Σχέδιο Δράσης ΕΕ για κυβερνοασφάλεια AI: χάρτης πορείας συμμόρφωσης

Στις 7 Ιουλίου 2026, η Ευρωπαϊκή Επιτροπή παρουσίασε ένα Σχέδιο Δράσης της ΕΕ για την Κυβερνοασφάλεια και την Τεχνητή Νοημοσύνη, μια μη δεσμευτική Ανακοίνωση (IP/26/1544) που ευθυγραμμίζει τους κανόνες κυβερνοασφάλειας του AI Act, του Cyber Resilience Act, της οδηγίας NIS2 και της οδηγίας RED σε έναν ενιαίο επιχειρησιακό χάρτη πορείας για τις ομάδες κανονιστικής συμμόρφωσης διασυνδεδεμένων προϊόντων. Το σχέδιο καταφθάνει 26 ημέρες πριν καταστούν εκτελεστές οι υποχρεώσεις του AI Act για την τεχνητή νοημοσύνη γενικού σκοπού (GPAI) και οι περισσότερες διατάξεις υψηλού κινδύνου στις 2 Αυγούστου 2026, και σηματοδοτεί πού ο ENISA, το AI Office και το Joint Research Centre θα επικεντρώσουν την εποπτική και ελεγκτική τους ικανότητα έως το 2027.

Για τους κατασκευαστές ραδιοεξοπλισμού, τηλεπικοινωνιακού και ηλεκτρικού εξοπλισμού που ήδη προσαρμόζονται στις απαιτήσεις κυβερνοασφάλειας του άρθρου 3.3(δ)-(στ) της οδηγίας RED βάσει του κατ' εξουσιοδότηση κανονισμού (ΕΕ) 2022/30 και του εναρμονισμένου προτύπου EN 18031, το Σχέδιο Δράσης αποτελεί ένα μελλοντικό μήνυμα και όχι μια νέα νομική υποχρέωση. Υποδεικνύει στις ομάδες αξιολόγησης της συμμόρφωσης ποιοι έλεγχοι που σχετίζονται με την τεχνητή νοημοσύνη, ποια κανάλια αξιολόγησης και ποια υποδομή ασφαλών δοκιμών θα αποτελέσουν σημείο αναφοράς για την επιβολή της νομοθεσίας από το 2026 έως το 2027, καθώς και πού η Επιτροπή αναμένει από τη βιομηχανία να επενδύσει τώρα.

Τι αλλάζει στην πράξη το Σχέδιο Δράσης για τη συμμόρφωση των διασυνδεδεμένων προϊόντων

Η Ανακοίνωση δεν εισάγει κανέναν νέο δεσμευτικό κανόνα. Η βαρύτητά της είναι επιχειρησιακή: δεσμεύει την Επιτροπή, τον ENISA και το JRC να παραδώσουν τέσσερα συγκεκριμένα παραδοτέα που οι ομάδες συμμόρφωσης για διασυνδεδεμένα προϊόντα θα πρέπει να παρακολουθούν και, όπου ενδείκνυται, να ενσωματώνουν στα προγράμματα ετοιμότητάς τους για το AI Act και το CRA.

• Μια ικανότητα αξιολόγησης της ΕΕ για την κυβερνοασφάλεια της τεχνητής νοημοσύνης, η οποία θεσπίζεται μέσω ειδικής πρόσκλησης και αναμένεται να τεθεί σε λειτουργία το 2027. Θα τροφοδοτεί την αξιολόγηση από τρίτους που διενεργεί το AI Office για τις ικανότητες και τους κινδύνους προηγμένων μοντέλων, συμπληρώνοντας τον GPAI Code of Practice που καθίσταται δεσμευτικός στις 2 Αυγούστου 2026.
• Ένα ευρωπαϊκό Blueprint του ENISA για δομημένη πρόσβαση σε προηγμένες ικανότητες τεχνητής νοημοσύνης, παρέχοντας σε δημόσιους και ιδιωτικούς ευρωπαϊκούς οργανισμούς διαφανείς συνθήκες για την πρόσβαση στα πιο ικανά μοντέλα για περιπτώσεις χρήσης κυβερνοασφάλειας.
• Μια ασφαλή πλατφόρμα δοκιμών JRC-ENISA για την κυβερνοασφάλεια της τεχνητής νοημοσύνης, συμπεριλαμβανομένων προσομοιωμένων περιβαλλόντων, η οποία απευθύνεται σε φορείς εκμετάλλευσης κρίσιμων τομέων (χρηματοοικονομικά, ενέργεια, υγεία, μεταφορές, δημόσια διοίκηση).
• Ένα EU Grand Challenge για την τεχνητή νοημοσύνη στην κυβερνοασφάλεια, καθώς και συμπράξεις που διευκολύνονται από τον ENISA μεταξύ αρχών, επιχειρήσεων και κοινοτήτων ανοικτού κώδικα, συμπεριλαμβανομένης μιας εκστρατείας για την ασφάλεια κρίσιμου λογισμικού ανοικτού κώδικα.

Κανένα από αυτά δεν αντικαθιστά την αξιολόγηση συμμόρφωσης για τη σήμανση CE βάσει της οδηγίας RED ή του CRA. Αποτελούν την ικανότητα του δημόσιου τομέα στην οποία θα βασιστούν οι εποπτικές αρχές κατά την αξιολόγηση χαρακτηριστικών τεχνητής νοημοσύνης εντός διασυνδεδεμένων προϊόντων, και με την οποία οι προμηθευτές μπορούν να συνεργαστούν εθελοντικά πριν τεθούν σε ισχύ οι υποχρεώσεις.

