Η κυβερνοασφάλεια έχει πάψει προ πολλού να αποτελεί αποκλειστική υπόθεση των τμημάτων πληροφορικής. Η συνεχής αύξηση των ψηφιακών απειλών, η εξάρτηση των επιχειρήσεων από τις τεχνολογικές υποδομές και οι ολοένα αυστηρότερες κανονιστικές απαιτήσεις οδηγούν τους οργανισμούς σε μια νέα πραγματικότητα, όπου η προστασία των πληροφοριακών συστημάτων συνδέεται άμεσα με τη συνολική επιχειρησιακή τους ανθεκτικότητα. Σύμφωνα με την Bureau Veritas, η ευρωπαϊκή Οδηγία NIS2 αποτελεί το σημαντικότερο βήμα προς αυτή την κατεύθυνση, καθώς θεσπίζει ένα πιο ολοκληρωμένο και απαιτητικό πλαίσιο διαχείρισης των κινδύνων κυβερνοασφάλειας.
Όπως επισημαίνει η Bureau Veritas, η Οδηγία NIS2 (Οδηγία ΕΕ 2022/2555), η οποία ενσωματώθηκε στην ελληνική νομοθεσία με τον Ν. 5160/2024, διευρύνει σημαντικά τόσο το πεδίο εφαρμογής όσο και τις υποχρεώσεις των οργανισμών. Παράλληλα, ενισχύει τον εποπτικό ρόλο της Εθνικής Αρχής Κυβερνοασφάλειας, η οποία αναλαμβάνει τον συντονισμό και την παρακολούθηση της εφαρμογής του νέου πλαισίου στη χώρα.
Οι νέες απαιτήσεις δεν αφορούν μόνο εταιρείες υψηλής τεχνολογίας. Αντίθετα, καλύπτουν ένα ευρύ φάσμα κρίσιμων και σημαντικών τομέων της οικονομίας, μεταξύ των οποίων περιλαμβάνονται η ενέργεια, οι μεταφορές, οι τραπεζικές και χρηματοπιστωτικές υπηρεσίες, οι υποδομές των αγορών, η υγεία, το πόσιμο νερό, τα λύματα, οι ψηφιακές υποδομές, οι υπηρεσίες τεχνολογιών πληροφορικής και επικοινωνιών, η δημόσια διοίκηση, οι ταχυδρομικές και ταχυμεταφορικές υπηρεσίες, η διαχείριση αποβλήτων, η παραγωγή και διανομή τροφίμων, η χημική βιομηχανία, οι κατασκευές, οι ψηφιακοί πάροχοι και η έρευνα.
Η υπαγωγή στο νέο καθεστώς βασίζεται κυρίως στο μέγεθος κάθε οργανισμού, καλύπτοντας κατά κανόνα μεσαίες και μεγάλες επιχειρήσεις με περισσότερους από 50 εργαζομένους ή κύκλο εργασιών ή σύνολο ισολογισμού που υπερβαίνει τα 10 εκατ. ευρώ. Ωστόσο, όπως διευκρινίζει η Bureau Veritas, ακόμη και μικρότερες επιχειρήσεις μπορούν να ενταχθούν στις διατάξεις της οδηγίας όταν δραστηριοποιούνται σε τομείς ιδιαίτερης σημασίας για την οικονομία και την κοινωνία.
Ένα από τα πρώτα βήματα για τους οργανισμούς που εμπίπτουν στη νομοθεσία είναι η εγγραφή στο Μητρώο Βασικών και Σημαντικών Οντοτήτων της Εθνικής Αρχής Κυβερνοασφάλειας. Η διαδικασία έπρεπε να ολοκληρωθεί εντός των προθεσμιών που προέβλεπε η νομοθεσία κατά τη διάρκεια του 2025, μέσω της ειδικής ηλεκτρονικής πλατφόρμας. Παράλληλα, η Εθνική Αρχή έχει αναπτύξει ειδικό εργαλείο αυτοαξιολόγησης, ώστε κάθε επιχείρηση να μπορεί να διαπιστώσει εάν υπάγεται στις διατάξεις της NIS2 και ποιες ακριβώς υποχρεώσεις απορρέουν από αυτή.
Η Bureau Veritas υπογραμμίζει ότι η συμμόρφωση δεν εξαντλείται στην κάλυψη τυπικών υποχρεώσεων, αλλά απαιτεί μια συνολική προσέγγιση στη διαχείριση των κινδύνων. Οι οργανισμοί καλούνται να εφαρμόζουν πολιτικές κυβερνοασφάλειας, να προστατεύουν τα δίκτυα και τα πληροφοριακά τους συστήματα, να αξιολογούν τους κινδύνους που προκύπτουν από την εφοδιαστική αλυσίδα, να επενδύουν στην εκπαίδευση του προσωπικού και να διαθέτουν ολοκληρωμένα σχέδια επιχειρησιακής συνέχειας και ανάκαμψης από σοβαρά περιστατικά.
Ιδιαίτερη βαρύτητα δίνεται και στη διαχείριση των περιστατικών κυβερνοασφάλειας. Σύμφωνα με το νέο πλαίσιο, οι οργανισμοί οφείλουν να ενημερώνουν άμεσα τις αρμόδιες αρχές για σημαντικά συμβάντα, αποστέλλοντας αρχική ειδοποίηση μέσα σε 24 ώρες από τη διαπίστωσή τους και αναλυτικότερη ενημέρωση εντός 72 ωρών. Όπως σημειώνει η Bureau Veritas, οι απαιτήσεις αυτές καθιστούν αναγκαία την ύπαρξη σαφών διαδικασιών, κατάλληλων μηχανισμών παρακολούθησης και οργανωμένης διαχείρισης κρίσεων.
Σε αυτό το περιβάλλον, η εταιρεία θεωρεί ότι τα διεθνή πρότυπα ISO 27001 και ISO 22301 αποτελούν ουσιαστικά εργαλεία για την εφαρμογή των απαιτήσεων της οδηγίας. Το ISO 27001 προσφέρει το πλαίσιο για την ανάπτυξη και λειτουργία ενός Συστήματος Διαχείρισης Ασφάλειας Πληροφοριών, ενώ το ISO 22301 επικεντρώνεται στην επιχειρησιακή συνέχεια, διασφαλίζοντας ότι ένας οργανισμός μπορεί να συνεχίσει τη λειτουργία του ακόμη και υπό συνθήκες σοβαρής διαταραχής ή κυβερνοεπίθεσης.
