Καθώς η Ευρώπη αντιμετωπίζει ένα άνευ προηγουμένου κύμα κυβερνοεπιθέσεων, που ενισχύεται από την τεχνητή νοημοσύνη και τις αυξανόμενες υβριδικές μορφές επιθετικότητας, η σαφήνεια σχετικά με τον τρόπο κατανομής των πόρων για την προστασία των υποδομών είναι πιο επείγουσα από ποτέ.

Το τι δικαιολογεί πρόσθετη προστασία από την ΕΕ έναντι των κυβερνοεπιθέσεων μετατρέπεται σε ένα ζήτημα που προκαλεί σύγχυση τόσο στους γραφειοκράτες όσο και στις επιχειρήσεις.

Δεν αποκλείεται στο εξής παραγωγοί παγωτού, κατασκευαστές χριστουγεννιάτικων φωτιστικών και Γερμανοί ιδιοκτήτες ακινήτων να λάβουν πρόσθετη προστασία από την ΕΕ έναντι κυβερνοεπιθέσεων!

Δικηγόροι ειδικευμένοι σε θέματα τεχνολογίας και κυβερνοασφάλειας διατείνονται ότι οι συγκεκριμένοι τομείς είναι πολύ πιθανό να θεωρηθούν “κρίσιμη υποδομή” στο πλαίσιο νόμου της ΕΕ για την κυβερνοασφάλεια, ο οποίος έχει σχεδιαστεί για την προστασία κυβερνοστόχων όπως σταθμοί παραγωγής ηλεκτρικής ενέργειας, εγκαταστάσεις ύδρευσης και δίκτυα ενέργειας. Πρόκειται για το τελευταίο εμπόδιο για την οδηγία NIS2 της Ευρωπαϊκής Ένωσης, η οποία ψηφίστηκε αρχικά το 2022, αλλά εξακολουθεί να βρίσκεται σε φάση εφαρμογής από τις χώρες της ΕΕ.

Οι κυβερνήσεις έπρεπε να έχουν θεσπίσει τη δική τους νομοθεσία έως τα τέλη του 2024, αλλά οι καθυστερήσεις έχουν ως αποτέλεσμα πολλές εταιρείες και οι σύμβουλοί τους να αρχίζουν μόλις τώρα να ασχολούνται με τις λεπτομέρειες της προετοιμασίας για τη συμμόρφωση.

Οι φορείς εκμετάλλευσης των πιο κρίσιμων τομέων της ΕΕ υποχρεούνται πλέον να εγγραφούν στις εθνικές υπηρεσίες κυβερνοασφάλειας, κάτι που σημαίνει ότι πρέπει να κατανοήσουν ακριβώς σε ποιους εφαρμόζεται ο νόμος. Αυτό έχει αποδειχθεί δύσκολο, με δικηγόρους και νομοθέτες να αναφέρουν παραδείγματα, όπως οι χονδρέμποροι τσίχλας για να τονίσουν τη σύγχυση και την πολυπλοκότητα που συνδέονται με αυτό το έργο.

Οι παράξενες αυτές περιπτώσεις είναι χαρακτηριστικές ενός πραγματικού γρίφου που πρέπει να λύσουν οι εταιρείες και οι νομικοί σύμβουλοί τους — και ενός δύσκολου επιπλέον γραφειοκρατικού εμποδίου σε μια εποχή που η ΕΕ προσπαθεί σκληρά να τον περιορίσει.

Αποτελεί επίσης ένα ακόμη παράδειγμα των δυσκολιών που έχει αντιμετωπίσει η ΕΕ στην εφαρμογή του NIS2. Μεγάλες χώρες όπως η Γαλλία και η Ισπανία δεν έχουν ακόμη ψηφίσει τους αντίστοιχους εθνικούς νόμους για την κυβερνοασφάλεια, ενώ οι εγγραφές εταιρειών προχωρούν ιδιαίτερα αργά στη Γερμανία.

Αξιωματούχος της Ευρωπαϊκής Επιτροπής τόνισε ότι ο νόμος περιλαμβάνει «διάφορους μηχανισμούς» για τη διασφάλιση της δικαιοσύνης: μεταξύ αυτών περιλαμβάνονται κανόνες που εξασφαλίζουν ότι οι μικρές επιχειρήσεις εξαιρούνται γενικά.

Η οδηγία NIS2 περιλαμβάνει την παραγωγή, τη μεταποίηση και τη διανομή τροφίμων, μια εξαιρετικά λογική προσθήκη, δεδομένου ότι μια κυβερνοεπίθεση που παραλύει την αλυσίδα εφοδιασμού των τροφίμων που καταναλώνουμε αποτελεί απειλή για ολόκληρο τον πληθυσμό.

Ωστόσο, αυτή η προσθήκη είχε κάποιες απροσδόκητες συνέπειες. Η Markéta Gregorová, Τσέχα ευρωβουλευτής που ηγείται των εργασιών για ένα ξεχωριστό πακέτο μέτρων για την κυβερνοασφάλεια με στόχο την απλοποίηση της νομοθεσίας NIS2, έχει αμφισβητήσει δημοσίως τον τρόπο με τον οποίο εφαρμόζεται η οδηγία. Σε πρόσφατη διάσκεψη, επισήμανε ότι οι παραγωγοί παγωτού, υπό την προϋπόθεση ότι είναι αρκετά μεγάλοι, ενδέχεται να υπόκεινται στον νόμο. 

