Foreløbig udgave
FORSLAG TIL AFGØRELSE FRA GENERALADVOKAT
T. ĆAPETA
fremsat den 19.
marts 2026 (1)
Sag C-354/24
Elisa Eesti AS
mod
Vabariigi Valitsuse julgeolekukomisjoni küberjulgeoleku nõukogu,
Tarbijakaitse ja Tehnilise Järelevalve Amet
(anmodning om præjudiciel afgørelse indgivet af Tallinna Halduskohus (forvaltningsdomstolen i Tallinn, Estland))
» Præjudiciel forelæggelse – telekommunikationstjenester – direktiv
(EU) 2018/1972 – artikel 40,
stk. 1, og artikel 41,
stk. 1 – sikkerhed i net og tjenester – 5G-funktionalitet – tilladelsesprocedure – »højrisikoleverandører« af hardware og software – forbud mod hardware og software, der udgør en »høj risiko«, på grund af den nationale sikkerhed – artikel 4,
stk. 2, TEU – chartrets artikel 17,
stk. 1 – forholdsmæssighed – prøvelsens omfang – positive foranstaltninger ved tredjestats påvirkning eller kontrol «
I.      Indledning
1.        Hvordan interagerer foranstaltninger, som en medlemsstat træffer for at beskytte den nationale sikkerhed, med EU-lovgivning, der er vedtaget for at sikre et funktionsdygtigt indre marked for elektroniske kommunikationsnet og
‑tjenester?
2.        Først og fremmest er det spørgsmålet, om sådanne nationale foranstaltninger er udelukket fra anvendelsesområdet for direktiv (EU) 2018/1972 (den europæiske kodeks for elektronisk kommunikation, herefter »direktiv 2018/1972«) (2), fordi de er truffet af hensyn til den nationale sikkerhed, og om de derfor er undtaget fra domstolsprøvelse af deres forholdsmæssighed i henhold til EU-retten?
3.        Disse spørgsmål opstår i forbindelse med en lovgivning vedtaget i Estland, hvorved der er indført en procedure med forudgående tilladelse til brug af hardware og software med henblik på at udbyde elektroniske kommunikationsnet og
‑tjenester. Med denne procedure kan de kompetente myndigheder forbyde anvendelsen af visse former for udstyr, hvis det anses for at udgøre en risiko for den nationale sikkerhed.
4.        Sagsøgeren i hovedsagen, Elisa Eesti AS (herefter »sagsøgeren«), der er datterselskab af det finske teleselskab Elisa Oyj, er en af tre udbydere af landsdækkende mobiltelekommunikationsnet og
‑tjenester i Estland. Selskabet har for Tallinna Halduskohus (forvaltningsdomstolen i Tallinn, Estland) (den forelæggende ret) anfægtet en afgørelse, hvorved de kompetente estiske myndigheder gav afslag på dets ansøgning om tilladelse til, at anvende visse former for 2G-4G- og 5G-hardware og
‑software i sit telekommunikationsnet. Denne afgørelse blev bl.a. vedtaget, fordi udstyret var fremstillet af et kinesisk telekommunikationsselskab, Huawei Corporation (herefter »Huawei«), som de estiske myndigheder anså for at være en »højrisikoleverandør« af dette udstyr.
II.    Sagens retlige og faktiske baggrund og de præjudicielle spørgsmål
A.      Baggrundsoplysninger om 5G-telekommunikationsinfrastruktur og ‑teknologi
5.        For at forstå baggrunden for den foreliggende sag kræves et minimum af forklaring om den infrastruktur, der ligger til grund for 5G-funktionaliteten. Jeg vil indlede med denne forklaring.
6.        Et mobilkommunikationsnet består traditionelt af to dele. Den første, centrale del af denne infrastruktur er kernenettet. Det indeholder det centrale udstyr, der styrer hele nettet, og fungerer som den primære forbindelse, der sammenkobler alle trafikslutpunkter ved at samle og overføre nettrafikken med høje hastigheder (3). Den anden del af denne infrastruktur er mobilradionettet. Dette består af basisstationer, der opdeler et større dækningsområde i »celler«, og hvortil mobile enheder, såsom mobiltelefoner, kan oprette forbindelse via en medlemsstats mobilnet (4). Denne del af mobilnettet kaldes også »edge«-nettet.
7.        Telekommunikationsteknologi betegnes med »generationer«. 2G,
3G og 4G er på hinanden følgende generationer af ikke-analog mobilnetteknologi. Femte generation af denne teknologi – 5G – skal i fremtiden erstatte den nuværende 4G-standard (5). 5G-teknologi er kendetegnet ved høje hastigheder og datakapacitet og lavere latenstid (forsinkelse).
8.        Europa-Kommissionen anser 5G-teknologi for at være et vigtigt element i opbygningen af højhastigheds- og højkapacitetsnet i EU til gavn for økonomien og samfundet som helhed (6).
9.        Som det fremgår af forelæggelsesafgørelsen og de nationale sagsakter, kan 5G-teknologien opdeles i »ikke-selvstændig« (»non-stand-alone«) 5G-funktionalitet og »selvstændig« (»stand-alone«) 5G-funktionalitet. Ikke-selvstændig
5G er den teknologi, der er bygget oven på det eksisterende netværkslag i 2G-4G-infrastrukturen (7). Kommunikationen foregår derfor stadig til og fra »edge«- og »kerne«-kommunikationsnettet. Selvstændige
5G-net etablerer deres eget radionet og er derfor ikke afhængige af den »ældre« 2G-4G-infrastruktur eller kernenettet. Selvstændige 5G-enheder udgør således deres egen uafhængige netinfrastruktur uden først at gå gennem kernenettet. På dette grundlag kan de kommunikere direkte med hinanden uden at gå gennem telekommunikationsinfrastrukturens »kerne«. På grund af denne egenskab vil selvstændig 5G-teknologi være i stand til at forbinde langt flere enheder end nogensinde før i »tingenes internet« (8).
10.      Det fremgår af forelæggelsesafgørelsen og sagsakterne, at sagsøgerens kernenet består af hardware og software fremstillet af det svenske selskab Telefonaktiebolaget LM Ericsson (herefter »Ericsson«) og det finske selskab Nokia Corporation (herefter »Nokia«), og at sagsøgerens mobilradionet består af hardware og software fremstillet af det kinesiske selskab Huawei.
11.      Den foreliggende tvist vedrører alene sagsøgerens mobilradionet, dvs. edge-nettet.
B.      De retlige og faktiske omstændigheder, som ligger til grund for hovedsagen
12.      Den 23. marts 2022 (9) indgav sagsøgeren en ansøgning til Tarbijakaitse ja Tehnilise Järelevalve Amet (myndigheden for forbrugerbeskyttelse og teknisk tilsyn, herefter »TTJA«) om tilladelse til brug, i sit edge-net, af i) den 2G-4G-hardware og
‑software fra Huawei, som allerede fandtes dér, og ii) den 5G-hardware og
‑software fra Huawei, som fra den 1. juni 2022 skulle anvendes i dette net (herefter under ét »den omhandlede hardware og software«).
13.      Denne ansøgning blev indgivet på grundlag af elektroonilise side seadus (den estiske lov om elektronisk kommunikation, herefter »loven om elektronisk kommunikation«) (10). Ifølge den forelæggende ret gennemfører loven om elektronisk kommunikation bl.a. direktiv 2018/1972.
14.      Kapitel 8 i loven om elektronisk kommunikation fastsætter visse krav til udbydelsen af elektroniske kommunikationstjenester i Estland. Lovens § 872,
stk. 1, kræver, at kommunikationsvirksomhederne indfører passende tekniske og organisatoriske foranstaltninger for at styre de risici, der er forbundet med en kommunikationstjenestes og et kommunikationsnets sikkerhed og integritet. § 873,
stk. 1, i loven om elektronisk kommunikation fastsætter, at hardware og software, der anvendes til at udbyde kommunikationstjenester i et kommunikationsnet, ikke må udgøre en risiko for den nationale sikkerhed. I henhold til § 873,
stk. 6, er en kommunikationsvirksomhed derfor forpligtet til at indhente en tilladelse fra TTJA til at anvende hardware eller software i et kommunikationsnet.
15.      I henhold til § 873,
stk. 2, i loven om elektronisk kommunikation fastslås en risiko for den nationale sikkerhed på grundlag af den høje risiko, som producenten eller leverandøren af vedligeholdelses- eller supporttjenester udgør (nr. 1), eller på grund af den risiko, der følger af hardwarens eller softwarens tekniske kendetegn eller konfiguration (nr. 2). Vurderingen af, om en producent eller en leverandør af vedligeholdelses- eller støttetjenester udgør en høj risiko, foretages på grundlag af 12 kriterier, der er fastsat i § 873,
stk. 3, i loven om elektronisk kommunikation (11).
16.      Hvis hardware eller software anses for at udgøre en risiko for den nationale sikkerhed, fastsætter § 1965 i loven om elektronisk kommunikation visse faste overgangsperioder: indtil 31. december 2025 hvad angår 5G-teknologi (12) og indtil den 31. december 2029 hvad angår 2G-,
3G- og 4G-hardware og ‑software (13).
17.      Når TTJA modtager en ansøgning om tilladelse til brug af hardware og software i et kommunikationsnet, er denne myndighed i henhold til § 874 i loven om elektronisk kommunikation forpligtet til at indhente en udtalelse fra Vabariigi Valitsuse julgeolekukomisjoni küberjulgeoleku nõukogu (cybersikkerhedsrådet under Republikken Estlands regerings sikkerhedsudvalg, herefter »KJN«) om, hvorvidt den hardware og software, som ansøgningen vedrører, udgør en risiko for den nationale sikkerhed.
18.      Ved afgørelse nr. 1 af 27. oktober 2022 identificerede KJN en sådan risiko hvad angår al den omhandlede hardware og software (14). Ifølge forelæggelsesafgørelsen blev denne risiko identificeret hvad angår alle
12 kriterier, der er anført i § 873,
stk. 3, i loven om elektronisk kommunikation (15). Det pågældende råd foreslog ligeledes, at TTJA skulle meddele en brugstilladelse for 5G-funktionaliteten indtil den 31.
december 2025 og for 2G-4G-funktionaliteten indtil den 31. december 2029 (herefter »KJN’s afgørelse«).
19.      Ved afgørelse nr. 1-7/22-436 af 25. november 2022 fastslog TTJA, at al den hardware og software, der var nævnt i sagsøgerens ansøgning om tilladelse, udgjorde en risiko for Estlands nationale sikkerhed. TTJA meddelte derfor sagsøgeren en tidsbegrænset brugstilladelse til 5G-funktionaliteten indtil den 31. december 2025 og til 2G-4G-funktionaliteten indtil den 31. december 2029 i overensstemmelse med § 1965 i loven om elektronisk kommunikation (herefter »TTJA’s afgørelse«).
20.      Ved stævning af 1. december 2022 anlagde sagsøgeren sag ved den forelæggende ret til prøvelse af henholdsvis KJN’s og TTJA’s afgørelse (herefter samlet »de omtvistede afgørelser«). Sagsøgeren har bl.a. gjort gældende, at KJN og TTJA hverken har godtgjort, at der foreligger en risiko for Estlands nationale sikkerhed, sandsynligheden for, at den hævdede risiko indtræder, eller det potentielle omfang af den skade, der følger af den omhandlede hardware og software. Denne part har ligeledes gjort gældende, at de omtvistede afgørelser på grund af den korte overgangsperiode udgør et forbud med tilbagevirkende kraft mod den omhandlede hardware og software, hvis konsekvens er en ekspropriation af sagsøgerens aktiver. Dette skal derfor give anledning til erstatning. Sagsøgeren har endvidere bestridt gyldigheden af de omtvistede afgørelser med den begrundelse, at den lov, som dannede grundlag for vedtagelsen af disse afgørelser, ikke blev meddelt Kommissionen, hvorfor den er uforenelig med direktiv (EU) 2015/1535 (herefter »TRIS-direktivet«) (16). Endelig har sagsøgeren gjort gældende, at de omtvistede afgørelser udgør en begrænsning af friheden til at udbyde elektroniske kommunikationsnet og
‑tjenester som omhandlet i artikel
12,
stk. 1, i direktiv 2018/1972, og at enhver begrænsning af denne frihed skal være behørigt begrundet, hvilket de kompetente myndigheder ikke har gjort.
