Η συνεργασία κράτους και τεχνολογικών κολοσσών είναι αναγκαία.
Το ερώτημα είναι ποιος έχει τον τελευταίο λόγο όταν κάτι πάει στραβά.

Κυβερνοεπιθέσεις, τεχνικές βλάβες και η ολοένα μεγαλύτερη εξάρτηση από λίγους παγκόσμιους παρόχους cloud φέρνουν στο προσκήνιο ένα κρίσιμο ερώτημα: πόσο ασφαλής είναι μια οικονομία όταν βασικές λειτουργίες της εξαρτώνται από υποδομές που δεν ελέγχει άμεσα; Το ζήτημα δεν αφορά κάποιο σενάριο γενικευμένης ψηφιακής κατάρρευσης. Είναι πολύ πιο πρακτικό. Τι συμβαίνει εάν ένας κρίσιμος πάροχος παρουσιάσει σοβαρό πρόβλημα, δεχθεί κυβερνοεπίθεση ή καταστεί δύσκολο να αντικατασταθεί; Μπορούν οι τράπεζες, οι δημόσιες υπηρεσίες και οι επιχειρήσεις να συνεχίσουν να λειτουργούν;
Τα τελευταία χρόνια η Ευρώπη αντιμετωπίζει όλο και περισσότερο το θέμα ως ζήτημα οικονομικής ανθεκτικότητας και όχι απλώς ως τεχνολογική επιλογή. Η ανησυχία αφορά τη μεγάλη συγκέντρωση κρίσιμων ψηφιακών υπηρεσιών σε μικρό αριθμό εταιρειών, γεγονός που δημιουργεί κινδύνους οι οποίοι μπορούν να επηρεάσουν ολόκληρους τομείς της οικονομίας.

Το βασικό ερώτημα δεν είναι αν οι ιδιωτικές εταιρείες πρέπει να συμμετέχουν στην ψηφιακή οικονομία. Είναι ποιος καθορίζει τους κανόνες όταν οι υπηρεσίες τους γίνονται απαραίτητες για τη λειτουργία της κοινωνίας.

Η εξάρτηση έχει κόστος. Το cloud έχει προσφέρει σημαντικά οφέλη: χαμηλότερο κόστος, ταχύτερη ανάπτυξη ψηφιακών υπηρεσιών και πρόσβαση σε τεχνολογίες που λίγοι οργανισμοί θα μπορούσαν να αναπτύξουν μόνοι τους. Ωστόσο, η τιμή μιας υπηρεσίας δεν αποτυπώνει πάντα το πραγματικό κόστος της.
Μια σύμβαση μπορεί να φαίνεται οικονομική σήμερα αλλά να αποδειχθεί ιδιαίτερα ακριβή όταν χρειαστεί αλλαγή παρόχου. Η μεταφορά δεδομένων, εφαρμογών και διαδικασιών συχνά συνεπάγεται τεχνικές δυσκολίες, καθυστερήσεις και πρόσθετες δαπάνες. Το φαινόμενο αυτό είναι γνωστό ως vendor lock-in, δηλαδή εγκλωβισμός σε έναν προμηθευτή.

Γι’ αυτό η αξιολόγηση μιας τεχνολογικής σύμβασης δεν πρέπει να περιορίζεται στη μηνιαία χρέωση. Οφείλει να περιλαμβάνει το κόστος μετάβασης, τις εφεδρείες, τους ελέγχους ασφαλείας, τη διαχείριση περιστατικών και το ενδεχόμενο εξόδου από τη συνεργασία. Η ανθεκτικότητα έχει κόστος. Η απουσία της, όμως, συνήθως αποδεικνύεται ακριβότερη όταν εμφανιστεί η κρίση.

Η ευθύνη δεν ανατίθεται. Η συνεργασία δημόσιου και ιδιωτικού τομέα είναι απαραίτητη στη σύγχρονη ψηφιακή οικονομία. Αυτό δεν σημαίνει ότι το κράτος μπορεί να μεταβιβάζει και την ευθύνη για τη συνέχεια των κρίσιμων υπηρεσιών. Ένας δημόσιος οργανισμός μπορεί να αναθέσει την παροχή μιας υπηρεσίας. Δεν μπορεί, όμως, να εκχωρήσει την ευθύνη για τη λειτουργία της. Αυτή ακριβώς είναι και η λογική του ευρωπαϊκού πλαισίου. Ο ευρωπαϊκός κανονισμός DORA (Digital Operational Resilience Act), που αφορά την ψηφιακή ανθεκτικότητα του χρηματοπιστωτικού τομέα, ενισχύει την εποπτεία των κρίσιμων τεχνολογικών παρόχων, χωρίς να απαλλάσσει τις τράπεζες και τους οργανισμούς από τις δικές τους υποχρεώσεις διαχείρισης κινδύνων. Με απλά λόγια, η ευθύνη δεν εξαφανίζεται επειδή οι υποδομές βρίσκονται στις εγκαταστάσεις κάποιου άλλου.

