Geopolitická přetahovaná

Je to konzistentní český postoj ke všemu, co se byť jen trochu dotýká vnitřního trhu a hospodářské soutěže, kdy Česko jako menší stát a exportní ekonomika dává přednost volnému a otevřenému trhu Unie a jeho případná omezení chce koordinovat s ostatními členskými státy.

V případě bezpečnosti 5G sítí se Unie o jednotný postoj snaží zatím neúspěšně. V lednu 2020 vydala Evropská komise společně s členskými státy „Soubor opatření EU pro kybernetickou bezpečnost sítí 5G“ neboli EU Toolbox. Jeho konečným cílem bylo zajistit na evropské úrovni jednotný koordinovaný přístup k bezpečnosti 5G sítí. EU Toolbox ve smyslu výběru dodavatelů obsahoval zejména strategické opatření SM03, podle kterého by měly státy zavést systém posouzení rizikového profilu dodavatelů (nejen jejich technologii) a uplatňovat omezení u dodavatelů považovaných za vysoce rizikové.

Opatření SM03 bylo kontroverzní nejen proto, že státy obecně doposud operátorům do konkrétních obchodních vztahů s konkrétními dodavateli nezasahovaly, ale zejména proto, že se dodavatelé měli posuzovat mimo běžných technických kritérii na základě netechnických, vesměs politických kritérií.

Zejména kvůli těmto netechnickým kritériím se „kybernetická bezpečnost 5G sítí“ stala eufemistickým názvem pro „kauzu Huawei“, v níž jsou jednotlivé státy postaveny před rozhodnutí, jakou konkrétně roli budou mít v jejich mobilních sítích dodavatelé z Číny. V mnoha případech pak šla otázka kybernetické bezpečnosti stranou a z kauzy se stala geopolitická přetahovaná v centru obchodní války mezi USA a Čínou. Je tak pochopitelné, že každá země s ohledem na její mezinárodní postavení vymýšlí různé cesty, jak se k problematice postavit.

Státy je možné rozdělit na čtyři základní skupiny: ty, jež mají velmi blízké vztahy s USA a rozhodnou se čínské dodavatele, tedy zejména Huawei a ZTE, omezit. Státy, které mají velmi blízké vztahy s Čínou a k omezení nepřistoupí. Státy, které si nechtějí v geopolitické hře vybrat stranu a zvolí si vlastní přístup k celé problematice, a v poslední řadě státy, jež si nastaví takový „šalamounský“ mechanismus, aby neurazily ani jednu ze stran a pro všechny případy si nechaly otevřená zadní vrátka.

Jakou roli v celé kauze hraje geopolitika, lze dobře demonstrovat na rozdílném přístupu Švédska a Finska, dvou domovských států konkurenčních firem Ericsson a Nokia. Ve Švédsku vyloučil tamní telekomunikační úřad PTS čínské výrobce ze všech částí sítí již v rámci zadávacích podmínek aukce kmitočtů. Zajímavé bylo, že sám úřad stanovil, že neidentifikoval žádné zranitelnosti týkající se konkrétních technologií. Riziko identifikoval zejména na základě strategických/politických kritérií spojených s původem firem z Číny.

Finsko zvolilo odlišný přístup. Odmítlo kohokoli předem vylučovat a současně zavedlo novou bezpečnostní legislativu, která umožňuje v případě identifikace rizika zařízení zakázat nebo jej stáhnout z trhu. Mechanismus posouzení rizikovosti se nevztahuje na dodavatele, ale pouze na konkrétní zařízení a k případnému omezení může dojít jen pro kritické části sítě. Dvě sousedící země, u nichž lze předpokládat, že mají k celé kauze k dispozici stejné informace a které přesto zvolily rozdílný přístup k čínským dodavatelům technologií. Jedna je vyloučila z dodávání jakýchkoli komponent do mobilních sítí, druhá postupuje tak, že minimálně do nekritických částí sítě může operátor využít čínské komponenty. Pro zbytek sítě pak bude rozhodující posouzení bezpečnosti technologie. Obdobně rozdílné přístupy ke zmíněným společnostem lze pak najít po celém světě.

Pro Českou republiku může být relevantní zejména přístup Německa jakožto našeho největšího obchodního partnera, kde mají mateřskou a sesterskou společnost dva ze tří největších českých operátorů (T-Mobile a Vodafone). Německo zavedlo relativně byrokratický proces, který je asi nejblíž tomu, co reálně předpokládá EU Toolbox. Přijetím nového bezpečnostního IT zákona Německo zavedlo takzvaný proces posuzování důvěryhodnosti dodavatele. Posuzování jednotlivých dodavatelů pro zachování objektivity začíná u samotných dodavatelů, kteří v případě prodeje takzvaných kritických komponent předloží rozsáhlou záruku, ve které musí prokázat svou důvěryhodnost a předložit k tomu konkrétní důkazy. Operátor posléze záruku společně se svou vlastní analýzou rizik předloží ministerstvu vnitra k jejímu zkoumání a verifikaci.

V případě, kdy je používání kritických komponent v rozporu se zájmy bezpečnostní politiky státu, je ministerstvo vnitra po konzultaci s dotčenými orgány oprávněno zakázku zakázat. To lze předpokládat zejména v případě, kdy se ukáže, že prohlášení v záruce jsou nepravdivá nebo panují-li podložené obavy z narušení bezpečnosti státu. Dotčené subjekty pak mají možnost se proti rozhodnutí bránit. Německo lze tedy jasně považovat za stát z oné třetí nebo čtvrté skupiny, kdy předem nikoho nevylučuje, ale pro každý případ si nechává zadní vrátka otevřená.

V České republice posuzují rizikovost jednotlivých dodavatelů samotní operátoři v rámci analýzy rizik. Ti posuzují jak rizika spojená s danou technologií, tak s jejími dodavateli. Tento systém doposud v Česku fungoval ke všeobecné spokojenosti, o čemž vypovídá minimální počet závažných incidentů, které musejí operátoři reportovat národním regulátorům a ti poté evropskému kyberbezpečnostnímu úřadu ENISA. Faktem však je, že aukce kmitočtů již proběhla a výstavba 5G sítí již také probíhá, a to se všemi dodavateli. Že by se tedy Česká republika v blízké době řadila mezi země z první nebo druhé skupiny, je tak vysoce nepravděpodobné. S ohledem na tyto skutečnosti a neschopnost Unie za­ujmout jednotný postoj je podle mého názoru jedině správné, že si Česká republika určí vlastní směr, který spíše než Ameriku vs. Čínu bude řešit dlouhodobé zabezpečení mobilních sítí.

Šimon Toman, autor je právník a ředitel AK Toman & partneři