21.      KJN og TTJA har bestridt disse argumenter. De har i det væsentlige gjort gældende, at de omtvistede afgørelser er baseret på en risikovurdering, i forbindelse med hvilken det er tilstrækkeligt, at en risiko er sandsynlig og kan forudses. Disse afgørelser henhører under Estlands enekompetence, som kun i begrænset omfang kan efterprøves ved domstolene. KJN og TTJA har ligeledes anført, at den overgangsperiode, der blev indrømmet i de omtvistede afgørelser, er den længst mulige periode, der er tilladt i henhold til § 1965
i loven om elektronisk kommunikation. Endelig er disse parter uenige i, at de omtvistede afgørelser er uforenelige med TRIS-direktivet og direktiv 2018/1972.
22.      Under disse omstændigheder har Tallinna Halduskohus (forvaltningsdomstolen i Tallinn) besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:
»1)      Er et kompleks af nationale bestemmelser (§ 873,
stk. 2,
3,
6,
7 og 8,
§ 874,
stk. 1-4, og § 1965,
stk. 1-4, i [lov om elektronisk kommunikation], som med henblik på beskyttelsen af den nationale sikkerhed forpligter en kommunikationsvirksomhed til at indhente en tilladelse til anvendelse af hardware og software i sit kommunikationsnet, omfattet af anvendelsesområdet for [direktiv 2018/1972]?
2)      Såfremt det forrige spørgsmål besvares bekræftende: Skal artikel
1,
stk. 3, litra c), [i direktiv 2018/1972], sammenholdt med artikel
4,
stk. 2, [TEU], da fortolkes således, at indførelsen af sådanne begrænsninger henhører under medlemsstatens enekompetence og udgør en rent national foranstaltning, hvorpå bestemmelserne i direktiv 2018/1972 ikke finder anvendelse?
3)      Såfremt det andet spørgsmål besvares benægtende: Udgør et kompleks af nationale forskrifter (§ 873,
stk. 2,
3,
6,
7 og 8,
§ 874,
stk. 1-4, og § 1965,
stk. 1-4, i lov om elektronisk kommunikation), som ikke tillader en kommunikationsvirksomhed at anvende hardware og software i sit kommunikationsnet uden at indhente en forvaltningsmyndigheds tilladelse til brugen af denne hardware og software, da en begrænsning af friheden til at udbyde elektroniske kommunikationsnet og
‑tjenester som omhandlet i artikel 12,
stk. 1, [i direktiv 2018/1972]?
4)      Såfremt det tredje spørgsmål besvares bekræftende: Skal det da undlades at anvende sådanne nationale bestemmelser, hvis de ikke på forhånd er blevet meddelt [Kommissionen] som omhandlet i artikel 12,
stk. 1, i [direktiv 2018/1972]?
5)      Såfremt det andet spørgsmål besvares bekræftende: Er det da foreneligt med artikel 36 TEUF og proportionalitetsprincippet, hvis nationale bestemmelser om beskyttelsen af den nationale sikkerhed kræver af en kommunikationsvirksomhed, at den indhenter en tilladelse til anvendelse af hardware og software i sit kommunikationsnet, og ikke forpligter forvaltningsmyndigheden til i forbindelse med risikovurderingen: a) at vurdere, om de risici, der er knyttet til producenten, kan overføres på den konkrete hardware og software, b) at vurdere den konkrete hardwares og softwares funktionalitet, placering og betydning i forbindelse med udbydelsen af en kommunikationstjeneste og c) at efterprøve, om de problemer, der er forbundet med producentens etableringsstat, kan overføres på producenten?
6)      Såfremt brugen af hardware eller software, som allerede fandtes i kommunikationsnettet og blev aktivt anvendt før indførelsen af tilladelsespligten, tillades for en kortere periode end brugsperioden for denne hardware eller software, og den pågældende hardware eller software er blevet erhvervet lovligt, er der da tale om en ekspropriation som omhandlet i artikel 17,
stk. 1, andet punktum, i Den Europæiske Unions charter om grundlæggende rettigheder [(herefter »chartret«)]?«
23.      Der er indgivet skriftlige indlæg til Domstolen af sagsøgeren, den tjekkiske, den danske, den estiske, den spanske, den franske, den italienske, den finske og den svenske regering samt af Europa-Kommissionen. Sagsøgeren, KJN, den estiske, den danske, den tyske, den spanske, den franske, den italienske, den finske og den svenske regering samt Europa-Kommissionen har afgivet mundtlige indlæg i retsmødet, der blev afholdt den 11. november 2025.
III. Bedømmelse
24.      Min bedømmelse er opbygget som følger.
25.      Den forelæggende rets to første spørgsmål vedrører anvendelsesområdet for direktiv 2018/1972. Med det første spørgsmål ønskes det således oplyst, om en lovgivningsmæssig ordning, der kræver forudgående tilladelse til anvendelse af hardware og software i elektroniske kommunikationsnet og
‑tjenester, som den, der er indført ved loven om elektronisk kommunikation, er omfattet af det materielle anvendelsesområde for direktiv 2018/1972. Jeg vil behandle dette spørgsmål i afsnit III.A. Med det andet spørgsmål ønskes det derefter oplyst, om sådanne foranstaltninger ikke desto mindre er udelukket fra dette direktivs anvendelsesområde, fordi de træffes af hensyn til den nationale sikkerhed. Jeg vil behandle dette spørgsmål i afsnit III.B. Min konklusion hvad angår begge spørgsmål er, at direktiv 2018/1972 finder anvendelse i den foreliggende sag.
26.      Såfremt direktiv 2018/1972 finder anvendelse, ønskes det med det tredje spørgsmål oplyst, om de omtvistede foranstaltninger udgør en begrænsning af friheden til at udbyde elektroniske kommunikationsnet og
‑tjenester som omhandlet i artikel 12,
stk. 1, i direktiv 2018/1972. Jeg vil besvare dette spørgsmål bekræftende i afsnit III.C. Dette vil bringe mig videre til det fjerde spørgsmål, hvorved det ønskes oplyst, om disse foranstaltninger skulle meddeles Kommissionen, og i bekræftende fald hvilke konsekvenser der følger af, at de ikke er blevet meddelt. Jeg vil behandle dette spørgsmål i afsnit III.D.
27.      Hvis de omhandlede nationale foranstaltninger udgør en begrænsning af friheden til at udbyde elektroniske kommunikationsnet og
‑tjenester, hvilket efter min opfattelse er tilfældet, er et andet vigtigt spørgsmål, som opstår i denne sammenhæng, spørgsmålet, om – og i givet fald hvorledes – sådanne foranstaltninger kan begrundes. En sådan begrundelse er mulig i henhold til artikel 12,
stk. 1, i direktiv 2018/1972, idet denne bestemmelse hvad dette angår henviser til artikel 52,
stk. 1, TEUF. Den forelæggende ret søger imidlertid ikke præcisering af, hvorledes kontrollen af forholdsmæssigheden efter artikel
12,
stk. 1, i direktiv 2018/1972 skal foretages. Denne ret har i stedet stillet dette spørgsmål, i form af det femte spørgsmål, i forbindelse med frie varebevægelser, forudsat at Domstolen fastslår, at direktiv 2018/1972 ikke finder anvendelse. Da jeg vil foreslå, at direktiv 2018/1972 finder anvendelse, vil det ikke være nødvendigt at besvare det femte spørgsmål i den form, det er blevet forelagt Domstolen. Realiteten i dette spørgsmål er imidlertid relevant for den forelæggende ret med henblik på begrundelsen efter artikel 12,
stk. 1, i direktiv 2018/1972, sammenholdt med artikel 52,
stk. 1, TEUF. I stedet for at besvare det femte spørgsmål, således som det er blevet forelagt Domstolen, vil jeg derfor foreslå, at det omformuleres, som om det var stillet i relation til de sidstnævnte bestemmelser (og ikke i relation til artikel 34 TEUF og 36
TEUF). Jeg vil behandle det således omformulerede spørgsmål i afsnit III.E.
28.      Endelig anmoder den forelæggende ret med sit sjette spørgsmål Domstolens vejledning med henblik på at fastlægge, om de omhandlede foranstaltninger, henset til omstændighederne i den foreliggende sag, reelt udgør en ekspropriation af sagsøgerens ejendom, idet den i bekræftende fald er af den opfattelse, at chartrets artikel 17,
stk. 1, kræver, at der bør gives en passende erstatning. I afsnit III.F vil jeg foreslå Domstolen at fastslå, at den omhandlede foranstaltning ikke udgør en sådan ekspropriation, men at den er et indgreb i anvendelsen af ejendom, som imidlertid kan begrundes og derfor ikke kræver erstatning på grundlag af chartrets artikel 17,
stk. 1.
A.      Det første spørgsmål
29.      Med sit første spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om de relevante bestemmelser i loven om elektronisk kommunikation, på grundlag af hvilke de omtvistede foranstaltninger er vedtaget, er omfattet af anvendelsesområdet for direktiv 2018/1972.
30.      De parter, der har afgivet indlæg i den foreliggende sag, har forskellige synspunkter hvad angår besvarelsen af dette spørgsmål. Sagsøgeren, den estiske og den franske regering samt Kommissionen er i det væsentlige af den opfattelse, at direktiv 2018/1972 finder anvendelse på de foranstaltninger, der er omhandlet i den foreliggende sag. Den estiske regering, støttet af Kommissionen, har nærmere bestemt forklaret, at loven om elektronisk kommunikation faktisk blev vedtaget til gennemførelse af direktiv 2018/1972. Den danske, den tjekkiske, den italienske, den svenske og den finske regering har givet udtryk for det modsatte synspunkt og er nærmere bestemt af den opfattelse, at direktiv 2018/1972 ikke finder anvendelse, eftersom den omhandlede tilladelsesforanstaltning er vedtaget for at beskytte Estlands nationale sikkerhed. Den spanske regering har gjort gældende, at foranstaltninger, der vedtages for at beskytte den nationale sikkerhed, ikke er omfattet af anvendelsesområdet for direktiv 2018/1972, men at dette ikke fritager medlemsstaterne for forpligtelsen til at overholde direktiv 2018/1972, som finder anvendelse i den foreliggende sag.
31.      Efter min opfattelse finder direktiv 2018/1972 anvendelse, og de omhandlede foranstaltninger er omfattet af dette direktivs materielle anvendelsesområde.
32.      Direktiv 2018/1972 er den primære retsakt inden for elektronisk kommunikation. Det fastlægger harmoniserede retlige rammer for at sikre et indre marked for elektroniske kommunikationsnet og
‑tjenester (17). For at nå dette mål sigter direktivet mod at fjerne hindringer for at udbyde elektroniske kommunikationsnet og
‑tjenester ved at forbyde begrænsninger pålagt af medlemsstaterne og ved at indføre fælles regler (18).
33.      Denne ramme finder ligeledes anvendelse på mobilnet, der er genstand for den foreliggende sag (19).
34.      I princippet er alle nationale regler, der vedrører reguleringen af elektroniske kommunikationsnet og
‑tjenester, derfor omfattet af anvendelsesområdet for direktiv 2018/1972.
35.      Et af formålene med direktiv 2018/1972 er at garantere sikkerheden på det indre marked for elektroniske kommunikationsnet og
‑tjenester. I henhold til direktivets artikel 1,
stk. 2, litra
a), er dets mål således at »skabe et indre marked for elektroniske kommunikationsnet og
‑tjenester med henblik på at sikre udrulning og ibrugtagning af net med meget høj kapacitet og skabe holdbar konkurrence, interoperabilitet mellem elektroniske kommunikationstjenester, tilgængelighed,
sikkerhed i net og tjenester og fordele for slutbrugerne« (20).
