Από τα πυρηνικά εργοστάσια… στα παγωτά – Το χάος με τον νέο cyber νόμο της Ευρώπης
ΧΡΟΝΟΣ ΑΝΑΓΝΩΣΗΣ 8 '
Πηγή Φωτογραφίας: AP Photo//Από τα πυρηνικά εργοστάσια… στα παγωτά – Το χάος με τον νέο cyber νόμο της Ευρώπης
Η ΕΕ έκανε μέχρι και τα… παγωτά «κρίσιμη υποδομή» – Χάος με τον νέο νόμο κυβερνοασφάλειας
«Πώς στο καλό έγινε το παγωτό… κρίσιμη υποδομή;»
Μπορεί μια εταιρεία που παράγει παγωτά να θεωρείται «κρίσιμη» για την ασφάλεια μιας χώρας;
Με βάση τον νέο ευρωπαϊκό χάρτη κυβερνοασφάλειας, η απάντηση μπορεί να είναι ναι.
Και αυτό ακριβώς αποκαλύπτει, με χαρακτηριστικό τρόπο, το Politico σε δημοσίευμά του για την προβληματική εφαρμογή της οδηγίας NIS2, της μεγάλης ευρωπαϊκής μεταρρύθμισης που σχεδιάστηκε για να προστατεύσει επιχειρήσεις και υποδομές από κυβερνοεπιθέσεις.
Το πρόβλημα δεν είναι τόσο η ίδια η φιλοσοφία του νόμου όσο το τεράστιο εύρος του και ο διαφορετικός τρόπος με τον οποίο εφαρμόζεται από τα κράτη-μέλη.
Η NIS2 δεν προστατεύει πλέον μόνο τις «προφανείς» κρίσιμες υποδομές, όπως ηλεκτρικά δίκτυα, τράπεζες, νοσοκομεία, τηλεπικοινωνίες και μεταφορές.
Στην περίμετρό της έχουν μπει ακόμη η βιομηχανία τροφίμων, τα logistics, οι ταχυμεταφορές, η διαχείριση αποβλήτων, συγκεκριμένοι βιομηχανικοί κλάδοι, οι ψηφιακές πλατφόρμες και οι ερευνητικοί οργανισμοί.
Και κάπως έτσι, ένα μεγάλο εργοστάσιο παγωτού μπορεί να βρεθεί ρυθμιστικά δίπλα σε μια ενεργειακή εταιρεία.
Πώς μπήκαν τα παγωτά στην «κρίσιμη» Ευρώπη
Η εξήγηση βρίσκεται στο Παράρτημα II της NIS2.
Η οδηγία εντάσσει στους λεγόμενους «άλλους κρίσιμους τομείς» την παραγωγή, επεξεργασία και διανομή τροφίμων.
Συγκεκριμένα, καλύπτει επιχειρήσεις που δραστηριοποιούνται στη χονδρική διανομή καθώς και στη βιομηχανική παραγωγή και επεξεργασία τροφίμων.
Άρα μια μεγάλη βιομηχανία γαλακτοκομικών, κατεψυγμένων προϊόντων ή παγωτού μπορεί να υπάγεται στην οδηγία εφόσον πληροί τα σχετικά κριτήρια μεγέθους.
Δεν πρόκειται για κάποια ειδική απόφαση των Βρυξελλών ότι το παγωτό είναι «στρατηγικό προϊόν».
Πρόκειται για συνέπεια της απόφασης να θεωρηθεί η ευρύτερη αλυσίδα τροφίμων κρίσιμο κομμάτι της οικονομικής και κοινωνικής λειτουργίας.
Γιατί όμως μια βιομηχανία παγωτού χρειάζεται κυβερνοάμυνα;
Η απάντηση είναι λιγότερο παράλογη από όσο ακούγεται.
Ένα σύγχρονο εργοστάσιο τροφίμων είναι βαθιά ψηφιοποιημένο.
Συστήματα ERP ελέγχουν παραγγελίες και προμήθειες.
Βιομηχανικά συστήματα διαχειρίζονται γραμμές παραγωγής.
Ψηφιακά εργαλεία παρακολουθούν θερμοκρασίες και ψυκτικές αλυσίδες.
Αποθήκες, logistics και μεταφορές εξαρτώνται από software.
Ένα ransomware attack μπορεί επομένως να μην κλέψει απλώς δεδομένα.
Μπορεί να σταματήσει την παραγωγή, να διακόψει τις παραδόσεις, να καταστρέψει την ψυκτική αλυσίδα και να οδηγήσει σε απόσυρση προϊόντων.
Αυτός είναι ο λόγος που η NIS2 επεκτάθηκε πολύ πέρα από τον παραδοσιακό ορισμό της «κρίσιμης υποδομής».
Το μεγάλο πρόβλημα: 27 χώρες, 27 εφαρμογές
Εδώ όμως αρχίζει το ευρωπαϊκό χάος.
