Απαιτήσεις για κανονιστική συμμόρφωση
Με την εισαγωγή της οδηγίας της ΕΕ 2022/2555, γνωστής και ως NIS 2, οι απαιτήσεις για την κανονιστική συμμόρφωση στις επιχειρήσεις έχουν αυξηθεί. Η οδηγία NIS 2 αντιμετωπίζει την απειλή κυβερνοεπιθέσεων στην ΕΕ. Η οδηγία ρυθμίζει την κυβερνοασφάλεια και την ασφάλεια των πληροφοριών για επιχειρήσεις και ιδρύματα. Οι κυβερνοεπιθέσεις θεωρούνται πλέον παγκοσμίως ως ένας από τους μεγαλύτερους επιχειρηματικούς κινδύνους για τις επιχειρήσεις.
Η οδηγία NIS 2 αντικαθιστά την Οδηγία 2016/1148 της ΕΕ (NIS 1) και αποσκοπεί στη βελτίωση της κυβερνοασφάλειας στην Ευρωπαϊκή Ένωση και στην καλύτερη προστασία των επιχειρήσεων. Η εφαρμογή της οδηγίας NIS-2 συνεπάγεται επίσης αυξημένες απαιτήσεις για τη διαχείριση κινδύνων και τη συμμόρφωση σε πολλές επιχειρήσεις. Εάν τα μέτρα δεν εφαρμοστούν επαρκώς στις επιχειρήσεις, αυτό μπορεί να οδηγήσει σε κυρώσεις, σύμφωνα με την οικονομική δικηγορική εταιρεία MTR Legal.
Η ΕΕ ενέκρινε την οδηγία NIS-2 το 2023 και μέχρι το 2025 τα κράτη μέλη πρέπει να την ενσωματώσουν στο εθνικό δίκαιο. Τα οποία επιχειρήσεις επηρεάζονται από την οδηγία εξαρτάται κυρίως από τη φύση των δραστηριοτήτων τους. Η οδηγία έχει επεκταθεί σε περισσότερες επιχειρήσεις, οι οποίες θεωρούνται ουσιώδεις (essential) και σημαντικές (important). Αυτό οδηγεί σε μια σημαντική αύξηση των επιχειρήσεων και ιδρυμάτων που έχουν νόμιμες υποχρεώσεις προς το Ομοσπονδιακό Γραφείο Ασφάλειας Πληροφοριών (BSI).
Οι κρίσιμες υποδομές επηρεάζονται
Οι κρίσιμες υποδομές που ήδη υπάγονταν στην οδηγία NIS-1, όπως η ενέργεια, οι μεταφορές, η υγειονομική περίθαλψη, τα χρηματοοικονομικά, η υδατική διαχείριση και οι ψηφιακές υποδομές, επηρεάζονται από την οδηγία NIS-2. Σε αυτές περιλαμβάνονται οι δημόσιες ηλεκτρονικές υπηρεσίες, άλλες ψηφιακές υπηρεσίες όπως οι κοινωνικές πλατφόρμες, η διαχείριση αποβλήτων και απορριμμάτων, οι ταχυδρομικές και ταχυμεταφορικές υπηρεσίες, η δημόσια διοίκηση ή οι κατασκευαστές κρίσιμων προϊόντων. Σύμφωνα με εκτιμήσεις, περίπου 29.000 επιχειρήσεις στη Γερμανία θα επηρεαστούν διατομεακά από την εφαρμογή της οδηγίας NIS-2. Κυρίως οι μεσαίες και μεγάλες επιχειρήσεις στους κρίσιμους τομείς θα κληθούν να λάβουν κατάλληλα μέτρα για την κυβερνοασφάλεια και να εδραιώσουν αποτελεσματική συμμόρφωση. Θα υποχρεωθούν επίσης να ενημερώνουν τις αρμόδιες αρχές για τα περιστατικά ασφάλειας με σημαντικές διαταραχές ή ζημιές.
