Ανθεκτικότητα της ΕΕ στον κυβερνοχώρο και στις κρίσιμες υποδομές

Η κυβερνοασφάλεια εκτείνεται στα όρια μεταξύ εσωτερικής αγοράς, ασφάλειας και εθνικής ασφάλειας. Μεγάλο μέρος της νομοθεσίας της ΕΕ χρησιμοποιεί ως νομική βάση το άρθρο 114 ΣΛΕΕ, διότι οι αποκλίνουσες εθνικές απαιτήσεις μπορούν να κατακερματίσουν την εσωτερική αγορά. Το άρθρο 16 στηρίζει τους κανόνες για την προστασία των δεδομένων, το άρθρο 196 στηρίζει τη συνεργασία στον τομέα της πολιτικής προστασίας και το άρθρο 222 περιέχει τη ρήτρα αλληλεγγύης για καταστροφές και τρομοκρατικές επιθέσεις. Η εθνική ασφάλεια παραμένει στην αποκλειστική ευθύνη κάθε κράτους μέλους σύμφωνα με το άρθρο 4(2) ΣΕΕ. Επομένως, το δίκαιο της ΕΕ για τον κυβερνοχώρο ενισχύει την κοινή μη στρατιωτική ανθεκτικότητα χωρίς να δημιουργεί υπηρεσία πληροφοριών της ΕΕ ούτε να μεταφέρει στις Βρυξέλλες τη συνολική διοίκηση της αντιμετώπισης περιστατικών.

Το επιχειρησιακό μοντέλο έχει τέσσερα στάδια: μείωση του κινδύνου πριν από ένα περιστατικό, ανίχνευση και ανταλλαγή σχετικών πληροφοριών, συντονισμός της απόκρισης όταν οι επιπτώσεις υπερβαίνουν τα σύνορα και αποκατάσταση των υπηρεσιών. Τα κράτη μέλη ορίζουν αρμόδιες αρχές, ενιαία σημεία επαφής και ομάδες απόκρισης σε συμβάντα που αφορούν την ασφάλεια υπολογιστών. Η Επιτροπή επιβλέπει το δίκαιο της ΕΕ και μπορεί να εκδίδει τις προβλεπόμενες εκτελεστικές πράξεις. Ο ENISA — ο Οργανισμός της Ευρωπαϊκής Ένωσης για την Κυβερνοασφάλεια — παρέχει εμπειρογνωσία και υποστήριξη σε ασκήσεις, στον συντονισμό της αντιμετώπισης ευπαθειών και στη συνεργασία. Το ΕΕ-CyCLONe συνδέει τις εθνικές αρχές διαχείρισης κρίσεων για περιστατικά μεγάλης κλίμακας· το δίκτυο CSIRTs υποστηρίζει την τεχνική επιχειρησιακή συνεργασία.

Η οδηγία (ΕΕ) 2022/2555, γνωστή ως NIS2, επιδιώκει υψηλό κοινό επίπεδο κυβερνοασφάλειας σε ολόκληρη την Ένωση. Διευρύνει τους καλυπτόμενους τομείς και διακρίνει τους καλυπτόμενους οργανισμούς σε βασικές και σημαντικές οντότητες. Η ταξινόμηση επηρεάζει το καθεστώς εποπτείας, όχι τη βασική ανάγκη διαχείρισης των κινδύνων. Στους τομείς περιλαμβάνονται η ενέργεια, οι μεταφορές, η υγεία, οι ψηφιακές υποδομές, η δημόσια διοίκηση, το πόσιμο νερό, τα λύματα, οι ταχυδρομικές υπηρεσίες, η κατασκευή ορισμένων κρίσιμων προϊόντων και οι ψηφιακοί πάροχοι. Τα όρια μεγέθους και οι ειδικές περιπτώσεις υπαγωγής ή εξαίρεσης έχουν σημασία· δεν καλύπτεται αυτομάτως κάθε μικρός οργανισμός.

Οι οντότητες πρέπει να χρησιμοποιούν αναλογικά τεχνικά, επιχειρησιακά και οργανωτικά μέτρα. Η οδηγία απαριθμεί τη διαχείριση περιστατικών, την επιχειρησιακή συνέχεια, την ασφάλεια της αλυσίδας εφοδιασμού, τη διαχείριση ευπαθειών, την κρυπτογράφηση όπου ενδείκνυται, τον έλεγχο πρόσβασης, τη διαχείριση περιουσιακών στοιχείων και την ευαισθητοποίηση του προσωπικού. Τα διοικητικά όργανα εγκρίνουν και επιβλέπουν τα μέτρα και μπορούν να θεωρηθούν υπεύθυνα βάσει της εθνικής νομοθεσίας μεταφοράς. Τα σημαντικά περιστατικά ακολουθούν κλιμακωτό μοντέλο κοινοποίησης: έγκαιρη προειδοποίηση εντός 24 ωρών από τη στιγμή που έγιναν αντιληπτά, κοινοποίηση περιστατικού εντός 72 ωρών και τελική έκθεση συνήθως εντός ενός μήνα. Οι υποψήφιοι δεν πρέπει να συγχέουν τα στάδια αυτά σε μία ενιαία προθεσμία.

