Τι πρέπει να περιέχει η πολιτική διαχείρισης κινδύνων κυβερνοασφάλειας στην Κύπρο

Το περιεχόμενο που ορίζει ρητά ο Ν. 60(Ι)/2025

Ο περί Ασφάλειας Δικτύων και Συστημάτων Πληροφοριών Νόμος (Ν. 60(Ι)/2025) δεν περιγράφει ένα «υπόδειγμα εγγράφου», αλλά ορίζει ένα ελάχιστο σύνολο θεμάτων που τα μέτρα διαχείρισης κινδύνων οφείλουν να καλύπτουν. Πρακτικά, αυτά είναι και τα κεφάλαια που περιμένει κανείς να βρει σε μια πολιτική διαχείρισης κινδύνων.

Σύμφωνα με το άρθρο 35, εδάφιο (2), τα μέτρα περιλαμβάνουν τουλάχιστον:

• παράγραφος (α) — πολιτικές για την ανάλυση κινδύνου και την ασφάλεια των πληροφοριακών συστημάτων·
• παράγραφος (β) — χειρισμό περιστατικών·
• παράγραφος (γ) — επιχειρησιακή συνέχεια, όπως διαχείριση αντιγράφων ασφαλείας και αποκατάσταση έπειτα από καταστροφή, και διαχείριση των κρίσεων·
• παράγραφος (δ) — ασφάλεια της αλυσίδας εφοδιασμού, περιλαμβανομένων των πτυχών ασφάλειας στις σχέσεις με τους άμεσους προμηθευτές και παρόχους υπηρεσιών·
• παράγραφος (ε) — απόκτηση, ανάπτυξη και συντήρηση συστημάτων δικτύου και πληροφοριών με ασφαλείς τρόπους, περιλαμβανομένου του χειρισμού και της γνωστοποίησης ευπαθειών·
• παράγραφος (στ) — πολιτικές και διαδικασίες για την αξιολόγηση της αποτελεσματικότητας των μέτρων·
• παράγραφος (ζ) — βασικές πρακτικές κυβερνοϋγιεινής και κατάρτιση στην κυβερνοασφάλεια·
• παράγραφος (η) — πολιτικές και διαδικασίες για τη χρήση κρυπτογραφίας και, κατά περίπτωση, κρυπτογράφησης·
• παράγραφος (θ) — ασφάλεια ανθρώπινων πόρων, πολιτικές ελέγχου πρόσβασης και διαχείριση πάγιων στοιχείων·
• παράγραφος (ι) — χρήση λύσεων πολυπαραγοντικής ή συνεχούς επαλήθευσης ταυτότητας, ασφαλών φωνητικών επικοινωνιών, επικοινωνιών βίντεο και κειμένου και ασφαλών συστημάτων επικοινωνιών έκτακτης ανάγκης εντός της οντότητας, κατά περίπτωση.

Το άρθρο 35, εδάφιο (2), προσθέτει ότι τα μέτρα βασίζονται σε ολιστική προσέγγιση του κινδύνου και αποσκοπούν στην προστασία τόσο των συστημάτων όσο και του φυσικού περιβάλλοντος αυτών των συστημάτων. Άρα μια πολιτική που μιλά μόνο για λογισμικό και δίκτυα αφήνει εκτός ένα ρητό στοιχείο του νόμου.

Αναλογικότητα: γιατί δύο σωστές πολιτικές διαφέρουν

Το άρθρο 35, εδάφιο (1), παράγραφος (α), ζητά «κατάλληλα και αναλογικά τεχνικά, επιχειρησιακά και οργανωτικά μέτρα». Η παράγραφος (β) προσθέτει ότι λαμβάνονται υπόψη οι πλέον πρόσφατες τεχνικές δυνατότητες, τα σχετικά ευρωπαϊκά και διεθνή πρότυπα και το κόστος εφαρμογής, ώστε το επίπεδο ασφάλειας να είναι ανάλογο προς τον εκάστοτε κίνδυνο.

