La Comisión Europea presentó una reforma de la Ley de Ciberseguridad que hará obligatorias las restricciones a proveedores tecnológicos considerados de “alto riesgo”, señalando a empresas chinas como Huawei y ZTE. La medida afecta especialmente a España, que ha sido advertida tras adjudicar un contrato de más de 12 millones de euros a Huawei. Los países miembros tendrán tres años para cancelar sus contratos con proveedores vetados, en un movimiento que refleja la creciente tensión tecnológica entre Europa, China y Estados Unidos.
La Comisión Europea dio este martes un paso decisivo para endurecer las normas de seguridad en las infraestructuras digitales críticas de la Unión, presentando en Estrasburgo una reforma de la Ley de Ciberseguridad que busca convertir en obligatorias las restricciones a proveedores extranjeros de alto riesgo. Aunque el texto normativo no menciona empresas específicas, tanto Bruselas como la industria entienden que las principales afectadas serán las tecnológicas chinas Huawei y ZTE, que desde 2019 están en el punto de mira del Ejecutivo comunitario. La propuesta, que aún debe ser negociada con los Estados miembros y el Parlamento Europeo, supone un giro significativo respecto al marco actual de recomendaciones voluntarias, que ha tenido un éxito desigual entre los países del bloque y ha generado fricciones con gobiernos como el español, que han continuado adjudicando contratos a estas compañías.
La vicepresidenta ejecutiva de la Comisión a cargo de Tecnología y Soberanía, la finlandesa Henna Virkkunen, justificó la iniciativa argumentando que «las amenazas de ciberseguridad no son simples retos técnicos, se trata de riesgos estratégicos para nuestra democracia, economía y estilo de vida». Virkkunen defendió que el paquete de medidas representa «un paso importante para asegurar la soberanía tecnológica europea y garantizar una seguridad mayor para todos», ofreciendo a la Unión los medios necesarios para «proteger mejor las cadenas de suministro de infraestructuras críticas y combatir de manera decisiva los ciberataques». La funcionaria europea reconoció implícitamente el fracaso del enfoque voluntario al señalar que «ya entonces recomendamos excluir totalmente a los proveedores de alto riesgo de las partes sensibles de las redes 5G. Como no ha funcionado de forma voluntaria, por eso proponemos esta legislación para hacerlo obligatorio».
La nueva norma europea contra proveedores de «alto riesgo»
La reforma de la Ley de Ciberseguridad establece un mecanismo para identificar y vetar proveedores considerados de alto riesgo en sectores estratégicos, con especial énfasis en las redes de telecomunicaciones móviles 5G y las futuras redes 6G, consideradas la columna vertebral de la economía digital europea. El nuevo marco normativo contempla la creación de una lista negra de empresas vetadas, basándose en los criterios ya desarrollados en la denominada «caja de herramientas» para redes 5G que Bruselas publicó en 2020. En aquel documento, la Comisión ya determinó que Huawei y ZTE presentan «riesgos sustanciales más altos» en materia de ciberseguridad que otros competidores del sector, recomendando a las capitales nacionales excluir a ambas compañías para proteger las infraestructuras críticas de posibles injerencias y espionaje por parte del gobierno de Pekín.
Una vez adoptada la nueva regulación, los Estados miembros dispondrán de un plazo de tres años para cancelar los contratos que sus infraestructuras críticas hayan firmado con los proveedores incluidos en la lista negra. Bruselas calcula que el impacto económico de eliminar estos proveedores oscilará entre tres mil y cuatro mil millones de euros para el conjunto de la Unión, un coste que el Ejecutivo comunitario considera asumible para garantizar la seguridad del bloque. La norma también contempla excepciones puntuales y la posibilidad de revisar periódicamente la lista de empresas vetadas según evolucione el contexto geopolítico y tecnológico. Además, el paquete refuerza significativamente el papel de la Agencia de la Unión Europea para la Ciberseguridad, ampliando sus funciones para emitir alertas tempranas, apoyar a empresas frente a ciberataques y mejorar la gestión de vulnerabilidades a escala comunitaria.
