Производители на сладолед, божиќни светилки, трговци на големо со мастики за џвакање, па дури и одредени сопственици на станови би можеле да се најдат под построги правила за сајбер-безбедност на Европската Унија.
На прв поглед, овие дејности имаат малку заедничко со електраните, енергетските мрежи или водоснабдувањето. Сепак, поради широкото формулирање на европските прописи, дел од нив би можеле да бидат опфатени со правилата за заштита на критичната инфраструктура.
Станува збор за Директивата NIS2, усвоена во 2022 година со цел да се зајакне отпорноста на Европа на сајбер-напади.
Земјите-членки требаше да ја преточат директивата во националните законодавства до крајот на 2024 година. Но, имплементацијата во дел од земјите доцни, а компаниите и нивните правни советници сè уште се обидуваат прецизно да утврдат на кого се однесуваат новите обврски.
Што опфаќа NIS2?
Директивата предвидува операторите во сектори што ЕУ ги смета за особено важни да се регистрираат кај националните надлежни органи и да применуваат дополнителни мерки за сајбер-безбедност.
Проблемот, сепак, се појавува при одредувањето кој точно спаѓа во овие категории.
Како што пренесува „Политико“, експерти за технологија и правници предупредуваат дека буквалното толкување на регулативата може да доведе до неочекувани резултати.
Меѓу примерите се производители на сладолед, трговци на големо со мастики за џвакање, производители на божиќни светилки, училишта со соларни панели и, под одредени услови, сопственици на голем број станови.
И сладоледот може да биде „критичен“
Една од причините лежи во тоа што NIS2 ги опфаќа производството, преработката и дистрибуцијата на храна.
Логиката зад оваа одредба е јасна – сериозен сајбер-напад врз синџирот на снабдување со храна би можел да има последици врз снабдувањето на населението.
Но, широката дефиниција отвора прашање дали во системот се вклучени и дејности кои тешко би можеле да се сметаат за неопходни во услови на сериозна криза.
Чешката европратеничка Маркета Грегорова, која работи на пакет мерки за поедноставување на примената на сајбер-регулативите, предупреди токму на вакви случаи.
На неодамнешна конференција таа посочи дека доволно големи производители на сладолед би можеле да бидат опфатени со правилата.
„Веројатно нема да ви бидат потребни во кризна ситуација“, рече Грегорова.
Мастики за џвакање и божиќни светилки
Слична дилема постои и кај трговците на големо со мастики за џвакање.
Според Андреас Даум од адвокатската канцеларија „Ноер“, компаниите кои ќе надминат одреден праг на големина би можеле да потпаднат под директивата.
Конфузијата е очигледно доволно голема што едно германско трговско здружение морало посебно да им објаснува на своите членови дека занаетчиските пекари не се опфатени со правилата.
Уште понеобичен пример се божиќните светилки.
Производството на комплети за осветлување на новогодишни елки е вклучено во класификацијата на економски активности на кои се однесува NIS2.
Јуријан Јансен, партнер во адвокатската канцеларија „Нортон Роуз“ во Амстердам, објаснува дека таквите производители во Холандија би можеле да бидат означени како „важни субјекти“, иако не спаѓаат во повисоката категорија на „клучни субјекти“.
Токму тука се појавува апсурдот: тешко е да се замисли сценарио во кое прекинот на производството на божиќни светилки би претставувал сериозен ризик за јавната безбедност или функционирањето на државата.
Што е со училиштата со соларни панели?
Проблемот не се однесува само на приватниот сектор.
„Политико“ го наведува и примерот на големите училишта кои имаат сопствени соларни електрани.
Белгиски европратеник уште минатата година предупреди дека ваквите институции, според формалното толкување на правилата, би можеле да се сметаат за производители на електрична енергија.
Тоа би можело да значи и дополнителни обврски според NIS2, како и нови трошоци, иако училиштата често немаат сопствени експерти за сајбер-безбедност.
Европската комисија не ја исклучи можноста одредени училишта навистина да бидат опфатени со регулативата, но најави дека идните измени на европските дигитални и сајбер-правила треба да помогнат во поедноставување на системот.
И сопствениците на станови може да бидат опфатени
Особено интересен е примерот од Германија.
Сопственици кои издаваат голем број станови и на закупците им обезбедуваат кабелска или интернет-врска преку режиските трошоци, под одредени услови би можеле да бидат третирани како давателите на телекомуникациски услуги.
„Можно е, но зависи од тоа како е структуриран договорот за закуп“, објаснува Даум.
Дали таквите сопственици автоматски ќе потпаднат под правилата за сајбер-безбедност, сепак, сè уште не е целосно јасно.
Според Даум, за ова прашање засега нема доволно судска практика ниту детални упатства од регулаторните органи.
NIS2 се соочува со проблеми и во имплементацијата
Нејасните граници на регулативата се само еден од проблемите.
Франција и Шпанија сè уште немаат целосно усогласено национално законодавство, додека процесот на регистрација на компаниите во Германија се одвива побавно од очекуваното.
Европската комисија за „Политико“ посочила дека NIS2 содржи механизми кои треба да спречат непропорционална примена на правилата.
Малите компании генерално се изземени, додека организациите кои не спаѓаат во најкритичните категории имаат полесни обврски.
Сепак, токму широките дефиниции и различното толкување во земјите-членки отвораат прашања за тоа каде завршува критичната инфраструктура, а каде почнува претераната регулација.
Во време кога сајбер-нападите стануваат сè почести, а развојот на вештачката интелигенција и хибридните закани создаваат нови ризици, потребата од посилна заштита е неспорна.
Но, останува дилемата: дали Европа со NIS2 ја зајакнува сајбер-безбедноста – или со премногу широки дефиниции создава нова бирократска конфузија?
