Τα θεσμικά όργανα της Ευρωπαϊκής Ένωσης ετοιμάζουν ένα νέο πλαίσιο κανόνων κυβερνοασφάλειας, που μπορεί να αλλάξει τον χάρτη της ευρωπαϊκής αγοράς τεχνολογίας. Η νέα Πράξη για την Κυβερνοασφάλεια (Cybersecurity Act 2.0 – CSA2) υπόσχεται ασφαλέστερα δίκτυα. Φέρνει όμως μαζί της λιγότερες επιλογές προμηθευτών και έναν βαρύ λογαριασμό, κυρίως για τις τηλεπικοινωνίες.
Η Πρόταση της Κομισιόν κατατέθηκε στις 20 Ιανουαρίου 2026 και βρίσκεται ακόμη στο τραπέζι του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου. Η κατεύθυνση, ωστόσο, είναι σαφής, και στην αγορά έχει ήδη ανοίξει η συζήτηση για το κόστος και τον ανταγωνισμό.
Μόνο για την αντικατάσταση εξοπλισμού 5G, η ίδια η Επιτροπή υπολογίζει κόστος έως 12,9 δισ. ευρώ σε βάθος τριετίας. Τον ενδεχόμενο αντίκτυπο της Πρότασης καταγράφει μελέτη του Μεταπτυχιακού Προγράμματος «Κυβερνοασφάλεια και Τεχνολογίες Τεχνητής Νοημοσύνης» του Πανεπιστημίου Πειραιώς, υπό την επιστημονική ευθύνη του καθηγητή Χρήστου Ξενάκη, σε συνεργασία με το Ελληνικό Ινστιτούτο Κυβερνοασφάλειας.
Τι αλλάζει για κράτη – μέλη και επιχειρήσεις
Στο «κάδρο» μπαίνουν οι επιχειρήσεις που υπάγονται στην Οδηγία NIS2: τηλεπικοινωνίες, ενέργεια, πάροχοι cloud, τράπεζες και χρηματοπιστωτικές υπηρεσίες. Σύμφωνα με την Πρόταση, θα πρέπει να ελέγχουν τον βαθμό εξάρτησής τους από τους λεγόμενους προμηθευτές «υψηλού κινδύνου» και να εφαρμόζουν όσα μέτρα αποφασίζει η Κομισιόν με εκτελεστικές πράξεις. Τα μέτρα θα ξεκινούν από αυστηρότερους κανόνες διαφάνειας, ελέγχους από τρίτους φορείς και διαφοροποίηση προμηθευτών και θα φτάνουν έως την απαγόρευση συγκεκριμένου τεχνολογικού εξοπλισμού σε κρίσιμα σημεία των υποδομών.
Στην πράξη, οι εταιρείες θα χρειαστεί να «ξεψαχνίσουν» την εφοδιαστική τους αλυσίδα, να ανοίξουν ξανά τις συμβάσεις με τους τεχνολογικούς τους προμηθευτές και να έχουν έτοιμο «σχέδιο Β» αν κάποιος από αυτούς βρεθεί εκτός λίστας επιλογών. Για τις σοβαρότερες παραβάσεις, θα επιβάλλονται κυρώσεις και υψηλά τα πρόστιμα.
Τα κράτη-μέλη κρατούν την εποπτεία. Χάνουν όμως τη δυνατότητα να προσθέτουν δικές τους απαιτήσεις πιστοποίησης, εφόσον το αντικείμενο καλύπτεται ήδη από ευρωπαϊκό σχήμα πιστοποίησης.
Ποιος θα βάζει τη «σφραγίδα» στον τεχνολογικό εξοπλισμό
Για τους κατασκευαστές εξοπλισμού, το μεγάλο «καρότο» της Πρότασης είναι η ενιαία πιστοποίηση. Αντί για διαφορετικούς κανόνες σε κάθε χώρα, ένα προϊόν που πιστοποιείται μία φορά θα κυκλοφορεί πιο εύκολα σε όλη την ΕΕ. Ο Ευρωπαϊκός Οργανισμός για την Κυβερνοασφάλεια (ENISA) θα σχεδιάζει τα σχήματα πιστοποίησης και τις τεχνικές προδιαγραφές τους. Η Κομισιόν θα τα εγκρίνει ενώ τα πιστοποιητικά θα τα εκδίδουν διαπιστευμένοι φορείς.
