El Gobierno impuso nuevas exigencias de ciberseguridad que restringen el acceso de empresas chinas al mercado de telecomunicaciones
La medida alcanza tanto a la infraestructura de telecomunicaciones como a los teléfonos celulares y establece nuevas exigencias para los organismos estatales y las empresas que mantienen contratos con el sector público. La certificación es otorgada por la Asociación de la Industria de Telecomunicaciones de Estados Unidos, una entidad privada que no admite a fabricantes incluidos en las listas de restricciones del Gobierno estadounidense. Entre las compañías alcanzadas por esas limitaciones también figuran Hikvision, Dahua, Hytera y DJI.
La decisión se incorpora a una serie de medidas que vienen estableciendo condiciones para la participación de empresas vinculadas a Estados extranjeros en proyectos estratégicos. Los pliegos de la Hidrovía, las concesiones viales y la obra eléctrica AMBA I ya habían incorporado cláusulas que excluyen como oferentes a compañías controladas por gobiernos extranjeros, una condición que afecta principalmente a firmas de origen chino.
El nuevo esquema tendrá aplicación obligatoria para el Estado nacional y sus empresas en las contrataciones que se inicien durante los próximos 90 días. Entre los organismos que podrían verse alcanzados se encuentra Arsat, la compañía estatal de telecomunicaciones, cuya infraestructura tendría una importante participación de equipos fabricados en China, principalmente de Huawei y ZTE.
La disposición también establece que las exigencias deberán trasladarse a las empresas privadas que contraten con el Estado. Esto incluye a operadores de telefonía, centros de datos y proveedores de servicios en la nube.
Durante los primeros 90 días, el Centro Nacional de Ciberseguridad deberá identificar las redes consideradas críticas y clasificar sus equipos en cuatro niveles de importancia. La certificación SCS 9001 será obligatoria para los dos niveles superiores.
Sin embargo, durante los primeros 36 meses se permitirá acreditar que el fabricante inició el proceso de inscripción para obtener el certificado. Esta alternativa no estará disponible para las compañías sancionadas por Estados Unidos, debido a que la entidad certificadora realiza controles sobre los solicitantes antes de aceptar su registro.
Uno de los puntos que genera mayor incertidumbre es la posible extensión del requisito a otros dispositivos comercializados en el país. La normativa solicita al Ente Nacional de Comunicaciones (ENACOM) que analice la incorporación de estas condiciones a los procedimientos de homologación de equipos.
El organismo tiene previsto implementar el 1 de diciembre el nuevo reglamento del Registro de Actividades y Materiales de Telecomunicaciones, en el que deben inscribirse los dispositivos habilitados para su comercialización. Si las nuevas exigencias se incorporan a ese procedimiento, podrían alcanzar a una amplia variedad de productos tecnológicos, incluso aquellos que no se conectan directamente a redes públicas, como electrodomésticos y automóviles con conectividad wifi.
El impacto potencial también alcanza a la infraestructura que ya se encuentra instalada. Una parte importante de las redes 4G de los operadores de telefonía utiliza equipamiento de Huawei. A su vez, más de 1.200 pequeñas y medianas empresas y cooperativas de internet del interior del país construyeron sus redes de fibra óptica con tecnología de Huawei y ZTE.
La eventual sustitución de esos dispositivos podría representar un costo significativo para los prestadores de menor escala, que eligieron esos proveedores por sus precios y condiciones comerciales. Desde el sector advierten que la necesidad de reemplazar la infraestructura por alternativas más costosas podría afectar su competitividad y trasladarse a las tarifas que pagan los usuarios.
También existe preocupación por la posibilidad de que el criterio se extienda posteriormente a otros organismos reguladores y actividades estratégicas, como energía, salud y el sistema financiero.
Otro aspecto cuestionado es el estándar de certificación elegido. Entre las objeciones planteadas se encuentra que la SCS 9001 evalúa los procesos de gestión y seguridad de los fabricantes, pero no constituye una prueba directa de los equipos. También señalan que sus condiciones son definidas por una entidad privada estadounidense en la que Argentina no tiene participación y que el propio Gobierno de Estados Unidos no la exige de manera obligatoria para todos los dispositivos.
Hasta el momento, Costa Rica y Paraguay incorporaron este mecanismo en sus políticas de telecomunicaciones. En el primer caso, la Justicia suspendió parcialmente el decreto, mientras que en Paraguay dos de los cuatro operadores se retiraron de la licitación tecnológica.
En los fundamentos de la disposición, el Centro Nacional de Ciberseguridad sostiene que la certificación permite evaluar los procedimientos del fabricante a lo largo de toda la cadena de producción y suministro. Por ese motivo, considera que otros mecanismos internacionales, como Criterios Comunes y NESAS, no cumplen exactamente la misma función, ya que están orientados a revisar productos específicos.
No obstante, para los dispositivos clasificados en el nivel de mayor criticidad, la normativa también contempla pruebas de producto en laboratorios acreditados, instancia en la que sí admite el uso de esos estándares alternativos.
El reemplazo de los equipos que ya están instalados aparece como otro de los desafíos económicos de la medida. En Estados Unidos, el Congreso destinó casi US$ 5.000 millones a un programa para retirar tecnología de Huawei y ZTE de las redes de 85 operadores, en su mayoría pequeñas empresas y prestadores de zonas rurales.
En Argentina, la disposición no establece una estimación del costo que podría implicar una operación de características similares. El impacto definitivo dependerá de cómo se clasifiquen las redes críticas y, especialmente, de las decisiones que adopte ENACOM respecto de la eventual extensión de los requisitos de certificación a los equipos que se comercializan en el mercado local.
