Περισσότεροι από 2.000 φορείς του δημόσιου και ιδιωτικού τομέα θα κληθούν μέσα στο 2025 να συμμορφωθούν με τους κανονισμούς που φέρνει η εφαρμογή της NIS 2, της πιο πρόσφατης οδηγίας της Ευρωπαϊκής Ένωσης για την κυβερνοασφάλεια. Σε διαφορετική περίπτωση, όπως τόνισε χθες σε άτυπη ενημέρωση ο διοικητής της Εθνικής Αρχής Κυβερνοασφάλειας (ΕΑΚ), Μιχάλης Μπλέτσας, θα μπορούν να επιβληθούν κυρώσεις, όπως διοικητικά πρόστιμα σε οντότητες του ιδιωτικού τομέα. Όπως εξήγησε, η νέα οδηγία υιοθετεί την υποχρέωση αναφοράς περιστατικών κυβερνοασφάλειας. Η υποχρέωση της πρώτης αναφοράς πρέπει να γίνεται από τις επιχειρήσεις και τους φορείς εντός 24 ωρών από τη στιγμή που εντοπίζουν το κρούσμα. Η ευθύνη για την ψηφιακή ασφάλεια μεταφέρεται στα υψηλότερα κλιμάκια.
Να αναφέρουμε ότι το σχετικό νομοσχέδιο βρίσκεται σε φάση δημόσιας διαβούλευσης και αναμένεται να έχει ψηφιστεί μέχρι το τέλος του έτους, αν και θα απαιτηθεί αρκετό χρονικό διάστημα μέχρι να διαμορφωθούν οι αποφάσεις σχετικά με τις προδιαγραφές για τα συστήματα κυβερνοασφάλειας των επιχειρήσεων.
Η Οδηγία (ΕΕ) 2022/2555 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 14ης Δεκεμβρίου 2022, γνωστή ως οδηγία NIS 2, είναι η αναθεωρημένη έκδοση της αρχικής οδηγίας NIS, η οποία θεσπίστηκε το 2016 με στόχο την ενίσχυση της κυβερνοασφάλειας στην Ευρωπαϊκή Ένωση.
Η λίστα των οργανισμών και επιχειρήσεων που καλούνται να συμμορφωθούν είναι αρκετά μεγάλη, καθώς περιλαμβάνει όλες τις επιχειρήσεις που απασχολούν από 50 έως 250 εργαζομένους και έχουν κύκλο εργασιών από 10 έως 250 εκατ. ευρώ.
Όσον αφορά στις υποχρεώσεις, οι οργανισμοί του δημόσιου τομέα και οι επιχειρήσεις του ιδιωτικού τομέα λαμβάνουν λεπτομερή μέτρα διαχείρισης κινδύνων που αποσκοπούν στην προστασία των συστημάτων από περιστατικά κυβερνοασφάλειας.
Θεσπίζεται ένας αποτελεσματικός και αποτρεπτικός κυρωτικός μηχανισμός, ο οποίος διασφαλίζει την εφαρμογή των σχετικών ρυθμίσεων. Οι κυρώσεις είναι αποτελεσματικές και σέβονται απολύτως την αρχή της αναλογικότητας. Αν δεν γίνεται αναφορά, μπορεί να υπάρχουν κυρώσεις υπό τη μορφή προστίμων που μπορούν να φθάσουν τα 10 εκατ. ευρώ ή το 2% του παγκόσμιου κύκλου εργασιών μίας επιχείρησης.
Η νομοθεσία θα ενδυναμώσει τους μηχανισμούς ελέγχου και θα διασφαλίσει ότι οι οργανισμοί συμμορφώνονται με τα πρότυπα ασφάλειας, μειώνοντας τον κίνδυνο κυβερνοεπιθέσεων.
Κλείνοντας, οι φορείς και οι επιχειρήσεις θα πρέπει να εφαρμόσουν πολιτικές και διαδικασίες για τη διαχείριση κινδύνων και την ασφάλεια των πληροφοριακών συστημάτων, καθώς και να διαχειρίζονται ικανοποιητικά τους κινδύνους που προκύπτουν από τις σχέσεις τους με τους προμηθευτές.
