NIS2 στην Ελλάδα: Τι Ζητά ο Ν. 5160/2024 από τις Ουσιώδεις και Σημαντικές Οντότητες

Από την Οδηγία στον νόμο

Η Οδηγία (ΕΕ) 2022/2555, γνωστή ως NIS2, αντικατέστησε την πρώτη Οδηγία NIS και διεύρυνε δραματικά τον κύκλο των υπόχρεων. Στην Ελλάδα ενσωματώθηκε με τον Ν. 5160/2024 (ΦΕΚ Α’ 195/27.11.2024). Αρμόδια αρχή είναι η Εθνική Αρχή Κυβερνοασφάλειας (ΕΑΚ), η οποία λειτουργεί και ως ενιαίο σημείο επαφής για τη διασυνοριακή συνεργασία, ενώ οι αναφορές συμβάντων κατευθύνονται στο CSIRT της.

Η βασική αλλαγή σε σχέση με το παρελθόν δεν είναι τεχνική. Είναι ότι ο νόμος απευθύνεται στο διοικητικό όργανο της οντότητας, το καθιστά υπεύθυνο για τα μέτρα, του επιβάλλει εκπαίδευση και προβλέπει προσωπικές συνέπειες σε περίπτωση μη συμμόρφωσης.

Ποιοι υπάγονται

Ο νόμος ακολουθεί τη λογική της Οδηγίας: υπάγεται κάθε οντότητα που δραστηριοποιείται σε τομέα των Παραρτημάτων Ι ή ΙΙ και είναι τουλάχιστον μεσαία επιχείρηση κατά τη Σύσταση 2003/361/ΕΚ, δηλαδή με 50 ή περισσότερους εργαζόμενους ή με ετήσιο κύκλο εργασιών και σύνολο ισολογισμού άνω των €10 εκατ.

Ουσιώδεις (βασικές) οντότητες είναι κατά κανόνα οι μεγάλες επιχειρήσεις σε τομείς του Παραρτήματος Ι: ενέργεια, μεταφορές, τράπεζες, υποδομές χρηματοπιστωτικών αγορών, υγεία, πόσιμο νερό, λύματα, ψηφιακές υποδομές (τηλεπικοινωνίες, cloud, data centres), διαχείριση υπηρεσιών ΤΠΕ, δημόσια διοίκηση, διάστημα. Ανεξάρτητα από μέγεθος, ουσιώδεις είναι οι πάροχοι DNS, τα μητρώα TLD και οι πάροχοι υπηρεσιών εμπιστοσύνης, καθώς και οι οντότητες που είχαν χαρακτηριστεί φορείς εκμετάλλευσης βασικών υπηρεσιών υπό το NIS1.

Σημαντικές οντότητες είναι οι μεσαίες επιχειρήσεις του Παραρτήματος Ι και οι μεσαίες και μεγάλες του Παραρτήματος ΙΙ: ταχυδρομικές υπηρεσίες και courier, διαχείριση αποβλήτων, χημικά, παραγωγή και διανομή τροφίμων, μεταποίηση (ιατροτεχνολογικά, ηλεκτρονικά, μηχανήματα, οχήματα), ψηφιακοί πάροχοι (online marketplaces, μηχανές αναζήτησης, κοινωνικά δίκτυα) και ερευνητικοί οργανισμοί.

Η ΕΑΚ μπορεί επίσης να χαρακτηρίσει οντότητες κάτω από το όριο μεγέθους με ποιοτικά κριτήρια, όταν η διακοπή της υπηρεσίας τους θα είχε σημαντικές επιπτώσεις.

Η πρώτη πρακτική υποχρέωση ήταν η εγγραφή στο μητρώο της ΕΑΚ (nis2register.cyber.gov.gr), με στοιχεία όπως ΑΦΜ, αριθμός ΓΕΜΗ, νόμιμος εκπρόσωπος, είδος υπηρεσιών, εύρη IP και domain names. Οι αρχικές προθεσμίες του 2025 έχουν παρέλθει. Οντότητα που υπάγεται και δεν έχει εγγραφεί οφείλει να το κάνει αμελλητί, και κάθε αλλαγή στοιχείων απαιτεί νέα υποβολή.

Τι οφείλει η διοίκηση

Το σημείο που ξεχωρίζει το NIS2 από κάθε προηγούμενο πλαίσιο κυβερνοασφάλειας είναι το άρθρο για τη διακυβέρνηση. Το διοικητικό όργανο της οντότητας:

• εγκρίνει τα μέτρα διαχείρισης κινδύνων κυβερνοασφάλειας και εποπτεύει την εφαρμογή τους,
• ευθύνεται για παραβάσεις, με δυνατότητα προσωρινής απαγόρευσης άσκησης διευθυντικών καθηκόντων σε φυσικά πρόσωπα με ευθύνες διευθύνοντος συμβούλου ή νομίμου εκπροσώπου,
• υποχρεούται να εκπαιδεύεται σε θέματα κυβερνοασφάλειας, ώστε να μπορεί να αναγνωρίζει κινδύνους και να αξιολογεί πρακτικές, και να ενθαρρύνει αντίστοιχη εκπαίδευση του προσωπικού.

