NIS2 για τη διοίκηση: πέντε ερωτήσεις που πρέπει να μπορεί να απαντήσει το ΔΣ σας
Η NIS2 βάζει την κυβερνοασφάλεια στην ατζέντα του ΔΣ, με νόμο. Πέντε ερωτήσεις που περιμένω να απαντά κάθε διοίκηση, με παράδειγμα τον ελληνικό νόμο 5160/2024.
Οι περισσότερες συζητήσεις για τη NIS2 που κάνω ξεκινούν από λάθος σημείο. Κάποιος ρωτά ποιο εργαλείο πρέπει να αγοράσει. Η σωστή ερώτηση είναι ποιος στην εταιρεία υπογράφει για το ρίσκο, γιατί εκεί ακριβώς βάζει την υποχρέωση η οδηγία.
Το άρθρο 20 της NIS2 ορίζει ότι τα όργανα διοίκησης των εταιρειών που καλύπτονται εγκρίνουν τα μέτρα διαχείρισης κινδύνων κυβερνοασφάλειας, επιβλέπουν την εφαρμογή τους και λογοδοτούν όταν η εταιρεία δεν τα τηρεί. Τα μέλη τους οφείλουν επίσης να εκπαιδεύονται. Στην Ελλάδα, ο νόμος 5160/2024 το μεταφέρει σχεδόν αυτούσιο στο άρθρο 14 και προσθέτει εκπαίδευση του προσωπικού τουλάχιστον μία φορά τον χρόνο. Προβλέπει μάλιστα ξεχωριστό πρόστιμο έως 200.000 ευρώ όταν η διοίκηση δεν έχει εγκρίνει καθόλου τα μέτρα.
Η NIS2 λοιπόν δεν είναι ένα έργο πληροφορικής με ένα νομικό παράρτημα. Είναι υποχρέωση διακυβέρνησης που έχει και τεχνική πλευρά. Παρακάτω είναι οι πέντε ερωτήσεις που περιμένω να μπορεί να απαντήσει κάθε διοίκηση, είτε η εταιρεία είναι στην Αθήνα είτε στη Φρανκφούρτη είτε στη Λισαβόνα.
Πού βρίσκεται η NIS2 στο τέλος του 2026
Τα κράτη μέλη έπρεπε να ενσωματώσουν την οδηγία στο εθνικό τους δίκαιο έως τις 17 Οκτωβρίου 2024. Τα περισσότερα το έκαναν. Τον Ιούλιο του 2026 η Ευρωπαϊκή Επιτροπή παρέπεμψε την Ιρλανδία, την Ισπανία, τη Γαλλία και την Ολλανδία στο Δικαστήριο της ΕΕ επειδή δεν είχαν ολοκληρώσει την ενσωμάτωση. Τον Ιανουάριο του 2026 η Επιτροπή πρότεινε και στοχευμένες αλλαγές στην οδηγία, ώστε η συμμόρφωση να γίνει πιο σαφής και πιο απλή, κυρίως για τις μικρότερες εταιρείες. Η πρόταση αυτή είναι λόγος να παρακολουθούμε τις λεπτομέρειες, όχι λόγος να περιμένουμε. Στο μεγαλύτερο μέρος της ΕΕ, και στην Ελλάδα, ο εθνικός νόμος ήδη ισχύει.
1. Μας αφορά, και είμαστε εγγεγραμμένοι;
Κατά κανόνα η NIS2 καλύπτει μεσαίες και μεγάλες εταιρείες σε 18 κρίσιμους τομείς: από την ενέργεια, την υγεία και τις μεταφορές μέχρι τις ψηφιακές υποδομές, τη μεταποίηση και τις υπηρεσίες managed IT. Οι εταιρείες αυτές χαρακτηρίζονται βασικές ή σημαντικές οντότητες, και ο χαρακτηρισμός αλλάζει τόσο την εποπτεία όσο και το ύψος των προστίμων.
Στην Ελλάδα, οι οντότητες που καλύπτονται έπρεπε να εγγραφούν στο μητρώο της Εθνικής Αρχής Κυβερνοασφάλειας. Η παράταση έληξε στις 30 Σεπτεμβρίου 2025, και στην εγγραφή δηλώνεται υποχρεωτικά ο Υπεύθυνος Ασφάλειας Συστημάτων Πληροφορικής και Επικοινωνιών (ΥΑΣΠΕ). Κάθε αλλαγή στα στοιχεία δηλώνεται μέσα σε δύο εβδομάδες. Αν η εταιρεία σας έπρεπε να είναι στο μητρώο και δεν είναι, από εκεί ξεκινάτε.
