Νέες υποχρεώσεις για επιχειρήσεις κρίσιμων τομέων, ενιαίο πλαίσιο πιστοποίησης και δυνατότητα αποκλεισμού προμηθευτών με κριτήριο τη χώρα προέλευσης, προαναγγέλλει η υπό διαμόρφωση Cybersecurity Act 2.0.
Μελέτη του Πανεπιστημίου Πειραιώς και του Ελληνικού Ινστιτούτου Κυβερνοασφάλειας αναδεικνύει τα ανοιχτά ζητήματα.
Σε έως 12,9 δισ. ευρώ σε ορίζοντα τριετίας εκτιμά η Ευρωπαϊκή Επιτροπή το κόστος αντικατάστασης εξοπλισμού 5G στην Ευρωπαϊκή Ένωση, στο πλαίσιο της νέας Πράξης για την Κυβερνοασφάλεια (Cybersecurity Act 2.0 – CSA2), η οποία αναμένεται να μεταβάλει τους όρους λειτουργίας της αγοράς τεχνολογίας και, κυρίως, του κλάδου των τηλεπικοινωνιών.
Η πρόταση της Επιτροπής παρουσιάστηκε στις 20 Ιανουαρίου 2026 και εξετάζεται από τα αρμόδια Ευρωπαϊκά θεσμικά όργανα στο πλαίσιο της συνήθους νομοθετικής διαδικασίας.
Εστιάζει σε τρεις άξονες: την ενίσχυση του Ευρωπαϊκού Οργανισμού για την Κυβερνοασφάλεια (ENISA), το κοινό πλαίσιο πιστοποίησης προϊόντων και υπηρεσιών Τεχνολογιών Πληροφορικής και Επικοινωνιών (ΤΠΕ) και την ασφάλεια της εφοδιαστικής αλυσίδας.
Τις επιπτώσεις του υπό διαμόρφωση πλαισίου εξετάζει μελέτη του Μεταπτυχιακού Προγράμματος «Κυβερνοασφάλεια και Τεχνολογίες Τεχνητής Νοημοσύνης» του Πανεπιστημίου Πειραιώς, υπό την επιστημονική ευθύνη του καθηγητή Χρήστου Ξενάκη, σε συνεργασία με το Ελληνικό Ινστιτούτο Κυβερνοασφάλειας.
Οι υποχρεώσεις για επιχειρήσεις και κράτη-μέλη
Βάσει της πρότασης, οι οντότητες που εμπίπτουν στην Οδηγία NIS2, σε τομείς όπως οι τηλεπικοινωνίες, η ενέργεια, οι υπηρεσίες cloud και ο χρηματοπιστωτικός κλάδος, καλούνται να αξιολογούν την εξάρτησή τους από τους λεγόμενους προμηθευτές «υψηλού κινδύνου» και να συμμορφώνονται με τα μέτρα που θα ορίζονται με εκτελεστικές πράξεις της Επιτροπής.
Τα μέτρα αυτά περιλαμβάνουν από απαιτήσεις διαφάνειας, ελέγχους από τρίτους φορείς και διαφοροποίηση προμηθευτών έως και την απαγόρευση χρήσης συγκεκριμένου τεχνολογικού εξοπλισμού σε κρίσιμα στοιχεία των υποδομών. Σε περίπτωση μη συμμόρφωσης σε σοβαρά ζητήματα, υπάρχει πρόβλεψη και για επιβολή υψηλών προστίμων.
Την εποπτεία εφαρμογής του CSA2 θα κληθούν να αναλάβουν τα κράτη-μέλη της ΕΕ, χωρίς όμως να προβλέπεται δυνατότητα επιβολής πρόσθετων εθνικών απαιτήσεων πιστοποίησης, αν τα πεδία αυτά καλύπτονται ήδη από υπάρχον ευρωπαϊκό σχήμα πιστοποιήσεων.
Για τις επιχειρήσεις, η πρακτική συνέπεια είναι η ανάγκη χαρτογράφησης εξαρτήσεων από προμηθευτές τεχνολογικού εξοπλισμού, καθώς και αναθεώρησης των ισχυουσών συμβάσεων εξοπλισμού ώστε να προβλέπονται σενάρια αντικατάστασης.
