TM_S2_34

2 14|10|2026 ΣΕΙΡΑ 2 #34 Νέες απαιτήσεις για την πιστοποίηση, αυστηρότερος έλεγχος της εφοδιαστικής αλυσίδας προϊόντων τεχνολογίας και πιθανό κόστος δισεκατομμυρίων ευρώ φέρνει η πρόταση για το CSA2. Μελέτη του Πανεπιστημίου Πειραιώς κ αι του Ελληνικού Ιν- στιτούτου Κυβερνοασφάλειας αναλύει τι μπορεί να σημαί- νουν οι αλλαγές για κράτη-μέλη, παρό- χους τηλεπικοινωνιών, επιχειρήσεις και καταναλωτές. Η ευρωπαϊκή κυβερνοασφάλεια ει- σέρχεται σε μια νέα φάση. Η πρότα- ση της Ευρωπαϊκής Επιτροπής για το Cybersecurity Act 2.0 (CSA2), που πα- ρουσιάστηκε στις αρχές του 2026, επι- χειρεί να αναμορφώσει το υφιστάμενο πλαίσιο και να αντιμετωπίσει όχι μόνο τις τεχνικές απειλές, αλλά και έναν πα- ράγοντα που αποκτά όλο και μεγαλύτε- ρη βαρύτητα: την ασφάλεια της τεχνο- λογικής εφοδιαστικής αλυσίδας. Το ζήτημα εξετάζει νέα μελέτη του Πανεπιστημίου Πειραιώς, και ειδικότε- ρα του μεταπτυχιακού προγράμματος «Κυβερνοασφάλεια και Τεχνολογί- ες Τεχνητής Νοημοσύνης» , υπό την επιστημονική ευθύνη του καθηγητή Χρήστου Ξενάκη, σε συνεργασία με το Ελληνικό Ινστιτούτο Κυβερνοασφάλειας. Η μελέτη εστιάζει τόσο στις θεσμικές αλλαγές, όσο και στις πιθανές οικονομικές και επιχειρησιακές συνέπειες. Και αυτές μπορεί να είναι σημαντικές: από τον τρόπο με τον οποίο θα πιστοποιούνται προϊόντα και υπηρεσίες έως το ποιοι προμη- θευτές θα μπορούν να επιλέγονται για παροχή εξοπλισμού σε κρίσιμες υποδομές και ποιος θα επωμιστεί το κόστος εάν απαι- τηθεί αντικατάσταση υφιστάμενου εξοπλισμού. Από την κυβερνοασφάλεια στην ασφάλεια της εφοδιαστικής αλυσίδας Μία από τις σημαντικότερες διαφοροποιήσεις του υπό δια- μόρφωση CSA2 είναι ότι η αξιολόγηση του κινδύνου δεν περι- ορίζεται πλέον αποκλειστικά στις τεχνικές ιδιαιτερότητες ενός προϊόντος. To προτεινόμενο CSA2 εισάγει μια ευρύτερη προ- σέγγιση, στην οποία μπορούν να εξετάζονται στοιχεία όπως η χώρα εγκατάστασης ενός προμηθευτή, η ιδιοκτησιακή του δομή, ο έλεγχος της εταιρείας, το νομικό περιβάλλον στο οποίο λειτουργεί και η πιθανότητα εξωτερικής παρέμβασης. Αυτό σημαίνει ότι ένα προϊόν θα μπορούσε να είναι τεχνικά άρτιο και ασφαλές, αλλά ο προμηθευτής του να αξιολογηθεί ως υψη- λού κινδύνου βάσει μη τεχνικών κριτηρίων. Η πρόταση δεν προβλέπει μια οριζόντια απαγόρευση όλων των προϊόντων συγκεκριμένης χώρας. Δημιουργεί, όμως, το πλαίσιο ώστε να επιβάλλονται περιορισμοί σε προμηθευτές οι οποίοι χαρακτηρίζονται υψηλού κινδύνου και σε τεχνολογικό εξοπλισμό που θεωρείται κρίσιμος. Στις τηλεπικοινωνίες, για παράδειγμα, προβλέπεται ενδεχό- μενο σταδιακής απόσυρσης εξοπλισμού από βασικά στοιχεία κινητών, σταθερών και δορυφορικών δικτύων. Για τα κινητά δίκτυα, η πρόταση προβλέπει χρονικό διάστημα έως 36 μηνών από τη δημοσίευση του σχετικού καταλόγου προμηθευτών υψηλού κινδύνου. Όπως επισημαίνει ο Χρήστος Ξενάκης , Καθηγητής Κυβερ- νοασφάλειας στο Πανεπιστήμιο Πειραιώς, το κρίσιμο θέμα δεν είναι εάν η Ευρώπη χρειάζεται ισχυρότερη προστασία των τεχνολογικών αλυσίδων εφοδιασμού, αλλά με ποιον τρόπο αυτή θα επιτευχθεί: «Η ενίσχυση της ασφάλειας της εφοδιαστικής αλυσίδας αποτελεί αναγκαίο βήμα για την