Cybersecurity Act 2.0: Τι αλλάζει για τις επιχειρήσεις και πόσο κοστίζει η «θωράκιση» των δικτύων

Μέχρι σήμερα, όταν μια επιχείρηση διάλεγε προμηθευτή τεχνολογικού εξοπλισμού, συνυπολόγιζε την τιμή, την απόδοση και την υποστήριξη. Με τη νέα ευρωπαϊκή «Πράξη για την Κυβερνοασφάλεια» (Cybersecurity Act 2.0 – CSA2) στη ζυγαριά προστίθεται ένα ακόμη βαρίδι: ποιος ελέγχει την εταιρεία του προμηθευτή και σε ποια χώρα έχει την έδρα του.

Η Πρόταση της Ευρωπαϊκής Επιτροπής παρουσιάστηκε στις 20 Ιανουαρίου 2026 και βρίσκεται ακόμη στη νομοθετική διαδικασία, ανάμεσα σε Ευρωπαϊκό Κοινοβούλιο και Συμβούλιο. Το τελικό κείμενο μπορεί να αλλάξει. Το μέγεθος του ζητήματος το δίνει η ίδια η Κομισιόν: σε ένα συγκεκριμένο σενάριο που ίδια εκπόνησε, μόνο η αντικατάσταση εξοπλισμού 5G στην ΕΕ μπορεί να κοστίσει έως 12,9 δισ. ευρώ μέσα σε τρία χρόνια.

Τις αλλαγές και τις επιπτώσεις που θα φέρει η Πρόταση του CSA2, εξετάζει μελέτη του Μεταπτυχιακού Προγράμματος «Κυβερνοασφάλεια και Τεχνολογίες Τεχνητής Νοημοσύνης» του Πανεπιστημίου Πειραιώς, σε συνεργασία με το Ελληνικό Ινστιτούτο Κυβερνοασφάλειας.

Ποιες επιχειρήσεις μπαίνουν στο «κάδρο»

Άμεσα, όσες υπάγονται στην Οδηγία NIS2: πάροχοι τηλεπικοινωνιών, εταιρείες ενέργειας, πάροχοι cloud, τράπεζες, χρηματοπιστωτικές υπηρεσίες και αρκετοί άλλοι κλάδοι.. Βάσει της πρότασης, θα πρέπει να αξιολογούν πόσο εξαρτώνται από τους λεγόμενους προμηθευτές «υψηλού κινδύνου» και να εφαρμόζουν τα μέτρα που θα αποφασίζει η Κομισιόν με εκτελεστικές πράξεις. Η παλέτα των μέτρων είναι ευρεία. Ξεκινά από αυστηρότερους κανόνες διαφάνειας, ελέγχους από τρίτους φορείς και διαφοροποίηση προμηθευτών και μπορεί να φτάσει έως την απαγόρευση συγκεκριμένου εξοπλισμού σε κρίσιμα σημεία των υποδομών. Για σοβαρές παραβάσεις προβλέπονται υψηλά πρόστιμα.

Έμμεσα, ο κύκλος θα διευρυνθεί. Οι οργανισμοί που θα κληθούν να «χαρτογραφήσουν» την εφοδιαστική τους αλυσίδα είναι αναμενόμενο να περάσουν μέρος των απαιτήσεων στους δικούς τους συνεργάτες: εταιρείες λογισμικού, system integrators, μεταπωλητές εξοπλισμού.

Κοινή πιστοποίηση για 27 αγορές

Για τους κατασκευαστές εξοπλισμού, η Πρόταση έχει καλά νέα. Στη θέση των διαφορετικών εθνικών απαιτήσεων έρχεται ενιαία ευρωπαϊκή πιστοποίηση. Ένα προϊόν που πιστοποιείται μία φορά θα κυκλοφορεί ευκολότερα σε όλη την ΕΕ. Τα σχήματα πιστοποίησης και τις τεχνικές προδιαγραφές θα τα σχεδιάζει ο Ευρωπαϊκός Οργανισμός για την Κυβερνοασφάλεια (ENISA), θα τα εγκρίνει η Κομισιόν και τα πιστοποιητικά θα τα εκδίδουν διαπιστευμένοι φορείς. Τα κράτη-μέλη κρατούν την εποπτεία, αλλά δεν θα μπορούν να προσθέτουν δικές τους απαιτήσεις πιστοποίησης εκεί όπου υπάρχει ήδη ευρωπαϊκό σχήμα.

