Edición provisional
CONCLUSIONES DE LA ABOGADA GENERAL
SRA. TAMARA ĆAPETA
presentadas el 19 de marzo de 2026 (1)
Asunto C‑354/24
Elisa Eesti AS
contra
Vabariigi Valitsuse julgeolekukomisjoni küberjulgeoleku nõukogu,
Tarbijakaitse ja Tehnilise Järelevalve Amet
[Petición de decisión prejudicial planteada por el Tallinna Halduskohus (Tribunal de lo Contencioso-Administrativo de Tallin, Estonia)]
« Procedimiento prejudicial — Servicios de telecomunicaciones — Directiva (UE) 2018/1972 — Artículos 40, apartado 1, y 41, apartado 1 — Seguridad de las redes y los servicios — Funcionalidad 5G — Procedimiento de autorización — Proveedores “de alto riesgo” de equipos y programas informáticos — Prohibición de equipos y programas informáticos “de alto riesgo” por motivos de seguridad nacional — Artículo 4 TUE, apartado 2 — Artículo 17, apartado 1, de la Carta — Proporcionalidad — Intensidad del control — Medidas positivas en caso de influencia o control de un tercer Estado »
I.      Introducción
1.        ¿Cómo interactúan las medidas adoptadas por un Estado miembro para proteger su seguridad nacional con la legislación de la Unión adoptada para garantizar el funcionamiento del mercado interior de las redes y los servicios de comunicaciones electrónicas?
2.        Sobre todo, ¿están excluidas esas medidas nacionales del ámbito de aplicación de la Directiva (UE) 2018/1972 (Código Europeo de las Comunicaciones Electrónicas; en lo sucesivo, «CECE»), (2) por haber sido adoptadas por motivos de seguridad nacional y, por lo tanto, escapan al control judicial de su proporcionalidad con arreglo al Derecho de la Unión?
3.        Estas cuestiones se plantean en el contexto de la legislación adoptada en Estonia para establecer un procedimiento de autorización ex ante para el uso de equipos y programas informáticos en el suministro de redes y servicios de comunicaciones electrónicas. Este procedimiento permite a las autoridades competentes prohibir el uso de determinados equipos si se considera que suponen un riesgo para la seguridad nacional.
4.        La demandante en el litigio principal, Elisa Eesti AS (en lo sucesivo, «demandante»), filial de la sociedad finlandesa de telecomunicaciones Elisa Oyj, es uno de los tres proveedores de redes y servicios de telecomunicaciones móviles a escala nacional en Estonia. Ante el Tallinna Halduskohus (Tribunal de lo Contencioso-Administrativo de Tallin, Estonia), que es el órgano jurisdiccional remitente, impugna una resolución mediante la cual las autoridades estonias competentes le denegaron una autorización de uso en su red de telecomunicaciones de determinados equipos y programas informáticos 2G-4G y 5G. Dicha resolución se adoptó, en particular, debido a que esos equipos eran fabricados por una sociedad china de telecomunicaciones, Huawei Corporation (en lo sucesivo, «Huawei»), que las autoridades estonias consideraban un proveedor «de alto riesgo» de tales equipos.
II.    Marco jurídico y fáctico del presente asunto y cuestiones prejudiciales
A.      Información general sobre las infraestructuras y tecnologías de telecomunicaciones 5G
5.        La comprensión del contexto del presente asunto requiere un nivel mínimo de explicación de la infraestructura subyacente a la funcionalidad 5G. Empezaré con ello.
6.        Tradicionalmente, una red de telecomunicaciones móviles consta de dos partes. La parte primera y central de esta infraestructura es la red básica. Contiene el equipo central que controla la totalidad de la red y que está concebido como el conducto principal para interconectar todos los puntos finales del tráfico, agregando y transfiriendo el tráfico de red de alta velocidad. (3) La segunda parte de esta infraestructura es la red radioeléctrica móvil. Esta última está compuesta por estaciones base que dividen una zona de servicio más amplia en «células» y a las que los dispositivos celulares, como los teléfonos móviles, pueden conectarse a través de una red móvil de un Estado miembro. (4) Esta parte de la red móvil se denomina a veces red «periférica».
7.        La tecnología de las telecomunicaciones se designa mediante «generaciones». 2G, 3G y 4G son generaciones sucesivas de tecnología de red móvil no analógica. La quinta generación de esta tecnología —5G— está concebida para sustituir en el futuro a la actual norma 4G. (5) La tecnología 5G se caracteriza por una alta velocidad y capacidades de datos y una menor latencia (retraso).
8.        La Comisión Europea considera que la tecnología 5G es un elemento importante de la construcción de redes de alta velocidad y alta capacidad en la Unión Europea, en beneficio de la economía y la sociedad en su conjunto. (6)
9.        Como se desprende de la resolución de remisión y del expediente nacional, la tecnología 5G puede dividirse en la funcionalidad 5G «no autónoma» y en la funcionalidad «autónoma» 5G. La 5G no autónoma es la tecnología que se construye además de la capa de red existente de la infraestructura 2G-4G. (7) Por lo tanto, la comunicación sigue produciéndose desde y hacia la red de comunicaciones «periférica» y «básica». Las redes 5G autónomas establecen su propia red radioeléctrica y, por lo tanto, no dependen de la infraestructura 2G-4G «antigua» ni de la red básica. Por consiguiente, los dispositivos 5G autónomos conforman su propia infraestructura de red independiente sin pasar previamente por la red básica. Sobre esa base, pueden comunicarse directamente entre sí sin pasar por el «núcleo» de la infraestructura de telecomunicaciones. Debido a esta característica, la tecnología 5G autónoma será capaz de albergar muchos más dispositivos que nunca conectados al «internet de las cosas». (8)
10.      De la resolución de remisión y de los autos se desprende que la red básica de la demandante está compuesta por equipos y programas informáticos fabricados por la sociedad sueca Telefonaktiebolaget LM Ericsson (en lo sucesivo, «Ericsson») y de la sociedad finlandesa Nokia Corporation (en lo sucesivo, «Nokia») y que su red radioeléctrica móvil está compuesta por equipos y programas informáticos fabricados por la sociedad china Huawei.
11.      El presente litigio se refiere únicamente a la red radioeléctrica móvil de la demandante, es decir, la red periférica.
B.      Antecedentes jurídicos y fácticos del procedimiento principal
12.      El 23 de marzo de 2022, (9) la demandante presentó ante la Tarbijakaitse ja Tehnilise Järelevalve Amet (Oficina de Protección de los Consumidores y Supervisión Técnica, Estonia; en lo sucesivo, «TTJA») una solicitud de autorización para utilizar, en su red periférica, i) los equipos y programas informáticos Huawei 2G-4G que ya estaban presentes en ella, y ii) los equipos y programas informáticos Huawei 5G que debían introducirse en ella a partir del 1 de junio de 2022 (en lo sucesivo, conjuntamente, «equipos y programas informáticos en cuestión»).
13.      Esta solicitud se presentó sobre la base de la elektroonilise side seadus (Ley estonia de Comunicaciones Electrónicas; en lo sucesivo, «LCE»). (10) El órgano jurisdiccional remitente explica que la LCE transpone, en particular, el CECE.
14.      El capítulo 8 de la LCE establece determinados requisitos para el suministro de servicios de comunicaciones electrónicas en Estonia. Su artículo 872, apartado 1, exige a las empresas de comunicación que establezcan medidas técnicas y organizativas adecuadas para gestionar los riesgos relacionados con la seguridad y la integridad de un servicio y una red de comunicaciones. El artículo 873, apartado 1, de la LCE establece que los equipos y programas informáticos utilizados en el suministro de servicios de comunicaciones en una red de comunicaciones no deben suponer un riesgo para la seguridad nacional. Por consiguiente, como establece el artículo 873, apartado 6, una empresa de comunicación está obligada a solicitar a la TTJA una autorización para utilizar equipos o programas informáticos en una red de comunicaciones.
15.      De conformidad con el artículo 873, apartado 2, de la LCE, el riesgo para la seguridad nacional se establece sobre la base del alto riesgo planteado por el fabricante o el proveedor de servicios de mantenimiento o asistencia (punto 1) o debido al riesgo derivado de las características técnicas o de la configuración del equipo o de los programas informáticos (punto 2). El carácter de alto riesgo de un fabricante o proveedor de servicios de mantenimiento o asistencia se evalúa sobre la base de doce criterios, que se establecen en el artículo 873, apartado 3, de la LCE. (11)
16.      Cuando se compruebe que el equipo o el programa informático presenta un riesgo para la seguridad nacional, el artículo 1965 de la LCE establece determinados períodos transitorios fijos: hasta el 31 de diciembre de 2025 para la tecnología 5G (12) y hasta el 31 de diciembre de 2029 para los equipos y los programas informáticos 2G, 3G, y 4G. (13)
17.      Una vez recibida una solicitud de autorización para utilizar equipos y programas informáticos en una red de comunicaciones, la TTJA está obligada, con arreglo al artículo 874 de la LCE, a solicitar el dictamen del Vabariigi Valitsuse julgeolekukomisjoni küberjulgeoleku nõukogu (Consejo de Ciberseguridad del Comité de Seguridad del Gobierno de la República de Estonia; en lo sucesivo, «KJN») sobre si el equipo y el programa informático especificados en dicha solicitud presentan un riesgo para la seguridad nacional.
18.      Mediante decisión n.º 1, de 27 de octubre de 2022, el KJN identificó tal riesgo para la totalidad de los equipos y programas informáticos en cuestión. (14) Según la resolución de remisión, ese riesgo se identificó a la luz de cada uno de los 12 criterios enumerados en el artículo 873, apartado 3, de la LCE. (15) Dicho organismo también propuso que la TTJA concediera un permiso de uso para la funcionalidad 5G hasta el 31 de diciembre de 2025 y para la funcionalidad 2G-4G hasta el 31 de diciembre de 2029 (en lo sucesivo, «decisión del KJN»).
19.      Mediante decisión n.º 1‑7/22‑436, de 25 de noviembre de 2022, la TTJA declaró que todos los equipos y programas informáticos enumerados en la solicitud de autorización de la demandante presentaban un riesgo para la seguridad nacional de Estonia. Por lo tanto, concedió a la demandante un permiso de uso limitado en el tiempo para la funcionalidad 5G hasta el 31 de diciembre de 2025 y para la funcionalidad 2G-4G hasta el 31 de diciembre de 2029, de conformidad con el artículo 1965 de la LCE (en lo sucesivo, «decisión de la TTJA»).
20.      Mediante recurso de 1 de diciembre de 2022, la demandante impugnó las respectivas decisiones del KJN y de la TTJA (en lo sucesivo, conjuntamente, «decisiones impugnadas») ante el órgano jurisdiccional remitente. La demandante alega, en particular, que el KJN y la TTJA no han demostrado la existencia de un riesgo para la seguridad nacional de Estonia, la probabilidad de que se materialice el riesgo alegado, ni el alcance potencial del perjuicio resultante de los equipos y programas informáticos en cuestión. Esta parte alega asimismo que, debido al breve período de transición, las decisiones impugnadas constituyen una prohibición retroactiva de los equipos y programas informáticos en cuestión que tiene como consecuencia expropiar a la demandante de sus bienes. A su vez, esto debe dar lugar a una indemnización. Además, la demandante cuestiona la validez de las decisiones impugnadas alegando que la ley en virtud de la cual se adoptaron dichas decisiones no fue notificada a la Comisión, por lo que es incompatible con la Directiva (UE) 2015/1535 (en lo sucesivo, «Directiva TRIS»). (16) Por último, alega que las decisiones impugnadas constituyen una restricción a la libertad de suministrar redes y servicios de comunicaciones electrónicas, tal como está prevista en el artículo 12, apartado 1, de la LCE, y cualquier restricción a dicha libertad debe estar debidamente justificada, cosa que no han hecho las autoridades competentes.
