Η νέα μελέτη του Πανεπιστημίου Πειραιώς και του Ελληνικού Ινστιτούτου Κυβερνοασφάλειας εξετάζει τις πιθανές επιπτώσεις στην ευρωπαϊκή αγορά του προτεινομένου πλαισίου CSA2: Από την πιστοποίηση και τον ρόλο του ENISA, έως τους περιορισμούς σε προμηθευτές και το κόστος αντικατάστασης τεχνολογικού εξοπλισμού κρίσιμων υποδομών.
Χρήστος Ξενάκης
Καθηγητής Κυβερνοασφάλειας Τμήμα Ψηφιακών Συστημάτων, Πανεπιστήμιο Πειραιώς,
Διευθυντής, MSc «Κυβερνοασφάλεια & Τεχνολογίες ΤΝ».
Η πρόταση της Ευρωπαϊκής Επιτροπής για το Cybersecurity Act 2 (CSA2), που παρουσιάστηκε στις 20 Ιανουαρίου 2026, ανοίγει μια σειρά από κρίσιμα ζητήματα για κυβερνήσεις, επιχειρήσεις και τεχνολογικούς προμηθευτές. Η Πρόταση κανονισμού εστιάζει κυρίως στον Οργανισμό της Ευρωπαϊκής Ένωσης για την Κυβερνοασφάλεια (ENISA), το ευρωπαϊκό πλαίσιο πιστοποίησης και την ασφάλεια των αλυσίδων εφοδιασμού για Τεχνολογίες Πληροφορικής και Επικοινωνιών (ΤΠΕ).
Το νέο πλαίσιο βρίσκεται ακόμη υπό διαμόρφωση και δεν αποτελεί ισχύουσα νομοθεσία. Ωστόσο, οι γενικές κατευθύνσεις που αποτυπώνονται στην υπό εξέταση Πρόταση, μπορεί να επηρεάσουν σημαντικά την ευρωπαϊκή αγορά τεχνολογίας, από την πιστοποίηση προϊόντων και υπηρεσιών έως την αξιολόγηση κινδύνου προμηθευτών και την ασφάλεια της εφοδιαστικής αλυσίδας.
Τα ζητήματα αυτά εξετάζει η νέα μελέτη που εκπονήθηκε από το Πανεπιστήμιο Πειραιώς, και ειδικότερα το Μεταπτυχιακό Πρόγραμμα «Κυβερνοασφάλεια και Τεχνολογίες Τεχνητής Νοημοσύνης», υπό την επιστημονική ευθύνη του καθηγητή Χρήστου Ξενάκη, σε συνεργασία με το Ελληνικό Ινστιτούτο Κυβερνοασφάλειας. Η μελέτη αυτή εξετάζει το θεσμικό περιεχόμενο της Πρότασης και τις πιθανές οικονομικές και επιχειρησιακές συνέπειές της για την αγορά.
Οι προτεινόμενες απαιτήσεις για κράτη και επιχειρήσεις
Για τα κράτη – μέλη, η Πρόταση προβλέπει μηχανισμούς εποπτείας και εφαρμογής, τον ορισμό αρμόδιων αρχών, ελέγχους συμμόρφωσης, κυρώσεις και συνεργασία με την Ευρωπαϊκή Επιτροπή, τον ENISA και τις αντίστοιχες αρχές άλλων κρατών. Η εφαρμογή ενός τέτοιου συστήματος προϋποθέτει εξειδικευμένο προσωπικό και ουσιαστική γνώση των υποδομών κάθε κλάδου.
Για τις επιχειρήσεις, ιδιαίτερη σημασία αποκτά η χαρτογράφηση των προμηθευτών τεχνολογικού εξοπλισμού και των εξαρτήσεων από αυτούς. Η Πρόταση προτίθεται να επιβάλλει περιορισμούς στη απόκτηση και χρήση Τεχνολογιών Πληροφορικής και Επικοινωνιών από προμηθευτές υψηλού κινδύνου σε βασικά στοιχεία τεχνολογικών υποδομών. Ειδικά στις τηλεπικοινωνίες, προβλέπει σταδιακή απόσυρση και απαγορεύσεις εξοπλισμού σε βασικά στοιχεία κινητών, σταθερών και δορυφορικών δικτύων, που προέρχονται από προμηθευτές εκτός ΕΕ. Για τα κινητά δίκτυα προβλέπεται διάστημα έως 36 μηνών από τη δημοσίευση του σχετικού καταλόγου “προμηθευτών υψηλού κινδύνου”, όπως χαρακτηρίζονται, ενώ οι προθεσμίες για τα σταθερά και δορυφορικά δίκτυα θα καθορίζονται με εκτελεστικές πράξεις.
