Τηλεπικοινωνίες: Προειδοποιήσεις για κόστος και καθυστερήσεις από τον CSA2

Σοβαρές επιφυλάξεις για την πρόταση αναθεώρησης του ευρωπαϊκού Cybersecurity Act (CSA2) διατυπώνουν η GSMA Europe και η Connect Europe, υποστηρίζοντας ότι ορισμένες από τις προβλέψεις του νέου πλαισίου, και ειδικά εκείνες που αφορούν την ασφάλεια της αλυσίδας εφοδιασμού ΤΠΕ, ενδέχεται να επιβαρύνουν υπέρμετρα τον ευρωπαϊκό τηλεπικοινωνιακό κλάδο και να εκτρέψουν κρίσιμους πόρους από τις επενδύσεις σε δίκτυα νέας γενιάς.

Στο κοινό κείμενο θέσεων των δύο οργανισμών, που εκπροσωπούν τις ευρωπαϊκές εταιρείες τηλεπικοινωνιών, επισημαίνεται ότι οι τηλεπικοινωνιακοί πάροχοι στηρίζουν τον στόχο της Ευρωπαϊκής Επιτροπής για ισχυρότερη κυβερνοασφάλεια στην Ευρώπη και σε γενικές γραμμές αντιμετωπίζουν θετικά ορισμένες αλλαγές στον ρόλο του ENISA και στο Ευρωπαϊκό Πλαίσιο Πιστοποίησης Κυβερνοασφάλειας. Ωστόσο, εκφράζουν έντονη ανησυχία για τις προτεινόμενες διατάξεις, τις οποίες θεωρούν δυσανάλογες και εκτός των πραγματικών αναγκών ασφαλείας του κλάδου.

Σύμφωνα με το έγγραφο, οι ευρωπαϊκοί τηλεπικοινωνιακοί πάροχοι έχουν ήδη αναπτύξει ένα εκτεταμένο πλέγμα τεχνικών, λειτουργικών και οργανωτικών μέτρων προστασίας, σε συνεργασία με τις εθνικές αρχές, με στόχο την ενίσχυση της ανθεκτικότητας των δικτύων και τη μείωση των εξαρτήσεων στην εφοδιαστική αλυσίδα. Στα μέτρα αυτά περιλαμβάνονται, μεταξύ άλλων, πολυπρομηθευτικές στρατηγικές, τακτικοί έλεγχοι ασφάλειας, περιορισμοί πρόσβασης, διαχωρισμός δικτύων και δομημένες διαδικασίες αναβάθμισης λογισμικού.

Οι δύο ενώσεις τονίζουν ότι η επιβολή μιας γενικευμένης προσέγγισης «rip and replace», δηλαδή μαζικής απομάκρυνσης και αντικατάστασης εξοπλισμού ή τεχνολογιών, θα είχε βαρύ οικονομικό και επιχειρησιακό αποτύπωμα. Όπως επισημαίνουν, μια τέτοια επιλογή θα μπορούσε να απορροφήσει σημαντικούς πόρους σε μια περίοδο κατά την οποία η Ευρώπη καλείται να επιταχύνει την ανάπτυξη υποδομών για το 6G, την τεχνητή νοημοσύνη και τη μετάβαση σε κβαντικά ασφαλείς τεχνολογίες.

Το κείμενο θέσεων υπογραμμίζει επίσης ότι η εφαρμογή υποχρεωτικών αντικαταστάσεων σε μεγάλη κλίμακα θα μπορούσε να επιφέρει διαταραχές στην ποιότητα των υπηρεσιών, να δημιουργήσει επιχειρησιακές δυσκολίες λόγω περιορισμένης διαθεσιμότητας εξειδικευμένου προσωπικού και σχεδιαστικής ικανότητας, αλλά και να καθυστερήσει στρατηγικά επενδυτικά προγράμματα, όπως η ανάπτυξη οπτικών ινών, η υλοποίηση standalone 5G και ο εκσυγχρονισμός πληροφοριακών συστημάτων.

