Οι προωθούμενες αλλαγές στην κυβερνοασφάλεια στο πλαίσιο του CSA2 ήδη προκαλούν αντιδράσεις από κράτη-μέλη της Ευρωπαϊκής Ενωσης, επιβεβαιώνοντας ότι το νέο πλαίσιο δεν θα αφορά μόνο τεχνικά αλλά ευρύτερα, ιδιαίτερα κρίσιμα ζητήματα.
Το CSA2 ανοίγει ζητήματα εξουσίας, αφού, εάν οι αλλαγές υιοθετηθούν ως έχουν, θα φέρουν στην επιφάνεια μια σειρά κομβικών ερωτημάτων για τον ρόλο και τον λόγο των χωρών της Ε.Ε.: Ποιος θα αποφασίζει εφεξής για τα θέματα κυβερνοασφάλειας; Η Κομισιόν ή τα κράτη-μέλη; Με ποια κριτήρια θα χαρακτηρίζεται μια χώρα «υψηλού κινδύνου»;
Η Ολλανδία ήδη έχει θέσει μια σειρά ζητημάτων στο πλαίσιο των προωθούμενων αλλαγών, εκφράζοντας την ανησυχία της για το «τι μέλλει γενέσθαι». Η χώρα της τουλίπας δεν απορρίπτει την ανάγκη για ισχυρότερη κυβερνοασφάλεια, αλλά ζητεί οι αποφάσεις να είναι τεχνικά τεκμηριωμένες, αναλογικές, νόμιμες και μη διακριτικές. Με βάση τις θέσεις που έχει κάνει γνωστές, η Ολλανδία θέλει η πιστοποίηση να παραμείνει τεχνική διαδικασία και όχι να μετατραπεί σε έναν μηχανισμό γεωπολιτικού αποκλεισμού.
Τι σημαίνει αυτό; Στο επίκεντρο βρίσκονται δύο όροι: η HRC και ο HRS. Ως «High Risk Country» (χώρα υψηλού κινδύνου) θα μπορεί να χαρακτηριστεί μια τρίτη χώρα επειδή θα μπορεί να θεωρηθεί ότι προκαλεί κινδύνους για τις ευρωπαϊκές αλυσίδες προμήθειας τεχνολογικού εξοπλισμού. Ο χαρακτηρισμός θα δύναται να αποδίδεται όχι απαραίτητα επειδή θα υπάρχει αποδεδειγμένο τεχνικό πρόβλημα σε ένα προϊόν, αλλά επειδή στο «μικροσκόπιο» θα μπαίνει το νομικό, πολιτικό ή θεσμικό της περιβάλλον.
Ο δεύτερος κρίσιμος όρος είναι το HRS, δηλαδή ο «High Risk Supplier» (ο προμηθευτής υψηλού κινδύνου). Ως HRS θα μπορεί να χαρακτηριστεί μια εταιρία τεχνολογικού εξοπλισμού ή υπηρεσιών λόγω προέλευσης, σχέσης με τρίτη χώρα ή πιθανής κρατικής επιρροής. Η Ολλανδία μοιάζει αρνητική σε αυτά τα κριτήρια, αφού θεωρεί ότι οι κίνδυνοι διαφέρουν ανά προϊόν, υπηρεσία και χρήση. Γι’ αυτό ζητεί εθνική και ουδέτερη αξιολόγηση. Με άλλα λόγια η Ολλανδία λέει «όχι» στον ενδεχόμενο γενικό αποκλεισμό από τις Βρυξέλλες για μια ολόκληρη χώρα ή για έναν προμηθευτή χωρίς συγκεκριμένη τεκμηρίωση.
Σε ανάλογη γραμμή κινείται και η Φινλανδία. Η κυβέρνησή της αναγνωρίζει τον ρόλο του Ευρωπαϊκού Οργανισμού Κυβερνοασφάλειας (ENISA) αλλά σε συμπληρωματικό επίπεδο και όχι ως υποκατάστατο των εθνικών Αρχών. Η βασική ευθύνη για το επίπεδο κυβερνοασφάλειας θεωρεί ότι πρέπει να παραμείνει στα κράτη-μέλη της Ε.Ε. και στις αρμόδιες εθνικές Αρχές. Επίσης, η Φινλανδία ζητεί οι πιστοποιήσεις να παραμείνουν κατά βάση εθελοντικές, τα μέτρα να είναι προβλέψιμα, ελεγχόμενα και βασισμένα σε αξιολόγηση επιπτώσεων, ενώ οι εξουσίες που θα δοθούν στην Κομισιόν να είναι περιορισμένες, αναλογικές και δικαιολογημένες.
Το συμπέρασμα, λοιπόν, από τη συζήτηση που βρίσκεται σε εξέλιξη σε ευρωπαϊκό επίπεδο είναι καθαρό: Οι διαπραγματεύσεις δεν θέτουν θέμα εάν τα κράτη-μέλη της Ε.Ε. είναι «υπέρ ή κατά» της κυβερνοασφάλειας. Είναι για το «ποιος θα κρατά το τιμόνι», με αρκετά κράτη-μέλη να ζητούν ασφάλεια με τεκμηρίωση, εθνική ευελιξία και αναλογικότητα από τη μία πλευρά και την Κομισιόν να ζητεί κεντρικότερο ρόλο από την άλλη.