Ποιοι επηρεάζονται και μέχρι πότε

Οι επικεφαλής κανονιστικής συμμόρφωσης και οι διαχειριστές κυβερνοασφάλειας προϊόντων σε κατασκευαστές ραδιοεξοπλισμού, τηλεπικοινωνιακού και συνδεδεμένου ηλεκτρικού εξοπλισμού της ΕΕ αποτελούν το κύριο βιομηχανικό κοινό, μαζί με τις βασικές και σημαντικές οντότητες βάσει της οδηγίας NIS2. Οι δεσμευτικές προθεσμίες γύρω από τις οποίες περιστρέφεται το Σχέδιο Δράσης παραμένουν αμετάβλητες αλλά χρονικά συγκεντρωμένες:

Για έναν προμηθευτή ραδιοεξοπλισμού ή συνδεδεμένης συσκευής που διαθέτει ένα χαρακτηριστικό με δυνατότητα τεχνητής νοημοσύνης στην αγορά της ΕΕ, η πρακτική αλληλουχία είναι η εξής: συμμόρφωση με το AI Act για το στοιχείο υψηλού κινδύνου από τις 2 Αυγούστου 2026, συμμόρφωση με την κυβερνοασφάλεια RED για τη ραδιοδιεπαφή που είναι ήδη σε ισχύ, και συμμόρφωση με το CRA για τα ψηφιακά στοιχεία του προϊόντος έως τα τέλη του 2027. Το Σχέδιο Δράσης δεν μεταθέτει αυτές τις ημερομηνίες. Σας ενημερώνει ποιοι φορείς της ΕΕ θα είναι διαθέσιμοι για να υποστηρίξουν κάθε επίπεδο.

Τι πρέπει να κάνουν τώρα οι ομάδες συμμόρφωσης

Πρώτον, χαρτογραφήστε κάθε χαρακτηριστικό με δυνατότητα τεχνητής νοημοσύνης στο χαρτοφυλάκιο ραδιοεξοπλισμού, τηλεπικοινωνιακού ή ηλεκτρικού προϊόντος σας σε σχέση με τις βαθμίδες κινδύνου του AI Act και τις βασικές απαιτήσεις κυβερνοασφάλειας RED 3.3(δ)-(στ). Όταν ένα χαρακτηριστικό χαρακτηρίζεται ως υψηλού κινδύνου, η αξιολόγηση συμμόρφωσης και η τεκμηρίωση διαχείρισης κινδύνου πρέπει να είναι έτοιμες πριν από τις 2 Αυγούστου 2026, όχι μετά. Δεύτερον, προετοιμάστε νωρίς τον φάκελο ετοιμότητας για το CRA: οι διαδικασίες αναφοράς ευπαθειών και περιστατικών, η πειθαρχία στον κατάλογο υλικών λογισμικού (software bill of materials) και τα αποδεικτικά στοιχεία ασφάλειας εκ σχεδιασμού θα εξεταστούν όλα στο πλαίσιο της εφαρμογής του CRA τον Δεκέμβριο του 2027, και το AI Office και η πλατφόρμα δοκιμών του ENISA είναι τοποθετημένα ώστε να ζητήσουν αυτά τα αποδεικτικά στοιχεία για στοιχεία που φέρουν τεχνητή νοημοσύνη. Τρίτον, παρακολουθήστε το Blueprint του ENISA και την πρόσκληση για την ικανότητα αξιολόγησης της ΕΕ καθώς μεταβαίνουν από τη δέσμευση στο παραδοτέο, και εξετάστε το ενδεχόμενο να συνεργαστείτε νωρίς με το εργαστήριο δοκιμών ή τον κοινοποιημένο οργανισμό σας, καθώς η χωρητικότητα θα είναι σπάνια ενόψει του 2027.

Η συνεχής παρακολούθηση ανά δικαιοδοσία της Obsidian αναδεικνύει τις Ανακοινώσεις της Επιτροπής, τις κατευθυντήριες γραμμές του ENISA και τις ενημερώσεις των εναρμονισμένων προτύπων τη στιγμή που δημοσιεύονται, ώστε μια ομάδα συμμόρφωσης διασυνδεδεμένων προϊόντων να μπορεί να ενσωματώσει κάθε νέο παραδοτέο στον φάκελο ετοιμότητάς της χωρίς να επαναλαμβάνει τους ίδιους καθημερινούς ελέγχους χειροκίνητα.

Αξιοποιήστε αυτή την παρακολούθηση σε πραγματικό χρόνο

Επόμενα βήματα για τους επικεφαλής συμμόρφωσης: επιβεβαιώστε τη στάση συμμόρφωσής σας με το AI Act για τις 2 Αυγούστου 2026 για κάθε χαρακτηριστικό υψηλού κινδύνου, ενημερώστε τον κοινοποιημένο οργανισμό και τον συνεργάτη δοκιμών κυβερνοασφάλειας για τα τέσσερα παραδοτέα του Σχεδίου Δράσης, και κλειδώστε το ορόσημο του CRA για τον Δεκέμβριο του 2027 στις ανασκοπήσεις του χάρτη πορείας των προϊόντων σας τώρα και όχι μετά τις καλοκαιρινές διακοπές.