Η Ευρώπη προσπαθεί να περιορίσει τις εξαρτήσεις. Τα τελευταία χρόνια η Ευρωπαϊκή Ένωση επιχειρεί να ενισχύσει την ψηφιακή της αυτονομία. Ο Data Act εισάγει κανόνες που διευκολύνουν τη μεταφορά δεδομένων και την αλλαγή παρόχου, περιορίζοντας τα εμπόδια που κρατούν τους πελάτες «κλειδωμένους» σε μια συγκεκριμένη πλατφόρμα. Παράλληλα, ο DORA δημιουργεί μηχανισμούς εποπτείας για τους κρίσιμους τεχνολογικούς προμηθευτές του χρηματοπιστωτικού συστήματος.

Η κατεύθυνση είναι σημαντική. Ωστόσο, οι νόμοι από μόνοι τους δεν αρκούν. Το δικαίωμα αλλαγής παρόχου αποκτά πραγματική αξία μόνο όταν υπάρχει στην πράξη δυνατότητα αλλαγής παρόχου. Μια πρόβλεψη σε μια σύμβαση δεν υποκαθιστά ένα δοκιμασμένο σχέδιο μετάβασης.
Έξι όροι για μια υγιή συνεργασία. Μια αποτελεσματική σχέση κράτους και τεχνολογικών εταιρειών χρειάζεται ορισμένες βασικές προϋποθέσεις:

Πρώτον, το Δημόσιο πρέπει να διαθέτει επαρκή τεχνογνωσία. Δεν είναι δυνατόν ο ανάδοχος να είναι ο μόνος που κατανοεί πώς λειτουργεί μια κρίσιμη δημόσια υπηρεσία.

Δεύτερον, οι συμβάσεις πρέπει να προβλέπουν σαφείς υποχρεώσεις για την ασφάλεια, τη διαχείριση περιστατικών και τη λογοδοσία.

Τρίτον, η δυνατότητα μεταφοράς των δεδομένων και των εφαρμογών πρέπει να έχει δοκιμαστεί στην πράξη και όχι μόνο να περιγράφεται θεωρητικά.

Τέταρτον, κάθε κρίσιμη λειτουργία χρειάζεται μετρήσιμους στόχους επιχειρησιακής συνέχειας και τακτικές δοκιμές επαναφοράς.

Πέμπτο, οι δημόσιες προμήθειες πρέπει να ενισχύουν τον πραγματικό ανταγωνισμό και όχι να οδηγούν έμμεσα σε εξάρτηση από έναν μόνο προμηθευτή.

Και έκτο, τα μέτρα προστασίας πρέπει να είναι ανάλογα του κινδύνου. Δεν έχουν όλες οι υπηρεσίες τις ίδιες ανάγκες ασφαλείας.

Δημοκρατικός έλεγχος στην ψηφιακή εποχή. Ο δημοκρατικός έλεγχος δεν σημαίνει δημοσιοποίηση τεχνικών μυστικών ή ευαίσθητων πληροφοριών. Σημαίνει ότι οι πολίτες γνωρίζουν ποιος αποφασίζει, με ποιο κόστος, με ποια κριτήρια και με ποια ευθύνη. Οι μεγάλες συμβάσεις που αφορούν κρίσιμες ψηφιακές υποδομές χρειάζονται ανεξάρτητο έλεγχο, διαφάνεια στις διαδικασίες και ισχυρές εποπτικές αρχές με πραγματική τεχνική επάρκεια. Παράλληλα, η μείωση της εξάρτησης από ιδιωτικούς παρόχους δεν μπορεί να μετατραπεί σε πρόσχημα για ανεξέλεγκτη κρατική πρόσβαση στα δεδομένα. Ασφάλεια, προστασία προσωπικών δεδομένων και δημοκρατικές εγγυήσεις πρέπει να συμβαδίζουν.

Το ζητούμενο είναι η ανθεκτικότητα. Η απάντηση στους κινδύνους της ψηφιακής εποχής δεν βρίσκεται ούτε στον φόβο ούτε στην ψευδαίσθηση ότι υπάρχει μια άτρωτη τεχνολογία. Βρίσκεται στην προετοιμασία για την αστοχία. Σε εφεδρικά συστήματα που λειτουργούν, σε δεδομένα που μπορούν να ανακτηθούν γρήγορα, σε οργανισμούς που έχουν δοκιμάσει τα σχέδια συνέχειας των υπηρεσιών τους και σε προμηθευτές που μπορούν να ελεγχθούν και, εφόσον χρειαστεί, να αντικατασταθούν.    

Η συνεργασία δημόσιου και ιδιωτικού τομέα είναι αναγκαία για την ανάπτυξη της ψηφιακής οικονομίας. Για να είναι όμως και αξιόπιστη, κανένα από τα δύο μέρη δεν μπορεί να αποποιείται τις ευθύνες του.

Η δημοκρατία δεν χρειάζεται να κατέχει κάθε διακομιστή. Χρειάζεται, όμως, να διατηρεί τον έλεγχο των κανόνων και να εξασφαλίζει ότι μια κρίσιμη κοινωνική λειτουργία δεν εξαρτάται αποκλειστικά από τις αποφάσεις ενός προμηθευτή.
Γιατί τελικά το πραγματικό ερώτημα δεν είναι ποιος παρέχει την υπηρεσία. Είναι ποιος κρατά τον διακόπτη όταν σβήσουν τα φώτα.

ΠΗΓΕΣ 

European Commission, Cloud and AI Development Act
European Supervisory Authorities, Key concepts relating to the DORA oversight framework
European Commission, A comprehensive overview of the Data Act