36.      Med henblik herpå kræver artikel 40,
stk. 1, i direktiv 2018/1972 udtrykkeligt, at medlemsstaterne sikrer, at udbydere af offentlige eller offentligt tilgængelige elektroniske kommunikationsnet eller
‑tjenester træffer passende og forholdsmæssige tekniske og organisatoriske foranstaltninger for på passende vis at styre risiciene for sikkerheden i net og tjenester. Under hensyn til teknologiens »aktuelle stade« skal disse foranstaltninger garantere »et sikkerhedsniveau, der står i forhold til risikoen«, hvilket omfatter foranstaltninger, der kan forhindre og minimere virkningen af sikkerhedshændelser for brugerne og for andre net og tjenester.
37.      Nationale regler, der er vedtaget med henblik på at nå målet om »sikkerhed i net og tjenester«, skal derfor anses for at være omfattet af anvendelsesområdet for direktiv 2018/1972.
38.      Begrebet »sikkerhed i net og tjenester« defineres i artikel 2,
stk. 21, i direktiv 2018/1972 som »elektroniske kommunikationsnets og
‑tjenesters evne til på et givet fortrolighedsniveau at modstå handlinger, der er til skade for tilgængeligheden, autenticiteten, integriteten eller fortroligheden af disse net og tjenester, lagrede eller overførte eller behandlede data eller de dermed forbundne tjenester, der tilbydes eller er tilgængelige via disse elektroniske kommunikationsnet eller
‑tjenester«.
39.      Denne definition skal sammenholdes med definitionerne af begreberne »elektronisk kommunikationsnet« (21) og »elektronisk kommunikationstjeneste« (22).
40.      Det førstnævnte af disse begreber er formuleret bredt og omfatter bl.a. fysisk udstyr, der er nødvendigt for at levere dette net (og dermed også hardware og software, der er indeholdt heri) (23). Det sidstnævnte begreb vedrører overføring af signaler via en fysisk infrastruktur, som Domstolen har fortolket således, at den også omfatter software, der bl.a. anvendes til internetadgang (24).
41.      Det følger heraf, at begrebet »netsikkerhed« som defineret i artikel
2,
stk. 21, i direktiv 2018/1972 skal forstås således, at det omfatter sikkerheden i såvel hardware- som softwarekomponenterne i et elektronisk kommunikationsnet.
42.      Med henblik på gennemførelsen af artikel 40,
stk. 1, i direktiv 2018/1972 pålægger artikel 41,
stk. 1, heri medlemsstaterne at sikre, at de kompetente myndigheder har beføjelse til at pålægge bindende instrukser, bl.a. om, hvilke foranstaltninger der er nødvendige for at hindre en sikkerhedshændelse i at forekomme, når en »betydelig trussel« er blevet identificeret.
43.      Det er ikke fastlagt nærmere, hvilke regler medlemsstaterne skal vedtage i denne henseende. EU-retten overlader det således til medlemsstaterne at beslutte, hvorledes disse krav skal gennemføres for at garantere sikkerheden i deres net og tjenester.
44.      I den foreliggende sag fremgår det af forelæggelsesafgørelsen, af sagsøgerens indlæg samt af den estiske regerings og KJN’s indlæg, hvilket blev bekræftet i retsmødet, at den omhandlede lovgivning har til formål at gennemføre direktiv 2018/1972, navnlig artikel 40,
stk. 1, og artikel 41,
stk. 1, i estisk ret.
45.      Der er intet til hinder for, at en procedure for forudgående tilladelse til brug af hardware og software, der anvendes til at udbyde elektroniske kommunikationsnet og
‑tjenester, som den, der kræves i loven om elektronisk kommunikation, ikke skulle anses for en af de måder, hvorpå artikel 40,
stk. 1, og artikel 41,
stk. 1, i direktiv 2018/1972 kan gennemføres.
46.      Dette er heller ikke omstridt i den foreliggende sag.
47.      I lyset af det ovenstående foreslår jeg, at Domstolen besvarer den forelæggende rets første spørgsmål bekræftende, dvs. at direktiv 2018/1972 skal fortolkes således, at det omfatter et kompleks af nationale bestemmelser, som med henblik på beskyttelsen af sikkerheden i det nationale elektroniske kommunikationsnet og dets tjenester kræver, at en operatør, der ønsker at udbyde et sådant net og en sådan tjeneste, indhenter en tilladelse til anvendelse af hardware og software i sit kommunikationsnet.
B.      Det andet spørgsmål
48.      Med det andet spørgsmål, som er betinget af, at det første spørgsmål besvares bekræftende, ønsker den forelæggende ret nærmere bestemt oplyst, om artikel 4,
stk. 2, TEU og artikel 1,
stk. 3, litra
c), i direktiv 2018/1972 har den virkning, at de omhandlede tilladelsesforanstaltninger henhører under medlemsstaternes enekompetence, som ikke er omfattet af direktiv 2018/1972, fordi disse foranstaltninger er blevet truffet med henblik på at garantere den nationale sikkerhed.
49.      Jeg kan fatte mig i korthed hvad angår dette spørgsmål.
50.      Artikel 4,
stk. 2, sidste punktum, TEU bestemmer, at den nationale sikkerhed forbliver den enkelte medlemsstats eneansvar. Dette afspejles også i artikel 1,
stk. 3, litra
c), i direktiv 2018/1972, hvorefter dette direktiv ikke berører tiltag, der gennemføres af medlemsstaterne ud fra hensynet til den offentlige orden og den offentlige sikkerhed og til forsvaret.
51.      Derfor er jeg, på trods af disse to bestemmelsers terminologiske forskelle (25), enig med Kommissionen og den franske regering i, at artikel
1,
stk. 3, litra
c), i direktiv 2018/1972 reelt er et udtryk for artikel
4,
stk. 2, TEU.
52.      Skal disse to bestemmelser fortolkes således, at foranstaltninger, der træffes af hensyn til den nationale sikkerhed, skal udelukkes fra anvendelsesområdet for direktiv 2018/1972?
53.      Sagsøgeren, den estiske, den spanske og den franske regering samt Kommissionen er af den opfattelse, at selv om alene medlemsstaterne kan træffe foranstaltninger med henblik på at beskytte deres nationale sikkerhed, fritager dette dem ikke for at overholde direktiv 2018/1972. Artikel 4,
stk. 2, TEU og artikel 1,
stk. 3, litra
c), i direktiv 2018/1972 har derfor ikke den virkning, at den omhandlede tilladelsesforanstaltning er undtaget fra EU-rettens anvendelsesområde. Den danske, den tjekkiske, den italienske, den svenske og den finske regering har indtaget det modsatte standpunkt og har fremhævet, at den omstændighed, at de omhandlede foranstaltninger blev truffet med henblik på at beskytte Estlands nationale sikkerhed, medfører, at artikel 4,
stk. 2, TEU og artikel
1,
stk. 3, litra
c), i direktiv 2018/1972 har den virkning, at EU-retten ikke finder anvendelse.
54.      Efter min opfattelse fremgår det allerede af Domstolens praksis, at artikel 4,
stk. 2, TEU ikke udelukker nationale sikkerhedsforanstaltninger fra EU-rettens anvendelsesområde (26).
55.      Denne bestemmelse bekræfter snarere, at Den Europæiske Union ikke har kompetence til at træffe afgørelse om, hvad der er nødvendigt for medlemsstaternes sikkerhed, og hvordan den skal beskyttes. Selv om den nationale sikkerhed i henhold til artikel 4,
stk. 2, TEU forbliver den enkelte medlemsstats eneansvar,
»kan alene den omstændighed, at en national foranstaltning er blevet truffet med henblik på at beskytte den nationale sikkerhed, ikke medføre, at EU-retten ikke finder anvendelse, og fritage medlemsstaterne fra at sikre den nødvendige overholdelse af denne ret« (27).
56.      Selv om Estland har vedtaget den omtvistede lovgivning med henblik på at beskytte den nationale sikkerhed, udelukker dette således ikke denne lovgivning og de foranstaltninger, der er vedtaget på grundlag heraf, fra anvendelsesområdet for direktiv 2018/1972.
57.      Med andre ord kan den offentlige interesse i beskyttelsen af den nationale sikkerhed, når foranstaltninger, der er truffet for at beskytte denne sikkerhed, er i strid med EU-reglerne, påberåbes som begrundelse for denne konflikt; men disse foranstaltninger skal ikke desto mindre opfylde proportionalitetskravet, for at deres lovlighed kan godtgøres. Jeg vil vende tilbage til dette punkt i forbindelse med besvarelsen af det femte spørgsmål.
58.      I den foreliggende sag er den estiske regering, som jeg allerede har nævnt, netop af den opfattelse, at den omhandlede lovgivning beskytter nationale sikkerhedsinteresser, men at den samtidig er vedtaget til gennemførelse af direktiv 2018/1972 (28). Den estiske regering har således som begrundelse for sine nationale administrative afgørelser om at anse den omhandlede hardware og software for at udgøre en »høj risiko« for sikkerheden i Estlands telekommunikationsinfrastruktur, støttet sig på visse ikke-bindende EU-instrumenter (»soft law«), der er udarbejdet af Kommissionen (29) og en samarbejdsgruppe for nationale sikkerhedstjenester (30).
59.      Der er således konvergens mellem Estlands nationale sikkerhedshensyn og de sikkerhedskrav, der er fastsat på EU-plan.
60.      Dette forhold adskiller den foreliggende sag fra dommen i sagen Ministrstvo za obrambo
(31). I denne sag fastslog Domstolen, at visse kategorier af militære aktiviteter faldt uden for anvendelsesområdet for direktiv 2003/88/EF om visse aspekter i forbindelse med tilrettelæggelse af arbejdstiden (32),
»når disse aktiviteter er så specifikke, at de på afgørende og varig vis er til hinder for, at kravene i dette direktiv overholdes« (33).
61.      På baggrund af det ovenstående foreslår jeg, at Domstolen besvarer det andet spørgsmål benægtende og lægger til grund, at artikel 4,
stk. 2, TEU og artikel 1,
stk. 3, litra
c), i direktiv 2018/1972 skal fortolkes således, at en foranstaltning, der kræver en tilladelse til hardware og software med henblik på at udbyde et offentligt eller offentligt tilgængeligt elektronisk kommunikationsnet eller en offentlig eller offentligt tilgængelig elektronisk kommunikationstjeneste, ikke er udelukket fra anvendelsesområdet for direktiv 2018/1972, selv om denne foranstaltning er blevet vedtaget med henblik på at beskytte nationale sikkerhedsinteresser.
C.      Det tredje spørgsmål
62.      Det følger af mine svar på de to første spørgsmål, at loven om elektronisk kommunikation og de omtvistede afgørelser, der blev vedtaget på grundlag af denne lov, falder ind under anvendelsesområdet for direktiv 2018/1972. Dette fører mig videre til det tredje spørgsmål.
63.      Med det tredje spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om en national foranstaltning, der kræver en forudgående tilladelse til brug af hardware og software, udgør en begrænsning af friheden til at udbyde elektroniske kommunikationsnet og
‑tjenester som omhandlet i artikel 12,
stk. 1, i direktiv 2018/1972.
64.      Ifølge sagsøgeren skal dette spørgsmål besvares bekræftende. Selskabet har gjort gældende, at artikel 12,
stk. 1, i direktiv 2018/1972 pålægger medlemsstaterne at sikre friheden til at udbyde elektroniske kommunikationstjenester, hvilket tilladelsesproceduren i loven om elektronisk kommunikation begrænser. Den estiske, den spanske, den franske og den italienske regering samt Kommissionen er uenige i dette synspunkt. De har i det væsentlige gjort gældende, at den tilladelsesprocedure, der er fastsat i loven om elektronisk kommunikation, er en forudsætning for friheden til at udbyde elektroniske kommunikationstjenester og ikke en begrænsning, eftersom friheden til at udbyde elektroniske kommunikationstjenester i henhold til artikel
12,
stk. 1, i direktiv 2018/1972 skal udøves »på de i dette direktiv omhandlede vilkår«. Disse parter har fremført det argument, at eftersom sikkerheden i elektroniske kommunikationsnet og
‑tjenester udgør et af disse vilkår, kan medlemsstaterne lovligt indføre en tilladelsesprocedure som den i hovedsagen omhandlede (34).
