Στέκει νομικά το έγγραφο NIS2 της εταιρείας σας στην Κύπρο — και πώς το ελέγχετε

1. Ιχνηλασιμότητα: κάθε υποχρέωση πρέπει να οδηγεί σε συγκεκριμένη διάταξη

Ένα έγγραφο κυβερνοασφάλειας είναι ελέγξιμο μόνο όταν κάθε πρόταση που επιβάλλει κάτι στην εταιρεία μπορεί να συνδεθεί με συγκεκριμένη διάταξη του εθνικού νόμου. Στην Κύπρο ο νόμος αυτός είναι ο περί Ασφάλειας Δικτύων και Συστημάτων Πληροφοριών Νόμος (Ν. 60(Ι)/2025).

Έγγραφο που παραπέμπει μόνο στην Οδηγία (ΕΕ) 2022/2555 — ή σε τίποτε απολύτως — δεν μπορεί να ελεγχθεί: η Οδηγία απευθύνεται στα κράτη μέλη, ενώ οι υποχρεώσεις της εταιρείας σας προκύπτουν από το εθνικό κείμενο.

Έτσι μοιάζει μια ελέγξιμη παραπομπή. Το κείμενο του νόμου ορίζει:

«Οντότητα η οποία διαπιστώνει ότι δεν συμμορφώνεται με τα προβλεπόμενα δυνάμει των διατάξεων του εδαφίου (2) μέτρα, υποχρεούται να λαμβάνει αμελλητί όλα τα αναγκαία, κατάλληλα και αναλογικά διορθωτικά μέτρα.» — Ν. 60(Ι)/2025, άρθρο 35, εδάφιο (4).

Αυτό είναι το πρότυπο: αυτούσια διατύπωση + ακριβής παραπομπή (νόμος, άρθρο, εδάφιο). Αν στο έγγραφό σας οι υποχρεώσεις εμφανίζονται χωρίς τέτοια αγκύρωση, κανείς — ούτε εσείς, ούτε ελεγκτής, ούτε πελάτης — δεν μπορεί να επαληθεύσει από πού προέρχονται.

2. Κάλυψη: τα μέτρα του άρθρου 35 ως ενιαίο σύνολο

Το άρθρο 35, εδάφιο (2) του Ν. 60(Ι)/2025 ορίζει ότι τα μέτρα διαχείρισης κινδύνων περιλαμβάνουν τουλάχιστον τα ακόλουθα:

• (α) πολιτικές για την ανάλυση κινδύνου και την ασφάλεια των πληροφοριακών συστημάτων
• (β) χειρισμό περιστατικών
• (γ) επιχειρησιακή συνέχεια, όπως διαχείριση αντιγράφων ασφαλείας και αποκατάσταση έπειτα από καταστροφή, και διαχείριση των κρίσεων
• (δ) ασφάλεια της αλυσίδας εφοδιασμού, περιλαμβανομένων των σχέσεων με άμεσους προμηθευτές ή παρόχους υπηρεσιών
• (ε) απόκτηση, ανάπτυξη και συντήρηση συστημάτων δικτύου και πληροφοριών με ασφαλείς τρόπους και μέσα, συμπεριλαμβανομένου του χειρισμού και της γνωστοποίησης ευπαθειών
• (στ) πολιτικές και διαδικασίες για την αξιολόγηση της αποτελεσματικότητας των μέτρων
• (ζ) βασικές πρακτικές κυβερνοϋγιεινής και κατάρτιση στην κυβερνοασφάλεια
• (η) πολιτικές και διαδικασίες σχετικά με τη χρήση κρυπτογραφίας και, κατά περίπτωση, κρυπτογράφησης
• (θ) ασφάλεια ανθρώπινων πόρων, πολιτικές ελέγχου πρόσβασης και διαχείριση πάγιων στοιχείων
• (ι) χρήση λύσεων πολυπαραγοντικής επαλήθευσης ταυτότητας ή συνεχούς επαλήθευσης ταυτότητας και ασφαλών συστημάτων επικοινωνιών, κατά περίπτωση

Πρακτικός έλεγχος: περάστε τη λίστα δίπλα στα περιεχόμενα του εγγράφου σας και σημειώστε ποια σημεία δεν εντοπίζονται πουθενά. Το άρθρο 35, εδάφιο (1) προσθέτει ότι τα μέτρα είναι κατάλληλα και αναλογικά, με βάση τον βαθμό έκθεσης σε κινδύνους, το μέγεθος της οντότητας και την πιθανότητα και σοβαρότητα των περιστατικών — άρα η έκταση διαφέρει, ο κατάλογος των πεδίων όχι.

3. Διατύπωση: σύγκριση πρότασης με πρόταση

Μια χαλαρή παράφραση μπορεί να μετατοπίσει το περιεχόμενο της υποχρέωσης. Η μέθοδος σύγκρισης είναι απλή:

1. Επιλέξτε μία πρόταση από το έγγραφο που λέει «η εταιρεία υποχρεούται να…».
2. Βρείτε τη διάταξη στην οποία παραπέμπει και ανοίξτε το επίσημο κείμενο του Ν. 60(Ι)/2025.
3. Συγκρίνετε τρία στοιχεία: ποιος δεσμεύεται, τι ακριβώς οφείλει να κάνει, υπό ποια προϋπόθεση ή προθεσμία.