Η NIS2 είναι οδηγία και όχι κανονισμός.
Αυτό σημαίνει ότι οι Βρυξέλλες θέτουν το κοινό πλαίσιο, αλλά κάθε κράτος πρέπει να το μεταφέρει στο δικό του εθνικό δίκαιο.
Και αυτή η διαδικασία έχει αποδειχθεί εξαιρετικά άνιση.
Η αρχική προθεσμία ήταν η 17η Οκτωβρίου 2024.
Τον Νοέμβριο του ίδιου έτους η Κομισιόν είχε ήδη κινήσει διαδικασίες επί παραβάσει κατά 23 από τα 27 κράτη-μέλη επειδή δεν είχαν ολοκληρώσει εγκαίρως τη μεταφορά της οδηγίας.
Τον Μάιο του 2025, 19 χώρες εξακολουθούσαν να αντιμετωπίζουν αιτιολογημένη γνώμη από την Επιτροπή.
Και τον Ιούλιο του 2026 η κατάσταση παρέμενε τόσο προβληματική ώστε η Κομισιόν παρέπεμψε Ιρλανδία, Ισπανία, Γαλλία και Ολλανδία στο Δικαστήριο της Ευρωπαϊκής Ένωσης, ζητώντας μάλιστα και οικονομικές κυρώσεις.
Από το νοσοκομείο στο εργοστάσιο παγωτού
Το αποτέλεσμα είναι ένα παράξενο regulatory puzzle.
Μια επιχείρηση πρέπει πρώτα να καταλάβει εάν ανήκει σε έναν από τους τομείς της οδηγίας.
Μετά πρέπει να εξετάσει το μέγεθός της.
Η NIS2 εφαρμόζεται κατά κανόνα σε μεσαίες και μεγάλες επιχειρήσεις που δραστηριοποιούνται στους τομείς των Παραρτημάτων I και II.
Στη συνέχεια πρέπει να δει πώς η συγκεκριμένη χώρα έχει μεταφέρει την οδηγία στο εθνικό της δίκαιο.
Και εκεί μπορεί να εμφανίζονται διαφορετικοί ορισμοί, διαδικασίες εγγραφής, εποπτικές αρχές και πρακτικές απαιτήσεις.
Μία πολυεθνική που διαθέτει εργοστάσια σε πέντε κράτη της ΕΕ μπορεί επομένως να βρεθεί αντιμέτωπη με διαφορετικές υποχρεώσεις για δραστηριότητες που επιχειρησιακά είναι σχεδόν ίδιες.
Οι CEOs μπαίνουν προσωπικά στο παιχνίδι
Και η NIS2 δεν είναι ένα ακόμη compliance checklist που μπορεί απλώς να περάσει στο IT department.
Η οδηγία ανεβάζει την κυβερνοασφάλεια στο επίπεδο της ανώτατης διοίκησης.
Οι επιχειρήσεις πρέπει να εφαρμόζουν μέτρα διαχείρισης cyber risk, να προστατεύουν supply chains, να αντιμετωπίζουν vulnerabilities και να διαθέτουν μηχανισμούς για την αναφορά σοβαρών περιστατικών.
Η φιλοσοφία είναι σαφής:
ένα cyberattack δεν αντιμετωπίζεται πλέον ως «τεχνικό πρόβλημα».
Είναι επιχειρηματικός κίνδυνος που μπορεί να σταματήσει μια κρίσιμη υπηρεσία ή παραγωγική διαδικασία.
Η ίδια η Κομισιόν παραδέχεται ότι χρειάζεται απλοποίηση
Το πιο αποκαλυπτικό στοιχείο είναι ότι πλέον οι ίδιες οι Βρυξέλλες προσπαθούν να διορθώσουν μέρος της πολυπλοκότητας.
Τον Ιανουάριο του 2026 η Κομισιόν παρουσίασε νέο Cybersecurity Package το οποίο περιλαμβάνει προτεινόμενες αλλαγές στη NIS2.
Ένας από τους δηλωμένους στόχους είναι ακριβώς να μειωθεί το περιττό διοικητικό βάρος, να απλοποιηθούν οι κανόνες δικαιοδοσίας για διασυνοριακές επιχειρήσεις και να γίνει αποτελεσματικότερη η εποπτεία τους.
Η Κομισιόν αναφέρει επίσης ότι θέλει να ενισχύσει τον συντονιστικό ρόλο της ENISA στις διασυνοριακές υποθέσεις.
Με άλλα λόγια, η Ευρώπη προσπαθεί ήδη να απλοποιήσει έναν νόμο πριν ακόμη εφαρμοστεί ομοιόμορφα σε ολόκληρη την Ένωση.
Γιατί οι Βρυξέλλες επιμένουν παρά το αλαλούμ
Υπάρχει όμως και η άλλη πλευρά.
Η απειλή είναι πραγματική.
