NIS (ΟΔΗΓΙΑ (EE) 2016/1148): Ανάλυση, Κύρια Σημεία, και σχέση με Πρότυπα Διαχείρισης ISO 27001 & ISO 22301

Η Οδηγία NIS : Ιστορικό και Περιεχόμενο

Με τον Ν. 4577/2018, ενσωματώνεται στην ελληνική νομοθεσία η ΟΔΗΓΙΑ (EE) 2016/1148 ΤΟΥ ΕΥΡΩΠΑΪΚΟΥ ΚΟΙΝΟΒΟΥΛΙΟΥ  ΚΑΙ ΤΟΥ ΣΥΜΒΟΥΛΙΟΥ της 6ης Ιουλίου 2016 σχετικά με  μέτρα για  υψηλό κοινό  επίπεδο ασφάλειας συστημάτων δικτύου και πληροφοριών σε ολόκληρη την Ευρωπαϊκή  Ένωση – γνωστή ως ‘NIS  Directive ’ ή ‘NISD’.
Μη συμμόρφωση με την Οδηγία μπορεί να έχει ως συνέπεια την επιβολή προστίμων.
Κύριοι στόχοι της Οδηγίας αποτελούν

• Διαχείριση της Διακινδύνευσης της Ασφάλειας (Managing Security Risk)
• Προστασία από κυβερνο-επιθέσεις (Protecting against cyber attacks)
• Εντοπισμός συμβάντων που σχετίζονται με τη κυβερνο-ασφάλεια (Detecting cyber security events)
• Ελαχιστοποίηση της επίπτωσης από συμβάντα κυβερνο-ασφάλειας (Minimising the impact of cyber incidents)

Η οδηγία εφαρμόζεται άμεσα σε δυο είδη οργανισμών (με δραστηριότητες εντός της Ένωσης):

• Σε Φορείς Εκμετάλλευσης Βασικών Υπηρεσιών – OES (Operators of Essential Services)
• Σε Παρόχους Ψηφιακών Υπηρεσιών DSP (Digital Service Providers)

Ως Φορείς Εκμετάλλευσης Βασικών Υπηρεσιών  ορίζονται (σύμφωνα με το Παράρτημα ΙΙ της οδηγίας) οργανισμοί που δραστηριοποιούνται σε 7 τομείς δραστηριότητας: Ενέργεια (ηλεκτρική ενέργεια, Πετρέλαιο, Αέριο) Μεταφορές (αεροδρομικές, σιδηροδρομικές, πλωτές, οδικές), Τράπεζες, Υποδομές χρηματοπιστωτικών αγορών, Τομέα υγείας, Προμήθεια και διανομή πόσιμου νερού, και Ψηφιακής υποδομής.
Ως Πάροχοι Ψηφιακών Υπηρεσιών νοούνται υπό όρους (recitals 17,18,19) οι οργανισμοί που δραστηριοποιούνται στην παροχή υπηρεσιών Νεφοϋπολογιστικής (Cloud Computing), επιγραμμικών αγορών (Online Marketplaces) και Μηχανών Αναζήτησης (Search Engines). Επίσης η οδηγία εφαρμόζεται μόνο σε εκείνους τους φορείς δημόσιας διοίκησης οι οποίοι έχουν προσδιοριστεί ως φορείς εκμετάλλευσης βασικών  υπηρεσιών.
Σύμφωνα με τον τίτλο της, η οδηγία θεσπίζει μέτρα για την επίτευξη υψηλού κοινού επιπέδου ασφάλειας συστημάτων δικτύου και πληροφοριών εντός της Ένωσης, με σκοπό την καλύτερη λειτουργία της εσωτερικής αγοράς. Προβλέπει την επιβολή κοινών απαιτήσεων ασφάλειας και κοινοποίησης στους φορείς εκμετάλλευσης βασικών  υπηρεσιών  και στους παρόχους ψηφιακών  υπηρεσιών,  με σκοπό την προαγωγή νοοτροπίας διαχείρισης  κινδύνου και τη διασφάλιση  της κοινοποίησης των σοβαρότερων συμβάντων.
Κινούμενη στο ίδιο πνεύμα με το ΓΚΠΠΔ (GDPR), η οδηγία απαιτεί την λήψη και ενεργοποίηση κατάλληλων και ανάλογων τεχνικών και οργανωτικών μέσων στα συστήματα δικτύων και πληροφοριών καθώς και την κοινοποίησή συμβάντων του στις Αρμόδιες Αρχές ή Ομάδες Απόκρισης για Συμβάντα που αφορούν την Ασφάλεια Υπολογιστών CSIRT (Computer Security Incident Response Teams).
Ειδικότερα, σύμφωνα με τα άρθρα 14 και 16 οι οι Φορείς εκμετάλλευσης Βασικών Υπηρεσιών (OES) και οι Πάροχοι Ψηφιακών Υποδομών (DSP) θα πρέπει να :

