Czujemy się dobrze, jeśli ufamy technologii, z której korzystamy, ale znacznie lepiej jest, gdy potrafimy ją zweryfikować. Taka właśnie racjonalna weryfikacja, w miejsce trudno mierzalnego zaufania legła u podstaw konsultowanego od 11 sierpnia Katalogu wymagań bezpieczeństwa wobec operatorów sieci telekomunikacyjnych i listy funkcji krytycznych opublikowanego przez niemiecką Agencję ds. Sieci („BNetzA” to odpowiednik połączonych trzech polskich urzędów: Urzędu Komunikacji Elektronicznej, Urzędu Transportu Kolejowego oraz Urzędu Regulacji Energetyki). Tym samym niemiecka administracja nie znalazła podstaw merytorycznych do wsparcia amerykańskich wysiłków, aby odciąć chińskie firmy od budowania sieci 5G w Europie.
Autorzy dokumentu świetnie dostrzegają, że sieci 5G będą „stanowić przyszły szkielet naszych coraz bardziej zdigitalizowanych gospodarek i społeczeństw. W ich ramach miliardy urządzeń i systemów, w tym w infrastrukturach krytycznych sektora energetycznego, wodnego, żywnościowego, zdrowotnego, finansowego, ubezpieczeniowego, transportowego i drogowego, technologii informacyjnych i telekomunikacyjnych, będą przetwarzać wrażliwe informacje i wspierać systemy bezpieczeństwa”. Dlatego też radiowe ruchome publiczne sieci telekomunikacyjne piątej generacji zostały zakwalifikowane do infrastruktury o najwyższych wymaganiach, trzeciej grupy o tzw. zwiększonej krytyczności. Jednak nawet mimo tego nie zdecydowano się na wykluczanie a priori jakiegokolwiek kraju czy dostawcy. Ocenę „rzetelności, wiarygodność i jakości dostawcy” pozostawiono przedsiębiorcom.
Dokument powstał w porozumieniu z Federalnym Urzędem ds. Bezpieczeństwa Informacji (BSI) i Federalnym Rzecznikiem Ochrony Danych i Wolności Informacji, trudno więc zarzucać autorom brak kompetencji.
Katalog jest rozwinięciem tzw. skrzynki z narzędziami – „Cybersecurity of 5G networks EU Toolbox of risk mitigating measures” i przewiduje m.in:
- uzyskiwanie w umowach przez operatorów odpowiednich deklaracji wiarygodności od dostawców, oraz zagwarantowanie ich przestrzegania karami umownymi,
- certyfikowanie krytycznych komponentów sieci przez niezależne podmioty,
- zapewnienie integralności produktu, zarówno na etapie dostawy jak i w toku procesu eksploatacji oraz wymiany i utylizacji
- stały i dokumentowany monitoring bezpieczeństwa,
- zatrudnianie specjalistów i tworzenie kultury bezpieczeństwa w całym zespole, nie tylko w obszarach tradycyjnie związanych z bezpieczeństwem,
- zabezpieczenie odpowiednich rezerw, w tym w zakresie dostaw,
- stosowanie krytycznych komponentów sieciowych i systemowych różnych producentów, aby unikać tzw. monokultur. W przyszłości może to zostać wsparte przez zastosowanie otwartych standardów, takich jak Open RAN, jeżeli stan techniki będzie się odpowiednio rozwijał.
