Πώς προκύπτει σε λίγα λεπτά μια τεκμηρίωση NIS2 προσαρμοσμένη στην εταιρεία σας

Τι κάνει ένα έγγραφο NIS2 «εταιρικά συγκεκριμένο»

Πολλές διοικήσεις μικρομεσαίων επιχειρήσεων υποθέτουν ότι η τεκμηρίωση κυβερνοασφάλειας γράφεται από το μηδέν, με εβδομάδες εσωτερικής δουλειάς. Στην πραγματικότητα, το νομικό περιεχόμενο είναι προκαθορισμένο: ο ν. 5160/2024, που ενσωματώνει την Οδηγία (ΕΕ) 2022/2555, ορίζει ρητά τι πρέπει να καλύπτουν τα μέτρα και οι πολιτικές μιας οντότητας.

Τρία στοιχεία καθορίζουν το αποτέλεσμα:

• Η νομική βάση είναι σταθερή. Το άρθρο 15 παρ. 2 του ν. 5160/2024 απαριθμεί τα ελάχιστα μέτρα (περ. α έως ι), ενώ το άρθρο 14 ρυθμίζει τον ρόλο των οργάνων διοίκησης.
• Το προφίλ της εταιρείας καθορίζει τι ισχύει για εσάς. Ο τομέας (Παράρτημα Ι ή Παράρτημα ΙΙ), το μέγεθος κατά το άρθρο 3 και ο χαρακτηρισμός ως βασική οντότητα ή σημαντική οντότητα κατά το άρθρο 4 προσδιορίζουν το εύρος των υποχρεώσεων.
• Κάθε νομική διατύπωση φέρει την πηγή της. Όταν το κείμενο στηρίζεται σε προελεγμένες, αυτούσιες διατάξεις, κάθε πρόταση μπορεί να συνοδεύεται από την ακριβή παραπομπή (όνομα νόμου και άρθρο), ώστε ένας ελεγκτής ή ένας πελάτης να επαληθεύει τον ισχυρισμό στην πηγή.

Γι' αυτό η σύνταξη δεν είναι πλέον ζήτημα εβδομάδων: το νομικό μέρος δεν επινοείται, συναρμολογείται.

Τα πέντε βασικά πεδία τεκμηρίωσης — η συνολική εικόνα

Πριν ξεκινήσετε από οποιοδήποτε επιμέρους έγγραφο, αξίζει να δείτε το σύνολο. Ο ν. 5160/2024 οργανώνει τις απαιτήσεις σε πέντε πυρήνες.

1. Πολιτική διαχείρισης κινδύνων. Το άρθρο 15 παρ. 2 περ. α) απαιτεί πολιτικές και διαδικασίες για την ανάλυση κινδύνου και την ασφάλεια των πληροφοριακών συστημάτων. Σύμφωνα με το άρθρο 15 παρ. 1, τα μέτρα είναι τεχνικά, επιχειρησιακά και οργανωτικά, κατάλληλα και αναλογικά προς τους κινδύνους των συστημάτων που χρησιμοποιείτε.

2. Διαχείριση περιστατικών. Το άρθρο 15 παρ. 2 περ. β) ορίζει τη διαχείριση περιστατικών ως αυτοτελές μέτρο. Συνδέεται άμεσα με το άρθρο 16, που προβλέπει προειδοποίηση εντός είκοσι τεσσάρων (24) ωρών, κοινοποίηση περιστατικού εντός εβδομήντα δύο (72) ωρών και τελική έκθεση το αργότερο εντός ενός (1) μηνός από την κοινοποίηση. Οι εσωτερικές σας διαδικασίες πρέπει να είναι γραμμένες ώστε να λειτουργούν μέσα σε αυτά τα χρονικά περιθώρια.

3. Επιχειρησιακή συνέχεια. Το άρθρο 15 παρ. 2 περ. γ) καλύπτει τη διαχείριση αντιγράφων ασφαλείας, την αποκατάσταση έπειτα από καταστροφή και τη διαχείριση των κρίσεων. Το πεδίο αυτό απαντά στο ερώτημα ποιος κάνει τι όταν μια υπηρεσία σταματήσει.

4. Ασφάλεια της αλυσίδας εφοδιασμού. Το άρθρο 15 παρ. 2 περ. δ) περιλαμβάνει τις πτυχές ασφάλειας που αφορούν τις σχέσεις με τους άμεσους προμηθευτές ή παρόχους υπηρεσιών. Επειδή η υποχρέωση αυτή βαρύνει κάθε οντότητα στο πεδίο εφαρμογής, οι μεγαλύτεροι πελάτες ζητούν τεκμηρίωση από τους προμηθευτές τους — και η τεκμηρίωση με παραπομπή σε διάταξη είναι σαφώς ελέγξιμη.

5. Ευθύνη της διοίκησης. Κατά το άρθρο 14 παρ. 1, τα όργανα διοίκησης εγκρίνουν τα μέτρα διαχείρισης κινδύνων εντός τριών (3) μηνών από την έναρξη ισχύος του νόμου, επιβλέπουν την εφαρμογή τους και είναι υπεύθυνα για την παραβίαση των υποχρεώσεων του άρθρου αυτού. Το άρθρο 14 παρ. 2 προσθέτει την εκπαίδευση των μελών της διοίκησης και την κατάρτιση του προσωπικού τουλάχιστον σε ετήσια βάση.

