Παγωτοβιομηχανίες, χονδρέμποροι τσίχλας, κατασκευαστές χριστουγεννιάτικων φωτιστικών, ακόμη και ορισμένοι ιδιοκτήτες ακινήτων στη Γερμανία ενδέχεται να βρεθούν υπό το νέο ευρωπαϊκό πλαίσιο κυβερνοασφάλειας.
Η εφαρμογή της οδηγίας NIS2, που έχει σχεδιαστεί για την προστασία κρίσιμων υποδομών, προκαλεί ήδη σύγχυση σε επιχειρήσεις και νομικούς, ενώ αρκετές χώρες της ΕΕ καθυστερούν ακόμη να περάσουν τους απαραίτητους εθνικούς κανόνες.
Η Ευρωπαϊκή Ένωση επιχειρεί να δημιουργήσει ένα ισχυρότερο «τείχος» προστασίας απέναντι στις ολοένα και συχνότερες κυβερνοεπιθέσεις, όμως η εφαρμογή της νέας ευρωπαϊκής νομοθεσίας δημιουργεί απρόσμενες και σε ορισμένες περιπτώσεις παράδοξες καταστάσεις.
Η οδηγία NIS2, η οποία θεσπίστηκε το 2022 με στόχο την ενίσχυση της κυβερνοασφάλειας σε κρίσιμους τομείς, βρίσκεται ακόμη σε διαδικασία εφαρμογής στα κράτη-μέλη. Δικηγόροι και ειδικοί στον χώρο της κυβερνοασφάλειας προειδοποιούν ότι ορισμένες επιχειρήσεις που εκ πρώτης όψεως δεν θα θεωρούνταν «κρίσιμες» μπορεί τελικά να υπαχθούν στο νέο καθεστώς.
Μεταξύ αυτών βρίσκονται, υπό συγκεκριμένες προϋποθέσεις, παραγωγοί παγωτού, κατασκευαστές χριστουγεννιάτικων φωτιστικών, χονδρέμποροι τσίχλας, μεγάλα σχολεία με φωτοβολταϊκά, αλλά και ορισμένοι ιδιοκτήτες ακινήτων στη Γερμανία.
Η εικόνα αυτή αποτυπώνει τη δυσκολία εφαρμογής της NIS2, καθώς οι επιχειρήσεις καλούνται να καταλάβουν εάν εμπίπτουν στο πεδίο εφαρμογής της νομοθεσίας και ποιες ακριβώς υποχρεώσεις προκύπτουν.
Γιατί μπορεί να αφορά ακόμη και… παγωτατζήδες
Η NIS2 περιλαμβάνει μεταξύ άλλων την παραγωγή, επεξεργασία και διανομή τροφίμων. Η επιλογή αυτή θεωρείται εύλογη, καθώς μία σοβαρή κυβερνοεπίθεση που θα προκαλούσε κατάρρευση της εφοδιαστικής αλυσίδας τροφίμων θα μπορούσε να δημιουργήσει προβλήματα σε ολόκληρο τον πληθυσμό.
Ωστόσο, η ευρεία διατύπωση της νομοθεσίας έχει προκαλέσει ορισμένες ασυνήθιστες περιπτώσεις.
Η ευρωβουλευτής από την Τσεχία Μαρκέτα Γκρεγκόροβα, η οποία συμμετέχει στην επεξεργασία νέου πακέτου κυβερνοασφάλειας με στόχο την απλοποίηση της NIS2, έχει επισημάνει ότι μεγάλες επιχειρήσεις παραγωγής παγωτού ενδέχεται να εμπίπτουν στο πεδίο εφαρμογής της οδηγίας.
Αντίστοιχα, σύμφωνα με νομικούς, ακόμη και χονδρέμποροι τσίχλας που ξεπερνούν συγκεκριμένο μέγεθος μπορεί να θεωρηθούν υπόχρεοι.
Την ίδια ώρα, γερμανική επαγγελματική ένωση έχει σπεύσει να διευκρινίσει στα μέλη της ότι τα παραδοσιακά αρτοποιεία δεν υπάγονται στη νομοθεσία.
Στο στόχαστρο και τα χριστουγεννιάτικα λαμπάκια
Ακόμη πιο παράδοξη είναι η περίπτωση των χριστουγεννιάτικων φωτιστικών.
Η κατασκευή σετ φωτισμού για χριστουγεννιάτικα δέντρα περιλαμβάνεται στη σχετική ταξινόμηση οικονομικών δραστηριοτήτων που συνδέεται με την NIS2.
Ωστόσο, όπως εξηγούν ειδικοί, η συγκεκριμένη δραστηριότητα μπορεί να θεωρείται «σημαντική» και όχι «ουσιώδης», ανάλογα με το εθνικό πλαίσιο εφαρμογής.