Ο ελληνικός νόμος προσθέτει και έναν ρόλο: κάθε οντότητα ορίζει Υπεύθυνο Ασφάλειας Συστημάτων Πληροφορικής και Επικοινωνιών (ΥΑΣΠΕ), ο οποίος είναι το σημείο επαφής με την ΕΑΚ και εποπτεύει τη συμμόρφωση. Δεν είναι απαραίτητα ο CISO και δεν είναι απλώς τεχνικός ρόλος.

Στην πράξη, αυτό σημαίνει ότι σε έλεγχο η ΕΑΚ θα ζητήσει πρακτικά Διοικητικού Συμβουλίου που εγκρίνουν την πολιτική, αποδεικτικά εκπαίδευσης των μελών του και την απόφαση ορισμού του ΥΑΣΠΕ. Αν η κυβερνοασφάλεια παραμένει «θέμα της Πληροφορικής» που δεν έχει περάσει ποτέ από το ΔΣ, το κενό είναι ορατό από την πρώτη ερώτηση.

Τα δέκα υποχρεωτικά μέτρα

Ο νόμος, ακολουθώντας το άρθρο 21 της Οδηγίας, απαιτεί κατάλληλα και αναλογικά τεχνικά, επιχειρησιακά και οργανωτικά μέτρα που καλύπτουν κατ’ ελάχιστον:

1. Πολιτικές ανάλυσης κινδύνων και ασφάλειας πληροφοριακών συστημάτων
2. Διαχείριση συμβάντων
3. Επιχειρησιακή συνέχεια, με διαχείριση αντιγράφων ασφαλείας και ανάκαμψη από καταστροφή
4. Ασφάλεια αλυσίδας εφοδιασμού, συμπεριλαμβανομένων των σχέσεων με προμηθευτές και παρόχους υπηρεσιών
5. Ασφάλεια στην απόκτηση, ανάπτυξη και συντήρηση συστημάτων, με διαχείριση ευπαθειών
6. Πολιτικές αξιολόγησης της αποτελεσματικότητας των μέτρων
7. Βασικές πρακτικές κυβερνοϋγιεινής και εκπαίδευση
8. Πολιτικές κρυπτογράφησης
9. Ασφάλεια ανθρώπινου δυναμικού, πολιτικές ελέγχου πρόσβασης και διαχείριση περιουσιακών στοιχείων
10. Πολυπαραγοντική αυθεντικοποίηση και ασφαλείς επικοινωνίες

Ο ελληνικός νόμος προσθέτει δύο στοιχεία που δεν είναι αυτονόητα από την Οδηγία. Πρώτον, η οντότητα διατηρεί ενιαία πολιτική κυβερνοασφάλειας, την οποία υποβάλλει στην ΕΑΚ τουλάχιστον ετησίως. Δεύτερον, διατηρεί πλήρη απογραφή των φυσικών και ψηφιακών περιουσιακών στοιχείων πληροφορικής και επικοινωνιών, ταξινομημένη κατά κρισιμότητα.

Για όποιον έχει δουλέψει με ISO 27001, η λίστα είναι οικεία. Η διαφορά είναι ότι εδώ δεν είναι προαιρετικό πρότυπο αλλά νόμος, και ότι η ευθύνη για την εφαρμογή της δεν σταματά στον υπεύθυνο ασφάλειας.

Αναφορά συμβάντων: 24 ώρες, 72 ώρες, ένας μήνας

Σημαντικό συμβάν είναι αυτό που προκαλεί ή μπορεί να προκαλέσει σοβαρή διατάραξη της υπηρεσίας ή οικονομική ζημία στην οντότητα, ή επηρεάζει τρίτους με σημαντική υλική ή μη υλική βλάβη. Η αναφορά στο CSIRT της ΕΑΚ γίνεται σε στάδια:

• Εντός 24 ωρών από τη στιγμή που η οντότητα λαμβάνει γνώση: έγκαιρη προειδοποίηση, με ένδειξη αν υπάρχει υπόνοια παράνομης ή κακόβουλης ενέργειας και διασυνοριακού αντικτύπου.
• Εντός 72 ωρών: κοινοποίηση συμβάντος, με αρχική αξιολόγηση σοβαρότητας και επιπτώσεων και, όπου υπάρχουν, δείκτες παραβίασης.
• Κατόπιν αιτήματος: ενδιάμεσες ενημερώσεις.
• Εντός ενός μήνα από την κοινοποίηση: τελική έκθεση, με αναλυτική περιγραφή, είδος απειλής, βαθύτερη αιτία, μέτρα μετριασμού και τυχόν διασυνοριακό αντίκτυπο.

Εποπτεία και πρόστιμα

Για τις ουσιώδεις οντότητες η εποπτεία είναι προληπτική: τακτικοί και έκτακτοι έλεγχοι ασφάλειας, επιτόπιες και εξ αποστάσεως επιθεωρήσεις, αιτήματα πληροφοριών και πρόσβασης, δεσμευτικές οδηγίες. Για τις σημαντικές οντότητες είναι κατασταλτική, δηλαδή ενεργοποιείται όταν υπάρχουν ενδείξεις μη συμμόρφωσης, αλλά περιλαμβάνει τα ίδια εργαλεία.