Ενιαίος κατάλογος προδιαγραφών για όλα τα προϊόντα δεν θα υπάρξει. Ο πήχης θα ανεβαίνει ανάλογα με το είδος του εξοπλισμού, τη χρήση του και το επίπεδο ασφάλειας που ζητείται. Η πιστοποίηση θα είναι καταρχήν εθελοντική, εκτός αν άλλη νομοθεσία την κάνει υποχρεωτική. Θα διευκολύνει όμως και την απόδειξη συμμόρφωσης με την Πράξη για την Κυβερνοανθεκτικότητα (Cyber Resilience Act), χωρίς πάντως να λειτουργεί ως «πασπαρτού» για το σύνολο της ευρωπαϊκής νομοθεσίας.

Η πιο ενδιαφέρουσα καινοτομία είναι ότι για πρώτη φορά, μια επιχείρηση θα μπορεί να πιστοποιηθεί συνολικά για το πόσο «ώριμη» είναι στην κυβερνοασφάλεια. Για μικρότερες εταιρείες τεχνολογίας που κυνηγούν συμβόλαια με μεγάλους πελάτες, ένα τέτοιο χαρτί μπορεί να γίνει ισχυρό διαπιστευτήριο.

Η «γκρίζα ζώνη» της χώρας προέλευσης

Ο εξοπλισμός δεν θα κρίνεται μόνο με τεχνικά κριτήρια για το αν είναι ασφαλής. Θα υπολογίζεται και το ιδιοκτησιακό καθεστώς του προμηθευτή, η έδρα του και το νομικό περιβάλλον στο οποίο λειτουργεί. Η Κομισιόν ζητά τη δυνατότητα να χαρακτηρίζει τρίτες χώρες, μαζί με τις εταιρείες που ελέγχονται από αυτές, ως «υψηλού κινδύνου», όταν διαπιστώνει σοβαρούς και διαρθρωτικούς κινδύνους, όπως η απουσία ουσιαστικού δικαστικού και δημοκρατικού ελέγχου. Με απλά λόγια, ο αποκλεισμός μπορεί να αφορά ολόκληρες χώρες και όχι μεμονωμένες εταιρείες. Και δεν μένει στα δίκτυα κινητής. Οι περιορισμοί μπορούν να φτάσουν στους δημόσιους διαγωνισμούς και στα προγράμματα με ευρωπαϊκή χρηματοδότηση που αφορούν κρίσιμα στοιχεία Τεχνολογιών Πληροφορικής και Τηλεπικοινωνιών.

Η μελέτη χαρακτηρίζει τα κριτήρια ασαφή και ανοιχτά σε πολλές ερμηνείες, με κίνδυνο να περιοριστεί η διαφάνεια στις προμήθειες. Για όποιον αγοράζει εξοπλισμό, αυτό πρακτικά σημαίνει λιγότερες επιλογές στην αγορά και, κατά πάσα πιθανότητα, ακριβότερο κόστος εξοπλισμού. Υπάρχει βέβαια και η θεσμική πλευρά. Μέχρι σήμερα, το ποιον προμηθευτή θα δεχτεί ή θα αποκλείσει ένα κράτος-μέλος αποτελούσε κατά βάση εθνική υπόθεση. Με το CSA2, τον κατάλογο προμηθευτών και χωρών «υψηλού κινδύνου», τις απαγορεύσεις και τα χρονοδιαγράμματα επιδιώκουν να τα ορίζουν κεντρικά οι Βρυξέλλες. Όπου ισχύουν δεσμευτικοί ευρωπαϊκοί περιορισμοί, οι κυβερνήσεις θα περιορίζονται ουσιαστικά σε ρόλο ελεγκτή, εξέλιξη στην οποία οι συντάκτες της μελέτης βλέπουν ζήτημα εθνικής κυριαρχίας.