España en el punto de mira: el contrato con Huawei
El movimiento de Bruselas cobra especial relevancia tras el toque de atención que la Comisión dio a España el pasado año por el contrato de doce millones trescientos mil euros que el Ministerio del Interior adjudicó a Huawei para el suministro de infraestructura de almacenamiento destinada al sistema SITEL, que alberga las interceptaciones telefónicas judiciales ordenadas por los tribunales españoles. En septiembre de 2025, la vicepresidenta Virkkunen advirtió públicamente del «riesgo de injerencia extranjera» que planteaba este contrato, señalando que creaba «una dependencia» de un proveedor de alto riesgo en un sector crítico y sensible. «El contrato celebrado por el Ministerio del Interior español con Huawei tiene el potencial de generar una dependencia de un proveedor de alto riesgo en un sector crítico que aumentaría el riesgo de injerencia extranjera», alertó la funcionaria europea.
El caso español no es aislado dentro del territorio nacional. La Generalitat de Cataluña ha utilizado redes y fibra óptica de Huawei desde hace meses, causando escándalo el pasado verano cuando se conoció que durante el viaje oficial del entonces presidente Pere Aragonès a China en octubre, el gobierno catalán firmó un contrato de telecomunicaciones con la compañía china. Empresas catalanas como Sirt y Connecta utilizan cableado de fibra óptica de Huawei, cuya adquisición ha sido paralizada tras ser impugnada ante tribunales por competidores como Telefónica y Cellnex, que cuestionan la adjudicación directa a la empresa china. El Ministerio del Interior también mantiene un contrato con Huawei para fortalecer el sistema de comunicaciones de emergencia de las fuerzas de seguridad, lo que ha generado preocupación adicional en Bruselas sobre la dependencia española de tecnología china en sectores estratégicos.
Precedentes en redes 5G y la respuesta de las empresas chinas
El caso español se suma a otros episodios similares en Europa. Alemania e Irlanda han implementado en los últimos años restricciones al uso de componentes de proveedores de alto riesgo en infraestructuras críticas de telecomunicaciones, respondiendo a las recomendaciones de Bruselas sobre seguridad en redes 5G. Sin embargo, la aplicación desigual de estas medidas entre los Veintisiete ha evidenciado la necesidad de un marco obligatorio común. España no es el único país que utiliza servicios de Huawei en su red de telecomunicaciones 5G, solo Dinamarca y los países bálticos han implementado vetos completos a la empresa china, mientras que la mayoría de Estados miembros mantienen algún nivel de presencia de tecnología china en sus infraestructuras.
Huawei ha rechazado sistemáticamente las acusaciones de riesgo para la seguridad europea. La compañía respondió con una nota oficial tras conocerse la nueva propuesta normativa, argumentando que se le atribuyen «actos que no ha realizado» y denunciando que estas medidas «violan los principios jurídicos básicos de la Unión Europea». La empresa china se reserva «todos los derechos para salvaguardar nuestro interés», una fórmula que sugiere posibles acciones legales contra las restricciones europeas. Pese a las crecientes tensiones con Washington y Bruselas, Huawei asegura que una medida de este tipo «vulneraría los principios jurídicos de la Unión» y ha defendido que no existe evidencia de que sus equipos hayan comprometido la seguridad de ningún país europeo, señalando que lleva más de dos décadas operando en el continente sin incidentes documentados de espionaje.
El contexto geopolítico con China y Estados Unidos
La iniciativa europea se enmarca en un contexto de creciente rivalidad tecnológica global. Estados Unidos prohibió en 2022 la homologación de nuevos equipos de telecomunicaciones de Huawei y ZTE, presionando desde entonces a sus aliados europeos para que adopten medidas similares. La administración Trump ha intensificado esta presión, aunque paradójicamente la actual crisis transatlántica provocada por sus amenazas sobre Groenlandia complica la coordinación entre Washington y Bruselas en materia de seguridad tecnológica.
La nueva normativa europea busca encontrar un equilibrio entre proteger la autonomía estratégica del bloque frente a China sin someterse completamente a los dictados estadounidenses, en un momento en que Europa intenta definir su propia posición en la pugna sino-estadounidense por el dominio tecnológico global. El plazo de tres años para implementar los vetos permitirá a los gobiernos negociar transiciones ordenadas y buscar proveedores alternativos, principalmente europeos, japoneses o surcoreanos, aunque el coste y la complejidad técnica de reemplazar infraestructuras existentes generarán tensiones adicionales en un contexto económico ya desafiante para la Unión.