21.      El KJN y la TTJA rebaten estas alegaciones. En esencia, sostienen que las decisiones impugnadas se basan en una evaluación de riesgos, a efectos de la cual basta con la probabilidad y la previsibilidad de un riesgo. Estas decisiones son competencia exclusiva de Estonia, que solo está sujeta a un control judicial limitado. El KJN y la TTJA también observan que el período transitorio concedido en las decisiones impugnadas constituye el período máximo permitido por el artículo 1965 de la LCE. Por último, estas partes discrepan sobre la incompatibilidad de las decisiones impugnadas con la Directiva TRIS y la LCE.
22.      En estas circunstancias, el Tallinna Halduskohus (Tribunal de lo Contencioso-Administrativo de Tallin) decidió suspender el procedimiento y plantear al Tribunal de Justicia las siguientes cuestiones prejudiciales:
«1)      ¿Está comprendido en el ámbito de aplicación [del CECE] un conjunto de disposiciones nacionales (artículos 873, apartados 2, 3, 6, 7 y 8; 874, apartados 1 a 4, y 1965, apartados 1 a 4, de la [LCE]) que, en aras de la seguridad nacional, obligan a las empresas de comunicaciones a obtener una autorización para utilizar hardware y software en su red de comunicaciones?
2)      En caso de respuesta afirmativa a la cuestión anterior: ¿Debe interpretarse el artículo 1, apartado 3, letra c) [del CECE], en relación con el artículo 4 [TUE], apartado 2, en el sentido de que es competencia exclusiva de los Estados miembros la introducción de tales limitaciones y esta constituye una medida estrictamente nacional que no se somete a las disposiciones [del CECE]?
3)      En caso de respuesta negativa a la [segunda] cuestión: ¿Constituye una limitación de la libertad de suministro de redes y servicios de comunicaciones electrónicas en el sentido del artículo 12, apartado 1, [del CECE], un conjunto de disposiciones nacionales (artículos 873, apartados 2, 3, 6, 7 y 8; 874, apartados 1 a 4, y 1965, apartados 1 a 4, de la Ley de Comunicaciones Electrónicas) que no permiten a las empresas de comunicaciones utilizar hardware y software en sus redes de comunicaciones sin obtener la autorización de una autoridad administrativa para la utilización de dicho hardware y software?
4)      En caso de respuesta afirmativa a la [tercera] cuestión: ¿Deben dejarse inaplicadas tales disposiciones nacionales si no han sido previamente notificadas a la [Comisión] con arreglo al artículo 12, apartado 1, [del CECE]?
5)      En caso de respuesta afirmativa a la [segunda] cuestión: ¿Es compatible con el artículo 36 TFUE y con el principio de proporcionalidad que, en aras de la seguridad nacional, la legislación nacional exija a las empresas de comunicaciones obtener una autorización para utilizar hardware y software en sus redes de comunicaciones, sin que la autoridad administrativa, al evaluar la existencia de un riesgo elevado en dicho hardware y software, deba: a) comprobar si los riesgos asociados al fabricante se extienden al hardware y software concreto; b) valorar la funcionalidad, la localización y el significado del hardware y software concreto en el marco del suministro de un servicio de comunicaciones electrónicas, ni c) comprobar si los problemas vinculados al Estado donde tiene su sede el fabricante se extienden también a este?
6)      ¿Constituye una privación de la propiedad en el sentido del artículo 17, apartado 1, segunda frase, de la Carta de los Derechos Fundamentales de la Unión Europea [en lo sucesivo, la «Carta»] el hecho de que la utilización de un hardware o software que ya estaba disponible en la red de comunicaciones y se utilizaba activamente antes de que se introdujese el requisito de autorización se autorice por un período inferior a la vida útil de dicho hardware o software, que fue adquirido legalmente?»
23.      Han presentado observaciones escritas ante el Tribunal de Justicia la demandante, los Gobiernos checo, danés, estonio, español, francés, italiano, finlandés y sueco y la Comisión. La demandante, el KJN, los Gobiernos estonio, danés, alemán, español, francés, italiano, finlandés y sueco y la Comisión presentaron observaciones orales en la vista celebrada el 11 de noviembre de 2025.
III. Análisis
24.      Organizaré mi análisis de la siguiente manera.
25.      Las dos primeras cuestiones prejudiciales del órgano jurisdiccional remitente se refieren al ámbito de aplicación del CECE. Así pues, la primera cuestión prejudicial tiene por objeto que se dilucide si un régimen legislativo que exige una autorización ex ante para el uso de equipos y programas informáticos en redes y servicios de comunicaciones electrónicas, como el establecido por la LCE, está comprendido en el ámbito de aplicación material del CECE. Abordaré esta cuestión prejudicial en la sección III.A. A continuación, la segunda cuestión prejudicial tiene por objeto saber si, no obstante, tales medidas están excluidas del ámbito de aplicación de dicha Directiva por haberse adoptado por razones de seguridad nacional. Abordaré esta cuestión prejudicial en la sección III.B. Mi conclusión sobre ambas cuestiones prejudiciales es que el CECE es aplicable en el presente asunto.
26.      Dado que el CECE es aplicable, la tercera cuestión prejudicial tiene por objeto solicitar orientaciones sobre si las medidas impugnadas constituyen una restricción a la libertad de suministrar redes y servicios de comunicaciones electrónicas en el sentido del artículo 12, apartado 1, del CECE. Daré una respuesta afirmativa a esta cuestión prejudicial en la sección III.C. Esto me llevará a la cuarta cuestión prejudicial, en la que se solicita una explicación sobre si esas medidas debían notificarse a la Comisión y, en caso afirmativo, qué consecuencias se derivan de su no notificación. Abordaré esta cuestión prejudicial en la sección III.D.
27.      Si las medidas nacionales controvertidas constituyen una restricción a la libertad de suministrar redes y servicios de comunicaciones electrónicas, como creo que es el caso, otra cuestión importante que se plantea en este contexto es si tales medidas podrían estar justificadas y, en caso afirmativo, de qué manera. Tal justificación es posible de conformidad con el artículo 12, apartado 1, del CECE; a este respecto, esta disposición remite al artículo 52 TFUE, apartado 1. Sin embargo, el órgano jurisdiccional remitente no solicita aclaraciones sobre cómo llevar a cabo el control de proporcionalidad con arreglo al artículo 12, apartado 1, del CECE. En su lugar, plantea esta cuestión, en forma de quinta cuestión prejudicial, en relación con la libre circulación de mercancías, y con la salvedad de que el Tribunal de Justicia considere que el CECE no es aplicable. Dado que propondré que el CECE es aplicable, no será necesario responder a la quinta cuestión prejudicial tal como ha sido planteada al Tribunal de Justicia. No obstante, el fondo de esta cuestión es pertinente para el órgano jurisdiccional remitente a efectos de la justificación con arreglo al artículo 12, apartado 1, del CECE, en relación con el artículo 52 TFUE, apartado 1. Por consiguiente, en lugar de responder a la quinta cuestión prejudicial tal como ha sido planteada al Tribunal de Justicia, propondré reformularla como si se planteara en relación con estas últimas disposiciones (y no con respecto a los artículos 34 TFUE y 36 TFUE). Abordaré la cuestión prejudicial así reformulada en la sección III.E.
28.      Por último, mediante su sexta cuestión prejudicial, el órgano jurisdiccional remitente solicita al Tribunal de Justicia que le ayude a determinar si las medidas controvertidas, dadas las circunstancias del presente asunto, representan una privación de facto de la propiedad de la demandante, en cuyo caso considera que el artículo 17, apartado 1, de la Carta exige que se conceda una indemnización adecuada. En la sección III.F propondré al Tribunal de Justicia que la medida controvertida no constituya tal privación, sino una injerencia en el uso de la propiedad, que, no obstante, puede estar justificada y, por lo tanto, no exige una indemnización sobre la base del artículo 17, apartado 1, de la Carta.
A.      Primera cuestión prejudicial
29.      Mediante su primera cuestión prejudicial, el órgano jurisdiccional remitente pregunta, en esencia, si las disposiciones pertinentes de la LCE, sobre cuya base se adoptaron las medidas controvertidas, están comprendidas en el ámbito de aplicación del CECE.
30.      Las posiciones de las partes que han presentado observaciones en el presente procedimiento difieren en cuanto a las respuestas a esta cuestión. La demandante, los Gobiernos estonio y francés y la Comisión, en esencia, consideran que el CECE se aplica a las medidas controvertidas en el presente asunto. El Gobierno estonio, apoyado por la Comisión, explica precisamente que la LCE se adoptó, de hecho, en aplicación del CECE. En contraposición, los Gobiernos danés, checo, italiano, sueco y finlandés consideran, en esencia, que el CECE no es aplicable, dado que la medida de autorización controvertida se adoptó con el fin de proteger la seguridad nacional de Estonia. Por su parte, el Gobierno español sostiene que las medidas adoptadas para proteger la seguridad nacional no están comprendidas en el ámbito de aplicación del CECE, pero que ello no exime a los Estados miembros de la obligación de atenerse al CECE, que se aplica en el presente asunto.
31.      Considero que el CECE es aplicable y que las medidas controvertidas están comprendidas en el ámbito de aplicación ratione materiae de dicha Directiva.
32.      El CECE es el principal acto legislativo en el ámbito de las comunicaciones electrónicas. Establece un marco jurídico armonizado para garantizar un mercado interior de las redes y los servicios de comunicaciones electrónicas. (17) Para alcanzar este objetivo, pretende eliminar los obstáculos al suministro de redes y servicios de comunicaciones electrónicas prohibiendo las restricciones impuestas por los Estados miembros y adoptando normas comunes. (18)
33.      Este marco se aplica también a las redes móviles, en cuestión en el presente asunto. (19)
34.      Por lo tanto, en principio, todas las normas nacionales relativas a la regulación de las redes y servicios de comunicaciones electrónicas están comprendidas en el ámbito de aplicación del CECE.
35.      Uno de los objetivos del CECE es garantizar la seguridad del mercado interior de las redes y los servicios de comunicaciones electrónicas. Así, a tenor del artículo 1, apartado 2, letra a), dicha Directiva pretende «la realización de un mercado interior de redes y servicios de comunicaciones electrónicas que haga posible el despliegue y adopción de redes de muy alta capacidad y el mantenimiento de una competencia sostenible, la interoperabilidad de los servicios de comunicaciones electrónicas, la accesibilidad, la seguridad de las redes y los servicios, y que redunde en beneficio de los usuarios finales». (20)
36.      A tal fin, el artículo 40, apartado 1, del CECE obliga expresamente a los Estados miembros a velar por que los proveedores de redes públicas de comunicaciones electrónicas o de servicios de comunicaciones electrónicas disponibles al público adopten las medidas técnicas y organizativas adecuadas y proporcionadas para gestionar adecuadamente los riesgos existentes para la seguridad de sus redes y servicios. Considerando el «estado de la técnica», dichas medidas garantizarán «un nivel de seguridad adecuado al riesgo presente», lo que incluye medidas capaces de prevenir y minimizar el impacto de los incidentes de seguridad en los usuarios y en otras redes y servicios.
