Η NIS2 (Οδηγία (ΕΕ) 2022/2555) εφαρμόζεται στην Ελλάδα από τον Οκτώβριο του 2024. Έχουμε περάσει τους τελευταίους 18 μήνες βοηθώντας ΜμΕ στην Κρήτη και την Αθήνα να ευθυγραμμιστούν. Τα καλά νέα: ό,τι περιμένει η NIS2 είναι αυτό που μια ικανή IT ομάδα ήδη κάνει. Τα κακά νέα: "ικανή IT ομάδα" είναι ακριβώς η σπάνια πηγή που λείπει στις ΜμΕ.
Αυτό το άρθρο είναι το checklist του μηχανικού — η τακτική εκδοχή, όχι το slide deck του consultant.
Ποιος εμπίπτει στο πεδίο εφαρμογής;
Δύο κατηγορίες, απλοποιημένες:
- Βασικές οντότητες (Essential) — ενέργεια, μεταφορές, τραπεζικά, υγεία, πόσιμο νερό, ψηφιακή υποδομή (data centers, DNS, TLDs, cloud), δημόσια διοίκηση. ~250+ εργαζόμενοι ή ~50M€ τζίρος.
- Σημαντικές οντότητες (Important) — ταχυδρομικές υπηρεσίες, διαχείριση αποβλήτων, τρόφιμα, βιομηχανία ορισμένων προϊόντων, ψηφιακοί πάροχοι, έρευνα. ~50+ εργαζόμενοι ή ~10M€ τζίρος.
Αν η ΜμΕ σας παρέχει οποιαδήποτε από τις παραπάνω υπηρεσίες σε κάποιον εντός πεδίου εφαρμογής, πιθανότατα είστε εντός πεδίου ως προμηθευτής.
Τι απαιτεί πραγματικά η NIS2 (τεχνικά)
Η οδηγία απαριθμεί δέκα κατηγορίες "ελάχιστων μέτρων". Μεταφρασμένα σε γλώσσα μηχανικού:
- Ανάλυση κινδύνων & πολιτικές — γράψτε τι προστατεύετε, τι μπορεί να σπάσει, τι θα κάνετε αν συμβεί.
- Διαχείριση περιστατικών — εντοπισμός, triage, απόκριση, post-mortem. Τεκμηριωμένα, όχι απλώς "είμαστε καλοί σε αυτό".
- Επιχειρησιακή συνέχεια — backup strategy, disaster recovery plan, διαχείριση κρίσεων.
- Ασφάλεια εφοδιαστικής αλυσίδας — η ασφάλεια των προμηθευτών σας είναι πλέον δικό σας πρόβλημα. Παρακολουθήστε τη.
- Ασφάλεια απόκτησης & συντήρησης — διαχείριση τρωτοτήτων, patch management, secure SDLC.
- Μέτρηση αποτελεσματικότητας — πρέπει να αξιολογείτε αν τα μέτρα σας λειτουργούν. Reports, audits, metrics.
- Κυβερνοϋγιεινή & εκπαίδευση — για όλο το προσωπικό, όχι μόνο IT.
- Κρυπτογραφία — κατάλληλη χρήση, όπου χρειάζεται.
- Έλεγχος πρόσβασης & διαχείριση asset — ξέρετε τι έχετε, ξέρετε ποιος μπορεί να το αγγίξει.
- MFA, ασφαλείς επικοινωνίες, ασφαλείς επικοινωνίες έκτακτης ανάγκης — ναι, το MFA είναι πλέον σχεδόν νομική απαίτηση.
Το ρολόι 24/72 ωρών για αναφορά
Όταν έχετε ένα "σημαντικό" περιστατικό, έχετε:
- 24 ώρες για early warning στο εθνικό CSIRT (στην Ελλάδα: Εθνική Αρχή Κυβερνοασφάλειας / NCSA).
- 72 ώρες για κοινοποίηση περιστατικού.
- Έναν μήνα για πλήρη τελική αναφορά.
Το "σημαντικό" ορίζεται αρκετά στενά ώστε τα περισσότερα περιστατικά ransomware να εμπίπτουν.
Τι παραλείπουν συνήθως οι ΜμΕ
Στις δωδεκάδες αναθέσεις που κάναμε τον τελευταίο χρόνο, εμφανίζονται τα ίδια κενά:
- Καμία τεκμηριωμένη διαδικασία απόκρισης σε περιστατικό. Το "καλέστε τον Γιάννη" δεν είναι runbook.
- Τα backups υπάρχουν, αλλά η αμεταβλητότητα όχι. Ένα ransomware crew με domain admin θα διαγράψει τα backups πριν κρυπτογραφήσει. Το Object Lock είναι η απάντηση.
- Το patch management είναι αντιδραστικό. "Ενημερώνουμε όταν υπάρχει πρόβλημα" σας οδηγεί σε παραβίαση.
- Καμία διατήρηση logs. Όταν ανακαλύπτετε μια παραβίαση 3 μήνες αργότερα, χρειάζεστε 5 μήνες logs για να ερευνήσετε. Οι περισσότερες ΜμΕ έχουν 7 ημέρες.
- Η μέτρηση αποτελεσματικότητας είναι ανεπίσημη. Η NIS2 θέλει αναφορές. Παράγετέ τες, ελέγχετέ τες, αρχειοθετήστε τες.
Πώς ευθυγραμμίζεται η Datatrek
Κάθε υπηρεσία που τρέχουμε παράγει NIS2-aligned τεκμήρια:
- XEDR → χρονογραμμές περιστατικών, logs απομόνωσης host, agent inventory.
- SIEM → 5 μήνες retention, correlation rules, μηνιαίες αναφορές.
- XNDR → topology evidence, persistence audits, port-drift logs.
- Vulnerabilities → συνεχείς σαρώσεις, αναφορές σοβαρότητας, audit trail patches.
- S3 Backup → Object Lock, ιστορικό snapshots, restore tests.
Καθένα χαρτογραφημένο στα 10 ελάχιστα μέτρα της οδηγίας. Δίνουμε το NIS2 alignment matrix σε υποψήφιους πελάτες ώστε η συζήτηση να παρακάμπτει το συνηθισμένο security-marketing layer.