《网络安全法》修订提案中的“非技术排除”：中资通讯与数字化企业的市场封杀与救济路径

1、制度设计逻辑

水平化供应链治理：从5G工具箱的自愿性指导升级为欧盟统一强制机制，要求成员国在18个关键行业（如能源、交通、医疗）排除“高风险供应商”。

非技术性风险主导：认定标准包括“第三国法律是否要求企业披露敏感数据”“政府是否存在网络威胁行为”等主观因素，而非产品本身的技术漏洞。

2、关键概念界定

ICT组件广泛外延：涵盖硬件、软件及服务，甚至包括逆变器、传感器等边缘设备。

高风险供应商判定：一旦某国被列为“网络安全关切国家”，其所有企业自动纳入高风险名单，无需逐案审查。

“控制”（Control）的定义为：即便股权不占多数，只要高管管理层位于该国或通过合同拥有决定性影响，即可被认定为受控。

3、全流程闭环管控

事前禁止：新项目不得采购列名供应商设备；

事中替换：现有设备需在36个月内物理拆除；

事后追责：违规企业面临合同终止、罚款及公共采购资格剥夺。

1、市场准入全面受限

华为、中兴等企业可能被整体排除出欧盟市场，已部署设备需强制替换，涉及5G基站、电力控制系统等核心设施。

无法参与欧盟科研项目、标准制定及政府采购，丧失长期竞争力。

2、合规成本剧增

企业需重构供应链以满足“去中国化”要求，德国预计损失超1700亿欧元，爱尔兰电信业或承担7.3亿欧元替换成本。

认证体系壁垒：新设欧洲网络安全认证框架（ECCF）要求第三方评估，但列名企业连申请资格都将被剥夺。

3、产业链连锁反应

物流、制造业依赖中资ICT组件的企业被迫调整合作模式，可能导致项目延期、违约赔偿。

中小企业因缺乏替代方案面临生存危机，尤其在东欧、南欧等数字化基础薄弱地区。

1、违反WTO规则

最惠国待遇与国民待遇：基于国籍的歧视性排除违背《关税与贸易总协定》第1条、第3条。

技术性贸易壁垒：以非技术标准限制进口，涉嫌违反《TBT协定》第2.1条。

2、越权立法嫌疑

欧盟以“网络安全”名义干预成员国国家安全事务，超出《欧盟运行条约》授权范围。

3、证据缺失问题

迄今无实证表明中资设备存在后门，德国联邦信息安全办公室2024年报告明确未发现中资产品漏洞。

4、从“原则”到“举证”

比例原则：毕马威报告指出，一刀切的排除措施缺乏“必要性”和“适当性”。欧委会承认缺乏中国设备存在技术后门的实证证据（德国BSI 2024报告），却仍实施全球禁令，这在欧洲法院（CJEU）判例中极易被认定违反比例原则。

举证责任：提案将证明“无害”的责任完全转嫁给供应商，而标准（如“独立来源证实”）极其模糊，这在程序法上涉嫌违反《欧盟基本权利宪章》第47条（获得有效救济的权利）。

1、短期应急措施

合规自查：梳理在欧业务涉及的ICT组件清单，评估替换可行性；

客户沟通：与欧洲合作伙伴协商过渡期安排，避免单方面解约；

证据固化：保存产品安全测试记录、第三方审计报告，为潜在诉讼做准备。

2、中期法律抗辩

参与立法评议：通过商会渠道提交评论意见（如中国机电商会已行动），推动删除“非技术风险”条款；

发起司法挑战：若被列入高风险名单，可依据《欧盟基本权利宪章》提起无效之诉；

利用成员国分歧：联合德、意等反对强硬立场的国家游说欧委会。

3、长期战略调整

本地化布局：在欧洲设立研发中心或合资公司，规避“国籍标签”；

多元化市场：加速拓展东南亚、中东等非欧美市场；

技术自主可控：加强开源生态建设，降低对单一供应链依赖。

CSA2的“穿透”机制非常强。如果在欧洲设立研发中心，但其最终母公司位于中国（被认定为关切国），该子公司仍会被认定为高风险供应商。建议采取“去政治化技术合作”：即推动中欧在开源社区（如Open Euler, Open Harmony）的技术标准互认，以“开源贡献者”而非“中国供应商”的身份参与欧盟Horizon Europe等科研项目，规避国籍标签。

CSA2提案本质是地缘政治驱动下的数字主权争夺战。尽管短期内中资企业面临严峻挑战，但欧盟内部亦存在强烈反对声音——毕马威测算显示，强制替换将导致其五年内损失3678亿欧元。

未来走向取决于三方面博弈：一是中欧能否通过对话达成互认协议；二是成员国是否愿意承担经济代价执行一刀切政策；三是企业能否构建更具韧性的全球化运营体系。

在这场没有硝烟的战争中，唯有坚持技术中立原则、尊重国际规则，才能实现真正的网络安全与共赢发展。