Kybernetická bezpečnost za čtyřicet miliard. Účet ale nedostane Brusel

Revize aktu o kybernetické bezpečnosti (CSA2), kterou Komise předložila letos v lednu, přináší poprvé závaznou celounijní lhůtu. Zařízení dodavatelů označených za vysoce rizikové má z jader 5G sítí a z rádiových přístupových sítí zmizet do tří let od nabytí účinnosti nařízení. Dopadová studie Komise k tomu uvádí cenu tři až čtyři miliardy eur ročně po dobu tří let, celkem tedy zhruba deset až třináct miliard.

Analytické pracoviště GSMA Intelligence zveřejnilo v červenci propočet, který dospěl jinam: třicet až čtyřicet miliard eur, se středovým odhadem pětatřicet. Studii si objednalo sedm operátorských skupin — Deutsche Telekom, Orange, Telefónica, Vodafone, Fastweb, MEO a United Group — které dohromady obsluhují téměř polovinu mobilních připojení v Unii. Zadavatele je poctivé uvést, protože mají na výsledku zájem. Zároveň jde o jediná dostupná čísla postavená na tom, co si operátoři sami spočítali nad inventurou vlastních sítí.

Rozdíl mezi oběma odhady přitom není sporem o ekonomickou metodu. Má dvě velmi konkrétní příčiny. Komise počítala pouze mobilní sítě, ačkoli návrh označuje za klíčová aktiva i sítě pevné a přenosové — pro ty dopadová studie chybí úplně. Podle GSMA připadá na mobilní sítě šestnáct až dvaadvacet miliard eur, na přenosovou infrastrukturu devět až dvanáct a na pevné sítě zhruba pět. Druhá příčina je prostší: číslo Komise nevzniklo zdola z dat operátorů a nikdo je nezávisle neověřil.

Druhý účet přijde později

Jednorázová výměna je přitom jen první vrstva. Zajímavější je, co se stane s trhem poté, co z něj zmizí dodavatelé s pětinovým až třetinovým podílem.

Trh s telekomunikačním zařízením je koncentrovaný už dnes. Herfindahlův–Hirschmanův index, který používá sama Komise při posuzování fúzí, dosahuje v mobilním segmentu 2 901 bodů. Po vyřazení označených dodavatelů by vyskočil na 4 816 — tedy o dvě třetiny. To je hodnota, jakou by soutěžní úřad u ohlášené fúze prakticky jistě neschválil.

Důsledek je předvídatelný. GSMA odhaduje, že ceny mobilního zařízení vzrostou zhruba o čtyřiadvacet procent, u pevných sítí o devatenáct a u přenosových o deset. V některých segmentech je situace vyhrocenější: u pasivních optických sítí by po odchodu čínských výrobců zůstala jako jediný velký dodavatel Nokia, u mikrovlnných spojů Ericsson. Při plánovaných investicích za necelých dvaačtyřicet miliard eur v letech 2027 až 2030 to znamená přibližně osm a půl miliardy navíc. Do roku 2035 zhruba čtyřiadvacet miliard.

Je poctivé dodat, že tato část výpočtu stojí na standardním, ale statickém nástroji, který sama studie označuje za indikativní. Neříká, že ceny takto vzrostou. Říká, že motivace zbývajících dodavatelů k jejich zvýšení bude po zásahu podstatně silnější.

Kdo to nakonec zaplatí

Tady se debata obvykle zjednodušuje na tezi, že zdraží mobilní tarify. Studie tvrdí spíš opak — a je to zjištění nepříjemnější.

Evropský telekomunikační trh je cenově natolik konkurenční a výnos na zákazníka natolik klesající, že operátoři podle GSMA nemají prostor většinu nákladu promítnout do koncových cen. Zaplatí ho tedy z investic. Zruší nebo odloží projekty, u nichž se návratnost při o desetinu až čtvrtinu dražším zařízení propadne do červených čísel. Konkrétně to znamená pomalejší nasazování samostatného 5G, odkládané optické přípojky a horší pokrytí v regionech, kde už dnes ekonomika investice sotva vychází.

