Παγωτά, τσίχλες, χριστουγεννιάτικα λαμπάκια και ακόμη και ιδιοκτήτες πολυκατοικιών δίπλα σε ενεργειακά δίκτυα, νοσοκομεία και εγκαταστάσεις ύδρευσης; Ακούγεται παράλογο, όμως είναι ένα από τα απροσδόκητα αποτελέσματα της προσπάθειας της Ευρωπαϊκής Ένωσης να διευρύνει δραστικά την κυβερνοάμυνα της ευρωπαϊκής οικονομίας.
Στο επίκεντρο βρίσκεται η Οδηγία NIS2, το νέο ευρωπαϊκό πλαίσιο για την ασφάλεια δικτύων και πληροφοριακών συστημάτων, το οποίο καλύπτει πλέον 18 τομείς της οικονομίας και επιβάλλει αυξημένες υποχρεώσεις κυβερνοασφάλειας σε χιλιάδες δημόσιους και ιδιωτικούς οργανισμούς.
Το πρόβλημα είναι ότι όσο οι κυβερνήσεις και οι επιχειρήσεις προσπαθούν να απαντήσουν στο φαινομενικά απλό ερώτημα «ποιος ακριβώς υπάγεται στη NIS2;», εμφανίζονται περιπτώσεις που δύσκολα θα φανταζόταν κανείς όταν ακούει τον όρο «κρίσιμες υποδομές».
Η κρίσιμη διευκρίνιση: Η NIS2 δεν χαρακτηρίζει αυτομάτως κάθε τέτοια επιχείρηση «ζωτικής σημασίας» ούτε σημαίνει ότι η ΕΕ αναλαμβάνει να την προστατεύει απευθείας από χάκερ. Το πλαίσιο κατατάσσει τις επιχειρήσεις που πληρούν συγκεκριμένα κριτήρια σε «βασικές» ή «σημαντικές οντότητες» και τους επιβάλλει αυστηρότερες υποχρεώσεις κυβερνοασφάλειας.
Πώς φτάσαμε από τα εργοστάσια ηλεκτρισμού… στα παγωτά
Η λογική πίσω από την ευρωπαϊκή οδηγία είναι εύκολα κατανοητή.
Μια σοβαρή κυβερνοεπίθεση σε ένα ενεργειακό δίκτυο, ένα νοσοκομείο, μια εταιρεία τηλεπικοινωνιών ή ένα σύστημα ύδρευσης μπορεί να παραλύσει ολόκληρες περιοχές και να απειλήσει την ασφάλεια εκατομμυρίων πολιτών.
Η ΕΕ αποφάσισε, όμως, να διευρύνει σημαντικά το πεδίο εφαρμογής σε σχέση με την πρώτη οδηγία NIS. Στη NIS2 προστέθηκαν μεταξύ άλλων η παραγωγή και διανομή τροφίμων, η μεταποίηση, τα χημικά, η διαχείριση αποβλήτων, οι ταχυδρομικές υπηρεσίες, η έρευνα και συγκεκριμένοι κλάδοι κατασκευής προϊόντων.
Και εκεί αρχίζουν τα παράδοξα.
ΤΟ ΠΑΡΑΔΟΞΟ ΤΗΣ NIS2
Όταν ένας νόμος καλύπτει ολόκληρες κατηγορίες όπως «παραγωγή τροφίμων» ή «κατασκευή ηλεκτρικού εξοπλισμού», μέσα στο ίδιο νομικό δίχτυ μπορούν να βρεθούν επιχειρήσεις που κανείς δεν θα αποκαλούσε αυθόρμητα «κρίσιμη υποδομή».
Οι κατασκευαστές παγωτού
Το χαρακτηριστικότερο παράδειγμα είναι οι κατασκευαστές παγωτού.
Η NIS2 περιλαμβάνει επιχειρήσεις που δραστηριοποιούνται στη χονδρική διανομή και στη βιομηχανική παραγωγή και επεξεργασία τροφίμων. Εφόσον λοιπόν μια εταιρεία παραγωγής παγωτού είναι αρκετά μεγάλη ώστε να καλύπτει και τα κριτήρια μεγέθους της νομοθεσίας, μπορεί να βρεθεί μέσα στο πεδίο εφαρμογής.
