Osam zemalja EU-a još uvijek nije usvojilo pravila o kibernetičkoj sigurnosti

Kibernetička sigurnost je ozbiljna stvar i sukladno tome je toj temi pristupila Europska unija (EU), no isto tako već je uobičajeno da Bruxelles s vremena na vrijeme šalje upozorenja pojedinim zemljama članicama koje zbog birokratske inertnosti ili eventualno nekih političkih motiva zavlače ili su spore u prenošenju europskih pravila u nacionalno zakonodavstvo.

Tako na području kibernetičke sigurnosti još uvijek Bugarska, Francuska, Irska, Luksemburg, Nizozemska, Portugal, Španjolska i Švedska nisu usvojili pravila iz tog područja za kritične sektore i mogli bi se suočiti s postupkom kojega pokreće Bruxelles kada pojedine zemlje ne usvoje europske zakonske propise u zadanom roku.

Takozvana direktiva NIS2, koja je na europskoj razini prihvaćena još 2022. godine, ima za cilj osigurati zaštitu od većih kibernetičkih incidenata za ključne sektore kakvi su energetika, transport, bankarstvo te digitalna i vodna infrastruktura. Zemlje članice su trebale pravila prenijeti u nacionalno zakonodavstvo do 17. listopada prošle godine.

Europska komisija je u svibnju poslala upozorenja u 19 zemalja zbog nepoštivanja tog roka i dala im dva mjeseca da isprave propušteno kako ne bi njihov slučaj bio poslan na pravorijek Europskog suda pravde.

U međuvremenu se 11 zemalja pokrenulo i napravilo što je bilo potrebno, no spomenutih osam sada može završiti na sudu.

Hrvatska je, kako pokazuju podaci Europske komisije, u ovome slučaju bila poprilično učinkovita premda malo probivši rok. Naime, najprije je u veljači prošle godine stupio na snagu Zakon o kibernetičkoj sigurnosti, a onda je u studenome prošle godine isto tako u Narodnim novinama objavljena Uredna o kibernetičkoj sigurnosti.

Hrvatska je, dakle, donijela dva zakonska akta vezana za tu temu, dok je u nekim zemljama broj propisa koji se donosio ili prilagođavao bio puno veći. Tako ih je u Češkoj bilo 72, u Estoniji 27, Mađarskoj 24, a u Litvi 22. U Njemačkoj ih je, recimo, bilo 15.

Glasnogovornik Europske komisije, kako prenosi Euronews, samo je kratko prokomentirao kako Bruxelles kontinuirano nadzire provođenje propisa, a nastavak postupka protiv neke zemlje ovisi o procjeni je li njihov odgovor ili objašnjenje vezano za pojedini proces zadovoljavajuće ili ne.

Direktiva NIS2 od tvrtki traži da u slučaju kibernetičkog incidenta objave upozorenje u roku od 24 sata te da podastru izvješće o incidentu u roku od 72 sata u slučajevima kada je takav incident izazvao ozbiljne operativne poremećaje. Ako ne postupe u skladu s time suočavaju se s kaznom koja može iznositi do 10 milijuna eura ili dva posto globalnih prihoda, ovisno o tome koji je iznos veći.

U prosincu ove godine Europska komisija planira objaviti takozvani omnibus paket kojim kani pojednostaviti obveze izvješćivanja za tvrtke, a posebice mala i srednja poduzeća, u postojećem zakonodavnom okviru vezanom za digitalizaciju.