Bodo sladoledarji in božične lučke po novem kritična infrastruktura?

Evropska unija se pri uvajanju novih pravil o kibernetski varnosti srečuje z nepričakovanimi zapleti. Direktiva NIS2, katere namen je pred kibernetskimi napadi bolje zaščititi ključne sektorje, kot so energetika, oskrba z vodo in promet, lahko namreč zajame tudi proizvajalce sladoleda in božičnih lučk, ponekod pa celo šole in najemodajalce, poroča portal Politico.

Svet kibernetske varnosti na zgodovinski prelomnici

Direktiva je bila sprejeta leta 2022, države članice pa bi jo morale v svojo zakonodajo prenesti do konca leta 2024. Uveljavljanje kljub temu zamuja. Francija in Španija denimo še nista sprejeli ustrezne nacionalne zakonodaje, v Nemčiji pa je počasna tudi registracija podjetij, za katera veljajo nova pravila.

Težava je predvsem v široki opredelitvi sektorjev, ki jih zajema direktiva. Med njimi so proizvodnja, predelava in distribucija hrane. Namen je zaščititi prehranske dobavne verige, vendar se lahko zaradi uporabljene klasifikacije med zavezanci znajdejo tudi dovolj veliki proizvajalci sladoleda ali trgovci z žvečilnimi gumiji, je opozorila češka evropska poslanka Markéta Gregorová.

Dodatne težave tudi za proizvajalce novoletnih lučk. FOTO: Shutterstock

Podobno nenavadna je vključitev proizvajalcev kompletov lučk za novoletne jelke. Po veljavni klasifikaciji gospodarskih dejavnosti sodijo med pomembne subjekte, četudi je težko trditi, da bi njihove težave predstavljale tveganje za javno varnost. 

Zapleti se pojavljajo tudi zunaj dejavnosti, ki jih običajno povezujemo s kritično infrastrukturo. Velike šole s sončno elektrarno so lahko formalno obravnavane kot proizvajalke električne energije in tako padejo pod določbe direktive. To lahko zanje pomeni dodatne stroške, čeprav jih večina nima lastnih strokovnjakov za kibernetsko varnost.

Najemodajalci kot ponudniki telekomunikacijskih storitev?

V Nemčiji bi lahko bili v posebnih okoliščinah vključeni celo najemodajalci, ki večjemu številu najemnikov zagotavljajo kabelske ali internetne povezave. Po sodni praksi so lahko obravnavani kot ponudniki telekomunikacijskih storitev, ni pa še jasno, ali zaradi tega zanje avtomatično veljajo tudi zahteve direktive NIS2.

Evropska komisija kljub temu odgovarja, da direktiva vsebuje nekatere varovalke – manjša podjetja so praviloma izvzeta, za manj kritične organizacije pa veljajo blažje obveznosti. Kljub temu nenavadni primeri kažejo, kako zahtevno je določiti mejo med organizacijami, ki jih mora Evropa zaradi vse večjega števila kibernetskih napadov posebej zaščititi, in tistimi, za katere nova pravila pomenijo predvsem dodatno birokratsko breme.