Πράξη για την κυβερνοανθεκτικότητα: Συμφωνία σχετικά με τις απαιτήσεις ασφάλειας για ψηφιακά προϊόντα
Η Προεδρία του Συμβουλίου και οι διαπραγματευτές του Ευρωπαϊκού Κοινοβουλίου κατέληξαν σε προσωρινή συμφωνία επί της προτεινόμενης νομοθεσίας σχετικά με τις απαιτήσεις κυβερνοασφάλειας για προϊόντα με ψηφιακά στοιχεία, η οποία επιδιώκει να διασφαλίσει ότι προϊόντα όπως οι συνδεδεμένες οικιακές κάμερες, τα ψυγεία, οι τηλεοράσεις και τα παιχνίδια είναι ασφαλή πριν διατεθούν στην αγορά (πράξη για την κυβερνοανθεκτικότητα).
Κύριοι στόχοι του νέου κανονισμού
Η νέα πράξη θεσπίζει για όλη την ΕΕ απαιτήσεις κυβερνοασφάλειας για τον σχεδιασμό, την ανάπτυξη, την παραγωγή και τη διάθεση στην αγορά προϊόντων υλισμικού και λογισμικού, ώστε να αποφεύγονται οι επικαλυπτόμενες απαιτήσεις που απορρέουν από διαφορετικές νομοθετικές πράξεις στα κράτη μέλη της ΕΕ.
Ο κανονισμός θα εφαρμόζεται σε όλα τα προϊόντα που συνδέονται άμεσα ή έμμεσα με άλλη συσκευή ή δίκτυο. Ορισμένες εξαιρέσεις υπάρχουν για εκείνα τα προϊόντα για τα οποία οι απαιτήσεις κυβερνοασφάλειας έχουν ήδη καθοριστεί σε υφιστάμενους κανόνες της ΕΕ, όπως είναι για παράδειγμα τα ιατροτεχνολογικά προϊόντα, τα αεροναυτικά προϊόντα και τα αυτοκίνητα.
Η πρόταση αποσκοπεί να καλύψει τα κενά, να αποσαφηνίσει τους συνδέσμους και να καταστήσει την υφιστάμενη νομοθεσία για την κυβερνοασφάλεια πιο συνεκτική, διασφαλίζοντας ότι τα προϊόντα με ψηφιακές συνιστώσες, για παράδειγμα τα προϊόντα του «διαδικτύου των πραγμάτων» (IoT), καθίστανται ασφαλή σε ολόκληρη την αλυσίδα εφοδιασμού και καθ’ όλη τη διάρκεια του κύκλου ζωής τους.
Τέλος, ο κανονισμός θα επιτρέψει στους καταναλωτές να λαμβάνουν υπόψη την κυβερνοασφάλεια όταν διαλέγουν και χρησιμοποιούν προϊόντα που περιέχουν ψηφιακά στοιχεία, διότι θα τους διευκολύνει να εντοπίζουν προϊόντα υλισμικού και λογισμικού με τα κατάλληλα χαρακτηριστικά κυβερνοασφάλειας.
Η γενική κατεύθυνση της πρότασης της Επιτροπής παραμένει
Το κείμενο που έχει προσωρινά συμφωνηθεί διατηρεί τη γενική κατεύθυνση της πρότασης της Επιτροπής, συγκεκριμένα όσον αφορά:
- τους κανόνες για την επανεξισορρόπηση της ευθύνης συμμόρφωσης των κατασκευαστών, οι οποίοι πρέπει να εκπληρώσουν ορισμένες υποχρεώσεις, όπως είναι η εκπόνηση εκτίμησης κινδύνου για την κυβερνοασφάλεια, η δήλωση συμμόρφωσης και η συνεργασία με τις αρμόδιες αρχές
- τις διαδικασίες χειρισμού τρωτών σημείων για τους κατασκευαστές, ώστε να διασφαλίζεται η κυβερνοασφάλεια των ψηφιακών προϊόντων, και τις υποχρεώσεις για τους οικονομικούς φορείς, όπως είναι οι εισαγωγείς ή οι διανομείς, σε σχέση με τις εν λόγω διαδικασίες
- τα μέτρα για τη βελτίωση της διαφάνειας όσον αφορά την ασφάλεια των προϊόντων υλισμικού και λογισμικού για καταναλωτές και επιχειρηματικούς χρήστες
- το πλαίσιο εποπτείας της αγοράς για την επιβολή των κανόνων.
