A lo largo de los últimos meses, ha surgido una intensa polémica entre las instituciones europeas, gobiernos aliados y actores de seguridad en torno a un contrato adjudicado por el Ministerio del Interior de España a Huawei, la multinacional china de telecomunicaciones.
La controversia no es nueva en Europa, que viene mostrando creciente preocupación con respecto al papel de Huawei (y de otros proveedores considerados de “alto riesgo”) en infraestructuras críticas, especialmente tras el endurecimiento de las políticas de seguridad digital, de ciberseguridad y de soberanía tecnológica.
El contrato en cuestión asciende a 12,3 millones de euros, y su objeto es gestionar el almacenamiento y clasificación de escuchas telefónicas judiciales. Más concretamente, se refiere al sistema SITEL (el sistema integrado de interceptación de las telecomunicaciones autorizado judicialmente). Huawei será responsable de almacenar los datos generados cuando jueces y fiscales autorizan intervenciones legales para investigaciones de delitos, terrorismo, crimen organizado, espionaje, etc.
¿Por qué la UE está preocupada?
La preocupación de la Comisión Europea y de algunos eurodiputados se basa en varios puntos de tensión que se derivan de este contrato, y que han sido expresados públicamente, empezando por el riesgo de injerencia extranjera. Uno de los principales reparos es que, al otorgarse el contrato a Huawei, España podría generar una “dependencia” hacia un proveedor que la UE considera de alto riesgo, en un ámbito muy sensible: la gestión de escuchas judiciales.
Esa dependencia podría abrir puertas (reales o hipotéticas) a que terceros actores externos, en particular el Estado chino si existiera alguna presión o requerimiento legal, tuvieran acceso a datos sensibles. La vicepresidenta de la Comisión para la Soberanía Tecnológica, Seguridad y Democracia, Henna Virkkunen, lo ha expresado claramente.
Por otra parte, la adjudicación se examina en relación con instrumentos legales de la UE, como la normativa de ciberseguridad, la estrategia de soberanía tecnológica, el “toolbox” para la seguridad de las redes 5G, la Directiva NIS2, y los estándares de seguridad en infraestructuras críticas (TIC). Las instituciones europeas han recomendado restringir o excluir proveedores catalogados como de “alto riesgo” (Huawei, ZTE, entre otros) de ciertos ámbitos críticos.
Además, España forma parte de redes de cooperación en investigación criminal, ciberseguridad y protección de datos. Si en un Estado miembro se decide permitir que Huawei participe en la infraestructura de almacenamiento de escuchas judiciales, otros países podrían desconfiar de la integridad de los datos compartidos, lo cual podría afectar las relaciones en Europol, Eurojust, etc.
La estrategia europea busca que los países de la UE reduzcan su dependencia de proveedores externos considerados de riesgo, favoreciendo la producción propia o proveedores con altos estándares de seguridad transparentes. La decisión de España se ve como potencialmente contradictoria con esos objetivos si no se mitigan los riesgos.
No solo la UE, sino también actores externos, incluidos Estados Unidos, han levantado voces de preocupación. En algunos casos se cuestiona la continuidad del intercambio de inteligencia o la percepción de España como socio seguro si participan terceros proveedores sobre los que pesan sospechas de posibles obligaciones legales hacia su Estado nacional (en este caso, China).
La respuesta española y los argumentos a favor
El Gobierno de España, incluyendo el Ministerio del Interior, defiende su decisión con varios argumentos. En primer lugar, que el contrato fue adjudicado mediante procedimiento público y de forma transparente, cumpliendo con las normas de contratación y los estándares de seguridad nacionales, incluidos los establecidos por el Centro Criptológico Nacional (CCN) y el régimen de seguridad nacional para TIC.
También, que los sistemas contratados estarán aislados, auditados y cuentan con las garantías legales correspondientes; que no se prevé que Huawei tenga acceso indebido a los datos, que no se comprometerá la integridad de las mismas intervenidas judicialmente, y que, en ocasiones, el uso de tecnología Huawei permite una reducción en costes o una mayor eficiencia operacional, dada su presencia fuerte en infraestructuras tecnológicas y su capacidad productiva.
Por último España defiende que así mismo ha habido gestos de ajuste: por ejemplo, la cancelación de otro contrato de fibra óptica público de unos 10 millones de euros con Huawei para varias instituciones, incluyendo el Ministerio de Defensa, por criterios de “autonomía estratégica”.
¿Qué ha dicho la Comisión Europea?