37.      Por lo tanto, las normas nacionales adoptadas con el fin de alcanzar el objetivo de la «seguridad de las redes y los servicios» deben considerarse comprendidas en el ámbito de aplicación del CECE.
38.      El concepto de «seguridad de las redes y los servicios» se define en el artículo 2, apartado 21, del CECE como «la capacidad de las redes y servicios de comunicaciones electrónicas de resistir, con un determinado nivel de confianza, cualquier acción que comprometa la disponibilidad, autenticidad, integridad y confidencialidad de dichas redes y servicios, de los datos almacenados, procesados o transmitidos y la seguridad de los servicios conexos que dichas redes y servicios de comunicaciones electrónicas ofrecen o hacen accesibles».
39.      Esta definición debe leerse junto a las definiciones de los conceptos de «red de comunicaciones electrónicas» (21) y de «servicio de comunicaciones electrónicas». (22)
40.      El primero de estos conceptos está formulado de manera amplia y abarca, en particular, los equipos físicos necesarios para el suministro de dicha red (y, por lo tanto, también los equipos y programas informáticos contenidos en ella). (23) Este último concepto se refiere a la transmisión de señales a través de una infraestructura física, que el Tribunal de Justicia ha interpretado en el sentido de que se extiende también al programa informático utilizado, entre otras cosas, para acceder a internet. (24)
41.      De ello se deduce que el concepto de «seguridad de las redes», tal como se define en el artículo 2, apartado 21, del CECE, debe entenderse en el sentido de que abarca la seguridad tanto de los elementos de los equipos como los de los programas informáticos en una red de comunicaciones electrónicas.
42.      A fin de aplicar el artículo 40, apartado 1, del CECE, el artículo 41, apartado 1, de este exige a los Estados miembros que velen por que las autoridades competentes estén facultadas para dar instrucciones vinculantes, incluidas las relativas a las medidas necesarias para impedir que ocurra un incidente de seguridad cuando se haya observado una «amenaza significativa».
43.      No existe ninguna otra disposición sobre las normas que los Estados miembros deben adoptar a este respecto. Así pues, el Derecho de la Unión deja a la discreción de los Estados miembros la decisión sobre la forma de aplicar esos requisitos para garantizar la seguridad de sus redes y servicios.
44.      En el presente asunto, de la resolución de remisión, de las observaciones de la demandante y de las observaciones del Gobierno estonio y del KJN, confirmadas en la vista, se desprende que la normativa controvertida tiene por objeto aplicar el CECE y, en particular, sus artículos 40, apartado 1, y 41, apartado 1, en Derecho estonio.
45.      No hay ninguna razón para que un procedimiento de autorización ex ante para el uso de equipos y programas informáticos para el suministro de redes y servicios de comunicaciones electrónicas, como el exigido por la LCE, no se considere una de las opciones de diseño posibles para la aplicación de los artículos 40, apartado 1, y 41, apartado 1, del CECE.
46.      Esto tampoco se discute en el presente procedimiento.
47.      A la luz de lo anterior, propongo al Tribunal de Justicia que responda afirmativamente a la primera cuestión prejudicial planteada por el órgano jurisdiccional remitente, en particular que el CECE debe interpretarse en el sentido de que comprende un conjunto de disposiciones nacionales que, a fin de garantizar la seguridad de la red nacional de comunicaciones electrónicas y de sus servicios, exige que un operador que desee suministrar dicha red y servicio obtenga una autorización para utilizar equipos y programas informáticos en su red de comunicaciones.
B.      Segunda cuestión prejudicial
48.      Mediante su segunda cuestión prejudicial, que está supeditada a que la primera cuestión prejudicial obtenga una respuesta afirmativa, el órgano jurisdiccional remitente solicita, en esencia, orientaciones sobre si el efecto del artículo 4 TUE, apartado 2, y del artículo 1, apartado 3, letra c), del CECE hace que las medidas de autorización controvertidas estén comprendidas en la competencia exclusiva de los Estados miembros a la que no se aplica el CECE, dado que dichas medidas se adoptaron con el fin de garantizar la seguridad nacional.
49.      Puedo referirme brevemente a esta cuestión.
50.      El artículo 4 TUE, apartado 2, última frase, establece que la seguridad nacional seguirá siendo responsabilidad exclusiva de cada Estado miembro. Esta idea también se refleja en el artículo 1, apartado 3, letra c), del CECE, que establece que esta Directiva se entenderá sin perjuicio de las actuaciones emprendidas por los Estados miembros con fines de orden público y seguridad pública y de defensa.
51.      Por lo tanto, y a pesar de las diferencias terminológicas entre ambas disposiciones, (25) estoy de acuerdo con la Comisión y el Gobierno francés en que el artículo 1, apartado 3, letra c), del CECE constituye, en esencia, una expresión del artículo 4 TUE, apartado 2.
52.      ¿Deben interpretarse estas dos disposiciones en el sentido de que las medidas adoptadas con fines de seguridad nacional deben excluirse del ámbito de aplicación del CECE?
53.      La demandante, los Gobiernos estonio, español y francés y la Comisión consideran que, aunque solo los Estados miembros pueden decidir sobre las medidas destinadas a proteger su seguridad nacional, ello no les exime de atenerse al CECE. Por lo tanto, el efecto del artículo 4 TUE, apartado 2, y del artículo 1, apartado 3, letra c), del CECE no puede excluir del ámbito de aplicación del Derecho de la Unión la medida de autorización en cuestión. Adoptando una postura opuesta, los Gobiernos danés, checo, italiano, sueco y finlandés subrayan que, habida cuenta de que las medidas controvertidas se adoptaron para proteger la seguridad nacional de Estonia, el efecto del artículo 4 TUE, apartado 2, y del artículo 1, apartado 3, letra c), del CECE puede excluir la aplicación del Derecho de la Unión.
54.      En mi opinión, la jurisprudencia del Tribunal de Justicia ya explica que el artículo 4 TUE, apartado 2, no excluye las medidas de seguridad nacional del ámbito de aplicación del Derecho de la Unión. (26)
55.      Más bien, esta disposición confirma que la Unión Europea no tiene competencia para decidir qué es necesario para proteger la seguridad de los Estados miembros ni cómo hacerlo. No obstante, aunque, en virtud del artículo 4 TUE, apartado 2, la seguridad nacional sigue siendo responsabilidad exclusiva de cada Estado miembro, «el mero hecho de que se haya adoptado una medida nacional con el fin de proteger la seguridad nacional no puede dar lugar a la inaplicabilidad del Derecho de la Unión ni dispensar a los Estados miembros de la necesaria observancia de dicho Derecho». (27)
56.      Por lo tanto, aunque Estonia haya adoptado la legislación impugnada con el fin de proteger su seguridad nacional, ello no excluye dicha legislación y las medidas adoptadas sobre su base del ámbito de aplicación del CECE.
57.      En otras palabras, cuando las medidas adoptadas para proteger la seguridad nacional sean contrarias a las normas de la Unión, puede invocarse el interés público de la protección de la seguridad nacional para justificar dicho conflicto; no obstante, estas medidas deben atenerse al criterio de la proporcionalidad para acreditar su legalidad. Volveré sobre este punto en el marco de la respuesta a la quinta cuestión prejudicial.
58.      En el presente procedimiento, como ya he explicado, el Gobierno estonio considera precisamente que la legislación controvertida protege los intereses de la seguridad nacional, pero que, al mismo tiempo, se adopta en aplicación del CECE. (28) En efecto, para justificar sus decisiones administrativas nacionales de tratar los equipos y programas informáticos en cuestión como de «alto riesgo» para la seguridad de su infraestructura de telecomunicaciones, el Gobierno estonio se basa en determinados instrumentos de Derecho indicativo de la Unión elaborados por la Comisión (29) y un grupo de cooperación de las agencias nacionales de seguridad. (30)
59.      Por lo tanto, existe una convergencia entre las preocupaciones en materia de seguridad nacional de Estonia y los requisitos de seguridad establecidos a nivel de la Unión.
60.      Este elemento distingue el presente asunto de la sentencia Ministrstvo za obrambo. (31) En dicho asunto, el Tribunal de Justicia consideró que determinadas categorías de actividades militares quedaban excluidas del ámbito de aplicación de la Directiva 2003/88/CE, relativa a determinados aspectos de la ordenación del tiempo de trabajo, (32) «cuando esas actividades son tan específicas que se oponen de manera concluyente y permanente al cumplimiento de las exigencias impuestas por dicha Directiva». (33)
61.      Sobre la base de lo anterior, propongo al Tribunal de Justicia que responda negativamente a la segunda cuestión prejudicial y declare que el artículo 4 TUE, apartado 2, y el artículo 1, apartado 3, letra c), del CECE deben interpretarse en el sentido de que una medida que exige la autorización de equipos y programas informáticos para el suministro de una red o servicio de comunicaciones electrónicas público o accesible al público no está excluida del ámbito de aplicación del CECE, aun cuando dicha medida haya sido adoptada con el fin de proteger los intereses de la seguridad nacional.
C.      Tercera cuestión prejudicial
62.      De mis respuestas a las cuestiones prejudiciales primera y segunda se desprende que la LCE y las decisiones impugnadas, que fueron adoptadas sobre la base de la LCE, están comprendidas en el ámbito de aplicación del CECE. Esto me lleva a la tercera cuestión prejudicial.
63.      Mediante su tercera cuestión prejudicial, el órgano jurisdiccional remitente pregunta, en esencia, si una medida nacional que exige una autorización previa para la utilización de equipos y programas informáticos constituye una restricción a la libertad de suministrar redes y servicios de comunicaciones electrónicas, en el sentido del artículo 12, apartado 1, del CECE.
64.      La demandante considera que procede responder afirmativamente a esta cuestión prejudicial. Alega que el artículo 12, apartado 1, del CECE obliga a los Estados miembros a que garanticen la libertad de suministrar servicios de comunicaciones electrónicas, lo que restringe el procedimiento de autorización establecido en la LCE. Los Gobiernos estonio, español, francés e italiano y la Comisión discrepan de esta posición. Aducen, en esencia, que el procedimiento de autorización previsto en la LCE constituye un requisito previo para la libertad de suministrar servicios de comunicaciones electrónicas, y no una restricción, ya que la libertad de suministrar servicios de comunicaciones electrónicas se entiende, en virtud del artículo 12, apartado 1, del CECE, «sin perjuicio de las condiciones establecidas en [dicha] Directiva». Arguyen además que, dado que la seguridad de las redes y de los servicios de comunicaciones electrónicas constituye una de esas condiciones, los Estados miembros pueden establecer legítimamente un procedimiento de autorización como el controvertido en el litigio principal. (34)
65.      De estas posturas se desprende que el Tribunal de Justicia dispone de dos opciones en cuanto a la calificación de la medida de autorización controvertida con arreglo al artículo 12, apartado 1, del CECE: i) como condición para el suministro de redes y servicios de comunicaciones electrónicas o ii) como restricción al suministro de dichas redes y servicios.