Η νέα μελέτη επισημαίνει, πάντως, ότι πρέπει να διαχωρίζεται η προετοιμασία από τις οριστικές νομικές υποχρεώσεις. Η χαρτογράφηση εξοπλισμού, συνεργατών και εναλλακτικών λύσεων αποτελεί χρήσιμο βήμα προετοιμασίας, ενώ οι δεσμευτικές απαιτήσεις θα εξαρτηθούν από το τελικό κείμενο του CSA2 και τα μέτρα εφαρμογής.
Κοινό πλαίσιο πιστοποίησης με διαφορετικές απαιτήσεις
Το CSA2 προτείνει την αναθεώρηση του υφιστάμενου ευρωπαϊκού πλαισίου, μέσα στο οποίο αναπτύσσονται και επικαιροποιούνται σχήματα πιστοποίησης. Η πιστοποίηση παραμένει καταρχήν εθελοντική, εκτός εάν η ενωσιακή ή εθνική νομοθεσία ορίζει διαφορετικά. Οι απαιτήσεις θα διαφοροποιούνται ανάλογα με τα προϊόντα και τις υπηρεσίες, τη χρήση τους και το επιδιωκόμενο επίπεδο ασφάλειας.
Ιδιαίτερη σημασία έχει η σύνδεση με το Cyber Resilience Act (CRA). Η πιστοποίηση μέσω του ευρωπαϊκού πλαισίου μπορεί, υπό τις προϋποθέσεις της σχετικής νομοθεσίας, να υποστηρίζει την απόδειξη συμμόρφωσης με απαιτήσεις του CRA και άλλων ενωσιακών νομοθετημάτων. Δεν συνεπάγεται, όμως, αυτόματη συμμόρφωση με το σύνολο των υποχρεώσεών τους.
Στόχος είναι η εναρμόνιση των απαιτήσεων και η εφαρμογή συγκρίσιμων ελέγχων σε ευρωπαϊκό επίπεδο. Η πρόταση πάντως δεν περιλαμβάνει έναν ενιαίο κατάλογο τεχνικών προδιαγραφών για κάθε κατηγορία προϊόντος. Οι λεπτομέρειες θα καθορίζονται από το αντίστοιχο σχήμα πιστοποίησης, τα εφαρμοστέα πρότυπα και τις σχετικές εθνικές νομοθεσίες.
Οι φορείς πιστοποίησης των προϊόντων
Το προτεινόμενο σύστημα δεν προβλέπει έναν ενιαίο ευρωπαϊκό φορέα που θα ελέγχει και θα πιστοποιεί κάθε προϊόν. Ο ENISA θα έχει κεντρικό τεχνικό ρόλο στην προετοιμασία και επικαιροποίηση των ευρωπαϊκών σχημάτων πιστοποίησης, ενώ η Ευρωπαϊκή Επιτροπή αναλαμβάνει την έγκρισή τους μέσω εκτελεστικών πράξεων.
Η αξιολόγηση και η έκδοση πιστοποιητικών προβλέπεται (αρ. 85) να πραγματοποιούνται από διαπιστευμένους φορείς αξιολόγησης της συμμόρφωσης. Οι εθνικές αρχές διατηρούν αρμοδιότητες εποπτείας και -σε κάποιες περιπτώσεις- πιστοποίησης, με ειδικούς κανόνες για το «υψηλό» επίπεδο διασφάλισης.
Τα κριτήρια αξιολόγησης θα καθορίζονται ανά σχήμα και θα περιλαμβάνουν στόχους ασφάλειας, τεχνικές απαιτήσεις, επίπεδα διασφάλισης, μεθόδους αξιολόγησης και τα απαιτούμενα αποδεικτικά στοιχεία. Το προτεινόμενο πλαίσιο απαιτεί ανεξαρτησία και τεχνική επάρκεια των φορέων αξιολόγησης.