Η οδηγία NIS-2 περιλαμβάνει επίσης διατάξεις για την εποπτεία, την επιβολή και τις εθελοντικές αμοιβαίες αξιολογήσεις (peer reviews), για την ενίσχυση της αμοιβαίας εμπιστοσύνης και της κυβερνοασφάλειας σε ολόκληρη την Ευρωπαϊκή Ένωση. Αυτό σημαίνει επίσης ότι η διοίκηση καθίσταται υπεύθυνη, εάν δεν εφαρμοστούν τα μέτρα για τη διαχείριση κινδύνων κυβερνοασφάλειας.
Αντίδραση σε επιθέσεις στη κυβερνοασφάλεια
Με την οδηγία NIS-2 δημιουργείται και δίκτυο Ομάδων Αντιμετώπισης Συμβάντων Ασφάλειας Υπολογιστών (CSIRT), για την ανταλλαγή πληροφοριών σχετικά με τις απειλές ασφαλείας και την κατάλληλη αντίδραση στα περιστατικά. Επιπλέον, δημιουργείται το ευρωπαϊκό δίκτυο συνδέσμων για κρίσεις κυβερνοασφάλειας, το οποίο υποστηρίζει την τακτική ανταλλαγή πληροφοριών μεταξύ κρατών μελών και οργάνων της ΕΕ, ώστε να μπορούν να ανταποκριθούν σε περιστατικά και κρίσεις μεγάλου μεγέθους.
Πώς ακριβώς θα ενσωματωθεί η NIS 2 στο εθνικό δίκαιο της Γερμανίας, δεν έχει ακόμα καθοριστεί. Αυτό συμβαίνει επειδή η εφαρμογή της καθυστέρησε λόγω των πρόωρων ομοσπονδιακών εκλογών. Ωστόσο, είναι σαφές ότι με την εφαρμογή της, η κυβερνοασφάλεια θα γίνει ζήτημα για πολλές μεσαίου μεγέθους επιχειρήσεις.
Οι επιχειρήσεις πρέπει να εφαρμόσουν μέτρα ασφαλείας
Η οδηγία NIS 2 θέτει τις επιχειρήσεις ενώπιον της πρόκλησης να εφαρμόσουν απαιτούμενα μέτρα ασφαλείας για την προστασία δεδομένων και κρίσιμων υποδομών έναντι πιθανών κυβερνοεπιθέσεων. Πρέπει να ληφθούν τα αναγκαία τεχνικά και οργανωτικά μέτρα. Εάν η επιχείρηση πέσει θύμα κυβερνοεπίθεσης, πρέπει να υπάρχουν σχέδια για τον άμεσο περιορισμό των ζημιών και την αποκατάσταση των συστημάτων. Επίσης πρέπει να ενημερωθούν οι αρμόδιες αρχές. Επιπλέον, οι επιχειρήσεις πρέπει να πραγματοποιούν τακτικές δοκιμές για την ανίχνευση και εξάλειψη αδυναμιών. Η κυβερνοασφάλεια πρέπει επίσης να υπάρχει εντός της εφοδιαστικής αλυσίδας. Κατά συνέπεια, πρέπει να σημειώνονται και εδώ αντιδράσεις στους κινδύνους.
Η εφαρμογή της οδηγίας NIS-2 σηματοδοτεί προκλήσεις για αποτελεσματική συμμόρφωση στις επηρεαζόμενες επιχειρήσεις, ιδίως καθώς τα διοικητικά στελέχη και οι διευθύνουσες αρχές μπορούν να θεωρηθούν προσωπικά υπεύθυνα, εάν δεν εφαρμοστούν τα απαιτούμενα μέτρα ασφαλείας.
Η MTR Legal υποστηρίζει τις επιχειρήσεις στην εφαρμογή αποτελεσματικών συστημάτων συμμόρφωσης και διασφαλίζει ότι πληρούνται οι νομικές απαιτήσεις. Ως νομική εταιρεία, η MTR Legal συμβουλεύει για συμμόρφωση και άλλα θέματα του οικονομικού ποινικού δικαίου.
Παρακαλώ επικοινωνήστε μαζί μας!