Τα διοικητικά πρόστιμα φτάνουν έως €10 εκατ. ή 2% του παγκόσμιου ετήσιου κύκλου εργασιών για ουσιώδεις οντότητες και έως €7 εκατ. ή 1,4% για σημαντικές, όποιο είναι υψηλότερο. Πέρα από τα πρόστιμα, προβλέπονται αναστολή πιστοποιήσεων ή αδειών και η προαναφερθείσα προσωρινή απαγόρευση άσκησης διευθυντικών καθηκόντων.

Τι βλέπουμε στην πράξη

Από τις συζητήσεις με οργανισμούς που υπάγονται, το πρόβλημα σπάνια είναι η άγνοια. Είναι η απόσταση ανάμεσα στο «έχουμε μέτρα» και στο «μπορούμε να το αποδείξουμε». Τρία κενά επαναλαμβάνονται.

Η τεκμηρίωση είναι διάσπαρτη. Η πολιτική βρίσκεται σε ένα Word, η απογραφή σε ένα Excel, τα πρακτικά του ΔΣ στη Νομική Υπηρεσία, τα αποδεικτικά εκπαίδευσης στο HR, οι συμβάσεις προμηθευτών στις Προμήθειες. Κανένα από αυτά δεν είναι λάθος. Αλλά σε έλεγχο, η ερώτηση «δείξτε μου ότι το μέτρο 4 εφαρμόζεται» απαιτεί μία εβδομάδα για να απαντηθεί.

Η αλυσίδα εφοδιασμού αγνοείται. Το μέτρο 4 ζητά να αξιολογείτε την ασφάλεια των προμηθευτών σας. Οι περισσότεροι οργανισμοί έχουν συμβάσεις με ρήτρες εμπιστευτικότητας, όχι όμως αξιολόγηση κινδύνου ανά προμηθευτή ούτε απαιτήσεις ασφάλειας στις συμβάσεις. Όταν ο πάροχος cloud, ο integrator και η εταιρεία φύλαξης έχουν πρόσβαση στα συστήματα, η απάντηση «έχουμε NDA» δεν αρκεί.

Η εκπαίδευση της διοίκησης δεν έχει γίνει. Ή έχει γίνει ως ενημέρωση δέκα λεπτών σε ένα ΔΣ, χωρίς αποδεικτικό. Είναι η πιο εύκολη υποχρέωση να καλυφθεί και η πρώτη που θα ζητηθεί.

Η σύνδεση με τα υπόλοιπα πλαίσια

Το NIS2 δεν είναι το μοναδικό πλαίσιο που ζητά διαχείριση κινδύνου, εκπαίδευση, αξιολόγηση προμηθευτών και αναφορά συμβάντων. Το DORA ζητά τα ίδια από τον χρηματοπιστωτικό τομέα. Ο Cyber Resilience Act τα ζητά για προϊόντα με ψηφιακά στοιχεία. Ο ΓΚΠΔ ζητά αναφορά παραβίασης σε 72 ώρες. Ο AI Act ζητά διακυβέρνηση και εκπαίδευση για τα συστήματα AI. Για έναν οργανισμό που υπάγεται σε δύο ή τρία από αυτά, η διατήρηση ξεχωριστού συστήματος τεκμηρίωσης για το καθένα είναι ο σίγουρος τρόπος να υπάρχουν αντιφάσεις.

Αυτή η παρατήρηση είναι η αφετηρία του Provenly: ένας πυρήνας ελέγχων, περιουσιακών στοιχείων, προμηθευτών και αποδεικτικών, από τον οποίο παράγεται η τεκμηρίωση για κάθε πλαίσιο ξεχωριστά. Το μέτρο ασφάλειας αλυσίδας εφοδιασμού καταγράφεται μία φορά και εμφανίζεται στο NIS2, στο DORA και στον ΓΚΠΔ όπου χρειάζεται.

Από πού να ξεκινήσετε

Αν η οντότητά σας υπάγεται και δεν έχετε δομημένο πρόγραμμα, η σειρά που προτείνουμε είναι: επιβεβαίωση κατηγορίας και εγγραφή στο μητρώο, αν δεν έχει γίνει· απόφαση ΔΣ που εγκρίνει την πολιτική και ορίζει ΥΑΣΠΕ· εκπαίδευση διοίκησης με αποδεικτικό· ανάλυση αποκλίσεων (gap analysis) απέναντι στα δέκα μέτρα· διαδικασία αναφοράς συμβάντων με ονόματα και αναπληρωτές· και μετά, το πλάνο κλεισίματος των κενών με προτεραιότητες.

Μια συζήτηση 30 λεπτών συνήθως αρκεί για να πούμε σε ποια κατηγορία ανήκετε, πού βρίσκεστε σε σχέση με τα δέκα μέτρα και τι αξίζει να γίνει πρώτο.