Φορείς και κριτήρια πιστοποίησης
Η πανευρωπαϊκή εναρμόνιση θα αποτελέσει σημαντικό όφελος για τις εταιρείες παραγωγής εξοπλισμού. Αντί για ετερόκλητες εθνικές απαιτήσεις, το CSA2 προβλέπει συγκρίσιμους ελέγχους και πιστοποιήσεις με ισχύ σε όλη την ΕΕ, ώστε ένα πιστοποιημένο τεχνολογικό προϊόν να διατίθεται ευκολότερα στην ενιαία αγορά.
Ο ENISA θα καταρτίζει -με αίτημα της Επιτροπής- τα σχήματα πιστοποίησης και τις τεχνικές προδιαγραφές τους, η Επιτροπή θα τα εγκρίνει και διαπιστευμένοι φορείς θα εκδίδουν τα πιστοποιητικά. Το πλαίσιο δεν θεσπίζει ενιαίες προδιαγραφές για όλα τα προϊόντα.
Οι απαιτήσεις θα καθορίζονται ανά σχήμα πιστοποίησης και θα κλιμακώνονται ανάλογα με το προϊόν, τη χρήση του και το επιδιωκόμενο επίπεδο ασφάλειας. Για πρώτη φορά, η πιστοποίηση θα μπορεί να καταδεικνύει και τη συνολική ωριμότητα μιας επιχείρησης στην κυβερνοασφάλεια. Κάθε πιστοποίηση θα παραμένει κατ’ αρχήν εθελοντική, εκτός εάν η νομοθεσία ορίζει διαφορετικά. Θα διευκολύνει μάλιστα την απόδειξη συμμόρφωσης με την Πράξη για την Κυβερνοανθεκτικότητα (Cyber Resilience Act – CRA) και άλλες κανονιστικές ρυθμίσεις της ΕΕ, χωρίς ωστόσο να εξασφαλίζει αυτόματα πλήρη συμμόρφωση με το σύνολο του σχετικού θεσμικού πλαισίου.
Αποκλεισμός με κριτήριο τη χώρα προέλευσης;
Το πλέον ευαίσθητο σημείο της Πρότασης, αφορά στην αξιολόγηση των προμηθευτών τεχνολογικού εξοπλισμού. Πέραν των τεχνικών παραμέτρων, θα συνεκτιμώνται το ιδιοκτησιακό καθεστώς, η χώρα έδρας και το νομικό περιβάλλον στο οποίο δραστηριοποιείται κάθε προμηθευτής.
Η Επιτροπή θα μπορεί να χαρακτηρίζει μια τρίτη χώρα, και τις οντότητες που ελέγχονται από αυτήν, ως «υψηλού κινδύνου», όταν οι κίνδυνοι κρίνονται σοβαροί και διαρθρωτικοί, για παράδειγμα όταν απουσιάζει δικαστικός και δημοκρατικός έλεγχος. Ως εκ τούτου, ο αποκλεισμός μπορεί να αφορά όχι μόνο μεμονωμένους προμηθευτές εξοπλισμού αλλά και ολόκληρες χώρες προέλευσης. Οι προμηθευτές αυτοί θα αποκλείονται επίσης από δημόσιες συμβάσεις και προγράμματα με ενωσιακή χρηματοδότηση που αφορούν κρίσιμα στοιχεία ΤΠΕ.
Ωστόσο, η μελέτη του Πανεπιστημίου Πειραιώς, και του Ελληνικού Ινστιτούτου Κυβερνοασφάλειας, χαρακτηρίζει το περίγραμμα αυτό ασαφές και ανοιχτό σε πολλαπλές ερμηνείες, επισημαίνοντας ότι ενδέχεται να περιορίσει τη διαφάνεια στις προμήθειες, τις διαθέσιμες επιλογές και να επηρεάσει τον ανταγωνισμό, ανεβάζοντας τις τιμές του τεχνολογικού εξοπλισμού.
Η επιλογή από τα κράτη – μέλη στις Βρυξέλλες
Έως σήμερα, η επιλογή ή ο αποκλεισμός προμηθευτών εξοπλισμού αποτελεί κατά βάση εθνική απόφαση. Με το CSA2, ο κατάλογος προμηθευτών και χωρών «υψηλού κινδύνου», οι απαγορεύσεις και τα χρονοδιαγράμματα προτείνεται να καθορίζονται σε κεντρικό επίπεδο, από την Επιτροπή. Όπου ισχύουν δεσμευτικοί περιορισμοί της ΕΕ, τα κράτη-μέλη θα χάνουν τη δυνατότητα επιλογής, διατηρώντας κυρίως εποπτικό ρόλο. Μια τέτοια εξέλιξη, θα συνιστά σύμφωνα με τη μελέτη, παραβίαση της θεμελιώδους αρχής της εθνικής κυριαρχίας.
