Autor: Mayelinne De Lara, editoare Diplomat Magazine
Măsurile de securitate cibernetică și cele de securitate geopolitică nu trebuie să submineze certitudinea în materie de reglementare, standardele tehnice și încrederea investitorilor. Când geopolitica pătrunde în normele tehnice, Europa are nevoie de securitate și trebuie să își păstreze certitudinea și avantajul conferit de standarde.
Tensiunile geopolitice reconfigurează tot mai mult comerțul mondial, tehnologia și cooperarea industrială. Pentru Uniunea Europeană, dependențele tot mai mari din lanțurile de aprovizionare, ingerințele externe și amenințările cibernetice au transformat securitatea infrastructurii critice într-o prioritate strategică. Prin urmare, Europa are motive legitime să își consolideze capacitatea de a identifica și de a aborda riscuri care depășesc securitatea tehnică a produselor și sistemelor individuale.
Provocarea este însă ca măsurile de securitate mai ferme să nu afecteze certitudinea în materie de reglementare pe care se sprijină piața unică. În ultimii ani, statele membre au adoptat abordări diferite față de riscurile netehnice din lanțurile de aprovizionare și față de furnizorii cu grad ridicat de risc, creând pericolul fragmentării. Revizuirea Regulamentului privind securitatea cibernetică propusă de Comisia Europeană în ianuarie 2026 — CSA 2.0 — urmărește să răspundă acestei probleme printr-un cadru comun al UE pentru lanțuri de aprovizionare cu TIC sigure și de încredere.
Pe lângă consolidarea Agenției Uniunii Europene pentru Securitate Cibernetică (ENISA) și reformarea Cadrului european de certificare a securității cibernetice, propunerea introduce un „cadru pentru lanțuri de aprovizionare cu TIC sigure și de încredere”, cu caracter obligatoriu. Acesta ar integra în guvernanța securității cibernetice a UE factori precum legislația țărilor terțe, influența externă și structurile de proprietate și control.
Astfel, evaluarea din perspectiva reglementării nu s-ar mai limita la a stabili dacă un produs este sigur din punct de vedere tehnic. Ea ar viza și măsura în care un furnizor este considerat de încredere din perspectivă geopolitică și instituțională.
Această schimbare răspunde unor preocupări reale. Infrastructura critică nu poate fi protejată doar prin remedierea vulnerabilităților software și prin asigurarea performanței produselor. Europa trebuie să ia în considerare și riscurile de ingerință externă, de control exercitat în scopuri răuvoitoare și de dependență sistemică în lanțurile de aprovizionare.
Totuși, politica de securitate trebuie să răspundă la mai mult de o singură întrebare. Ea trebuie să definească riscurile pe care Europa urmărește să le prevină, dar și să le permită întreprinderilor europene să știe dacă tehnologiile pe care le aleg, echipamentele pe care le cumpără și investițiile pe care le fac astăzi vor rămâne legale, utilizabile și valoroase peste zece ani.
Întrebarea esențială nu este, așadar, dacă Europa ar trebui să își consolideze securitatea, ci cum poate face acest lucru păstrând claritatea, previzibilitatea și sistemul bazat pe standarde de care depind investițiile pe termen lung și competitivitatea pieței unice.
-
Cum ar funcționa CSA 2.0?
CSA 2.0 ar institui un mecanism comun al UE pentru evaluarea și atenuarea riscurilor din lanțurile de aprovizionare cu TIC.
Comisia sau un grup de cel puțin trei state membre ar putea declanșa o evaluare coordonată, la nivelul UE, a securității lanțurilor de aprovizionare. Ulterior, Comisia ar putea desemna „țări terțe care suscită preocupări în materie de securitate cibernetică”, ar putea identifica „active TIC esențiale” utilizate în cele 18 sectoare acoperite de NIS2 și ar putea stabili furnizorii cu grad ridicat de risc pe baza unor factori precum locul de stabilire, proprietatea și controlul.