• λαμβάνουν κατάλληλα  και αναλογικά τεχνικά και οργανωτικά  μέτρα για τη διαχείριση  των κινδύνων  όσον αφορά την ασφάλεια των συστημάτων δικτύου και πληροφοριών που χρησιμοποιούν στις δραστηριότητές τους. Λαμβάνοντας υπόψη τις πλέον πρόσφατες τεχνικές δυνατότητες, τα μέτρα αυτά θα πρέπει να διασφαλίζουν επίπεδο ασφάλειας των συστημάτων δικτύου και πληροφοριών ανάλογο προς τον εκάστοτε κίνδυνο.(Αρθρο 14.1 & Αρθρο 16.1. αντίστοιχα )

Σημείωση: Η ασφάλεια των συστημάτων δικτύου και πληροφοριών περιλαμβάνει την ασφάλεια των δεδομένων που αποθηκεύονται, μεταδίδονται και υφίστανται επεξεργασία.

• λαμβάνουν κατάλληλα μέτρα για την αποτροπή και την ελαχιστοποίηση του αντίκτυπου συμβάντων που επηρεάζουν την ασφάλεια  ων συστημάτων δικτύου και πληροφοριών που χρησιμοποιούνται για την παροχή αυτών των βασικών υπηρεσιών,  με σκοπό τη διασφάλιση της συνέχειάς τους. (Άρθρο 14.2 & Άρθρο 16.2. αντίστοιχα)
• κοινοποιούν χωρίς αδικαιολόγητη καθυστέρηση στην αρμόδια αρχή ή στην CSIRT συμβάντα  με σοβαρό αντίκτυπο στη συνέχεια  των βασικών υπηρεσιών που παρέχουν.  Οι κοινοποιήσεις  περιλαμβάνουν  πληροφορίες  που επιτρέπουν  στην αρμόδια αρχή ή την CSIRT  να προσδιορίσει τυχόν διασυνοριακό αντίτυπο του συμβάντος. Η κοινοποίηση δεν συνεπάγεται αυξημένη ευθύνη για τον κοινοποιούντα. (Άρθρο 14.3 & Άρθρο 16.3. αντίστοιχα)

• Οδηγός Εφαρμογής της Επιτροπής για την Οδηγία 2016/1148 σύμφωνα με την επίσημη εφημερίδα της ΕΕ ημερομηνίας 31/1/2018. Ο οδηγός περιλαμβάνει μέτρα τα οποία είναι στη πλειοψηφία τους παραπλήσιοι με του ISO 27001 και του ISO 22301.
• Τεχνικές κατευθυντήριες γραμμές για την εφαρμογή ελάχιστων μέτρων ασφάλειας για τους Παρόχους Ψηφιακών Υπηρεσιών (DSP) του ENISA. Οι κατευθυντήριες γραμμές αυτές περιλαμβάνουν 27 στόχους ασφαλείας που η μεγάλη πλειοψηφία τους είναι επίσης παραπλήσιοι με του ISO 27001 και του ISO 22301.

Αξίζει να σημειωθεί, ότι η συνεκτίμηση για τη συμμόρφωση με τα διεθνή πρότυπα εντάσσεται πλέον στο κείμενο της Οδηγίας. (π.χ. Αθρο 16.1.ε.). Παράγραφοι όπως η παράγραφος 50 του προοιμίου (recital) αναφέρει ότι «Οι φορείς εκμετάλλευσης βασικών υπηρεσιών και οι πάροχοι ψηφιακών υπηρεσιών θα πρέπει να εγγυώνται την ασφάλεια των συστημάτων  δικτύου και πληροφοριών  που χρησιμοποιούν».
 
Δεν υπάρχει αμφιβολία ότι η υλοποίηση Συστημάτων Διαχείρισης σύμφωνα με τις απαιτήσεις των διεθνών προτύπων ISO 27001:2013 και ISO 22301:2019 είναι ένα πολύ χρήσιμο και αποτελεσματικό εργαλείο το οποίο πέραν των υπολοίπων πλεονεκτημάτων βοηθάει σε μεγάλο βαθμό στη κάλυψη των απαιτήσεων της Οδηγίας NIS. H πιστοποίηση (από διαπιστευμένους Φορείς) των Φορέων Εκμετάλλευσης Βασικών Υπηρεσιών (OES) και Παρόχων Ψηφιακών Υπηρεσιών (DSP) (αλλά και των κρισίμων προμηθευτών τους) κατά ISO 27001:2013 και ISO 22301:2019 αυξάνει τον βαθμό εμπιστοσύνης ως προς την συμμόρφωση με την Οδηγίας NIS και αποτελεί σημαντική απόδειξη συνέπειας και ευθηνής.

Στέφανος Σπανός
Director & CTO – ISONIKE Ltd