Οδηγία NIS2: Εποπτεία, Ρόλος Διοίκησης & Κυρώσεις

Η αποτελεσματική εφαρμογή της Οδηγίας NIS2, όπως ενσωματώθηκε στην ελληνική έννομη τάξη από τον εφαρμοστικό της νόμο, προϋποθέτει όχι μόνο τη θέσπιση ουσιαστικών υποχρεώσεων κυβερνοασφάλειας αλλά και τη διαμόρφωση ενός αποτελεσματικού μηχανισμού εποπτείας, λογοδοσίας και επιβολής κυρώσεων. Στο πλαίσιο αυτό, ιδιαίτερη σημασία αποκτά ο ρόλος της ανώτατης διοίκησης, η οποία καλείται να ενσωματώσει την κυβερνοασφάλεια στον πυρήνα της οργανωτικής και στρατηγικής λειτουργίας των υπαγόμενων οντοτήτων. Οι επαπειλούμενες κυρώσεις δεν είναι αμελητέες...

Εποπτεία

Οι Βασικές Οντότητες υπόκεινται σε πλήρες καθεστώς εποπτείας, το οποίο περιλαμβάνει τόσο προληπτικούς όσο και κατασταλτικούς ελέγχους˙ οι Σημαντικές Οντότητες υπόκεινται σε απλοποιημένο εποπτικό καθεστώς, το οποίο ενεργοποιείται μόνο εκ των υστέρων.

Κατά τη διενέργεια των ελέγχων η οικεία Οντότητα παρέχει τα σχετικά αποδεικτικά στοιχεία, ενδείξεις ή πληροφορίες ώστε να τεκμηριώνεται η συμμόρφωσή της με τις προβλεπόμενες απαιτήσεις.

Αρμόδια αρχή για την εποπτεία, τον έλεγχο και την επιβολή κυρώσεων είναι η Εθνική Αρχή Κυβερνοασφάλειας, η οποία διαθέτει τα αναγκαία μέσα και εξουσίες για την άσκηση των σχετικών αρμοδιοτήτων της.

Ευθύνη & Ρόλος Ανώτατης Διοίκησης

Η ανώτατη διοίκηση των υπόχρεων οντοτήτων:

(α) Εγκρίνει τα μέτρα διαχείρισης κινδύνων στον τομέα της κυβερνοασφάλειας που λαμβάνουν οι εν λόγω Οντότητες.

(β) Επιβλέπει την εφαρμογή τους.

(γ) Παρακολουθεί κατάλληλη εκπαίδευση, για την αξιολόγηση, λήψη και παρακολούθηση των σχετικών αποφάσεων.

(δ) Διασφαλίζει ότι η Οντότητα παρέχει όμοια κατάρτιση στους υπαλλήλους της σε τακτική βάση.

(ε) Λογοδοτεί για την εκ μέρους των Οντοτήτων παραβίαση των υποχρεώσεων.

Υπεύθυνος Ασφάλειας Συστημάτων Πληροφορικής και Επικοινωνιών (Υ.Α.Σ.Π.Ε.)

Στο πλαίσιο της οργανωτικής συμμόρφωσης, η ανώτατη διοίκηση οφείλει να ορίσει υπάλληλο της Οντότητας ως Υπεύθυνο Ασφάλειας Συστημάτων Πληροφορικής και Επικοινωνιών (Υ.Α.Σ.Π.Ε.). Ο Υ.Α.Σ.Π.Ε. πρέπει να διαθέτει επαρκή γνώση των επιχειρηματικών διαδικασιών της Οντότητας, να διαθέτει συγκεκριμένα προσόντα και να μην υπόκειται στα κωλύματα και ασυμβίβαστα που ο νόμος ορίζει και, μεταξύ άλλων:

(α) Αποτελεί το σημείο επαφής και συνεργάζεται με την Εθνική Αρχή Κυβερνοασφάλειας και το αρμόδιο CSIRT.

(β) Συντονίζει και επιβλέπει τη συμμόρφωση της Οντότητας.

(γ) Εποπτεύει την υλοποίηση της Ενιαίας Πολιτικής Ασφάλειας και την ικανοποίηση των βασικών απαιτήσεων ασφάλειας, την εκπαίδευση και ευαισθητοποίηση των υπαλλήλων της Οντότητας σε θέματα ασφάλειας πληροφοριών και δικτύων.

(δ) Συντάσσει την αναφορά αυτοαξιολόγησης της Οντότητας που αποστέλλεται στην Εθνική Αρχή Κυβερνοασφάλειας.

(ε) Παρίσταται στους ελέγχους που πραγματοποιεί η Ομάδα Επιθεώρησης Ελέγχου, τους οποίους και διευκολύνει.

Σημειώνεται ότι ο ρόλος του Υ.Α.Σ.Π.Ε. στην οργανωτική δομή της Οντότητας πρέπει να είναι ανεξάρτητος και να μην προκύπτει σύγκρουση συμφερόντων με άλλους εργασιακούς ρόλους που τυχόν κατέχει.

Κυρώσεις

Πέραν των ειδικών διοικητικών μέτρων -όπως οι προσωρινές αναστολές και απαγορεύσεις, προβλέπεται η δυνατότητα επιβολής εξαιρετικά σημαντικών (και απολύτως αποτρεπτικών) χρηματικών προστίμων.

Η Οδηγία NIS2 και ο εφαρμοστικός της νόμος αποτυπώνουν μία σαφή μετατόπιση από μια στενά τεχνική προσέγγιση της κυβερνοασφάλειας προς ένα ολοκληρωμένο πλαίσιο εταιρικής διακυβέρνησης. Η εποπτεία, η ενεργός εμπλοκή της ανώτατης διοίκησης και η πρόβλεψη κλιμακούμενων κυρώσεων συνιστούν αλληλένδετα στοιχεία ενός μηχανισμού που αποσκοπεί στη διασφάλιση υψηλού επιπέδου ανθεκτικότητας των Βασικών και Σημαντικών Οντοτήτων. Η συμμόρφωση με το εν λόγω πλαίσιο δεν εξαντλείται στην τυπική εκπλήρωση υποχρεώσεων, αλλά απαιτεί συστηματική οργάνωση, συνεχή αξιολόγηση και καλλιέργεια κουλτούρας κυβερνοασφάλειας σε όλα τα επίπεδα της Οντότητας.- 

Σταύρος Κουμεντάκης

Managing Partner

Koumentakis and Associates Law Firm

Σημ.: Σε πλήρη μορφή το άρθρο Οδηγία NIS2:  Εποπτεία, Ρόλος Διοίκησης & Κυρώσεις