Αν δεν σας αφορά άμεσα, μη σταματήσετε εδώ. Μπορεί να αφορά τους πελάτες σας. Η ασφάλεια της εφοδιαστικής αλυσίδας είναι ένα από τα μέτρα που απαιτεί η οδηγία, οπότε όσοι καλύπτονται ζητούν πλέον την ίδια πειθαρχία και από τους προμηθευτές τους. Σε πολλές μικρότερες εταιρείες η NIS2 φτάνει μέσα από μια σύμβαση, όχι μέσα από μια αρχή.
2. Ποιος έχει την ευθύνη για την κυβερνοασφάλεια στη διοίκηση, και τι ακριβώς έχουμε εγκρίνει;
Το «το έχει το IT» δεν είναι πια απάντηση. Κάποιος στη διοίκηση πρέπει να έχει το θέμα στην ευθύνη του, και το ΔΣ πρέπει να μπορεί να δείξει τι ενέκρινε και πότε.
Στην Ελλάδα αυτό είναι πολύ συγκεκριμένο. Η ΚΥΑ 1689/2025 ζητά γραπτή γενική πολιτική ασφάλειας πληροφοριών, εγκεκριμένη από το ανώτατο όργανο διοίκησης, και επιμέρους πολιτικές για τον έλεγχο πρόσβασης, τη διαχείριση περιστατικών, την ασφάλεια της εφοδιαστικής αλυσίδας, τα αντίγραφα ασφαλείας, την κρυπτογράφηση και άλλα. Ο ΥΑΣΠΕ συντονίζει τη δουλειά, όμως η απόφαση είναι σαφής: το ανώτατο όργανο διοίκησης εγκρίνει το πρόγραμμα, εξασφαλίζει τους πόρους και το επιβλέπει. Ο ΥΑΣΠΕ στηρίζει τη διοίκηση. Δεν την αντικαθιστά.
3. Αν δεχτούμε επίθεση απόψε, τι γίνεται τις πρώτες 24 ώρες;
Οι προθεσμίες είναι σφιχτές. Για ένα σημαντικό περιστατικό, η οδηγία και ο ελληνικός νόμος ζητούν έγκαιρη προειδοποίηση μέσα σε 24 ώρες από τη στιγμή που το αντιληφθήκατε, πληρέστερη κοινοποίηση μέσα σε 72 ώρες και τελική έκθεση μέσα σε έναν μήνα.
Για να βγουν αυτές οι προθεσμίες, κάποιες αποφάσεις πρέπει να έχουν παρθεί από πριν. Ποιος κρίνει ότι ένα περιστατικό είναι σημαντικό; Ποιος ειδοποιεί τη CSIRT της Αρχής; Ποιος μιλά στους πελάτες και ποιος στον Τύπο; Ποιος μπορεί να εγκρίνει να σβήσει ένα σύστημα που φέρνει έσοδα; Θέλω αυτά τα ονόματα γραμμένα και δοκιμασμένα μία φορά τον χρόνο, σε μια σύντομη άσκηση με τη διοίκηση στο τραπέζι. Ένα απόγευμα άσκησης κοστίζει λίγο. Ο αυτοσχεδιασμός μέσα στη νύχτα κοστίζει πολύ.
4. Ποιοι προμηθευτές μπορούν να μας σταματήσουν, και τι ξέρουμε γι' αυτούς;
Κάθε εταιρεία εξαρτάται από λίγους παρόχους χωρίς τους οποίους δεν λειτουργεί: cloud, email, ERP, μισθοδοσία, συνδεσιμότητα, και συχνά έναν συνεργάτη IT με πρόσβαση παντού. Η NIS2 περιμένει να ξέρετε ποιοι είναι, τι πρόσβαση έχουν και τι σας οφείλουν αν κάτι πάει στραβά.
Το λέω ως κάποιος που τρέχει πάροχο managed IT. Εταιρείες σαν τη δική μας καλύπτονται κι αυτές από τη NIS2, και πρέπει να είμαστε οι πρώτοι που απαντάμε σε αυτές τις ερωτήσεις για τους πελάτες μας. Ρωτήστε τους παρόχους σας πώς προστατεύουν τη δική τους πρόσβαση στα συστήματά σας, πόσο γρήγορα θα σας ενημερώσουν για ένα περιστατικό και τι μπορείτε να ελέγξετε.
5. Μπορούμε να τα αποδείξουμε όλα αυτά;
Μια πολιτική που δεν τη βρίσκει κανείς δεν υπάρχει. Όταν έρθει έλεγχος, η Αρχή κοιτάζει τεκμήρια: εγκεκριμένες πολιτικές, πρακτικά ΔΣ, βεβαιώσεις εκπαίδευσης, εκτιμήσεις κινδύνου, αποτελέσματα δοκιμών και συμβάσεις. Η ΚΥΑ τα απαριθμεί ρητά.
