Τι κοστίζει η τεκμηρίωση NIS2 στην Ελλάδα — από τι εξαρτάται το εύρος

Η σύντομη απάντηση: εξαρτάται από τα έγγραφα που απαιτεί ο νόμος από εσάς

Το κόστος της τεκμηρίωσης NIS2 εξαρτάται από το ποια έγγραφα απαιτεί ο νόμος από τη συγκεκριμένη επιχείρηση. Οι τρέχουσες τιμές ανά έγγραφο και ανά πακέτο εμφανίζονται στον τιμοκατάλογο αυτής της σελίδας. Δύο παράγοντες καθορίζουν το εύρος: πρώτον, αν η οντότητα εμπίπτει στο πεδίο εφαρμογής της ενσωμάτωσης της Οδηγίας (ΕΕ) 2022/2555 στο ελληνικό δίκαιο (Νόμος 5160/2024) και σε ποια κατηγορία κατατάσσεται· δεύτερον, πόσες από τις περιοχές μέτρων του άρθρου 15 πρέπει να καλυφθούν τεκμηριωμένα.

Ο νόμος δεν ορίζει τιμές. Ορίζει περιεχόμενο — και το περιεχόμενο είναι αυτό που μεταφράζεται σε αριθμό εγγράφων.

Πρώτο κριτήριο: εμπίπτετε — και ως βασική ή σημαντική οντότητα;

Κατά το άρθρο 3 παρ. 1 του Νόμου 5160/2024, ο νόμος εφαρμόζεται σε δημόσιες ή ιδιωτικές οντότητες των τύπων που αναφέρονται στα Παραρτήματα Ι ή ΙΙ, οι οποίες χαρακτηρίζονται ως μεσαίες επιχειρήσεις σύμφωνα με την παρ. 1 του άρθρου 2 του Παραρτήματος της Σύστασης 2003/361/ΕΚ ή υπερβαίνουν τα ανώτατα όρια για τις μεσαίες επιχειρήσεις, εφόσον είναι εγκατεστημένες ή παρέχουν τις υπηρεσίες τους ή ασκούν τις δραστηριότητές τους εντός της ελληνικής επικράτειας.

Ανεξάρτητα από το μέγεθος, το άρθρο 3 παρ. 2 καλύπτει μεταξύ άλλων παρόχους δημόσιων δικτύων ηλεκτρονικών επικοινωνιών ή διαθέσιμων στο κοινό υπηρεσιών ηλεκτρονικών επικοινωνιών, παρόχους υπηρεσιών εμπιστοσύνης, μητρώα ονομάτων τομέα ανωτάτου επιπέδου και παρόχους υπηρεσιών συστήματος ονομάτων τομέα, την οντότητα που είναι ο μοναδικός πάροχος στη χώρα μιας ουσιώδους υπηρεσίας, καθώς και φορείς της κεντρικής κυβέρνησης και Οργανισμούς Τοπικής Αυτοδιοίκησης α' και β' βαθμού.

Η κατηγορία προκύπτει από το άρθρο 4. Βασικές οντότητες είναι, μεταξύ άλλων, οι οντότητες των τομέων του Παραρτήματος Ι που υπερβαίνουν τα ανώτατα όρια για τις μεσαίες επιχειρήσεις (άρθρο 4 παρ. 1). Οι οντότητες των Παραρτημάτων Ι ή ΙΙ που δεν θεωρούνται βασικές θεωρούνται σημαντικές οντότητες (άρθρο 4 παρ. 2). Η Εθνική Αρχή Κυβερνοασφάλειας καταρτίζει τον σχετικό κατάλογο και οι οντότητες υποβάλλουν τα στοιχεία τους εντός προθεσμίας δυο (2) μηνών από την έναρξη ισχύος του νόμου, ενώ οι μεταβολές κοινοποιούνται εντός δύο (2) εβδομάδων (άρθρο 4 παρ. 3 και 4).

Αν η επιχείρηση δεν εμπίπτει στα Παραρτήματα Ι ή ΙΙ και δεν καλύπτεται από το άρθρο 3, δεν οφείλει εκ του νόμου τεκμηρίωση NIS2. Μπορεί όμως να της ζητηθούν αποδεικτικά ως προμηθευτή, επειδή οι πελάτες που εμπίπτουν υποχρεούνται να καλύπτουν την ασφάλεια της αλυσίδας εφοδιασμού (άρθρο 15 παρ. 2 περ. δ).

