La stretta europea sulla sicurezza delle catene di fornitura ICT rischia di trasformarsi in un programma di sostituzione accelerata degli apparati di rete, sottraendo risorse alla modernizzazione delle infrastrutture e rendendo più complesso il percorso verso le nuove generazioni mobili. È l’allarme lanciato da Assembly Research in uno studio pubblicato il 9 settembre sugli effetti del Cybersecurity Act 2, la proposta con cui Bruxelles punta a rendere più omogenee nell’Unione le misure nei confronti dei fornitori considerati ad alto rischio.
Secondo l’analisi, l’attuale impostazione potrebbe produrre conseguenze rilevanti in quattro delle sei aree esaminate, con un impatto considerato particolarmente significativo per i consumatori. Il nodo principale riguarda l’obbligo di eliminare dalle reti mobili i componenti provenienti dai fornitori classificati ad alto rischio entro un massimo di 36 mesi, un termine effettivamente previsto dalla proposta della Commissione europea.
Per Assembly, applicare lo stesso calendario in tutta l’Ue senza tenere sufficientemente conto della diversa situazione degli operatori e dei singoli mercati potrebbe creare problemi operativi, rallentare gli aggiornamenti e concentrare una parte consistente degli investimenti sulla sostituzione di apparati ancora funzionanti.
Indice degli argomenti
Il nodo dei 36 mesi e il rischio di rallentare gli upgrade
La questione centrale è la scala dell’intervento. Una sostituzione completa degli apparati interessati potrebbe richiedere, secondo Assembly, tra sette e dieci anni per gli operatori maggiormente esposti, molto più dei tre anni indicati dalla proposta europea.
I tempi dipendono infatti da vari fattori. Le autorizzazioni necessarie per intervenire sui siti possono richiedere fino a due anni e l’Europa deve già fare i conti con una disponibilità limitata di tecnici specializzati nelle infrastrutture di telecomunicazione. Accelerare contemporaneamente gli interventi su migliaia di siti potrebbe quindi aumentare la pressione sulle capacità operative delle aziende.
Il rischio evidenziato dallo studio è che gli operatori siano costretti a ridefinire le priorità di spesa. Le risorse destinate alla sostituzione anticipata delle apparecchiature non sarebbero più disponibili per fibra, densificazione delle reti, 5G Standalone e preparazione al 6G.
La stessa valutazione d’impatto della Commissione europea riconosce la dimensione economica dell’operazione. Bruxelles stima che l’eliminazione graduale delle apparecchiature ad alto rischio possa comportare per gli operatori mobili costi compresi tra 3,4 e 4,3 miliardi di euro l’anno per un periodo di tre anni. Gli investimenti nei fornitori considerati affidabili potrebbero inoltre crescere fino a 2 miliardi l’anno.
Supply chain, per Assembly il mercato rischia di restringersi
C’è poi il tema della struttura industriale. Secondo Assembly, l’esclusione generalizzata dei vendor classificati ad alto rischio finirebbe per ridurre di fatto a due il numero dei principali fornitori disponibili per molti operatori mobili europei.
Il risultato, sostiene la società di analisi, potrebbe essere paradossale rispetto agli obiettivi della stessa politica europea: diminuire una dipendenza tecnologica per aumentarne un’altra. Una minore pressione competitiva tra i fornitori potrebbe tradursi in costi più elevati, minore capacità negoziale per gli operatori e una riduzione degli incentivi all’innovazione.
Il tema della diversificazione è peraltro già presente nella politica europea sulla sicurezza del 5G. Il 5G Toolbox invita gli Stati membri a limitare l’esposizione ai fornitori considerati ad alto rischio e, contemporaneamente, a evitare dipendenze strutturali attraverso strategie di diversificazione della supply chain.
Il Cybersecurity Act 2 nasce proprio dalla convinzione della Commissione che l’applicazione nazionale del Toolbox sia rimasta troppo disomogenea. Bruxelles rileva che differenze tra Paesi nell’estensione delle restrizioni possono lasciare vulnerabilità nel mercato unico e creare condizioni non uniformi tra gli operatori.
Qualità delle reti, il precedente britannico
Assembly richiama anche l’esperienza del Regno Unito, dove sono già state introdotte misure per eliminare progressivamente determinati apparati dalle infrastrutture di telecomunicazione.
Secondo lo studio, dopo l’avvio del programma britannico copertura e qualità delle reti mobili del Paese avrebbero continuato a posizionarsi al di sotto di quelle di gran parte degli altri mercati europei. Per Assembly il caso britannico rappresenta quindi un avvertimento sui possibili effetti di programmi di sostituzione particolarmente impegnativi.
