La UE plantea retirar a Huawei de redes críticas en 36 meses

La Unión Europea podría obligar a retirar equipos de Huawei y otros proveedores considerados de alto riesgo de las redes móviles en un plazo máximo de 36 meses, pero ese calendario no ha empezado. La Comisión Europea ha planteado reformar la Ley de Ciberseguridad para que las restricciones dejen de depender solo de recomendaciones nacionales; la propuesta aún debe negociarse con los gobiernos de los Estados miembros y el Parlamento Europeo.

El plazo previsto se contaría desde la publicación de una lista europea de proveedores de alto riesgo, no desde el anuncio de la iniciativa. Además, el borrador se refiere a componentes de redes móviles y a sectores críticos, pero todavía quedan por concretar la lista, los criterios definitivos y algunos calendarios. Por eso, no existe hoy un veto automático ya vigente: Bruselas quiere crear un mecanismo que pueda hacerlo obligatorio si la reforma sale adelante.

De las recomendaciones a una obligación común

El giro responde a una aplicación desigual de las medidas acordadas hasta ahora. En 2019, la Comisión alertó sobre los riesgos asociados a determinados proveedores de telecomunicaciones y, en 2020, los Estados miembros adoptaron la llamada caja de herramientas de seguridad 5G. Era un marco de recomendaciones para evaluar riesgos y limitar la presencia de suministradores sensibles en partes importantes de la red. Su aplicación, sin embargo, quedó en manos de cada país y avanzó a ritmos distintos.

La reforma busca cerrar esa brecha: en vez de confiar únicamente en decisiones nacionales, permitiría establecer una evaluación y una lista comunes, con restricciones obligatorias para las empresas incluidas. La Comisión podría iniciar el análisis por iniciativa propia o a petición de al menos tres Estados miembros. Después se contemplan una evaluación de riesgos, un análisis del mercado y una valoración del impacto antes de adoptar medidas. No equivale a una prohibición inmediata ni a una decisión ya tomada contra una empresa concreta.

El proceso también explica por qué Bruselas evita anunciar ahora una lista cerrada de compañías. La propuesta plantea criterios para identificar riesgos, pero la inclusión dependería de las evaluaciones posteriores y del procedimiento legal. Si el texto se aprueba, los Estados tendrían menos margen para mantener proveedores restringidos en los ámbitos cubiertos. Hasta entonces, el debate se mueve entre la política común que pretende la Comisión y las decisiones nacionales que siguen vigentes.

Qué significa el plazo de 36 meses

El calendario más definido afecta a las redes móviles: los operadores dispondrían de hasta tres años desde la publicación de la lista para eliminar progresivamente componentes de proveedores señalados como de alto riesgo. La fecha de inicio, por tanto, depende de que la reforma avance, se apruebe y se publique esa lista. Presentar los 36 meses como un plazo que ya corre puede inducir a error, porque el borrador todavía no es una norma en vigor.

La expresión componentes clave importa. Una red móvil no es una sola pieza, sino una arquitectura que combina antenas y estaciones base con sistemas de gestión y un núcleo que coordina funciones como la autenticación y el encaminamiento de las comunicaciones. Cambiar equipos puede exigir adaptar programas, contratos, mantenimiento y sistemas conectados. La sustitución debe hacerse sin interrumpir servicios que utilizan millones de personas y que también sostienen operaciones empresariales y públicas.

El texto no fija en esta etapa un calendario equivalente para todas las infraestructuras. Las redes fijas, como la fibra y los cables submarinos, y las redes satelitales quedan sujetas a plazos que se concretarían más adelante. Esa diferencia apunta a una implantación por fases, no a una retirada simultánea de cualquier equipo relacionado con una empresa. También deja abierta una cuestión práctica: qué se considerará esencial en cada sector y qué excepciones podrán justificarse en situaciones particulares.

La seguridad alcanza más allá de las antenas

La propuesta amplía el debate a 18 sectores considerados críticos. Entre ellos aparecen la electricidad, el suministro de agua, los servicios en la nube, los dispositivos médicos, los semiconductores, los drones y los sistemas antidrones, además de los servicios espaciales, la vigilancia y los equipos de detección. La lista refleja que muchas actividades cotidianas dependen ya de sistemas conectados: una red eléctrica usa controles digitales y los centros sanitarios gestionan equipos que requieren comunicaciones y actualizaciones.

La lógica es reducir vulnerabilidades en la cadena tecnológica, no limitar la discusión a quién fabrica una antena 5G. Un proveedor puede intervenir en equipos, programas, mantenimiento o servicios de los que depende una infraestructura esencial. Por eso, la Comisión plantea valorar tanto características técnicas como factores relacionados con el control de una empresa, la posibilidad de interferencia externa y la dependencia que se genera si un operador no puede cambiar de suministrador con facilidad. El riesgo puede estar en la relación de dependencia, además de en una vulnerabilidad concreta.

