Ασφάλεια των συστημάτων δικτύου και πληροφοριών

ΒΑΣΙΚΑ ΣΗΜΕΙΑ

Ο όρος κυβερνοασφάλεια αναφέρεται σε δραστηριότητες που απαιτούνται για την προστασία των συστημάτων δικτύου και πληροφοριών, των χρηστών τέτοιων συστημάτων, καθώς και άλλων ανθρώπων που επηρεάζονται από κυβερνοαπειλές.

Κρίσιμοι τομείς

Η οδηγία εφαρμόζεται κατά κύριο λόγο σε μεσαίου μεγέθους και μεγάλες οντότητες που δραστηριοποιούνται στους παρακάτω τομείς υψηλής κρισιμότητας όπως ορίζονται στο παράρτημα I:

• ενέργεια:
  • ηλεκτρική ενέργεια, συμπεριλαμβανομένων συστημάτων παραγωγής, διανομής και μεταφοράς, καθώς και σημεία επαναφόρτισης,
  • τηλεθέρμανση και τηλεψύξη,
  • πετρέλαιο, συμπεριλαμβανομένων αγωγών παραγωγής, αποθήκευσης και μεταφοράς,
  • αέριο, συμπεριλαμβανομένων συστημάτων προμήθειας, διανομής, μεταφοράς και αποθήκευσης, και
  • υδρογόνο·
• εναέριες, σιδηροδρομικές, πλωτές και οδικές μεταφορές·
• τράπεζες και υποδομές χρηματοπιστωτικών αγορών, όπως πιστωτικά ιδρύματα, φορείς εκμετάλλευσης τόπων διαπραγμάτευσης και κεντρικοί αντισυμβαλλόμενοι·
• υγεία, συμπεριλαμβανομένων παρόχων υγειονομικής περίθαλψης, παρασκευαστών βασικών φαρμακευτικών προϊόντων και κρίσιμων ιατρικών συσκευών, καθώς και εργαστηρίων αναφοράς της ΕΕ·
• πόσιμο νερό·
• λύματα·
• ψηφιακές υποδομές, συμπεριλαμβανομένων παρόχων υπηρεσιών κέντρων δεδομένων, υπηρεσιών υπολογιστικού νέφους, δημόσιων δικτύων ηλεκτρονικών επικοινωνιών και διαθέσιμων στο κοινό υπηρεσιών ηλεκτρονικών επικοινωνιών·
• διαχείριση υπηρεσιών ΤΠΕ (μεταξύ επιχειρήσεων)·
• διάστημα·
• δημόσια διοίκηση σε κεντρικό και περιφερειακό επίπεδο, με εξαίρεση τα δικαστήρια, τα κοινοβούλια και τις κεντρικές τράπεζες· η οδηγία δεν εφαρμόζεται σε οντότητες της δημόσιας διοίκησης που πραγματοποιούν δραστηριότητες στους τομείς της εθνικής ασφάλειας, της δημόσιας ασφάλειας, της άμυνας ή της επιβολής του νόμου.

Εφαρμόζεται επίσης σε άλλους κρίσιμους τομείς, όπως ορίζονται στο παράρτημα II:

• ταχυδρομικές υπηρεσίες και υπηρεσίες ταχυμεταφορών·
• διαχείριση αποβλήτων·
• παρασκευή, παραγωγή και διανομή χημικών προϊόντων·
• παραγωγή, μεταποίηση και διανομή τροφίμων·
• κατασκευαστικός τομέας,, κυρίως ιατροτεχνολογικών προϊόντων, προϊόντων υπολογιστών, ηλεκτρονικών και οπτικών προϊόντων, ορισμένων ειδών ηλεκτρολογικού εξοπλισμού και μηχανημάτων, μηχανοκίνητων οχημάτων και άλλου εξοπλισμού μεταφορών·
• ψηφιακοί πάροχοι επιγραμμικών αγορών, μηχανών αναζήτησης και υπηρεσιών κοινωνικής δικτύωσης· και
• οργανισμοί ερευνών.