Στην Ολλανδία, για παράδειγμα, η διακοπή λειτουργίας μιας τέτοιας επιχείρησης δεν θεωρείται ότι θα δημιουργούσε απαραίτητα κίνδυνο για τη δημόσια ασφάλεια ή συστημικό κίνδυνο.
Τι συμβαίνει με τα σχολεία
Οι ειδικοί εντοπίζουν αντίστοιχες περιπτώσεις και σε άλλους χώρους.
Μεγάλα σχολεία που διαθέτουν φωτοβολταϊκές εγκαταστάσεις ενδέχεται, υπό συγκεκριμένες συνθήκες, να θεωρηθούν τυπικά παραγωγοί ηλεκτρικής ενέργειας και να βρεθούν έτσι εντός του πεδίου εφαρμογής της νομοθεσίας.
Το ζήτημα έχει ήδη τεθεί στο Ευρωπαϊκό Κοινοβούλιο, καθώς κάτι τέτοιο θα μπορούσε να επιβαρύνει σημαντικά εκπαιδευτικά ιδρύματα που συνήθως δεν διαθέτουν δικά τους εξειδικευμένα τμήματα κυβερνοασφάλειας.
Η Ευρωπαϊκή Επιτροπή έχει αναγνωρίσει ότι τέτοιες περιπτώσεις μπορούν να προκύψουν, υποστηρίζοντας παράλληλα ότι οι επερχόμενες αλλαγές στο ευρωπαϊκό πλαίσιο θα συμβάλουν στην απλοποίηση των κανόνων.
Ακόμη και ιδιοκτήτες ακινήτων στη Γερμανία
Μία ακόμη ιδιαίτερη περίπτωση αφορά ιδιοκτήτες μεγάλου αριθμού διαμερισμάτων στη Γερμανία.
Εφόσον παρέχουν στους ενοικιαστές τους σύνδεση καλωδιακής ή διαδικτυακής πρόσβασης και το κόστος μετακυλίεται μέσω των κοινοχρήστων, μπορεί, ανάλογα με τον τρόπο λειτουργίας της μίσθωσης, να θεωρηθούν πάροχοι τηλεπικοινωνιακών υπηρεσιών.
Το ενδεχόμενο αυτό έχει δημιουργήσει ερωτήματα σχετικά με το εάν και κατά πόσο μπορούν να υπαχθούν και στις νέες υποχρεώσεις κυβερνοασφάλειας.
Μέχρι στιγμής, σύμφωνα με τους νομικούς που επικαλείται το POLITICO, δεν υπάρχει σχετική νομολογία ούτε σαφής καθοδήγηση από τις αρμόδιες αρχές.
Καθυστερήσεις στην Ευρώπη
Το πρόβλημα δεν περιορίζεται στις ασυνήθιστες περιπτώσεις.
Τα κράτη-μέλη θα έπρεπε να είχαν ενσωματώσει τη NIS2 στην εθνική τους νομοθεσία έως το τέλος του 2024, όμως η εφαρμογή της παρουσιάζει σημαντικές καθυστερήσεις.
Η Γαλλία και η Ισπανία, δύο από τις μεγαλύτερες οικονομίες της ΕΕ, δεν είχαν ακόμη ολοκληρώσει τη σχετική εθνική νομοθεσία, ενώ στη Γερμανία οι εγγραφές των επιχειρήσεων που υπάγονται στο νέο πλαίσιο προχωρούν με αργούς ρυθμούς.
Η Ευρωπαϊκή Επιτροπή υπογραμμίζει πάντως ότι η NIS2 περιλαμβάνει μηχανισμούς ώστε οι μικρές επιχειρήσεις να εξαιρούνται κατά κανόνα, ενώ προβλέπονται και ηπιότερες υποχρεώσεις για οργανισμούς που θεωρούνται λιγότερο κρίσιμοι.
Το ζητούμενο πλέον είναι να βρεθεί η ισορροπία ανάμεσα στην ανάγκη για αυξημένη κυβερνοασφάλεια και στην αποφυγή μιας νέας γραφειοκρατικής επιβάρυνσης για επιχειρήσεις που δεν αντιμετωπίζουν τον ίδιο βαθμό κινδύνου.
Και όπως δείχνουν οι περιπτώσεις από τα… παγωτά μέχρι τα χριστουγεννιάτικα λαμπάκια, η προσπάθεια της Ευρώπης να προστατεύσει τις κρίσιμες υποδομές της από τους χάκερ κάθε άλλο παρά απλή υπόθεση είναι.
Πηγή: Politico