La ciberseguridad también se proyecta hacia las redes futuras. El 5G conecta fábricas, sensores, logística y servicios de emergencia, mientras que el desarrollo del 6G hace que las decisiones de diseño actuales puedan condicionar infraestructuras de las próximas décadas. Si un proveedor queda integrado en numerosos sistemas, sustituirlo después puede ser más difícil y costoso. La idea de Bruselas es reducir esa dependencia antes de que se vuelva estructural, aunque todavía debe demostrar que las reglas propuestas son proporcionadas y aplicables en contextos muy distintos.

España y Alemania mantienen margen de decisión

España y Alemania han mostrado cautela ante un veto general decidido desde Bruselas. Ambos países han defendido que las decisiones tengan en cuenta la configuración de sus redes, los contratos existentes y el coste de sustitución. Alemania acordó en 2024 retirar componentes críticos de Huawei y ZTE de partes sensibles de sus redes 5G antes de que termine la década, pero no optó por una ruptura inmediata y completa. La propuesta europea cambiaría el marco si convierte esas decisiones en obligaciones comunes.

En España, la presencia de proveedores varía según la capa de la red y el servicio. Telefónica ha renovado contratos con Huawei en parte de su red 5G para clientes minoristas y, a la vez, ha adjudicado a Nokia infraestructura 5G core para servicios empresariales y administraciones. MasOrange ha elegido a Ericsson para unificar su red 5G Stand Alone y su plataforma IMS. Estos ejemplos muestran una diversificación que no equivale a excluir por completo a un proveedor: la composición de cada red es mixta y depende de contratos y funciones concretas.

El debate español también ha alcanzado sistemas ajenos a las redes móviles. En 2025, la Comisión expresó preocupación por el contrato del Ministerio del Interior con Huawei para almacenamiento asociado al sistema de escuchas judiciales SITEL. Interior sostuvo que el sistema era estanco, que no permitía el acceso de terceros a la información y que cumplía los requisitos de seguridad aplicables. La discrepancia ilustra el punto central: la evaluación de riesgo puede considerar tanto el diseño técnico y las garantías operativas como la dependencia y el contexto del proveedor.

La posición de España no se reduce a estar a favor o en contra de una empresa. Sustituir equipamiento instalado afecta a operadores, licitaciones, mantenimiento y calendarios de despliegue. Una obligación europea podría acotar la capacidad de cada gobierno para decidir el ritmo, pero la transición tendría que adaptarse a las características de cada red. El plazo de tres años pretende dar margen para esa obra, aunque no elimina la necesidad de pruebas, coordinación y decisiones sobre quién asume los costes.

Hay alternativas europeas, pero no una cadena autosuficiente

Europa cuenta con dos proveedores consolidados de equipos de telecomunicaciones: Nokia, con sede en Finlandia, y Ericsson, en Suecia. Ambas ofrecen tecnología para redes de acceso radio, núcleo móvil, transporte y gestión, además de servicios para operadores. Son alternativas comerciales reales, no proyectos experimentales, y podrían ocupar parte del espacio de proveedores excluidos. Su presencia, sin embargo, no significa que toda la infraestructura necesaria se fabrique en Europa.

La producción tecnológica depende de cadenas globales. Los equipos de fabricantes europeos también incorporan semiconductores, memorias, herramientas de diseño y componentes procedentes de distintos países. A su alrededor trabajan empresas de integración, ciberseguridad y pruebas, entre ellas Thales, Eviden, Capgemini y Rohde & Schwarz, junto con operadores y proveedores especializados en redes privadas. Estas compañías aportan capacidades importantes, pero no sustituyen por sí solas a un fabricante integral de redes móviles.

Por eso, hablar de soberanía digital no equivale a prometer una red fabricada enteramente dentro de las fronteras europeas. Una estrategia más realista consiste en reducir dependencias en funciones sensibles, diversificar suministradores, auditar programas y asegurar que exista capacidad de mantenimiento y sustitución. La autonomía no se mide solo por el origen de una marca: también importa si Europa puede seguir operando cuando se interrumpe un suministro o si un proveedor deja de prestar soporte.

Open RAN puede diversificar, no resolverlo todo

Open RAN propone separar componentes de hardware y software mediante interfaces abiertas, de modo que un operador pueda combinar productos de distintos fabricantes. En teoría, esa arquitectura reduce el riesgo de quedar atado a un único ecosistema propietario y puede facilitar la entrada de nuevos proveedores. Para Europa, esa posibilidad encaja con el objetivo de ampliar la competencia y repartir mejor la dependencia tecnológica.