Il punto sollevato dall’analisi riguarda soprattutto il rapporto tra sicurezza e capacità di esecuzione. Intervenire sulle supply chain può ridurre determinate esposizioni geopolitiche, ma richiede allo stesso tempo disponibilità di apparati alternativi, personale qualificato, accesso ai siti e capitali sufficienti per effettuare gli interventi senza comprimere gli altri programmi di sviluppo.
Il nodo dei costi e delle compensazioni
Un’altra questione riguarda chi dovrà sostenere il costo della sostituzione. Il comunicato di Assembly sottolinea come non esista al momento una certezza generalizzata sul diritto degli operatori europei a ottenere una compensazione pubblica per le apparecchiature che dovessero essere rimosse in seguito a decisioni legate alla sicurezza.
La società di ricerca considera questo punto particolarmente delicato perché la sostituzione non deriverebbe dall’obsolescenza tecnica degli apparati, ma da una scelta regolamentare e geopolitica.
La stessa Commissione ammette nella valutazione d’impatto che una parte dei costi potrebbe essere trasferita ai clienti. Nel caso limite di un trasferimento completo, Bruxelles stima un effetto massimo compreso tra 6,5 e 8,3 euro per abbonato mobile nell’arco dei tre anni, precisando però che le evidenze disponibili su un effettivo aumento dei prezzi sono limitate.
Matthew Howett, fondatore e ceo di Assembly, sintetizza così la posizione della società: “Ogni euro speso per sostituire apparati funzionanti è un euro che non può essere destinato alla fibra, al 5G Standalone e alle reti di nuova generazione di cui la regione ha bisogno. La proposta rischia così di entrare direttamente in conflitto con gli obiettivi del Decennio digitale europeo e con le finalità di investimento del Digital Networks Act”.
Cybersecurity Act 2, cosa prevede la proposta Ue
Il Cybersecurity Act 2 è una proposta di regolamento presentata dalla Commissione europea il 20 gennaio 2026 per sostituire il Cybersecurity Act del 2019. Il provvedimento rafforza il mandato di Enisa, rivede il sistema europeo di certificazione della cybersicurezza e, soprattutto, introduce un quadro orizzontale per la sicurezza delle supply chain ICT, destinato a fronteggiare anche rischi di natura non strettamente tecnica legati a dipendenze da Paesi terzi.
Per le telecomunicazioni la proposta prevede l’eliminazione dei componenti provenienti da fornitori classificati ad alto rischio dagli asset ICT chiave delle reti mobili, fisse e satellitari. Per il mobile il periodo di phase-out non potrà superare 36 mesi dalla pubblicazione della relativa lista; per fisso e satellite i termini saranno stabiliti con atti di esecuzione. La Commissione dovrà inoltre considerare, prima di introdurre ulteriori misure, disponibilità di fornitori alternativi, impatti economici e sociali e possibili conseguenze sulle attività transfrontaliere.
Il quadro non coincide automaticamente con un elenco di aziende scritto nel regolamento: la Commissione dovrebbe individuare i fornitori ad alto rischio attraverso successivi atti di esecuzione. Già nel 2023 Bruxelles aveva comunque dichiarato di considerare Huawei e Zte portatori di rischi sostanzialmente più elevati rispetto ad altri vendor sulla base dei criteri del 5G Toolbox.
Sul livello di applicazione delle precedenti misure europee, i dati ufficiali più recenti consentono inoltre di precisare il quadro richiamato da Assembly: secondo la Commissione, 22 Stati membri dispongono di una legislazione che permette di imporre restrizioni ai fornitori ad alto rischio e 13 le hanno effettivamente applicate, anche se con differenze nell’estensione delle misure.
Bruxelles difende l’intervento sostenendo che la frammentazione nazionale lasci aperte vulnerabilità e dipendenze. Nella propria valutazione d’impatto considera i costi iniziali della transizione rilevanti, ma ritiene che possano essere compensati nel lungo periodo da una maggiore sicurezza, dalla riduzione delle dipendenze e dai benefici della semplificazione normativa.
Il testo, tuttavia, non è ancora legge. La procedura legislativa ordinaria 2026/0011(COD) è in corso e al Parlamento europeo il dossier è assegnato alla commissione Industria, ricerca ed energia (Itre), con Markéta Gregorová come relatrice.
Partecipa alla community