Comisia ar putea apoi să impună entităților vizate măsuri precum audituri, restricții privind transferurile de date și relațiile contractuale, precum și diversificarea furnizorilor. De asemenea, ar putea interzice utilizarea componentelor provenite de la anumiți furnizori în activele TIC esențiale și, în anumite împrejurări, ar putea impune eliminarea treptată a componentelor deja instalate.[1]
Obiectivul este legitim: prevenirea unor răspunsuri naționale fragmentate și construirea unei piețe unice mai reziliente. Însă forma actuală a propunerii ridică o problemă fundamentală:
Propunerea creează un mecanism decizional potențial foarte puternic, fără a oferi întreprinderilor criterii la fel de clare pentru adoptarea deciziilor.
* Cel mai mare risc pentru industrie este imposibilitatea de a evalua financiar viitorul
Propunerea conține criterii pentru concepte precum „active TIC esențiale”, „riscuri semnificative de securitate cibernetică” și „riscuri netehnice grave și structurale”. Totuși, în prezent, aceste criterii nu oferă praguri suficient de detaliate sau măsurabile pentru întreprinderi care operează în sectoare foarte diferite.
Care componente vor fi considerate, în cele din urmă, esențiale? Ce furnizori ar putea fi supuși restricțiilor? Ce nivel de risc va declanșa un audit, o obligație de diversificare, o restricție privind achizițiile sau o interdicție totală? Multe dintre aceste aspecte ar urma să fie stabilite ulterior, prin evaluări ale riscurilor și acte de punere în aplicare.
În consecință, chiar și un produs care respectă standardele tehnice europene și a obținut certificarea de securitate cibernetică ar putea să nu mai fie eligibil pentru utilizare în infrastructura critică. Accesul pe piață ar putea depinde nu doar de caracteristicile tehnice ale produsului, ci și de structura de proprietate a furnizorului, de cadrul juridic din țara sa de origine și de o evaluare geopolitică în continuă schimbare.
Cea mai costisitoare povară de reglementare nu este prețul conformării cu cerințele. Este imposibilitatea de a ști dacă respectarea cerințelor va continua să asigure accesul pe piață.
Infrastructura critică este planificată, de regulă, pe cicluri de investiții de zece sau douăzeci de ani. Dacă întreprinderile nu pot evalua eligibilitatea pe termen lung a furnizorilor, a echipamentelor instalate sau a unor întregi opțiuni de dezvoltare tehnologică, ele vor reacționa înainte de impunerea oricărei restricții oficiale. Pot bloca achizițiile, scurta durata contractelor, reduce cheltuielile de cercetare, reproiecta sistemele sau reloca fabrici, centre de date și programe de cercetare și dezvoltare în jurisdicții care oferă o mai mare previzibilitate a reglementării.
Incertitudinea însăși creează o presiune persistentă legată de perspectiva unor viitoare reglementări. Consiliile de administrație vor evita tehnologiile care ar putea fi restricționate în viitor. Băncile vor include riscul suplimentar în costul finanțării. Asigurătorii își vor reevalua expunerea, iar furnizorii mai mici vor urma deciziile marilor investitori privind amplasarea activităților.
Costul final nu se limitează la înlocuirea echipamentelor. El include active care nu mai pot fi valorificate, fabrici care nu se mai construiesc, centre de cercetare amplasate în alte părți și talentele și ecosistemele de aprovizionare care se mută odată cu acestea.
Capitalul poate absorbi riscul. Nu poate însă evalua financiar o putere discreționară ale cărei limite se schimbă continuu.