Πρώτο από τα πέντε: η πολιτική διαχείρισης κινδύνων ως θεμέλιο

Η πολιτική διαχείρισης κινδύνων είναι το έγγραφο πάνω στο οποίο στηρίζονται τα υπόλοιπα τέσσερα. Ο λόγος προκύπτει από το ίδιο το κείμενο του νόμου: το άρθρο 15 παρ. 5 περ. β) προβλέπει ότι οι οντότητες τηρούν ενιαία πολιτική κυβερνοασφάλειας, στην οποία συμπεριλαμβάνεται το σύνολο των επιμέρους μέτρων, πολιτικών και διαδικασιών της παρ. 2. Για τις βασικές οντότητες, η ενιαία πολιτική υποβάλλεται προς έγκριση στην Εθνική Αρχή Κυβερνοασφάλειας τουλάχιστον ετησίως.

Το ίδιο άρθρο, στην παρ. 5 περ. α), προβλέπει τον ορισμό αρμόδιου στελέχους ως Υπεύθυνου Ασφάλειας Συστημάτων Πληροφορικής και Επικοινωνιών (Υ.Α.Σ.Π.Ε.), ο οποίος αναλαμβάνει τις επικοινωνίες με την Εθνική Αρχή Κυβερνοασφάλειας και τον εσωτερικό συντονισμό. Πρακτικά, η πολιτική ορίζει το πλαίσιο και τα πρόσωπα· τα έγγραφα των πεδίων 2 έως 5 περιγράφουν τις επιμέρους διαδικασίες.

Για μια εταιρεία που ξεκινά, αυτό σημαίνει μία σαφή σειρά: πρώτα το θεμέλιο, μετά οι διαδικασίες περιστατικών και συνέχειας, έπειτα η αλυσίδα εφοδιασμού και η τεκμηρίωση της έγκρισης από τη διοίκηση.

Γιατί η συναρμολόγηση διαρκεί λεπτά και όχι εβδομάδες

Ο χρόνος στη σύνταξη τεκμηρίωσης καταναλώνεται συνήθως σε τρία σημεία: στην αναζήτηση της σωστής διάταξης, στη μετάφρασή της σε κείμενο πολιτικής και στον έλεγχο ότι το κείμενο αφορά πράγματι τη δική σας κατηγορία οντότητας. Και τα τρία μπορούν να προετοιμαστούν εκ των προτέρων.

Όταν το προφίλ (τομέας, μέγεθος, κατηγορία) είναι γνωστό, η επιλογή των εφαρμοστέων διατάξεων γίνεται μηχανικά και το κείμενο συντίθεται από προελεγμένες πηγές. Η λέξη «λεπτά» αναφέρεται σε αυτή τη μέθοδο συναρμολόγησης — όχι σε υπόσχεση παράδοσης ή σε αξιολόγηση της επάρκειας των μέτρων σας. Η ουσιαστική εφαρμογή των μέτρων παραμένει έργο της εταιρείας, και κατά το άρθρο 14 παρ. 1 η έγκριση και η εποπτεία τους ανήκουν στα όργανα διοίκησης.

Τι σημαίνει αυτό απέναντι στην αρχή και στους πελάτες σας

Αρμόδια αρχή για την κυβερνοασφάλεια και για τα εποπτικά καθήκοντα ορίζεται, κατά το άρθρο 8 του ν. 5160/2024, η Εθνική Αρχή Κυβερνοασφάλειας, η οποία αποτελεί και το ενιαίο σημείο επαφής της χώρας. Η ίδια αρχή καταρτίζει, κατά το άρθρο 4 παρ. 3, τον κατάλογο βασικών και σημαντικών οντοτήτων· οι μεταβολές στα υποβληθέντα στοιχεία κοινοποιούνται αμελλητί και σε κάθε περίπτωση εντός δύο (2) εβδομάδων από την επέλευσή τους (άρθρο 4 παρ. 4).

Το άρθρο 26 προβλέπει διοικητικά πρόστιμα κατ' ανώτατο όριο δέκα εκατομμυρίων (10.000.000) ευρώ ή 2% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών για τις βασικές οντότητες, και επτά εκατομμυρίων (7.000.000) ευρώ ή 1,4% για τις σημαντικές οντότητες, ανάλογα με το ποιο ποσό είναι υψηλότερο. Πρόκειται για δεδομένα του νόμου, τα οποία περιγράφουν το πλαίσιο μέσα στο οποίο κινείται η τεκμηρίωση.

Στις εμπορικές σχέσεις, η υποχρέωση του άρθρου 15 παρ. 2 περ. δ) για την ασφάλεια της αλυσίδας εφοδιασμού εξηγεί γιατί οι αγοραστές ζητούν από τους προμηθευτές τους οργανωμένο σύνολο εγγράφων και όχι μεμονωμένες δηλώσεις. Ένα κείμενο στο οποίο κάθε νομικός ισχυρισμός φέρει όνομα νόμου και άρθρο επιτρέπει στον αναγνώστη — ελεγκτή ή πελάτη — να το επαληθεύσει άμεσα.

Για σημεία που δεν προκύπτουν μονοσήμαντα από το κείμενο του νόμου, όπως ο ακριβής ηλεκτρονικός δίαυλος κοινοποίησης ή εγγραφής, συμβουλευτείτε τις δημοσιευμένες οδηγίες της Εθνικής Αρχής Κυβερνοασφάλειας ως επίσημη πηγή.