Οι κατασκευαστές παγωτού και χριστουγεννιάτικων λαμπών, μαζί με τους ιδιοκτήτες ακινήτων και τους χοδρέμπορους τσίχλας είναι πιθανό να λάβουν το καθεστώς «κρίσιμης υποδομής» για την κυβερνοασφάλεια και να τύχουν της προστασίας της ΕΕ από κυβερνοεπιθέσεις.
Δικηγόροι τεχνολογίας και κυβερνοασφάλειας είπαν στο Politico ότι αυτοί οι απίθανοι τομείς βρίσκονται σε καλό δρόμο για να χαρακτηριστούν ως «κρίσιμες υποδομές» βάσει ενός νόμου της ΕΕ για την κυβερνοασφάλεια που έχει σχεδιαστεί για την προστασία κυβερνο-στόχων, όπως σταθμοί ηλεκτροπαραγωγής, εγκαταστάσεις ύδρευσης και ενεργειακά δίκτυα.
Αποτελεί το τελευταίο εμπόδιο για την Οδηγία NIS2 της Ευρωπαϊκής Ένωσης, η οποία ψηφίστηκε αρχικά το 2022, αλλά εξακολουθεί να εφαρμόζεται από τις χώρες της ΕΕ.
Γραφειοκρατικός εφιάλτης
Η σαφήνεια σχετικά με τον τρόπο διάθεσης των πόρων για την προστασία των υποδομών είναι πιο επείγουσα από ποτέ, καθώς η Ευρώπη αντιμετωπίζει ένα πρωτοφανές μπαράζ κυβερνοεπιθέσεων, με χρήση Τεχνητής Νοημοσύνης και κλιμακούμενες υβριδικές μορφές επιθέσεων.
Οι κυβερνήσεις υποτίθεται ότι θα είχαν θεσπίσει τη δική τους νομοθεσία μέχρι τα τέλη του 2024, αλλά οι καθυστερήσεις έχουν οδηγήσει πολλές εταιρείες μόλις τώρα να μπαίνουν στη διαδικασία της προετοιμασίας για συμμόρφωση.
Οι φορείς εκμετάλλευσης των πιο κρίσιμων τομέων της ΕΕ υποχρεούνται πλέον να εγγραφούν στις εθνικές τους υπηρεσίες κυβερνοασφάλειας, πράγμα που σημαίνει ότι πρέπει να κατανοούν ακριβώς σε ποιον εφαρμόζεται ο νόμος.
Αυτό έχει αποδειχθεί δύσκολο, με δικηγόρους και βουλευτές να αναφέρουν παραδείγματα όπως οι χονδρέμποροι τσίχλας για να τονίσουν τη σύγχυση και την πολυπλοκότητα που σχετίζεται με αυτό το έργο.
Οι παράξενες υποθέσεις είναι ενδεικτικές ενός πραγματικού παζλ που πρέπει να λύσουν οι εταιρείες και οι νομικοί τους σύμβουλοι και ένα δύσκολο κομμάτι επιπλέον γραφειοκρατίας σε μια εποχή που η ΕΕ προσπαθεί σκληρά να την περιορίσει.
Είναι επίσης ένα ακόμη παράδειγμα των δυσκολιών που αντιμετώπισε η ΕΕ στην έναρξη λειτουργίας του NIS2.
Χώρες όπως η Γαλλία και η Ισπανία, δεν έχουν ακόμη θεσπίσει αντίστοιχους εθνικούς νόμους για την κυβερνοασφάλεια, και οι εγγραφές εταιρειών ήταν αξιοσημείωτα αργές στη Γερμανία.
Ένας αξιωματούχος της Ευρωπαϊκής Επιτροπής τόνισε ότι ο νόμος περιλαμβάνει «αρκετούς μηχανισμούς» για να διατηρούνται τα πράγματα δίκαια: κανόνες που διασφαλίζουν ότι οι μικρές επιχειρήσεις εξαιρούνται γενικά και ελαφρύτερες υποχρεώσεις για λιγότερο κρίσιμους οργανισμούς.
Τροφή για σκέψη
Ακολουθούν ορισμένοι απροσδόκητοι τομείς που – σύμφωνα με το γράμμα του νόμου – θα μπορούσαν να θεωρηθούν ως κρίσιμες υποδομές.
Η οδηγία NIS2 περιλαμβάνει την παραγωγή, την επεξεργασία και τη διανομή τροφίμων, μια εξαιρετικά λογική συμπερίληψη, καθώς μια κυβερνοεπίθεση που παραλύει την αλυσίδα εφοδιασμού αυτών που τρώμε αποτελεί απειλή για ολόκληρο τον πληθυσμό.
Ωστόσο, αυτή η συμπερίληψη είχε κάποιες απροσδόκητες συνέπειες.