66.      En mi opinión, tal requisito constituye una restricción al suministro de tales redes y servicios, en el sentido del artículo 12, apartado 1, del CECE. Sin embargo, considero que esta restricción está justificada.
67.      A este respecto, cabe recordar las dos primeras frases del artículo 12, apartado 1, del CECE:
«Los Estados miembros garantizarán la libertad de suministrar redes y servicios de comunicaciones electrónicas, sin perjuicio de las condiciones establecidas en la presente Directiva. A tal fin, los Estados miembros no impedirán a una empresa el suministro de redes o servicios de comunicaciones electrónicas salvo cuando resulte necesario por los motivos enunciados en el artículo 52, apartado 1, del TFUE.» (35)
68.      Así, en principio, la base que se deriva de dicha disposición es que, con sujeción a determinadas condiciones, los Estados miembros deben permitir a las empresas suministrar redes y servicios de comunicaciones electrónicas.
69.      Además, los Estados miembros no pueden impedir que esas empresas ejerzan esa libertad mediante una restricción que no venga impuesta directamente por el propio CECE como condición para el suministro de dichas redes y servicios de comunicaciones electrónicas.
70.      Además de la obligación de integración negativa (es decir, la prohibición de las medidas de los Estados miembros que crean obstáculos a la libertad de suministrar redes y servicios de comunicaciones electrónicas), (36) el artículo 12, apartado 1, del CECE también reconoce la necesidad de una integración positiva (es decir, la armonización de la necesidad de garantizar la seguridad como condición para el suministro de redes y servicios de comunicaciones electrónicas).
71.      Sin embargo, aunque se exige que se garantice la seguridad de las redes y los servicios, no se produce una integración positiva en lo que respecta a la seguridad de dichas redes y servicios a escala de la Unión.
72.      El CECE no prevé medidas que garanticen dicha seguridad. Deja esta opción a los Estados miembros obligándoles a hacerlo, a través de sus artículos 40, apartado 1, y 41, apartado 1.
73.      En otras palabras, aunque, en virtud del CECE, la seguridad de las redes y servicios constituye una condición para el suministro de tales redes y servicios, la autorización previa para la utilización de equipos y programas informáticos en su suministro no lo es.
74.      A la inversa, es decir, si cualquier medida elegida por un Estado miembro para garantizar la seguridad de las redes y los servicios se caracterizara automáticamente como una condición para el buen funcionamiento del mercado interior de las redes y los servicios de comunicaciones electrónicas, ello significaría que los Estados miembros podrían crear fácilmente obstáculos a la libre circulación. (37)
75.      Este tipo de exclusión automática del control judicial en cuanto a su proporcionalidad de las medidas elegidas por los Estados miembros no estaría en consonancia con la intención del artículo 12, apartado 1, del CECE de evitar obstáculos a la libertad de suministrar redes y servicios de comunicaciones electrónicas.
76.      Por consiguiente, propongo una interpretación según la cual una medida nacional particular adoptada para garantizar la seguridad de las redes y de los servicios de un Estado miembro puede caracterizarse aún como una restricción a la libertad de suministrar tales redes y servicios, prohibida por el artículo 12, apartado 1, del CECE, aun cuando los Estados miembros estén obligados por esta Directiva a garantizar la seguridad de sus redes.
77.      Cualquier requisito de autorización previa para acceder al mercado interior se considera, en principio, un obstáculo a la libre circulación, ya sea de mercancías, (38) servicios (39) o capitales, (40) o a la libertad de establecimiento. (41) Un requisito de este tipo tiene siempre como consecuencia que una libertad resulte menos atractiva y que el acceso al mercado sea más difícil.
78.      A este respecto, es evidente que un procedimiento de autorización ex ante, como el controvertido en el presente asunto, que permite a las autoridades competentes prohibir el uso de determinados equipos y programas informáticos por su carácter «de alto riesgo», constituye una medida que, en principio, representa un obstáculo a la libre circulación de redes y servicios de comunicaciones electrónicas, dado que puede hacer menos atractivo o más difícil el acceso a dicho servicio o su ejercicio.
79.      Por consiguiente, tal medida está, en principio, prohibida por el artículo 12, apartado 1, del CECE.
80.      Por lo tanto, la legislación estonia controvertida puede restringir la libertad de suministrar redes y servicios de comunicaciones electrónicas, infringiendo el artículo 12, apartado 1, primera frase, del CECE.
81.      Dicho esto, en virtud del artículo 12, apartado 1, del CECE, tal medida puede estar justificada por uno de los motivos enumerados en el artículo 52 TFUE, apartado 1.
82.      El análisis de proporcionalidad resultante, que engloba consideraciones de seguridad nacional, es competencia del órgano jurisdiccional remitente. Dicho órgano jurisdiccional no ha solicitado orientación sobre este aspecto concreto del artículo 12, apartado 1, del CECE. Dicho esto, en relación con la respuesta que propongo que se dé a la quinta cuestión prejudicial, proporcionaré indicaciones que también pueden ser de utilidad al órgano jurisdiccional remitente a este respecto.
83.      Habida cuenta de las consideraciones anteriores, propongo al Tribunal de Justicia que responda afirmativamente a la tercera cuestión prejudicial: El artículo 12, apartado 1, del CECE debe interpretarse en el sentido de que un conjunto de disposiciones nacionales que exige la autorización de una autoridad administrativa para el uso de equipos y programas informáticos en el suministro de redes y servicios de comunicaciones electrónicas constituye una restricción a la libertad de suministrar tales redes y servicios en el sentido de dicha disposición. Tal restricción puede justificarse por razones previstas en el artículo 52 TFUE, apartado 1.
D.      Cuarta cuestión prejudicial
84.      El artículo 12, apartado 1, tercera frase, del CECE exige a los Estados miembros que justifiquen debidamente cualquier limitación de la libertad de suministro de redes y servicios de comunicaciones electrónicas y que notifiquen dicha limitación a la Comisión.
85.      A la luz de esta disposición, el órgano jurisdiccional remitente desea saber, mediante su cuarta cuestión prejudicial, qué consecuencias se derivan de la falta de notificación de una limitación del derecho previsto en el artículo 12, apartado 1, del CECE, como, en el presente asunto, un conjunto de disposiciones nacionales que exige una autorización ex ante para el uso de equipos y programas informáticos en las redes de comunicaciones electrónicas. Más importante aún, dicho órgano jurisdiccional pregunta si la omisión de tal notificación hace inaplicable esa medida.
86.      Según la demandante, la legislación controvertida no fue notificada a la Comisión. Por este motivo, el procedimiento de autorización previsto en la LCE no le es aplicable. Los Gobiernos estonio, español, francés e italiano y la Comisión, a los que se sumaron en la vista la TTJA y los Gobiernos alemán y finlandés, alegan que no era necesaria ninguna notificación dado que, en su opinión, el requisito de autorización derivado de la LCE no constituye una restricción, sino más bien una condición impuesta por el CECE para el suministro de redes y servicios de comunicaciones electrónicas.
87.      Contrariamente a esas posiciones, como ya he explicado en relación con la tercera cuestión prejudicial, a mi modo de ver, una medida de autorización ex ante, como la introducida en Estonia por la LCE, constituye una restricción a la libertad de suministro de redes y servicios de comunicaciones electrónicas. Por consiguiente, en mi opinión, este tipo de medida debía haberse notificado a la Comisión.
88.      No obstante, deseo señalar que de los autos no se desprende claramente si esta medida fue efectivamente notificada. Según el Gobierno estonio, en 2020 (42) se comunicó a la Comisión un proyecto de la LCE, incluido el marco de autorización, antes de su entrada en vigor en 2022. No obstante, la demandante pretende negar la existencia de tal notificación. Corresponde al órgano jurisdiccional remitente verificar si efectivamente fue así.
89.      Dicho esto, incluso si el Gobierno estonio no notificó a la Comisión el requisito legislativo de autorización previa, considero que el hecho de no haberlo hecho no da lugar a la inaplicabilidad de esa parte de la LCE en lo que respecta a la demandante; es decir, el efecto de la falta de notificación no es el mismo que se produciría en caso de que no se notificaran los requisitos técnicos con arreglo a la Directiva TRIS.
90.      En primer lugar, la Directiva TRIS excluye expresamente su aplicación del ámbito de las redes y servicios de comunicaciones electrónicas. Su artículo 1, apartado 3, establece que «no se aplicará a las normas relativas a cuestiones que son objeto de una normativa de la Unión en materia de servicios de telecomunicación, tal como los contempla la [Directiva predecesora del CECE]».
91.      A efectos de las reglas y normas técnicas relativas a las redes y servicios de comunicaciones electrónicas, el CECE constituye, por lo tanto, una lex specialis con respecto a la Directiva TRIS.
92.      En segundo lugar, como explica la Comisión, no puede establecerse ninguna analogía entre, por una parte, la falta de notificación con arreglo al artículo 12, apartado 1, del CECE, y, por otra parte, el incumplimiento del procedimiento de notificación establecido por la Directiva TRIS y la jurisprudencia pertinente, según la cual la falta de notificación de una norma técnica da lugar a su inaplicabilidad a los particulares. (43)
93.      Esto se debe a que, a diferencia de la Directiva TRIS, el artículo 12, apartado 1, del CECE no supedita la aplicabilidad de las condiciones relativas al suministro de redes y servicios de comunicaciones electrónicas a la aprobación de la Comisión o al transcurso de un plazo mínimo.
94.      Por consiguiente, la falta de notificación de una limitación a la libertad de suministrar redes y servicios de comunicaciones electrónicas con arreglo al artículo 12, apartado 1, del CECE no implica la imposibilidad de aplicar a la demandante el procedimiento de autorización previsto por la LCE.
95.      Por las razones expuestas, propongo al Tribunal de Justicia que responda a la cuarta cuestión prejudicial que la falta de notificación a la Comisión de una limitación a la libertad de suministrar redes de comunicaciones electrónicas, en el sentido del artículo 12, apartado 1, del CECE, no implica la inaplicabilidad de la normativa nacional no notificada.
E.      Quinta cuestión prejudicial
96.      La quinta cuestión prejudicial, tal como ha sido planteada, se refiere a las medidas nacionales que restringen la libre circulación de mercancías, tal como está prevista en el artículo 34 TFUE, pero que pueden justificarse sobre la base del artículo 36 TFUE. Esta cuestión se planteó al Tribunal de Justicia a condición de que considere que el CECE no es aplicable.
97.      Sin embargo, como he explicado, considero que el CECE es aplicable en el presente asunto. Por consiguiente, en principio, no procede que el Tribunal de Justicia responda a la quinta cuestión prejudicial.
98.      Dicho esto, en esencia, la respuesta a esta cuestión tal como se ha planteado sería de utilidad al órgano jurisdiccional remitente en su decisión sobre si las medidas controvertidas introducidas sobre la base de la LCE pueden estar justificadas con arreglo al artículo 12, apartado 1, del CECE, en virtud del cual constituyen una restricción.