La UE se ha manifestado principalmente a través de su Comisión y, más concretamente, de Henna Virkkunen, vicepresidenta responsable de Soberanía Tecnológica, Seguridad y Democracia. En respuesta a preguntas parlamentarias, ha señalado que el contrato podría crear “dependencia de un proveedor de alto riesgo” en un “sector crítico y sensible” y que esto, a su vez, podría aumentar el riesgo de injerencia extranjera».
También sostiene que Huawei y ZTE fueron ya en junio de 2023 identificadas por la Comisión como proveedores con riesgos significativamente mayores que otros, lo que llevó a fomentar políticas para limitar su presencia en redes críticas, así como que la situación será examinada en el marco de la próxima revisión del reglamento de ciberseguridad, así como otros instrumentos de la UE relacionados con la seguridad de las cadenas de suministro TIC. Pero hasta ahora no se han anunciado medidas sancionadoras concretas contra España, salvo la advertencia política.
Dentro de España también hay voces críticas y demandas de aclaración. Partidos de la oposición, especialmente el Partido Popular, han instado a que se evalúe con más claridad cuáles son las implicaciones de seguridad derivadas de permitir que un proveedor catalogado de alto riesgo administre infraestructura que almacene escuchas judiciales. Temen fallos de confidencialidad, espionaje, filtraciones o debilitamiento de la posición de España en colaboraciones internacionales.
También hay inquietudes en cuerpos policiales y de la Guardia Civil, según algunos medios, acerca de la “incoherencia estratégica”: por un lado, España ha reducido el uso de Huawei en infraestructuras de red 5G llave, siguiendo recomendaciones; por otro lado, se permite que la empresa participe en otros ámbitos críticos.
Desde el Gobierno se defiende que las garantías técnicas y legales existentes son suficientes, que no hay pruebas de que Huawei tenga puntos de acceso indebido, y que se han seguido los procedimientos de seguridad conforme a la legislación nacional y la normativa de contrataciones.
Riesgos y posibles consecuencias
Si no se manejan de forma adecuada, los acuerdos pueden acarrear varios riesgos, como vulnerabilidades en seguridad nacional, puesto que si existiese algún fallo en la auditoría, en el aislamiento o si Huawei u otra entidad con acceso legal obligado por normativa china pudiera ser forzada a cooperar con autoridades extranjeras, podrían producirse brechas de datos sensibles relacionados con terrorismo, crimen organizado, etc.
También hay que tener en cuenta el daño a la cooperación internacional: países aliados podrían limitar su confianza en los datos compartidos por España para operaciones conjuntas, lo que podría complicar investigaciones conjuntas entre policía, jueces o agencias de inteligencia.
Tanto desde Bruselas como desde Estados Unidos u otros aliados presionan a España para revertir la situación. De hecho, hay requerimientos ya de congresistas estadounidenses para que se evalúe la seguridad del contrato y la posible revisión del intercambio de inteligencia. No hay que olvidar que el que España sea vista como un Estado menos riguroso en términos de seguridad digital puede afectar relaciones comerciales, de confianza, de inversión extranjera, y perjuicios en negociaciones de fondo tecnológico europeo.
Si finalmente la UE decide imponer sanciones, restricciones, o si se exige que España sustituya el equipamiento, que realice auditorías frecuentes, esto puede suponer costes adicionales, demoras o litigios.
Con base en las reacciones actuales y los mecanismos institucionales disponibles, se vislumbran algunos escenarios. Lo primero, España podría reforzar las garantías del contrato — auditorías independientes, mayor transparencia, mayor protección legal — para responder a los planteamientos de la UE. Esto podría incluir permitir inspecciones, asegurar niveles de certificación más altos, etc., y si la presión política o técnica se incrementa, podría optarse por cancelar ciertas cláusulas, sustituir algunos componentes o contratos futuros con Huawei, como ha hecho ya con el contrato de fibra óptica de 10 millones de euros.
Aunque hasta ahora no ha anunciado sanciones, la Comisión puede iniciar procedimientos de infracción si considera que España incumple directivas europeas o compromisos comunitarios relacionados con ciberseguridad, soberanía tecnológica o regulaciones sobre infraestructura crítica.
Y a propósito de este singular caso que enfrenta a España con la UE y con EE.UU., Europa podría acelerar la aprobación de reglas más estrictas que definan claramente qué proveedores se consideran de alto riesgo, bajo qué condiciones se les permite participar, bajo qué medidas de supervisión, etc. También se podría reforzar la normativa de transparencia en contratos estatales que involucren terceros países.
En cualquier caso, España podría buscar maneras de reducir su dependencia de proveedores externos de alto riesgo, fomentando proveedores nacionales o europeos, y priorizando alternativas que puedan cumplir los mismos estándares de seguridad. En este punto está la cosa, más o menos.
