gestionar els riscos de les xarxes 5G.
- El Govern podrà declarar subministradors d’alt risc i fixar terminis mínims per substituir-ne els equips.
- L’incompliment pot comportar sancions, amb el règim de la Llei general de telecomunicacions com a referència.
El BOE del dimecres 30 de març del 2022 va publicar el Reial decret llei 7/2022, de 29 de març, sobre requisits per garantir la seguretat de les xarxes i els serveis de comunicacions electròniques de cinquena generació. Entra en vigor el 31 de març, tot i que diverses obligacions, entre les quals les de gestió de riscos d’operadors i subministradors, seran aplicables des del 30 d’abril.
La norma s’adreça als operadors de xarxes 5G, als seus subministradors i als usuaris corporatius que tinguin drets sobre el domini públic radioelèctric per a xarxes privades o autoprestació. Figurava entre les iniciatives del Pla Anual Normatiu del 2022 i arriba ara per la via urgent del decret llei, en un context de creixent preocupació europea per la seguretat de les infraestructures crítiques. Això converteix la ciberseguretat i la cadena de subministrament en una matèria de direcció i no només dels departaments tècnics.
Obligacions per tipus d’agent
Els operadors han de fer una anàlisi de riscos de les seves xarxes, amb un estudi detallat dels elements crítics, entre els quals les funcions del nucli i els sistemes de control i gestió, i repetir-la cada dos anys. També han de garantir la integritat de la xarxa, utilitzar productes certificats, sotmetre’s a una auditoria de seguretat a càrrec seu i controlar la cadena de subministrament.
Els subministradors han d’aportar la seva pròpia anàlisi quan se’ls requereixi, i els classificats com de risc alt o mitjà l’han de remetre en sis mesos i cada dos anys. Han d’aplicar a més estàndards de seguretat des del disseny, reforçar la gestió de pegats i certificar els seus productes. Els usuaris corporatius també aportaran la seva anàlisi quan l’autoritat ho sol·liciti, i les administracions no podran fer servir equips de risc alt o mitjà.
Els subministradors d’alt risc
El Consell de Ministres podrà qualificar un subministrador com a d’alt risc, amb un informe previ del Consell de Seguretat Nacional i després d’un tràmit d’audiència de 15 dies hàbils. La valoració tindrà en compte les garanties tècniques i l’exposició a ingerències externes, com els vincles amb governs estrangers. El termini de substitució dels seus equips el fixarà l’acord, sense que pugui ser inferior a un any.
Els titulars d’elements crítics hauran de comptar amb almenys dos subministradors diferents, que no pertanyin al mateix grup empresarial, no utilitzar equips d’alt risc en aquests elements i ubicar-los en territori nacional. La disposició transitòria preveu cinc anys per al nucli i els sistemes de control i dos anys per a la xarxa d’accés en ubicacions sensibles. Els subministradors que només atenen xarxes privades es consideren de risc mitjà.
Què convé revisar
Les empreses que operen o planegen desplegar una xarxa privada 5G, per exemple en ports, fàbriques o centres logístics, haurien de revisar amb el seu proveïdor quina anàlisi de riscos pot aportar i quines certificacions té. Els operadors i els titulars d’elements crítics han de preparar la seva estratègia de diversificació de subministradors, que hauran de presentar en un termini de sis mesos.
El règim sancionador distingeix entre infraccions lleus, greus i molt greus; l’incompliment pels titulars d’elements crítics del deure de diversificar i de no fer servir equips d’alt risc es qualifica de molt greu. Quan el Govern aprovi l’Esquema Nacional de Seguretat 5G, que ha d’arribar en sis mesos, es concretaran criteris i terminis. El seu assessor pot ajudar-lo a interpretar com l’afecta. Tot i que moltes d’aquestes obligacions recauen en grans operadors, els seus efectes arribaran a proveïdors, integradors i clients industrials que en depenguin.
La seguretat de les xarxes 5G passa a ser una obligació jurídica amb terminis, i no només una recomanació tècnica.
Aquest article és informació general. No és assessorament jurídic, fiscal ni d’inversió, i no té en compte les circumstàncies particulars de ningú.
