NIS2: το νομικό σκέλος της συμμόρφωσης στην κυβερνοασφάλεια.

Ποιοι είναι υπόχρεοι

Ο ν. 5160/2024 (ΦΕΚ Α' 195/27.11.2024) εφαρμόζεται σε δημόσιες και ιδιωτικές οντότητες των τομέων που απαριθμούνται στα δύο Παραρτήματά του, εφόσον είναι τουλάχιστον μεσαίες επιχειρήσεις κατά τον ενωσιακό ορισμό των ΜμΕ, δηλαδή απασχολούν 50 ή περισσότερους εργαζομένους ή έχουν ετήσιο κύκλο εργασιών και σύνολο ισολογισμού άνω των 10 εκατ. ευρώ. Οι τομείς υψηλής κρισιμότητας του Παραρτήματος Ι είναι η ενέργεια, οι μεταφορές, οι τράπεζες, οι υποδομές χρηματοπιστωτικών αγορών, η υγεία, το πόσιμο νερό, τα λύματα, οι ψηφιακές υποδομές, η διαχείριση υπηρεσιών ΤΠΕ μεταξύ επιχειρήσεων, η δημόσια διοίκηση και το διάστημα. Οι λοιποί κρίσιμοι τομείς του Παραρτήματος ΙΙ είναι οι ταχυδρομικές υπηρεσίες και υπηρεσίες ταχυμεταφορών, η διαχείριση αποβλήτων, τα χημικά, η παραγωγή και διανομή τροφίμων, η μεταποίηση, οι ψηφιακοί πάροχοι και η έρευνα.

Ορισμένες οντότητες υπάγονται ανεξαρτήτως μεγέθους, όπως οι πάροχοι δημόσιων δικτύων ή διαθέσιμων στο κοινό υπηρεσιών ηλεκτρονικών επικοινωνιών, οι πάροχοι υπηρεσιών εμπιστοσύνης, τα μητρώα ονομάτων τομέα ανωτάτου επιπέδου και οι πάροχοι υπηρεσιών DNS. Οι μεγάλες επιχειρήσεις των τομέων του Παραρτήματος Ι είναι βασικές οντότητες, όπως και ορισμένες άλλες κατηγορίες που ορίζει ο νόμος· οι υπόλοιπες υπόχρεες οντότητες είναι σημαντικές. Οι χρηματοπιστωτικές οντότητες που υπάγονται στον Κανονισμό DORA ακολουθούν, για τη διαχείριση κινδύνων και την αναφορά περιστατικών, τον Κανονισμό αυτόν.

Τι προβλέπει ο νόμος

Οι υπόχρεες οντότητες υποβάλλουν τα στοιχεία τους, μεταξύ άλλων τα ονόματα χώρου (domain names) και το εύρος διευθύνσεων IP, στην Εθνική Αρχή Κυβερνοασφάλειας μέσω της ψηφιακής πλατφόρμας. Η αρχική προθεσμία ήταν δύο μήνες από την έναρξη ισχύος του νόμου και έχει παρέλθει, οπότε όποια επιχείρηση δεν έχει ολοκληρώσει την εγγραφή της πρέπει να το κάνει χωρίς καθυστέρηση. Κάθε μεταβολή στα στοιχεία δηλώνεται εντός δύο εβδομάδων.

Το όργανο διοίκησης εγκρίνει τα μέτρα διαχείρισης κινδύνων κυβερνοασφάλειας, εποπτεύει την εφαρμογή τους και ευθύνεται για τις παραβάσεις. Τα μέλη του παρακολουθούν εκπαίδευση και το προσωπικό λαμβάνει ανάλογη κατάρτιση τουλάχιστον μία φορά τον χρόνο. Τα μέτρα περιλαμβάνουν κατ' ελάχιστο πολιτικές ανάλυσης κινδύνου και ασφάλειας πληροφοριακών συστημάτων, διαχείριση περιστατικών, επιχειρησιακή συνέχεια και διαχείριση κρίσεων, ασφάλεια της εφοδιαστικής αλυσίδας, ασφάλεια στην απόκτηση και ανάπτυξη συστημάτων και χειρισμό ευπαθειών, αξιολόγηση της αποτελεσματικότητας των μέτρων, κυβερνοϋγιεινή και εκπαίδευση, κρυπτογραφία, ασφάλεια ανθρώπινων πόρων, έλεγχο πρόσβασης και διαχείριση πάγιων στοιχείων, καθώς και πολυπαραγοντική επαλήθευση ταυτότητας όπου ενδείκνυται.

Η επιχείρηση ορίζει Υ.Α.Σ.Π.Ε., του οποίου τα καθήκοντα είναι ασυμβίβαστα με εκείνα του Υπευθύνου Προστασίας Δεδομένων, τηρεί ενιαία πολιτική κυβερνοασφάλειας και συνολικό κατάλογο των πληροφοριακών και επικοινωνιακών της αγαθών. Οι βασικές οντότητες υποβάλλουν την ενιαία πολιτική στην Αρχή προς έγκριση τουλάχιστον μία φορά τον χρόνο.

Κάθε σημαντικό περιστατικό αναφέρεται σταδιακά στην ομάδα CSIRT της Αρχής: έγκαιρη προειδοποίηση εντός 24 ωρών από τη στιγμή που η επιχείρηση το αντιλήφθηκε, κοινοποίηση περιστατικού εντός 72 ωρών και τελική έκθεση το αργότερο έναν μήνα μετά την κοινοποίηση. Κατά περίπτωση ενημερώνονται και οι αποδέκτες των υπηρεσιών της. Ο νόμος ορίζει ρητά ότι η απλή κοινοποίηση δεν συνεπάγεται, αφ' εαυτής, ευθύνη της επιχείρησης.

Εποπτεία, κυρώσεις και ευθύνη της διοίκησης

Οι βασικές οντότητες υπόκεινται σε προληπτική εποπτεία, με επιτόπιες επιθεωρήσεις και τακτικούς ελέγχους ασφάλειας. Οι σημαντικές οντότητες ελέγχονται κατασταλτικά, όταν υπάρχουν ενδείξεις ότι δεν συμμορφώνονται.

Για παραβάσεις των υποχρεώσεων διαχείρισης κινδύνων ή αναφοράς περιστατικών, στις βασικές οντότητες επιβάλλεται πρόστιμο έως 10 εκατ. ευρώ ή έως 2% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών, όποιο είναι υψηλότερο, και στις σημαντικές έως 7 εκατ. ευρώ ή έως 1,4%. Χωριστά πρόστιμα προβλέπονται όταν η διοίκηση δεν εγκρίνει και δεν εποπτεύει τα μέτρα ή δεν παρακολουθεί την εκπαίδευση. Αν βασική οντότητα δεν αποκαταστήσει τις ελλείψεις στην προθεσμία που της τάχθηκε, η Αρχή μπορεί να απαγορεύσει προσωρινά στον διευθύνοντα σύμβουλο ή στον νόμιμο εκπρόσωπο την άσκηση διευθυντικών καθηκόντων. Οι αποφάσεις επιβολής προστίμων προσβάλλονται με αίτηση ακυρώσεως στο κατά τόπον αρμόδιο Διοικητικό Εφετείο.