99.      Dado que el Tribunal de Justicia tiene la posibilidad de reformular una cuestión que se le ha planteado de una manera que considere útil para la resolución del litigio ante el órgano jurisdiccional remitente, le propongo que lo haga en el presente asunto. (44)
100. Así pues, la quinta cuestión prejudicial, tal como ha sido reformulada, tiene por objeto que se dilucide si es compatible con el artículo 12, apartado 1, del CECE y con el principio de proporcionalidad que, en aras de la seguridad nacional, la legislación nacional exija a las empresas de comunicaciones obtener una autorización para utilizar equipos y programas informáticos en sus redes de comunicaciones, sin que la autoridad administrativa, al evaluar la existencia de un riesgo elevado en dichos equipos y programas informáticos, deba: a) comprobar si los riesgos asociados al fabricante se extienden al equipo y programa informático concreto; b) valorar la funcionalidad, la localización y el significado del equipo y programa informático concreto en el marco del suministro de un servicio de comunicaciones electrónicas, ni c) comprobar si los problemas vinculados al Estado donde tiene su sede el fabricante se extienden también a este.
101. A este respecto, es importante destacar que el órgano jurisdiccional remitente no pretende obtener una respuesta en cuanto a la proporcionalidad de las decisiones impugnadas adoptadas sobre la base de la LCE. Más bien, dicho órgano jurisdiccional solicita orientación sobre si el procedimiento de autorización regulado por la LCE, en el que se basan las decisiones impugnadas, puede estar justificado si no impone a las autoridades competentes la obligación de evaluar primero si el riesgo para la seguridad nacional es real, antes de denegar la solicitud de autorización por esos motivos. Solo si se considera que la LCE es válida desde este punto de vista se plantea la cuestión de si la forma en que se ha aplicado es proporcionada.
102. Una medida que constituye una restricción a la libertad de suministro de redes y servicios de comunicaciones electrónicas, en el sentido del artículo 12, apartado 1, del CECE, puede estar justificada por las razones expuestas en el artículo 52 TFUE, apartado 1; es decir, el orden público y la seguridad y la salud públicas.
103. En el presente asunto, el Gobierno estonio justifica la limitación introducida por la LCE por razones de seguridad nacional (en el sentido de la seguridad de su infraestructura de telecomunicaciones) y por el hecho de que dichas medidas aplican el CECE, más concretamente sus artículos 40, apartado 1, y 41, apartado 1.
104. No se discute que la seguridad de las redes de comunicación reviste una importancia considerable en las sociedades democráticas contemporáneas: una infraestructura de telecomunicaciones segura y fiable no solo es necesaria para el ejercicio efectivo de una serie de derechos fundamentales y valores de la Unión, incluido el valor de la democracia y la libertad de expresión, sino que también garantiza la estabilidad social, dado que la influencia en la infraestructura de telecomunicaciones de un Estado miembro, o su perturbación, puede afectar a otros sectores de la economía y a la vida cotidiana de los ciudadanos de la Unión en general. (45)
105. Ha de observarse asimismo que el Tribunal de Justicia ya ha reconocido que la seguridad de la infraestructura de telecomunicaciones de un Estado miembro puede constituir un elemento de la seguridad pública de un Estado. (46)
106. Además, el CECE persigue el objetivo de garantizar la seguridad de las redes y servicios de comunicaciones electrónicas y, a tal fin, en virtud de los artículos 40, apartado 1, y 41, apartado 1, obliga a los Estados miembros a garantizar la seguridad de sus redes y servicios de comunicaciones electrónicas. (47)
107. No obstante, aunque la seguridad de la red de comunicaciones electrónicas de un Estado miembro y de sus servicios se reconozca como un interés fundamental de la sociedad tanto a nivel de los Estados miembros como de la Unión, y, por lo tanto, pueda invocarse como justificación para restringir la libertad de suministrar dichos servicios y redes, tal restricción solo puede imponerse si el riesgo para dicho interés es real, actual y suficientemente grave en el caso concreto. (48)
108. A este respecto, un Estado miembro no puede justificar tal restricción invocando únicamente razones de seguridad nacional. (49)
109. Por el contrario, la legislación que permite tal restricción, en el presente asunto la LCE, debe obligar a las autoridades competentes, en el presente caso la TTJA y el KJN, a evaluar si el equipo concreto en cuestión representa realmente tal riesgo para la seguridad de la red nacional de telecomunicaciones.
110. Si bien esta evaluación puede ser diferente en lo que respecta a los riesgos procedentes de terceros Estados o de sus proveedores, (50) no puede basarse en una sospecha general; (51) por el contrario, debe incluir una evaluación específica del uso al que se destina dicho equipo y de los riesgos asociados al mismo. Este análisis puede implicar, por ejemplo, riesgos relacionados con el tipo de equipo en cuestión, el fabricante de dicho equipo o el Estado en el que está establecido dicho fabricante. (52)
111. En estas circunstancias, procede responder a la quinta cuestión prejudicial planteada por el órgano jurisdiccional remitente que el artículo 12, apartado 1, del CECE exige que una legislación nacional que impone un requisito de autorización previa para la utilización de equipos y programas informáticos con el fin de proteger la seguridad de las redes y de los servicios de comunicaciones electrónicas obligue a los organismos facultados para decidir la concesión de tal autorización a apreciar si los equipos y programas informáticos en cuestión, cuya utilización se solicita, presentan un riesgo real para la seguridad de la red, lo que puede incluir la toma en consideración de la utilización a la que están destinados tales equipos, del hecho de si los riesgos vinculados al Estado donde tiene su sede el fabricante se extienden también a este y de si los riesgos asociados al fabricante se extienden a los equipos y programas informáticos específicos.
112. Según entiendo, extremo que corresponde comprobar al órgano jurisdiccional remitente, la LCE establece criterios precisos sobre cuya base las autoridades nacionales competentes pueden concluir que existe un riesgo para la seguridad nacional. A tal efecto, parece que se tiene en cuenta, entre otras cosas, la existencia de una amenaza relacionada con el fabricante y el tercer país donde este tiene su sede. (53)
113. Al examinar las decisiones impugnadas, el órgano jurisdiccional nacional deberá apreciar si dichos criterios se tuvieron efectivamente en cuenta al evaluar los riesgos en la situación concreta del presente asunto, dando lugar a la limitación temporal del permiso de uso.
114. Dado que ello requiere un profundo conocimiento de los aspectos técnicos, políticos y de seguridad relacionados con una situación concreta, el Tribunal de Justicia no puede apreciar la existencia de un riesgo en relación con un fabricante específico, su equipo o el uso de dicho equipo. No obstante, cuando se solicite a un órgano jurisdiccional nacional que controle las medidas por las que se prohíbe el uso de determinados equipos y programas informáticos por motivos de seguridad nacional, las autoridades competentes deben poder proporcionar explicaciones razonables de los motivos por los que se ha detectado tal riesgo; (54) cuando sea necesario, esto puede requerir el uso de técnicas judiciales diferentes. (55)
115. Cuando, como en el presente asunto, existe una convergencia entre los intereses de seguridad de que se trata a escala de la Unión y nacional, al llevar a cabo el control jurisdiccional de la medida controvertida un órgano jurisdiccional nacional también puede tomar en consideración las evaluaciones de riesgos efectuadas por las instituciones y órganos de la Unión, así como por otros órganos nacionales.
116. A este respecto, una serie de documentos invocados por el Gobierno estonio podrían ser pertinentes para la apreciación del órgano jurisdiccional remitente: dicho Gobierno hace referencia, en particular, a la Recomendación de la Comisión sobre ciberseguridad de 2019, a la Evaluación de riesgos coordinada y al Conjunto de instrumentos 5G (56) del Grupo de Cooperación SRI, (57) así como a la Comunicación de la Comisión sobre la aplicación del conjunto de instrumentos 5G.
117. Si bien estos documentos constituyen elementos de Derecho indicativo no vinculantes para los Estados miembros, establecen una evaluación de riesgos coordinada por parte de las autoridades competentes a escala nacional y de la Unión, sobre cuya base la Comisión identificó, en particular, que los aparatos producidos por el fabricante de los equipos y programas informáticos en cuestión presentaban «riesgos sustancialmente más altos que otros proveedores de 5G» y que, debido a «estos graves riesgos, […] la Comisión considera que las decisiones adoptadas por los Estados miembros en el sentido de aplicar restricciones o excluir a Huawei […] están justificadas y son conformes con el conjunto de instrumentos de la UE para la seguridad de las redes 5G». (58)
118. Según la Comunicación de la Comisión sobre la aplicación del conjunto de instrumentos 5G, esta conclusión se basa, en particular, en el hecho de que existe un «vínculo entre [dicho] proveedor y el gobierno de un tercer país determinado, la legislación del tercer país y las características de la propiedad corporativa del proveedor». (59)
119. El Gobierno estonio explica que sus autoridades competentes tuvieron en cuenta esta evaluación y que, en virtud de esta identificación común de los riesgos tanto a nivel de la Unión como de los Estados miembros, consideraron necesario limitar la exposición a los equipos procedentes, en particular, de Huawei, proveedor de los equipos y programas informáticos en cuestión, en el suministro de redes y servicios de comunicaciones electrónicas.
120. Por consiguiente, me parece razonable concluir que la LCE y las decisiones impugnadas, que se adoptaron sobre su base, a pesar de constituir una restricción a la libertad de suministrar redes y servicios de comunicaciones electrónicas, persiguen un objetivo legítimo: el de la prevención de un riesgo real para la seguridad de las redes. No obstante, corresponde al órgano jurisdiccional remitente apreciar este extremo.
F.      Sexta cuestión prejudicial
121. Del expediente nacional se desprende que los equipos y programas informáticos en cuestión fueron utilizados por la demandante para la funcionalidad 2G-4G con el fin de suministrar redes y servicios de comunicaciones electrónicas antes de las decisiones impugnadas. De las explicaciones de la demandante también se desprende que había adquirido equipos para la funcionalidad 5G con el fin de incluirlos en su red periférica antes de la introducción del requisito de autorización en la LCE. Por último, de la resolución del órgano jurisdiccional remitente y de las explicaciones de las partes se desprende que las decisiones impugnadas permitían el uso de los equipos y programas informáticos en cuestión durante un período inferior a la vida útil de dichos aparatos.
122. A este respecto, mediante su sexta cuestión prejudicial, el órgano jurisdiccional remitente pregunta si, habida cuenta de estas circunstancias, las decisiones impugnadas implican una privación de la propiedad en el sentido del artículo 17, apartado 1, segunda frase, de la Carta, en cuyo caso la demandante podría tener derecho a una indemnización adecuada.
123. La demandante considera que este es el caso. Aduce que el régimen de autorización en cuestión da lugar a una privación injustificada de la propiedad. Asimismo, considera que una modificación repentina del régimen legislativo que regula la utilización de los equipos y programas informáticos en cuestión, que introduce un requisito de autorización de uso y conlleva la prohibición de utilizar los equipos y programas informáticos que la demandante ha adquirido legalmente de un fabricante determinado, está excluida por el artículo 17, apartado 1, de la Carta, a menos que se establezca una indemnización justa y adecuada.
