Β. Ζωγράφος στο “Π”: Η μεγαλύτερη δοκιμασία του ελληνικού ψηφιακού κράτους το CSA2
Του
ΒΑΣΙΛΗ ΖΩΓΡΑΦΟΥ
Διευθύνοντος Συμβούλου της Vision Labs R&D Team,
Υποψήφιου Διδάκτορος Επιστήμης Πληροφορικής και Δεδομένων,
BSc (Hons).CS, MBA.IB, MSc.DS, PhD.C.
[email protected]
Τα τελευταία χρόνια, η Ελλάδα προβάλλει την πρόοδο που έχει επιτύχει στον ψηφιακό μετασχηματισμό της δημόσιας διοίκησης. Το Gov.gr, η ηλεκτρονική συνταγογράφηση, οι ψηφιακές εξουσιοδοτήσεις, οι ηλεκτρονικές υπεύθυνες δηλώσεις και δεκάδες ακόμη υπηρεσίες άλλαξαν ουσιαστικά την καθημερινότητα πολιτών και επιχειρήσεων. Η εικόνα ενός κράτους που εγκαταλείπει τη γραφειοκρατία και υιοθετεί ψηφιακές διαδικασίες αποτελεί αναμφίβολα σημαντική κατάκτηση.
Tο CSA2, η υπό διαμόρφωση αναθεώρηση του ευρωπαϊκού πλαισίου κυβερνοασφάλειας, μεταφέρει τη συζήτηση σε εντελώς διαφορετικό επίπεδο. Δεν αξιολογεί την ευκολία έκδοσης πιστοποιητικού ή ολοκλήρωσης διοικητικής πράξης, αλλά το κατά πόσο το κράτος είναι σε θέση να προστατεύσει το σύνολο των κρίσιμων ψηφιακών υποδομών του, να διαχειριστεί τους κινδύνους της αλυσίδας εφοδιασμού, να πιστοποιήσει τεχνολογίες, να επιβλέψει κρίσιμους φορείς και να διατηρήσει την επιχειρησιακή συνέχεια σε ένα περιβάλλον διαρκών κυβερνοαπειλών.
Η Ελλάδα έχει πραγματοποιήσει ουσιαστικά θεσμικά βήματα. Η ίδρυση της Εθνικής Αρχής Κυβερνοασφάλειας, η ενσωμάτωση της οδηγίας NIS2 μέσω του ν. 5160/2024, η Εθνική Στρατηγική Κυβερνοασφάλειας 2026 – 2030 και η δημιουργία ενός ενιαίου πλαισίου εποπτείας αποτελούν σημαντικές εξελίξεις, που ευθυγραμμίζουν τη χώρα με τις ευρωπαϊκές απαιτήσεις.
Η ύπαρξη θεσμικού πλαισίου δεν ταυτίζεται με την επιχειρησιακή ετοιμότητα. Το ψηφιακό κράτος δεν δοκιμάζεται όταν όλα λειτουργούν ομαλά, αλλά σε μια συντονισμένη κυβερνοεπίθεση που θα πλήξει ταυτόχρονα νοσοκομεία, τηλεπικοινωνιακά δίκτυα, ενεργειακές υποδομές, τραπεζικά συστήματα και δημόσιες υπηρεσίες. Η ύπαρξη νόμων και πλαισίου δεν αρκεί, γιατί απαιτούνται ώριμες διαδικασίες, εξειδικευμένο προσωπικό, ανθεκτικές υποδομές και πραγματική επιχειρησιακή ετοιμότητα.
Το σημαντικότερο πρόβλημα της Ελλάδας είναι η εξάρτηση από ένα σύνθετο οικοσύστημα ξένων τεχνολογιών και προμηθευτών. Το μεγαλύτερο μέρος της δημόσιας διοίκησης και των κρίσιμων υποδομών βασίζεται σε διεθνείς πλατφόρμες λογισμικού, εξοπλισμού και υπηρεσιών. Το CSA2 οδηγεί σε αυστηρότερες απαιτήσεις πιστοποίησης ή σε περιορισμούς για προμηθευτές που θα χαρακτηρισθούν υψηλού κινδύνου.
Η προτεινόμενη εφαρμογή του CSA2 εκτιμάται ότι δύναται να επιφέρει δαπανηρές και τεχνολογικά απαιτητικές μεταβάσεις, που έχει αντιμετωπίσει η Ελλάδα στον τομέα των κρίσιμων ψηφιακών υποδομών. Σύμφωνα με σχετικές μελέτες εκτίμησης επιπτώσεων, το συνολικό κόστος προσαρμογής δύναται να ανέλθει έως και στα 4 δισ. ευρώ κατά την περίοδο 2026 – 2030, υπό το σενάριο υποχρεωτικού αποκλεισμού και αντικατάστασης προμηθευτών που θα χαρακτηριστούν ως υψηλού κινδύνου.
Η οικονομική επιβάρυνση δεν περιορίζεται στην αντικατάσταση τηλεπικοινωνιακού εξοπλισμού, αλλά εκτείνεται στον συνολικό ανασχεδιασμό της εθνικής ψηφιακής αρχιτεκτονικής, συμπεριλαμβάνοντας την επαναπιστοποίηση πληροφοριακών συστημάτων, την αναβάθμιση δικτυακών υποδομών, την αναθεώρηση συμβάσεων προμηθειών, την εκπαίδευση εξειδικευμένου προσωπικού, καθώς και την προσαρμογή των οργανισμών που υπάγονται στις απαιτήσεις της οδηγίας NIS2. Το CSA2 δεν συνιστά απλώς μία νέα κανονιστική παρέμβαση στον τομέα της κυβερνοασφάλειας, αλλά μια εκτεταμένη θεσμική, τεχνολογική και οικονομική αναδιάρθρωση, που οι επιπτώσεις της αναμένεται να επηρεάσουν το σύνολο του ελληνικού ψηφιακού οικοσυστήματος, από τις δημόσιες υποδομές και τις κρίσιμες υπηρεσίες έως την ανταγωνιστικότητα της εθνικής οικονομίας.
