Είναι νομικά τεκμηριωμένο το έγγραφο NIS2 που έχετε στα χέρια σας;

1. Ιχνηλασιμότητα: κάθε υποχρέωση με ακριβή παραπομπή

Στην Ελλάδα η Οδηγία (ΕΕ) 2022/2555 ενσωματώθηκε με τον Νόμο 5160/2024. Αυτό σημαίνει ότι η υποχρέωση που βαραίνει την επιχείρησή σας δεν πηγάζει από ένα γενικό ευρωπαϊκό κείμενο, αλλά από συγκεκριμένα άρθρα του ελληνικού νόμου.

Πρακτικός έλεγχος: ανοίξτε το έγγραφο και διαβάστε δέκα τυχαίες προτάσεις που εκφράζουν υποχρέωση («η οντότητα οφείλει…», «τηρείται…», «εγκρίνεται…»). Για κάθε μία θα πρέπει να μπορείτε να απαντήσετε: ποιο άρθρο του Νόμου 5160/2024 το λέει αυτό;

Τρεις τυπικές καταστάσεις:

• Καμία παραπομπή. Το κείμενο μπορεί να είναι εύλογο, αλλά δεν είναι ελέγξιμο: κανείς δεν μπορεί να διαπιστώσει από πού προκύπτει η υποχρέωση.
• Παραπομπή μόνο στην Οδηγία. Δείχνει ότι το κείμενο δεν προσαρμόστηκε στο ελληνικό δίκαιο. Η Οδηγία δεν περιέχει, π.χ., την προθεσμία των τριών (3) μηνών του άρθρου 14 ή την υποχρέωση ορισμού Υ.Α.Σ.Π.Ε. του άρθρου 15 παρ. 5.
• Παραπομπή σε άρθρο και παράγραφο του Νόμου 5160/2024. Μόνο αυτή η μορφή επιτρέπει επαλήθευση από εσάς, από την αρχή ή από πελάτη σας.

Ένα σημείο-κλειδί: τα άρθρα του νόμου δεν έχουν την ίδια αρίθμηση με την Οδηγία. Τα μέτρα διαχείρισης κινδύνων είναι το άρθρο 15 (αντιστοιχεί στο άρθρο 21 της Οδηγίας) και η ευθύνη της διοίκησης το άρθρο 14 (αντιστοιχεί στο άρθρο 20). Έγγραφο που γράφει «σύμφωνα με το άρθρο 21» χωρίς αναφορά στο εθνικό άρθρο δεν έχει μεταφερθεί στο ελληνικό πλαίσιο.

2. Κάλυψη: τα δέκα σημεία του άρθρου 15

Το άρθρο 15 παρ. 2 του Νόμου 5160/2024 ορίζει ότι τα μέτρα βασίζονται σε ολιστική προσέγγιση του κινδύνου και περιλαμβάνουν τουλάχιστον τα εξής:

Χρησιμοποιήστε τον πίνακα ως κατάλογο αντιπαραβολής. Σημειώστε δίπλα σε κάθε στοιχείο σε ποια σελίδα του εγγράφου καλύπτεται. Τα σημεία που μένουν κενά δείχνουν πού το κείμενο δεν αγγίζει το εύρος της διάταξης.

Προσοχή και σε δύο ακόμη απαιτήσεις του ίδιου άρθρου (παρ. 5): ο ορισμός Υπευθύνου Ασφάλειας Συστημάτων Πληροφορικής και Επικοινωνιών (Υ.Α.Σ.Π.Ε.) και η τήρηση ενιαίας πολιτικής κυβερνοασφάλειας που περιλαμβάνει το σύνολο των μέτρων της παρ. 2. Έγγραφο που δεν αναφέρει καθόλου αυτά τα δύο σημεία είναι ελλιπές ως προς το άρθρο 15.

3. Διατύπωση: το κείμενο του νόμου, όχι μια ελεύθερη απόδοση

Μια υποχρέωση πρέπει να αποδίδεται όπως τη διατυπώνει ο νόμος. Οι ελεύθερες αποδόσεις συνήθως είτε στενεύουν είτε διευρύνουν το περιεχόμενο.

Έτσι μοιάζει μια παραπομπή που μπορεί να ελεγχθεί — αυτούσιο απόσπασμα από τον νόμο:

> «Τα όργανα διοίκησης των βασικών και σημαντικών οντοτήτων εγκρίνουν, εντός τριών (3) μηνών από την έναρξη ισχύος του παρόντος, τα μέτρα διαχείρισης κινδύνων στον τομέα της κυβερνοασφάλειας που λαμβάνουν οι εν λόγω οντότητες προκειμένου να συμμορφώνονται με το άρθρο 15, επιβλέπουν την εφαρμογή τους και είναι υπεύθυνα για την εκ μέρους των οντοτήτων παραβίαση των υποχρεώσεων του παρόντος άρθρου.» — Νόμος 5160/2024, άρθρο 14 παρ. 1.

Συγκρίνετέ το με μια συνηθισμένη ελεύθερη απόδοση: «η διοίκηση ενημερώνεται για τα μέτρα κυβερνοασφάλειας». Η διαφορά δεν είναι υφολογική. Ο νόμος απαιτεί έγκριση, εντός προθεσμίας, με επίβλεψη της εφαρμογής και με ευθύνη. Η ενημέρωση δεν είναι τίποτε από αυτά.