Ο τομέας των τροφίμων φαίνεται να παρουσιάζει ιδιαίτερες δυσκολίες στο πλαίσιο της νομοθεσίας. Οι χονδρέμποροι τσίχλας που υπερβαίνουν ένα ορισμένο μέγεθος εμπίπτουν στο πεδίο εφαρμογής του νόμου, όπως ανέφερε ο Andreas Daum, συνεργαζόμενος εταίρος της δικηγορικής εταιρείας Noerr. Μια γερμανική επαγγελματική ένωση έχει ήδη διαβεβαιώσει τα μέλη της ότι οι βιοτεχνικοί φούρνοι δεν υπόκεινται στον νόμο.

«Χακάρετε» τα στολίδια σας

Καθώς ετοιμάζεστε για τις εορταστικές εκδηλώσεις της επόμενης περιόδου, λάβετε υπόψη το εξής: ο κατασκευαστής των χριστουγεννιάτικων φωτιστικών σας ενδέχεται να ανήκει στον τομέα NIS2 — γεγονός που τον τοποθετεί στην ίδια κατηγορία με τις ταχυδρομικές υπηρεσίες και την παραγωγή χημικών προϊόντων.

Αυτό οφείλεται στο γεγονός ότι η «κατασκευή σετ φωτισμού για χριστουγεννιάτικα δέντρα» εμπίπτει στη σχετική κατηγορία οικονομικών δραστηριοτήτων που αναφέρεται στην οδηγία NIS2, όπως εξήγησε ο Jurriaan Jansen, εταίρος της δικηγορικής εταιρείας Norton Rose στο Άμστερνταμ.

Αν και η διατύπωση της νομοθεσίας χαρακτηρίζει τα χριστουγεννιάτικα φωτιστικά ως «σημαντικά», δεν πληρούν το κατώφλι για να θεωρηθούν «ουσιώδη» σύμφωνα με τον ολλανδικό νόμο NIS2, είπε ο Jansen, επειδή η διακοπή της λειτουργίας του τομέα αυτού δεν θα αποτελούσε κίνδυνο για τη δημόσια ασφάλεια ή συστημικό κίνδυνο. «Αυτό θα ήταν ένα ασυνήθιστο αποτέλεσμα για αυτόν τον τομέα», είπε.

Σχολεία και ιδιοκτήτες ακινήτων

Οι ειδικοί έθεσαν επίσης το ενδεχόμενο ορισμένων οργανισμών να καταστούν κατά λάθος διαχειριστές κρίσιμων υποδομών σε τομείς εντελώς διαφορετικούς από τη δραστηριότητά τους.

Βέλγος βουλευτής στο Ευρωπαϊκό Κοινοβούλιο δήλωσε πέρυσι ότι τα μεγάλα σχολεία με εγκαταστάσεις ηλιακών συλλεκτών «ταξινομούνται τυπικά ως “παραγωγοί” ηλεκτρικής ενέργειας», πράγμα που σημαίνει ότι εμπίπτουν στο πεδίο εφαρμογής της νομοθεσίας, επιβάλλοντας «σημαντικό κόστος σε ιδρύματα που συχνά στερούνται εσωτερικής εμπειρογνωμοσύνης στον τομέα της κυβερνοασφάλειας».

Η Επιτροπή, απαντώντας στον βουλευτή, δεν αρνήθηκε ότι τα σχολεία ενδέχεται να επηρεαστούν, αλλά ανέφερε ότι η ψηφιακή ομπρέλα της και η αναθεώρηση του νόμου της ΕΕ για την κυβερνοασφάλεια θα συμβάλουν στην απλοποίηση των κανόνων.

Ομοίως, οι ιδιοκτήτες ακινήτων στη Γερμανία που ενοικιάζουν μεγάλο αριθμό διαμερισμάτων και παρέχουν στους ενοικιαστές τους σύνδεση καλωδιακής τηλεόρασης ή διαδικτύου μέσω των κοινόχρηστων εξόδων ενδέχεται να θεωρηθούν πάροχοι τηλεπικοινωνιών, σύμφωνα με απόφαση του 2021 — αν και αυτό εξαρτάται από τις συγκεκριμένες περιστάσεις.

«Είναι πιθανό, αλλά εξαρτάται από τον τρόπο με τον οποίο έχει διαμορφωθεί η μίσθωση», δήλωσε ο κ. Daum, από το δικηγορικό γραφείο Noerr. Το αν αυτό, με τη σειρά του, τους εντάσσει στο πεδίο εφαρμογής των νέων κανόνων για την κυβερνοασφάλεια δεν έχει ακόμη εξεταστεί: «Δεν υπάρχει νομολογία σχετικά με αυτό, ούτε κατευθυντήριες οδηγίες από καμία από τις [αρμόδιες] ρυθμιστικές αρχές», πρόσθεσε.

Με πληροφορίες από το Politico