Το οικοσύστημα περιλαμβάνει την ΑΑΔΕ, τον ΕΦΚΑ, την ΗΔΙΚΑ, τα νοσοκομεία, τα δίκτυα ηλεκτρικής ενέργειας, τις υποδομές φυσικού αερίου, τις τηλεπικοινωνίες, τις τράπεζες, τα αεροδρόμια, τα λιμάνια και δεκάδες ακόμη οργανισμούς που θεωρούνται κρίσιμες οντότητες, σύμφωνα με το νέο ευρωπαϊκό πλαίσιο. Η προστασία τους απαιτεί συνεχή αξιολόγηση κινδύνων, ασφαλή διαχείριση της εφοδιαστικής αλυσίδας και υψηλό επίπεδο διαλειτουργικότητας μεταξύ δημόσιου και ιδιωτικού τομέα.
Η κυβερνοασφάλεια δεν αγοράζεται αποκλειστικά μέσω συμβάσεων προμηθειών. Χρειάζεται αναλυτές ασφαλείας, ειδικούς διαχείρισης περιστατικών, μηχανικούς βιομηχανικών συστημάτων, ειδικούς πληροφοριών απειλών και στελέχη με βαθιά επιχειρησιακή εμπειρία. Η Εθνική Στρατηγική Κυβερνοασφάλειας αναγνωρίζει ως κεντρική προτεραιότητα την ανάπτυξη δεξιοτήτων και την ενίσχυση του ανθρώπινου κεφαλαίου, γεγονός που καταδεικνύει ότι το ζήτημα παραμένει ανοικτό.
Σημαντικό μέρος της δημόσιας διοίκησης εξακολουθεί να λειτουργεί με πληροφοριακά συστήματα προηγούμενων δεκαετιών. Τα λεγόμενα «legacy συστήματα» δημιουργήθηκαν σε εποχές όπου η κυβερνοασφάλεια δεν αποτελούσε βασική σχεδιαστική απαίτηση. Το CSA2 στηρίζεται στη φιλοσοφία της ασφάλειας ήδη από τον σχεδιασμό και καθ’ όλη τη διάρκεια ζωής των τεχνολογικών προϊόντων. Η μετάβαση από την αποσπασματική προστασία σε μια αρχιτεκτονική security by design προϋποθέτει επενδύσεις, τεχνική αναδιοργάνωση και συνεχή αναβάθμιση υποδομών.
Σήμερα, η επιτυχία ποσοτικοποιείται με τον αριθμό των ηλεκτρονικών υπηρεσιών και τη μείωση της γραφειοκρατίας. Το CSA2 αλλάζει ριζικά αυτό το κριτήριο. Το σύγχρονο ψηφιακό κράτος δεν κρίνεται από το πόσο γρήγορα εκδίδει ένα πιστοποιητικό, αλλά από την ικανότητα διατήρησης της λειτουργίας της χώρας όταν δεχθεί μια συντονισμένη κυβερνοεπίθεση. Η έννοια της ψηφιακής διακυβέρνησης μετασχηματίζεται σε έννοια ψηφιακής ανθεκτικότητας.
Η σημαντικότερη αδυναμία του ψηφιακού κράτους αφορά τη δυνατότητα ουσιαστικής συμμετοχής στη διαμόρφωση αποφάσεων. Διαχρονικά, η Ελλάδα εμφανίζεται να λειτουργεί περισσότερο ως αποδέκτης, παρά ως συνδιαμορφωτής τους. Κράτη με ισχυρή τεχνολογική βάση συμμετέχουν ενεργά στη διαμόρφωση των τεχνικών προτύπων, των σχημάτων πιστοποίησης και των απαιτήσεων κυβερνοασφάλειας. Η ελληνική παρουσία σπανίως πρωταγωνιστεί στον ευρωπαϊκό διάλογο με ολοκληρωμένες εθνικές προτάσεις ή με συστηματική τεχνική τεκμηρίωση, δημιουργώντας ένα διαχρονικό στρατηγικό έλλειμμα.
Το σύγχρονο ψηφιακό κράτος αξιολογείται στην ικανότητά του να προβλέπει τις τεχνολογικές εξελίξεις, να επενδύει στην παραγωγή τεχνογνωσίας, να συμμετέχει ενεργά στις ευρωπαϊκές ομάδες εργασίας και να διαμορφώνει πολιτικές που αντανακλούν τις εθνικές του ανάγκες. Η Ελλάδα παραμένει κυρίως στη θέση του εφαρμοστή και όχι του διαμορφωτή πολιτικής, συνεχίζοντας την αντιμετώπιση του ψηφιακού μετασχηματισμού ως μια διαδοχή υποχρεωτικών προσαρμογών, αντί ως πεδίο στρατηγικής επιρροής και τεχνολογικής πρωτοβουλίας. Η συζήτηση γύρω από το CSA2 δεν αναδεικνύει το ζήτημα της κυβερνοασφάλειας, αλλά το ευρύτερο ερώτημα για το κατά πόσο η Ελλάδα επιθυμεί να είναι ένας ενεργός αρχιτέκτονας της ευρωπαϊκής ψηφιακής πολιτικής ή ένας μόνιμος διαχειριστής αποφάσεων που λαμβάνονται από άλλους.
