19:41 20 август 2026
Производителите на сладолед, производителите на коледни лампички и германските хазяи може да получат допълнителна защита от ЕС срещу кибератаки.
Технологични адвокати и експерти по киберсигурност предупреждават, цитирани от изданието „Политико“, че тези непредвидени сектори са напът да бъдат класифицирани като критична инфраструктура съгласно закон за киберсигурност на ЕС, предназначен да защитава кибер цели като електроцентрали, водоснабдителни съоръжения и енергийни мрежи.
Това е поредният препъникамък за Директивата NIS2 на Европейския съюз, която първоначално беше приета през 2022 г., но все още се прилага от страните от ЕС. Яснотата за това как да се насочват ресурси за защита на инфраструктурата е по-спешна от всякога, тъй като Европа е изправена пред невиждан бараж от кибератаки, суперзасилени от изкуствен интелект и нарастващи хибридни форми на агресия.
Правителствата трябваше да имат собствено законодателство до края на 2024 г., но забавянията означават, че много компании и техните съветници едва сега навлизат в подробностите около подготовката за спазване на изискванията. От операторите на най-критичните сектори в ЕС сега се изисква да се регистрират в своите национални агенции за киберсигурност, което означава да разберат точно за кого се отнася законът.
Това се оказа трудно, като адвокати и законодатели посочват примери като търговци на едро на дъвки, за да подчертаят объркването и сложността, свързани с тази задача.
Странните случаи са емблематични за реален пъзел, който компаниите и техните правни съветници трябва да разрешат — и трудна парче допълнителна бюрокрация във време, когато ЕС се опитва съвестно да я намали.
Това е и друг пример за трудностите, пред които е изправен ЕС при пускането на NIS2 в действие. Франция и Испания все още не са приели съответните си национални закони за киберсигурност, а регистрацията на компаниите е забележимо бавна в Германия.
Представител на Европейската комисия, на когото беше предоставена анонимност, за да говори по чувствителна тема, подчерта, че законът включва „няколко механизма“ за поддържане на справедливостта: те включват правила, гарантиращи, че малките предприятия са общо взето освободени, и по-леки задължения за по-малко критичните организации.
Ето някои неочаквани сектори, които, според буквата на закона, биха могли да се броят за критична инфраструктура.
Директивата NIS2 включва производството, преработката и дистрибуцията на храни – изключително разумно включване, тъй като кибератака, която парализира веригата за доставки на това, което ядем, е заплаха за цялото население.
Но това включване имаше някои неочаквани последици. Чешкият евродепутат Маркета Грегорова, която води работата по отделен пакет за киберсигурност, предназначен да опрости закона NIS2, публично постави под въпрос начина, по който се прилага Директивата.
На скорошна конференция тя отбеляза, че производителите на сладолед, при условие че са достатъчно големи, могат да подлежат на закона. „Вероятно няма да имате нужда от тях по време на криза“, каза тя.
Секторът на храните изглежда е особено труден според законодателството. Търговците на едро на дъвки над определен размер попадат в обхвата, коментира Андреас Даум, асоцииран партньор в юридическата фирма Noerr. Германска търговска асоциация вече увери членовете си, занаятчийските фурни не подлежат на закона.
Когато се подготвяте празнично през следващия празничен сезон, имайте предвид следното: Производителят на вашите коледни лампички може да се окаже сектор от NIS2 — което го поставя в същата категория като пощенските услуги и производството на химикали.
Това е така, защото „производството на комплекти за осветление за коледни елхи“ попада под съответната класификация на икономическите дейности, към които се препраща от Директивата NIS2, каза Юриан Янсен, партньор в юридическата фирма Norton Rose в Амстердам.
Въпреки че формулировката на законодателството маркира коледните лампички като „важни“, те не достигат прага да бъдат „от съществено значение“ според нидерландския закон NIS2, каза Янсен, тъй като смущението в сектора не би представлявало обществена безопасност или системен риск. „Това би било необичаен резултат за този сектор“, каза той.
Експертите също така повдигнаха призрака на някои организации, които случайно се превръщат в оператори на критична инфраструктура в области, напълно отделени от това, което всъщност правят.
Белгийски евродепутат заяви миналата година, че големите училища с инсталации за слънчеви панели са „формално класифицирани като ‚производители‘ на електроенергия“, което означава, че попадат в обхвата на законодателството, налагайки „значителни разходи на институции, които често нямат вътрешна експертиза по киберсигурност“.
Комисията в своя отговор до законодателя не отрече, че училищата могат да бъдат засегнати, но заяви, че нейната дигитална застъпваща инициатива (digital omnibus) и преразглеждането на Акта за киберсигурност на ЕС ще помогнат за опростяване на правилата.
По подобен начин хазяите в Германия, които отдават под наем голям брой апартаменти и прехвърлят кабелна или интернет връзка на своите наематели чрез такси за услуги, могат да се квалифицират като телеком доставчици след съдебно решение от 2021 г., въпреки че това зависи от конкретните обстоятелства.
„Възможно е, но зависи от това как е уреден наемът“, коментира Даум от юридическата фирма Noerr. Дали това от своя страна ги вкарва в новите правила за киберсигурност, не е тествано: „Няма съдебна практика по този въпрос и няма насоки от нито един от [съответните] регулаторите“, каза той.