Τι κοινό έχουν ένα εργοστάσιο ηλεκτρικής ενέργειας, μια παγωτοβιομηχανία, ένα σχολείο με φωτοβολταϊκά και ένας Γερμανός ιδιοκτήτης εκατοντάδων διαμερισμάτων; – Ολοι μπορεί, υπό προϋποθέσεις, να βρεθούν αντιμέτωποι με τους ίδιους ευρωπαϊκούς κανόνες κυβερνοασφάλειας
Η Ευρωπαϊκή Ένωση προσπαθεί να θωρακίσει τις υποδομές της απέναντι στην ολοένα αυξανόμενη απειλή κυβερνοεπιθέσεων και για τον λόγο αυτό θέλει να προστατεύσει -όπως αποκάλυψε το Politico– και τις παγωτοβιομηχανίες που μαζί με τα εργόστασια παραγωγής ηλεκτρικής ενέργειας, τα δίκτυα ηλεκτρισμού και τις εγκαταστάσεις διαχείρισης του νερού θεωρούνται «κρίσιμες υποδομές».
Αυτό, αλλά και άλλα περίεργα προκύπτουν από την οδηγία NIS2, η οποία θεσπίστηκε το 2022 και η οποία διευρύνει σημαντικά το φάσμα των επιχειρήσεων και οργανισμών που πρέπει να λάβουν μέτρα κυβερνοασφάλειας και να αναφέρουν περιστατικά στις αρμόδιες εθνικές αρχές.
Τα κράτη-μέλη θα έπρεπε να είχαν ενσωματώσει την οδηγία στην εθνική τους νομοθεσία έως τα τέλη του 2024, όμως αρκετές χώρες δεν έχουν ακόμη ολοκληρώσει τη διαδικασία, με αποτέλεσμα η εφαρμογή της να μην έχει ακόμα ξεκινήσει, παρά το γεγονός ότι όπως συχνά πυκνά αναφέρουν οι εκάστοτε Αρχές και κυβερνήσεις της ΕΕ, η ήπειρος φαίνεται ότι βρίσκεται αντιμέτωπη με ένα πρωτοφανές κύμα κυβερνοεπιθέσεων, ενισχυμένο από την τεχνητή νοημοσύνη και τις ολοένα συχνότερες μορφές υβριδικής επίθεσης.
Ποιοι μπαίνουν στο στόχαστρο
Η NIS2 καλύπτει μια σειρά από κρίσιμους τομείς, μεταξύ των οποίων η ενέργεια, οι μεταφορές, η υγεία, οι ψηφιακές υποδομές και η παραγωγή, επεξεργασία και διανομή τροφίμων.
Η συμπερίληψη σε αυτήν της τελευταίας κατηγορίας είναι απόλυτα λογική, αφού μια μεγάλη κυβερνοεπίθεση η οποία θα παρέλυε την εφοδιαστική αλυσίδα τροφίμων θα μπορούσε να προκαλέσει προβλήματα σε ολόκληρο τον πληθυσμό της Ευρώπης. Η εφαρμογή της, όμως, δημιουργεί ορισμένες μάλλον παράδοξες περιπτώσεις, καθώς οι πολύ μεγάλες παγωτοβιομηχανίες μπορεί να εμπίπτουν στο πεδίο εφαρμογής της οδηγίας, όπως και οι χονδρέμποροι τσιχλών που ξεπερνούν ένα συγκεκριμένο μέγεθος.
Η Τσέχα ευρωβουλευτής Μαρκέτα Γκρεγκόροβα, η οποία συμμετέχει στην επεξεργασία ξεχωριστού ευρωπαϊκού πακέτου για την κυβερνοασφάλεια με στόχο την απλοποίηση της NIS2, έχει ήδη εκφράσει δημόσια προβληματισμό για τον τρόπο με τον οποίο εφαρμόζεται η οδηγία.
Σε πρόσφατο συνέδριο για το θέμα σημείωσε η ίδια χαρακτηριστικά ότι οι παραγωγοί παγωτού, εφόσον έχουν το απαιτούμενο μέγεθος, μπορεί να υπάγονται στους κανόνες.
Το παράδειγμα είναι ενδεικτικό του προβλήματος: η ευρωπαϊκή νομοθεσία προσπαθεί να προστατεύσει την αλυσίδα τροφίμων, αλλά καταλήγει να δημιουργεί υποχρεώσεις κυβερνοασφάλειας ακόμη και σε επιχειρήσεις που δύσκολα θα θεωρούσε κανείς κρίσιμες για την επιβίωση μιας κοινωνίας.
Πέραν των παγωτών, αντίστοιχα παράδοξη είναι και η προστασία των εταιρειών που κατασκευάζουν χριστουγεννιάτικα φωτάκια. Η κατασκευή σετ φωτισμού για χριστουγεννιάτικα δέντρα περιλαμβάνεται και αυτή στην οικονομική ταξινόμηση δραστηριοτήτων που χρησιμοποιείται για την εφαρμογή της NIS2. Έτσι, ένας αρκετά μεγάλος κατασκευαστής χριστουγεννιάτικου φωτισμού μπορεί να θεωρηθεί ότι δραστηριοποιείται σε τομέα που καλύπτεται από το νέο πλαίσιο.