Η μέθοδος σύγκρισης, βήμα-βήμα:

1. Απομονώστε μία πρόταση-υποχρέωση από το έγγραφο. 2. Βρείτε τη διάταξη στην οποία παραπέμπει, στο επίσημο κείμενο του Νόμου 5160/2024. 3. Υπογραμμίστε στο κείμενο του νόμου το ρήμα, τον αποδέκτη της υποχρέωσης και κάθε προθεσμία. 4. Ελέγξτε αν και τα τρία επιβιώνουν στη διατύπωση του εγγράφου.

Το ίδιο ισχύει για τις προθεσμίες αναφοράς περιστατικών του άρθρου 16: προειδοποίηση εντός είκοσι τεσσάρων (24) ωρών, κοινοποίηση περιστατικού εντός εβδομήντα δύο (72) ωρών και τελική έκθεση το αργότερο εντός ενός (1) μηνός. Αν το έγγραφό σας συμπυκνώνει ή στρογγυλοποιεί αυτές τις προθεσμίες, δεν αποδίδει τη διάταξη.

4. Έγκριση από τη διοίκηση: χωρίς αυτήν το έγγραφο μένει μισό

Το άρθρο 14 δεν απευθύνεται στο τμήμα πληροφορικής, αλλά στα όργανα διοίκησης. Ένα κείμενο που συντάχθηκε τεχνικά και δεν πέρασε ποτέ από απόφαση της διοίκησης δεν καλύπτει τη διάταξη, όσο καλό κι αν είναι το περιεχόμενό του.

Τι δείχνει ότι το βήμα έγινε:

• Απόφαση του αρμόδιου οργάνου που εγκρίνει ονομαστικά το κείμενο και την έκδοσή του, με ημερομηνία.
• Επίβλεψη της εφαρμογής: ο νόμος δεν αρκείται στην έγκριση· ζητά και παρακολούθηση. Πρακτικά αυτό αποτυπώνεται σε τακτική επανεξέταση και σε πρακτικά.
• Κατάρτιση: κατά το άρθρο 14 παρ. 2, τα μέλη των οργάνων διοίκησης παρακολουθούν εκπαίδευση και η οντότητα παρέχει όμοια κατάρτιση στους υπαλλήλους της τουλάχιστον σε ετήσια βάση.

Ένα έγγραφο που δεν προβλέπει καν πεδίο έγκρισης — υπογραφή, ημερομηνία, έκδοση — δυσκολεύει την επιχείρηση να δείξει ότι το βήμα του άρθρου 14 έγινε.

5. Τι κοιτάζει η αρχή και τι κοιτάζει ένας πελάτης

Η εποπτεία. Αρμόδια αρχή για την κυβερνοασφάλεια και για τα εποπτικά καθήκοντα ορίζεται η Εθνική Αρχή Κυβερνοασφάλειας (Νόμος 5160/2024, άρθρο 8 παρ. 1), η οποία παρακολουθεί την εφαρμογή του νόμου και αποτελεί το ενιαίο σημείο επαφής της Ελλάδας (άρθρο 8 παρ. 2). Η ίδια αρχή καταρτίζει τον κατάλογο των οντοτήτων (άρθρο 4 παρ. 3). Κατά το άρθρο 15 παρ. 5 περ. β), η ενιαία πολιτική κυβερνοασφάλειας υποβάλλεται προς έγκριση από τις βασικές οντότητες στην Εθνική Αρχή Κυβερνοασφάλειας, τουλάχιστον ετησίως — δηλαδή το κείμενο προορίζεται να διαβαστεί από τρίτον, όχι να μείνει σε εσωτερικό φάκελο.

Για τις επιμέρους εποπτικές πράξεις — τι ακριβώς μπορεί να ζητηθεί σε έναν έλεγχο, με ποια διαδικασία και σε ποιες προθεσμίες — απευθυνθείτε στις δημοσιευμένες οδηγίες της Εθνικής Αρχής Κυβερνοασφάλειας ως επίσημη πηγή· το κείμενο του νόμου δεν καλύπτει μονοσήμαντα κάθε λεπτομέρεια της διαδικασίας.

Ο πελάτης. Το άρθρο 15 παρ. 2 περ. δ) υποχρεώνει τις οντότητες να αντιμετωπίζουν την ασφάλεια της αλυσίδας εφοδιασμού, συμπεριλαμβανομένων των πτυχών που αφορούν τις σχέσεις με τους άμεσους προμηθευτές ή παρόχους υπηρεσιών τους. Γι' αυτό ερωτηματολόγια φτάνουν και σε επιχειρήσεις που οι ίδιες δεν χαρακτηρίζονται βασική οντότητα ή σημαντική οντότητα: ο πελάτης καλύπτει τη δική του υποχρέωση. Ένα κείμενο με ακριβείς παραπομπές απαντά σε τέτοιο αίτημα πολύ πιο εύκολα από ένα γενικόλογο.

Το εύρος εφαρμογής ορίζεται στο άρθρο 3 (Παραρτήματα Ι και ΙΙ, μεσαίες επιχειρήσεις και κριτήρια ανεξαρτήτως μεγέθους) και ο χαρακτηρισμός στο άρθρο 4. Οι κυρώσεις του άρθρου 26 προβλέπουν διοικητικό πρόστιμο κατ' ανώτατο όριο δέκα εκατομμυρίων (10.000.000) ευρώ ή 2% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών για τις βασικές οντότητες και επτά εκατομμυρίων (7.000.000) ευρώ ή 1,4% για τις σημαντικές οντότητες, ανάλογα με το ποιο είναι υψηλότερο. Κανένα έγγραφο, από μόνο του, δεν αποτελεί κρίση για τη θέση της επιχείρησής σας απέναντι στον νόμο· η αξιολόγηση αυτή ανήκει στην αρμόδια αρχή.