Στην ίδια κατεύθυνση, σε μελέτη της China Chamber of Commerce to the EU (CCCEU), προβλέπεται ότι ένα υποχρεωτικό σενάριο ευρείας αντικατάστασης κινεζικού εξοπλισμού σε 18 κρίσιμους τομείς θα μπορούσε να οδηγήσει σε σωρευτικό οικονομικό κόστος 367,8 δισ. ευρώ για την ΕΕ την περίοδο 2026-2030, με τους τομείς της ενέργειας και των τηλεπικοινωνιών να συγκαταλέγονται στους περισσότερο εκτεθειμένους. Το ίδιο κείμενο σημειώνει ότι το σχετικό επιχείρημα προβάλλεται από την κινεζική πλευρά και όχι από τους ευρωπαϊκούς τηλεπικοινωνιακούς φορείς, ωστόσο αποτυπώνει το εύρος της συζήτησης που έχει ανοίξει στις Βρυξέλλες γύρω από το νέο ρυθμιστικό πλαίσιο.

Εστίαση στην αναλογικότητα και στον κίνδυνο υπερρύθμισης

Κεντρική θέση των GSMA Europe και Connect Europe είναι ότι η κυβερνοασφάλεια πρέπει να συνεχίσει να αντιμετωπίζεται με βάση την εκτίμηση τεχνικού κινδύνου, τις ιδιαιτερότητες κάθε εθνικής αγοράς και την αρχή της αναλογικότητας. Όπως υποστηρίζουν, ο προτεινόμενος Τίτλος IV παρεκκλίνει από τη λογική της NIS2 και εισάγει ειδικές παρεμβάσεις για τον τηλεπικοινωνιακό τομέα χωρίς επαρκή τεκμηρίωση, ενώ δεν λαμβάνει υπόψη τις πραγματικές επενδυτικές και τεχνολογικές διάρκειες ζωής του εξοπλισμού.

Παράλληλα, το κοινό έγγραφο αναδεικνύει τον κίνδυνο η ΕΕ να οδηγηθεί, στην πράξη, σε νέες μονοεξαρτήσεις από περιορισμένο αριθμό προμηθευτών, κάτι που κατά την άποψη των φορέων θα μπορούσε να αυξήσει — και όχι να μειώσει — τον συστημικό κίνδυνο για την ανθεκτικότητα των δικτύων. Οι συντάκτες του κειμένου σημειώνουν ότι η ανθεκτικότητα δεν διασφαλίζεται μόνο μέσω αποκλεισμών, αλλά κυρίως μέσω αρχιτεκτονικής διαφοροποίησης, συνύπαρξης διαφορετικών τεχνολογικών λύσεων και πολυπρομηθευτικής στρατηγικής.

Με βάση αυτά τα επιχειρήματα, οι δύο ενώσεις ζητούν ρητά τη διαγραφή του Τίτλου IV από την πρόταση του CSA2, υποστηρίζοντας ότι ζητήματα εθνικής ασφάλειας πρέπει να παραμείνουν πρωτίστως στην αρμοδιότητα των κρατών-μελών, μέσω των ήδη εφαρμοζόμενων εθνικών πλαισίων και του υφιστάμενου 5G Cybersecurity Toolbox.

Θετική στάση για πιστοποίηση και ENISA, με σαφείς όρους

Παρά τις ενστάσεις τους για την αλυσίδα εφοδιασμού, GSMA Europe και Connect Europe υιοθετούν πιο θετική στάση απέναντι στην αναθεώρηση του Ευρωπαϊκού Πλαισίου Πιστοποίησης Κυβερνοασφάλειας (ECCF). Όπως αναφέρουν, η αναθεώρηση μπορεί να βελτιώσει την αποτελεσματικότητα, την αποδοτικότητα και τη διαφάνεια των διαδικασιών πιστοποίησης, υπό την προϋπόθεση ότι τα νέα σχήματα θα παραμείνουν εθελοντικά, θα ευθυγραμμίζονται με διεθνή πρότυπα και δεν θα δημιουργούν επικαλύψεις με εθνικές πιστοποιήσεις ή παράλληλους ελέγχους.

Ιδιαίτερη βαρύτητα αποδίδεται και στη συμμετοχή της βιομηχανίας στη διαμόρφωση των τεχνικών σχημάτων πιστοποίησης. Το κοινό κείμενο σημειώνει ότι η εμπλοκή ειδικών της αγοράς είναι κρίσιμη ώστε τα εργαλεία πιστοποίησης να αντανακλούν τις τεχνικές και λειτουργικές πραγματικότητες και να μπορούν να εφαρμοστούν στην πράξη.