Εθνική στρατηγική κυβερνοασφάλειας

Κάθε κράτος μέλος πρέπει να υιοθετεί μια εθνική στρατηγική για την επίτευξη και τη διατήρηση υψηλού επιπέδου κυβερνοασφάλειας στους κρίσιμους τομείς, μεταξύ άλλων:

• ένα πλαίσιο διακυβέρνησης που αποσαφηνίζει τους ρόλους και τις αρμοδιότητες των σχετικών ενδιαφερόμενων μερών σε εθνικό επίπεδο·
• πολιτικές για την ασφάλεια της αλυσίδας εφοδιασμού προϊόντων·
• πολιτικές διαχείρισης ευπαθειών·
• πολιτικές προώθησης και ανάπτυξης της εκπαίδευσης και της κατάρτισης στην κυβερνοασφάλεια· και
• μέτρα για τη βελτίωση της ευαισθητοποίησης των πολιτών σχετικά με την κυβερνοασφάλεια.

Τα κράτη μέλη θα πρέπει να καταρτίσουν κατάλογο βασικών και σημαντικών οντοτήτων, καθώς και οντοτήτων που παρέχουν υπηρεσίες καταχώρισης ονομάτων τομέα, το αργότερο μέχρι τις 17 Απριλίου 2025. Πρέπει να επανεξετάζουν και, κατά περίπτωση, να επικαιροποιούν τον εν λόγω κατάλογο σε τακτική βάση, και στη συνέχεια τουλάχιστον ανά διετία. Η Ευρωπαϊκή Επιτροπή έχει εκδώσει κατευθυντήριες γραμμές σχετικά με τις πληροφορίες που πρέπει να συλλέγονται κατά την κατάρτιση αυτών των καταλόγων, καθώς και ένα σχετικό υπόδειγμα.

Η Επιτροπή έχει επίσης εκδώσει κατευθυντήριες γραμμές για τη διασαφήνιση των κανόνων σχετικά με τη σχέση μεταξύ της οδηγίας (EE) 2022/2555 και των τρεχουσών και μελλοντικών τομεακών νομικών πράξεων της ΕΕ που αφορούν μέτρα διαχείρισης κινδύνων κυβερνοασφάλειας ή τις απαιτήσεις αναφοράς περιστατικών. Το προσάρτημα των κατευθυντήριων γραμμών παρέχει μη εξαντλητικό κατάλογο τομεακών νομικών πράξεων που η Επιτροπή θεωρεί ότι εμπίπτουν στο πεδίο εφαρμογής του άρθρου 4 της οδηγίας (ΕΕ) 2022/2555.

Ομάδες αντιμετώπισης περιστατικών ασφάλειας σε υπολογιστές

Οι ομάδες αντιμετώπισης περιστατικών ασφάλειας σε υπολογιστές (CSIRT) παρέχουν τεχνική βοήθεια σε οντότητες, μεταξύ άλλων:

• παρακολούθηση και ανάλυση κυβερνοαπειλών, ευπαθειών και περιστατικών σε εθνικό επίπεδο·
• παροχή έγκαιρων προειδοποιήσεων, ειδοποιήσεις, ανακοινώσεις και διάδοση πληροφοριών σε εμπλεκόμενες οντότητες, καθώς και άλλα ενδιαφερόμενα μέρη σχετικά με κυβερνοαπειλές, τρωτότητες και περιστατικά, ει δυνατόν σε σχεδόν πραγματικό χρόνο·
• αντιμετώπιση περιστατικών και παροχή συνδρομής, κατά περίπτωση·
• συλλογή και ανάλυση εγκληματολογικών δεδομένων και δυναμική ανάλυση κινδύνων και περιστατικών, καθώς και επίγνωση της κατάστασης σε θέματα κυβερνοασφάλειας· και
• παροχή, κατόπιν αιτήματος, προληπτικής σάρωσης των συστημάτων δικτύου και πληροφοριών για τον εντοπισμό ευπαθειών με δυνητικό σημαντικό αντίκτυπο.

Δίκτυο CSIRT

Η οδηγία θεσπίζει ένα δίκτυο εθνικών CSIRT για την προώθηση ταχείας και αποτελεσματικής επιχειρησιακής συνεργασίας.

