Proizvođači sladoleda i božićnih lampica, veletrgovci žvakaćim gumama, pa čak i pojedini njemački stanodavci mogli bi se naći pod pojačanim pravilima Europske unije o kibernetičkoj sigurnosti. Iako na prvi pogled nemaju mnogo zajedničkog s elektranama, energetskim mrežama ili vodoopskrbom, zbog načina na koji su europski propisi napisani mogli bi završiti među subjektima obuhvaćenima pravilima za zaštitu kritične infrastrukture. Riječ je o Direktivi NIS2, donesenoj još 2022. godine s ciljem jačanja otpornosti Europe na kibernetičke napade. Države članice trebale su je prenijeti u nacionalno zakonodavstvo do kraja 2024., no provedba kasni, a tvrtke i njihovi pravni savjetnici tek sada detaljno utvrđuju na koga se sve nova pravila zapravo odnose.
Pitanje postaje još važnije u trenutku kada se Europa suočava sa sve većim brojem kibernetičkih napada, dodatno potaknutih razvojem umjetne inteligencije i rastom hibridnih prijetnji. Operateri u sektorima koje EU smatra posebno važnima moraju se registrirati kod nacionalnih tijela za kibernetičku sigurnost, no upravo je određivanje toga tko spada u tu kategoriju izazvalo popriličnu zbrku. Kako piše Politico, tehnološki stručnjaci i odvjetnici upozoravaju da doslovna primjena propisa dovodi do prilično neočekivanih rezultata. Među primjerima koji se spominju nalaze se proizvođači sladoleda, veletrgovci žvakaćim gumama, proizvođači božićnih lampica, škole sa solarnim panelima te, pod određenim okolnostima, čak i vlasnici velikog broja stanova.
Jedan od razloga krije se u tome što NIS2 obuhvaća proizvodnju, preradu i distribuciju hrane. Logika takve odredbe jasna je – ozbiljan kibernetički napad na prehrambeni lanac mogao bi ugroziti opskrbu stanovništva. No široko postavljena kategorija znači da pod ista pravila mogu potpasti i djelatnosti koje se teško mogu smatrati ključnima za funkcioniranje društva u kriznoj situaciji. Češka europarlamentarka Markéta Gregorová, koja radi na zasebnom paketu kibernetičkih propisa kojim bi se trebala pojednostaviti primjena NIS2, upozorila je upravo na takve slučajeve. Na nedavnoj konferenciji navela je kako dovoljno veliki proizvođači sladoleda mogu biti obuhvaćeni pravilima. - Vjerojatno vam oni ne bi bili potrebni u kriznoj situaciji - kazala je Gregorová.
Slična je situacija i s veletrgovcima žvakaćim gumama. Andreas Daum iz odvjetničkog društva Noerr objasnio je da, ako prelaze određenu veličinu, i oni mogu potpasti pod Direktivu. Zbunjenost je očito dovoljno velika da je jedno njemačko strukovno udruženje svojim članovima moralo posebno pojasniti da se pravila ipak ne odnose na obrtničke pekarnice. Još neobičniji primjer su božićne lampice. Proizvodnja kompleta rasvjete za božićna drvca nalazi se unutar klasifikacije gospodarskih aktivnosti na koju se NIS2 poziva. Jurriaan Jansen, partner u odvjetničkom društvu Norton Rose u Amsterdamu, objasnio je da takvi proizvođači prema nizozemskim pravilima mogu biti označeni kao važni subjekti, iako ne dosežu višu kategoriju ključnih subjekata.
Razlog je jednostavan - teško je tvrditi da bi prekid proizvodnje božićnih lampica predstavljao ozbiljan rizik za javnu sigurnost ili funkcioniranje države. Problemi se, međutim, ne zaustavljaju na proizvođačima. Politico navodi i primjer velikih škola koje imaju vlastite solarne elektrane. Belgijski europarlamentarac upozorio je prošle godine da se takve ustanove formalno mogu smatrati proizvođačima električne energije, zbog čega bi mogle završiti pod pravilima NIS2 i suočiti se s dodatnim troškovima, premda često nemaju vlastite stručnjake za kibernetičku sigurnost.
Europska komisija nije isključila mogućnost da škole doista budu obuhvaćene propisima, ali je navela da bi buduće izmjene europskih digitalnih i kibernetičkih pravila trebale pojednostaviti sustav. Posebno zanimljiv slučaj dolazi iz Njemačke. Stanodavci koji iznajmljuju velik broj stanova te svojim najmoprimcima kroz režijske troškove pružaju kabelsku ili internetsku vezu u određenim okolnostima mogu se smatrati pružateljima telekomunikacijskih usluga. - Moguće je, ali ovisi o tome kako je najam uređen - objasnio je Daum.
Hoće li zbog toga takvi stanodavci automatski potpasti i pod nova pravila kibernetičke sigurnosti zasad nije potpuno jasno. Prema Daumu, još nema sudske prakse niti odgovarajućih smjernica regulatornih tijela. Problemi s nejasnim granicama samo su dio poteškoća koje prate NIS2. Francuska i Španjolska još nisu donijele odgovarajuće nacionalne zakone, dok je registracija tvrtki u Njemačkoj išla sporije nego što se očekivalo. Iz Europske komisije za Politico ističu da Direktiva ipak sadrži nekoliko mehanizama kojima bi se trebala spriječiti nerazmjerna primjena pravila. Male tvrtke u pravilu su izuzete, dok za organizacije koje nisu među najkritičnijima vrijede blaže obveze.
Otvori KEKS Pay
