Η οδηγία NIS2 είναι το νέο ευρωπαϊκό πλαίσιο για την κυβερνοασφάλεια. Στην Ελλάδα ενσωματώθηκε με τον Ν. 5160/2024. Πολλοί ιδιοκτήτες μικρομεσαίων επιχειρήσεων ρωτούν αν τους αφορά και τι πρέπει να κάνουν. Η σύντομη απάντηση: ίσως όχι άμεσα, αλλά σχεδόν σίγουρα έμμεσα.
Το άρθρο αυτό δίνει μια γενική εικόνα. Δεν είναι νομική συμβουλή. Για το αν η επιχείρησή σας εμπίπτει στον νόμο και ποιες ακριβώς υποχρεώσεις έχετε, ελέγξτε με τον νομικό σας σύμβουλο.
Τι είναι η NIS2
Η NIS2 αντικαθιστά την προηγούμενη οδηγία NIS και διευρύνει πολύ τον κύκλο των οργανισμών που καλύπτει. Ο στόχος είναι ένα κοινό, υψηλότερο επίπεδο ασφάλειας σε όλη την Ευρωπαϊκή Ένωση. Οι οργανισμοί που εμπίπτουν πρέπει να λαμβάνουν μέτρα διαχείρισης κινδύνου και να αναφέρουν σοβαρά περιστατικά στις αρμόδιες αρχές.
Ένα σημαντικό σημείο είναι η ευθύνη της διοίκησης. Η κυβερνοασφάλεια δεν θεωρείται πια θέμα μόνο του τεχνικού τμήματος. Η διοίκηση εγκρίνει τα μέτρα, επιβλέπει την εφαρμογή τους και λογοδοτεί γι' αυτά.
Ποιους αφορά
Η οδηγία χωρίζει τους οργανισμούς σε «βασικές» και «σημαντικές» οντότητες. Το αν σας αφορά εξαρτάται κυρίως από δύο πράγματα: τον τομέα δραστηριότητας και το μέγεθος της επιχείρησης. Σε γενικές γραμμές, καλύπτει:
- Οργανισμούς σε τομείς υψηλής κρισιμότητας, όπως ενέργεια, μεταφορές, τράπεζες, υγεία, ύδρευση, ψηφιακές υποδομές, διαχείριση υπηρεσιών ΤΠΕ και δημόσια διοίκηση.
- Οργανισμούς σε άλλους κρίσιμους τομείς, όπως ταχυδρομικές υπηρεσίες, διαχείριση αποβλήτων, χημικά, παραγωγή και διανομή τροφίμων, μεταποίηση και ψηφιακούς παρόχους.
- Κατά κανόνα, μόνο μεσαίες και μεγάλες επιχειρήσεις σε αυτούς τους τομείς.
- Ορισμένους οργανισμούς ανεξαρτήτως μεγέθους, όπως παρόχους υπηρεσιών DNS ή δημόσιων δικτύων επικοινωνιών.
Οι πολύ μικρές και μικρές επιχειρήσεις στους περισσότερους τομείς συνήθως δεν εμπίπτουν άμεσα. Οι κανόνες όμως έχουν εξαιρέσεις και λεπτομέρειες, γι' αυτό η τελική εκτίμηση χρειάζεται νομικό έλεγχο.
Γιατί σας αφορά ακόμη κι αν δεν εμπίπτετε
Η NIS2 ζητά από τις οντότητες που καλύπτει να φροντίζουν και την ασφάλεια της εφοδιαστικής τους αλυσίδας. Αυτό σημαίνει ότι οι προμηθευτές τους, ακόμη και πολύ μικρές εταιρείες, θα δέχονται ερωτήσεις για τα μέτρα ασφάλειάς τους.
Αν συνεργάζεστε με νοσοκομείο, εταιρεία ενέργειας, μεταφορική ή μεγάλη βιομηχανία, περιμένετε ερωτηματολόγια, όρους στις συμβάσεις και αιτήματα για αποδείξεις. Μια επιχείρηση που έχει ήδη τα βασικά σε τάξη απαντά εύκολα και κρατά τον πελάτη.
Ετοιμάστε ένα έγγραφο δύο σελίδων που περιγράφει τα μέτρα ασφάλειάς σας: backup, MFA, ενημερώσεις, πρόσβαση, σχέδιο περιστατικού. Θα το χρειαστείτε στο πρώτο ερωτηματολόγιο πελάτη.
Τα βασικά μέτρα που αξίζει να έχει κάθε ΜμΕ
Η NIS2 περιγράφει μια σειρά από μέτρα διαχείρισης κινδύνου. Τα περισσότερα είναι καλή πρακτική για κάθε επιχείρηση, ανεξάρτητα από το αν σας υποχρεώνει ο νόμος.