Δεύτερο κριτήριο: η τεκμηρίωση είναι ένα σύνολο πέντε περιοχών

Το άρθρο 15 παρ. 2 απαριθμεί τουλάχιστον δέκα σημεία (α έως ι). Πρακτικά ομαδοποιούνται σε πέντε περιοχές τεκμηρίωσης:

• Πολιτική διαχείρισης κινδύνων. Οι βασικές και σημαντικές οντότητες λαμβάνουν κατάλληλα και αναλογικά τεχνικά, επιχειρησιακά και οργανωτικά μέτρα για τη διαχείριση των κινδύνων (άρθρο 15 παρ. 1). Η περ. α) της παρ. 2 απαιτεί «πολιτικές και διαδικασίες για την ανάλυση κινδύνου και την ασφάλεια των πληροφοριακών συστημάτων». Εδώ ορίζεται τι θεωρείται κίνδυνος για τη δική σας υπηρεσία — και γι' αυτό η περιοχή αυτή καθορίζει το εύρος των υπολοίπων.
• Διαχείριση περιστατικών. Η περ. β) της παρ. 2 ζητά διαχείριση περιστατικών. Η διαδικασία πρέπει να ανταποκρίνεται στο άρθρο 16: προειδοποίηση εντός είκοσι τεσσάρων (24) ωρών από τη στιγμή που η οντότητα αντιλήφθηκε το σημαντικό περιστατικό, κοινοποίηση περιστατικού εντός εβδομήντα δύο (72) ωρών και τελική έκθεση το αργότερο εντός ενός (1) μηνός μετά την κοινοποίηση (άρθρο 16 παρ. 4).
• Επιχειρησιακή συνέχεια. Η περ. γ) αναφέρει «επιχειρησιακή συνέχεια, όπως διαχείριση αντιγράφων ασφαλείας και αποκατάσταση έπειτα από καταστροφή, καθώς και διαχείριση των κρίσεων». Είναι χωριστό τεκμηριωμένο πεδίο από τη διαχείριση περιστατικών, γιατί απαντά σε άλλο ερώτημα: πώς συνεχίζει να λειτουργεί η υπηρεσία.
• Ασφάλεια της αλυσίδας εφοδιασμού. Η περ. δ) καλύπτει την ασφάλεια της αλυσίδας εφοδιασμού, συμπεριλαμβανομένων των σχετικών με την ασφάλεια πτυχών που αφορούν τις σχέσεις μεταξύ κάθε οντότητας και των άμεσων προμηθευτών ή παρόχων υπηρεσιών της. Το μέγεθος αυτού του τμήματος εξαρτάται από το πόσους κρίσιμους προμηθευτές έχετε.
• Ευθύνη διοίκησης και κατάρτιση. Η περ. ζ) της παρ. 2 αναφέρει «βασικές πρακτικές κυβερνοϋγιεινής και κατάρτιση στην κυβερνοασφάλεια», ενώ το άρθρο 14 προβλέπει τις υποχρεώσεις των οργάνων διοίκησης. Η περιοχή αυτή παράγει αποδεικτικά στοιχεία έγκρισης και εκπαίδευσης, όχι μόνο κείμενο πολιτικής.

Ένα έγγραφο ή το πλήρες σύνολο: γιατί είναι πραγματική επιλογή

Η πολιτική διαχείρισης κινδύνων είναι το θεμέλιο έγγραφο. Η διαχείριση περιστατικών, η επιχειρησιακή συνέχεια, η αλυσίδα εφοδιασμού και η κατάρτιση παραπέμπουν όλες στην αξιολόγηση κινδύνου: χωρίς αυτήν δεν προκύπτει ποια συστήματα, ποιοι προμηθευτές και ποιες υπηρεσίες είναι κρίσιμα. Αυτός είναι ο λόγος για τον οποίο πολλές επιχειρήσεις ξεκινούν από ένα έγγραφο και προσθέτουν τα υπόλοιπα σταδιακά.