124. Según la Comisión y los Gobiernos estonio, español, alemán, francés, italiano, sueco y finlandés, el marco que rodea a la medida de autorización controvertida constituye un tipo de regulación del uso de los bienes en el sentido del artículo 17, apartado 1, tercera frase, de la Carta. Por lo tanto, las decisiones impugnadas no supusieron una privación de la propiedad de la demandante sobre los equipos y programas informáticos en cuestión, ya sea de facto o de iure. Estas partes consideran, además, que dicha regulación de la propiedad a la luz de las preocupaciones de seguridad nacional y pública de Estonia constituye una restricción proporcionada de ese derecho, dado que las autoridades estonias han previsto un período transitorio suficientemente largo.
125. A tenor del artículo 17, apartado 1, de la Carta, «toda persona tiene derecho a disfrutar de la propiedad de los bienes que haya adquirido legalmente, a usarlos, a disponer de ellos y a legarlos. Nadie puede ser privado de su propiedad más que por causa de utilidad pública, en los casos y condiciones previstos en la ley y a cambio, en un tiempo razonable, de una justa indemnización por su pérdida. El uso de los bienes podrá regularse por ley en la medida en que resulte necesario para el interés general».
126. El Tribunal de Justicia ha afirmado que esta disposición contiene tres normas distintas. Ha explicado que «la primera, que figura en la primera frase de dicha disposición y tiene carácter general, concreta el principio del respeto de la propiedad. La segunda, que figura en la segunda frase de esta disposición, se refiere a la privación de la propiedad y la somete a determinadas condiciones. En cuanto a la tercera, que figura en la tercera frase de la misma disposición, reconoce a los Estados miembros la facultad de regular el uso de los bienes en la medida que resulte necesario para el interés general. Sin embargo, estas reglas no carecen de relación entre ellas. En efecto, las reglas segunda y tercera se refieren a ejemplos concretos de vulneración del derecho de propiedad y deben interpretarse a la luz del principio consagrado en la primera de dichas reglas». (60)
127. De la jurisprudencia del Tribunal de Justicia también se desprende que la protección que confiere el artículo 17, apartado 1, de la Carta es amplia y abarca, además de los bienes con valor económico, los intereses relacionados con la explotación de una licencia o permiso de uso. (61)
128. En el procedimiento principal, las decisiones impugnadas se refieren a una solicitud de autorización para utilizar determinados equipos y programas informáticos en el suministro de redes y servicios de comunicaciones electrónicas. Dicha solicitud fue concedida solo en parte y hasta el plazo máximo posible establecido en la LCE: a saber, para la funcionalidad 2G-4G hasta el 31 de diciembre de 2029 y para la funcionalidad 5G hasta el 31 de diciembre de 2025.
129. Por consiguiente, puesto que no hubo injerencia en el contenido esencial de dicha propiedad, la demandante no se vio privada de ella. (62) Por el contrario, las decisiones impugnadas constituyen una limitación del uso de los bienes de la demandante en el sentido del artículo 17, apartado 1, tercera frase, de la Carta. (63)
130. En tal caso, la demandante no tiene, en principio, derecho a indemnización.
131. Dicho esto, la limitación del uso de los bienes solo es posible en la medida en que sea necesaria para el interés general. A efectos del presente asunto, esta apreciación será similar a la requerida para justificar una injerencia en la libertad de suministrar redes y servicios de comunicaciones electrónicas con arreglo al artículo 12, apartado 1, del CECE.
132. Sin embargo, el órgano jurisdiccional remitente no ha solicitado orientaciones sobre cómo llevar a cabo dicha apreciación de la proporcionalidad.
133. No obstante, ha de observarse que uno de los aspectos que el órgano jurisdiccional remitente debería tener en cuenta en el presente asunto es si la duración del período durante el cual se autorizó a la demandante a seguir utilizando los equipos y programas informáticos en cuestión, situado en el contexto de la duración del período que le permitió prepararse para dicho cambio normativo, era suficiente.
134. Esto se debe a que la medida de autorización en cuestión, junto con los estrictos períodos máximos de uso, afecta considerablemente a las inversiones realizadas antes de la introducción de estas modificaciones legislativas. (64)
135. Por consiguiente, el órgano jurisdiccional remitente debe apreciar si la totalidad del período durante el cual la demandante podría haberse preparado para adaptarse a la nueva situación jurídica, desde el momento en que se propusieron las modificaciones pertinentes de la LCE hasta el final del período máximo de uso de los equipos y programas informáticos en cuestión, tuvo una duración suficiente. Si considera que no ha sido así, deberá estudiarse un sistema de compensación razonable del perjuicio sufrido. (65)
136. Por último, al apreciar la proporcionalidad de las decisiones impugnadas, el órgano jurisdiccional remitente debe tener en cuenta la gravedad de la injerencia en el derecho fundamental en cuestión y la importancia del objetivo perseguido, (66) así como otros intereses, como los intereses de los destinatarios de las redes y servicios de comunicaciones electrónicas en la seguridad y protección de dichas redes y servicios y el riesgo de mercado que un competidor prudente y diligente que operara en el mismo mercado habría asumido en relación con los equipos y programas informáticos en cuestión. (67)
137. Si el órgano jurisdiccional remitente considera que la carga impuesta a la demandante era desproporcionada, aunque fuera necesaria, podría ser adecuado, como se ha explicado, recurrir a una indemnización justa.
138. Sobre la base de las consideraciones anteriores, propongo al Tribunal de Justicia que responda a la sexta cuestión prejudicial que una limitación del uso de equipos o programas informáticos que ya estaban presentes en una red de comunicaciones electrónicas antes de la introducción de un requisito de autorización de uso en virtud de la cual el uso se concede por un período inferior a la vida útil de dichos equipos o programas informáticos no constituye una privación de la propiedad en el sentido del artículo 17, apartado 1, segunda frase, de la Carta.
IV.    Conclusión
139. Propongo al Tribunal de Justicia que responda a las cuestiones prejudiciales planteadas por el Tallinna Halduskohus (Tribunal de lo Contencioso-Administrativo de Tallin, Estonia) del siguiente modo:
«1)      La Directiva (UE) 2018/1972 del Parlamento Europeo y del Consejo, de 11 de diciembre de 2018, por la que se establece el Código Europeo de las Comunicaciones Electrónicas,
debe interpretarse en el sentido de que comprende un conjunto de disposiciones nacionales que, a fin de garantizar la seguridad de la red nacional de comunicaciones electrónicas y de sus servicios, exige que un operador que desee suministrar tal red y servicio obtenga una autorización para utilizar equipos y programas informáticos en su red de comunicaciones.
2)      El artículo 4 TUE, apartado 2, y el artículo 1, apartado 3, letra c), de la Directiva 2018/1972
deben interpretarse en el sentido de que una medida que exige la autorización de equipos y programas informáticos para el suministro de una red o servicio de comunicaciones electrónicas público o accesible al público no está excluida del ámbito de aplicación de la Directiva 2018/1972, aun cuando dicha medida haya sido adoptada con el fin de proteger los intereses de la seguridad nacional.
3)      El artículo 12, apartado 1, de la Directiva 2018/1972
debe interpretarse en el sentido de que
un conjunto de disposiciones nacionales que exige la autorización de una autoridad administrativa para el uso de equipos y programas informáticos en el suministro de redes y servicios de comunicaciones electrónicas constituye una restricción a la libertad de suministrar tales redes y servicios en el sentido de dicha disposición.
Tal restricción puede justificarse por razones previstas en el artículo 52 TFUE, apartado 1.
4)      El artículo 12, apartado 1, de la Directiva 2018/1972
debe interpretarse en el sentido de que la falta de notificación a la Comisión Europea de una limitación a la libertad de suministrar redes de comunicaciones electrónicas no implica la inaplicabilidad de la normativa nacional no notificada.
5)      El artículo 12, apartado 1, de la Directiva 2018/1972 y el principio de proporcionalidad
deben interpretarse en el sentido de que exigen que una legislación nacional que impone un requisito de autorización previa para la utilización de equipos y programas informáticos, con el fin de proteger la seguridad de las redes y de los servicios de comunicaciones electrónicas, obligue a los organismos facultados para decidir la concesión de tal autorización a apreciar si los equipos y programas informáticos en cuestión, cuya utilización se solicita, presentan un riesgo real para la seguridad de la red, lo que puede incluir la toma en consideración de la utilización a la que están destinados tales equipos, del hecho de si los riesgos vinculados al Estado donde tiene su sede el fabricante se extienden también a este y de si los riesgos asociados al fabricante se extienden a los equipos y programas informáticos específicos.
6)      Una limitación del uso de equipos o programas informáticos que ya estaban presentes en una red de comunicaciones electrónicas antes de la introducción de un requisito de autorización de uso en virtud de la cual el uso se concede por un período inferior a la vida útil de dichos equipos o programas informáticos no constituye una privación de la propiedad en el sentido del artículo 17, apartado 1, segunda frase, de la Carta de los Derechos Fundamentales de la Unión Europea.»
1      Lengua original: inglés.
2      Directiva del Parlamento Europeo y del Consejo, de 11 de diciembre de 2018, por la que se establece el Código Europeo de las Comunicaciones Electrónicas (DO 2018, L 321, p. 36).
3      Véase, en este sentido, Sendin, A., Sanchez-Fornie, M. A, Berganza, I., Simon, J., Irritoa. I., Telecommunication Networks for the Smart Grid, Artech House, Boston, 2016, p. 176. Debido a su importancia fundamental para la infraestructura de telecomunicaciones en su conjunto, la red básica se denomina a veces «columna vertebral» o «cerebro» de una red móvil. Véase, en general, sobre este punto, el Centro de Excelencia para la Ciberdefensa Cooperativa de la OTAN, que ha descrito la red básica como «fundamental infrastructure and therefore … an essential national interest, bearing national security implications» («una infraestructura fundamental y, por lo tanto, […] un interés nacional esencial, con implicaciones para la seguridad nacional») (traducción no oficial). Véase Centro de Excelencia para la Ciberdefensa Cooperativa de la OTAN, Kaska, K., Beckvard, H. y Minárik, T., Huawei, 5G and China as a Security Threat, 2019, p. 15, disponible en: https://ccdcoe.org/uploads/2019/03/CCDCOE-Huawei-2019‑03‑28-FINAL.pdf.
4      Véase, por ejemplo, en Alemania, la Oficina Federal de Seguridad de la Información, «5G Risk Analysis, Framework Document: Methodology, Risk Scenarios and Results», 2025, p. 21, que explica que «the Radio Access Network (RAN) contains 5G base stations … with a radio interface … that provides connectivity for mobile devices» [«la red de acceso radioeléctrico (RAN) contiene estaciones base 5G […] con una interfaz radioeléctrica […] que garantiza la conectividad de los dispositivos móviles»] (traducción no oficial), disponible en: https://www.bsi.bund.de/SharedDocs/Downloads/EN/BSI/Publications/Studies/5G/5G_Framework_Document.pdf?__blob=publicationFile&v= 4).
5      En algunos Estados miembros, las redes 2G y 3G ya están en proceso de desconexión: véase, por ejemplo, en el caso de Irlanda, Commission for Communications Regulation, «2G/3G Switch off: Guidance for Mobile Network Operators», ComReg 24/61, 30 de julio de 2024, disponible en: https://www.comreg.ie/media/2024/07/ComReg-2461.pdf.