65.      Det fremgår af disse synspunkter, at Domstolen har to valgmuligheder, når den skal kvalificere den omhandlede tilladelsesforanstaltning efter artikel 12,
stk. 1, i direktiv 2018/1972: i) som et vilkår for at udbydelsen af elektroniske kommunikationsnet og
‑tjenester eller ii) som en begrænsning af udbydelsen af disse net og tjenester.
66.      Efter min opfattelse udgør et sådant krav en begrænsning af udbydelsen af sådanne net og tjenester som omhandlet i artikel 12,
stk. 1, i direktiv 2018/1972. Jeg anser imidlertid denne begrænsning for at være begrundet.
67.      I denne henseende er det relevant at erindre om de to første punktummer i artikel 12,
stk. 1, i direktiv 2018/1972:
»Medlemsstaterne sikrer fri adgang til at udbyde elektroniske kommunikationsnet og
‑tjenester på de i dette direktiv omhandlede vilkår. I denne forbindelse må medlemsstaterne ikke hindre en virksomhed i at udbyde elektroniske kommunikationsnet eller
‑tjenester, medmindre dette er nødvendigt under hensyn til artikel 52,
stk. 1, i TEUF« (35).
68.      Udgangspunktet som følge af denne bestemmelse er derfor i princippet, at medlemsstaterne, på visse vilkår, skal tillade virksomheder at udbyde elektroniske kommunikationsnet og
‑tjenester.
69.      Desuden må medlemsstaterne ikke hindre disse virksomheder i at udøve denne frihed gennem begrænsninger, der ikke er pålagt direkte af selve direktiv 2018/1972 som et vilkår for at udbyde sådanne elektroniske kommunikationsnet og
‑tjenester.
70.      Samtidig med at artikel 12,
stk. 1, i direktiv 2018/1972 foreskriver negativ integration (dvs. forbyder medlemsstaterne at indføre foranstaltninger, der skaber hindringer for friheden til at udbyde elektroniske kommunikationsnet og
‑tjenester) (36), anerkender denne bestemmelse også behovet for positiv integration (dvs. harmoniserer behovet for at beskytte sikkerheden som et vilkår for at udbyde elektroniske kommunikationsnet og
‑tjenester).
71.      Selv om der fastslås et behov for sikkerhed i net og tjenester, gennemføres der imidlertid ikke en positiv integration med hensyn til disse nets og tjenesters sikkerhed på EU-plan.
72.      Direktiv 2018/1972 fastsætter ikke de foranstaltninger, som garanterer en sådan sikkerhed. Det overlader dette valg til medlemsstaterne ved at forpligte dem – i artikel 40,
stk. 1, og artikel
41,
stk. 1 – til at træffe disse valg.
73.      Selv om sikkerhed i net og tjenester i henhold til direktiv 2018/1972 er et vilkår for at udbyde sådanne net og tjenester, er en forudgående tilladelse til at anvende hardware og software, når de udbydes, det med andre ord ikke.
74.      Omvendt, dvs. hvis en hvilken som helst foranstaltning, som en medlemsstat vælger at indføre for at garantere sikkerheden i net og tjenester, automatisk blev kvalificeret som et vilkår for et velfungerende indre marked for elektroniske kommunikationsnet og
‑tjenester, ville det betyde, at medlemsstaterne let kunne skabe hindringer for den frie bevægelighed (37).
75.      Såfremt forholdsmæssigheden af de foranstaltninger, som medlemsstaterne har valgt, automatisk var udelukket fra domstolsprøvelse, ville dette ikke være i overensstemmelse med hensigten med artikel 12,
stk. 1, i direktiv 2018/1972 om at undgå hindringer for friheden til at udbyde elektroniske kommunikationsnet og
‑tjenester.
76.      Jeg foreslår derfor en fortolkning, hvorefter en særlig national foranstaltning, der er truffet med henblik på at garantere sikkerheden i en medlemsstats net og tjenester, stadig kan kvalificeres som en begrænsning af friheden til at udbyde sådanne net og tjenesteydelser, som er forbudt i henhold til artikel 12,
stk. 1, i direktiv 2018/1972, selv om medlemsstaterne i henhold til dette direktiv har pligt til at garantere sikkerheden i deres net.
77.      Alle krav om en forudgående tilladelse til adgang til det indre marked anses i princippet for hindringer for den frie bevægelighed, hvad enten der er tale om varer (38), tjenesteydelser (39), kapital (40) eller etableringsfriheden (41). Et sådant krav gør altid en frihedsrettighed mindre attraktiv og adgang til relevante markeder vanskeligere.
78.      I denne henseende skal det konstateres, at en procedure med forudgående tilladelse som den i den foreliggende sag omhandlede, der gør det muligt for de kompetente myndigheder at forbyde anvendelsen af visse former for hardware og software, fordi de udgør en »høj risiko«, er en foranstaltning, som i princippet udgør en begrænsning af den frie bevægelighed for elektroniske kommunikationsnet og
‑tjenester, eftersom den kan gøre det mindre attraktivt eller vanskeligere at få adgang til og at udøve denne tjeneste.
79.      En sådan foranstaltning er derfor, principielt, forbudt i henhold til artikel
12,
stk. 1, i direktiv 2018/1972.
80.      Den omhandlede estiske lovgivning er således egnet til at begrænse friheden til at udbyde elektroniske kommunikationsnet og
‑tjenester i strid med artikel 12,
stk. 1, første punktum, i direktiv 2018/1972.
81.      En sådan foranstaltning kan dog i medfør af artikel 12,
stk. 1, i direktiv 2018/1972 være begrundet i et af de hensyn, der er anført i artikel
52,
stk. 1, TEUF.
82.      Den proportionalitetsanalyse, som derfor skal foretages, og som omfatter hensyn til den nationale sikkerhed, henhører under den forelæggende rets kompetence. Den har ikke anmodet om vejledning om dette særlige aspekt af artikel 12,
stk. 1, i direktiv 2018/1972. Jeg vil dog i forbindelse med mit forslag til besvarelsen af det femte spørgsmål give en vejledning, som også kan være nyttig for den forelæggende ret i denne henseende.
83.      På baggrund af det ovenstående foreslår jeg Domstolen at besvare det tredje spørgsmål bekræftende: Artikel 12,
stk. 1, i direktiv 2018/1972 skal fortolkes således, at et kompleks af nationale forskrifter, der kræver en forvaltningsmyndigheds tilladelse til anvendelse af hardware og software til at udbyde elektroniske kommunikationsnet og
‑tjenester, udgør en begrænsning af friheden til at udbyde sådanne net og tjenester som omhandlet i denne bestemmelse. En sådan begrænsning kan være berettiget af grunde, der er foreskrevet i artikel 52, stk. 1, TEUF.
D.      Det fjerde spørgsmål
84.      I henhold til artikel 12,
stk. 1, tredje punktum, i direktiv 2018/1972 skal medlemsstaterne behørigt begrunde enhver begrænsning af friheden til at udbyde elektroniske kommunikationsnet og
‑tjenester og meddele Kommissionen denne.
85.      I lyset af denne bestemmelse ønsker den forelæggende ret med sit fjerde spørgsmål oplyst, hvilke konsekvenser der følger af en manglende meddelelse af en begrænsning af rettigheden som omhandlet i artikel 12,
stk. 1, i direktiv 2018/1972, såsom – i den foreliggende sag – et kompleks af retsforskrifter, der kræver forudgående tilladelse til anvendelse af hardware og software i det elektroniske kommunikationsnet. Den forelæggende ret ønsker først og fremmest oplyst, om en sådan foranstaltning ikke kan anvendes, såfremt den ikke er blevet meddelt Kommissionen.
86.      Ifølge sagsøgeren blev den pågældende lovgivning ikke meddelt Kommissionen. Derfor kan tilladelsesproceduren i loven om elektronisk kommunikation ikke gøres gældende over for selskabet. Den estiske, den spanske, den franske og den italienske regering samt Kommissionen – i retsmødet ligeledes med tilslutning fra TTJA samt den tyske og den finske regering – har gjort gældende, at det ikke var nødvendigt at meddele lovgivningen, eftersom det krav, der følger af loven om elektronisk kommunikation, efter deres opfattelse ikke udgør en begrænsning, men snarere et vilkår for at udbyde elektroniske kommunikationsnet og
‑tjenester, der er fastsat i direktiv 2018/1972.
87.      I modsætning til disse synspunkter er det min opfattelse – som jeg allerede har forklaret i forbindelse med det tredje spørgsmål – at en foranstaltning, der kræver en forudgående tilladelse, som den, der er indført i Estland ved loven om elektronisk kommunikation, udgør en begrænsning af friheden til at udbyde elektroniske kommunikationsnet og
‑tjenester. Efter min opfattelse skulle denne type foranstaltning derfor have været meddelt Kommissionen.
88.      Jeg vil dog gerne påpege, at det ikke fremgår klart af sagsakterne, om denne foranstaltning faktisk blev meddelt. Ifølge den estiske regering blev et udkast til loven om elektronisk kommunikation, som omfattede tilladelsesrammen, meddelt Kommissionen i 2020 (42), inden den trådte i kraft i 2022. Sagsøgeren har imidlertid bestridt, at loven blev meddelt. Det tilkommer den forelæggende ret at efterprøve, om dette rent faktisk var tilfældet.
89.      Ikke desto mindre er jeg af den opfattelse, at selv om den estiske regering ikke meddelte lovkravet om forudgående tilladelse til Kommissionen, medfører denne undladelse ikke, at denne del af loven om elektronisk kommunikation ikke finder anvendelse på sagsøgeren, hvilket vil sige, at virkningen af manglende meddelelse ikke er den samme som den, der ville følge af, at tekniske krav omfattet af TRIS-direktivet ikke blev meddelt.
90.      For det første udelukker TRIS-direktivet udtrykkeligt området for elektroniske kommunikationsnet og
‑tjenester fra sit anvendelsesområde. Dets artikel 1,
stk. 3, bestemmer, at det »ikke [finder] anvendelse på forskrifter vedrørende spørgsmål, der er omfattet af EU-lovgivning om telekommunikationstjenester som omhandlet i [forgængeren til direktiv 2018/1972]«.
91.      Hvad angår tekniske forskrifter og standarder vedrørende elektroniske kommunikationsnet og
‑tjenester er direktiv 2018/1972 derfor en lex specialis i forhold til TRIS-direktivet.
92.      For det andet kan der, som Kommissionen har forklaret, ikke drages nogen analogi mellem på den ene side en manglende meddelelse i henhold til artikel 12,
stk. 1, i direktiv 2018/1972 og på den anden side manglende overholdelse af den meddelelsesprocedure, der er indført ved TRIS-direktivet og den relevante retspraksis, hvorefter en manglende meddelelse af en teknisk standard medfører, at den ikke finder anvendelse på borgerne (43).
93.      I modsætning til TRIS-direktivet gør artikel 12,
stk. 1, i direktiv 2018/1972 nemlig ikke anvendeligheden af vilkårene vedrørende udbydelse af elektroniske kommunikationsnet og
‑tjenester betinget af Kommissionens godkendelse eller udløbet af en minimumsperiode.
94.      Den manglende meddelelse af en begrænsning af friheden til at udbyde elektroniske kommunikationsnet og
‑tjenester i henhold til artikel
12,
stk. 1, i direktiv 2018/1972 medfører derfor ikke, at den tilladelsesprocedure, der er fastsat i loven om elektronisk kommunikation, ikke kan anvendes på sagsøgeren.
95.      På baggrund af det ovenstående foreslår jeg, at Domstolen besvarer det fjerde spørgsmål således, at den omstændighed, at en begrænsning af friheden til at udbyde elektroniske kommunikationsnet som omhandlet i artikel 12,
stk. 1, i direktiv 2018/1972 ikke er blevet meddelt Kommissionen, ikke medfører, at de nationale forskrifter, som ikke er blevet meddelt, ikke finder anvendelse.
E.      Det femte spørgsmål
96.      Det femte spørgsmål, således som det er formuleret, vedrører nationale foranstaltninger, der begrænser de frie varebevægelser, som fastlagt i artikel 34 TEUF,
men som kan begrundes efter artikel 36 TEUF. Dette spørgsmål er blevet forelagt Domstolen, under forudsætning af at den fastslår, at direktiv 2018/1972 ikke finder anvendelse.