Τα αντίγραφα ασφαλείας είναι καλό τεστ, γιατί όλοι λένε ότι τα έχουν. Εγώ ακολουθώ τον κανόνα 3-2-1-1-0: τρία αντίγραφα των δεδομένων, σε δύο διαφορετικά μέσα, ένα εκτός εταιρείας, ένα offline ή αμετάβλητο (immutable), και μηδέν σφάλματα όταν δοκιμάζετε την επαναφορά. Το τελευταίο είναι αυτό που παραλείπουν οι περισσότεροι. Ένα backup που δεν έχετε επαναφέρει ποτέ είναι ελπίδα, όχι μέτρο ασφαλείας.
Τα πρόστιμα είναι υπαρκτά. Φτάνουν τα 10 εκατ. ευρώ ή το 2% του παγκόσμιου ετήσιου κύκλου εργασιών για τις βασικές οντότητες, και τα 7 εκατ. ευρώ ή το 1,4% για τις σημαντικές, όποιο ποσό είναι μεγαλύτερο. Από την εμπειρία μου όμως, το μεγαλύτερο κόστος είναι μια εβδομάδα εκτός λειτουργίας και οι πελάτες που φεύγουν μετά.
Τι θα έκανα μέσα σε αυτό το τρίμηνο
Βάλτε τις πέντε ερωτήσεις στην ατζέντα μίας συνεδρίασης της διοίκησης. Δώστε σε κάθε μία υπεύθυνο και μια απάντηση μίας σελίδας. Κλείστε μια δίωρη άσκηση περιστατικού πριν τελειώσει η χρονιά. Αυτό δεν είναι πλήρης συμμόρφωση. Κάνει όμως τη NIS2 από αόριστη ανησυχία μια σύντομη λίστα αποφάσεων, και οι αποφάσεις είναι η δουλειά της διοίκησης.
Συχνές ερωτήσεις
Αφορά η NIS2 τις μικρές επιχειρήσεις;
Συνήθως όχι άμεσα. Κατά κανόνα καλύπτει μεσαίες και μεγάλες εταιρείες στους τομείς που ορίζει, με κάποιες εξαιρέσεις ανεξαρτήτως μεγέθους, όπως ορισμένους παρόχους ψηφιακών υποδομών. Οι μικρές εταιρείες τη συναντούν κυρίως μέσα από τους πελάτες τους, που βάζουν πλέον απαιτήσεις ασφάλειας στις συμβάσεις με τους προμηθευτές τους.
Ευθύνονται προσωπικά τα μέλη της διοίκησης;
Η οδηγία κάνει τα όργανα διοίκησης υπόλογα για την έγκριση και την επίβλεψη των μέτρων κυβερνοασφάλειας και αφήνει τις λεπτομέρειες της ευθύνης στο εθνικό δίκαιο. Στην Ελλάδα, το άρθρο 14 του ν. 5160/2024 ορίζει ότι τα όργανα διοίκησης είναι υπεύθυνα για παραβιάσεις αυτών των υποχρεώσεων, με ειδικά πρόστιμα όταν δεν εγκρίνουν τα μέτρα και όταν δεν φροντίζουν για την εκπαίδευση.
Ποιες είναι οι προθεσμίες αναφοράς περιστατικών;
Για ένα σημαντικό περιστατικό: έγκαιρη προειδοποίηση μέσα σε 24 ώρες από τη στιγμή που το αντιληφθήκατε, κοινοποίηση μέσα σε 72 ώρες και τελική έκθεση μέσα σε έναν μήνα από την κοινοποίηση. Στην Ελλάδα οι αναφορές πηγαίνουν στη CSIRT της Εθνικής Αρχής Κυβερνοασφάλειας.
Η προθεσμία εγγραφής στο μητρώο έληξε. Τι κάνω τώρα;
Η παράταση έληξε στις 30 Σεπτεμβρίου 2025, όμως η υποχρέωση εγγραφής παραμένει. Αν η εταιρεία σας καλύπτεται και δεν έχει εγγραφεί, κάντε την εγγραφή τώρα στην πλατφόρμα της Αρχής, δηλώστε τον ΥΑΣΠΕ σας και ενημερώνετε τα στοιχεία μέσα σε δύο εβδομάδες από κάθε αλλαγή.
Αν θέλετε μια δεύτερη ματιά στο πού βρίσκεται η εταιρεία σας, ή κάποιον να συζητήσετε πριν από την επόμενη συνεδρίαση του ΔΣ, γράψτε μου στο info@kppx.gr.
Πηγές
Οδηγία (ΕΕ) 2022/2555 (NIS2), EUR-Lex
Ευρωπαϊκή Επιτροπή: η οδηγία NIS2 και η πρόταση τροποποίησης του Ιανουαρίου 2026 (στα αγγλικά)
Ν. 5160/2024, άρθρο 14 (διακυβέρνηση)
Ν. 5160/2024, άρθρο 16 (αναφορά περιστατικών)
Ν. 5160/2024, άρθρο 26 (πρόστιμα)
Εθνική Αρχή Κυβερνοασφάλειας: παράταση εγγραφής έως 30 Σεπτεμβρίου 2025