Η Ευρώπη δείχνει σαφή πρόθεση να θωρακίσει περαιτέρω τα ψηφιακά της δίκτυα. Το ερώτημα όμως που απασχολεί τις αγορές είναι πόσο θα κοστίσει αυτή η θωράκιση και ποιος θα καλύψει το κόστος της.
Αφορμή για την συζήτηση που έχει ανοίξει πανευρωπαϊκά, είναι η νέα Πράξη για την Κυβερνοασφάλεια (Cybersecurity Act 2.0 – CSA2), την οποία παρουσίασε η Κομισιόν τον περασμένο Ιανουάριο. Το κείμενο βρίσκεται ακόμη στη νομοθετική διαδικασία και δεν έχει λάβει τελική μορφή, αλλά είναι ήδη εμφανείς οι αλλαγές που προοιωνίζεται, για τις τηλεπικοινωνίες, την ενέργεια, τις υπηρεσίες cloud, τον τραπεζικό τομέα και άλλους κλάδους που υπάγονται στις λεγόμενες κρίσιμες υποδομές.
Μια νέα μελέτη του Μεταπτυχιακού Προγράμματος «Κυβερνοασφάλεια και Τεχνολογίες Τεχνητής Νοημοσύνης» του Πανεπιστημίου Πειραιώς, υπό την επιστημονική ευθύνη του καθηγητή Χρήστου Ξενάκη, σε συνεργασία με το Ελληνικό Ινστιτούτο Κυβερνοασφάλειας, βάζει στο «μικροσκόπιο» της αλλαγές και τις επιπτώσεις που αναμένονται με το CSA2.
Ο καθηγητής κ. Χρήστος Ξενάκης
Ένα πιστοποιητικό για όλη την ΕΕ
Για τους κατασκευαστές προϊόντων και υπηρεσιών τεχνολογιών πληροφορικής και επικοινωνιών (ΤΠΕ), το CSA2 επιδιώκει να βάλει τέλος στη μεγάλη «ποικιλία» των εθνικών απαιτήσεων. Τα σχήματα πιστοποίησης θα τα καταρτίζει ο ENISA και θα τα εγκρίνει η Κομισιόν. Τα πιστοποιητικά θα εκδίδονται από διαπιστευμένους φορείς και θα ισχύουν σε όλη την ΕΕ, ενώ τα κράτη-μέλη δεν θα έχουν την ευελιξία να προσθέτουν δικές τους απαιτήσεις εκεί όπου υπάρχει ήδη ευρωπαϊκό σχήμα πιστοποίησης. Το κέρδος είναι προφανές καθώς ένα προϊόν θα πιστοποιείται άπαξ και θα πωλείται σε 27 αγορές με χαμηλότερο κόστος αφού δεν θα χρειάζονται επιπλέον πιστοποιήσεις. Η πιστοποίηση θα παραμείνει κατ’ αρχήν εθελοντική, αλλά οι απαιτήσεις μπορεί να αυξάνονται ανάλογα με το προϊόν και τη χρήση του. Επιπλέον, για πρώτη φορά θα μπορεί να πιστοποιείται και η συνολική ωριμότητα μιας επιχείρησης στην κυβερνοασφάλεια, ενώ θα διευκολύνει επίσης τη συμμόρφωση με την Πράξη για την Κυβερνοανθεκτικότητα (CRA), χωρίς πάντως να την εξασφαλίζει συνολικά.
Ο λογαριασμός των ψηφιακών δικτύων
Το περιβάλλον που φαίνεται ότι θα δημιουργήσει το CSA2, δεν είναι εξίσου ευνοϊκό για τους παρόχους τηλεπικοινωνιών. Για τα δίκτυα κινητής, η πρόταση προβλέπει σταδιακή αντικατάσταση του εξοπλισμού υποδομών που θα προέρχεται από τους λεγόμενους προμηθευτές «υψηλού κινδύνου» μέσα σε 36 μήνες από τη δημοσίευση του σχετικού καταλόγου.
Οι αριθμοί είναι αποκαλυπτικοί για τις πιθανές επιπτώσεις:
- Από 3,4 ως 4,3 δισ. ευρώ τον χρόνο, (10,2 έως 12,9 δισ. σε βάθος τριετίας), εκτιμάται το κόστος αντικατάστασης εξοπλισμού 5G, σε ένα σενάριο της εκτίμησης επιπτώσεων που εκπόνησε η ίδια η Κομισιόν.
- Στα 40 δισ. ευρώ ανεβάζουν τον λογαριασμό οι επικεφαλής 17 ευρωπαϊκών τηλεπικοινωνιακών ομίλων, επικαλούμενοι μελέτη της GSMA Intelligence.
- Περίπου 64 δισ. ευρώ επενδύει σήμερα ετησίως ο κλάδος.
- Περίπου 475 δισ. ευρώ επιπλέον χρειάζεται, κατά την GSMA, να επενδύσει η Ευρώπη για να εξασφαλίσει τη λειτουργία δικτύων κινητής παγκόσμιου επιπέδου.
