Може ли производителите на сладолед да се окажат критична инфраструктура за ЕС?

Производителите на сладолед, компаниите за коледни лампички и германските наемодатели може да получат допълнителна защита от кибератаки от Европейския съюз (ЕС). Адвокатите по технологии и киберсигурност предупреждават, че тези неочаквани сектори са напът да бъдат класифицирани като критична инфраструктура съгласно закона на ЕС за киберсигурност, предназначен да защитава активи като електроцентрали, водни съоръжения и енергийни мрежи, пише Politico.

Това е поредната въпросителна около Директивата NIS2 на блока, която първоначално беше приета през 2022 г. Яснотата относно това как да се насочат ресурсите за защита на инфраструктурата е по-належаща от всякога, тъй като Европа е изправена пред безпрецедентен поток от кибератаки, подсилени от изкуствен интелект и нарастващи хибридни форми на агресия.

Правителствата трябваше да въведат собствено законодателство до края на 2024 г., но забавянията доведоха до това много компании и техните консултанти едва сега да навлязат в детайлите. Операторите в най-критичните сектори на ЕС вече са задължени да се регистрират в националните агенции за киберсигурност, което означава, че ще се разбере точно за кого се прилага законът.

Това се оказва трудно, като адвокати и законодатели посочват примери като търговците на едро на дъвки, за да подчертаят объркването и сложността, свързани с тази задача.

Странните случаи са емблематични за една реална загадка, която компаниите и техните правни съветници трябва да решат – и представляват сложна допълнителна бюрокрация в момент, когато ЕС се опитва усилено да я облекчи.

Това е и още един пример за трудностите, с които ЕС се сблъска при стартирането на NIS2. Големи икономики като Франция и Испания все още не са приели съответните национални закони за киберсигурност, а регистрацията на компании в Германия е забележително бавна.

Служител на Европейската комисия (ЕК) подчерта, че законът включва „няколко механизма“ за осигуряване на справедливост: правила, гарантиращи, че малките предприятия са като цяло освободени от тези изисквания, и по-облекчени задължения за по-малко критичните организации.

Директивата NIS2 включва производството, преработката и дистрибуцията на храни, което е напълно разумно, тъй като кибератака, която парализира веригата на доставки на това, което ядем, е заплаха за цялото население.

Но тук има изненади. Маркета Грегорова, чешки депутат в Европейския парламент, която ръководи работата по отделен пакет за киберсигурност, предназначен да опрости закона NIS2, публично постави под въпрос начина, по който се прилага Директивата.

На скорошна конференция тя отбеляза, че производителите на сладолед, стига да са достатъчно големи, могат да бъдат обект на закона.

Хранителният сектор изглежда особено комплексен съгласно законодателството. Търговците на едро на дъвки над определен размер попадат в обхвата му, казва Андреас Даум, асоцииран партньор в адвокатската кантора Noerr.

Германска търговска асоциация вече увери членовете си, че занаятчийските пекарни не са обект на закона.

И на фона на предстоящите коледни и новогодишни празници трябва да се има предвид обаче, че производителят на коледни светлинки може да е засегнат от NIS2, оказвайки се в същата категория като пощенските услуги и производството на химикали.

Причината е, че „производството на комплекти коледни лампички“ попада в съответната класификация на икономическите дейности, посочена в директивата NIS2, казва Юриан Янсен, партньор в адвокатската кантора Norton Rose.

Въпреки че формулировката на законодателството определя коледните светлини като „важни“, те не достигат прага на „съществени“ съгласно нидерландския закон за киберсигурност, тъй като прекъсването на работата в сектора не би представлявало риск за обществената безопасност или системен риск.

Училища и наемодатели

Експертите също така повдигат въпроса за това как някои организации случайно могат да станат оператори на критична инфраструктура в области, напълно различни от това, с което всъщност се занимават.

Миналата година белгийски законодател в Европейския парламент заяви, че големите училища с инсталирани соларни панели са „формално класифицирани като „производители“ на електроенергия“, което означава, че попадат в обхвата на законодателството, налагайки „значителни разходи на институциите, които често нямат опит в областта на киберсигурността“.

В отговора си до законодателя ЕК не отрича, че училищата могат да бъдат засегнати, но заяви, че нейният дигитален омнибус и преразглеждането на Закона на ЕС за киберсигурност ще помогнат за опростяване на правилата.

По подобен начин, наемодателите в Германия, които отдават под наем голям брой апартаменти и прехвърлят кабелна или интернет своите наематели, могат да се квалифицират като доставчици на телекомуникационни услуги, съгласно решение от 2021 г. - въпреки че това зависи от конкретните обстоятелства.

„Възможно е, но зависи от това как е уреден договорът за наем“, изтъква Даум от Noerr. Дали това от своя страна ги поставя в обхвата на новите правила за киберсигурност не е проверено: „Няма съдебна практика по този въпрос, нито насоки от нито един от [съответните] регулаторни органи“, посочва той.