Το κρίσιμο κριτήριο διατυπώνεται ως εξής:

«Κατά την αξιολόγηση της αναλογικότητας των εν λόγω μέτρων, λαμβάνονται δεόντως υπόψη ο βαθμός έκθεσης της οντότητας σε κινδύνους, το μέγεθος της οντότητας και η πιθανότητα εμφάνισης περιστατικών και η σοβαρότητά τους, συμπεριλαμβανομένων των κοινωνικών και οικονομικών επιπτώσεών τους.» — Ν. 60(Ι)/2025, άρθρο 35, εδάφιο (1), παράγραφος (γ).

Αυτή η πρόταση εξηγεί γιατί δύο επιχειρήσεις με τα ίδια δέκα κεφάλαια καταλήγουν σε διαφορετικό κείμενο. Η πολιτική οφείλει να δείχνει γιατί επιλέχθηκε το κάθε μέτρο: ποια έκθεση σε κίνδυνο, ποιο μέγεθος, ποια πιθανή σοβαρότητα περιστατικού. Ένα γενικό υπόδειγμα χωρίς αυτή τη συλλογιστική δεν αποτυπώνει το κριτήριο του νόμου.

Τι εξαρτάται από το προφίλ της δικής σας επιχείρησης

Πριν γραφτεί το περιεχόμενο, χρειάζεται μια εσωτερική αποτύπωση — ένας έλεγχος κάλυψης και μια εσωτερική αξιολόγηση — σε τέσσερα σημεία:

1. Τομέας. Τα Παραρτήματα Ι (τομείς υψηλής κρισιμότητας: ενέργεια, μεταφορές, τράπεζες, υγεία, πόσιμο νερό, λύματα, ψηφιακές υποδομές, διαχείριση υπηρεσιών ΤΠΕ, οντότητες δημόσιας διοίκησης, διάστημα) και ΙΙ (μεταξύ άλλων ταχυδρομικές υπηρεσίες, διαχείριση αποβλήτων, χημικά, τρόφιμα, κατασκευαστικός τομέας, ψηφιακοί παροχείς, έρευνα) καθορίζουν αν η επιχείρηση εμπίπτει και ποια συστήματα βρίσκονται στο επίκεντρο.

2. Μέγεθος. Οντότητες των τύπων του Παραρτήματος Ι που υπερβαίνουν τα ανώτατα όρια για τις μεσαίες επιχειρήσεις της Σύστασης 2003/361/ΕΚ θεωρούνται βασική οντότητα (άρθρο σχετικό με τον χαρακτηρισμό, εδάφιο (1), παράγραφος (α)(i)). Ορισμένοι τύποι, όπως οι εγκεκριμένοι παροχείς υπηρεσιών εμπιστοσύνης, τα μητρώα ονομάτων τομέα ανωτάτου επιπέδου και οι παροχείς υπηρεσιών DNS, θεωρούνται βασικές οντότητες ανεξάρτητα από το μέγεθός τους.

3. Στατουτική κατάταξη. Όσες οντότητες των Παραρτημάτων Ι ή ΙΙ δεν θεωρούνται βασικές, θεωρούνται σημαντική οντότητα (εδάφιο (2)). Και οι δύο κατηγορίες υπόκεινται στο άρθρο 35· η κατάταξη επηρεάζει την εποπτεία και το ανώτατο ύψος των διοικητικών προστίμων (άρθρο 43Α).

4. Υπηρεσίες και εξαρτήσεις. Για την ασφάλεια της αλυσίδας εφοδιασμού, το άρθρο 35, εδάφιο (3), απαιτεί να λαμβάνονται υπόψη οι ευπάθειες κάθε άμεσου προμηθευτή και παρόχου υπηρεσιών, η συνολική ποιότητα των προϊόντων και πρακτικών τους, καθώς και τα αποτελέσματα των συντονισμένων εκτιμήσεων κινδύνου κρίσιμων αλυσίδων εφοδιασμού. Ο κατάλογος των εξαρτήσεών σας γράφει, στην πράξη, αυτό το κεφάλαιο.