Η Markéta Gregorová, Τσέχα βουλευτής του Ευρωπαϊκού Κοινοβουλίου, η οποία ηγείται των εργασιών για ένα ξεχωριστό πακέτο για την κυβερνοασφάλεια που αποσκοπεί στην απλοποίηση του νόμου NIS2, αμφισβήτησε δημόσια τον τρόπο εφαρμογής της Οδηγίας.
Σε πρόσφατο συνέδριο, σημείωσε ότι οι κατασκευαστές παγωτού, εφόσον είναι αρκετά μεγάλοι, ενδέχεται να υπόκεινται στον νόμο.
«Πιθανότατα δεν θα τους χρειαστείτε σε περίπτωση κρίσης», είπε.
Ο τομέας των τροφίμων φαίνεται να είναι ιδιαίτερα περίπλοκος βάσει της νομοθεσίας. Οι χονδρέμποροι τσίχλας άνω ενός ορισμένου μεγέθους εμπίπτουν στο πεδίο εφαρμογής, δήλωσε ο Andreas Daum, συνεργαζόμενος εταίρος στη δικηγορική εταιρεία Noerr. Ένας γερμανικός εμπορικός σύλλογος έχει ήδη καθησυχάσει τα μέλη του ότι τα βιοτεχνικά αρτοποιεία δεν υπόκεινται στον νόμο.
Χάκαρα το στολίδι σου
Ο κατασκευαστής των χριστουγεννιάτικων φωτιστικών μπορεί να είναι ένας τομέας NIS2, κατατάσσοντάς τον στην ίδια κατηγορία με τις ταχυδρομικές υπηρεσίες και την παραγωγή χημικών ουσιών.
Αυτό συμβαίνει επειδή η «κατασκευή σετ φωτισμού χριστουγεννιάτικων δέντρων» εμπίπτει στην σχετική ταξινόμηση οικονομικών δραστηριοτήτων που αναφέρεται στην οδηγία NIS2, δήλωσε ο Jurriaan Jansen, εταίρος στη δικηγορική εταιρεία Norton Rose στο Άμστερνταμ.
Αν και η διατύπωση της νομοθεσίας χαρακτηρίζει τα χριστουγεννιάτικα φώτα ως «σημαντικά», δεν φτάνουν στο όριο του να είναι «ουσιώδη» βάσει του ολλανδικού νόμου NIS2, δήλωσε ο Jansen, επειδή η αναστάτωση στον τομέα δεν θα αποτελούσε κίνδυνο για τη δημόσια ασφάλεια ή συστημικό κίνδυνο. «Αυτό θα ήταν ένα ασυνήθιστο αποτέλεσμα για αυτόν τον τομέα», είπε.
Σχολεία και ιδιοκτήτες ακινήτων
Οι ειδικοί έθεσαν επίσης το ενδεχόμενο ορισμένοι οργανισμοί να γίνουν κατά λάθος φορείς εκμετάλλευσης κρίσιμων υποδομών σε τομείς εντελώς διαφορετικούς από αυτό που πραγματικά κάνουν.
Ένας Βέλγος βουλευτής στο Ευρωπαϊκό Κοινοβούλιο πέρυσι δήλωσε ότι τα μεγάλα σχολεία με εγκαταστάσεις ηλιακών συλλεκτών «χαρακτηρίζονται επίσημα ως «παραγωγοί» ηλεκτρικής ενέργειας», που σημαίνει ότι εμπίπτουν στο πεδίο εφαρμογής της νομοθεσίας, επιβάλλοντας «σημαντικό κόστος σε ιδρύματα που συχνά δεν διαθέτουν εσωτερική εμπειρογνωμοσύνη στον κυβερνοχώρο».
Η Επιτροπή, στην απάντησή της προς τον βουλευτή, δεν αρνήθηκε ότι τα σχολεία μπορούν να επηρεαστούν, αλλά δήλωσε ότι το ψηφιακό της σύνολο και η αναθεώρηση του Νόμου περί Κυβερνοασφάλειας της ΕΕ θα βοηθήσουν στην απλούστευση των κανόνων.
Ομοίως, οι ιδιοκτήτες ακινήτων στη Γερμανία που ενοικιάζουν μεγάλο αριθμό διαμερισμάτων και μεταβιβάζουν στους ενοικιαστές τους καλωδιακή ή διαδικτυακή σύνδεση μέσω χρεώσεων υπηρεσιών μπορούν να χαρακτηριστούν ως πάροχοι τηλεπικοινωνιών, μετά από απόφαση του 2021 — αν και αυτό εξαρτάται από τις συγκεκριμένες περιστάσεις.
«Είναι πιθανό, αλλά εξαρτάται από τον τρόπο με τον οποίο έχει διαμορφωθεί η μίσθωση», δήλωσε ο Daum, από την δικηγορική εταιρεία Noerr. Το αν αυτό με τη σειρά του τους εντάσσει στους νέους κανόνες κυβερνοασφάλειας δεν έχει δοκιμαστεί: «Δεν υπάρχει νομολογία επί του θέματος, ούτε καθοδήγηση από καμία [σχετική] ρυθμιστική αρχή», είπε.