Η χώρα προέλευσης και ο έλεγχος των προμηθευτών
Ένα από τα πλέον ευαίσθητα σημεία αφορά τη δυνατότητα επιβολής περιορισμών σε προμηθευτές με βάση παράγοντες που συνδέονται με τη χώρα εγκατάστασής τους ή το ποιοι ελέγχουν τα εταιρικά σχήματά τους. Η «χώρα προέλευσης», επομένως, δεν ταυτίζεται απλώς με τη χώρα κατασκευής ενός προϊόντος. Σημασία έχουν επίσης, ο τόπος εγκατάστασης του προμηθευτή και το ποιος ελέγχει την εταιρεία.
Με βάση την Πρόταση CSA2, η εκτίμηση κινδύνου επεκτείνεται πέρα από τις τεχνικές ευπάθειες και λαμβάνει υπόψη ζητήματα ιδιοκτησίας, ελέγχου, νομικού περιβάλλοντος και πιθανής εξωτερικής παρέμβασης. Δηλαδή, πρόκειται για ένα ασαφές περίγραμμα, που επιτρέπει ποικίλες ερμηνείες και επιλογές.
Η Πρόταση δεν θεσπίζει αυτόματη γενική απαγόρευση όλων των προϊόντων μιας συγκεκριμένης χώρας. Οι περιορισμοί συνδέονται με αξιολογήσεις κινδύνου, τον προσδιορισμό βασικών στοιχείων τεχνολογικού εξοπλισμού και τις προβλεπόμενες διαδικασίες. Το άρθρο 105 προβλέπει επίσης δυνατότητα αιτήματος εξαίρεσης προς την Επιτροπή, από προμηθεύτρια εταιρεία εγκατεστημένη σε χώρα που εγείρει ανησυχίες κυβερνοασφάλειας ή ελεγχόμενη από οντότητες αυτής της χώρας, με τεκμηρίωση αποτελεσματικών μέτρων αντιμετώπισης των μη τεχνικών κινδύνων.
Πάντως, βάσει του άρθρου 103, η Επιτροπή οφείλει ρητά να εξετάζει, μεταξύ άλλων, τις οικονομικές και κοινωνικές επιπτώσεις και τη διαθεσιμότητα εναλλακτικών προμηθευτών. Η επάρκεια αυτής της αξιολόγησης θα έχει καθοριστική σημασία για το κόστος και την ομαλή μετάβαση.
Το βασικό ερώτημα που ανακύπτει είναι κατά πόσον τέτοιες αποφάσεις θα στηρίζονται σε επαρκή τεχνολογική τεκμηρίωση και θα λαμβάνουν υπόψη τις διαθέσιμες εναλλακτικές λύσεις -ανεξάρτητα από που αυτές προέρχονται- και το κόστος μετάβασης, το οποίο προφανώς θα ποικίλει για κάθε κράτος – μέλος.
Ο ρόλος της Ευρωπαϊκής Επιτροπής και τα περιθώρια εθνικών επιλογών
Η Πρόταση μεταφέρει σημαντικό μέρος της διαμόρφωσης των κανόνων και ορισμένων δεσμευτικών αποφάσεων στο ευρωπαϊκό επίπεδο. Η Ευρωπαϊκή Επιτροπή αναλαμβάνει κεντρικό ρόλο στον χαρακτηρισμό «ύποπτων» τρίτων χωρών που εγείρουν ανησυχίες κυβερνοασφάλειας, στον προσδιορισμό κρίσιμων τεχνολογικών συστημάτων και στην επιβολή σχετικών περιορισμών.
Τα κράτη μέλη συμμετέχουν στις διαδικασίες συνεργασίας και αξιολόγησης και διατηρούν αρμοδιότητες εποπτείας και εφαρμογής. Ο ENISA παρέχει τεχνική και επιχειρησιακή υποστήριξη, ενώ η Επιτροπή εκδίδει τις σχετικές κανονιστικές πράξεις στο πλαίσιο των αρμοδιοτήτων και διαδικασιών που προβλέπει η Πρόταση.
Η πρακτική συνέπεια είναι ότι, όπου εφαρμόζονται δεσμευτικοί ενωσιακοί περιορισμοί, θα περιορίζονται αντίστοιχα τα περιθώρια εθνικών επιλογών ως προς τους προμηθευτές. Η Πρόταση περιγράφει ουσιαστικά ένα μοντέλο κοινών ευρωπαϊκών αποφάσεων με εθνική εποπτεία και εφαρμογή αλλά και περιορισμό της ευελιξίας λήψης αποφάσεων σε εθνικό επίπεδο, με ό,τι αυτό συνεπάγεται για την «Εθνική Κυριαρχία» που αποτελεί μια από της θεμελιώδης και ιδρυτικές αρχές της Ευρωπαϊκής Ένωσης.