Investițiile anuale ale întreprinderilor în UE se ridică la aproximativ 2.400 de miliarde de euro. Un studiu al BCE estimează că un șoc tipic de incertitudine privind politica economică reduce investițiile întreprinderilor din zona euro cu aproximativ 1,2% în punctul de impact maxim, efectul persistând o perioadă. Aceasta nu este o estimare a costului CSA 2.0. Demonstrează însă că și un efect redus al incertitudinii, manifestat în 18 sectoare critice, ar putea pune în pericol investiții de zeci de miliarde de euro.[2]
Datele la nivel mondial arată, de asemenea, cât de rapid reacționează investițiile la semnalele geopolitice. O cercetare a FMI constată că, de la invadarea Ucrainei de către Rusia, numărul proiectelor anunțate de investiții străine directe între blocuri îndepărtate geopolitic a scăzut cu aproximativ 20% în raport cu investițiile din interiorul aceluiași bloc. Pierderile de investiții se produc adesea înainte de adoptarea restricțiilor oficiale, iar odată ce un ecosistem industrial s-a stabilit în altă parte, atragerea lui înapoi este dificilă.[3]
Nici excluderea furnizorilor nu creează automat noi capacități europene. Pe piețe deja caracterizate de un număr limitat de furnizori specializați, excluderea poate concentra și mai mult oferta, poate majora prețurile, reduce inovarea și accentua dependența de furnizorii rămași.
O politică menită să consolideze reziliența poate, dacă reduce opțiunile, concurența și investițiile, să înlăture un risc doar pentru a crea unul mai mare.
-
Standardele reprezintă un fundament al competitivității globale a Europei
Europa concurează la nivel mondial nu doar prin dimensiunea pieței sale unice, ci și prin capacitatea de a transforma excelența tehnică în norme comune.
De-a lungul mai multor decenii, standardele tehnice comune, certificarea și recunoașterea reciprocă au contribuit la construirea pieței unice. Prin organizații precum ISO, IEC, ITU și ETSI, Europa a modelat și dezvoltarea industrială mondială. Pentru întreprinderile europene, participarea timpurie la elaborarea standardelor poate asigura un avans tehnologic, poate facilita accesul pe piață și poate susține ecosisteme industriale întregi.
Standardele ar putea fi cel mai de succes export invizibil al Europei.
Studii citate de Comisia Europeană au estimat contribuția macroeconomică a standardizării la aproximativ 0,8% în Franța și 1% în Germania. Numai în Germania, s-a estimat că standardizarea generează beneficii economice anuale de până la 17 miliarde de euro.[4]
Valoarea standardelor nu poate fi însă măsurată doar prin câștigurile economice directe. Valoarea lor mai profundă constă în așteptarea pe care o creează: riscurilor comparabile ar trebui să li se aplice cerințe comparabile, iar produsele care îndeplinesc aceste cerințe ar trebui să beneficieze de un tratament în mare măsură consecvent pe piață.
Autoritatea unui standard nu se sprijină doar pe puterea celui care stabilește regulile de a impune respectarea lor. Ea se sprijină pe disponibilitatea acestuia de a respecta aceeași regulă.
Dacă produse care respectă standardele europene și obțin certificarea europeană pot fi totuși excluse prin evaluări netehnice ale căror limite nu sunt clar definite, conformitatea tehnică nu va mai oferi o cale previzibilă de acces pe piață.
Odată ce conformitatea și accesul pe piață se decuplează, standardele încetează să mai funcționeze ca un pașaport comun pentru accesul pe piață. Ele riscă să devină simple documente tehnice de referință, a căror aplicare poate fi oricând înlăturată prin decizii politice.
Consecințele ar depăși cu mult sfera furnizorilor individuali. Întreprinderile ar avea mai puține motive să investească în standarde comune și în certificare. Alte regiuni ar accelera dezvoltarea propriilor standarde, sisteme de asigurare a încrederii și ecosisteme de aprovizionare. Piața mondială s-ar putea fragmenta în sisteme tehnice paralele, care dublează activitățile de cercetare, testare și certificare, având totodată mai puțină încredere unele în altele.
Exportatorii europeni s-ar confrunta cu aceeași dublare a procedurilor în străinătate și, eventual, cu restricții reciproce justificate de alte guverne prin considerente geopolitice și de securitate națională.
Un standard poate fi înlăturat printr-o singură decizie politică. Reconstruirea încrederii în sistemul de standardizare poate dura o generație.