6      La Comisión ya expresó esta posición en 2016, desarrollándola más tarde. Véase la Comunicación de la Comisión al Parlamento Europeo, al Consejo, al Comité Económico y Social Europeo y al Comité de las Regiones, «La 5G para Europa: un plan de acción», COM(2016) 588 final, p. 4, en la que la Comisión explica que «un ambicioso calendario de introducción de la 5G es esencial para que Europa tenga una posición de liderazgo y para aprovechar rápidamente las nuevas oportunidades del mercado que permite la 5G, no solo en el sector de las telecomunicaciones, sino en el conjunto de la economía y la sociedad.»
7      En el punto 2, letra a), de la Recomendación de la Comisión (UE) 2019/534, de 26 de marzo de 2019, Ciberseguridad de las redes 5G (DO 2019, L 88, p. 42), la Comisión define las «redes 5G» como «el conjunto de todos los elementos de la infraestructura de red pertinentes para las tecnologías de las comunicaciones móviles e inalámbricas utilizados en los servicios de conectividad y de valor añadido con características de alto rendimiento, tales como capacidades y velocidades de datos muy elevadas, comunicaciones de baja latencia, fiabilidad ultraelevada o soporte de un elevado número de dispositivos conectados. Pueden incluir elementos de la red preexistentes basados en generaciones anteriores de tecnologías de las comunicaciones móviles e inalámbricas, como 4G o 3G. Se entiende que las redes 5G incluyen todas las partes pertinentes de la red.»
8      Véase, por ejemplo, el Informe Especial del Tribunal de Cuentas Europeo de 2022, en el que se afirma que «se calcula que, al final de 2018, había 22 000 millones de dispositivos conectados en uso en todo el mundo [y que] está previsto que esta cifra aumente hasta unos 50 000 millones de aquí a 2030, lo que creará una enorme red de dispositivos interconectados que abarcarán desde los teléfonos inteligentes hasta los electrodomésticos de cocina. Se prevé que el consumo mundial de datos pase de 12 exabytes de tráfico de datos móviles al mes en 2017 a más de 5 000 exabytes en 2030.» Véase Tribunal de Cuentas Europeo, «Despliegue de la tecnología 5G en la UE: Retrasos en el despliegue de redes y problemas de seguridad que siguen sin resolverse», Informe Especial 03/2022, Oficina de Publicaciones de la Unión Europea, Luxembourgo, 2022, p. 7, disponible en: https://www.eca.europa.eu/Lists/ECADocuments/SR22_03/SR_Security-5G-networks_ES.pdf.
9      Procede señalar que, si bien en la resolución de remisión y en las observaciones de la demandante se establece el 23 de marzo de 2022 como fecha en la que la demandante solicitó la autorización, según las observaciones del Gobierno estonio y partes del expediente nacional, incluida la Decisión n.º 1‑7/22‑436 de 25 de noviembre de 2022 del TTJA, dicha solicitud se data al 18 de marzo de 2022.
10      Una traducción al inglés de este texto puede consultarse en: https://www.riigiteataja.ee/en/eli/ee/Riigikogu/act/528102025002/consolide.
11      Estos doce criterios son los siguientes: «1) el fabricante o el proveedor de servicios de mantenimiento o asistencia tiene su domicilio social o administración central en un país […] que no es un Estado miembro de la Unión Europea, de la Organización del Tratado del Atlántico Norte [(OTAN)] o la Organización para la Cooperación y el Desarrollo Económicos [(OCDE]; 2) en el país en el que el fabricante o el proveedor de servicios de mantenimiento o asistencia tiene su domicilio no se observan los principios del Estado de Derecho democrático y no se respetan los derechos humanos; 3) en el país en el que el fabricante o el proveedor de servicios de mantenimiento o asistencia tiene su domicilio no se respetan la propiedad intelectual, los datos personales o los secretos comerciales de personas de otros países; 4) el país en el que el fabricante o el proveedor de servicios de mantenimiento o asistencia tiene su domicilio muestra un comportamiento agresivo en el ciberespacio; 5) los Estados miembros de la Unión Europea, de la OTAN o de la OCDE han atribuido ciberataques al país en el que el fabricante o el proveedor de servicios de mantenimiento o asistencia tiene su domicilio; 6) el fabricante o el proveedor de servicios de mantenimiento o asistencia está sujeto al gobierno o a la autoridad estatal del país de domicilio u otro país extranjero que no tiene control judicial independiente; 7) el país en el que el fabricante o el proveedor de servicios de mantenimiento o asistencia tiene su domicilio u otro país extranjero puede obligarlo a actual de un modo que suponga un riesgo para la seguridad nacional de Estonia; 8) las actividades económicas del fabricante o el proveedor de servicios de mantenimiento o asistencia no se basan en la competencia en el mercado o no se han creado condiciones adecuadas para ello en el país de domicilio; 9) la estructura de propiedad, organizativa o de gestión del fabricante o el proveedor de servicios de mantenimiento o asistencia no es transparente; 10) la financiación del fabricante o el proveedor de servicios de mantenimiento o asistencia no es transparente; 11) los productos o servicios del fabricante o el proveedor de servicios de mantenimiento o asistencia incluyen vulnerabilidades y no se han implementado medidas de seguridad adecuadas para eliminarlas; 12) el fabricante o el proveedor de servicios de mantenimiento o asistencia no puede garantizar las entregas continuadas de productos o servicios, excepto en caso de fuerza mayor.»
12      Según el tenor del artículo 1965 de la LCE, esto abarca «la 5G no autónoma o una norma de red de comunicaciones móviles de nueva generación.»
13      Según entiendo del texto del artículo 1965 de la LCE, después del 31 de diciembre de 2025 no se concederá ninguna autorización futura para la tecnología 5G de la que se haya comprobado que supone un riesgo para la seguridad nacional, mientras que se podrá solicitar una autorización para seguir utilizando equipos y programas informáticos 2G, 3G y 4G, incluso en los casos en que se haya determinado que existe un riesgo para la seguridad nacional, después del 31 de diciembre de 2029.
14      Según el artículo 873, apartado 2, de la LCE, el equipo o programa informático utilizado en una red de comunicaciones puede poner en peligro la seguridad nacional debido al alto riesgo que supone el fabricante o proveedor de servicios de mantenimiento o asistencia (punto 1) o debido al riesgo que suponen las características técnicas o la configuración del equipo o de los programas informáticos (punto 2).
15      Véase la nota 11 de las presentes conclusiones. En la vista, el Gobierno estonio explicó que los ejemplos de los tipos de riesgos identificados se referían al potencial de espionaje, al uso ilegal de información y datos y a la perturbación de servicios importantes.
16      Directiva del Parlamento Europeo y del Consejo, de 9 de septiembre de 2015, por la que se establece un procedimiento de información en materia de reglamentaciones técnicas y de reglas relativas a los servicios de la sociedad de la información (DO 2015, L 241, p. 1).
17      Véase, a tal efecto, el artículo 1, apartado 1, del CECE. En esta medida, el CECE refunde una serie de actos que se adoptaron como un paquete en marzo de 2002 y que anteriormente regulaban la comunicación electrónica con el fin de adaptar el marco regulador a la evolución tecnológica y del mercado. Véase, en este sentido, la sentencia de 27 de febrero de 2025, T — 2 (C‑562/23, EU:C:2025:126), apartado 37 y jurisprudencia citada.
18      Como indica el considerando 5 del CECE, la libertad de suministrar redes y servicios de comunicaciones electrónicas debe estar sujeta únicamente a las condiciones establecidas en dicha Directiva.
19      Véase el artículo 2, apartado 1, del CECE.
20      El subrayado es mío.
21      Véase el artículo 2, apartado 1, del CECE.
22      Véase el artículo 2, apartado 4, del CECE.
23      El concepto de «red de comunicaciones electrónicas» se define en el artículo 2, apartado 1, del CECE como: «los sistemas de transmisión, se basen o no en una infraestructura permanente o en una capacidad de administración centralizada, y, cuando proceda, los equipos de conmutación o encaminamiento y demás recursos, incluidos los elementos de red que no son activos, que permitan el transporte de señales mediante cables, ondas hertzianas, medios ópticos u otros medios electromagnéticos con inclusión de las redes de satélites, redes fijas (de conmutación de circuitos y de paquetes, incluido internet) y móviles, sistemas de tendido eléctrico, en la medida en que se utilicen para la transmisión de señales, redes utilizadas para la radiodifusión sonora y televisiva y redes de televisión por cable, con independencia del tipo de información transportada.»
24      Véanse, en este sentido, las sentencias de 5 de junio de 2019, Skype Communications (C‑142/18, EU:C:2019:460), apartado 49, y de 13 de junio de 2019, Google (C‑193/18, EU:C:2019:498), apartados 34, 35 y 41.
25      El artículo 4 TUE, apartado 2, se refiere a la «seguridad nacional», mientras que el artículo 1, apartado 3, letra c), del CECE utiliza los términos «orden público» y «seguridad pública». Sin embargo, por ejemplo, el considerando 6 del CECE utiliza la expresión «intereses esenciales de seguridad» además de las referencias al «orden público» y a la «seguridad pública» dentro de la formulación «sin perjuicio». Dado que no hay nada en el propio texto del CECE ni en su objetivo ni en sus trabajos preparatorios que permita considerar las cosas de otro modo [véase la Propuesta de Directiva del Parlamento Europeo y del Consejo por la que se establece el Código Europeo de las Comunicaciones Electrónicas (COM(2016) 590 final 2)], soy de la opinión de que la terminología utilizada en el texto del artículo 1, apartado 3, letra c), del CECE debe entenderse en el sentido de que incluye los conceptos de «seguridad nacional» o «intereses esenciales de seguridad». Esto también estaría en consonancia con la redacción utilizada en la Directiva predecesora del CECE, que, en sus considerandos (aunque sin un artículo específico a tal efecto), ya contenía tal redacción. Véase el considerando 7 de la Directiva 2002/21/CE del Parlamento Europeo y del Consejo, de 7 de marzo de 2002, relativa a un marco regulador común de las redes y los servicios de comunicaciones electrónicas (Directiva Marco) (DO 2002, L 108, p. 33).
26      Véanse, por ejemplo, las sentencias de 26 de octubre de 1999, Sirdar (C‑273/97, EU:C:1999:523), apartado 15; de 6 de octubre de 2020, Privacy International (C‑623/17, EU:C:2020:790), apartado 44 y jurisprudencia citada, y de 15 de julio de 2021, Ministrstvo za obrambo (C‑742/19, EU:C:2021:597), apartado 40 y jurisprudencia citada.
27      Véase, recientemente, la sentencia de 29 de julio de 2024, protectus (C‑185/23, EU:C:2024:657), apartado 62 y jurisprudencia citada.
28      En este sentido, el presente procedimiento constituye un ejemplo interesante de la «segurización» del Derecho de la Unión. Sobre el desarrollo de un «duopolio de seguridad» entre los Estados miembros y las instituciones políticas de la Unión, en el que las orientaciones políticas transforman las acciones a nivel nacional y de la Unión, véase Pilniok, A., «Governance of the European Security Union», en Dietrich, J.-H. y Pilniok, A., European Security Union: Law and Policies, Beck/Hart/Nomos, 2024, pp. 18 y 19.