Ειδική περίπτωση: για τις χρηματοπιστωτικές οντότητες που καλύπτονται από τον Κανονισμό (ΕΕ) 2022/2554, οι διατάξεις του Ν. 60(Ι)/2025 για τη διαχείριση κινδύνων και την αναφορά περιστατικών δεν εφαρμόζονται (άρθρο 31, εδάφιο (10)).

Έγκριση από την ανώτατη διοίκηση και κατάρτιση

Η πολιτική δεν είναι έγγραφο μόνο του τμήματος πληροφορικής. Το άρθρο 35Α, εδάφιο (1), ορίζει ότι η ανώτατη διοίκηση των βασικών και σημαντικών οντοτήτων υποχρεούται να εγκρίνει τα μέτρα διαχείρισης κινδύνων που λαμβάνονται για συμμόρφωση με το άρθρο 35, να επιβλέπει την εφαρμογή τους και είναι δυνατό να λογοδοτεί για παράβαση των σχετικών υποχρεώσεων.

Το άρθρο 35Α, εδάφιο (3), προσθέτει ότι τα μέλη της ανώτατης διοίκησης υποχρεούνται να παρακολουθούν εκπαιδεύσεις και να προσφέρουν παρόμοια κατάρτιση στους υπαλλήλους τους σε τακτική βάση, ώστε να εντοπίζουν κινδύνους και να αξιολογούν τις πρακτικές διαχείρισης κινδύνων και τον αντίκτυπό τους στις υπηρεσίες της οντότητας.

Γι' αυτό μια χρήσιμη πολιτική περιλαμβάνει: ημερομηνία και τρόπο έγκρισης από τη διοίκηση, ονομαστική κατανομή ευθυνών, συχνότητα επανεξέτασης, και το πρόγραμμα κατάρτισης — ξεχωριστά για τη διοίκηση και για το προσωπικό, σε σύνδεση με την παράγραφο (ζ) του εδαφίου (2) του άρθρου 35.

Τι κάνει την πολιτική ελέγξιμη

Ελέγξιμο είναι το κείμενο στο οποίο κάθε απαίτηση φέρει τη δική της παραπομπή. Πρακτικά:

Δύο ακόμη στοιχεία ολοκληρώνουν την εικόνα. Πρώτον, το άρθρο 35, εδάφιο (4): οντότητα που διαπιστώνει ότι δεν εφαρμόζει κάποιο από τα μέτρα του εδαφίου (2) υποχρεούται να λαμβάνει αμελλητί όλα τα αναγκαία, κατάλληλα και αναλογικά διορθωτικά μέτρα — οπότε η πολιτική χρειάζεται μηχανισμό καταγραφής και παρακολούθησης αποκλίσεων. Δεύτερον, τα μέτρα του εδαφίου (2) δύνανται να εξειδικευθούν σε Απόφαση που εκδίδει η Αρχή, ενώ η Αρχή εφαρμόζει και τις σχετικές εκτελεστικές πράξεις της Επιτροπής (άρθρο 35, εδάφια (2) και (5)).

Για τις επίσημες οδηγίες, τα υποδείγματα και τυχόν Αποφάσεις που εξειδικεύουν τα παραπάνω, αρμόδια αρχή εποπτείας και επιβολής είναι η Αρχή Ψηφιακής Ασφάλειας (άρθρο 30). Παρακαλούμε επιβεβαιώστε τις τρέχουσες απαιτήσεις στις δημοσιευμένες κατευθυντήριες γραμμές της Αρχής Ψηφιακής Ασφάλειας (επίσημη πηγή).