Η πρόταση της Ευρωπαϊκής Επιτροπής για τον αποκαλούμενο Cybersecurity Act 2 (CSA2) επαναφέρει στο προσκήνιο ένα από τα πιο κρίσιμα ζητήματα της επόμενης δεκαετίας για την ευρωπαϊκή ψηφιακή οικονομία: ποιος και με ποια κριτήρια θεωρείται κατάλληλος προμηθευτής για κρίσιμες υποδομές ΤΠΕ.
Σύμφωνα με τα έγγραφα της δημόσιας διαβούλευσης της Ευρωπαϊκής Επιτροπής, ο Cybersecurity Act 2 φιλοδοξεί να ενισχύσει την ανθεκτικότητα της Ευρωπαϊκής Ένωσης απέναντι σε προηγμένες κυβερνοαπειλές, να αναβαθμίσει τον ρόλο του ENISA, να επιταχύνει τα ευρωπαϊκά σχήματα πιστοποίησης και να διαμορφώσει κοινό πλαίσιο για την ασφάλεια της εφοδιαστικής αλυσίδας ICT.
Το τεχνικό και επιχειρησιακό βάρος του Cybersecurity Act 2
Το τεχνικό και επιχειρησιακό βάρος της συζήτησης βρίσκεται κυρίως στην εισαγωγή ενός συστήματος αξιολόγησης προμηθευτών υψηλού κινδύνου, των λεγόμενων High-Risk Suppliers (HRS), σε τομείς όπως τα δίκτυα 5G, οι δορυφορικές επικοινωνίες, τα κρίσιμα δίκτυα ενέργειας και άλλες υποδομές ζωτικής σημασίας.
Στην πράξη, ωστόσο, η επιτυχία ή η αποτυχία ενός τέτοιου πλαισίου κρίνεται στη λεπτομέρεια. Για να είναι τεχνικά αξιόπιστη μια αξιολόγηση προμηθευτή, θα πρέπει να βασίζεται σε σαφώς καθορισμένα κριτήρια, όπως η αρχιτεκτονική ασφαλείας του προϊόντος, ο τρόπος ανάπτυξης λογισμικού, η ικανότητα ταχείας αποκατάστασης ευπαθειών, η ποιότητα της διαδικασίας patch management, οι δυνατότητες ανεξάρτητου ελέγχου και auditing, και η συμμόρφωση με αναγνωρισμένα πρότυπα πιστοποίησης.
Όταν αυτά τα κριτήρια δεν ορίζονται με ακρίβεια, αυξάνεται η αβεβαιότητα για την αγορά, για τους παρόχους υποδομών και για τις επιχειρήσεις που επενδύουν σε εξοπλισμό με ορίζοντα πολλών ετών.
Εδώ ακριβώς αρχίζει η δυσκολία του CSA2. Από τη μία πλευρά, η ΕΕ θέλει να μειώσει τον κατακερματισμό και να αποφύγει ένα μωσαϊκό εθνικών προσεγγίσεων στην ασφάλεια της εφοδιαστικής αλυσίδας. Από την άλλη, το να μεταφερθεί ο κεντρικός χαρακτηρισμός των προμηθευτών σε ευρωπαϊκό επίπεδο χωρίς πλήρως αντικειμενικά, διαφανή και τεχνικά μετρήσιμα standards δημιουργεί εύλογα ερωτήματα για το πώς θα λειτουργήσει το σύστημα στην πράξη.
Δείτε επίσης: GLM-5.2: Το κινεζικό AI που αμφισβητεί το Mythos στην κυβερνοασφάλεια
Cybersecurity Act 2 και τα ενεργά δίκτυα 5G
Για τα ενεργά δίκτυα 5G, το ζήτημα είναι ακόμη πιο σύνθετο. Η αντικατάσταση εξοπλισμού δεν είναι μια απλή διοικητική πράξη προμηθειών. Ένα δίκτυο κινητής τηλεφωνιάς βασίζεται σε αλληλεξαρτώμενα στοιχεία μεταξύ radio access network, core, transport και λογισμικού orchestration.
Αν ένας προμηθευτής χαρακτηριστεί υψηλού κινδύνου και επιβληθεί η σταδιακή απόσυρση του εξοπλισμού του, ο πάροχος δεν αλλάζει απλώς «κουτιά» στο data center ή κεραίες στο πεδίο· επανασχεδιάζει interfaces, κάνει νέο interoperability testing, επανελέγχει SLA και continuity plans, επαναπροσαρμόζει monitoring και incident response runbooks.
