Producătorii de înghețată, cei de luminițe de Crăciun și chiar unii proprietari de imobile ar putea intra sub incidența noilor reguli europene privind securitatea cibernetică. Directiva NIS2, menită să protejeze infrastructura critică a UE, generează însă situații neașteptate și confuzie în rândul companiilor și autorităților, arată Politico.
Producătorii de înghețată, cei de luminițe de Crăciun și unii proprietari de imobile din Germania ar putea beneficia în curând de o protecție suplimentară din partea Uniunii Europene împotriva atacurilor cibernetice.
Pare greu de crezut, însă avocații specializați în tehnologie și securitate cibernetică avertizează că aceste sectoare neașteptate ar putea fi clasificate drept infrastructură critică în baza Directivei NIS2, concepută pentru protejarea unor domenii precum producția de energie, alimentarea cu apă și rețelele de comunicații, arată Politico.
Este cel mai recent episod care evidențiază dificultățile întâmpinate de Uniunea Europeană în implementarea Directivei NIS2, adoptată în 2022 și care ar fi trebuit transpusă în legislația națională a statelor membre până la sfârșitul anului 2024.
Întârzierile au făcut ca multe companii și consilierii lor juridici să abia acum să intre în detaliile privind obligațiile de conformare. Operatorii din sectoarele vizate trebuie să se înregistreze la autoritățile naționale de securitate cibernetică, ceea ce presupune, mai întâi, să stabilească dacă activitatea lor intră sau nu sub incidența legii.
Iar acest lucru nu este întotdeauna simplu. Avocații și legislatorii dau exemple precum producătorii de înghețată, angrosiștii de gumă de mestecat sau fabricanții de luminițe de Crăciun pentru a ilustra cât de complicată poate deveni aplicarea directivei.
Situația este cu atât mai delicată cu cât Europa se confruntă cu o creștere a atacurilor cibernetice, amplificate de dezvoltarea inteligenței artificiale și de intensificarea amenințărilor hibride.
De ce pot ajunge producătorii de înghețată sub incidența NIS2
Directiva include producția, procesarea și distribuția alimentelor, o prevedere justificată prin faptul că un atac cibernetic care ar paraliza lanțurile de aprovizionare cu alimente ar putea avea consecințe importante asupra populației.
Aplicarea prevederii poate produce însă rezultate neașteptate.
Marketa Gregorova, europarlamentar ceh implicat în lucrările pentru un pachet legislativ destinat simplificării NIS2, a atras atenția asupra situației producătorilor de înghețată.
Companiile suficient de mari din acest sector ar putea intra sub incidența directivei, deși, într-o situație de criză, absența înghețatei nu ar reprezenta neapărat o amenințare pentru funcționarea societății.
„Probabil că nu ai avea nevoie de ele într-o situație de criză”, a remarcat europarlamentarul.
Sectorul alimentar oferă și alte exemple neobișnuite. Andreas Daum, avocat la firma germană Noerr, spune că angrosiștii de gumă de mestecat care depășesc anumite praguri de dimensiune pot intra sub incidența legislației.
În același timp, o asociație profesională din Germania și-a informat membrii că brutăriile artizanale nu sunt vizate de aceste obligații.
Și producătorii de luminițe de Crăciun pot fi vizați
Un alt exemplu surprinzător este cel al producătorilor de instalații luminoase pentru pomul de Crăciun.
„Fabricarea seturilor de lumini pentru bradul de Crăciun” se regăsește în clasificarea activităților economice relevante pentru Directiva NIS2, potrivit lui Jurriaan Jansen, avocat la firma Norton Rose din Amsterdam.
Asta nu înseamnă însă că orice producător de luminițe va fi automat considerat operator al unei infrastructuri esențiale.
În legislația olandeză, de exemplu, astfel de companii pot fi încadrate într-o categorie de entități „importante”, dar nu neapărat în cea a entităților „esențiale”.
Motivul este că o eventuală întrerupere a activității unui astfel de producător nu ar reprezenta, în mod normal, un risc pentru siguranța publică sau pentru funcționarea sistemică a economiei.
„Acesta ar fi un rezultat neobișnuit pentru acest sector”, a explicat Jansen.
Școlile cu panouri solare ar putea intra în vizor
Problemele nu se opresc la industria alimentară sau la producția de decorațiuni. Experții atrag atenția că unele organizații ar putea ajunge sub incidența legislației NIS2 din cauza unor activități secundare, fără ca aceasta să fie principala lor ocupație.
Un exemplu îl reprezintă școlile mari dotate cu panouri solare. Un europarlamentar belgian a atras atenția că astfel de instituții pot fi considerate producători de energie electrică, ceea ce le-ar putea aduce în sfera legislației privind securitatea cibernetică.
Problema este că școlile nu dispun, în multe cazuri, de resursele sau de expertiza necesară pentru a face față unor cerințe complexe de securitate cibernetică.
În răspunsul transmis europarlamentarului, Comisia Europeană nu a exclus posibilitatea ca unele școli să fie afectate de aceste prevederi. Executivul european a precizat însă că viitoarele măsuri legislative și revizuirea cadrului european privind securitatea cibernetică ar trebui să contribuie la simplificarea regulilor.
O altă situație controversată apare în Germania. Proprietarii care închiriază un număr mare de apartamente și le oferă chiriașilor acces la internet sau la servicii de televiziune prin cablu, inclus în cheltuielile de întreținere, ar putea fi considerați furnizori de servicii de comunicații electronice, în funcție de modul în care sunt structurate contractele.
O hotărâre din 2021 a deschis această posibilitate, însă nu este clar dacă ea atrage automat și obligațiile prevăzute de NIS2. „Este posibil, dar depinde de modul în care este configurat contractul de închiriere”, a explicat Andreas Daum.
În prezent, nu există suficientă jurisprudență și nici orientări clare din partea autorităților de reglementare care să lămurească situația.
O directivă importantă, implementată cu întârziere
Directiva NIS2 urmărește să consolideze securitatea cibernetică în sectoarele considerate importante pentru funcționarea societății și economiei europene.
Statele membre ar fi trebuit să adopte legislația națională necesară până la sfârșitul anului 2024. Implementarea este însă întârziată în mai multe țări. Franța și Spania nu au adoptat încă legislația națională corespunzătoare, iar în Germania procesul de înregistrare a companiilor vizate a avansat lent.
Un oficial al Comisiei Europene a subliniat că directiva conține mecanisme menite să limiteze povara administrativă, inclusiv exceptarea, în general, a întreprinderilor mici și aplicarea unor obligații mai puțin stricte pentru organizațiile considerate mai puțin critice.
Problema este că, înainte ca aceste mecanisme să poată fi aplicate, companiile trebuie să afle dacă intră sau nu în domeniul de aplicare al directivei.
Iar exemplele producătorilor de înghețată, ai luminițelor de Crăciun, angrosiștilor de gumă de mestecat sau chiar al proprietarilor de imobile arată cât de complicată poate deveni această delimitare.
Într-un moment în care Uniunea Europeană încearcă să reducă birocrația și să simplifice regulile pentru companii, implementarea NIS2 riscă astfel să genereze exact opusul: mai multe obligații, mai multe incertitudini și costuri suplimentare pentru sectoare care, la prima vedere, nu par să aibă legătură cu infrastructura critică.
Citește și: Rusia pregătește un atac asupra Poloniei, avertizează SUA. Soldații Moscovei ar putea traversa granița și pătrunde pe teritoriul NATO
Editor : C.A.