Το κόστος της μετάβασης και ποιους επιβαρύνει
Το κόστος αντικατάστασης εξοπλισμού αποτελεί ένα από τα σημαντικότερα ζητήματα για την αγορά. Η εκτίμηση επιπτώσεων της Ευρωπαϊκής Επιτροπής που συνοδεύει την πρόταση, παραθέτει ποσοτική εκτίμηση για σενάριο αντικατάστασης εξοπλισμού στα δίκτυα 5G της ΕΕ, που προέρχεται από προμηθευτές υψηλού κινδύνου.
Η εκτίμηση ανέρχεται σε 3,4 έως 4,3 δισ. ευρώ ετησίως κατά την τριετή περίοδο μετάβασης, δηλαδή περίπου 10,2 έως 12,9 δισ. ευρώ συνολικά. Το υπόδειγμα χρησιμοποιεί την περίοδο 2028–2030 ως παραδοχή και αφαιρεί το μέρος του εξοπλισμού που θα αντικαθίστατο ούτως ή άλλως, κατά τη συνήθη λειτουργία των δικτύων. Πρόκειται για εκτίμηση συγκεκριμένου σεναρίου και όχι για συνολικό κόστος εφαρμογής του CSA2 στην ευρωπαϊκή οικονομία ή για κόστος που αφορά ειδικά στην Ελλάδα.
Η επιβάρυνση αυτή αφορά στους παρόχους δικτύων τηλεπικοινωνιών. Η Επιτροπή επισημαίνει ότι μπορεί να προκύψουν πρόσθετα κόστη εγκατάστασης, εκπαίδευσης προσωπικού, διασφάλισης διαλειτουργικότητας και απόσυρσης παλαιού εξοπλισμού, πέρα από την ποσοτική εκτίμηση αντικατάστασης.
Στο υποθετικό σενάριο πλήρους μετακύλισης του κόστους στους συνδρομητές, η Επιτροπή υπολογίζει επιβάρυνση περίπου 6,5 έως 8,3 ευρώ ανά συνδρομητή ετησίως κατά την τριετία. Η πλήρης μετακύλιση κόστους, ωστόσο, δεν θεωρείται πιθανή στο συγκεκριμένο σενάριο.
Αξιοσημείωτο είναι πάντως ότι η Πρόταση δεν προβλέπει κάποιον γενικό, εγγυημένο μηχανισμό αποζημίωσης των επιχειρήσεων από την ΕΕ ή τα κράτη μέλη για τον εξοπλισμό που θα χρειαστεί να αντικατασταθεί! Εν ολίγοις, τον λογαριασμό μάλλον θα πληρώσουν εταιρείες και καταναλωτές.
Το επόμενο βήμα για την αγορά
Παρότι το CSA2 βρίσκεται ακόμη υπό διαμόρφωση, οι επιχειρήσεις μπορούν ήδη να αξιολογήσουν την έκθεσή τους στις προτεινόμενες αλλαγές και τις συνέπειες. Για επιχειρήσεις που διαχειρίζονται κρίσιμες ή ιδιαίτερα ευαίσθητες ψηφιακές υποδομές, η χαρτογράφηση προμηθευτών, τεχνολογικών εξαρτήσεων και εναλλακτικών λύσεων μπορεί να αποτελέσει σημαντικό εργαλείο για την εκτίμηση του χρόνου και του κόστους μετάβασης σε εναλλακτικές λύσεις.
Το κρίσιμο ερώτημα είναι εάν και πώς το προτεινόμενο νέο ευρωπαϊκό πλαίσιο θα ενισχύσει την κυβερνοασφάλεια και την ψηφιακή ανθεκτικότητα χωρίς να δημιουργήσει δυσανάλογες οικονομικές και επιχειρησιακές επιβαρύνσεις. Η απάντηση θα εξαρτηθεί από το τελικό κείμενο του CSA2, τα επιμέρους σχήματα πιστοποίησης, τις αποφάσεις για την ασφάλεια των εφοδιαστικών αλυσίδων και τον τρόπο εφαρμογής τους.