Η NIS2 είναι οδηγία. Τα κράτη μέλη όφειλαν να τη μεταφέρουν στο εθνικό δίκαιο έως τις 17 Οκτωβρίου 2024 και να εφαρμόσουν τα εθνικά μέτρα από τις 18 Οκτωβρίου 2024. Τα δικαιώματα και οι υποχρεώσεις επιβάλλονται κυρίως μέσω του εθνικού δικαίου. Η ελλιπής μεταφορά δεν μετατρέπει την οδηγία σε κανονισμό· δημιουργεί πρόβλημα εφαρμογής που υπόκειται στα ένδικα μέσα του δικαίου της ΕΕ και σε ενδεχόμενη διαδικασία επί παραβάσει.

Ο κανονισμός (ΕΕ) 2024/2847 — η πράξη για την κυβερνοανθεκτικότητα ή CRA — ακολουθεί προσέγγιση προσανατολισμένη στην αγορά προϊόντων. Καλύπτει προϊόντα υλισμικού και λογισμικού με ψηφιακά στοιχεία που διατίθενται στην αγορά της ΕΕ, με την επιφύλαξη καθορισμένων εξαιρέσεων και αλληλεπιδράσεων με την τομεακή νομοθεσία. Οι κατασκευαστές πρέπει να σχεδιάζουν και να παράγουν ασφαλή προϊόντα, να αξιολογούν τους κυβερνοκινδύνους, να διαχειρίζονται τις ευπάθειες και να παρέχουν ενημερώσεις ασφαλείας κατά την περίοδο υποστήριξης. Οι εισαγωγείς και οι διανομείς έχουν υποχρεώσεις επαλήθευσης. Η αξιολόγηση της συμμόρφωσης και η σήμανση CE συνδέουν τις απαιτήσεις κυβερνοασφάλειας με τη συνήθη επιβολή της νομοθεσίας για τα προϊόντα της ενιαίας αγοράς.

Η έναρξη ισχύος δεν ταυτίζεται με την πλήρη εφαρμογή. Η CRA τέθηκε σε ισχύ στις 10 Δεκεμβρίου 2024. Οι κανόνες σχετικά με την κοινοποίηση των οργανισμών αξιολόγησης της συμμόρφωσης εφαρμόζονται από τις 11 Ιουνίου 2026. Οι υποχρεώσεις αναφοράς του άρθρου 14 για ευπάθειες που αποτελούν αντικείμενο ενεργού εκμετάλλευσης και για σοβαρά περιστατικά εφαρμόζονται από τις 11 Σεπτεμβρίου 2026. Οι περισσότερες υποχρεώσεις εφαρμόζονται από τις 11 Δεκεμβρίου 2027. Κατά την ημερομηνία επικαιροποίησης του παρόντος ενημερωτικού σημειώματος, οι υποχρεώσεις αναφοράς του Σεπτεμβρίου επρόκειτο να τεθούν σύντομα σε εφαρμογή, αλλά δεν ήταν ακόμη εφαρμοστέες.

Η οδηγία (ΕΕ) 2022/2557, η οδηγία για την ανθεκτικότητα των κρίσιμων οντοτήτων ή οδηγία CER, αφορά την ικανότητα των προσδιορισμένων οντοτήτων να προλαμβάνουν περιστατικά, να προστατεύονται από αυτά, να αποκρίνονται, να ανθίστανται, να μετριάζουν και να απορροφούν τις επιπτώσεις τους, να προσαρμόζονται και να ανακάμπτουν. Το πεδίο εφαρμογής της έναντι κάθε κινδύνου περιλαμβάνει φυσικούς κινδύνους, ατυχήματα, καταστάσεις έκτακτης ανάγκης στον τομέα της δημόσιας υγείας, δολιοφθορά και τρομοκρατία. Τα κράτη μέλη διενεργούν εκτιμήσεις κινδύνου, θεσπίζουν στρατηγικές και προσδιορίζουν κρίσιμες οντότητες στους απαριθμούμενους τομείς. Στη συνέχεια, οι προσδιορισμένες οντότητες αξιολογούν τους κινδύνους, λαμβάνουν αναλογικά μέτρα και κοινοποιούν περιστατικά που προκαλούν διαταραχή.

Η CER και η NIS2 σχεδιάστηκαν ώστε να λειτουργούν από κοινού. Η CER επικεντρώνεται κυρίως στη μη κυβερνοανθεκτικότητα· η NIS2 επικεντρώνεται στα συστήματα δικτύου και πληροφοριών. Οι εθνικές αρχές πρέπει να συνεργάζονται και να ανταλλάσσουν σχετικές πληροφορίες. Οι οδηγίες δεν συνεπάγονται ότι κάθε οντότητα σε έναν απαριθμούμενο τομέα έχει πανομοιότυπες υποχρεώσεις. Ο προσδιορισμός, οι κανόνες μεγέθους, οι τομεακές διατάξεις και η μεταφορά στο εθνικό δίκαιο καθορίζουν την κάλυψη.