Zákazník tedy nedostane vyšší fakturu. Dostane pomalejší a méně kvalitní síť a nebude mu zřejmé, proč. To je z hlediska politické odpovědnosti nejméně čitelná forma účtu, jakou si lze představit.

Souvislosti to dodává jedno další číslo. Evropa podle GSMA potřebuje na špičkovou konektivitu zhruba 475 miliard eur, reálně se počítá s 270 miliardami. Chybí tedy zhruba 205 miliard. Do této mezery má nyní přibýt regulatorní náklad v řádu desítek miliard, aniž by k němu existovala úplná dopadová studie.

Námitka, kterou je třeba přiznat

Kritika čísel GSMA už zazněla a stojí za to ji uvést. Podle ředitele think-tanku ECIPE Hosuka Lee-Makiyamy jsou odhady hrubé, nikoli přírůstkové: část zařízení by operátoři vyměnili tak jako tak v rámci běžné obnovy, a kdyby se tato část odečetla, výsledek by se přiblížil odhadu Komise.

Námitka je legitimní, ale odpověď na ni existuje. Běžný obnovovací cyklus je rozložen do sedmi až deseti let a operátor si v něm vybírá, co a kdy vymění. Návrh CSA2 tuto volbu ruší a stlačuje ji do tří let. Přírůstkovým nákladem není výměna sama, nýbrž její vynucené zrychlení a ztráta možnosti volby dodavatele. GSMA navíc do svých čísel nezahrnula odpis zůstatkové hodnoty vyřazované techniky, takže v tomto ohledu jde o odhad spíše konzervativní.

Česká otázka

V Praze se debata vede v jiné rovině než v Bruselu. Senát v červnu v rámci kontroly subsidiarity doporučil vyjmout dodavatelské pasáže z CSA2 a přesunout je do samostatného nezávazného nástroje. Usnesení není pro vládu závazné a neurčuje její vyjednávací pozici, jde tedy spíš o signál než o rozhodnutí. NÚKIB ve svém stanovisku podporuje silný evropský rámec, zároveň však žádá, aby nová opatření byla přiměřená, jasně vymezená a respektovala rozdělení pravomocí mezi Unii a členské státy.

Je dobré rozumět tomu, co tato pozice je a co není. Není zpochybněním bezpečnostního hodnocení — NÚKIB patří v Evropě k opatrnějším úřadům a své varování vydal už v roce 2018. Je to spor o metodu a o to, kdo má o vyřazení konkrétního dodavatele rozhodovat. Podobně argumentují i tuzemské podnikatelské svazy, které v únoru upozornily na centralizaci rozhodování, nereálné lhůty a sankce až do výše sedmi procent celosvětového obratu.

Existuje lepší řešení?

Nikdo rozumný netvrdí, že bezpečnost sítí je vedlejší. Otázka zní, zda plošné vyřazení v tříleté lhůtě je nejlevnější způsob, jak jí dosáhnout — a odpověď na ni zatím nikdo nespočítal.

Nabízejí se přinejmenším tři směry. Prvním je požadavek na skutečnou dodavatelskou diverzitu namísto vyřazování: síť závislá na jediném výrobci je zranitelná bez ohledu na to, kde tento výrobce sídlí. Druhým je odstupňování podle rizika — jádro sítě, rádiová část a přenosová vrstva nepředstavují srovnatelnou expozici a nemusí podléhat stejnému režimu ani stejné lhůtě. Třetím je otázka kompenzací, kterou návrh zatím obchází. Americký program výměny byl rozpočtován na necelých pět miliard dolarů a zasekl se na financování i na nedostatku techniků. V Dánsku soud přiznal společnosti TDC NET náhradu osmdesáti milionů korun, protože nařízenou výměnu posoudil jako vyvlastnění.

Evropa se nemusí rozhodovat mezi bezpečnou a dostupnou sítí. Musí ale vědět, kolik to druhé stojí, a mít odvahu to říct nahlas dřív, než účet dorazí — v podobě, kterou nikdo neuvidí na faktuře.