Η μελέτη του Πανεπιστημίου Πειραιώς και του Ελληνικού Ινστιτούτου Κυβερνοασφάλειας αναλύει τις αλλαγές που φέρνει η πρόταση για το Cybersecurity Act 2.0 στην πιστοποίηση, την εφοδιαστική αλυσίδα και την επιλογή τεχνολογικών προμηθευτών. Στο επίκεντρο βρίσκεται και το οικονομικό κόστος της μετάβασης, το οποίο μόνο για την αντικατάσταση εξοπλισμού στα ευρωπαϊκά δίκτυα 5G εκτιμάται σε έως 12,9 δισ. ευρώ σε μία τριετία.
Η κυβερνοασφάλεια στην Ευρώπη περνά σταδιακά από την προστασία μεμονωμένων πληροφοριακών συστημάτων σε ένα πολύ ευρύτερο μοντέλο, στο οποίο η ασφάλεια της τεχνολογικής εφοδιαστικής αλυσίδας, η προέλευση και ο έλεγχος των προμηθευτών και η πιστοποίηση προϊόντων και υπηρεσιών αποκτούν κεντρική σημασία.
Σε αυτή την κατεύθυνση κινείται η πρόταση της Ευρωπαϊκής Επιτροπής για το Cybersecurity Act 2.0 (CSA2), η οποία παρουσιάστηκε τον Ιανουάριο του 2026 και φιλοδοξεί να αναδιαμορφώσει το ευρωπαϊκό πλαίσιο κυβερνοασφάλειας.
Τις πιθανές επιπτώσεις του νέου πλαισίου εξετάζει μελέτη που εκπονήθηκε από το Μεταπτυχιακό Πρόγραμμα «Κυβερνοασφάλεια και Τεχνολογίες Τεχνητής Νοημοσύνης» του Πανεπιστημίου Πειραιώς, υπό την επιστημονική ευθύνη του καθηγητή Χρήστου Ξενάκη, σε συνεργασία με το Ελληνικό Ινστιτούτο Κυβερνοασφάλειας.
Το CSA2 βρίσκεται ακόμη υπό διαμόρφωση και συνεπώς οι προβλέψεις της πρότασης δεν αποτελούν ακόμη οριστικές νομικές υποχρεώσεις. Ωστόσο, η κατεύθυνση είναι ήδη σαφής: η Ευρωπαϊκή Ένωση επιχειρεί να συνδέσει στενότερα την κυβερνοασφάλεια με την ασφάλεια των αλυσίδων εφοδιασμού τεχνολογικών προϊόντων και τη στρατηγική διαχείριση των τεχνολογικών εξαρτήσεων.
Από την ασφάλεια του προϊόντος στην ασφάλεια του προμηθευτή
Μία από τις σημαντικότερες αλλαγές αφορά στον τρόπο με τον οποίο αξιολογείται ο κίνδυνος. Μέχρι σήμερα, η συζήτηση επικεντρωνόταν κυρίως στα τεχνικά χαρακτηριστικά ενός προϊόντος: στις ευπάθειες, στην ασφάλεια του λογισμικού, στις ενημερώσεις και στην προστασία των δεδομένων. Με το CSA2 η εικόνα διευρύνεται σημαντικά. Αυτό που επιδιώκεται είναι η αξιολόγηση να λαμβάνει υπόψη όχι μόνο τα τεχνικά χαρακτηριστικά ενός προϊόντος, αλλά και τη χώρα εγκατάστασης του προμηθευτή, το ιδιοκτησιακό του καθεστώς, το ποιος ασκεί πραγματικό έλεγχο στην εταιρεία, το νομικό περιβάλλον στο οποίο λειτουργεί και το ενδεχόμενο εξωτερικής κρατικής παρέμβασης. Το πλαίσιο αυτό μετατρέπει την εφοδιαστική αλυσίδα τεχνολογίας σε κρίσιμο παράγοντα κυβερνοασφάλειας.