Pero abrir interfaces no convierte automáticamente una red en más segura ni permite reemplazar de inmediato una infraestructura nacional. La integración de equipos de distintos fabricantes puede complicar el rendimiento, la gestión, las actualizaciones y el mantenimiento, especialmente cuando se exige cobertura amplia, baja latencia y continuidad del servicio. También aparecen nuevos puntos de conexión que deben protegerse. Open RAN es una vía de diversificación, no una solución universal lista para cualquier despliegue.

En consecuencia, la transición probablemente combine varias herramientas: equipos de Nokia y Ericsson en determinadas capas, proveedores especializados, controles más estrictos y pruebas de interoperabilidad. El equilibrio dependerá del tipo de red y de las necesidades del operador. Confiar en una única alternativa europea podría reproducir, bajo otro nombre, la concentración que se intenta evitar; diversificar sin asegurar la integración también puede crear problemas nuevos.

El coste y la geopolítica detrás de la norma

Retirar equipamiento instalado implica comprar e integrar tecnología nueva, adaptar programas, probar la compatibilidad y reorganizar el mantenimiento. Los contratos pueden tener plazos largos y algunos componentes dependen de otros sistemas de gestión. La Comisión prevé analizar el impacto de las medidas, pero la propuesta no elimina el coste ni determina por sí sola quién lo pagaría. En la práctica, la factura afectaría primero a operadores y administraciones, y sus consecuencias dependerían de cómo se diseñe la transición.

La inquietud de Bruselas no se limita a encontrar una puerta trasera en un aparato. Una red crítica también puede quedar expuesta si una empresa está sometida a presiones externas, si se corta el suministro de repuestos o si el operador no dispone de alternativas. Huawei rechaza las acusaciones de riesgo y sostiene que excluirla por su origen sería discriminatorio. La Comisión, por su parte, plantea una evaluación más amplia, en la que cuentan la seguridad técnica, la jurisdicción y la dependencia estratégica.

Ese enfoque tiene implicaciones geopolíticas. China ha criticado restricciones de este tipo y las considera discriminatorias; Estados Unidos lleva años defendiendo una línea restrictiva frente a proveedores chinos. La UE intenta presentar su propuesta como un sistema de criterios y evaluaciones, en vez de una prohibición anunciada por nacionalidad. Aun así, la política tecnológica no ocurre en un vacío: una decisión de seguridad puede afectar a relaciones comerciales y al equilibrio entre potencias.

Bruselas también cita el crecimiento de los incidentes cibernéticos para justificar una respuesta más coordinada. Entre los datos difundidos por la Comisión figuran 97 incidentes en Polonia, 14 en Francia y ocho en España en una semana determinada. La institución también atribuyó a Alemania, Francia, Italia y España un gasto conjunto de 307.000 millones de euros entre 2020 y 2025 para hacer frente a ataques. Son cifras presentadas en el contexto del anuncio; por sí solas no demuestran que la presencia de un proveedor concreto causara esos incidentes.

La lista será la prueba decisiva para Bruselas

El alcance real de la reforma dependerá de cómo se defina un proveedor de alto riesgo y de qué garantías acompañen a esa designación. Si los criterios son demasiado amplios o poco transparentes, las empresas podrían cuestionar la medida y los gobiernos discutir su aplicación. Si resultan demasiado estrechos, la lista podría tener un efecto limitado. La Comisión plantea evaluaciones y análisis de impacto, pero la negociación legislativa tendrá que precisar cómo se justifican las decisiones y cómo se revisan con el tiempo.

El paquete también pretende reforzar la coordinación europea frente a incidentes y dar más capacidad a ENISA, la agencia de ciberseguridad de la UE. La reforma aborda además la certificación de productos y servicios tecnológicos y propone cambios para simplificar obligaciones relacionadas con la directiva NIS2. Son líneas complementarias: excluir a un proveedor no basta si los países responden tarde a un ataque, intercambian información de forma fragmentada o no pueden comprobar la seguridad de los componentes que utilizan.

La cuestión de fondo no es solo si Huawei y ZTE acabarán fuera de determinadas redes. La pregunta decisiva será si Europa puede aplicar criterios comunes sin confundir seguridad con una ruptura improvisada, y si cuenta con proveedores y capacidades suficientes para sostener la transición. Un veto puede reducir una dependencia concreta, pero la soberanía digital exige alternativas, supervisión y capacidad de operar. Hasta que la ley se apruebe y se publique la lista, los 36 meses son un plazo propuesto, no una cuenta atrás en marcha.