Συντονισμένη διαδικασία γνωστοποίησης τρωτοτήτων

Τα κράτη μέλη πρέπει:

• να αναθέτουν σε μία από τις CSIRT τον συντονιστικό ρόλο για τους σκοπούς της συντονισμένης γνωστοποίησης ευπαθειών που ανακαλύπτονται σε προϊόντα ή υπηρεσίες ΤΠΕ· και
• να διασφαλίζουν ότι τα πρόσωπα στα κράτη μέλη μπορούν να αναφέρουν ανώνυμα, εφόσον το ζητήσουν, ευπάθειες.

Ο Οργανισμός της Ευρωπαϊκής Ένωσης για την Κυβερνοασφάλεια (ENISA) θα αναπτύξει και θα διατηρεί μια βάση δεδομένων ευπαθειών.

Ομάδα συνεργασίας

Η οδηγία συστήνει μια ομάδα συνεργασίας για την υποστήριξη και τη διευκόλυνση της στρατηγικής συνεργασίας και της ανταλλαγής πληροφοριών. Αποτελείται από εκπροσώπους των κρατών μελών, της Επιτροπής και του ENISA. Κατά περίπτωση, η ομάδα συνεργασίας δύναται να προσκαλεί το Ευρωπαϊκό Κοινοβούλιο και εκπροσώπους των σχετικών ενδιαφερόμενων μερών για να συμμετάσχουν στις εργασίες της.

Ευρωπαϊκό δίκτυο οργανισμών διασύνδεσης για κρίσεις στον κυβερνοχώρο

Το ευρωπαϊκό δίκτυο οργανισμών διασύνδεσης για κρίσεις στον κυβερνοχώρο (EU-CyCLONe) αποτελείται από εκπροσώπους των αρχών διαχείρισης κυβερνοκρίσεων των κρατών μελών, καθώς και της Επιτροπής, σε περιπτώσεις όπου ένα δυνητικό ή εν εξελίξει περιστατικό μεγάλης κλίμακας στον τομέα της κυβερνοασφάλειας έχει ή ενδέχεται να έχει σημαντικό αντίκτυπο στους τομείς που καλύπτονται από την οδηγία. Σε άλλες περιπτώσεις, η Επιτροπή θα συμμετέχει στις δραστηριότητες του δικτύου ως παρατηρητής.

Το δίκτυο συστήνεται για να στηρίζει τη συντονισμένη διαχείριση περιστατικών και κρίσεων μεγάλης κλίμακας στον τομέα της κυβερνοασφάλειας σε επιχειρησιακό επίπεδο και να διασφαλίζει την τακτική ανταλλαγή σχετικών πληροφοριών μεταξύ των κρατών μελών και των θεσμικών, και λοιπών οργάνων, υπηρεσιών και οργανισμών της ΕΕ.

Το δίκτυο, έχει, μεταξύ άλλων, τα ακόλουθα καθήκοντα:

• συντονισμό της διαχείρισης περιστατικών και κρίσεων μεγάλης κλίμακας στον τομέα της κυβερνοασφάλειας και τη στήριξη της λήψης αποφάσεων σε πολιτικό επίπεδο·
• αύξηση του επιπέδου ετοιμότητας·
• ανάπτυξη κοινής επίγνωσης της κατάστασης· και
• αξιολόγηση των συνεπειών και του αντίκτυπου των περιστατικών και κρίσεων μεγάλης κλίμακας στον τομέα της κυβερνοασφάλειας και υποβολή προτάσεων για πιθανά μέτρα μετριασμού.

Μέτρα διαχείρισης κινδύνων κυβερνοασφάλειας

Οι οντότητες πρέπει να λαμβάνουν κατάλληλα και αναλογικά τεχνικά, επιχειρησιακά και οργανωτικά μέτρα διαχείρισης κινδύνων στον κυβερνοχώρο. Ο κατάλογος των μέτρων περιλαμβάνει, μεταξύ άλλων, ανάλυση κινδύνου και πολιτικές ασφάλειας των συστημάτων πληροφοριών, χειρισμό συμβάντων, επιχειρησιακή συνέχεια, ανάκαμψη από καταστροφές και διαχείριση κρίσεων, ασφάλεια της αλυσίδας εφοδιασμού, χειρισμό και αποκάλυψη ευπαθειών, βασικές πρακτικές κυβερνοϋγιεινής, πολιτικές και διαδικασίες σχετικά με τη χρήση κρυπτογραφίας (και, κατά περίπτωση, κρυπτογράφησης), ασφάλεια του ανθρώπινου δυναμικού και χρήση λύσεων ελέγχου ταυτότητας πολλαπλών παραγόντων ή συνεχούς ελέγχου ταυτότητας. Τα μέτρα αυτά πρέπει να βασίζονται σε ολιστική προσέγγιση του κινδύνου.

