Európska únia pripravuje zásah, ktorý môže operátorov a prevádzkovateľov kritickej infraštruktúry stáť miliardy eur. Zariadenia používané dlhé roky už nebude stačiť chrániť softvérovými aktualizáciami alebo prísnejšími kontrolami. Ak ich dodávateľ neprejde novým bezpečnostným hodnotením, firmy sa ich budú musieť zbaviť.
Pravidlá obsahuje návrh nového európskeho aktu o kybernetickej bezpečnosti. Európska komisia ho už oficiálne predložila a členské štáty začali rokovať o jeho konečnej podobe. Doterajšie dobrovoľné odporúčania má nahradiť spoločný záväzný systém.
Operátori dostanú najviac tri roky
Najkonkrétnejšie pravidlo sa týka mobilných sietí. Ak EÚ zaradí dodávateľa medzi vysokorizikových, jeho komponenty sa budú musieť odstrániť z kľúčových častí siete najneskôr do 36 mesiacov od účinnosti nariadenia. Opatrenie zasiahne existujúcu infraštruktúru 5G a nepriamo aj budúce siete 6G, ktoré na nej budú postavené.
Návrh konkrétne firmy nevymenúva. V centre doterajších sporov však stoja najmä Huawei a ZTE, ktoré Európska komisia už skôr označila za dodávateľov predstavujúcich podstatne vyššie riziko. Rozhodovanie nemá byť založené iba na technických chybách zariadení, ale aj na vlastníctve firmy, kontrole zo strany tretej krajiny a možnosti cudzieho štátu zasahovať do jej činnosti.
Pravidlá sa neobmedzia iba na mobilných operátorov. Nový rámec pokrýva 18 kritických odvetví vrátane energetiky, dopravy, zdravotníctva, bankovníctva, vodárenstva, digitálnej infraštruktúry a verejnej správy. Pri pevných a satelitných sieťach sa lehota na výmenu určí neskôr podľa bezpečnostného rizika, životnosti zariadení a finančných dosahov.
Členské štáty žiadajú väčší vplyv
Krajiny EÚ všeobecný cieľ návrhu podporili, pri podrobnostiach však vznikli vážne výhrady. Niektoré delegácie žiadajú presnejšie vysvetliť, akou metodikou sa budú určovať kľúčové zariadenia a vysokorizikoví dodávatelia. Obávajú sa tiež, že Európska komisia získa prostredníctvom vykonávacích aktov príliš silné právomoci.
Otvorená zostáva aj otázka nákladov. Výmena funkčných komponentov môže operátorom zvýšiť výdavky, spomaliť modernizáciu sietí a nepriamo sa premietnuť do cien služieb. Práve preto majú prechodné obdobia zabrániť tomu, aby firmy museli technológie odstrániť zo dňa na deň.
Nariadenie zatiaľ nie je definitívne schválené. Rokovania budú pokračovať medzi členskými štátmi a Európskym parlamentom, pričom sa ešte môže zmeniť spôsob určovania rizikových firiem aj konkrétne lehoty. Smerovanie je však jasné už teraz.
