Οδηγία NIS2: Υποχρεώσεις Υπαγόμενων Οντοτήτων & Περιστατικά Ασφαλείας

Σε προηγούμενη αρθρογραφία μας προσεγγίσαμε το ρυθμιστικό πλαίσιο της Οδηγίας NIS2 και του εφαρμοστικού της νόμου, με έμφαση στο υποκειμενικό πεδίο εφαρμογής-στις οντότητες, δηλ., που υποχρεούνται να συμμορφωθούν. Προχωρώντας βαθύτερα, κρίσιμο είναι να εξετάσουμε το πλαίσιο συμμόρφωσης για τις υπαγόμενες (Βασικές και Σημαντικές) Οντότητες. Επικεντρωνόμαστε, στη συνέχεια, στις υποχρεώσεις τους και στο πλαίσιο διαχείρισης περιστατικών ασφαλείας.

Υποχρέωση Εγγραφής στο Μητρώο Φορέων & Λήψης Μέτρων Kυβερνοασφάλειας

Καταληκτική ημερομηνία για την ολοκλήρωση της εγγραφής στο Μητρώο Φορέων-Υπόχρεων της Εθνικής Αρχής Κυβερνοασφάλειας ορίσθηκε η 30η.09.2025.

Τα μέτρα που οφείλουν να λαμβάνουν οι υπόχρεες Οντότητες, περιλαμβάνουν, τουλάχιστον, τα ακόλουθα: (α) πολιτικές και διαδικασίες για την ανάλυση κινδύνου και την ασφάλεια των πληροφοριακών συστημάτων, (β) διαχείριση περιστατικών, (γ) επιχειρησιακή συνέχεια, (δ) ασφάλεια της αλυσίδας εφοδιασμού, (ε) ασφάλεια στην απόκτηση, ανάπτυξη και συντήρηση συστημάτων δικτύου και πληροφοριακών συστημάτων, (στ) πολιτικές και διαδικασίες, (ζ) βασικές πρακτικές κυβερνοϋγιεινής και κατάρτιση στην κυβερνοασφάλεια, (η) ασφάλεια ανθρώπινου δυναμικού, πολιτικές ελέγχου πρόσβασης και διαχείριση πάγιων στοιχείων, (θ) χρήση λύσεων πολυπαραγοντικής επαλήθευσης ταυτότητας ή συνεχούς επαλήθευσης ταυτότητας και ασφαλών επικοινωνιών.

Εθνικό Πλαίσιο Απαιτήσεων Κυβερνοασφάλειας

Κάθε (Bασική ή Σημαντική) Οντότητα οφείλει να: (α) διαμορφώνει και υλοποιεί ολοκληρωμένο πρόγραμμα διαχείρισης των κινδύνων κυβερνοασφάλειας, (β) αναπτύσσει και τηρεί κατάλληλο πλαίσιο διαχείρισης κινδύνων κυβερνοασφάλειας, διενεργεί εκτίμηση κινδύνων, αναπτύσσει-υλοποιεί-επιβλέπει πλάνο αντιμετώπισης κινδύνων, (γ) εκπονεί γραπτές γενική και θεματικές Πολιτικές ασφάλειας πληροφοριών, (δ) ορίζει αρμοδιότητες και εξουσίες αναφορικά με την κυβερνοασφάλεια, (ε) υλοποιεί διαδικασίες παρακολούθησης και αξιολόγησης της συμμόρφωσής της, (στ) λαμβάνει μέτρα ασφάλειας του ανθρώπινου δυναμικού, (ζ) λαμβάνει μέτρα αναφορικά με συγκεκριμένες περιοχές.

Υποχρεώσεις για την Απόδοση Ρόλων και Ευθυνών

Οι υπόχρεες Οντότητες οφείλουν: (α) να ορίζουν ένα αρμόδιο στέλεχός τους, ανάλογων προσόντων και εμπειρογνωμοσύνης ως Υπεύθυνο Ασφάλειας Συστημάτων Πληροφορικής και Επικοινωνιών, (β) να τηρούν ενιαία πολιτική κυβερνοασφάλειας, (γ) να τηρούν συνολική καταγραφή των υλικών και άυλων πληροφοριακών και επικοινωνιακών αγαθών, (δ) να εκπαιδεύουν σχετικά τα μέλη της Διοίκησης αλλά και τους εργαζομένους τους.

Περιστατικά Ασφαλείας

Ως Περιστατικό Ασφαλείας νοείται κάθε συμβάν που θέτει σε κίνδυνο τη διαθεσιμότητα, την ακεραιότητα ή την εμπιστευτικότητα των δεδομένων που αποθηκεύονται, μεταδίδονται ή υποβάλλονται σε επεξεργασία˙ των υπηρεσιών, επίσης, που προσφέρονται ή είναι προσβάσιμες μέσω συστημάτων δικτύου και πληροφοριακών συστημάτων.

Κάθε περιστατικό που έχει σημαντικό αντίκτυπο στην παροχή των υπηρεσιών των Βασικών και Σημαντικών Οντοτήτων, πρέπει να κοινοποιείται άμεσα, εντός συγκεκριμένων προθεσμιών, στην Εθνική Αρχή Κυβερνοασφάλειας.

Ανταλλαγή Πληροφοριών - Συμμόρφωση

Οι Οντότητες ανταλλάσσουν μεταξύ τους, σε εθελοντική βάση, πληροφορίες σχετικές με την κυβερνοασφάλεια. Οφείλουν, σε κάθε περίπτωση, να συμμορφώνονται με τα μέτρα, ελέγχους και επιθεωρήσεις της Εθνικής Αρχής Κυβερνοασφάλειας.

Η κυβερνοασφάλεια αποτελεί, ήδη, βασικό πυλώνα επιχειρηματικής ανθεκτικότητας και εταιρικής υπευθυνότητας. Απαιτείται, αυτονοήτως, μια ολιστική και καλά δομημένη προσέγγιση, που ξεκινά από τη στρατηγική και τη διακυβέρνηση της Οντότητας και επεκτείνεται σε κάθε τεχνικό και λειτουργικό επίπεδο. Με την συμμόρφωση με τις συγκεκριμένες προβλέψεις και συνολικά με το καθεστώς της Οδηγίας NIS2 και του εφαρμοστικού της νόμου, ενισχύεται η ετοιμότητα και η ασφάλεια έναντι των κυβερνοαπειλών˙ διασφαλίζεται, εν τέλει η επιχειρησιακή συνέχεια. Η εποπτεία, ο ρόλος της διοίκησης και οι επαπειλούμενες κυρώσεις θα μας απασχολήσουν στην επόμενη, και τελευταία, ενότητα της αρθρογραφίας μας.-

Σταύρος Κουμεντάκης

Managing Partner

Koumentakis and Associates Law Firm

Σημ.: Σε πλήρη μορφή το άρθρο Οδηγία NIS2: Υποχρεώσεις Υπαγόμενων Οντοτήτων & Περιστατικά Ασφαλείας