Η Πρόταση δεν προβλέπει κατάρτιση ενιαίος καταλόγου προδιαγραφών για όλα τα τεχνολογικά προϊόντα. Ο πήχης των απαιτήσεων θα ανεβαίνει ανάλογα με το είδος του εξοπλισμού, τη χρήση του και το επίπεδο ασφάλειας που ζητείται για τη χρήση του. Για πρώτη φορά, μια επιχείρηση θα μπορεί να λάβει και συνολικά πιστοποίηση, για το πόσο «ώριμη» είναι σε θέματα κυβερνοασφάλειας. Κατά κανόνα η πιστοποίηση θα είναι εθελοντική, εκτός αν άλλοι νόμοι την καθιστούν κατά περίπτωση υποχρεωτική. Παράλληλα, το CSA2 θα βοηθά τις επιχειρήσεις να αποδείξουν τη συμμόρφωσή τους με την Πράξη για την Κυβερνοανθεκτικότητα (Cyber Resilience Act), χωρίς όμως να λειτουργεί ως «λευκή επιταγή» για το σύνολο της ευρωπαϊκής νομοθεσίας.
Η χώρα προέλευσης ως κριτήριο αποκλεισμού εξοπλισμού
Εδώ βρίσκεται ένα από τα πιο καίρια σημεία της Πρότασης. Ο τεχνολογικός εξοπλισμός που παρέχει κάποιος προμηθευτής δεν θα κρίνεται μόνο με τεχνικά κριτήρια και αν είναι τεχνικά ασφαλής. Θα αξιολογείται επίσης ποιος ελέγχει την οντότητα του προμηθευτή, πού έχει την έδρα του και σε ποιο νομικό περιβάλλον λειτουργεί. Βάσει αυτού η Κομισιόν επιδιώκει το δικαίωμα να μπορεί να χαρακτηρίζει τρίτες χώρες, μαζί με τις εταιρείες που ελέγχονται από αυτές, ως «υψηλού κινδύνου», όταν διαπιστώνει σοβαρούς και διαρθρωτικούς κινδύνους, όπως η απουσία ουσιαστικού δικαστικού και δημοκρατικού ελέγχου. Ο αποκλεισμός μπορεί να μην αφορά μόνο συγκεκριμένες εταιρείες αλλά ολόκληρες χώρες. Και δεν σταματά στους διαχειριστές τηλεπικοινωνιακών δικτύων. Οι περιορισμοί μπορούν να επεκταθούν στον σε δημόσιους διαγωνισμούς, σε προγράμματα με ευρωπαϊκή χρηματοδότηση που αφορούν κρίσιμα στοιχεία ΤΠΕ, στον κλάδο της ενέργειας και σε άλλες περιοχές με τεχνολογικές υποδομές.
Η μελέτη χαρακτηρίζει τα κριτήρια ασαφή και ανοιχτά σε πολλές ερμηνείες. Για την αγορά, το ερώτημα είναι πρακτικό: λιγότεροι «παίκτες» σημαίνει λιγότερος ανταγωνισμός και, κατά πάσα πιθανότητα, ακριβότερος εξοπλισμός.
Θα περάσει στις Βρυξέλλες ο τελευταίος λόγος;
Μέχρι σήμερα, το ποιον προμηθευτή θα δεχτεί ή θα αποκλείσει ένα κράτος – μέλος ήταν κατά βάση εθνική υπόθεση, βασισμένη και σε γεωπολιτικά κριτήρια. Με το CSA2, τον κατάλογο προμηθευτών και χωρών «υψηλού κινδύνου», τις απαγορεύσεις και τα χρονοδιαγράμματα επιδιώκει να ορίζει κεντρικά η Κομισιόν.
