Due settimane fa diciassette amministratori delegati delle telco europee avevano scritto a Bruxelles che sostituire gli apparati dei fornitori ad alto rischio in tre anni sarebbe costato fino a 40 miliardi di euro. La risposta è arrivata dai governi, prima che dalla Commissione. Un documento del Consiglio dell’Unione datato 22 settembre, di cui ha dato notizia Reuters il 29 e ripreso oggi da Mobile World Live, cancella dalla proposta di revisione del Cybersecurity Act la scadenza fissa di 36 mesi per rimuovere gli apparati dei fornitori classificati ad alto rischio, cioè in pratica Huawei e ZTE. Al posto della data unica, gli Stati membri vogliono che i tempi dipendano da una serie di fattori: il livello di rischio accertato, il ciclo di vita dei prodotti e delle infrastrutture, i normali cicli di sostituzione, i requisiti di interoperabilità e, formula che pesa più delle altre, «la disponibilità di alternative adeguate».
Da una data a un elenco di criteri
Per capire la portata del cambiamento bisogna tornare al 20 gennaio, quando la Commissione ha presentato la revisione del Cybersecurity Act del 2019. L’idea era trasformare in norma vincolante quello che dal 2020 era solo un toolbox volontario sulla sicurezza del 5G, con un quadro europeo comune per i rischi della catena di fornitura ICT al posto delle misure nazionali, che hanno prodotto calendari diversissimi da un paese all’altro: come abbiamo raccontato, la Spagna non ha mai designato alcun fornitore ad alto rischio e tiene Huawei nel 5G. Per le reti mobili l’effetto pratico della proposta era uno: tre anni per togliere gli apparati dei fornitori formalmente classificati ad alto rischio, con una stima di GSMA Intelligence fra 30 e 40 miliardi di euro di costo per gli operatori. Huawei, all’epoca, aveva detto a Mobile World Live che la mossa avrebbe violato principi fondamentali del diritto europeo e che avrebbe continuato a fornire «prodotti e servizi sicuri e affidabili».
La bozza del Consiglio, scrive EU Today, non abbandona l’obiettivo di ridurre la dipendenza dai fornitori considerati a rischio: toglie la scadenza uniforme e dà «considerevolmente più peso alle conseguenze pratiche e finanziarie» della sostituzione di apparati già installati. In concreto, gli apparati giudicati un rischio immediato o particolarmente grave potrebbero avere una scadenza breve, mentre il resto potrebbe restare in esercizio finché la sostituzione programmata non diventa tecnicamente ed economicamente praticabile. È un ragionamento che chi ha una rete in mano conosce bene: una rete mobile è fatta di generazioni di apparati installati in anni diversi e collegati fra loro, e va tenuta in servizio mentre si cambia. Il documento del Consiglio, precisa Reuters attraverso Mobile World Live, è una posizione che gli Stati membri dovranno ancora discutere con il Parlamento prima che il Cybersecurity Act rivisto diventi legge.
Perché conta per Germania, Italia e Spagna
La pressione per cambiare il calendario, ricostruisce EU Today, viene dalla lettera dei diciassette, con Deutsche Telekom, Orange e Telefónica in testa, e il nodo pesa soprattutto in Germania, Italia e Spagna, dove gli apparati Huawei restano largamente usati in parti dell’infrastruttura esistente. Per l’Italia nella lettera c’era una sola firma, quella di Pietro Labriola di TIM. I CEO chiedevano «un approccio proporzionato e basato sul rischio», e la bozza del Consiglio, a leggerla, usa quasi le stesse parole. Sullo sfondo resta il quadro più ampio che la Commissione vuole costruire: a febbraio è arrivato anche un toolbox sulla sicurezza della catena di fornitura ICT, con strategie multi-fornitore e misure per ridurre la dipendenza dai soggetti a rischio, e la proposta di gennaio copre settori ben oltre le telecomunicazioni.
C’è però un’ironia che i nostri lettori conoscono. Il 10 settembre avevamo scritto che l’open RAN, cioè l’alternativa che avrebbe dovuto moltiplicare i fornitori, non è mai decollato e il 95 per cento del mercato resta in mano a cinque nomi. Se le alternative sono poche, la clausola sulla «disponibilità di alternative adeguate» diventa la leva più potente del nuovo testo: dove Huawei e ZTE stanno nella rete d’accesso e i sostituti si chiamano solo Ericsson, Nokia e Samsung, la scadenza rischia di allungarsi da sola.
Il nostro commento
La differenza fra «entro tre anni» e «quando è tecnicamente ed economicamente praticabile» è la differenza fra una legge e un’intenzione. La bozza del Consiglio non dice che gli apparati cinesi resteranno; dice che a decidere quando toglierli saranno il rischio, il calendario degli ammortamenti e il mercato dei sostituti, cioè esattamente i criteri che gli operatori avevano chiesto nella lettera del 15 settembre. È una vittoria di Connect Europe, e i governi l’hanno concessa in una settimana. Per chi guarda le reti dal lato tecnico c’è però un argomento onesto dietro la scelta: uno swap di fornitore su una rete viva non è un’operazione da tre anni se coinvolge migliaia di siti, perché ogni sito cambiato è un sito che per qualche ora o qualche giorno non serve i clienti, e farlo di corsa produce reti peggiori prima che più sicure. Il rischio opposto è altrettanto reale: senza una data, la sostituzione può diventare una promessa perpetua, e cinque criteri da interpretare sono cinque occasioni di rinvio. Chi paga la sicurezza in più, e chi la garantisce nel frattempo, il testo non lo dice. La partita si sposta ora al Parlamento europeo, che a gennaio aveva davanti un testo con una data e adesso ne ha uno con cinque criteri.
Fonti: Mobile World Live, 30 settembre 2026; Reuters, 29 settembre 2026; EU Today, 29 settembre 2026; proposta di revisione del Cybersecurity Act della Commissione europea, 20 gennaio 2026.
💬 Ne parliamo sul forum di TLCworld. Scriveteci nella discussione dedicata: leggiamo e rispondiamo lì.