Αυτό σημαίνει ότι μπορεί να βρεθεί στο ίδιο ευρύτερο ρυθμιστικό οικοσύστημα με δραστηριότητες όπως οι ταχυδρομικές υπηρεσίες και η παραγωγή χημικών.
Όπως ανέφεραν νομικοί που ειδικεύονται στην κυβερνοασφάλεια, όλα αυτά, όπως και το γεγονός ότι στην οδηγία μπορούν να εμπίπτουν σχολεία, αλλά και ιδιοκτήτες ακινήτων στη Γερμανία, πρόκειται για μάλλον ασυνήθιστα αποτελέσματα της νομοθεσίας.
Σύμφωνα με τα δεδομένα που υπάρχουν τώρα και την οδηγία ως έχει, μεγάλα σχολικά συγκροτήματα που διαθέτουν φωτοβολταϊκές εγκαταστάσεις μπορεί, υπό συγκεκριμένες προϋποθέσεις, να θεωρηθούν παραγωγοί ηλεκτρικής ενέργειας και συνεπώς να εμπίπτουν στο πεδίο εφαρμογής της NIS2.
Το ζήτημα τέθηκε πέρυσι από Βέλγο ευρωβουλευτή, ο οποίος προειδοποίησε ότι μεγάλα σχολεία με εγκαταστάσεις ηλιακής ενέργειας μπορεί να χαρακτηριστούν τυπικά ως «παραγωγοί ηλεκτρικής ενέργειας». Αυτό θα μπορούσε να επιβάλει σημαντικό κόστος σε εκπαιδευτικά ιδρύματα που δεν διαθέτουν καν εξειδικευμένο προσωπικό κυβερνοασφάλειας.
Η Ευρωπαϊκή Επιτροπή δεν αρνήθηκε ότι τα σχολεία μπορούν υπό ορισμένες προϋποθέσεις να επηρεαστούν από τη νομοθεσία. Υποστήριξε, ωστόσο, ότι οι επερχόμενες αλλαγές στους ευρωπαϊκούς κανόνες θα βοηθήσουν στην απλοποίηση του πλαισίου.
Κενό στην ερμηνεία της οδηγίας και άρα στην εφαρμογή της υπάρχει και για τους ιδιοκτήτες ακινήτων στη Γερμανία που έχουν και νοικιάζουν μεγάλο αριθμό διαμερισμάτων, με παροχές όπως καλωδιακή τηλεόραση και ίντερνετ. Σύμφωνα με την οδηγία οι συγκεκριμένοι ιδιοκτήτες θα μπορούσαν να θεωρηθούν πάροδοι τηλεπικοινωνιακών υπηρεσιών και να εμπίπτουν στην οδηγία για την κυβερνοασφάλεια, πολλώ δε μάλλον αφού υπάρχει και σχετική απόφαση ομοσπονδιακού δικαστηρίου.
Ιδιοκτήτες που νοικιάζουν μεγάλο αριθμό διαμερισμάτων και παρέχουν στους ενοικιαστές τους καλωδιακή ή διαδικτυακή σύνδεση μέσω των κοινοχρήστων ενδέχεται, υπό συγκεκριμένες συνθήκες, να θεωρηθούν πάροχοι τηλεπικοινωνιακών υπηρεσιών.
Το ενδεχόμενο αυτό προκύπτει από απόφαση του γερμανικού Ομοσπονδιακού Δικαστηρίου του 2021. Το αν ένας τέτοιος ιδιοκτήτης θα υπάγεται τελικά και στις νέες απαιτήσεις κυβερνοασφάλειας της NIS2 δεν έχει ακόμη δοκιμαστεί στην πράξη.
Το μεγάλο ευρωπαϊκό πρόβλημα
Πίσω από τα παράξενα παραδείγματα κρύβεται ένα πολύ πιο σοβαρό πρόβλημα για την ΕΕ: ποιος ακριβώς θεωρείται κρίσιμη υποδομή και ποιος όχι;
Η Ευρωπαϊκή Επιτροπή υποστηρίζει ότι η NIS2 διαθέτει μηχανισμούς που περιορίζουν την υπερβολική επιβάρυνση: οι μικρές επιχειρήσεις, κατά κανόνα, εξαιρούνται, ενώ προβλέπονται ελαφρύτερες υποχρεώσεις για οργανισμούς που θεωρούνται λιγότερο κρίσιμοι.
Ωστόσο, η εφαρμογή της οδηγίας προχωρά με διαφορετικές ταχύτητες σε ολόκληρη την ΕΕ.
Η Γαλλία και η Ισπανία δεν έχουν ακόμη θεσπίσει την αντίστοιχη εθνική νομοθεσία, ενώ στη Γερμανία οι εγγραφές των επιχειρήσεων στις αρμόδιες αρχές έχουν προχωρήσει ιδιαίτερα αργά.
Πηγή: Το Βήμα