Η Τσέχα ευρωβουλευτής Markéta Gregorová χρησιμοποίησε ακριβώς αυτό το παράδειγμα για να αναδείξει την ιδιαιτερότητα του συστήματος, παρατηρώντας ότι δύσκολα θα θεωρούσε κανείς το παγωτό απαραίτητο σε μια πραγματική εθνική κρίση.
Και οι τσίχλες θεωρούνται… τρόφιμα
Ακόμη πιο χαρακτηριστική είναι η περίπτωση της τσίχλας.
Η ευρωπαϊκή νομοθεσία για τα τρόφιμα χρησιμοποιεί ευρεία έννοια του όρου «τρόφιμο», η οποία περιλαμβάνει μεταξύ άλλων και τις τσίχλες.
Αυτό σημαίνει ότι ένας μεγάλος χονδρέμπορος τσίχλας μπορεί, υπό τις κατάλληλες προϋποθέσεις, να βρεθεί αντιμέτωπος με υποχρεώσεις NIS2.
Δεν αρκεί το προϊόν: Δεν υπάγεται κάθε μικρό παγωτατζίδικο ή κατάστημα τσίχλας στη NIS2. Κατά κανόνα λαμβάνονται υπόψη τόσο ο τομέας δραστηριότητας όσο και το μέγεθος της επιχείρησης, ενώ υπάρχουν και ειδικές εξαιρέσεις ή εθνικές διαφοροποιήσεις.
Τα χριστουγεννιάτικα λαμπάκια που έγιναν υπόθεση κυβερνοασφάλειας
Στην Ολλανδία, νομικοί εξετάζουν ακόμη και την περίπτωση εταιρειών που κατασκευάζουν χριστουγεννιάτικο φωτισμό.
Η εξήγηση βρίσκεται στο γεγονός ότι η NIS2 περιλαμβάνει μεταξύ των καλυπτόμενων μεταποιητικών δραστηριοτήτων την κατασκευή ηλεκτρικού εξοπλισμού.
Έτσι, ανάλογα με το ακριβές προϊόν, την ταξινόμηση της εταιρείας και τον τρόπο με τον οποίο έχει ενσωματωθεί η οδηγία στο εθνικό δίκαιο, μια μεγάλη εταιρεία κατασκευής χριστουγεννιάτικων φωτιστικών μπορεί να βρεθεί εντός του καθεστώτος κυβερνοασφάλειας.
Σύμφωνα με την ανάλυση που επικαλείται το POLITICO, τέτοιες επιχειρήσεις μπορεί να χαρακτηρίζονται ως «σημαντικές», χωρίς αυτό να σημαίνει ότι η διακοπή λειτουργίας τους θεωρείται ισοδύναμη με την κατάρρευση ενός ενεργειακού δικτύου ή ενός νοσοκομείου.
Πώς ένας ιδιοκτήτης ακινήτων μπορεί να γίνει «πάροχος τηλεπικοινωνιών»
Η πιο περίεργη περίπτωση ίσως έρχεται από τη Γερμανία.
Μεγάλες εταιρείες ή ιδιοκτήτες ακινήτων που δεν περιορίζονται στην ενοικίαση διαμερισμάτων, αλλά παρέχουν στους ενοίκους τους σύνδεση στο διαδίκτυο, Wi-Fi ή άλλη υπηρεσία επικοινωνιών, μπορεί υπό συγκεκριμένες συνθήκες να θεωρηθούν πάροχοι σχετικών υπηρεσιών.
Ο δικηγόρος τεχνολογίας Andreas Daum της Noerr έχει επισημάνει ότι ακόμη και η παροχή Wi-Fi από έναν ιδιοκτήτη προς τους ενοίκους δημιουργεί πραγματικά νομικά ερωτήματα για το εάν και πότε μπορεί να ενεργοποιηθεί το καθεστώς της NIS2.
Η απάντηση δεν είναι αυτοματοποιημένη. Εξαρτάται από τη δομή της υπηρεσίας, τις συμβάσεις και από το εάν ο ιδιοκτήτης λειτουργεί ουσιαστικά και ως πάροχος επικοινωνιών.