Κύριες τροποποιήσεις των συννομοθετών
Ωστόσο, οι συννομοθέτες συμφώνησαν να τροποποιήσουν διάφορα μέρη της πρότασης της Επιτροπής, μεταξύ άλλων όσον αφορά:
- το πεδίο εφαρμογής της προτεινόμενης νομοθεσίας, με απλούστερη μεθοδολογία για την ταξινόμηση των ψηφιακών προϊόντων που θα καλύπτονται από τον νέο κανονισμό
- τον προσδιορισμό της αναμενόμενης διάρκειας ζωής του προϊόντος από τους κατασκευαστές: μολονότι εξακολουθεί να ισχύει η αρχή ότι η περίοδος στήριξης ενός ψηφιακού προϊόντος αντιστοιχεί στην αναμενόμενη διάρκεια ζωής του, αναφέρεται ενδεικτικά περίοδος στήριξης τουλάχιστον πέντε ετών, με εξαίρεση τα προϊόντα που αναμένεται να χρησιμοποιηθούν για μικρότερο χρονικό διάστημα
- τις υποχρεώσεις αναφοράς σχετικά με τα τρωτά σημεία και τα συμβάντα που αποτελούν αντικείμενο ενεργού εκμετάλλευσης: μπορεί οι εκθέσεις αυτές να προορίζονται αρχικά για τις αρμόδιες εθνικές αρχές αλλά ο ρόλος του οργανισμού της ΕΕ για την ασφάλεια στον κυβερνοχώρο (ENISA) ενισχύεται
- τη θέση σε εφαρμογή των νέων κανόνων τρία έτη μετά την έναρξη ισχύος του νόμου, γεγονός που θα δώσει στους κατασκευαστές επαρκή χρόνο για να προσαρμοστούν στις νέες απαιτήσεις
- την επίτευξη συμφωνίας για πρόσθετα μέτρα στήριξης για μικρές και πολύ μικρές επιχειρήσεις, συμπεριλαμβανομένων ειδικών δραστηριοτήτων ευαισθητοποίησης και κατάρτισης, καθώς και στήριξης των διαδικασιών δοκιμών και αξιολόγησης της συμμόρφωσης.
Επόμενα βήματα
Μετά τη σημερινή προσωρινή συμφωνία, οι εργασίες θα συνεχιστούν κατά τις προσεχείς εβδομάδες σε τεχνικό επίπεδο προκειμένου να οριστικοποιηθούν οι λεπτομέρειες του νέου κανονισμού. Η ισπανική Προεδρία θα υποβάλει το συμβιβαστικό κείμενο στους αντιπροσώπους των κρατών μελών (ΕΜΑ) προς έγκριση μόλις ολοκληρωθούν οι εργασίες αυτές.
Το κείμενο της συμφωνίας θα πρέπει να επιβεβαιωθεί στο σύνολό του από τα δύο θεσμικά όργανα και να ελεγχθεί από τους γλωσσομαθείς νομικούς προτού εκδοθεί και τυπικά από τους συννομοθέτες.
Γενικές πληροφορίες
Το Συμβούλιο, στα συμπεράσματά του, της 2ας Δεκεμβρίου 2020, σχετικά με την κυβερνοασφάλεια των συνδεδεμένων συσκευών, υπογράμμισε ότι είναι σημαντικό να εξεταστεί η ανάγκη θέσπισης οριζόντιας νομοθετικής πράξης σε μακροπρόθεσμο επίπεδο, με την οποία θα ορίζονται επίσης οι αναγκαίοι όροι διάθεσης στην αγορά, για την κάλυψη όλων των συναφών πτυχών της κυβερνοασφάλειας των συνδεδεμένων συσκευών, όπως η διαθεσιμότητα, η ακεραιότητα και η εμπιστευτικότητα.
Έχοντας ανακοινωθεί για πρώτη φορά από την Πρόεδρο της Επιτροπής κα von der Leyen στην ομιλία της για την κατάσταση της Ένωσης τον Σεπτέμβριο του 2021, η πράξη για την κυβερνοανθεκτικότητα μνημονεύθηκε στα συμπεράσματα του Συμβουλίου, της 23ης Μαΐου 2022, σχετικά με τη διαμόρφωση της στάσης της Ευρωπαϊκής Ένωσης στον κυβερνοχώρο, βάσει των οποίων η Επιτροπή κλήθηκε να υποβάλει την πρότασή της έως το τέλος του 2022.
Στις 15 Σεπτεμβρίου 2022 η Επιτροπή υπέβαλε την πρόταση για μια πράξη για την κυβερνοανθεκτικότητα, η οποία θα συμπληρώσει το υπάρχον πλαίσιο κυβερνοασφάλειας της ΕΕ: την οδηγία για την ασφάλεια συστημάτων δικτύου και πληροφοριών (οδηγία NIS), την οδηγία σχετικά με μέτρα για υψηλό κοινό επίπεδο κυβερνοασφάλειας σε ολόκληρη την Ένωση (οδηγία NIS 2) και την πράξη της ΕΕ για την κυβερνοασφάλεια.