Για τις επιχειρήσεις, και ιδιαίτερα για όσες διαχειρίζονται κρίσιμες υποδομές, η εξέλιξη αυτή σημαίνει ότι η επιλογή ενός προμηθευτή εξοπλισμού, δεν θα αποτελεί αποκλειστικά απόφαση τεχνολογίας, κόστους και απόδοσης. Τα τμήματα IT, κυβερνοασφάλειας, risk management και προμηθειών θα πρέπει να συνεργάζονται στενότερα και να ενσωματώνουν βαθύτερους ελέγχους due diligence στις διαδικασίες επιλογής τεχνολογικών λύσεων.
Τι σημαίνει ο χαρακτηρισμός «προμηθευτής υψηλού κινδύνου»
Το CSA2 προβλέπει τη δυνατότητα επιβολής περιορισμών στη χρήση τεχνολογιών από προμηθευτές που χαρακτηρίζονται ως υψηλού κινδύνου, όταν πρόκειται για βασικά στοιχεία κρίσιμων τεχνολογικών υποδομών. Ιδιαίτερη βαρύτητα δίνεται στις τηλεπικοινωνίες. Για τα δίκτυα κινητής, προβλέπεται δυνατότητα σταδιακής απόσυρσης συγκεκριμένου εξοπλισμού εντός περιόδου 36 μηνών από τη δημοσίευση του σχετικού καταλόγου προμηθευτών υψηλού κινδύνου, ενώ αντίστοιχες προθεσμίες για σταθερά και δορυφορικά δίκτυα θα μπορούν να καθορίζονται μέσω εκτελεστικών πράξεων. Ωστόσο, δεν υπάρχει πρόβλεψη για μία αυτόματη και γενική απαγόρευση όλων των προϊόντων που προέρχονται από μια συγκεκριμένη χώρα. Οι περιορισμοί συνδέονται με διαδικασίες αξιολόγησης κινδύνου, τον προσδιορισμό κρίσιμων τεχνολογικών στοιχείων και συγκεκριμένες κανονιστικές αποφάσεις.
Εδώ ακριβώς εντοπίζεται και μία από τις σημαντικότερες προκλήσεις του νέου πλαισίου: με ποια κριτήρια θα λαμβάνονται αυτές οι αποφάσεις και πόσο αντικειμενικά, μετρήσιμα και συγκεκριμένα θα είναι αυτά; Η απάντηση έχει ιδιαίτερη σημασία, καθώς οι αποφάσεις αυτές μπορεί να επηρεάσουν άμεσα την διαφάνεια, τον ανταγωνισμό, τις επενδύσεις και τις τεχνολογικές επιλογές κρατών και επιχειρήσεων.
Νέο τοπίο και στην πιστοποίηση
Σημαντικές αλλαγές προβλέπονται και στο ευρωπαϊκό πλαίσιο πιστοποίησης κυβερνοασφάλειας. Ο ENISA αποκτά κεντρικό τεχνικό ρόλο στην προετοιμασία και επικαιροποίηση των ευρωπαϊκών σχημάτων πιστοποίησης, ενώ η Ευρωπαϊκή Επιτροπή θα αναλαμβάνει την έγκρισή τους. Η αξιολόγηση και η έκδοση των πιστοποιητικών θα πραγματοποιούνται από διαπιστευμένους φορείς αξιολόγησης της συμμόρφωσης. Η πιστοποίηση παραμένει καταρχήν εθελοντική, εκτός εάν η ευρωπαϊκή ή εθνική νομοθεσία προβλέπει διαφορετικά.
Ιδιαίτερη σημασία έχει και η σχέση του CSA2 με το Cyber Resilience Act (CRA). Μία ευρωπαϊκή πιστοποίηση μπορεί να χρησιμοποιηθεί για την υποστήριξη της απόδειξης συμμόρφωσης με συγκεκριμένες απαιτήσεις του CRA, δεν σημαίνει όμως αυτόματα ότι ένα προϊόν καλύπτει το σύνολο των υποχρεώσεων του Κανονισμού.