97.      Som jeg har redegjort for, er det imidlertid min opfattelse, at direktiv 2018/1972 finder anvendelse i den foreliggende sag. Det er derfor i princippet ikke nødvendigt, at Domstolen besvarer det femte spørgsmål.
98.      Imidlertid vil et svar på dette spørgsmål, således som det er forelagt, i det væsentlige være hensigtsmæssigt, idet det sætter den forelæggende ret i stand til at afgøre, om de omtvistede foranstaltninger, der er indført på grundlag af loven om elektronisk kommunikation, kan begrundes efter artikel 12,
stk. 1, i direktiv 2018/1972, hvorefter de udgør en begrænsning.
99.      Da Domstolen har mulighed for at omformulere et spørgsmål, som den har fået forelagt, på en måde, som den finder hensigtsmæssig med henblik på afgørelsen af den tvist, der verserer for den forelæggende ret, foreslår jeg Domstolen at gøre dette i den foreliggende sag (44).
100. Derfor ønskes det med det femte spørgsmål, således som det er omformuleret, oplyst, om det er foreneligt med artikel 12,
stk. 1, i direktiv 2018/1972 og proportionalitetsprincippet, at nationale bestemmelser kræver af en kommunikationsvirksomhed, at den indhenter en tilladelse til anvendelse af hardware og software i sit kommunikationsnet for at garantere den nationale sikkerhed, og ikke forpligter forvaltningsmyndigheden til i forbindelse med risikovurderingen: a) at vurdere, om de risici, der er knyttet til producenten, kan overføres på den konkrete hardware og software, b) at vurdere den konkrete hardwares og softwares funktionalitet, placering og betydning i forbindelse med udbydelsen af en kommunikationstjeneste og c) at efterprøve, om de problemer, der er forbundet med producentens etableringsstat, kan overføres på producenten.
101. Det skal i denne henseende fremhæves, at den forelæggende ret ikke har anmodet om et svar vedrørende forholdsmæssigheden af de omtvistede afgørelser, der er vedtaget på grundlag af loven om elektronisk kommunikation. Den forelæggende ret ønsker snarere oplyst, om den tilladelsesprocedure, der er reguleret af loven om elektronisk kommunikation, hvorpå de omtvistede afgørelser er baseret, kan begrundes, hvis den ikke pålægger de kompetente myndigheder en forpligtelse til først at vurdere, om risikoen for den nationale sikkerhed er reel, inden den giver afslag på ansøgningen om tilladelse på dette grundlag. Kun såfremt loven om elektronisk kommunikation anses for at være gyldig ud fra dette perspektiv, opstår spørgsmålet om, hvorvidt den er blevet gennemført på en måde, der er forholdsmæssig.
102. En foranstaltning, der udgør en begrænsning af friheden til at udbyde elektroniske kommunikationsnet og
‑tjenester som omhandlet i artikel
12,
stk. 1, i direktiv 2018/1972, kan være begrundet i de hensyn, der er anført i artikel 52,
stk. 1, TEUF, dvs. den offentlige orden, den offentlige sikkerhed og den offentlige sundhed.
103. I den foreliggende sag har den estiske regering begrundet den begrænsning, som er indført ved loven om elektronisk kommunikation, med den nationale sikkerhed (dvs. sikkerheden i dens telekommunikationsinfrastruktur) og med den omstændighed, at disse foranstaltninger gennemfører direktiv 2018/1972, nærmere bestemt artikel
40,
stk. 1, og artikel 41,
stk. 1.
104. Det er ubestridt, at sikkerheden i kommunikationsnet er af stor betydning i nutidens demokratiske samfund: En sikker og pålidelig telekommunikationsinfrastruktur er ikke blot nødvendig for en effektiv udøvelse af en række af EU’s værdier og grundlæggende rettigheder, herunder værdien demokrati og ytringsfriheden, men den sikrer også social stabilitet, da påvirkning eller forstyrrelse af en medlemsstats telekommunikationsinfrastruktur kan have en indvirkning på andre områder af økonomien og EU-borgernes dagligdag i almindelighed (45).
105. Jeg gør desuden opmærksom på, at Domstolen allerede har anerkendt, at sikkerheden i en medlemsstats telekommunikationsinfrastruktur kan udgøre et element i en stats offentlige sikkerhed (46).
106. Desuden har direktiv 2018/1972 til formål at garantere sikkerheden i elektroniske kommunikationsnet og
‑tjenester og pålægger i dette øjemed, i medfør af artikel 40,
stk. 1, og artikel 41,
stk. 1, medlemsstaterne at garantere sikkerheden i deres elektroniske kommunikationsnet og
‑tjenester (47).
107. Selv om sikkerheden i en medlemsstats elektroniske kommunikationsnet og dets tjenester anerkendes som en grundlæggende samfundsinteresse på både medlemsstatsplan og EU-plan og derfor kan påberåbes som begrundelse for at begrænse friheden til at udbyde sådanne net og tjenester, kan denne begrænsning imidlertid kun pålægges, hvis truslen mod dette hensyn er reel, umiddelbar og tilstrækkeligt alvorlig i det foreliggende tilfælde (48).
108. I denne henseende kan en medlemsstat ikke begrunde en sådan begrænsning alene ved at påberåbe sig hensyn til den nationale sikkerhed (49).
109. I stedet skal den lovgivning, der tillader en sådan begrænsning – i den foreliggende sag loven om elektronisk kommunikation – forpligte de kompetente myndigheder, i den foreliggende sag TTJA og KJN – til at vurdere, om det omhandlede udstyr reelt udgør en sådan trussel mod sikkerheden i det nationale telekommunikationsnet.
110. Selv om denne vurdering kan være anderledes, når der er tale om en trussel, der stammer fra tredjelande eller leverandører herfra (50), kan den ikke baseres på en generel mistanke (51); men der skal være tale om en konkret vurdering af den anvendelse, som udstyret er bestemt til, og de risici, der er forbundet hermed. Denne analyse kan f.eks. omfatte risici, der er forbundet med den pågældende type udstyr, producenten af dette udstyr eller producentens etableringsstat (52).
111. Under disse omstændigheder skal den forelæggende rets femte spørgsmål besvares således, at artikel 12,
stk. 1, i direktiv 2018/1972 kræver, at en national lovgivning, der opstiller et krav om en forudgående tilladelse til anvendelse af hardware og software med henblik på at beskytte sikkerheden i elektroniske kommunikationsnet og
‑tjenester, forpligter de organer, der er bemyndiget til at træffe afgørelse om udstedelse af en sådan tilladelse, til at vurdere, om den omhandlede hardware og software, som der ansøges om anvendelse af, udgør en reel risiko for netsikkerheden, hvilket kan omfatte, at der tages hensyn til den anvendelse, som sådant udstyr er bestemt til, om de risici, der er forbundet med producentens etableringsstat kan overføres på producenten, og om de risici, der er knyttet til producenten, kan overføres på den konkrete hardware og software.
112. Så vidt jeg har forstået – hvilket det tilkommer den forelæggende ret at efterprøve – fastsætter loven om elektronisk kommunikation præcise kriterier, på grundlag af hvilke de kompetente nationale myndigheder kan konkludere, at der foreligger en risiko for den nationale sikkerhed. Det fremgår, at der i denne forbindelse bl.a. tages hensyn til en trussel vedrørende producenten og det tredjeland, hvor denne producent har hjemsted (53).
113. I forbindelse med prøvelsen af de omtvistede afgørelser skal den nationale ret vurdere, om der reelt er taget hensyn til disse kriterier ved vurderingen af risiciene i den konkrete situation i den foreliggende sag, der førte til den tidsmæssige begrænsning af brugstilladelsen.
114. Eftersom vurderingen af, om der foreligger en risiko i forhold til en bestemt producent, dennes udstyr eller anvendelsen heraf, indebærer et indgående kendskab til de tekniske, politiske og sikkerhedsmæssige aspekter, der er forbundet med en konkret situation, kan den ikke foretages af Den Europæiske Unions retsinstanser. Når en national ret anmodes om at efterprøve foranstaltninger, hvorved anvendelsen af visse former for hardware og software forbydes af hensyn til den nationale sikkerhed, skal de kompetente myndigheder dog være i stand til at give rimelige forklaringer på, hvorfor en sådan risiko er konstateret (54); om nødvendigt kan dette kræve anvendelse af forskellige retslige fremgangsmåder (55).
115. Når der, som i den foreliggende sag, er sammenfald mellem de omhandlede sikkerhedsinteresser på EU-plan og nationalt plan, kan en national ret i forbindelse med domstolsprøvelsen af den omhandlede foranstaltning ligeledes tage hensyn til risikovurderinger, der er foretaget af EU-institutioner og -organer samt af nationale organer.
116. I denne henseende kan en række dokumenter, som den estiske regering har henvist til, være relevante for den forelæggende rets vurdering: Regeringen har bl.a. henvist til Kommissionens henstilling fra 2019 om cybersikkerhed, den koordinerede risikovurdering og 5G-værktøjskassen (56) fra NIS-samarbejdsgruppen (57) og til Kommissionens meddelelse om gennemførelse af 5G-værktøjskassen.
117. Selv om disse dokumenter udgør soft law, der ikke er bindende for medlemsstaterne, fastlægger de en koordineret risikovurdering foretaget af de kompetente myndigheder på nationalt plan og EU-plan, på grundlag af hvilken Kommissionen bl.a. konstaterede, at det udstyr, der er fremstillet af producenten af den omhandlede hardware og software, udgør »væsentligt højere risici end andre 5G-leverandører«, og at Kommissionen på grund af »disse høje risici [...] mener, at medlemsstaternes beslutninger om at begrænse eller udelukke Huawei [...] er berettigede og i overensstemmelse med 5G-værktøjskassen« (58).
118. Ifølge meddelelsen om gennemførelse af 5G-værktøjskassen er denne konklusion bl.a. baseret på den omstændighed, at der er en »[forbindelse] mellem [denne leverandør] og regeringen i et givet tredjeland, tredjelandets lovgivning og strukturen af leverandørens virksomhedsejerskab« (59).
119. Den estiske regering har forklaret, at dens kompetente myndigheder tog hensyn til denne vurdering, og at den i medfør af denne fælles risikoidentifikation både på EU-plan og i medlemsstaterne fandt det nødvendigt at begrænse eksponeringen for udstyr fra bl.a. Huawei, leverandøren af den omhandlede hardware og software, i forbindelse med udbydelse af elektroniske kommunikationsnet og
‑tjenester.
120. Det forekommer mig derfor rimeligt at konkludere, at loven om elektronisk kommunikation og de omtvistede afgørelser, der blev vedtaget på grundlag heraf, til trods for at de udgør en begrænsning af friheden til at udbyde elektroniske kommunikationsnet og
‑tjenester, forfølger et legitimt mål:
Forebyggelse af reel risiko for netsikkerheden. Det tilkommer imidlertid den forelæggende ret at vurdere dette.
F.      Det sjette spørgsmål
121. Det fremgår af de nationale sagsakter, at den omhandlede hardware og software blev anvendt af sagsøgeren til 2G-4G-funktionaliteten til at udbyde elektroniske kommunikationsnet og
‑tjenester før de omtvistede afgørelser. Det fremgår ligeledes af sagsøgerens forklaring, at selskabet havde købt udstyr til 5G-funktionaliteten med henblik på at anvende dette udstyr i sit edge-net, inden kravet om at indhente tilladelse blev indført i loven om elektronisk kommunikation. Endelig fremgår det af den forelæggende rets afgørelse og af parternes forklaringer, at de omtvistede afgørelser tillod anvendelse af den omhandlede hardware og software i en kortere periode end brugsperioden for dette udstyr.
122. I denne henseende ønsker den forelæggende ret med det sjette spørgsmål oplyst, om de omtvistede afgørelser, henset til disse omstændigheder, medfører, at der er tale om en ekspropriation som omhandlet i chartrets artikel 17,
stk. 1, andet punktum, i hvilket tilfælde sagsøgeren kan have ret til en passende erstatning.
