【冰淇淋机也被列为“关键基础设施”？欧盟新《网络安全法》推行过程举步维艰】

（政治报）冰淇淋制造商、圣诞灯饰生产商以及德国房东或许即将获得欧盟针对网络攻击的额外保护。

没错，科技和网络安全领域的律师向《POLITICO》警告称，这些看似与网络安全无关的行业，正有望根据欧盟一项旨在保护发电厂、供水设施和能源电网等网络目标的网络安全法律，被归类为关键基础设施。

这是欧盟《网络安全指令2》（NIS2）面临的最新障碍。该指令虽于2022年通过，但各成员国仍在推进实施。随着欧洲面临由人工智能驱动且日益呈现混合攻击形式的史无前例的网络攻击浪潮，如何合理配置资源以保护关键基础设施的问题比以往任何时候都更为紧迫。

各国政府本应在2024年底前制定好各自的立法，但延误导致许多企业和其顾问直到现在才开始着手准备合规工作的具体细节。欧盟关键行业运营商现被要求向本国网络安全机构注册，这意味着必须准确了解该法律的适用对象。

这一过程被证明颇具难度，律师和立法者甚至援引口香糖批发商等例子，以凸显该任务所涉及的混乱与复杂性。

这些离奇的案例既体现了企业及其法律顾问需要解决的现实难题，也反映出在欧盟正竭力精简行政程序之际，却又新增了一项棘手的额外繁文缛节。

这也再次印证了欧盟在推动《网络安全指令2》（NIS2）落地实施过程中所面临的困难。法国和西班牙等重要成员国尚未通过相应的国家网络安全法律，而德国的企业注册进度也明显滞后。

一位因涉及敏感话题而要求匿名的欧盟委员会官员强调，该法律包含“多项机制”以确保公平：其中包括确保小型企业通常可获豁免，以及对非关键性组织减轻义务的规定。

以下是一些出人意料的行业——根据法律条文——可能被归类为关键基础设施。

——值得深思之处《NIS2指令》涵盖了食品的生产、加工和分销环节，这一纳入极为合理，因为任何导致我们日常食品供应链瘫痪的网络攻击，都将对全体民众构成威胁。 

但这一纳入却带来了一些意想不到的后果。捷克籍欧洲议会议员马尔凯塔·格雷戈罗娃（Markéta Gregorová）正牵头制定一套旨在简化《NIS2指令》的独立网络安全方案，她公开质疑了该指令的实施方式。

在最近的一次会议上，她指出，冰淇淋制造商只要规模足够大，就可能受该法律约束。“危机时期，你可能根本不需要它们，”她说。

（是的，大概确实如此，不过八月可能是个例外……）

根据该法案，食品行业似乎尤为棘手。诺尔律师事务所（Noerr）的联席合伙人安德烈亚斯·道姆（Andreas Daum）表示，规模超过一定标准的口香糖批发商属于该法案的适用范围。德国一家行业协会已向其会员保证，手工面包店不受该法案约束。

——你的圣诞彩灯可能被“黑”了

当你准备迎接下一个节日季时，不妨考虑一下：你家圣诞彩灯的制造商可能属于NIS2行业——这意味着它与邮政服务和化工生产被归入同一类别。

阿姆斯特丹诺顿罗氏律师事务所合伙人尤里安·扬森解释道，这是因为“圣诞树灯饰套装的制造”属于《NIS2指令》所指的相关经济活动分类。 

詹森指出，尽管法律条文将圣诞彩灯标记为“重要”，但根据荷兰《NIS2法》，它们并未达到“关键”的门槛，因为该行业若发生中断，不会构成公共安全或系统性风险。“这对该行业来说将是一个不同寻常的结果，”他说。 

——学校与房东

专家们还指出，某些组织可能会在与其实际业务完全无关的领域，意外地成为关键基础设施的运营商。

去年，一位比利时籍欧洲议会议员表示，安装了太阳能电池板的大型学校“在形式上被归类为电力‘生产商’”，这意味着它们被纳入了该立法的监管范围，给“往往缺乏内部网络安全专业知识的机构”带来了“巨大的成本负担”。

欧盟委员会在回复该议员时，并未否认学校可能受到影响，但表示其《数字综合法案》以及对《欧盟网络安全法》的修订将有助于简化相关规则。 

同样，根据2021年的一项裁决，德国那些出租大量公寓，并通过服务费向租户提供有线或互联网连接的房东，可能被视为电信服务提供商——尽管这取决于具体情况。 

“这种情况是有可能的，但这取决于租赁合同的具体条款，”诺尔律师事务所的道姆表示。至于这是否意味着他们将受新网络安全法规约束，目前尚未经过实践检验：“目前既没有相关判例，也没有来自任何[相关]监管机构的指导意见，”他说。