Όπου θα ισχύουν δεσμευτικοί ευρωπαϊκοί περιορισμοί, οι εθνικές κυβερνήσεις δεν θα μπορούν να κάνουν διαφορετική επιλογή και θα περιορίζονται ουσιαστικά σε ρόλο ελεγκτή. Η μελέτη βλέπει σε αυτή την εξέλιξη ζήτημα εθνικής κυριαρχίας, το οποίο αποτελεί θεμελιώδες δικαίωμα των κρατών από την ιδρυτική πράξη της Ευρωπαϊκής Ένωσης.
Ποιος θα πληρώσει τον λογαριασμό;
Το μεγαλύτερο βάρος πέφτει στις τηλεπικοινωνίες. Για τα δίκτυα κινητής, η Πρόταση προβλέπει περιθώριο έως 36 μηνών από τη κατάρτιση πιθανής λίστας αποκλεισμού, για να αποσυρθεί ο εξοπλισμός των προμηθευτών «υψηλού κινδύνου».
Οι εκτιμήσεις δίνουν μια πρώτη εικόνα. Σε συγκεκριμένο σενάριο αντικατάστασης εξοπλισμού 5G που εκπόνησε η Κομισιόν, το κόστος εκτιμάται από 3,4 έως 4,3 δισ. ευρώ τον χρόνο, δηλαδή 10,2 έως 12,9 δισ. ευρώ στην τριετία. Αν προστεθούν η εγκατάσταση, η εκπαίδευση προσωπικού, η διαλειτουργικότητα και οι απαιτούμενες αλλαγές στις ισχύουσες συμβάσεις, το συνολικό κόστος του CSA2 μπορεί να είναι πολλαπλάσιο. Το «αγκάθι» για τους παρόχους είναι ότι η Πρόταση δεν προβλέπει γενικό, εγγυημένο μηχανισμό αποζημίωσης για τον εξοπλισμό που ίσως υποχρεωθούν να «ξηλώσουν», άρα το κόστος μένει, πρώτα απ’ όλα, στους ίδιους. Θα φτάσει το κόστος μέχρι τον συνδρομητή; Αν περνούσε ολόκληρο στους καταναλωτές, η Κομισιόν υπολογίζει επιβάρυνση 6,5 έως 8,3 ευρώ ετησίως ανά συνδρομητή, για την πρώτη τριετία. Η ίδια, πάντως, δεν θεωρεί πιθανή την πλήρη μετακύλισή του.
Το πραγματικό κόστος, ωστόσο, δεν θα φανεί στον λογαριασμό του κινητού. Κάθε ευρώ που ενδέχεται να πάει στην απόσυρση εξοπλισμού ο οποίος λειτουργεί απρόσκοπτα, θα κοπεί από επενδύσεις στο 5G και το 6G, τα δίκτυα gigabit και τα υποθαλάσσια καλώδια. Οι επικεφαλής 17 ευρωπαϊκών τηλεπικοινωνιακών ομίλων υπενθυμίζουν σε κοινή τους δήλωση ότι ο κλάδος επενδύει περίπου 64 δισ. ευρώ τον χρόνο σε εξέλιξη τεχνολογικών υποδομών. Η διεθνής ένωση παρόχων κινητής GSMA εκτιμά ότι χρειάζονται άλλα 475 δισ. για να αποκτήσει η Ευρώπη δίκτυα κινητής παγκόσμιου επιπέδου.
Το τελικό κείμενο του CSA2, όταν διαμορφωθεί, θα δείξει αν οι Βρυξέλλες μπορούν να «θωρακίσουν» τα ευρωπαϊκά δίκτυα χωρίς να φορτώσουν τον λογαριασμό στις επιχειρήσεις και να φρενάρουν τις επενδύσεις. Μέχρι τότε, οι επιχειρήσεις που ενδέχεται να θιγούν, είναι σκόπιμο να έχουν ανοιχτό το «ραντάρ», χαρτογραφώντας το πλέγμα των υποδομών τους.