123. Det er sagsøgerens opfattelse, at dette er tilfældet. Denne har gjort gældende, at den omhandlede tilladelsesordning medfører en uberettiget ekspropriation. Selskabet er også af den opfattelse, at chartrets artikel
17,
stk. 1, er til hinder for en pludselig ændring i den lovgivning, der regulerer anvendelsen af den omhandlede hardware og software, hvorved der indføres et krav om brugstilladelse og som følge heraf et forbud mod at anvende hardware og software, som sagsøgeren lovligt har erhvervet fra en bestemt producent, medmindre der er fastsat en rimelig og passende erstatning.
124. Ifølge Kommissionen samt den estiske, den spanske, den tyske, den franske, den italienske, den svenske og den finske regering udgør rammerne for den omhandlede tilladelsesforanstaltning en form for regulering af anvendelsen af ejendom som omhandlet i chartrets artikel
17,
stk. 1, tredje punktum. De omtvistede afgørelser medførte derfor ikke en berøvelse af sagsøgerens ejendomsret til den omhandlede hardware og software, hverken de facto eller de jure. Disse parter anser desuden den nævnte regulering af ejendomsretten af hensyn til Estlands nationale og offentlige sikkerhed for at udgøre en forholdsmæssig begrænsning af denne ret, eftersom de estiske myndigheder har fastsat en tilstrækkelig lang overgangsperiode.
125. Chartrets artikel 17,
stk. 1, bestemmer, at »[e]nhver har ret til at besidde lovligt erhvervet ejendom, at anvende den, at træffe dispositioner hermed og at lade den gå i arv. Ingen må berøves sin ejendom, medmindre det skønnes nødvendigt i samfundets interesse, og det sker i de tilfælde og på de betingelser, der er fastsat ved lov, og mod rimelig og rettidig erstatning for tabet. Anvendelsen af ejendommen kan reguleres ved lov, i det omfang det er nødvendigt af hensyn til almenvellet«.
126. Domstolen har fastslået, at denne bestemmelse indeholder tre forskellige regler. Den har forklaret, at »[d]en første, som kommer til udtryk i første punktum i denne bestemmelse, og som har en generel karakter, konkretiserer princippet om overholdelse af ejendomsretten. Den anden, der er indeholdt i bestemmelsens andet punktum, vedrører berøvelse af ejendom og opstiller visse betingelser herfor. Hvad angår den tredje, der er indeholdt i samme bestemmelses tredje punktum, giver den medlemsstaterne beføjelse til bl.a. at regulere anvendelsen af ejendommen i det omfang, det er nødvendigt af hensyn til almenvellet. Der er imidlertid en sammenhæng mellem disse regler. Den anden og tredje regel vedrører særlige eksempler på krænkelse af ejendomsretten og skal fortolkes i lyset af det princip, der er fastsat i den første af disse regler« (60).
127. Det fremgår ligeledes af Domstolens praksis, at den beskyttelse, der er fastsat i chartrets artikel 17,
stk. 1, er bred og ud over goder af økonomisk værdi også omfatter de interesser, der er forbundet med udnyttelsen af en licens eller en tilladelse til anvendelse (61).
128. I hovedsagen vedrører de omtvistede afgørelser en ansøgning om tilladelse til at anvende visse former for hardware og software til at udbyde elektroniske kommunikationsnet og
‑tjenester. Denne ansøgning blev kun delvist imødekommet og i den længst mulige periode, der er fastsat i loven om elektronisk kommunikation, dvs. for 2G-4G-funktionaliteten indtil den 31. december 2029 og for 5G-funktionaliteten indtil den 31. december 2025.
129. Eftersom der ikke var tale om et indgreb i denne ejendoms væsentligste indhold, blev sagsøgeren følgelig ikke berøvet den (62). De omtvistede afgørelser udgør i stedet en begrænsning af anvendelsen af sagsøgerens ejendom som omhandlet i chartrets artikel 17,
stk. 1, tredje punktum (63).
130. I dette tilfælde har sagsøgeren principielt ikke ret til erstatning.
131. Når dette er sagt, er det kun muligt at begrænse anvendelsen af ejendommen i det omfang, det er nødvendigt af hensyn til almenvellet. I den foreliggende sag vil denne vurdering svare til den, der kræves for at begrunde et indgreb i friheden til at udbyde elektroniske kommunikationsnet og
‑tjenester i henhold til artikel 12,
stk. 1, i direktiv 2018/1972.
132. Den forelæggende ret har imidlertid ikke anmodet om oplysninger om, hvorledes en sådan proportionalitetsvurdering skal foretages.
133. Jeg gør dog opmærksom på, at et af de aspekter, som den forelæggende ret bør tage hensyn til i den foreliggende sag, er, hvorvidt varigheden af den periode, hvor ansøgeren fik tilladelse til fortsat at anvende den omhandlede hardware og software, set i sammenhæng med varigheden af den periode, hvor ansøgeren kunne forberede sig på en sådan lovændring, var tilstrækkelig.
134. Det skyldes, at den omhandlede tilladelsesforanstaltning, sammen med strenge maksimale anvendelsesperioder, i væsentlig grad påvirker de investeringer, der blev foretaget inden indførelsen af disse lovændringer (64).
135. Den forelæggende ret skal derfor vurdere, om hele den periode, hvor sagsøgeren kunne have forberedt sig på at tilpasse sig til den nye retlige situation, dvs. fra det tidspunkt, hvor de relevante ændringer af loven om elektronisk kommunikation blev foreslået, indtil udløbet af den maksimale anvendelsesperiode for den omhandlede hardware og software, var tilstrækkelig lang. Hvis den finder, at dette ikke er tilfældet, bør det overvejes at fastsætte en rimelig erstatningsordning for det tab, der er lidt (65).
136. Endelig skal den forelæggende ret ved vurderingen af de omtvistede afgørelsers forholdsmæssighed tage hensyn til alvoren af indgrebet i den omhandlede grundlæggende rettighed og vigtigheden af det forfulgte formål (66) samt andre interesser, såsom den interesse, som modtagerne af elektroniske kommunikationsnet og
‑tjenester har i disse nets og tjenesters sikkerhed, samt den markedsrisiko, som en forudseende og påpasselig konkurrent, der er aktiv på det samme marked, ville have påtaget sig for så vidt angår den omhandlede hardware og software (67).
137. Hvis den forelæggende ret fastslår, at den byrde, der blev pålagt sagsøgeren, var uforholdsmæssigt stor, selv om den måtte være nødvendig, kan det – som jeg har redegjort for – være hensigtsmæssigt at yde en rimelig erstatning.
138. På baggrund af ovenstående betragtninger foreslår jeg, at Domstolen besvarer det sjette spørgsmål således, at en begrænsning af anvendelsen af hardware eller software, som allerede fandtes i et elektronisk kommunikationsnet før indførelsen af tilladelsespligten, hvorved der gives brugstilladelse i en kortere periode end brugsperioden for den pågældende hardware eller software, ikke udgør ekspropriation som omhandlet i chartrets artikel 17,
stk. 1, andet punktum.
IV.    Forslag til afgørelse
139. Jeg foreslår, at Domstolen besvarer de spørgsmål, der er forelagt af Tallinna Halduskohus (forvaltningsdomstolen i Tallinn, Estland), som følger:
»1)      Europa-Parlamentets og Rådets direktiv (EU)
2018/1972 af 11. december 2018 om oprettelse af en europæisk kodeks for elektronisk kommunikation
skal fortolkes således, at det omfatter et kompleks af nationale bestemmelser, som med henblik på beskyttelsen af sikkerheden i det nationale elektroniske kommunikationsnet og dets tjenester kræver, at en operatør, der ønsker at udbyde et sådant net og en sådan tjeneste, indhenter en tilladelse til anvendelse af hardware og software i sit kommunikationsnet.
2)      Artikel 4,
stk. 2, TEU og artikel 1,
stk. 3, litra
c), i direktiv 2018/1972
skal fortolkes således, at en foranstaltning, der kræver en tilladelse til hardware og software for at udbyde et offentligt eller offentligt tilgængeligt elektronisk kommunikationsnet eller en offentlig eller offentligt tilgængelig elektronisk kommunikationstjeneste, ikke er udelukket fra anvendelsesområdet for direktiv 2018/1972, selv om denne foranstaltning er blevet vedtaget med henblik på at beskytte nationale sikkerhedsinteresser.
3)      Artikel 12,
stk. 1, i direktiv 2018/1972
skal fortolkes således, at et kompleks af nationale forskrifter, der kræver en forvaltningsmyndigheds tilladelse til anvendelse af hardware og software til at udbyde elektroniske kommunikationsnet og
‑tjenester, udgør en begrænsning af friheden til at udbyde sådanne net og tjenester som omhandlet i denne bestemmelse.
En sådan begrænsning kan være berettiget af grunde, der er foreskrevet i artikel 52, stk. 1, TEUF
4)      Artikel 12,
stk. 1, i direktiv 2018/1972
skal fortolkes således, at den omstændighed, at en begrænsning af friheden til at udbyde elektroniske kommunikationsnet ikke er blevet meddelt Europa-Kommissionen, ikke medfører, at de nationale forskrifter, som ikke er blevet meddelt, ikke finder anvendelse.
5)      Artikel 12,
stk. 1, i direktiv 2018/1972 og proportionalitetsprincippet
skal fortolkes således, at denne bestemmelse og dette princip kræver, at en national lovgivning, der opstiller et krav om en forudgående tilladelse til anvendelse af hardware og software med henblik på at beskytte sikkerheden i elektroniske kommunikationsnet og
‑tjenester, forpligter de organer, der er bemyndiget til at træffe afgørelse om udstedelse af en sådan tilladelse, til at vurdere, om den omhandlede hardware og software, som der ansøges om anvendelse af, udgør en reel risiko for netsikkerheden, hvilket kan omfatte, at der tages hensyn til den anvendelse, som sådant udstyr er bestemt til, om de risici, der er forbundet med producentens etableringsstat kan overføres på producenten, og om de risici, der er knyttet til producenten, kan overføres på den konkrete hardware og software.
6)      En begrænsning af anvendelsen af hardware eller software, som allerede fandtes i et elektronisk kommunikationsnet før indførelsen af tilladelsespligten, hvorved der gives brugstilladelse i en kortere periode end brugsperioden for den pågældende hardware eller software, udgør ikke ekspropriation som omhandlet i artikel 17,
stk. 1, andet punktum, i Den Europæiske Unions charter om grundlæggende rettigheder.«
1 –      Originalsprog: engelsk.
2 –      Europa-Parlamentets og Rådets direktiv af 11.12.2018 om oprettelse af en europæisk kodeks for elektronisk kommunikation (EUT 2018, L 321, s. 36).
3 –      Jf. i denne forbindelse A. Sendin, M.A. Sanchez-Fornie, I. Berganza, J. Simon og I. Irritoa,
Telecommunication Networks for the Smart Grid,
Artech House,
Boston,
2016, s. 176. På grund af kernenettets grundlæggende betydning for telekommunikationsinfrastrukturen som helhed kaldes det undertiden »rygraden« eller »hjernen« i et mobilnet. Jf. generelt om dette punkt NATO Cooperative Cyber Defence Centre of Excellence, som har beskrevet kernenettet som »grundlæggende infrastruktur og derfor [...] af væsentlig national interesse med konsekvenser for den nationale sikkerhed«. Jf. NATO Cooperative Cyber Defence Centre of Excellence, K. Kaska, H. Beckvard og T. Minárik, »Huawei, 5G and China as a Security Threat«, 2019, s. 15, tilgængelig på https://ccdcoe.org/uploads/2019/03/CCDCOE-Huawei-2019-03-28-FINAL.pdf
4 –      Jf. f.eks. i Tyskland, Federal Office for Information Security,
5G Risk Analysis, Framework Document: Methodology, Risk Scenarios and Results,
2025, s. 21, der forklarer, at »radioadgangsnettet (RAN) omfatter 5G basisstationer [...] med en radiogrænseflade […], der sikrer mobilenheders konnektivitet« (tilgængelig på https://www.bsi.bund.de/SharedDocs/Downloads/EN/BSI/Publications/Studies/5G/5G_Framework_Document.pdf?__blob=publicationFile&v=4).