Ταυτόχρονα, ο νόμος βλέπει το σύνολο ως ένα κείμενο: «Τηρούν ενιαία πολιτική κυβερνοασφάλειας, στην οποία συμπεριλαμβάνεται το σύνολο των επιμέρους μέτρων, πολιτικών και διαδικασιών της παρ. 2 του παρόντος.» (Νόμος 5160/2024, άρθρο 15 παρ. 5 περ. β). Η ίδια διάταξη προβλέπει ότι η ενιαία πολιτική υποβάλλεται προς έγκριση από τις βασικές οντότητες στην Εθνική Αρχή Κυβερνοασφάλειας, τουλάχιστον ετησίως. Επιπλέον, οι βασικές και σημαντικές οντότητες ορίζουν αρμόδιο στέλεχος ως Υπεύθυνο Ασφάλειας Συστημάτων Πληροφορικής και Επικοινωνιών (Υ.Α.Σ.Π.Ε.) για τις επικοινωνίες με την Αρχή και τον εσωτερικό συντονισμό (άρθρο 15 παρ. 5 περ. α).

Άρα η επιλογή «ένα έγγραφο τώρα» αφορά τη σειρά των βημάτων, όχι το τελικό περιεχόμενο που ζητά ο νόμος.

Έγκριση από τη διοίκηση και ετήσια κατάρτιση

Το άρθρο 14 μεταφέρει το άρθρο 20 της Οδηγίας (ΕΕ) 2022/2555 και προσθέτει ρητή προθεσμία:

«Τα όργανα διοίκησης των βασικών και σημαντικών οντοτήτων εγκρίνουν, εντός τριών (3) μηνών από την έναρξη ισχύος του παρόντος, τα μέτρα διαχείρισης κινδύνων στον τομέα της κυβερνοασφάλειας που λαμβάνουν οι εν λόγω οντότητες προκειμένου να συμμορφώνονται με το άρθρο 15, επιβλέπουν την εφαρμογή τους και είναι υπεύθυνα για την εκ μέρους των οντοτήτων παραβίαση των υποχρεώσεων του παρόντος άρθρου.» (Νόμος 5160/2024, άρθρο 14 παρ. 1)

Το άρθρο 14 παρ. 2 προσθέτει την εκπαίδευση: τα μέλη των οργάνων διοίκησης παρακολουθούν εκπαίδευση και φροντίζουν ώστε η οντότητα να παρέχει όμοια κατάρτιση στους υπαλλήλους της τουλάχιστον σε ετήσια βάση, ώστε να εντοπίζουν τους κινδύνους και να αξιολογούν τις πρακτικές διαχείρισης κινδύνων.

Για το εύρος της τεκμηρίωσης αυτό σημαίνει δύο επιπλέον στοιχεία πέρα από τις πολιτικές: αποδεικτικό έγκρισης από το όργανο διοίκησης και αρχείο κατάρτισης με ετήσια επανάληψη.

Πώς να εκτιμήσετε το εύρος πριν δείτε τον τιμοκατάλογο

Τρία ερωτήματα, με τη σειρά:

1. Τομέας και τύπος οντότητας — εμπίπτει η δραστηριότητά σας σε τύπο των Παραρτημάτων Ι ή ΙΙ;
2. Μέγεθος ή κριτήριο ανεξαρτήτως μεγέθους — ισχύει το άρθρο 3 παρ. 1 ή κάποια περίπτωση του άρθρου 3 παρ. 2;
3. Κατηγορία — βασική ή σημαντική οντότητα κατά το άρθρο 4; Από αυτό εξαρτάται, μεταξύ άλλων, η ετήσια υποβολή της ενιαίας πολιτικής στην Εθνική Αρχή Κυβερνοασφάλειας.

Με τις απαντήσεις αυτές γνωρίζετε πόσες από τις πέντε περιοχές πρέπει να καλυφθούν τεκμηριωμένα — και επομένως αν χρειάζεστε ένα έγγραφο ή το πλήρες σύνολο. Οι τρέχουσες τιμές ανά έγγραφο και ανά πακέτο φαίνονται στον τιμοκατάλογο αυτής της σελίδας.

Για σημεία που δεν προκύπτουν μονοσήμαντα από το κείμενο του νόμου — όπως ο ακριβής ηλεκτρονικός δίαυλος κοινοποίησης ή εγγραφής — επίσημη πηγή είναι οι δημοσιευμένες κατευθυντήριες γραμμές και ανακοινώσεις της Εθνικής Αρχής Κυβερνοασφάλειας. Δεσμευτικό είναι πάντα το επίσημο κείμενο του Νόμου 5160/2024.