Cybersecurity Act 2: sostituire gli apparati “a rischio” può rallentare 5G e 6G?

La spinta sulla sicurezza delle catene di fornitura ICT promossa dall’Unione Europea rischia di diventare un problema nella modernizzazione delle infrastrutture necessarie per lo sviluppo delle prossime generazioni delle reti di telefonia mobile. Questo è l’avvertimento lanciato da Assembly Research in uno studio pubblicato il 9 settembre sugli effetti del Cybersecurity Act 2, ovvero la proposta avanzata dalla Commissione europea per omologare le misure nei confronti dei fornitori considerati ad alto rischio.

Gli analisti ritengono infatti che nella forma attuale la riforma del Regolamento UE 2019/881 potrebbe avere un impatto rilevante in quattro delle sei aree esaminate e conseguenze particolarmente significative sugli utenti finali. L’aspetto più controverso riguarda l’obbligo di eliminare dalle reti mobili tutti i componenti provenienti da fornitori classificati ad alto rischio entro un massimo di 36 mesi.

Applicare questa roadmap in tutta l’Unione Europea senza considerare le specificità dei singoli mercati e la situazione degli operatori, secondo il report di Assembly, avrebbe l’effetto di rallentare gli aggiornamenti delle infrastrutture e favorire la concentrazione di larga parte degli investimenti sulla sostituzione di apparati che in realtà sono perfettamente funzionanti.

Il problema principale non sarebbe tanto quello di perdere fornitori in realtà affidabili, quanto la scala dell’intervento richiesto dall’UE. Assembly stima che la sostituzione completa degli apparati interessati richiederebbe tra sette e dieci anni per gli operatori maggiormente esposti, più del doppio delle tempistiche previste da Bruxelles.

La velocità dell’intervento, infatti, dipende da vari fattori. Le autorizzazioni per avviare i lavori sui siti possono richiedere fino a due anni e l’Europa ha il problema di non disporre di sufficienti tecnici specializzati nelle infrastrutture di telecomunicazione. Il rischio è che gli operatori siano costretti a rivedere i propri piani di investimento, re-indirizzando alla sostituzione anticipata degli apparati le risorse prima destinate alla fibra ottica, 5G SA (Standalone), densificazione delle reti e 6G.

D’altronde la stessa valutazione d’impatto della Commissione europea stima che l’operazione potrebbe comportare costi per gli operatori di telefonia mobile compresi tra 3,4 e 4,3 miliardi di euro l’anno nel triennio. Investire, poi, in fornitori considerati affidabili potrebbe comportare un aumento della spesa nell’ordine di 2 miliardi l’anno.

Allo stesso tempo la Commissione ritiene che, sebbene i costi dell’intervento siano rilevanti, potranno essere compensati nel lungo periodo da una maggiore sicurezza e semplificazione normativa, oltre alla riduzione della dipendenza tecnologica da partner extra UE.

Assembly rimarca che la proposta UE di escludere i fornitori ad alto rischio finirebbe per costringere gli operatori mobili europei a rivolgersi di fatto a soli due vendor per le proprie necessità strutturali. La società di analisi ritiene quindi che la sostituzione degli apparati avrebbe l’effetto contrario di aumentare la dipendenza tecnologica invece di ridurla e, a causa della minore pressione competitiva tra i vendor, potrebbe portare a un aumento dei prezzi, a una riduzione della capacità di negoziazione degli operatori e a minori incentivi all’innovazione delle reti.

A sostegno della sua tesi, Assembly porta l’esempio del Regno Unito, dove sono già state applicate misure per eliminare progressivamente specifici apparati dalle infrastrutture di telecomunicazione. A seguito di tale processo, il livello di copertura e qualità delle reti mobili britanniche sarebbe diventato inferiore a quello di gran parte degli altri Paesi europei.

Un altro aspetto centrale è chi dovrà sostenere il costo della sostituzione degli apparati. Assembly sottolinea che al momento non esiste la certezza che gli operatori, a livello generale, possano ottenere una compensazione pubblica per le apparecchiature rimosse per questioni di sicurezza. La procedura, rimarcano gli analisti, non è motivata dall’obsolescenza tecnica degli apparati ma da una scelta politica e regolamentare.

Una parte dei costi dell’operazione potrebbe finire per impattare sui clienti, come ammette la stessa Commissione nella valutazione di impatto. Se gli operatori decidessero di rivalersi totalmente sugli utenti, Bruxelles stima un possibile aumento compreso tra 6,5 e 8,3 euro per un abbonamento mobile nell’arco di tre anni. Le stime, afferma la Commissione, sono comunque provvisorie e limitate dalle evidenze disponibili.

“Ogni euro speso per sostituire apparati funzionanti è un euro che non può essere destinato alla fibra, al 5G Standalone e alle reti di nuova generazione di cui la regione ha bisogno - afferma Matthew Howett, Founder & CEO di Assembly Research - La proposta rischia così di entrare direttamente in conflitto con gli obiettivi del Decennio digitale europeo e con le finalità di investimento del Digital Networks Act”.

Il Cybersecurity Act 2 è stato proposto dalla Commissione europea il 20 gennaio 2026 e andrebbe a sostituire la prima versione del regolamento sulla sicurezza digitale approvato nel 2019. La bozza prevede di rafforzare il ruolo dell’ENISA (European Union Agency for Cybersecurity), l’agenzia che coordina gli interventi di difesa e prevenzione dagli attacchi informatici, ma anche una revisione del sistema europeo di certificazione della cybersicurezza e della catena di approvvigionamento.

Lo scopo del Cybersecurity Act 2 sarebbe quello di ridurre la dipendenza tecnologica nei confronti di Paesi terzi e garantire livelli di sicurezza più elevati omologando gli interventi in Europa. Tra le proposte c’è quindi quella di eliminare tutti i componenti provenienti da fornitori classificati come ad alto rischio dalle infrastrutture chiave delle reti di telefonia mobile, fisse e satellitari. Per quanto riguarda l’ambito mobile, il processo di revisione degli apparati non potrà superare i 36 mesi dalla pubblicazione della relativa lista. Per fisso e satellitare, invece, le scadenze verranno stabilite con atti di esecuzione. Prima di introdurre altre misure, la Commissione dovrà valutare fornitori alternativi e l’impatto del provvedimento dal punto di vista economico, sociale e sulle attività transfrontaliere.

La Commissione ha stimato che 22 Stati membri hanno la legislazione necessaria per imporre restrizioni ai fornitori ad alto rischio e 13 le hanno effettivamente applicate, anche se in modo differenziato. Ad oggi comunque non c’è una vera e propria lista di fornitori ad alto rischio, anche se Huawei e ZTE sono stati bollati come non affidabili sulla base dei criteri del 5G Toolbox. La Commissione deve quindi ancora chiarire quali sono i vendor considerati ad alto rischio.

Il Cybersecurity Act 2 resta comunque solo una proposta e non è ancora stato ufficialmente approvato. Il Parlamento europeo ha assegnato il testo al vaglio della commissione Industria, ricerca ed energia (ITRE) presieduta da Borys Budka e con Markéta Gregorová come relatrice. Inoltre, la procedura legislativa ordinaria 2026/0011(COD) è in corso.