5 –      I visse medlemsstater er 2G- og 3G-net allerede under afvikling; jf. f.eks. i Irlands tilfælde Commission for Communications Regulation,
»2G/3G Switch off: Guidance for Mobile Network Operators«, ComReg 24/61,
30.7.2024, tilgængelig på https://www.comreg.ie/media/2024/07/ComReg-2461.pdf
6 –      Kommissionen gav allerede udtryk for det synspunkt i 2016 og har senere udviklet det yderligere. Jf. Meddelelse fra Kommissionen til Europa-Parlamentet, Rådet, Det Europæiske Økonomiske og Sociale Udvalg og Regionsudvalget,
5G til Europa: En handlingsplan, COM(2016) 588 final, s. 4, hvori Kommissionen forklarer, at »[e]n ambitiøs tidsplan for etableringen af 5G er vigtig for, at Europa kan være førende på markedet og tidligt udnytte de nye muligheder, som 5G frembyder, ikke kun i telekommunikationssektoren, men i hele økonomien og samfundet«.
7 –      I punkt 2, litra a), i Kommissionens henstilling (EU) 2019/534 af 26.3.2019 om cybersikkerheden i forbindelse med 5G-net (EUT 2019, L 88, s. 42) (herefter »henstillingen om cybersikkerhed«) definerer Kommissionen »5G-net« som »et sæt af alle relevante netinfrastrukturelementer for mobil og trådløs kommunikationsteknologi, som anvendes til at skabe konnektivitet og værdiforøgende tjenester, med højydelsesegenskaber såsom meget høj datahastighed og
‑kapacitet, kommunikation med lav latenstid, ultrahøj pålidelighed og understøttelse af et stort antal forbundne enheder. Disse kan omfatte gamle netelementer baseret på tidligere generationer af mobil og trådløs kommunikationsteknologi såsom 4G eller 3G. 5G-net bør anses for at omfatte alle relevante dele af nettet«.
8 –      Jf. f.eks. Den Europæiske Revisionsrets særberetning fra 2022, hvori det anføres, at »det anslås, at der ved udgangen af 2018 var 22
[mia.]
tilsluttede enheder i brug på verdensplan[, og at d]ette tal forventes at stige til omkring 50
[mia.] i 2030 og skabe et massivt net af indbyrdes forbundne enheder, lige fra smartphones til køkkenapparater. Det globale dataforbrug forventes at springe fra 12 exabyte mobil datatrafik pr. måned i 2017 til over 5 000 exabyte i 2030«. Jf. Den Europæiske Revisionsret,
»5G-udrulningen i EU: Udrulningen af net er forsinket, og der er stadig uafklarede sikkerhedsspørgsmål«, særberetning 03/2022, Den Europæiske Unions Publikationskontor, Luxembourg,
2022, s. 7,
tilgængelig på: https://www.eca.europa.eu/Lists/ECADocuments/SR22_03/SR_Security-5G-networks_DA.pdf
9 –      Det bør nævnes, at selv om forelæggelsesafgørelsen og sagsøgeren i sine bemærkninger angiver den 23.3.2022 som den dato, hvor sagsøgeren søgte om tilladelse, angiver den estiske regerings bemærkninger og dele af de nationale sagsakter, herunder TTJA’s afgørelse nr. 1-7/22-436 af 25.11.2022, den 18.3.2022 som datoen for denne ansøgning.
10 –      En engelsk oversættelse af lovteksten findes på https://www.riigiteataja.ee/en/eli/ee/Riigikogu/act/528102025002/consolide
11 –      De 12 kriterier er følgende: »1)
Producenten eller leverandøren af vedligeholdelses- eller støttetjenester har sit hjemsted eller hovedkontor i et land [...], der ikke er medlem af Den Europæiske Union, Den Nordatlantiske Traktats Organisation [...] eller Organisationen for Økonomisk Samarbejde og Udvikling [...], 2)
retsstatsprincipperne overholdes ikke, eller menneskerettighederne respekteres ikke i det land, hvor producenten eller leverandøren af vedligeholdelses- eller støttetjenester har bopæl, 3)
intellektuelle ejendomsrettigheder, personoplysninger eller forretningshemmeligheder vedrørende personer i andre lande beskyttes ikke i det land, hvor producenten eller leverandøren af vedligeholdelses- eller støttetjenester har bopæl, 4)
det land, hvor producenten eller leverandøren af vedligeholdelses- eller støttetjenester har bopæl, udviser aggressiv adfærd i cyberspace, 5)
Den Europæiske Unions, NATO’s eller OECD’s medlemsstater har tilskrevet det land, hvor producenten eller leverandøren af vedligeholdelses- eller støttetjenester har bopæl, cyberangreb, 6)
producenten eller leverandøren af vedligeholdelses- eller støttetjenester er underlagt regeringen eller de statslige myndigheder i bopælslandet eller et andet fremmed land, som ikke har nogen uafhængig retslig kontrol, 7)
det land, hvor producenten eller leverandøren af vedligeholdelses- eller støttetjenester har bopæl, eller et andet fremmed land kan forpligte vedkommende til at handle på en måde, der udgør en risiko for Estlands nationale sikkerhed, 8)
producenten eller leverandøren af vedligeholdelses- eller støttetjenester udøver ikke sine økonomiske aktiviteter på grundlag af markedsbaseret konkurrence, eller der er ikke skabt passende betingelser herfor i bopælslandet, 9)
ejerstrukturen, organisationsstrukturen eller ledelsesstrukturen hos producenten eller leverandøren af vedligeholdelses- eller støttetjenester er ikke gennemsigtig, 10)
finansieringen af producenten eller leverandøren af vedligeholdelses- eller støttetjenester er ikke gennemsigtig, 11)
de produkter eller tjenester, som produceres eller leveres af producenten eller leverandøren af vedligeholdelses- eller støttetjenester, omfatter sårbarheder, og der er ikke gennemført tilstrækkelige sikkerhedsforanstaltninger for at fjerne disse, 12)
producenten eller leverandøren af vedligeholdelses- eller støttetjenester er ikke i stand til at sikre fortsat levering af produkter eller tjenester, undtagen i tilfælde af force majeure.«
12 –      Ifølge ordlyden af § 1965 i loven om elektronisk kommunikation omfatter dette »5G NSA eller en nyere generation af standarder for mobilkommunikationsnet«.
13 –      Det fremgår af ordlyden af § 1965 i loven om elektronisk kommunikation, at der efter den 31.2.2025 ikke udstedes en fremtidig tilladelse til 5G-teknologi, der anses for at udgøre en risiko for den nationale sikkerhed, hvorimod der efter den 31.12.2029 kan ansøges om tilladelse til fortsat brug af 2G-,
3G-,
4G-hardware og
‑software, selv om der er konstateret en risiko for den nationale sikkerhed.
14 –      I henhold til § 873, stk. 2, i den estiske lov om elektronisk kommunikation kan den hardware eller software, der anvendes i et kommunikationsnet, udgøre en fare for den nationale sikkerhed på grund af den høje risiko, som producenten eller udbyderen af vedligeholdelses- eller supporttjenester udgør (nr. 1), eller på grund af den risiko, som hardwarens eller softwarens tekniske kendetegn eller konfiguration udgør (nr. 2).
15 –      Jf. fodnote 11 i dette forslag til afgørelse. I retsmødet forklarede den estiske regering, at eksempler på de identificerede typer af risiko vedrørte mulighed for spionage, ulovlig brug af oplysninger og data og afbrydelse af vigtige tjenester.
16 –      Europa-Parlamentets og Rådets direktiv af 9.9.2015 om en informationsprocedure med hensyn til tekniske forskrifter samt forskrifter for informationssamfundets tjenester (EUT 2015, L 241, s. 1).
17 –      Jf. i denne retning artikel 1, stk. 1, i direktiv 2018/1972. I denne henseende er direktiv 2018/1972 en omarbejdning af en række retsakter, der blev vedtaget som et kompleks af bestemmelser i marts 2002, og som tidligere regulerede elektronisk kommunikation med henblik på at tilpasse de lovgivningsmæssige rammer til den teknologiske udvikling og markedsudviklingen. Jf. i denne retning dom af 27.2.2025, T – 2 (C-562/23, EU:C:2025:126, præmis 37 og den deri nævnte retspraksis).
18 –      Som det fremgår af femte betragtning til direktiv 2018/1972, bør friheden til at udbyde elektroniske kommunikationsnet og
‑tjenester kun være underlagt de vilkår, der er fastsat i dette direktiv.
19 –      Jf. artikel 2, stk. 1, i direktiv 2018/1972.
20 –      Min fremhævelse.
21 –      Jf. artikel 2, stk. 1, i direktiv 2018/1972.
22 –      Jf. artikel 2, stk. 4, i direktiv 2018/1972.
23 –      Begrebet »elektronisk kommunikationsnet« defineres i artikel 2, stk. 1, i direktiv 2018/1972 som: »transmissionsnet, uanset om de bygger på en permanent infrastruktur eller centraliseret administrationskapacitet, og, hvor det er relevant, koblings- og dirigeringsudstyr og andre ressourcer, herunder netelementer, der ikke er aktive, som gør det muligt at overføre signaler ved hjælp af trådforbindelse, radiobølger, lyslederteknik eller andre elektromagnetiske midler, herunder satellitnet, jordbaserede fastnet (kredsløbs- og pakkekoblede, herunder i internettet) og mobilnet, elkabelsystemer, i det omfang de anvendes til transmission af signaler, net, som anvendes til radio- og [TV]-spredning, samt kabel-[TV]-net, uanset hvilken type information der overføres«.
24 –      Jf. i denne retning dom af 5.6.2019, Skype Communications (C-142/18, EU:C:2019:460, præmis 49), og af 13.6.2019, Google (C-193/18, EU:C:2019:498, præmis 34,
35 og 41).
25 –      Artikel 4, stk. 2, TEU henviser til national sikkerhed, mens artikel 1, stk. 3, litra c), i direktiv 2018/1972 anvender udtrykkene »offentlig orden« og »offentlig sikkerhed«. I sjette betragtning til direktiv 2018/1972 anvendes imidlertid f.eks. udtrykket »væsentlige sikkerhedsinteresser« sammen med henvisningerne til »den offentlige orden« og »den offentlige sikkerhed« som en del af de områder, som direktivet »ikke indskrænker«. Eftersom der ikke er noget i selve ordlyden af direktiv 2018/1972, dets formål eller forarbejderne hertil, der gør det muligt at indtage et andet synspunkt (jf. Forslag til Europa-Parlamentets og Rådets direktiv om en europæisk kodeks for elektronisk kommunikation (COM(2016) 590 final/2)), er jeg af den opfattelse, at den i artikel 1, stk. 3, litra c), i direktiv 2018/1972 anvendte terminologi, bør fortolkes således, at den omfatter begreberne »national sikkerhed« eller »væsentlige sikkerhedsinteresser«. Dette ville også være i overensstemmelse med den formulering, der blev anvendt i det direktiv, der var forgængeren til direktiv 2018/1972, som allerede indeholdt en sådan formulering i betragtningerne (selv om det ikke indeholdt en specifik artikel herom). Jf. syvende betragtning til Europa-Parlamentets og Rådets direktiv 2002/21/EF af 7.3.2002 om fælles rammebestemmelser for elektroniske kommunikationsnet og
‑tjenester (rammedirektivet) (EFT 2002, L 108, s. 33).
26 –      Jf. f.eks. dom af 26.10.1999, Sirdar (C-273/97, EU:C:1999:523, præmis 15), af 6.10.2020, Privacy International (C-623/17, EU:C:2020:790, præmis 44 og den deri nævnte retspraksis), og af 15.7.2021, Ministrstvo za obrambo (742/19, EU:C:2021:597, præmis 40 og den deri nævnte retspraksis).
27 –      Jf. senest dom af 29.7.2024, protectus (C-185/23, EU:C:2024:657, præmis 62 og den deri nævnte retspraksis).