- Ανάλυση κινδύνου: τι συστήματα και δεδομένα έχετε, πόσο κρίσιμα είναι και τι θα συμβεί αν χαθούν.
- Έλεγχος ταυτότητας πολλαπλών παραγόντων (MFA) στο email, στο cloud και στην απομακρυσμένη πρόσβαση.
- Αντίγραφα ασφαλείας με τον κανόνα 3-2-1 και τακτική δοκιμή επαναφοράς.
- Τακτικές ενημερώσεις σε υπολογιστές, servers, router, firewall και εφαρμογές.
- Δικαιώματα πρόσβασης μόνο όσα χρειάζεται ο καθένας και άμεση κατάργηση λογαριασμών όταν φεύγει κάποιος.
- Λίστα εξοπλισμού και λογισμικού, ώστε να ξέρετε τι πρέπει να προστατέψετε.
- Κρυπτογράφηση σε φορητούς υπολογιστές και ασφαλείς συνδέσεις VPN.
- Εκπαίδευση προσωπικού για phishing και απάτες πληρωμών.
- Γραπτό σχέδιο για την αντιμετώπιση περιστατικών και για τη συνέχιση της λειτουργίας.
Ένα ρεαλιστικό πλάνο σε τρία βήματα
Δεν χρειάζεται να τα κάνετε όλα μαζί. Για μια μικρομεσαία επιχείρηση, ένα πλάνο σε στάδια είναι πιο εφικτό και φέρνει αποτέλεσμα από τον πρώτο μήνα.
- Πρώτος μήνας: MFA παντού, έλεγχος ότι το backup δουλεύει, αλλαγή προεπιλεγμένων κωδικών σε router και συσκευές.
- Επόμενοι μήνες: λίστα εξοπλισμού, ενημερώσεις, διαχωρισμός δικτύου με VLAN, εκπαίδευση προσωπικού.
- Σε βάθος έτους: γραπτές πολιτικές, σχέδιο περιστατικού, έλεγχος προμηθευτών και τακτική επανεξέταση των μέτρων.
Αναφορά περιστατικών
Οι οντότητες που εμπίπτουν στη NIS2 πρέπει να αναφέρουν τα σημαντικά περιστατικά σε σύντομα, συγκεκριμένα χρονικά διαστήματα, με πρώτη έγκαιρη προειδοποίηση εντός 24 ωρών. Για να γίνει αυτό, πρέπει πρώτα να μπορείτε να καταλάβετε ότι συνέβη κάτι. Χωρίς αρχεία καταγραφής και κάποιον που τα κοιτάζει, ένα περιστατικό μπορεί να περάσει απαρατήρητο για εβδομάδες.
Ακόμη κι αν δεν έχετε νομική υποχρέωση, αξίζει να ξέρετε ποιον ενημερώνετε και πώς. Αν υπάρχει διαρροή προσωπικών δεδομένων, ισχύουν ξεχωριστά οι υποχρεώσεις του GDPR προς την Αρχή Προστασίας Δεδομένων.
Ενεργοποιήστε ειδοποιήσεις για ύποπτες συνδέσεις στο Microsoft 365 ή στο Google Workspace. Είναι από τα πιο απλά και φθηνά μέτρα έγκαιρης ανίχνευσης.
Μην περιμένετε το πρώτο ερωτηματολόγιο ή το πρώτο περιστατικό για να ξεκινήσετε. Τα περισσότερα από αυτά τα μέτρα δεν απαιτούν ακριβό εξοπλισμό. Απαιτούν κυρίως σωστές ρυθμίσεις, λίγη τεκμηρίωση και κάποιον που να τα παρακολουθεί σε τακτική βάση.
Από πού να ξεκινήσετε
Πρώτα ελέγξτε με τον νομικό σας σύμβουλο αν η επιχείρησή σας εμπίπτει στον Ν. 5160/2024. Παράλληλα, κάντε μια τεχνική αποτίμηση της σημερινής κατάστασης: δίκτυο, συσκευές, λογαριασμοί, backup. Από εκεί βγαίνει μια λίστα με προτεραιότητες που ταιριάζει στο μέγεθος και τον προϋπολογισμό σας.
Η CyberSpace Dynamics αναλαμβάνει το τεχνικό μέρος: αποτίμηση, firewall και VLAN, MFA, αντίγραφα ασφαλείας, ενημερώσεις, τεκμηρίωση και εκπαίδευση προσωπικού. Δουλεύουμε μαζί με τον νομικό σας σύμβουλο, ώστε τα μέτρα να καλύπτουν και τις απαιτήσεις που σας αφορούν.