Πάντως, το ποσό της Επιτροπής θέλει προσεκτική ανάγνωση. Αφορά μόνο ένα σενάριο και όχι το συνολικό κόστος εφαρμογής. Αυτό μπορεί να είναι πολλαπλάσιο αν συνυπολογιστούν η εγκατάσταση, η εκπαίδευση προσωπικού, η διαλειτουργικότητα με τα υφιστάμενα συστήματα και η αναθεώρηση υφιστάμενων συμβάσεων με προμηθευτές του υπάρχοντος εξοπλισμού. Σε αυτή τη βάση υπολογισμού στηρίζεται η εκτίμηση των τηλεπικοινωνιακών ομίλων, που ανεβάζει το κόστος στα 40 δισ. ευρώ. Και βέβαια, είναι αναμενόμενο ότι όσα κεφάλαια κατευθυνθούν στην αντικατάσταση εξοπλισμού που λειτουργεί κανονικά, θα «κοπούν» από επενδύσεις για βελτίωση υποδομών σε 5G – 6G, σε δίκτυα gigabit, σε υποθαλάσσια καλώδια κ.λπ.
Το «γκρίζο» σημείο της χώρας προέλευσης
Η πρόταση για το CSA2, θα δημιουργήσει αναταράξεις και στην εφοδιαστική αλυσίδα τεχνολογικού εξοπλισμού. Οι οντότητες που υπάγονται στην Οδηγία NIS2, θα ζητηθεί να αξιολογούν πόσο εξαρτώνται από τους λεγόμενους προμηθευτές «υψηλού κινδύνου» και να εφαρμόζουν μέτρα που θα περιλαμβάνουν από απαιτήσεις διαφάνειας και ελέγχους τρίτων έως την απαγόρευση χρήσης συγκεκριμένου εξοπλισμού σε κρίσιμα σημεία των υποδομών. Το σημαντικό εδώ είναι ότι η αξιολόγηση δεν θα προβλέπεται να βασιστεί μόνο σε τεχνικά χαρακτηριστικά. Θα μετρούν επίσης τα λεγόμενα μη τεχνικά κριτήρια, όπως το ιδιοκτησιακό καθεστώς, η χώρα έδρας και το νομικό περιβάλλον του προμηθευτή. Η Κομισιόν επιδιώκει μάλιστα να μπορεί να χαρακτηρίζει ολόκληρες τρίτες χώρες ως «υψηλού κινδύνου». Οι προμηθευτές που θα προέρχονται από αυτές, ενδέχεται να αποκλείονται από δημόσιες συμβάσεις για κρίσιμο εξοπλισμό ΤΠΕ και από προγράμματα με ευρωπαϊκή χρηματοδότηση.
Το προτεινόμενο θεσμικό πλαίσιο θεωρείται ασαφές και ανοιχτό σε πολλές ερμηνείες, με βάση τη μελέτη του Πανεπιστημίου Πειραιώς και του Ελληνικού Ινστιτούτου Κυβερνοασφάλειας. Για τους επενδυτές η ασάφεια πυροδοτεί την αβεβαιότητα, ενώ για την αγορά μπορεί να σημαίνει μείωση του αριθμού προμηθευτών και ασθενέστερο ανταγωνισμό, κάτι που οδηγεί τελικά σε αυξημένες τιμές εξοπλισμού. Και βέβαια τίθεται επιπροσθέτως θέμα εθνικών επιλογών. Η επιλογή προμηθευτών για τα εθνικά ψηφιακά δίκτυα αποτελούσε κατά βάση εθνική υπόθεση, μέχρι σήμερα, καθώς εμπίπτει στην αρχή της εθνικής κυριαρχίας κάθε κράτους. Το CSA2 επιδιώκει να μεταφέρει την αρμοδιότητα στις Βρυξέλλες, αφήνοντας στα κράτη-μέλη κυρίως εποπτικό ρόλο.
Τι να περιμένει ο καταναλωτής;
Η Πρόταση CSA2, δεν προβλέπει κάποιον γενικό, εγγυημένο μηχανισμό αποζημίωσης για εξοπλισμό που ενδεχομένως να ζητηθεί να αντικατασταθεί. Οπότε, το βάρος πέφτει στους παρόχους τηλεπικοινωνιών. Η Επιτροπή έχει υπολογίσει και ένα ακραίο σενάριο, στο οποίο όλο το κόστος περνά στους συνδρομητές. Αυτό θα σήμαινε ετήσια επιβάρυνση από 6,5 έως 8,3 ευρώ ανά συνδρομητή, για περίοδο τριών ετών. Η ίδια η Επιτροπή πάντως θεωρεί απίθανο να επαληθευτεί αυτό το σενάριο. Αυτό δεν σημαίνει ότι ο καταναλωτής θα παραμείνει αλώβητος. Τα περιθώρια του κλάδου είναι ήδη πιεσμένα από τον ανταγωνισμό, οπότε όποιο κόστος δεν περάσει στα τιμολόγια θα «κοπεί» πιθανότατα από τα επενδυτικά πλάνα. Άρα, ο λογαριασμός θα φτάσει στον τελικό χρήστη έτσι κι αλλιώς, αν όχι μέσω των αυξημένων τελών σύνδεση, τότε μέσω πιο αργής ανάπτυξης δικτύων και υπηρεσιών.
Τι θα κρίνει το τελικό κείμενο
Η μάχη στις Βρυξέλλες θα δοθεί σε μερικά κρίσιμα μέτωπα όπως: τα κριτήρια αξιολόγησης των προμηθευτών, τα περιθώρια εθνικών επιλογών και την κατανομή του κόστους πιθανής αντικατάστασης εξοπλισμού. Η Ευρώπη αναμφισβήτητα χρειάζεται ασφαλέστερα ψηφιακά ασφαλέστερα δίκτυα, αλλά με μέτρα αναλογικά προς τον πραγματικό κίνδυνο. Αλλιώς, η ασφάλεια ενδέχεται να «πληρωθεί» με τη μείωση της ανταγωνιστικότητας και υστέρηση επενδύσεων βελτίωσης των δικτύων.