RUSI研究指出，欧盟碎片化的技术采购政策造成对中国供应商的供应链敞口，建议统一标准可能也涉及美国供应商的审查。

根据英国皇家联合防务研究所(RUSI)的观点,欧洲基础设施对中国技术的依赖构成风险,但并非每个国家都对此认真对待。这家英国智库在今日发布的报告中主张,欧盟需要更好地帮助成员国评估风险,并采取适当行动保护整个欧盟。

RUSI呼吁欧盟制定一个适用于所有成员国的新风险评估框架,同时加强自身权力——但不能侵犯各成员国制定自身国家安全政策的权利。挑战在于如何在维护联盟安全与维持成员国灵活追求国内政策之间找到平衡,同时考虑到不同部门的差异化风险。例如,影响电信业的风险可能不会等同地适用于其他产业。

欧盟在2020年1月推出的《5G安全工具箱》框架旨在建立协调一致的标准以化解5G相关安全风险。但该框架是自愿性的:27个成员国中仅有10个完全实施。认识到这一不足,欧盟委员会今年早些时候对《网络安全法》(CSA)提出修订案,允许其制定不信任供应商名单,要求成员国从18个关键部门的网络中排除这些供应商。使用指定供应商设备的国家将被迫在36个月内将其更换。欧盟委员会已表示,如果修订案通过,将提议将华为和中兴列入此类名单。

但首先,欧盟必须定义什么构成"高风险供应商"——这一术语目前缺乏官方定义,仍属于非法律范畴。这种模糊性使各国能够通过采购他们偏好的技术来规避审查,不顾随后可能做出的任何指定。

RUSI的研究人员研究了德国、西班牙和英国,以说明三个国家如何以不同方式处理华为和中兴等外国科技供应商。德国最重要的贸易伙伴是中国——这一关系价值2518亿欧元(2844亿美元)每年——历来柏林优先考虑这些经济关系而非降低供应链风险。在总理弗里德里希·默茨领导下,这一立场正在缓慢转变,但RUSI预计德国的5G RAN构成在近期不会发生实质性改变。中国供应商约占该国2024年5G RAN的59%。

西班牙的5G RAN在2024年包括约32%的中国设备,这一比例预计会下降。尽管如此,在西班牙向华为授予司法窃听录音存储合同后,辩论愈加激烈。西班牙的采购决策历来青睐最具成本效益的选项,其政府并不像英国或美国那样对中国存在相同的国家安全担忧。相比之下,英国将在明年年底前完全清除其电信网络中的中国技术,屈服于美国基于地缘政治安全理由排除华为的压力。

RUSI确认对中国信息技术供应商的担忧是"有根据的"。中国政府可以要求华为等公司按需提供数据、接纳中共代表驻守、并报告暗示国家安全威胁的活动。一部法律要求科技公司在发现漏洞后48小时内向政府报告,并禁止向海外对手披露,产品供应商除外。"这将中国私营部门的安全研究转化为国家控制的渠道,授予情报部门对可利用漏洞的特权早期访问权,"RUSI表示。中国还展示了对政治对手关键基础设施发动网络攻击的意愿和能力。

除了技术安全问题,中国供应商引入经济风险。其产品有时在性能上超过欧盟和美国同类产品,且价格更具吸引力——这一成本优势使某些国家很难为非中国设备支付更高费用。通过建立对其产品的全球依赖,中国创造了"不受欢迎的依赖关系"并巩固了自己在关键供应链中的主导地位,RUSI指出。中国最近表现出行使这一影响力的意愿;在2019年5G辩论期间,它因双边贸易问题对德国发出"后果"威胁。

然而,对高风险供应商的全面禁令可能无法解决根本问题。发出指定不会明确解决使产品容易受到攻击的安全漏洞。即使中国被完全排除在欧盟科技堆栈之外,"受信任"国家的供应商已被证明无法提供防渗透软件,无论如何都会留下攻击余地。盐台风(Salt Typhoon)在2024年对美国电信网络的高调攻击说明了这一点。

《网络安全法》风格的指定理论上也可适用于美国公司。一些欧洲国家基于不同原因将美国供应商视为同样有风险。默茨领导下的德国担忧美欧关系,而西班牙——美国云公司占主导地位的地方——相比普遍承认的程度,对美国有更强烈的反感,尤其是关于监视问题。"甚至有一位参与者指出,一些官员认为美国法律工具如《爱国者法案》会造成与中国《国家安全法》等同的主权风险,这一叙述在探究该立法时站不住脚,但在政治上便利,"RUSI表示。来自一些非中国供应商的更高价格进一步削弱了西班牙移除他人认定为高风险设备的意愿。

RUSI的结论是,欧盟必须表现出"更大经济勇气",将科技采购视为关键基础设施安全优先事项,而非"合规性练习"。