ευρωπαϊκή κυβερνοασφάλεια. Ωστόσο, οι σχετικές αποφά- σεις πρέπει να βασίζονται σε σαφή και τεκμηριωμένα κρι- τήρια κινδύνου και να λαμβάνουν υπόψη τις πραγματικές τεχνολογικές εναλλακτικές, το κόστος μετάβασης και τις ιδι- αιτερότητες κάθε κράτους-μέλους. Η κυβερνοασφάλεια δεν μπορεί να εξετάζεται αποκομμένα από την τεχνολογική και οικονομική βιωσιμότητα των υποδομών». Ένα ακόμη ζήτημα που αναδεικνύει η μελέτη αφορά στην ισορροπία μεταξύ κοινών ευρωπαϊκών αποφάσεων και εθνικής ευελιξίας. Η Ευρωπαϊκή Επι- τροπή διεκδικεί κεντρικό ρόλο στον προσδιορισμό χωρών που εγείρουν ανησυχίες κυβερνοασφάλειας, κρίσι- μων τεχνολογικών συστημάτων και των σχετικών περιορισμών. Τα κράτη-μέλη εξακολουθούν μεν να έχουν αρμοδιότητες εποπτείας και εφαρμογής, ωστόσο σε περίπτωση που επιβληθούν δεσμευτικοί ευρωπαϊκοί περιορισμοί, περιορίζεται ταυτόχρο- να και η εθνική κυριαρχία, σε θέματα επιλογής προμηθευτών. Η αξιολόγηση και η πιστοποίηση των προϊόντων είναι δέον να γίνεται με αυστηρά και μετρή- σιμα τεχνολογικά κριτήρια, βάσει του εθνικού συμφέροντος κάθε κράτους χωρίς να υπεισέρχονται ασαφείς παράγοντες, όπως οι λεγόμενες χώρες και προμηθευτές υψηλού κινδύνου, οι οποίοι συνήθως καθορίζονται από γεωπολιτικές ισορροπίες. Διαφορετικά πώς θα μπορεί να διασφαλίσει το CSA2 την αντα- γωνιστικότητα και τη διαφάνεια στην εφοδιαστική αλυσίδα προϊόντων και υπηρεσιών, μιας και είναι γνωστό ότι δεν συ- μπλέουν πάντα τα συμφέροντα όλων των κρατών-μελών. Νέο τοπίο και στην πιστοποίηση Το CSA2 επιχειρεί παράλληλα να ενισχύσει και να απλοποιήσει το ευρωπαϊκό πλαίσιο πιστοποίησης στην κυβερνοασφάλεια. Ο ENISA αποκτά ισχυρότερο τεχνικό ρόλο στην ανάπτυξη και επικαιροποίηση ευρωπαϊκών σχημάτων πιστοποίησης, ενώ η Ευρωπαϊκή Επιτροπή θα εγκρίνει τα σχετικά σχήματα πιστο- ποίησης μέσω εκτελεστικών πράξεων. Η πιστοποίηση παραμένει καταρχήν εθελοντική, εκτός εάν άλλη ευρωπαϊκή ή εθνική νομοθεσία την καταστίσει υποχρε- ωτική. Οι απαιτήσεις θα διαφοροποιούνται ανάλογα με την κα- τηγορία προϊόντος ή υπηρεσίας και το επιδιωκόμενο επίπεδο ασφάλειας. Σημαντική είναι και η σύνδεση με τον Cyber Resilience Act (CRA). Μια ευρωπαϊκή πιστοποίηση μπορεί, υπό προϋποθέ- σεις, να αξιοποιείται ως στοιχείο απόδειξης συμμόρφωσης με απαιτήσεις άλλων ευρωπαϊκών κανονισμών. Ωστόσο, δεν σημαίνει αυτομάτως πλήρη συμμόρφωση με το σύνολο των υποχρεώσεών τους. Για τις επιχειρήσεις, το CSA2 μεταφράζεται σε μια ανάγκη που ξεπερνά τη συμβατική συμμόρφωση: να γνωρίζουν με ακρί- βεια από ποιες τεχνολογίες και με ποιους προμηθευτές είναι συνδεδεμένοι. Η Στέλλα Τσιτσούλα , Πρόεδρος του Ελληνικού Ινστιτούτου Κυβερνοασφάλειας, υπογραμμίζει ότι η προετοιμασία μπορεί να ξεκινήσει πριν ακόμη οριστικοποιηθεί το νέο θεσμικό πλαί- σιο: «Οι επιχειρήσεις δεν χρειάζεται να περιμένουν το τελικό κείμενο του CSA2 για να ξεκινήσουν την προετοιμασία τους. Η καταγραφή του εξοπλισμού και των προμηθευτών τους είναι σκόπιμο να προηγηθούν. Η αποτύπωση αυτή, με βάση καθα- ρά τεχνικά κριτήρια αξιολόγησης, μπορεί να πιστοποιήσει ότι Cybersecurity Act 2.0 Η Ευρώπη επανασχεδιάζει τους κανόνες της κυβερνοασφάλειας