Όσον αφορά τον ENISA, οι δύο οργανώσεις δηλώνουν ότι στηρίζουν την ενίσχυση της εντολής και των πόρων του οργανισμού, αλλά προειδοποιούν ότι η διεύρυνση του ρόλου του δεν πρέπει να οδηγήσει σε απώλεια της ανεξαρτησίας του ή σε μετατροπή του σε de facto εποπτική ή πολιτική αρχή. Κατά την άποψή τους, ο οργανισμός θα πρέπει να διατηρήσει τον συντονιστικό και τεχνικό του χαρακτήρα, με έμφαση στην παροχή καθοδήγησης, στη χαρτογράφηση προτύπων και στον συντονισμό μεταξύ των αρμόδιων αρχών.

Αίτημα για ουσιαστική απλούστευση του πλαισίου

Ένα ακόμη βασικό σημείο του εγγράφου είναι η ανάγκη απλούστευσης του συνολικού κανονιστικού πλαισίου κυβερνοασφάλειας στην ΕΕ. GSMA Europe και Connect Europe υποστηρίζουν ότι η πρόταση CSA2, αντί να μειώνει την πολυπλοκότητα, εισάγει νέα επίπεδα γραφειοκρατίας, επιβαρύνοντας περαιτέρω τις επιχειρήσεις και τα κράτη-μέλη.

Οι φορείς εκφράζουν επιφυλάξεις και για τις προτεινόμενες παρεμβάσεις στη NIS2, κρίνοντας ότι αρκετές από τις λεγόμενες πρωτοβουλίες απλούστευσης ενδέχεται στην πράξη να οδηγήσουν σε πρόσθετες υποχρεώσεις αναφοράς και συμμόρφωσης. Στο ίδιο πλαίσιο, βλέπουν θετικά τη δημιουργία ενός Single Entry Point για την αναφορά περιστατικών ασφαλείας, αρκεί αυτό να λειτουργεί με την αρχή «μόνο μία φορά» σε εθνικό επίπεδο, να μην πολλαπλασιάζει τις διαδικασίες και να διασφαλίζει εμπιστευτικότητα, νομική σαφήνεια και τεχνική αξιοπιστία.

Το διακύβευμα για την ευρωπαϊκή αγορά

Συνολικά, το κείμενο θέσεων αναδεικνύει τη δύσκολη ισορροπία που επιχειρεί να πετύχει η Ευρώπη ανάμεσα στην ενίσχυση της κυβερνοασφάλειας και στη διατήρηση της επενδυτικής δυναμικής, της τεχνολογικής ουδετερότητας και της ανταγωνιστικότητας των τηλεπικοινωνιακών υποδομών. Οι GSMA Europe και Connect Europe προειδοποιούν ότι, εάν δεν υπάρξουν αλλαγές στο κείμενο, το CSA2 ενδέχεται να επιβαρύνει όχι μόνο τον κλάδο των τηλεπικοινωνιών αλλά συνολικά την ευρωπαϊκή οικονομία, σε μια περίοδο όπου η Ένωση επιδιώκει να καλύψει το επενδυτικό κενό σε συνδεσιμότητα, ψηφιακές υποδομές και τεχνολογίες αιχμής.

Οι δύο φορείς καλούν τα ευρωπαϊκά θεσμικά όργανα και τα κράτη-μέλη να προχωρήσουν σε ουσιαστικό διάλογο με τη βιομηχανία, ώστε το τελικό ρυθμιστικό πλαίσιο να είναι αναλογικό, βασισμένο στον πραγματικό κίνδυνο και επιχειρησιακά εφαρμόσιμο. Όπως υποστηρίζουν, μόνο έτσι μπορεί να ενισχυθεί αποτελεσματικά η ασφάλεια των δικτύων χωρίς να τεθεί σε κίνδυνο η αναβάθμιση των ευρωπαϊκών τηλεπικοινωνιακών υποδομών και η ψηφιακή μετάβαση της Ένωσης.