29      Véanse, en particular, la Recomendación sobre ciberseguridad de 2019 y la Comunicación de la Comisión titulada «Aplicación del conjunto de instrumentos de ciberseguridad 5G», C(2023) 4049 final (en lo sucesivo, «Comunicación sobre la aplicación del conjunto de instrumentos 5G»).
30      Véanse Grupo de Cooperación SRI, Evaluación de riesgos coordinada de la UE de la ciberseguridad de las redes 5G, octubre de 2019, disponible en: https://digital-strategy.ec.europa.eu/en/news/eu-wide-coordinated-risk-assessment-5g-networks-security (en lo sucesivo, «Evaluación de riesgos coordinada»), y Grupo de Cooperación SRI, Ciberseguridad de las redes 5G — Conjunto de instrumentos de la UE: medidas de mitigación de riesgos, enero de 2020, disponible en: https://digital-strategy.ec.europa.eu/en/library/cybersecurity-5g-networks-eu-toolbox-risk-mitigating-measures (en lo sucesivo, «Conjunto de instrumentos 5G»).
31      Sentencia de 15 de julio de 2021 (C-742/19, EU:C:2021:597).
32      Directiva del Parlamento Europeo y del Consejo, de 4 de noviembre de 2003 (DO 2003, L 299, p. 9.)
33      Véase la sentencia de 15 de julio de 2021, Ministrstvo za obrambo (C‑742/19, EU:C:2021:597), apartado 75.
34      El Gobierno francés subraya asimismo que no es evidente que un sistema de autorización previa para los equipos y programas informáticos, como el controvertido en el litigio principal, afecte a la posibilidad de suministrar tales redes o servicios. En su opinión, este sistema no exige en modo alguno a los operadores de telecomunicaciones obtener una autorización para poder ejercer la actividad de suministro de redes y servicios de comunicaciones electrónicas de manera más general.
35      El subrayado es mío.
36      Aunque el artículo 12, apartado 1, del CECE contiene una formulación según la cual los Estados miembros no «impedirán» el libre suministro de redes y servicios de comunicaciones electrónicas, considero que esta expresión debe entenderse de manera más amplia, en el sentido de que prohíbe a los Estados miembros imponer cualquier tipo de obstáculo a su suministro. Esto se desprende del objetivo del CECE de establecer un mercado interior de redes y servicios de comunicaciones electrónicas. Esta conclusión también puede extraerse de las diferentes versiones lingüísticas del artículo 12, apartado 1, del CECE, que utilizan expresiones que significan tanto «obstaculizar» como «impedir»: compárese, a este respecto, por ejemplo, la versión en lengua alemana, que utiliza «hindern», la versión en lengua española, que utiliza «no impedirán», la versión en lengua francesa, que utiliza «n’empêchent pas», o la versión en lengua croata, que utiliza «ne smiju sprečavati».
37      Imaginemos una situación en la que un Estado miembro decidiera que, para garantizar la seguridad de las redes, cualquier equipo o programa informático utilizado en dichas redes debe ser producido por empresas establecidas en dicho Estado. Este tipo de medida proteccionista sería manifiestamente contrario a la libertad de suministrar redes y servicios, pero podría justificarse si el CECE se interpretara de manera que se considerara automáticamente aceptable y se excluyera de cualquier examen adicional cualquier medida adoptada con el fin de alcanzar el objetivo de la seguridad de las redes y los servicios.
38      Véase, por ejemplo, la sentencia de 23 de febrero de 1995, Bordessa y otros (C‑358/93 y C‑416/93, EU:C:1995:54), apartado 25.
39      Véase, por ejemplo, la sentencia de 4 de diciembre de 1986, Comisión/Alemania (205/84, EU:C:1986:463), apartado 28.
40      Véase, por ejemplo, la sentencia de 14 de marzo de 2000, Église de scientologie (C‑54/99, EU:C:2000:124), apartado 14.
41      Véase, por ejemplo, la sentencia de 1 de junio de 2010, Blanco Pérez y Chao Gómez (C‑570/07 y C‑571/07, EU:C:2010:300), apartado 54.
42      El Gobierno estonio se refiere a la notificación técnica de dicho proyecto, recibida por la Comisión el 20 de octubre de 2020, disponible en https://technical-regulation-information-system.ec.europa.eu/en/notification/15441
43      Véanse, en particular, las sentencias de 30 de abril de 1996, CIA Security International (C‑194/94, EU:C:1996:172), apartado 54, y de 21 de diciembre de 2023, Papier Mettler Italia (C‑86/22, EU:C:2023:1023), apartado 44.
44      Véase, entre otras, la sentencia de 15 de julio de 2021, Ministrstvo za obrambo (C‑742/19, EU:C:2021:597), apartado 31 y jurisprudencia citada.
45      Véanse, a este respecto, los considerandos 5 y 37 de la Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión, por la que se modifican el Reglamento (UE) n.º 910/2014 y la Directiva (UE) 2018/1972 y por la que se deroga la Directiva (UE) 2016/1148 (Directiva SRI 2) (DO 2022, L 333, p. 80) (en lo sucesivo, «Directiva SRI 2»).
46      Véase, en este sentido, la sentencia de 20 de junio de 2002, Radiosistemi (C‑388/00 y C‑429/00, EU:C:2002:390), apartado 44. En cualquier caso, ya desde la sentencia de 10 de julio de 1984, Campus Oil y otros (72/83, EU:C:1984:256), en particular apartados 34 a 36, es evidente que la jurisprudencia entiende que el concepto de seguridad pública transciende la ley y el orden y el uso de las fuerzas policiales y militares; en ella, el Tribunal de Justicia declaró que dicho concepto puede referirse también a otros tipos de amenazas a las instituciones de un Estado miembro, a sus servicios públicos esenciales y a las necesidades de la sociedad en general.
47      Véanse los puntos 32 a 42 de las presentes conclusiones.
48      Véanse, entre otras, las sentencias de 14 de marzo de 2000, Église de scientologie (C‑54/99, EU:C:2000:124), apartado 17 y jurisprudencia citada, y de 18 de junio de 2020, Comisión/Hungría (Transparencia asociativa) (C‑78/18, EU:C:2020:476), apartado 91 y la jurisprudencia citada.
49      Véase, por analogía, la sentencia de 3 de septiembre de 2008, Kadi y Al Barakaat International Foundation/Consejo y Comisión (C‑402/05 P y C‑415/05 P, EU:C:2008:461), apartado 343 (en la que se explica que una medida no puede eludir todo control de los órganos jurisdiccionales de la Unión por el mero hecho de que el acto por el que se establece se refiera a la seguridad nacional).
50      Véase, por analogía, la sentencia de 26 de febrero de 2019, X (Sociedades intermedias domiciliadas en terceros países) (C‑135/17, EU:C:2019:136), apartado 90 y jurisprudencia citada.
51      Véanse, en este sentido, las sentencias de 14 de marzo de 2000, Église de scientologie (C‑54/99, EU:C:2000:124), apartado 22, y de 18 de junio de 2020, Comisión/Hungría (Transparencia asociativa) (C‑78/18, EU:C:2020:476), apartados 86 y 93.
52      Véase, por analogía, la sentencia de 10 de marzo de 2016, Safe Interenvíos (C‑235/14, EU:C:2016:154), apartado 104 (en la que se explica que, en materia de blanqueo de capitales, la evaluación del carácter de alto riesgo de un cliente puede referirse al tipo de cliente, el país, el producto o la transacción de que se trate).
53      Véase, a este respecto, la nota 11 de las presentes conclusiones.
54      Véase, por analogía, la sentencia de 21 de noviembre de 1991, Technische Universität München (C‑269/90, EU:C:1991:438), apartados 13 y 14.
55      Véase, en este sentido, la sentencia de 4 de junio de 2013, ZZ (C‑300/11, EU:C:2013:363), apartado 57 y jurisprudencia citada.
56      Este conjunto de instrumentos es el resultado de uno de los objetivos establecidos por la Comisión en la Recomendación sobre ciberseguridad [véase el apartado 1, letra c), de dicha Recomendación], que indica que el Grupo de Cooperación SRI «establezca un posible conjunto común de medidas para su adopción a fin de mitigar los riesgos de ciberseguridad relacionados con las infraestructuras que sustentan el ecosistema digital, en particular las redes 5G»].
57      Véase la nota 30 de las presentes conclusiones. Este Grupo constituye un comité establecido sobre la base del artículo 11, apartado 1, de la Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo, de 6 de julio de 2016, relativa a las medidas destinadas a garantizar un elevado nivel común de seguridad de las redes y sistemas de información en la Unión (DO 2016, L 194, p. 1). Entretanto, esta Directiva ha sido sustituida por la Directiva SRI 2, pero el Comité sigue existiendo (véase el artículo 14, apartado 1, de la Directiva SRI 2).
58      Véase la Comunicación sobre la aplicación del conjunto de instrumentos 5G, p. 2.
59      Véase la Comunicación sobre la aplicación del conjunto de instrumentos 5G, p. 1. Para criterios de vulnerabilidad específicos del proveedor similares, véase también la p. 2 del conjunto de instrumentos 5G.
60      Véase la sentencia de 10 de julio de 2025, INTERZERO y otros (C‑254/23, EU:C:2025:569), apartado 144 y jurisprudencia citada. Véase asimismo en este sentido la sentencia de 5 de mayo de 2022, BPC Lux 2 y otros (C‑83/20, EU:C:2022:346).
61      Véase, en este sentido, la sentencia de 10 de julio de 2025, INTERZERO y otros (C‑254/23, EU:C:2025:569), apartados 145 y 146 y jurisprudencia citada.
62      Véase, en este sentido, la sentencia de 10 de septiembre de 2024, Neves 77 Solutions (C‑351/22, EU:C:2024:723), apartados 82 y 88 y jurisprudencia citada.
63      Véase, por analogía, la sentencia de 10 de julio de 2025, INTERZERO y otros (C‑254/23, EU:C:2025:569), apartado 146 y jurisprudencia citada (en la que se explica que «los intereses relacionados con la explotación de una licencia constituyen intereses patrimoniales que requieren la protección que confiere [el artículo 1 del Protocolo Adicional n.º 1 del Convenio para la Protección de los Derechos Humanos y de las Libertades Fundamentales]», de modo que «la revocación ex lege de una autorización que permite a su titular ejercer una actividad económica equivale a una limitación del derecho de propiedad garantizado por dicho artículo que, como medida que regula el uso de bienes, está comprendida en el ámbito de aplicación del párrafo segundo del mismo artículo»).
64      Véase, en este sentido, la sentencia de 10 de julio de 2025, INTERZERO y otros (C‑254/23, EU:C:2025:569), apartado 155 y jurisprudencia citada.
65      Véase, en este sentido, la sentencia de 10 de julio de 2025, INTERZERO y otros (C‑254/23, EU:C:2025:569), apartados 155 y 156 y jurisprudencia citada.
66      Véase, más recientemente, la sentencia de 18 de diciembre de 2025, Slagelse Almennyttige Boligselskab, Afdeling Schackenborgvænge (C‑417/23, EU:C:2025:1017), apartado 168 y jurisprudencia citada.
67      Véase, en este sentido, la sentencia de 10 de julio de 2025, INTERZERO y otros (C‑254/23, EU:C:2025:569), apartado 158 y jurisprudencia citada.