Τα διοικητικά όργανα πρέπει να εγκρίνουν τα μέτρα αυτά και να επιβλέπουν την εφαρμογή τους, και μπορούν να θεωρηθούν υπεύθυνα για παραβάσεις.

Υποβολή εκθέσεων

Οι οντότητες πρέπει να ειδοποιούν τη CSIRT τους ή τη σχετική αρχή για κάθε περιστατικό που:

• έχει προκαλέσει σοβαρή λειτουργική διατάραξη των υπηρεσιών ή οικονομική ζημία για την οντότητα·
• έχει επηρεάσει ή θα μπορούσε να επηρεάσει άλλους προκαλώντας σημαντική υλική ή μη υλική ζημία.

Επιπλέον, ο ENISA εκδίδει μαζί με την Επιτροπή και την ομάδα συνεργασίας, διετή έκθεση σχετικά με την κατάσταση της κυβερνοασφάλειας στην ΕΕ, την οποία θα υποβάλλει και στο Κοινοβούλιο.

Εποπτεία και επιβολή

Η οδηγία προβλέπει μέσα και κυρώσεις για τη διασφάλιση της επιβολής.

Αξιολογήσεις από ομοτίμους

Οι αξιολογήσεις από ομοτίμους θεσπίζονται με σκοπό την άντληση διδαγμάτων από τις κοινές εμπειρίες, την ενίσχυση της αμοιβαίας εμπιστοσύνης, την επίτευξη υψηλού κοινού επιπέδου κυβερνοασφάλειας και την ενίσχυση των ικανοτήτων κυβερνοασφάλειας των κρατών μελών και των πολιτικών που είναι απαραίτητες για την εφαρμογή της παρούσας οδηγίας. Οι αξιολογήσεις από ομοτίμους περιλαμβάνουν διά ζώσης ή εικονικές επιτόπιες επισκέψεις και ανταλλαγές πληροφοριών εκτός των εγκαταστάσεων. Η συμμετοχή στις εν λόγω αξιολογήσεις από ομοτίμους είναι εθελοντικές.

Εκτελεστική πράξη

Ο εκτελεστικός κανονισμός (ΕΕ) 2024/2690 θεσπίζει κανόνες για την εφαρμογή της οδηγίας (ΕΕ) 2022/2555 όσον αφορά τις τεχνικές και μεθοδολογικές απαιτήσεις των μέτρων διαχείρισης κινδύνων στον κυβερνοχώρο και καθορίζει περαιτέρω τις περιπτώσεις στις οποίες ένα περιστατικό θεωρείται σημαντικό όσον αφορά:

• παρόχους υπηρεσιών συστημάτων ονομάτων τομέα,
• μητρώα ονομάτων τομέα ανωτάτου επιπέδου,
• παρόχους υπηρεσιών υπολογιστικού νέφους,
• παρόχους υπηρεσιών αναφοράς δεδομένων,
• παρόχους δικτύων παράδοσης περιεχομένου,
• παρόχους διαχειριζόμενων υπηρεσιών,
• παρόχους διαχειριζόμενων υπηρεσιών ασφάλειας,
• παρόχους επιγραμμικών αγορών, επιγραμμικών μηχανών αναζήτησης και πλατφορμών κοινωνικής δικτύωσης, και
• παρόχους υπηρεσιών εμπιστοσύνης.

Κατάργηση

Η οδηγία (ΕΕ) 2022/2555 κατήργησε την οδηγία (ΕΕ) 2016/1148 (βλ. περίληψη) από τις 18 Οκτωβρίου 2024, και ο εκτελεστικός κανονισμός (ΕΕ) 2024/2690 κατήργησε τον εκτελεστικό κανονισμό (ΕΕ) 2018/151, ο οποίος καθόριζε τους κανόνες εφαρμογής της οδηγίας (ΕΕ) 2016/1148.