Αυτό σημαίνει αυξημένο operational risk σε κάθε στάδιο της μετάβασης. Κάθε τέτοια διαδικασία συνοδεύεται από πιθανότητες λανθασμένων ρυθμίσεων, προσωρινών ασυμβατοτήτων, επιδείνωσης επιδόσεων ή και νέας επιφάνειας επίθεσης που προκύπτει όταν πολλαπλά legacy και νέα συστήματα συνυπάρχουν για μεγάλα διαστήματα.
Με άλλα λόγια, ένα πλαίσιο που σχεδιάζεται για να μειώσει τον κίνδυνο μπορεί, αν εφαρμοστεί βιαστικά ή χωρίς σωστές μεταβατικές προβλέψεις, να δημιουργήσει νέο κίνδυνο στο ίδιο το migration path.
Το ίδιο ισχύει για ενεργειακές και βιομηχανικές υποδομές που βασίζονται σε private 5G, industrial IoT, SCADA integration ή απομακρυσμένη τηλεμετρία. Εκεί, η αντικατάσταση ενός εξοπλισμού μπορεί να επηρεάσει όχι μόνο την απόδοση ή το κόστος, αλλά τη συνολική λογική ασφαλούς λειτουργίας και ανθεκτικότητας.
Δικτύωση
Μια επένδυση που έχει σχεδιαστεί με συγκεκριμένες παραδοχές για redundancy, throughput, latency και vendor support, όταν ανατρέπεται από εξωγενή κανονιστική παρέμβαση, συνεπάγεται ανασχεδιασμό με πραγματικό τεχνικό και οικονομικό κόστος.
Δείτε επίσης: Η Biren της Κίνας θα κατασκευάσει GPUs που μπορούν να ανταγωνιστούν τη Nvidia
Η ελληνική διάσταση του Cybersecurity Act 2
Η ελληνική πλευρά παρακολουθεί το θέμα με αυξημένο ενδιαφέρον. Η Εθνική Αρχή Κυβερνοασφάλειας και η Γενική Γραμματεία Τηλεπικοινωνιών και Ταχυδρομείων κάλεσαν τους ενδιαφερόμενους να καταθέσουν απόψεις, ώστε να διαμορφωθεί η εθνική θέση για τη διαπραγμάτευση του φακέλου.
Η ίδια η δημόσια πρόσκληση υπογράμμιζε ότι η διαβούλευση δεν περιορίζεται σε μια θεωρητική ανταλλαγή απόψεων, αλλά αφορά πολύ συγκεκριμένα ζητήματα όπως το πλαίσιο αξιολόγησης high-risk suppliers, τον ορισμό trusted vendors και την αλληλεπίδραση του νέου κανονισμού με NIS2 και το εθνικό πλαίσιο κυβερνοασφάλειας.
Προϊόντα και υπηρεσίες ασφάλειας
Από καθαρά τεχνική σκοπιά, το βασικό ερώτημα δεν είναι αν πρέπει να υπάρχουν αυστηρότερα μέτρα. Αυτό είναι σχεδόν αυτονόητο. Το πραγματικό ερώτημα είναι αν η ευρωπαϊκή προσέγγιση θα βασιστεί σε αποδείξιμη τεχνική αξιολόγηση κινδύνου ή σε πιο γενικές κατηγοριοποιήσεις που ενδέχεται να οδηγήσουν σε μαζικές αντικαταστάσεις, αύξηση κόστους και μείωση επιλογών στην αγορά.
Για την Ελλάδα, που ήδη εφαρμόζει NIS2, ενσωματώνει το CER πλαίσιο και έχει αναπτύξει νέα στρατηγική κυβερνοασφάλειας 2026–2030, το στοίχημα είναι διπλό: να ενισχύσει την προστασία των κρίσιμων υποδομών χωρίς να οδηγηθεί σε απορρύθμιση του επενδυτικού περιβάλλοντος και χωρίς να φορτώσει τις επιχειρήσεις με υπέρμετρο migration burden σε υποδομές που ήδη λειτουργούν.
Το αν ο Cybersecurity Act 2 θα εξελιχθεί σε εργαλείο πραγματικής ανθεκτικότητας ή σε πηγή νέας αβεβαιότητας θα εξαρτηθεί τελικά από κάτι πολύ συγκεκριμένο: αν τα τεχνικά κριτήρια θα είναι σαφή, ελέγξιμα και ίσα για όλους.
Δείτε επίσης: Intel και AMD «κλειδώνουν» πολυετείς συμφωνίες με κινεζικά data center