Γιατί δημιουργήθηκε αυτό το «νομικό παζλ»
Το πρόβλημα δεν βρίσκεται απαραίτητα στην πρόθεση του ευρωπαϊκού νομοθέτη.
Η σύγχρονη οικονομία είναι εξαιρετικά διασυνδεδεμένη. Μια κυβερνοεπίθεση σε μια μεγάλη βιομηχανία τροφίμων μπορεί να επηρεάσει αποθήκες, μεταφορές, προμηθευτές, supermarkets και τελικά την τροφοδοσία του πληθυσμού. Μια επίθεση σε έναν κρίσιμο κατασκευαστή ηλεκτρικού εξοπλισμού μπορεί να προκαλέσει σοβαρές επιπτώσεις πολύ πέρα από την ίδια την εταιρεία.
Αντί όμως η ΕΕ να αξιολογεί εξαρχής μία προς μία εκατοντάδες χιλιάδες επιχειρήσεις, το σύστημα βασίζεται σε τομείς δραστηριότητας, μέγεθος και συγκεκριμένες νομικές κατηγορίες.
Και ακριβώς εκεί δημιουργούνται οι γκρίζες ζώνες.
| Παράδειγμα | Γιατί μπορεί να υπάγεται |
|---|---|
| Μεγάλη εταιρεία παγωτού | Βιομηχανική παραγωγή/επεξεργασία τροφίμων |
| Χονδρέμπορος τσίχλας | Η τσίχλα περιλαμβάνεται στη νομική έννοια των τροφίμων |
| Κατασκευαστής χριστουγεννιάτικων λαμπών | Ενδέχεται να υπάγεται στην κατασκευή ηλεκτρικού εξοπλισμού |
| Μεγάλος ιδιοκτήτης ακινήτων | Ενδέχεται να παρέχει υπηρεσίες ηλεκτρονικών επικοινωνιών στους ενοίκους |
Τι υποχρεώσεις φέρνει πραγματικά η NIS2
Για τις επιχειρήσεις που τελικά υπάγονται στο καθεστώς, η NIS2 δεν είναι μια τυπική εγγραφή σε έναν κατάλογο.
Προβλέπει μεταξύ άλλων μέτρα διαχείρισης κυβερνοκινδύνων, σχέδια αντιμετώπισης περιστατικών, προστασία της εφοδιαστικής αλυσίδας, διαδικασίες επιχειρησιακής συνέχειας, αναφορά σημαντικών περιστατικών και μεγαλύτερη ευθύνη της διοίκησης.
Με απλά λόγια, μια επιχείρηση που βρίσκεται εντός του πεδίου εφαρμογής δεν μπορεί πλέον να αντιμετωπίζει την κυβερνοασφάλεια αποκλειστικά ως θέμα του τμήματος πληροφορικής.
Η πραγματική αλλαγή: Η κυβερνοασφάλεια μετατρέπεται από τεχνική υπόθεση σε εταιρική υποχρέωση, με ευθύνη που φτάνει μέχρι τη διοίκηση της επιχείρησης.
Η Ευρώπη ακόμη προσπαθεί να εφαρμόσει τον ίδιο της τον νόμο
Η NIS2 εγκρίθηκε το 2022 και τα κράτη-μέλη είχαν προθεσμία έως τις 17 Οκτωβρίου 2024 για να την ενσωματώσουν στο εθνικό τους δίκαιο.
Σχεδόν δύο χρόνια αργότερα, η διαδικασία δεν έχει ολοκληρωθεί σε ολόκληρη την Ευρωπαϊκή Ένωση.
Τον Ιούλιο του 2026 η Ευρωπαϊκή Επιτροπή παρέπεμψε τη Γαλλία, την Ισπανία, την Ιρλανδία και την Ολλανδία στο Δικαστήριο της Ευρωπαϊκής Ένωσης, επειδή δεν είχαν κοινοποιήσει πλήρη μέτρα ενσωμάτωσης της οδηγίας.