Ο κανονισμός (ΕΕ) 2025/38, η πράξη για την αλληλεγγύη στον κυβερνοχώρο, εφαρμόζεται από τις 4 Φεβρουαρίου 2025. Θεσπίζει ευρωπαϊκό σύστημα προειδοποίησης για την κυβερνοασφάλεια, μέτρα ετοιμότητας και εφεδρεία κυβερνοασφάλειας της ΕΕ αποτελούμενη από αξιόπιστους παρόχους υπηρεσιών απόκρισης σε περιστατικά. Υποστηρίζει επίσης την επανεξέταση σημαντικών περιστατικών ή περιστατικών μεγάλης κλίμακας. Η εφεδρεία συμπληρώνει, αντί να αντικαθιστά, τις εθνικές ικανότητες. Τα αιτήματα, η επιλεξιμότητα, η σύναψη συμβάσεων και η εμπιστευτικότητα διέπονται από τον κανονισμό και τις ρυθμίσεις εφαρμογής του.

Η ορολογία για τις κρίσεις πρέπει να είναι ακριβής. Ένα σημαντικό περιστατικό κατά τη NIS2 αφορά σοβαρή διαταραχή, απώλεια ή ζημία για μια οντότητα ή για τρίτους. Ένα περιστατικό μεγάλης κλίμακας υπερβαίνει την ικανότητα ενός κράτους μέλους ή επηρεάζει σημαντικά τουλάχιστον δύο κράτη μέλη. Για τον πολιτικό συντονισμό μπορούν επίσης να χρησιμοποιηθούν οι ρυθμίσεις του Συμβουλίου για την ολοκληρωμένη αντιμετώπιση πολιτικών κρίσεων. Η εργαλειοθήκη κυβερνοδιπλωματίας της ΕΕ του 2019 μπορεί να υποστηρίξει την απόκριση στο πλαίσιο των εξωτερικών σχέσεων, μεταξύ άλλων μέσω περιοριστικών μέτρων, αλλά η απόδοση ευθύνης και οι κυρώσεις αποτελούν πολιτικές και νομικές αποφάσεις, όχι τεχνικές διαπιστώσεις του ENISA.

Στις 20 Ιανουαρίου 2026 η Επιτροπή πρότεινε αναθεώρηση της πράξης για την κυβερνοασφάλεια του 2019. Η πρόταση αποσκοπεί στον εξορθολογισμό της πιστοποίησης της ΕΕ, στην αντιμετώπιση των κινδύνων ασφάλειας στις αλυσίδες εφοδιασμού τεχνολογιών πληροφοριών και επικοινωνιών και στην ενίσχυση του ENISA. Στις 17 Αυγούστου 2026 εξακολουθούσε να τελεί υπό εξέταση από το Κοινοβούλιο και το Συμβούλιο. Ο ισχύων κανονισμός (ΕΕ) 2019/881 παρέμενε η εφαρμοστέα πράξη για την κυβερνοασφάλεια, εκτός εάν και έως ότου τροποποιηθεί.

Στις 7 Ιουλίου 2026 η Επιτροπή παρουσίασε σχέδιο δράσης για την προηγμένη τεχνητή νοημοσύνη και την κυβερνοασφάλεια. Καλύπτει την αξιολόγηση μοντέλων, τη διαρθρωμένη πρόσβαση των υπευθύνων κυβερνοάμυνας σε προηγμένα μοντέλα, τις ασφαλείς δοκιμές με τον ENISA και το Κοινό Κέντρο Ερευνών, την ταχύτερη αποκατάσταση ευπαθειών και την ενίσχυση των ευρωπαϊκών ικανοτήτων ΤΝ. Το σχέδιο δράσης βασίζεται στην υφιστάμενη νομοθεσία· δεν αποτελεί το ίδιο νέο κανονισμό. Χωριστά, συνεχίστηκαν οι εργασίες εφαρμογής για την πλατφόρμα αναφοράς της CRA, την εφεδρεία κυβερνοασφάλειας και τα εθνικά πλαίσια NIS2.

Ρωτήστε τι προστατεύεται. Για έναν καλυπτόμενο πάροχο υπηρεσιών, ξεκινήστε από τη NIS2. Για συνδεδεμένο υλισμικό ή λογισμικό που διατίθεται στην αγορά, ξεκινήστε από την CRA. Για τη φυσική ανθεκτικότητα και την ανθεκτικότητα έναντι κάθε κινδύνου μιας προσδιορισμένης κρίσιμης οντότητας, ξεκινήστε από τη CER. Για τη διασυνοριακή ανίχνευση και τη στήριξη έκτακτης ανάγκης, εξετάστε την πράξη για την αλληλεγγύη στον κυβερνοχώρο. Στη συνέχεια, προσδιορίστε αν ο υπεύθυνος φορέας είναι κατασκευαστής, ρυθμιζόμενη οντότητα, αρχή κράτους μέλους, CSIRT, ENISA, Επιτροπή ή συννομοθέτης. Ολοκληρώστε ελέγχοντας αν ο κανόνας είχε προταθεί, βρισκόταν σε ισχύ ή ήταν ήδη εφαρμοστέος κατά τη σχετική ημερομηνία.