28 –      I denne henseende er denne sag et interessant eksempel på »sikkerhedsliggørelse« af EU-retten. Jf. vedrørende udviklingen af et »sikkerhedsduopol« mellem medlemsstaterne og EU’s politiske institutioner, hvor politiske retningslinjer og tiltag på nationalt plan og EU-plan gensidigt indvirker på hinanden, A. Pilniok,
»Governance of the European Security Union«, i J.-H. Dietrich og A. Pilniok,
European Security Union: Law and Policies, Beck/Hart/Nomos,
2024, s. 18 og 19.
29 –      Jf. bl.a. henstillingen om cybersikkerhed fra 2019 og Kommissionens meddelelse,
»Gennemførelse af værktøjskassen til 5G-cybersikkerhed« (C(2023) 4049 final) (herefter »meddelelsen om gennemførelse af 5G-værktøjskassen«).
30 –      Jf. NIS Cooperation Group, »EU coordinated risk assessment of the cybersecurity of 5G networks«, 2019 (herefter »den koordinerede risikovurdering«). tilgængelig på: https://digital-strategy.ec.europa.eu/en/news/eu-wide-coordinated-risk-assessment-5g-networks-security. Jf. endvidere »NIS Cooperation Group, Cybersecurity of 5G networks, EU Toolbox of risk mitigating measures«, /2020 (herefter »5G-værktøjskassen«), tilgængelig på: https://digital-strategy.ec.europa.eu/en/library/cybersecurity-5g-networks-eu-toolbox-risk-mitigating-measures
31 –      Dom af 15.7.2021 (C-742/19, EU:C:2021:597).
32 –      Europa-Parlamentets og Rådets direktiv af 4.11.2003 (EUT 2003, L 299, s. 9).
33 –      Jf. dom af 15.7.2021, Ministrstvo za obrambo (C-742/19, EU:C:2021:597, præmis 75).
34 –      Den franske regering har desuden påpeget, at det ikke er åbenbart, at en ordning med forudgående tilladelse til hardware og software som den i hovedsagen omhandlede påvirker muligheden for at udbyde sådanne net eller tjenesteydelser. Ifølge denne regering kræver denne ordning på ingen måde, at teleoperatørerne indhenter en tilladelse, for at de kan udøve virksomhed i form af at udbyde elektroniske kommunikationsnet og
‑tjenester mere generelt.
35 –      Min fremhævelse.
36 –      Selv om artikel 12, stk. 1, i direktiv 2018/1972 er formuleret således, at medlemsstaterne ikke må »hindre« friheden til at udbyde elektroniske kommunikationsnet og
‑tjenester, skal dette udtryk efter min opfattelse forstås mere bredt således, at det forbyder medlemsstaterne at indføre en hvilken som helst form for hindring for at udbyde disse net og tjenester. Dette følger af formålet med direktiv 2018/1972 om etablering af et indre marked for elektroniske kommunikationsnet og
‑tjenester. Denne konklusion kan også drages af de forskellige sprogversioner af artikel 12, stk. 1, i direktiv 2018/1972, hvor der anvendes udtryk, der både betyder »stå i vejen for« og »hindre«: Jf. i denne henseende f.eks. den tyske sprogversion, der anvender udtrykket »hindern«, den spanske version, der anvender udtrykket »no impedirán«, den franske version, der anvender udtrykket »n’empêchent pas«, og den kroatiske sprogversion, der anvender udtrykket »ne smiju sprečavati«.
37 –      Man kunne forestille sig en situation, hvor en medlemsstat besluttede, at al hardware og software, der anvendes i sådanne net, for at garantere nettenes sikkerhed skal fremstilles af virksomheder med hjemsted i denne stat. Denne form for protektionistisk foranstaltning ville være i klar strid med friheden til at udbyde net og tjenesteydelser, men ville kunne begrundes, hvis direktiv 2018/1972 blev fortolket således, at en hvilken som helst foranstaltning, der er vedtaget med henblik på at nå målet om sikkerhed i net og tjenester, automatisk blev anset for acceptabel og udelukket fra nærmere kontrol.
38 –      Jf. f.eks. dom af 23.2.1995, Bordessa m.fl. (C-358/93 og C-416/93, EU:C:1995:54, præmis 25).
39 –      Jf. f.eks. dom af 4.12.1986, Kommissionen mod Tyskland (205/84, EU:C:1986:463, præmis 28).
40 –      Jf. f.eks. dom af 14.3.2000, Église de scientologie (C-54/99, EU:C:2000:124, præmis 14).
41 –      Jf. f.eks. dom af 1.6.2010, Blanco Pérez og Chao Gómez (C-570/07 og C-571/07, EU:C:2010:300, præmis 54).
42 –      Den estiske regering har henvist til den tekniske meddelelse af dette udkast, som Kommissionen modtog den 20.10.2020, tilgængelig på: https://technical-regulation-information-system.ec.europa.eu/en/notification/15441
43 –      Jf. navnlig dom af 30.4.1996, CIA Security International (C-194/94, EU:C:1996:172, præmis 54), og af 21.12.2023, Papier Mettler Italia (C-86/22, EU:C:2023:1023, præmis 44).
44 –      Jf. bl.a. dom af 15.7.2021, Ministrstvo za obrambo (C-742/19, EU:C:2021:597, præmis 31 og den deri nævnte retspraksis).
45 –      Jf. i denne henseende 5. og
37. betragtning til Europa-Parlamentets og Rådets direktiv (EU) 2022/2555 af 14.12.2022 om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i hele Unionen, om ændring af forordning (EU) nr. 910/2014 og direktiv (EU) 2018/1972 og om ophævelse af direktiv (EU) 2016/1148 (NIS 2-direktivet) (EUT 2022, L 333, s. 80) (herefter »NIS 2-direktivet«.
46 –      Jf. i denne retning dom af 20.6.2002, Radiosistemi (C-388/00 og C-429/00, EU:C:2002:390, præmis 44). Under alle omstændigheder har det allerede siden dom af 10.7.1984, Campus Oil m.fl. (72/83, EU:C:1984:256, navnlig præmis 34-36), fremgået, at begrebet offentlig sikkerhed i retspraksis forstås således, at det rækker ud over den offentlige orden og anvendelsen af politi og militær; i denne dom fastslog Domstolen, at dette begreb også kan være forbundet med andre former for trusler mod en medlemsstats institutioner, dens grundlæggende offentlige tjenester og mere generelt samfundets behov.
47 –      Jf. dette forslag til afgørelses punkt 32-42.
48 –      Jf. bl.a. dom af 14.3.2000, Église de scientologie (C-54/99, EU:C:2000:124, præmis 17 og den deri nævnte retspraksis), og af 18.6.2020, Kommissionen mod Ungarn (Foreningers gennemsigtighed) (C-78/18, EU:C:2020:476, præmis 91 og den deri nævnte retspraksis).
49 –      Jf. analogt dom af 3.9.2008, Kadi og Al Barakaat International Foundation mod Rådet og Kommissionen (C-402/05 P og C-415/05 P, EU:C:2008:461, præmis 343) (hvori det forklares, at en foranstaltning ikke kan være undtaget fra enhver form for kontrol fra EU’s retsinstanser, blot fordi den retsakt, i hvilken den er fastsat, vedrører national sikkerhed).
50 –      Jf. analogt dom af 26.2.2019, X (Passive selskaber etableret i tredjelande) (C-135/17, EU:C:2019:136, præmis 90 og den deri nævnte retspraksis).
51 –      Jf. i denne retning dom af 14.3.2000, Église de scientologie (C-54/99, EU:C:2000:124, præmis 22), og af 18.6.2020, Kommissionen mod Ungarn (Foreningers gennemsigtighed) (C-78/18, EU:C:2020:476, præmis 86 og 93).
52 –      Jf. analogt dom af 10.3.2016, Safe Interenvíos (C-235/14, EU:C:2016:154, præmis 104) (hvori det forklares, at vurderingen af en kundes øgede risiko, i forbindelse med hvidvaskning af penge, kan vedrøre en bestemt kategori af kunder, lande, produkter eller transaktioner).
53 –      Jf. i denne henseende fodnote 11 i dette forslag til afgørelse.
54 –      Jf. analogt dom af 21.11.1991, Technische Universität München (C-269/90, EU:C:1991:438, præmis 13 og 14).
55 –      Jf. i denne retning dom af 4.6.2013, ZZ (C-300/11, EU:C:2013:363, præmis 57 og den deri nævnte retspraksis).
56 –      Denne værktøjskasse er resultatet af et af de mål, som Kommissionen fastsatte i henstillingen om cybersikkerhed
[jf. afsnit I, punkt 1, litra c), deri], der foreskriver, at NIS-samarbejdsgruppen skal »fastlægge et eventuelt fælles sæt foranstaltninger, der skal træffes for at afbøde de cybersikkerhedsrisici, som er forbundet med infrastrukturer, der understøtter det digitale økosystem, navnlig 5G-net«.
57 –      Jf. fodnote 30 i dette forslag til afgørelse. Denne gruppe er et udvalg nedsat på grundlag af artikel 11, stk. 1, i Europa-Parlamentets og Rådets direktiv (EU) 2016/1148 af 6.7.2016 om foranstaltninger, der skal sikre et højt fælles sikkerhedsniveau for net- og informationssystemer i hele Unionen (EUT 2016, L 194, s. 1). Dette direktiv er i mellemtiden blevet erstattet af NIS 2-direktivet, men gruppen eksisterer fortsat (jf. NIS 2-direktivets artikel 14, stk. 1).
58 –      Jf. meddelelsen om implementeringen af 5G-værktøjskassen, s. 2.
59 –      Jf. meddelelsen om implementeringen af 5G-værktøjskassen, s. 1. Jf. også, for lignende leverandørspecifikke sårbarhedskriterier,
5G-værktøjskassen, s. 42.
60 –      Jf. senest dom af 10.7.2025, INTERZERO m.fl. (C-254/23, EU:C:2025:569, præmis 144 og den deri nævnte retspraksis). Jf. i denne retning også dom af 5.5.2022, BPC Lux 2 m.fl. (C-83/20, EU:C:2022:346, præmis 38 og den deri nævnte retspraksis).
61 –      Jf. i denne retning dom af 10.7.2025, INTERZERO m.fl. (C-254/23, EU:C:2025:569, præmis 145 og 146 og den deri nævnte retspraksis).
62 –      Jf. i denne retning dom af 10.9.2024, Neves 77 Solutions  (C-351/22, EU:C:2024:723, præmis 82 og 88 og den deri nævnte retspraksis).
63 –      Jf. analogt dom af 10.7.2025, INTERZERO m.fl. (C-254/23, EU:C:2025:569, præmis 146 og den deri nævnte retspraksis) (hvori det forklares, at »de interesser, der er forbundet med udnyttelsen af en licens, udgør økonomiske interesser, som er omfattet af beskyttelsen i henhold til [artikel 1 i tillægsprotokol nr. 1 til den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder, undertegnet i Paris den 20.3.1952]«, hvorved »tilbagekaldelsen ex lege af en tilladelse, der gør det muligt for indehaveren heraf at udøve en økonomisk virksomhed, [udgør] en begrænsning af den ejendomsret, der er sikret ved denne artikel, og som i sin egenskab af foranstaltning, der regulerer anvendelsen af ejendommen, henhører under nævnte artikels stk. 2«).
64 –      Jf. i denne retning dom af 10.7.2025, INTERZERO m.fl.  (C-254/23, EU:C:2025:569, præmis 155 og den deri nævnte
retspraksis).
65 –      Jf. i denne retning dom af 10.7.2025, INTERZERO m.fl. (C-254/23, EU:C:2025:569, præmis 155 og 156 og den deri nævnte retspraksis).
66 –      Jf. senest dom af 18.12.2025,
Slagelse Almennyttige Boligselskab, Afdeling Schackenborgvænge (C-417/23, EU:C:2025:1017, præmis 168 og den deri nævnte retspraksis).
67 –      Jf. i denne retning dom af 10.7.2025, INTERZERO m.fl.  (C-254/23, EU:C:2025:569, præmis 158 og den deri nævnte
retspraksis).