Κυβερνοασφάλεια: Υπερψηφίστηκε το σχέδιο νόμου για την ενσωμάτωση της ευρωπαϊκής Οδηγίας NIS 2 

Υπερψηφίστηκε από την Ολομέλεια της Βουλής το Σχέδιο Νόμου του Υπουργείου Ψηφιακής Διακυβέρνησης, με το οποίο ενσωματώνεται η ευρωπαϊκή Οδηγία NIS2 ( (ΕΕ) 2022/2555) για τη λήψη μέτρων με στόχο ένα υψηλό κοινό επίπεδο στην κυβερνοασφάλεια σε ολόκληρη την Ένωση.

Όπως τόνισε ο υπουργός Ψηφιακής Διακυβέρνησης, Δημήτρης Παπαστεργίου: «Θέλουμε ένα ασφαλές και ανταγωνιστικό ψηφιακό περιβάλλον, το οποίο αναβαθμίζει τη συνολική ανθεκτικότητα της χώρας έναντι κυβερνοαπειλών. Μπορεί να ακούγεται τεχνικό αλλά αφορά ένα τεράστιο τμήμα της καθημερινότητάς μας, καθώς οι ψηφιακές υπηρεσίες αυξάνονται και τα συστήματα διασυνδέονται όλο και περισσότερο».

Οι επιχειρήσεις φοβούνται τις κυβερνοεπιθέσεις που βασίζονται στην AI

Ο Δημήτρης Παπαστεργίου σημείωσε μεταξύ άλλων ότι: «Ένα διευρυμένο πεδίο φορέων θα ακολουθούν πλέον συγκεκριμένους όρους, διαδικασίες, προϋποθέσεις, μέτρα προκειμένου να βρίσκονται σε ένα επίπεδο που θα εγγυάται την προστασία των δικαιωμάτων των πολιτών».

Αναδεικνύοντας τηνκρισιμότητα των νέων μέτρων για την κυβερνοασφάλεια έφερε ως παράδειγμα μια πιθανή επίθεση στα πληροφοριακά συστήματα ενός λιμανιού ή μιας φαρμακαποθήκης. «Αρκετές μέρες ή έστω και ώρες, δεν θα μπορούσαν να εκδοθούν εισιτήρια με ό,τι αυτό συνεπάγεται στην εξυπηρέτηση των πολιτών και στον τουρισμό και αντίστοιχα φαρμακεία σε όλη τη χώρα δεν θα μπορούσαν να εφοδιαστούν με τα απαραίτητα φάρμακα» υπογράμμισε χαρακτηριστικά.

«Mε την ενσωμάτωση της NIS στοχεύουμε στην επίτευξη ενός υψηλού επιπέδου κυβερνοασφάλειας και στην ευθυγράμμιση με τα ευρωπαϊκά πρότυπα, καθώς και στην ενίσχυση της εμπιστοσύνης των πολιτών και των επιχειρήσεων στις ψηφιακές υπηρεσίες» δήλωσε ο υπουργός. «Στο πλαίσιο αυτό είναι απαραίτητη η επικοινωνία µεταξύ Οργανισμών και Εθνικών Αρχών και η αναβάθμιση της διευρωπαϊκής συνεργασίας» συμπλήρωσε.

Μεταξύ άλλων η Οδηγία NIS2:

• Ενδυναμώνει την Εθνική Αρχή για την Κυβερνοασφάλεια (ΕΑΚ), ώστε να ασκήσει αποτελεσματικά τις αρμοδιότητές της ως Εθνική Αρμόδια Αρχή για την εφαρμογή της Οδηγίας, αποκτώντας μεταξύ άλλων διευρυμένες εποπτικές και ελεγκτικές αρμοδιότητες. Με την ψήφιση του νέου νόμου, αναμένεται να αυξηθεί η ζήτηση σε υπηρεσίες, προϊόντα και ειδικούς στην κυβερνοασφάλεια. Για το σκοπό αυτό προβλέπεται ότι θα προετοιμάσει σχετικά προγράµµατα εκπαίδευσης, παρέχοντας τη δυνατότητα πιστοποίησης, σε συνεργασία µε συναρμόδιους φορείς και συμβάλλοντας έτσι στη δημιουργία ενός εγχώριου οικοσυστήματος για την κυβερνοασφάλεια.
• Ορίζει την ΕΑΚ ως αρμόδια ομάδα απόκρισης για συμβάντα που αφορούν στην ασφάλεια υπολογιστών (Computer Security Incident Response Team- CSIRT). Δίνεται η δυνατότητα να συσταθούν και άλλες ομάδες απόκρισης, εφόσον κριθεί αναγκαίο για να επιτευχθεί υψηλότερο επίπεδο Κυβερνοασφάλειας. Σε κάθε περίπτωση η ΕΑΚ θα έχει συντονιστικό ρόλο.
• Διευρύνει το πεδίο εφαρμογής των φορέων που πρέπει να λάβουν συγκεκριμένα μέτρα για την Κυβερνοασφάλειά τους, με βάση το μέγεθος των φορέων καθώς και με την υπαγωγή νέων τομέων, όπως οι ταχυδρομικές υπηρεσίες, η διαχείριση αποβλήτων, τα τρόφιμα, τα χημικά προϊόντα (παρασκευή, παραγωγή, διανομή), ο κατασκευαστικός τομέας καθώς και η Κεντρική Κυβέρνηση, οι Περιφέρειες και Δήμοι.
• Θεσπίζει υποχρέωση αναφοράς σημαντικών περιστατικών, με βάση προσέγγιση πολλαπλών σταδίων. Προβλέπεται, κατ’ αρχάς, η υποχρέωση για έγκαιρη εντός 24 ωρών προειδοποίηση, που ακολουθείται από μια πληρέστερη ενημέρωση για το περιστατικό εντός 72 ωρών από τη γνώση του. Κατόπιν, ακολουθεί μια ενδιάμεση έκθεση για την επικαιροποίηση της αντιμετώπισης και της έκτασης του περιστατικού. Η υποχρέωση αναφοράς καταλήγει στην υποχρεωτική υποβολή τελικής έκθεσης εντός 1 μήνα.
• Προβλέπει μεταξύ άλλων κυρώσεων, διοικητικά πρόστιμα για την παραβίαση απαιτήσεων σχετικά με τα μέτρα διαχείρισης κινδύνων στον τομέα της Κυβερνοασφάλειας ή τη μη συμμόρφωση με τις υποχρεώσεις αναφοράς περιστατικών, τα οποία φτάνουν έως 10 εκατ. ευρώ ή 2% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών της επιχείρησης κατά το προηγούμενο οικονομικό έτος, ανάλογα με το ποιο είναι υψηλότερο.
• Προβλέπει υποχρεώσεις για τους οργανισμούς του δημόσιου τομέα και τις επιχειρήσεις του ιδιωτικού τομέα. Οφείλουν να λάβουν λεπτομερή μέτρα διαχείρισης κινδύνων για την προστασία των συστημάτων δικτύου και πληροφοριακών συστημάτων καθώς του φυσικού περιβάλλοντος των εν λόγω συστημάτων από περιστατικά.

Ενδεικτικά μέτρα που οφείλουν να λάβουν οι φορείς αφορούν σε:

1.  Πολιτικές και διαδικασίες για την ανάλυση κινδύνου και την ασφάλεια των πληροφοριακών συστημάτων
2.  Διαχείριση περιστατικών
3.  Επιχειρησιακή συνέχεια, όπως διαχείριση αντιγράφων ασφαλείας και αποκατάσταση έπειτα από καταστροφή, καθώς και διαχείριση των περιστατικών στον κυβερνοχώρο
4.  Ασφάλεια της αλυσίδας εφοδιασμού, ώστε να διαχειρίζονται ικανοποιητικά τους κινδύνους που απορρέουν από τις σχέσεις μεταξύ κάθε οντότητας και των άμεσων προμηθευτών ή παρόχων υπηρεσιών της
5.  Ασφάλεια στην απόκτηση, ανάπτυξη και συντήρηση συστημάτων δικτύου και πληροφοριακών συστημάτων, συμπεριλαμβανομένου του χειρισμού και της γνωστοποίησης ευπαθειών
6.  Πολιτικές και διαδικασίες για την αξιολόγηση της αποτελεσματικότητας των μέτρων διαχείρισης κινδύνων στον τομέα της κυβερνοασφάλειας.