Η ίδια η Κομισιόν έχει αναγνωρίσει ότι υπάρχουν ζητήματα νομικής σαφήνειας και τον Ιανουάριο του 2026 πρότεινε στοχευμένες αλλαγές στη NIS2 με στόχο την απλούστευση της συμμόρφωσης και την καλύτερη αποσαφήνιση του πεδίου εφαρμογής.
Και στην Ελλάδα; Η NIS2 εφαρμόζεται ήδη
Σε αντίθεση με ορισμένες μεγάλες ευρωπαϊκές χώρες, η Ελλάδα έχει ήδη ενσωματώσει την NIS2 στο εθνικό δίκαιο.
Η ενσωμάτωση έγινε με τον ν. 5160/2024, ενώ αρμόδια για την εποπτεία του πλαισίου είναι η Εθνική Αρχή Κυβερνοασφάλειας.
Το ελληνικό πλαίσιο περιλαμβάνει 22 απαιτήσεις κυβερνοασφάλειας για τις βασικές και σημαντικές οντότητες, οι οποίες καλύπτουν τεχνικά, οργανωτικά και επιχειρησιακά μέτρα.
Στους τομείς που αναφέρει ρητά η ελληνική Εθνική Αρχή Κυβερνοασφάλειας βρίσκονται, μεταξύ άλλων, η ενέργεια, οι μεταφορές, η υγεία, οι χρηματοπιστωτικές υπηρεσίες, οι ψηφιακές υποδομές, οι υπηρεσίες ΤΠΕ, η δημόσια διοίκηση, τα τρόφιμα, τα χημικά, η μεταποίηση, η έρευνα και οι ταχυμεταφορές.
ΓΙΑ ΤΙΣ ΕΛΛΗΝΙΚΕΣ ΕΠΙΧΕΙΡΗΣΕΙΣ
Η Εθνική Αρχή Κυβερνοασφάλειας διαθέτει ειδικό τεστ υπαγωγής, ώστε μια επιχείρηση ή ένας οργανισμός να μπορεί να ελέγξει εάν εμπίπτει στον ν. 5160/2024 και εάν πρέπει να εγγραφεί στο σχετικό μητρώο.
Υπερβολική γραφειοκρατία ή αναγκαία θωράκιση;
Το παράδοξο των παγωτών και των χριστουγεννιάτικων λαμπών μπορεί εύκολα να προκαλέσει χαμόγελο. Πίσω του, όμως, βρίσκεται ένα πολύ σοβαρό πρόβλημα.
Οι κυβερνοεπιθέσεις δεν χτυπούν πλέον μόνο τράπεζες, υπουργεία ή εργοστάσια ηλεκτρισμού. Μια μεγάλη βιομηχανία τροφίμων, μια εταιρεία logistics ή ένας βασικός προμηθευτής μπορεί να αποτελέσει το αδύναμο σημείο μιας ολόκληρης αλυσίδας.
Από την άλλη πλευρά, όταν η νομοθεσία γίνεται τόσο ευρεία ώστε οι επιχειρήσεις χρειάζονται νομικούς συμβούλους για να καταλάβουν αν ακόμη και η παραγωγή παγωτού ή χριστουγεννιάτικων φωτιστικών τις μετατρέπει σε «σημαντικές οντότητες», το ζήτημα της σαφήνειας και της αναλογικότητας γίνεται εξίσου πραγματικό.
Η ΟΥΣΙΑ
Η NIS2 επιχειρεί να προστατεύσει μια οικονομία στην οποία σχεδόν τα πάντα είναι πλέον ψηφιακά διασυνδεδεμένα. Το δύσκολο για την Ευρώπη είναι να ξεχωρίσει πού τελειώνει η πραγματικά κρίσιμη κυβερνοασφάλεια και πού αρχίζει η υπερβολική γραφειοκρατία. Και όταν στη συζήτηση μπαίνουν παγωτά, τσίχλες και χριστουγεννιάτικα λαμπάκια, γίνεται φανερό ότι αυτό το όριο δεν είναι πάντα τόσο απλό όσο φαίνεται.
Πηγές
European Commission – NIS2 Directive
EUR-Lex – Directive (EU) 2022/2555
Εθνική Αρχή Κυβερνοασφάλειας – NIS2 στην Ελλάδα