Ο λογαριασμός, σε αριθμούς

• Κόστος 3,4 έως 4,3 δισ. ευρώ τον χρόνο: Αυτό προκύπτει από σενάριο που εκπόνησε η Κομισιόν, για το κόστος αντικατάστασης εξοπλισμού 5G, δηλαδή 10,2 έως 12,9 δισ. ευρώ στην τριετία.
• 6,5 έως 8,3 ευρώ τον χρόνο: Ενδέχεται να είναι η επιβάρυνση ανά συνδρομητή την πρώτη τριετία, αν το κόστος περνούσε ολόκληρο στους καταναλωτές. Η ίδια η Κομισιόν δεν θεωρεί πιθανή την πλήρη μετακύλιση.
• 64 δισ. ευρώ τον χρόνο: όσα επενδύει ήδη σε υποδομές τεχνολογίας, ο κλάδος των τηλεπικοινωνιών, σύμφωνα με κοινή δήλωση των επικεφαλής 17 ευρωπαϊκών ομίλων.
• 475 δισ. ευρώ: οι πρόσθετες επενδύσεις που χρειάζονται, κατά τη GSMA, για να αποκτήσει η Ευρώπη δίκτυα κινητής παγκόσμιου επιπέδου.
• Έως 36 μήνες: η μεταβατική περίοδος για την απόσυρση εξοπλισμού «υψηλού κινδύνου» από τα δίκτυα κινητής, από τη στιγμή δημοσίευσης του σχετικού καταλόγου.

Τα 12,9 δισ. δεν είναι το τελικό νούμερο. Αφορούν ένα σενάριο και μόνο τον εξοπλισμό 5G. Αν προστεθούν η εγκατάσταση, η εκπαίδευση προσωπικού, η διαλειτουργικότητα με τα υπάρχοντα συστήματα και οι αλλαγές στις συμβάσεις, το συνολικό κόστος μπορεί να είναι πολλαπλάσιο.

Το «αγκάθι» για τους παρόχους είναι ότι η Πρόταση δεν προβλέπει γενικό, εγγυημένο μηχανισμό αποζημίωσης. Όποια επιχείρηση υποχρεωθεί να αντικαταστήσει εξοπλισμό που λειτουργεί κανονικά, φαίνεται ότι θα πληρώσει πρώτα απ' όλα ο ίδια. Και το βαρύτερο κόστος ίσως να μη φανεί ποτέ σε κάποιον λογαριασμό. Κάθε ευρώ που θα πάει σε υποχρεωτική αντικατάσταση είναι ένα ευρώ που θα λείψει από το 5G και το 6G, τα δίκτυα gigabit και τα υποθαλάσσια καλώδια, δηλαδή από τις υποδομές πάνω στις οποίες τρέχει κάθε άλλη επιχείρηση που αξιοποιεί τις σχετικές υπηρεσίες. Αν η πίεση στα περιθώρια κέρδους των παρόχων μεγαλώσει, η διέξοδος θα είναι είτε αυξήσεις τελών είτε λιγότερες νέες επενδύσεις.

Η εξίσωση που μένει να λυθεί

Κανείς δεν αμφισβητεί ότι η Ευρώπη χρειάζεται ασφαλέστερα δίκτυα. Το ερώτημα είναι αν μπορεί να τα αποκτήσει χωρίς να φορτώσει τον λογαριασμό στις επιχειρήσεις, να στενέψει τον ανταγωνισμό και να φρενάρει τις επενδύσεις που χρειάζεται για την επόμενη τεχνολογική γενιά. Την απάντηση θα τη δώσουν τα κριτήρια αξιολόγησης των προμηθευτών, οι μεταβατικές περίοδοι, το περιθώριο που θα μείνει στις εθνικές επιλογές και, κυρίως, η κατανομή του κόστους. Μέχρι τότε, για όσες επιχειρήσεις βρίσκονται στο «κάδρο», το «ραντάρ» πρέπει να μείνει ανοιχτό.