Τυπικές αποκλίσεις: το έγγραφο γράφει «συνιστάται» εκεί που ο νόμος γράφει «υποχρεούται»· περιορίζει τα μέτρα της παραγράφου (δ) στους «κρίσιμους» προμηθευτές, ενώ το άρθρο 35, εδάφιο (2)(δ) αναφέρεται στους άμεσους προμηθευτές ή παρόχους υπηρεσιών· ή αποδίδει σε τρίτη υπηρεσία υποχρέωση που ο νόμος θέτει στην ίδια την οντότητα.

Όπου η διατύπωση του εγγράφου δεν αντέχει τη σύγκριση, διορθώνεται η διατύπωση — όχι η παραπομπή.

4. Έγκριση από την ανώτατη διοίκηση

Το άρθρο 35Α, εδάφιο (1) του Ν. 60(Ι)/2025 προβλέπει ότι η ανώτατη διοίκηση των βασικών και σημαντικών οντοτήτων υποχρεούται να εγκρίνει τα μέτρα διαχείρισης κινδύνων που λαμβάνονται για τους σκοπούς του άρθρου 35, να επιβλέπει την εφαρμογή τους, ενώ είναι δυνατό να λογοδοτεί για παράβαση των υποχρεώσεων του εν λόγω άρθρου.

Πρακτική συνέπεια για τον έλεγχο του εγγράφου: ένα κείμενο που δεν φέρει ίχνος απόφασης ή έγκρισης της ανώτατης διοίκησης παραμένει ημιτελές ως προς αυτή τη διάταξη, όσο καλά και αν είναι γραμμένο. Ελέγξτε αν υπάρχει ημερομηνία, όργανο που ενέκρινε, και ρύθμιση για την επίβλεψη της εφαρμογής.

Το άρθρο 35Α, εδάφιο (3) προσθέτει ότι τα μέλη της ανώτατης διοίκησης υποχρεούνται να παρακολουθούν εκπαιδεύσεις και να προσφέρουν παρόμοια κατάρτιση στους υπαλλήλους τους σε τακτική βάση.

5. Τι κοιτάζει μια αρχή — και τι ένας πελάτης

Η εποπτεία. Αρμόδια εθνική αρχή για την κυβερνοασφάλεια είναι η Αρχή Ψηφιακής Ασφάλειας, η οποία υπέχει τα καθήκοντα εποπτείας και επιβολής και παρακολουθεί την εφαρμογή του νόμου (Ν. 60(Ι)/2025, άρθρο 30, εδάφια (1) και (3)). Οι ειδικότερες διαδικασίες ελέγχων και αιτημάτων πληροφοριών δεν προκύπτουν μονοσήμαντα από τα ανωτέρω· παρακαλούμε επιβεβαιώστε τα με βάση τις δημοσιευμένες οδηγίες της Αρχής Ψηφιακής Ασφάλειας (επίσημη πηγή).

Ο πελάτης. Το άρθρο 35, εδάφιο (3) ορίζει ότι, για τα μέτρα της παραγράφου (δ) του εδαφίου (2), οι οντότητες λαμβάνουν υπόψη τις ευπάθειες κάθε άμεσου προμηθευτή και παρόχου υπηρεσιών, καθώς και τη συνολική ποιότητα των προϊόντων και των πρακτικών κυβερνοασφάλειας των προμηθευτών τους, περιλαμβανομένων των ασφαλών διαδικασιών ανάπτυξής τους. Γι' αυτό ένας μεγάλος πελάτης ζητά τεκμηρίωση ακόμη κι από προμηθευτή που δεν εμπίπτει ο ίδιος στον νόμο: την χρειάζεται για τη δική του αλυσίδα εφοδιασμού.

Σε κάθε περίπτωση: κανένα έγγραφο, από μόνο του, δεν αποδεικνύει την εφαρμογή των μέτρων. Το έγγραφο περιγράφει τι κάνει η εταιρεία· η εφαρμογή και τα σχετικά αρχεία είναι αυτά που εξετάζονται.

6. Σύντομος κατάλογος ελέγχου

Το άρθρο 43Α, εδάφια (4) και (5) προβλέπει διοικητικά πρόστιμα για παραβάσεις των άρθρων 35 και 35Β: για βασικές οντότητες έως τουλάχιστον δέκα εκατομμύρια ευρώ (€10.000.000) ή έως τουλάχιστον 2% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών του προηγούμενου οικονομικού έτους, ανάλογα με το ποιο είναι υψηλότερο· για σημαντικές οντότητες έως τουλάχιστον επτά εκατομμύρια ευρώ (€7.000.000) ή έως τουλάχιστον 1,4% αντίστοιχα. Πρόκειται για διατάξεις του νόμου, όχι για πρόβλεψη έκβασης σε συγκεκριμένη περίπτωση.