Στην ελληνική αγορά, οι επιχειρήσεις τεχνολογίας, οι πάροχοι ψηφιακών υπηρεσιών και τηλεπικοινωνιών, καθώς και οι οργανισμοί που χρησιμοποιούν κρίσιμες τεχνολογικές υποδομές, χρειάζεται να παρακολουθούν στενά την εξέλιξη της Πρότασης και τα μέτρα που θα αφορούν στον κλάδο τους.
Το CSA2 δεν αφορά τελικά μόνο στην πιστοποίηση προϊόντων. Προχωρά περαιτέρω και στον έλεγχο της εφοδιαστικής αλυσίδας. Επηρεάζει το ποιοι προμηθευτές θα μπορούν να συμμετέχουν σε κρίσιμες τεχνολογικές υποδομές και με ποιους όρους, ενώ αφήνει ανοιχτό το ζήτημα της χρηματοδότησης της απαιτούμενης μετάβασης και ποιος θα αναλάβει το κόστος όταν κριθεί ότι μια τεχνολογία δεν μπορεί πλέον να χρησιμοποιείται.
Οι 17 ηγέτες τηλεπικοινωνιακών ομίλων προειδοποιούν για το κόστος των αλλαγών
Στο ίδιο πλαίσιο, κοινή δήλωση 17 επικεφαλής ευρωπαϊκών τηλεπικοινωνιακών ομίλων, που δημοσίευσε η Connect Europe στις 15 Σεπτεμβρίου 2026, αναδεικνύει τη διάσταση των επενδύσεων και του κόστους μετάβασης. Σε επιστολή τους προς τα ευρωπαϊκά θεσμικά όργανα, οι υπογράφοντες τονίζουν ότι σήμερα ο κλάδος επενδύει περίπου 64 δισ. ευρώ ετησίως και επικαλούνται εκτίμηση του GSMA που αναφέρει ότι απαιτούνται επιπλέον επενδύσεις 475 δισ. ευρώ για να αναπτυχθούν δίκτυα κινητής τηλεφωνίας παγκόσμιου επιπέδου. Παράλληλα, στο πλαίσιο ευρύτερης παρέμβασης για το Digital Networks Act και το Cybersecurity Act 2, προειδοποιούν ότι το κόστος αντικατάστασης εξοπλισμού μπορεί να φτάσει τα 40 δισ. ευρώ, παραπέμποντας σε μελέτη του GSMA Intelligence. Τέλος, ζητούν αναλογικά -όχι οριζόντια- μέτρα, βασισμένα στην αξιολόγηση κινδύνου και στις διαθέσιμες εναλλακτικές, ώστε να διατηρηθούν διαθέσιμοι επενδυτικοί πόροι για την ανάπτυξη δικτύων 5G και 6G, υποδομών gigabit, υποθαλάσσιων καλωδίων και άλλων κρίσιμων ψηφιακών υποδομών.
Εν κατακλείδι, η νέα μελέτη του Πανεπιστήμιο Πειραιώς σε συνεργασία με το Ελληνικό Ινστιτούτο Κυβερνοασφάλειας, αναδεικνύει με τεκμηριωμένη ανάλυση, τόσο τα θετικά στοιχεία της Πρότασης για το CSA2, όπως η καλύτερη οργάνωση των σχημάτων πιστοποίησης νέων τεχνολογιών, όσο και τα σημεία που χρήζουν βελτίωσης ή διευκρινίσεων. Μεταξύ αυτών συγκαταλέγονται η διασφάλιση του επιπέδου εθνικής κυριαρχίας και της ελευθερίας επιλογής προμηθευτών -βάσει εθνικών κριτηρίων-, οι μέθοδοι και τα κριτήρια ελέγχου της εφοδιαστικής αλυσίδας τεχνολογικού εξοπλισμού καθώς και το κυριότερο όλων: ποιος θα επωμισθεί το κόστος αντικατάστασης τυχόν «μη αποδεκτού» εξοπλισμού.
Όλα τα παραπάνω είναι σημεία που το τελικό πλαίσιο του Cyber Security Act 2.0, θα όφειλε να λάβει υπόψη, για να διασφαλίσει στο μέγιστο βαθμό, ανταγωνιστικές τεχνολογικές υποδομές για την Ευρώπη του μέλλοντος.
