Nová regulace přichází v okamžiku, kdy evropský průmysl čelí jedné z nejhlubších krizí konkurenceschopnosti za poslední dekády, a místo uvolnění pravidel přináší další vrstvu regulace, která může situaci ještě zhoršit.

Načasování není náhodné, ale o to víc problematické. V posledních měsících zaznívají z nejvyšších pater evropské debaty varování, že Evropa se začíná dusit vlastní administrativou. Mario Draghi ve své sledované zprávě otevřeně upozornil, že bez zásadní deregulace a podpory inovací hrozí Evropě další zaostávání za Spojenými státy i Čínou. O to paradoxněji působí, že Evropská komise 20. ledna 2026 představila návrh, který jde přesně opačným směrem. CSA2 není jen technickou revizí původního aktu z roku 2019, ale fakticky novým regulačním rámcem, který má ambici přetvořit způsob, jakým se v Evropě řídí kybernetická bezpečnost.

Další centralizace

Zásadní změnou je posun od národních států k větší centralizaci na evropské úrovni. Bezpečnost kritické infrastruktury byla doposud primárně odpovědností jednotlivých zemí, které zohledňovaly vlastní bezpečnostní priority i specifika trhu. Nově má vzniknout mechanismus, který umožní na evropské úrovni identifikovat a potenciálně vylučovat tzv. vysoce rizikové dodavatele. Jinými slovy, rozhodování o tom, kdo může dodávat technologie do klíčových sektorů, jako jsou energetika nebo bankovnictví, se má přesouvat z národních bezpečnostních institucí do Bruselu. Výrazně posílit má také ENISA, která by nově neměla být jen koordinačním a poradním orgánem, ale hráčem s reálnými dohledovými pravomocemi včetně správy databází incidentů. To přirozeně otevírá otázku, kde končí koordinace a začíná eroze národní suverenity.

Regulace se nevyhnou nikomu

Ještě zásadnější než institucionální změny jsou ale dopady na ekonomiku. CSA2 navazuje na již dnes velmi rozsáhlý rámec NIS2 a dále ho rozšiřuje. Regulace se tak nevyhne prakticky žádnému klíčovému odvětví. V energetice a dopravě může povinná certifikace tzv. klíčových ICT aktiv znamenat zpomalení nebo odkládání investičních projektů, protože bez splnění nových požadavků nebude možné technologie vůbec nasadit. Ve výrobě a zdravotnictví přibydou další audity a povinnosti v oblasti řízení rizik, které se nevyhnutelně promítnou do vyšších nákladů a tedy i cen. Finanční sektor, který už dnes patří k nejvíce regulovaným odvětvím, dostane další vrstvu pravidel, což může oslabit jeho schopnost financovat reálnou ekonomiku. A digitální infrastruktura, tedy cloudové služby, datová centra nebo satelitní sítě, se ocitne pod ještě intenzivnějším dohledem, což prodraží digitalizaci napříč celým trhem, včetně malých a středních podniků.

Formálně má být přitom velká část nástrojů, zejména certifikace, dobrovolná. V praxi však lze jen těžko očekávat, že tomu tak skutečně bude. Jakmile se certifikace stane podmínkou ve veřejných zakázkách nebo v rámci dodavatelských řetězců, promění se v de facto povinný standard. Firmy tak nebudou stát před otázkou, zda se zapojit, ale zda si mohou dovolit zůstat mimo. Evropa si tím vytváří vlastní regulační „mýtný systém“, který bude určovat, kdo se vůbec může účastnit trhu.

Potřebujeme opak

V širším kontextu tak CSA2 působí jako další krok v trendu, který evropskou ekonomiku dlouhodobě oslabuje. Zatímco globální konkurenti zrychlují, investují a snižují bariéry pro inovace, Evropská unie přidává další vrstvy pravidel. Dopad přitom není abstraktní. Vyšší náklady, delší schvalovací procesy a větší nejistota se promítají do nižších investic, pomalejšího technologického rozvoje a odlivu aktivit mimo Evropu. To vše v době, kdy by Evropa potřebovala přesný opak.

Nikdo přitom nezpochybňuje význam kybernetické bezpečnosti. Otázkou ale není, zda ji posilovat, nýbrž jakým způsobem. CSA2 v současné podobě riskuje, že vytvoří systém, který bude sice formálně robustnější, ale zároveň výrazně dražší, pomalejší a méně flexibilní. Bezpečnost, která přichází za cenu ztráty konkurenceschopnosti, se může velmi rychle proměnit ve strategickou slabinu.

Evropa už jednou vsadila na silně regulační přístup v energetice a výsledky této politiky dnes intenzivně řeší. CSA2 může být jeho digitálním ekvivalentem. Pokud se návrh nezmění, nevznikne efektivnější a odolnější digitální ekonomika, ale prostředí, které bude složitější, nákladnější a méně schopné držet krok s globální konkurencí. V konečném důsledku tak nemusí být největší hrozbou pro evropské sítě kybernetický útok, ale vlastní regulační přístup.

Evropský průmysl dnes nepotřebuje další pravidla. Potřebuje prostor dýchat. CSA2 zatím nabízí pravý opak.