Η Ευρώπη αντιμετωπίζει πλέον κυβερνοεπιθέσεις που δεν στοχεύουν μόνο δεδομένα και τράπεζες.
Κρατικοί και εγκληματικοί παράγοντες μπορούν να πλήξουν ενέργεια, μεταφορές, νοσοκομεία, βιομηχανίες, logistics και αλυσίδες εφοδιασμού.
Η Κομισιόν επισημαίνει ότι η επιδείνωση του γεωπολιτικού περιβάλλοντος έχει αυξήσει δραματικά τον κίνδυνο επιθέσεων σε κρίσιμους οικονομικούς τομείς και υποδομές.
Η τεχνητή νοημοσύνη προσθέτει πλέον ένα ακόμη επίπεδο απειλής, καθώς μπορεί να χρησιμοποιηθεί για αυτοματοποίηση επιθέσεων και ταχύτερο εντοπισμό αδυναμιών.
Άρα το ερώτημα δεν είναι αν χρειάζεται αυστηρότερη κυβερνοασφάλεια.
Είναι πώς εφαρμόζεται χωρίς να μετατρέπεται σε κανονιστικό λαβύρινθο.
Το ακριβό τίμημα για τις επιχειρήσεις
Για τις επιχειρήσεις που βρίσκονται εντός της NIS2, η αλλαγή μπορεί να απαιτήσει σημαντικές επενδύσεις.
Νέα συστήματα ασφάλειας.
Cyber risk assessments.
Έλεγχο προμηθευτών.
Incident response plans.
Εκπαίδευση προσωπικού.
Συνεχή παρακολούθηση δικτύων.
Και διαδικασίες αναφοράς όταν προκύψει σοβαρό cyber incident.
Για έναν μεγάλο ενεργειακό όμιλο ή μια τράπεζα, τέτοιες υποδομές είναι ήδη σε μεγάλο βαθμό δεδομένες.
Για μια μεσαία βιομηχανική επιχείρηση τροφίμων που ξαφνικά βρίσκεται μέσα στον νέο ορισμό του «critical sector», το κόστος και η οργανωτική αλλαγή μπορεί να είναι πολύ μεγαλύτερα.
Η ειρωνεία με το παγωτό
Και κάπως έτσι το παγωτό γίνεται το τέλειο σύμβολο του προβλήματος.
Δεν είναι ότι η Ευρώπη θεωρεί ένα χωνάκι βανίλιας ισοδύναμο με έναν πυρηνικό σταθμό.
Είναι ότι η οικονομία έχει γίνει τόσο ψηφιακά διασυνδεδεμένη ώστε μια μεγάλη μονάδα παραγωγής τροφίμων μπορεί πλέον να αποτελεί κρίσιμο κόμβο μιας πολύ μεγαλύτερης αλυσίδας.
Η λογική έχει βάση.
Η εφαρμογή είναι αυτή που τρίζει.
Όταν 23 κράτη καθυστερούν αρχικά να ενσωματώσουν τον νόμο, τέσσερις οδηγούνται τελικά στο Ευρωπαϊκό Δικαστήριο και οι Βρυξέλλες προτείνουν ήδη απλοποιήσεις, η εικόνα απέχει πολύ από ένα ενιαίο ευρωπαϊκό τείχος κυβερνοάμυνας.
Η NIS2 σχεδιάστηκε για τους hackers – και κόλλησε στη γραφειοκρατία
Αυτή είναι τελικά η μεγάλη ειρωνεία της υπόθεσης.
Η Ευρωπαϊκή Ένωση δημιούργησε τη NIS2 επειδή οι κυβερνοεπιθέσεις δεν γνωρίζουν σύνορα.
Ένα ransomware μπορεί μέσα σε λίγα λεπτά να περάσει από μια χώρα σε άλλη, να χτυπήσει έναν προμηθευτή και να παραλύσει ολόκληρη εφοδιαστική αλυσίδα.
Η ευρωπαϊκή απάντηση όμως εξακολουθεί να περνά από 27 διαφορετικά εθνικά συστήματα.
Και έτσι, την ώρα που οι hackers λειτουργούν χωρίς σύνορα, οι επιχειρήσεις προσπαθούν ακόμη να καταλάβουν ποια ακριβώς σύνορα του νόμου τις αφορούν.
Το αποτέλεσμα είναι ότι μία από τις σημαντικότερες μεταρρυθμίσεις κυβερνοασφάλειας της Ευρώπης μπορεί να γίνει γνωστή στο ευρύ κοινό όχι από τα νοσοκομεία, τα ενεργειακά δίκτυα ή τα data centers που θέλει να προστατεύσει.
Αλλά από το ερώτημα εάν ένα εργοστάσιο παγωτού είναι τελικά… κρίσιμη υποδομή.
Πηγή: pagenews.gr
Διαβάστε όλες τις τελευταίες Ειδήσεις από την Ελλάδα και τον Κόσμο
