Cybersecurity Act: fornitori ad alto rischio fuori dalla rete

Il 23 luglio 2026 sette gruppi di telecomunicazioni europee — tra cui Deutsche Telekom, Vodafone e Orange, quasi la metà del mercato UE per ricavi — hanno reso pubblico uno studio di GSMA Intelligence commissionato per un solo scopo: mettere un numero preciso su un obbligo che Bruxelles sta preparando da mesi. La revisione del Cybersecurity Act, il regolamento (UE) 2019/881, punta a rendere vincolante — non più solo raccomandata, come nel Toolbox 5G del 2020 — l’esclusione dei fornitori extra-UE classificati come «high-risk vendors», nella pratica Huawei e ZTE, dalle reti mobili di nuova generazione. Per chi scrive un capitolato di rete, gestisce un’infrastruttura critica o pianifica investimenti pluriennali in apparati attivi, la domanda utile non è se l’obbligo arriverà, ma quanto costerà e da dove cominciare a censire l’esposizione.

Cosa prevede davvero la revisione

Il testo, indicato in ambito industriale con la sigla CSA2, non ha ancora concluso l’iter legislativo: quello che filtra dagli ambienti di Bruxelles e dalla stampa di settore è un termine di tre anni dall’entrata in vigore per rimuovere gli apparati dei fornitori designati ad alto rischio dalle reti 5G core e RAN — la parte radio e il nucleo di controllo della rete mobile. È un salto di natura giuridica, non solo di rigore: il Toolbox 5G del gennaio 2020 lasciava ai singoli Stati membri la scelta se e come limitare questi fornitori nelle proprie reti critiche; una revisione del Cybersecurity Act che impone l’esclusione la trasforma in un obbligo uniforme, verificabile, sanzionabile in tutta l’Unione.

Le cifre, e la distanza fra due stime

Lo studio GSMA Intelligence stima un costo diretto compreso fra 30 e 40 miliardi di euro (stima centrale attorno a 35 miliardi), così ripartito: 16-22 miliardi per le reti mobili, 9-12 miliardi per le reti di trasporto (i collegamenti backhaul e in fibra fra i siti), fino a 5 miliardi per gli apparati di rete fissa a banda larga. A questo si sommano gli aumenti di prezzo attesi sugli apparati sostitutivi — +24% sul mobile, +19% sul fisso, +10% sul trasporto — che secondo lo studio produrrebbero altri 8,5 miliardi di costi fra il 2027 e il 2030, e una proiezione di ulteriori 24 miliardi entro il 2035. La Commissione europea, dal canto suo, ha stimato l’impatto in 3,4-4,3 miliardi l’anno per tre anni — 10-13 miliardi in tutto — ma limitando il conteggio alle sole reti mobili: un terzo della cifra indicata dal settore, e su un perimetro più stretto. La distanza fra le due stime non è un dettaglio contabile: deciderà quanto tempo verrà concesso davvero per la transizione, e se il fondo di sostegno che gli operatori chiedono verrà mai messo sul tavolo.

Un effetto collaterale, meno discusso ma concreto per chi scrive capitolati: con Huawei e ZTE fuori, in alcuni segmenti di apparati resterebbe di fatto un solo fornitore alternativo di peso — Nokia viene citato esplicitamente nello studio come rischio di posizione dominante. Un mercato con un solo fornitore ammesso non è solo un rischio di continuità: è un rischio di prezzo che vale la pena scrivere in contratto, non scoprire in fattura.

L’Italia ha già un meccanismo simile, per chi è dentro il perimetro

Chi lavora con enti pubblici, sanità o gestori di infrastrutture critiche conosce già una versione nazionale di questa stessa logica. Il decreto-legge 21 settembre 2019, n. 105, convertito con modificazioni dalla legge 18 novembre 2019, n. 133, ha istituito il perimetro di sicurezza nazionale cibernetica: i soggetti pubblici e privati che vi rientrano devono notificare l’acquisizione di beni, sistemi e servizi ICT destinati a reti, sistemi informativi e servizi critici, e attendere l’esito della valutazione — oggi in capo al Centro di Valutazione e Certificazione Nazionale dell’Agenzia per la Cybersicurezza Nazionale — prima di procedere. È lo stesso principio che la revisione del Cybersecurity Act vuole estendere a tutta la rete di telecomunicazioni europea, non solo ai soggetti già individuati come critici: chi oggi scrive un capitolato per un ente dentro il perimetro sta già, di fatto, facendo le prove generali di un obbligo che presto potrebbe valere per chiunque acquisti apparati di rete.

Cosa cambia per chi progetta, appalta o gestisce una rete

Il conteggio ufficiale riguarda per ora solo il mobile, ma l’esposizione che GSMA attribuisce alla rete fissa — fino a 5 miliardi — segnala qualcosa che vale anche per chi si occupa di FTTH e reti aziendali: gli apparati attivi (OLT, ONT, switch, router, sistemi di trasmissione) hanno un fornitore, e quel fornitore oggi può cambiare status normativo senza preavviso lungo. Lo stesso principio già scritto per il rame nel Digital Networks Act — censire prima di aspettare la lettera dell’operatore — vale identico per l’inventario dei fornitori di apparati attivi: sapere chi c’è dentro un armadio di rete, non solo quale modello, è la prima difesa contro una scadenza che arriva da fuori. È un tema che si lega anche alla sicurezza fisica degli apparati e delle giunzioni non presidiate di cui abbiamo scritto qui: la resilienza di una rete si gioca tanto sul chi la controlla quanto su chi vi ha accesso.

Cosa fare

Censite gli apparati di rete attivi per fornitore, non solo per modello: OLT, ONT, switch, router, sistemi di trasmissione. È il primo passo, e richiede un giorno di lavoro oggi, non una gara d’urgenza domani.
Se scrivete o gestite un capitolato per un ente che rientra nel perimetro di sicurezza nazionale cibernetica, verificate per tempo i passaggi di notifica al Centro di Valutazione e Certificazione Nazionale: allungano i tempi di gara più di quanto sembri sulla carta.
Nei nuovi capitolati di apparati attivi, scrivete clausole di sostituibilità del fornitore e di tutela sul prezzo: un solo fornitore ammesso in un segmento è un rischio economico, non solo tecnico.
Seguite l’iter della revisione del Cybersecurity Act (CSA2): la distanza fra la stima della Commissione e quella del settore deciderà i tempi reali di transizione concessi agli operatori.
Non confondete l’obbligo europeo in arrivo con quello già in vigore in Italia dal 2019: il perimetro cibernetico riguarda solo i soggetti individuati come critici, non ancora l’intera rete.

Il punto.

Il costo di questa transizione — comunque finisca la trattativa fra 10 e 40 miliardi — non ricadrà solo sui grandi operatori che hanno commissionato lo studio: ricadrà, in proporzione, su chiunque scriva un capitolato di rete nei prossimi anni, perché il mercato dei fornitori ammessi si restringe per tutti insieme. Censire oggi gli apparati attivi e il fornitore che c’è dietro ciascuno — non solo per gli enti già dentro il perimetro cibernetico — è lo stesso lavoro preventivo che facciamo per i nostri clienti nel settore delle telecomunicazioni: un approccio che parte dall’inventario reale della rete, non dalla scadenza che arriva per ultima.

Gestite una rete con apparati attivi di cui non conoscete con certezza il fornitore, o dovete scrivere un capitolato per un ente soggetto a notifica ICT? Contattateci: un primo confronto tecnico aiuta a capire cosa verificare prima che la norma diventi definitiva.