Производители на сладолед, коледни лампички и германски наемодатели може да се окажат сред компаниите, които ще получат допълнителна защита от кибератаки. Това предупреждават експерти по технологии и киберсигурност, според които някои на пръв поглед неочаквани сектори могат да попаднат в категорията на критичната инфраструктура съгласно новата европейска директива NIS2.

Това е поредното препятствие пред прилагането на директивата, приета от ЕС още през 2022 г., но все още непълно въведена в отделните държави членки. Необходимостта от ясни правила е още по-голяма на фона на безпрецедентния ръст на кибератаките срещу Европа, подпомогнати от изкуствения интелект и все по-честото използване на хибридни атаки.

Какво представлява директивата NIS2?

Основната цел на директивата NIS2 е да повиши нивото на киберсигурност в Европейския съюз, като защитава обекти от критично значение като електроцентрали, водоснабдителни системи и енергийни мрежи. Държавите членки трябваше да въведат собствено законодателство, съобразено с нея, до края на 2024 г. Забавянията обаче означават, че много компании и техните консултанти едва сега започват детайлно да се подготвят за новите изисквания.

Според правилата, операторите в най-критичните сектори трябва да се регистрират пред националните агенции по киберсигурност. Проблемът е, че невинаги е ясно кои компании попадат в обхвата на закона, като юристи и законодатели дават примери дори с търговци на едро на дъвки, за да илюстрират сложността на правилата.

Сладолед и дъвки като стратегически сектори?

Директивата NIS2 включва производството, преработката и дистрибуцията на храни – логична стъпка, тъй като кибератака, която прекъсне веригата за доставки на храни, може да засегне цялото население. Това правило обаче води и до неочаквани последици.

Чешката евродепутатка Маркета Грегорова, която участва в работата по отделен пакет за киберсигурност, предназначен да опрости NIS2, посочва като пример производителите на сладолед. Ако са достатъчно големи, те могат да попаднат в обхвата на директивата. Така компании, които произвеждат сладолед, могат да се окажат обект на изисквания, предназначени основно за оператори на критична инфраструктура.

Хранителният сектор изглежда особено сложен за прилагане на правилата. Търговците на едро с дъвки например също могат да попаднат в обхвата, ако достигнат определен размер. В същото време германска браншова организация вече е уверила своите членове, че малките занаятчийски пекарни не са обхванати от директивата.

От коледните лампички до училищата със соларни панели

Друг любопитен пример са производителите на коледни лампички. Производството на осветителни комплекти за коледни елхи попада в съответната класификация на икономическите дейности, посочена в NIS2. Това означава, че производител на коледни лампички потенциално може да попадне сред засегнатите компании – в същата по-широка категория, в която са например пощенските услуги и химическата промишленост. В Нидерландия обаче този сектор е определен като „важен“, а не като „съществен“, тъй като прекъсването на производството му не би представлявало заплаха за обществената сигурност.

Експерти посочват и други случаи, при които организации могат неволно да се окажат в ролята на оператори на критична инфраструктура заради странична дейност.
Училища: Големи учебни заведения със соларни панели могат формално да бъдат класифицирани като производители на електроенергия. Това би могло да ги постави в обхвата на NIS2 и да им наложи значителни разходи за киберсигурност.
Наемодатели: В Германия наемодатели, които отдават голям брой апартаменти и прехвърлят на наемателите разходите за кабелна или интернет връзка, могат при определени условия да бъдат считани за телекомуникационни доставчици.

Дали това автоматично ги поставя под изискванията на новите правила за киберсигурност обаче все още не е ясно.
„Възможно е, но зависи от начина, по който е организирано отдаването под наем“, коментира германски юрист. По думите му по въпроса все още няма съдебна практика или достатъчно ясни указания от регулаторите.

Защо прилагането на NIS2 се оказва толкова сложно?

Европейската комисия подчертава, че директивата съдържа механизми за ограничаване на тежестта върху бизнеса. Малките компании по принцип са освободени, а за организациите, които са по-малко критични, са предвидени по-леки изисквания. Въпреки това прилагането на NIS2 се оказва трудно.

Франция и Испания все още не са приели съответните национални закони, а регистрацията на компаниите в Германия се движи бавно. Това създава допълнителна административна тежест за бизнеса в момент, когато ЕС се опитва да намали регулациите.

Основният въпрос остава къде трябва да бъде поставена границата между критична инфраструктура и обикновен бизнес – и как да се гарантира висока киберсигурност, без компании като производители на сладолед, училища или наемодатели да се окажат с непропорционално тежки задължения.

Новините на Darik Business Review във Facebook , Instagram , LinkedIn и Twitter !