RUSI: фрагментарна технологічна політика ЄС ставить країни-члени перед ризиками китайських вендорів

Аналітичний центр RUSI, заснований у Великій Британії, 1 жовтня опублікував звіт: фрагментарна технологічна політика ЄС ставить країни-члени перед ризиками китайських вендорів.

RUSI (Royal United Services Institute) рекомендує створити єдину рамку оцінки ризиків, яка поширюється на всіх членів і не порушує незалежність політики національної безпеки.

Добровільна рамка та зміни до CSA

У телекомунікаціях діє лише добровільна рамка безпеки 5G (EU 5G Toolbox): з січня 2020 року її повністю впровадили лише 10 країн з 27 членів ЄС.

Через це Єврокомісія на початку цього року представила зміни до Акту з кібербезпеки (CSA): буде створено список ненадійних вендорів, обладнання яких члени мають виключити з 18 критичних секторів протягом 36 місяців. Планується включити до списку Huawei та ZTE, хоча визначення «вендор з високим ризиком» ще не існує.

Німеччина, Іспанія та Велика Британія

Німеччина — найбільший торговий партнер Китаю: річний товарообіг становить 251,8 мільярда євро (284,4 мільярда доларів). За часів Friedrich Merz підхід повільно змінюється, хоча RUSI не очікує різких змін найближчим часом: у 2024 році на китайських постачальників припадало приблизно 59% німецького 5G RAN.

В Іспанії частка китайського обладнання у 2024 році становила приблизно 32%, і її зменшення очікується. Дебати загострилися минулого року через контракт Huawei на зберігання записів спостережень у судах. Мадрид обирає дешевший варіант і не поділяє занепокоєння Великої Британії щодо Китаю.

Велика Британія повністю вилучить китайські технології з телекомунікаційних мереж до кінця наступного року; Лондон обрав цей шлях після наполегливого вимоги США.

Ризики та межі заборон

RUSI вважає обґрунтованими побоювання, пов'язані з китайськими вендорами: закони Китаю дають уряду право вимагати від компаній типу Huawei надання даних, присутності представників партії та звітування про діяльність, що становить загрозу. Окрема норма вимагає повідомляти уряду про вразливості протягом 48 годин, що перетворює приватні дослідження на канал державного контролю.

Звіт зазначає, що Китай також має можливості для кібератак і продемонстрував готовність до них щодо критичної інфраструктури противників. Китайські продукти потужні та дешеві, що виправдовує додаткові витрати на некитайське обладнання; у 2019 році Китай «відплатив» Німеччині за 5G.

RUSI попереджає, що заборони не стосуються кореневих проблем: вендори з «надійних» країн також не можуть забезпечити стійке програмне забезпечення проти атак, що продемонструвала атака Salt Typhoon у 2024 році. Список типу CSA стосується й американських компаній: у деяких країнах ЄС вендорів США також вважають ризиком.

На завершення RUSI закликає ЄС більше «економічної відваги»: закупівля технологій — це засіб захисту критичної інфраструктури, а не «вправа на відповідність».