Για τους κατασκευαστές και τους παρόχους τεχνολογίας, επομένως, η πιστοποίηση αναμένεται να αποκτήσει μεγαλύτερη στρατηγική αξία, χωρίς όμως να μετατρέπεται σε ένα ενιαίο «διαβατήριο συμμόρφωσης» για κάθε ευρωπαϊκή απαίτηση.
Ο λογαριασμός μπορεί να φτάσει τα δισεκατομμύρια
Το μεγαλύτερο ίσως ερωτηματικό της Πρότασης για τον CSA2 αφορά στο κόστος. Η εκτίμηση επιπτώσεων της Ευρωπαϊκής Επιτροπής εξετάζει σενάριο αντικατάστασης εξοπλισμού 5G στην ΕΕ που προέρχεται από τους λεγόμενους προμηθευτές υψηλού κινδύνου και υπολογίζει το σχετικό κόστος σε 3,4 έως 4,3 δισ. ευρώ ετησίως για μία τριετή περίοδο μετάβασης. Με βάση το συγκεκριμένο σενάριο, το συνολικό ποσό φτάνει τα 10,2 έως 12,9 δισ. ευρώ.
Πρόκειται για εκτίμηση που αφορά συγκεκριμένα στην αντικατάσταση εξοπλισμού 5G και όχι το συνολικό κόστος εφαρμογής του CSA2 στην ευρωπαϊκή οικονομία. Επιπλέον, μπορεί να υπάρξουν πρόσθετες δαπάνες για εγκατάσταση νέου εξοπλισμού, εκπαίδευση προσωπικού, διαλειτουργικότητα και απόσυρση παλαιών συστημάτων.
Ακόμη μεγαλύτερη είναι η εκτίμηση που έχει προβάλει η ίδια η τηλεπικοινωνιακή αγορά. Τον περασμένο Σεπτέμβριο, 17 επικεφαλής μεγάλων ευρωπαϊκών τηλεπικοινωνιακών ομίλων προειδοποίησαν, μέσω κοινής παρέμβασης που δημοσιεύτηκε από την Connect Europe, ότι το κόστος αντικατάστασης εξοπλισμού θα μπορούσε να φτάσει ακόμη και τα 40 δισ. ευρώ, επικαλούμενοι στοιχεία του GSMA Intelligence.
Το ζήτημα γίνεται ακόμη πιο κρίσιμο καθώς ο ευρωπαϊκός τηλεπικοινωνιακός κλάδος καλείται παράλληλα να χρηματοδοτήσει την ανάπτυξη δικτύων 5G και 6G, gigabit υποδομών, υποθαλάσσιων καλωδίων και άλλων κρίσιμων ψηφιακών υποδομών.
Ποιος θα πληρώσει το κόστος τελικά;
Η Πρόταση δεν προβλέπει έναν γενικό και εγγυημένο ευρωπαϊκό μηχανισμό αποζημίωσης για επιχειρήσεις που ενδεχομένως υποχρεωθούν να αποσύρουν εξοπλισμό. Συνεπώς, το ερώτημα για το ποιος θα επωμιστεί το κόστος παραμένει ανοιχτό.
Στο υποθετικό σενάριο πλήρους μετακύλισης του κόστους αντικατάστασης 5G στους συνδρομητές, η Ευρωπαϊκή Επιτροπή υπολογίζει επιβάρυνση περίπου 6,5 έως 8,3 ευρώ ανά συνδρομητή ετησίως κατά την τριετή περίοδο. Η ίδια η Επιτροπή, πάντως, δεν θεωρεί πιθανό το σενάριο πλήρους μετακύλισης. Το πραγματικό κόστος θα εξαρτηθεί από το τελικό κανονιστικό πλαίσιο, τον αριθμό των επηρεαζόμενων προμηθευτών, τις διαθέσιμες λύσεις και το πόσο γρήγορα θα απαιτηθεί η μετάβαση.
