GazdaságSzerző: vg 2026. 08. 19. 4 percnyi olvasás
Egyre sürgetőbb a védelem.
Az, hogy mi érdemel külön uniós védelmet a kibertámadásokkal szemben, egyre zavarosabb kérdéssé válik mind a bürokraták, mind a vállalkozások számára. A technológiai és kiberbiztonsági ügyvédek azt mondják, hogy ezek a meglehetősen szokatlan ágazatok jó úton haladnak afelé, hogy kritikus infrastruktúraként sorolják be őket egy olyan uniós kiberbiztonsági jogszabály alapján, amelynek célja többek között az olyan kibercélpontok védelme, mint az erőművek, a vízellátó létesítmények és az energiahálózatok – írja a Politico.
Ez a legújabb akadály az Európai Unió NIS2 irányelvének végrehajtásában. Az irányelvet eredetileg 2022-ben fogadták el, de az uniós országok még mindig dolgoznak a nemzeti jogba való átültetésén. A kritikus infrastruktúrák védelmére fordítandó erőforrások megfelelő irányításának kérdése minden eddiginél sürgetőbb, mivel Európa példátlan mennyiségű kibertámadással néz szembe, amelyeket a mesterséges intelligencia felerősít, és egyre inkább a hibrid agresszió különböző formáihoz kapcsolódnak.
A kormányoknak 2024 végéig kellett volna elfogadniuk a saját jogszabályaikat, de a késedelmek miatt számos vállalat és tanácsadóik csak most jutnak el a megfelelés gyakorlati részleteinek kidolgozásához. A legkritikusabb ágazatokban működő szervezetektől most azt kérik, hogy regisztrálják magukat a nemzeti kiberbiztonsági hatóságoknál. Ehhez azonban pontosan tudniuk kell, hogy kire vonatkozik a jogszabály.
Ez nehéz feladatnak bizonyult. Jogászok és jogalkotók a rágógumi-nagykereskedőket is felhozták példaként annak érzékeltetésére, milyen zavaros és összetett lehet annak meghatározása, hogy pontosan kik tartoznak a szabályozás hatálya alá.
Ezek a bizarrnak tűnő esetek valójában egy nagyon is valós problémát jelképeznek, amellyel a vállalatoknak és jogi tanácsadóiknak meg kell birkózniuk – ráadásul egy olyan időszakban, amikor az EU éppen igyekszik csökkenteni az adminisztratív terheket.
Mindez egyben újabb példája annak is, milyen nehézségekkel küzd az EU a NIS2 bevezetése során. A két meghatározó tagállam, Franciaország és Spanyolország még nem fogadta el a megfelelő nemzeti kiberbiztonsági jogszabályokat, Németországban pedig feltűnően lassan halad a vállalatok regisztrációja.
Az Európai Bizottság egy névtelenül nyilatkozó tisztviselője hangsúlyozta, hogy a jogszabály több olyan mechanizmust is tartalmaz, amelyek biztosítják a méltányosságot.
Íme, néhány ágazat, amely – a jogszabály szó szerinti értelmezése alapján – kritikus infrastruktúrának minősülhet.
A NIS2 irányelv hatálya kiterjed az élelmiszerek előállítására, feldolgozására és forgalmazására. Ez önmagában teljesen ésszerű, hiszen egy olyan kibertámadás, amely megbénítja az általunk fogyasztott élelmiszerek ellátási láncát, az egész lakosságot veszélyeztetheti.
Ennek a szabálynak azonban váratlan következményei is vannak. Markéta Gregorová cseh európai parlamenti képviselő, aki egy különálló, a NIS2 egyszerűsítését célzó kiberbiztonsági csomag kidolgozását vezeti, nyilvánosan is megkérdőjelezte, hogy az irányelvet megfelelően alkalmazzák-e.
Egy közelmúltbeli konferencián rámutatott, hogy a kellően nagy fagylaltgyártók is a jogszabály hatálya alá kerülhetnek. „Egy válsághelyzetben valószínűleg nem lenne rájuk szükség”
– mondta.
Az élelmiszeripar különösen nehéz területnek bizonyul a szabályozás szempontjából. Andreas Daum, a Noerr ügyvédi iroda partnere szerint egy bizonyos méret felett a rágógumi-nagykereskedők is a hatály alá eshetnek. Egy német szakmai szövetség pedig már megnyugtatta tagjait, hogy a kézműves pékségek nem tartoznak a jogszabály hatálya alá.
Amikor a következő ünnepi szezonban felrakják a karácsonyi díszkivilágítást, erre is érdemes gondolni: a karácsonyi fények gyártója NIS2-hatály alá tartozó ágazatban működhet, és így ugyanabba az általános kategóriába kerülhet, mint például a postai szolgáltatások vagy a vegyipari gyártás.
Ennek oka, hogy a NIS2 irányelvben hivatkozott gazdasági tevékenységi osztályozásban szerepel a „karácsonyfákhoz használt világítási készletek gyártása” – mondta Jurriaan Jansen, a Norton Rose amszterdami irodájának partnere.
Bár a jogszabály szövege szerint a karácsonyi fények gyártása „fontos” ágazatnak számít, Hollandiában nem éri el az „alapvető” vagy „lényeges” kategória küszöbét a nemzeti NIS2-szabályozás szerint. Ennek oka, hogy az ágazat működésének zavara nem jelentene közbiztonsági vagy rendszerszintű kockázatot.
„Ez meglehetősen szokatlan eredmény lenne ennél az ágazatnál” – mondta Jansen.
A szakértők arra is felhívták a figyelmet, hogy egyes szervezetek akár úgy is kritikus infrastruktúra-üzemeltetővé válhatnak, hogy egyébként teljesen más tevékenységet végeznek.
Egy belga európai parlamenti képviselő tavaly azt mondta, hogy a nagyobb, napelemekkel felszerelt iskolák „formálisan villamosenergia-termelőként vannak besorolva”, ezért a jogszabály hatálya alá kerülhetnek. Ez „jelentős költségeket ró azokra az intézményekre, amelyek gyakran nem rendelkeznek saját kiberbiztonsági szakértelemmel”.
A Bizottság a képviselő megkeresésére adott válaszában nem tagadta, hogy az iskolákat érintheti a szabályozás, ugyanakkor azt közölte, hogy a digitális omnibuszcsomag, valamint az EU kiberbiztonsági jogszabályának felülvizsgálata segíteni fog a szabályok egyszerűsítésében.
Hasonlóképpen, Németországban azok a lakáskiadók, amelyek nagyszámú lakást adnak bérbe, és a bérlők számára kábel- vagy internetkapcsolatot biztosítanak, majd annak költségét a szolgáltatási díjak részeként továbbhárítják, bizonyos körülmények között távközlési szolgáltatónak minősülhetnek egy 2021-es bírósági döntést követően.
„Lehetséges, de ez attól függ, hogyan van kialakítva a bérleti konstrukció” – mondta Daum a Noerr ügyvédi irodától.
Hogy ez egyben azt is jelenti-e, hogy az érintett lakáskiadókra az új kiberbiztonsági szabályok is vonatkoznak, azt még nem tesztelték a gyakorlatban: „Nincs erre vonatkozó ítélkezési gyakorlat, és egyik érintett hatóságtól sincs iránymutatás” – mondta.
Napi