Atunci când cei care stabilesc regulile încep să ocolească normele pe care le-au construit, prima victimă nu este un anumit produs sau furnizor. Este credibilitatea regulilor înseși. Dacă Europa slăbește standardele tehnice pentru a obține o marjă de decizie politică discreționară pe termen scurt, riscă să consume una dintre cele mai valoroase și mai greu de reprodus surse ale competitivității sale globale.
-
Securitatea și certitudinea trebuie să se consolideze reciproc
CSA 2.0 nu trebuie să ignore riscurile netehnice. Are însă nevoie de limite mai clare.
Evaluarea tehnică ar trebui să aibă prioritate, iar factorii netehnici să constituie un nivel complementar. Intervenția ar trebui să se concentreze asupra scenariilor cu cel mai ridicat risc, capabile să producă efecte sistemice. Un cadru transparent care corelează riscurile cu măsurile ar trebui să distingă între riscurile care justifică monitorizarea, auditarea sau diversificarea și acele cazuri excepționale care justifică interdicția ori eliminarea treptată. Pragurile clare, cerințele de proporționalitate și perioadele de tranziție realiste ar trebui să ofere întreprinderilor cel mai înalt grad de certitudine posibil.
Europa nu are nevoie de o putere discreționară nelimitată în materie de securitate. Are nevoie de o capacitate de acțiune în domeniul securității, cu limite bine definite, care să poată aborda cu precizie cele mai grave riscuri.
Evaluarea geopolitică poate fi necesară pentru gestionarea cazurilor excepționale. Ea nu ar trebui să înlocuiască normele tehnice ca bază obișnuită a guvernanței pieței. Europa trebuie să reducă riscurile, dar nu trebuie să renunțe la reguli.
Dacă certitudinea în materie de reglementare și standardele tehnice își pierd credibilitatea, Europa va pierde mult mai mult decât investiții sau furnizori individuali. Va slăbi unul dintre fundamentele cele mai profunde ale pieței unice și una dintre cele mai valoroase surse de influență și competitivitate ale Uniunii în economia mondială.
Prin includerea criteriilor netehnice în CSA 2.0, Regulamentul privind securitatea cibernetică, conceput inițial pe baza standardelor tehnice de securitate, poate deveni un instrument de politică comercială. Nu este relevant dacă acest lucru a fost sau nu intenționat. O asemenea evoluție se abate semnificativ de la obiectivul său principal: consolidarea securității cibernetice a Europei.
Despre autoare
Dr. Mayelinne De Lara este editoarea și fondatoarea Diplomat Magazine – Țările de Jos, o publicație independentă dedicată diplomației, relațiilor internaționale și activității misiunilor diplomatice și organizațiilor internaționale. Stabilită la Haga, ea creează, din 2013, legături între comunitatea diplomatică, factorii de decizie și instituțiile internaționale prin jurnalism și inițiative editoriale.
[1] Comisia Europeană, „Proposal for a Regulation for the EU Cybersecurity Act”, propunerea COM(2026) 11, 20 ianuarie 2026. https://digital-strategy.ec.europa.eu/en/library/proposal-regulation-eu-cybersecurity-act
[2] Banca Centrală Europeană, Malin Andersson, Alina Bobasu, Lorena Saiz și Stefania Scrofani, „The cost of not knowing: how uncertainty weighs on the euro area economy”, Buletin economic, nr. 5/2026, 5 august 2026. https://www.ecb.europa.eu/press/economic-bulletin/articles/2026/html/ecb.ebart202605_01~712f201ac1.en.html
[3] Fondul Monetar Internațional, Gita Gopinath, Pierre-Olivier Gourinchas, Andrea F. Presbitero și Petia Topalova, „Changing Global Linkages: A New Cold War?”, IMF Working Paper nr. 2024/076, 5 aprilie 2024. https://www.imf.org/en/publications/wp/issues/2024/04/05/changing-global-linkages-a-new-cold-war-547357
[4] Comisia Europeană, „Involvement in standard-setting makes small business stronger”, 10 decembrie 2012. https://single-market-economy.ec.europa.eu/publications/involvement-standard-setting-makes-small-business-stronger_en
| Știri BVB