La Ley de Ciberseguridad 5G ha sido ratificada: qué dice la normativa y cómo afectará a los operadores

Aunque se esperaba una tramitación parlamentaria de la conocida como 'Ley de Ciberseguridad 5G', el Gobierno optó por una vía para agilizar su implantación y el pasado 29 de marzo, aprobó el Real Decreto-ley 'sobre requisitos para garantizar la seguridad de las redes y servicios de comunicaciones electrónicas de quinta generación'.

Este Decreto-ley, que fue publicado en el BOE al día siguiente y entró en vigor el 31 de marzo, ha recibido ya la convalidación del Congreso de los Diputados, que ayer la ratificó con 312 votos a favor. Esta normativa permitirá clasificar a los suministradores como proveedores de riesgo bajo, medio o alto y limitar la presencia de estos últimos en elementos críticos de la red.

Cinco años para reemplazar elementos críticos

A finales de marzo, el Gobierno aprobó el Real Decreto-ley para acelerar el proyecto de ley en el que estaba trabajando ante el incremento de los riesgos de seguridad y ciberataques que pueden producirse tras la invasión a Ucrania. Fue entonces cuando entró en vigor la conocida como Ley de Ciberseguridad 5G, que establece los requisitos de ciberseguridad específicos para el despliegue y la explotación de redes 5G,

Esta nueva normativa, que ayer fue ratificada por el Congreso, incorpora al marco legal español las medidas estratégicas y técnicas de la Unión Europea, por las cuales se identifican las principales amenazas y vulnerabilidades, los activos más sensibles y los riesgos estratégicos en el despliegue de redes 5G, teniendo en cuenta los análisis hechos por los operadores de red.

La Ley de Ciberseguridad 5G también establece un procedimiento y unos criterios para que se puedan clasificar a los suministradores de bajo, medio y alto riesgo. A partir de ahí, los operadores de redes públicas 5G no podrán usar equipos de suministradores de alto riesgo en el núcleo o core de la red, en su sistema de gestión de red y en determinadas ubicaciones de la red de acceso.

Y esto afecta tanto a redes o elementos de red 5G ya instalados, como a las nuevas redes 5G que se instalen. Si los operadores se vieran obligados a sustituir los equipos, productos o servicios proporcionados por dichos suministradores, disponen de un plazo de cinco años para llevar a cabo el reemplazo en los elementos críticos de red.

Según esta norma, además, los operadores deben analizar su dependencia en la cadena de suministros y están obligados a incluir medidas para limitar la dependencia de un solo suministrador y restricciones para los suministradores que sean calificados de alto riesgo.