Το κόστος για τα δίκτυα 5G – 6G
Για τα δίκτυα κινητής, η πρόταση προβλέπει σταδιακή αντικατάσταση του τεχνολογικού εξοπλισμού προμηθευτών «υψηλού κινδύνου», με μεταβατική περίοδο έως 36 μηνών από τη δημοσίευση του σχετικού καταλόγου.
Σύμφωνα με εκτίμηση επιπτώσεων που κατάρτησε η ίδια η Ευρωπαϊκή Επιτροπή, με βάση συγκεκριμένο σενάριο αντικατάστασης εξοπλισμού 5G, το κόστος ανέρχεται σε 3,4 έως 4,3 δισ. ευρώ ετησίως, ή 10,2 έως 12,9 δισ. ευρώ σε ορίζοντα τριετίας. Πρόκειται για εκτίμηση συγκεκριμένου σεναρίου και όχι για το συνολικό κόστος εφαρμογής του CSA2, το οποίο ενδέχεται να είναι πολλαπλάσιο καθώς θα απαιτηθεί εκπαίδευση, εξασφάλιση διαλειτουργικότητας νέου εξοπλισμού με τον υπάρχοντα, αλλαγές συμβάσεων κ.λπ.
Ποιος επωμίζεται το κόστος
Η πρόταση δεν προβλέπει γενικό, εγγυημένο μηχανισμό αποζημίωσης για τον εξοπλισμό που οι επιχειρήσεις ενδέχεται να υποχρεωθούν να αντικαταστήσουν. Το βάρος μεταφέρεται, επομένως, κατά κύριο λόγο στους παρόχους, σε μια συγκυρία υψηλών επενδυτικών αναγκών για 5G και 6G, δίκτυα gigabit και υποθαλάσσια καλώδια.
Σε κοινή δήλωσή τους, οι επικεφαλής 17 ευρωπαϊκών τηλεπικοινωνιακών ομίλων αναφέρουν ότι ο κλάδος επενδύει περίπου 64 δισ. ευρώ ετησίως, επικαλούμενοι εκτίμηση της GSMA για ανάγκη πρόσθετων επενδύσεων 475 δισ. ευρώ, προκειμένου να αναπτυχθούν δίκτυα κινητής παγκόσμιου επιπέδου. Είναι λοιπόν προφανές ότι κάθε ευρώ που θα κατευθύνεται στην υποχρεωτική αντικατάσταση λειτουργικού εξοπλισμού βάσει μη-τεχνικών κριτηρίων αξιολόγησης, δεν θα διατίθεται για νέες επενδύσεις.
Στο υποθετικό σενάριο πλήρους μετακύλισης στους συνδρομητές, η Επιτροπή υπολογίζει επιβάρυνση 6,5 έως 8,3 ευρώ ανά συνδρομητή ετησίως κατά την πρώτη τριετία, αν και η ίδια δεν θεωρεί πιθανή την πλήρη μετακύλιση. Ωστόσο, η πίεση στα περιθώρια κέρδους των τηλεπικοινωνιακών παρόχων, ενδέχεται να προκαλέσει αυξήσεις τελών και περιορισμό νέων επενδύσεων.
Η επόμενη ημέρα για τις επιχειρήσεις
Το τελικό αποτέλεσμα θα εξαρτηθεί από τον τρόπο αξιολόγησης των προμηθευτών, τη διατήρηση περιθωρίου επιλογής προμηθευτών με εθνικά κριτήρια, τις μεταβατικές περιόδους και την κατανομή του κόστους. Για τις επιχειρήσεις τεχνολογίας και τηλεπικοινωνιών, η έγκαιρη χαρτογράφηση προμηθευτών και εξαρτήσεων αναδεικνύεται σε προϋπόθεση για τον περιορισμό των κινδύνων, όταν το νέο πλαίσιο λάβει την τελική του μορφή.