Τι μπορούν να κάνουν από τώρα οι επιχειρήσεις
Παρότι το CSA2 δεν έχει ακόμη οριστικοποιηθεί, η προετοιμασία μπορεί να ξεκινήσει χωρίς οι επιχειρήσεις να προεξοφλούν το τελικό περιεχόμενο της νομοθεσίας. Η πρώτη κίνηση είναι η πλήρης χαρτογράφηση του τεχνολογικού οικοσυστήματος: ποιος εξοπλισμός χρησιμοποιείται, από ποιους κατασκευαστές, ποιοι είναι οι κρίσιμοι προμηθευτές και υπεργολάβοι, ποιες τεχνολογικές εξαρτήσεις υπάρχουν και ποιες τεχνολογικές λύσεις είναι πραγματικά διαθέσιμες.
Για τους CISOs και τους IT Directors αυτό σημαίνει ότι το supply-chain risk management αποκτά ακόμη μεγαλύτερη σημασία. Για τα αρμόδια τμήματα σημαίνει ότι οι διαδικασίες προμηθειών θα πρέπει σταδιακά να περιλαμβάνουν περισσότερες απαιτήσεις κυβερνοασφάλειας και διαφάνειας. Και για τις διοικήσεις σημαίνει ότι η επιλογή τεχνολογικού προμηθευτή μετατρέπεται πλέον σε απόφαση επιχειρηματικού και στρατηγικού κινδύνου.
Η δύσκολη ισορροπία μεταξύ ασφάλειας και ανταγωνιστικότητας
Το CSA2 επιχειρεί να απαντήσει σε ένα πραγματικό πρόβλημα: οι κρίσιμες ψηφιακές υποδομές δεν μπορούν να αξιολογούνται μόνο με βάση τις τεχνικές δυνατότητές τους, αγνοώντας την ασφάλεια της εφοδιαστικής αλυσίδας και τις στρατηγικές εξαρτήσεις που δημιουργούν. Από την άλλη πλευρά, ένα σύστημα που οδηγεί σε μεγάλες αντικαταστάσεις εξοπλισμού χωρίς σαφή, τεχνολογικά τεκμηριωμένα και αναλογικά κριτήρια, μπορεί να δημιουργήσει σημαντικές οικονομικές επιβαρύνσεις και να περιορίσει τον ανταγωνισμό.
Η πρόκληση για την Ευρώπη είναι επομένως διπλή: να ενισχύσει ουσιαστικά την κυβερνοασφάλεια και την ψηφιακή της ανθεκτικότητα, χωρίς να περιορίσει αδικαιολόγητα τις τεχνολογικές επιλογές των κρατών και των επιχειρήσεων και χωρίς να απορροφήσει κεφάλαια που απαιτούνται για τον επόμενο κύκλο ψηφιακών επενδύσεων.
Το Cybersecurity Act 2.0 δεν αφορά τελικά μόνο την πιστοποίηση προϊόντων. Αγγίζει την ίδια τη δομή της ευρωπαϊκής αγοράς τεχνολογίας: ποιοι προμηθευτές θα μπορούν να συμμετέχουν στις κρίσιμες υποδομές, με ποια κριτήρια θα αξιολογούνται και, κυρίως, ποιος θα αναλάβει το κόστος όταν μια τεχνολογία που χρησιμοποιείται σήμερα κριθεί αύριο μη αποδεκτή.
Οι απαντήσεις σε αυτά τα ερωτήματα θα καθορίσουν σε μεγάλο βαθμό εάν το CSA2 θα λειτουργήσει ως εργαλείο ενίσχυσης της ευρωπαϊκής κυβερνοασφάλειας χωρίς να αγνοήσει το θεμελιώδες δικαίωμα των κρατών – μελών για εθνική κυριαρχία και εθνικές επιλογές ή αν το κόστος της αυξημένης ασφάλειας θα εξελιχθεί σε έναν νέο περιορισμό για τη διαφάνεια, την ανταγωνιστικότητα και τις επενδύσεις της ευρωπαϊκής ψηφιακής οικονομίας.
