Τι αλλάζει για τις επιχειρήσεις με τη νέα οδηγία της Ε.Ε. σχετικά με το λογισμικό

Σημαντικές αλλαγές στη λειτουργία των κρατών μελών της Ευρωπαϊκής Ένωσης, αλλά και πολλών επιχειρήσεων και οργανισμών που δραστηριοποιούνται σε αυτά, προκύπτουν από την εφαρμογή της NIS2 (Network and Information Systems Directive 2). Η νέα οδηγία που αντικαθιστά την NIS (2016) στοχεύει στη συγκρότηση ενός ενισχυμένου νομικού πλαισίου  κυβερνοασφάλειας στην Ε.Ε. προσβλέποντας στην υιοθέτηση μίας εναρμονισμένης ευρωπαϊκής στρατηγικής. 

Για τις επιχειρήσεις της Ευρώπης και κατ’ επέκταση της Ελλάδας, η NIS2 μεταφράζεται σε υποχρέωση για μεγαλύτερες και περισσότερες επενδύσεις στον τομέα της κυβερνοασφάλειας. Πλέον, οι εταιρείες δεν πρέπει μόνο να εφαρμόζουν διαδικασίες διαχείρισης για προστασία ενάντια στις απειλές του Διαδικτύου, αλλά να αξιολογούν συγκεκριμένους κινδύνους και να προτείνουν οικονομικά αποδοτικές μεθόδους για τη μείωση ή την εξάλειψή τους. Με αυτόν τον τρόπο, θα μπορέσουν να αναβαθμίσουν συνολικά την ασφάλεια των υποδομών IT που διαθέτουν, αλλά και να δυσκολέψουν τις προσπάθειες των δυνητικά επιτιθέμενων.

Τι αλλάζει με την Οδηγία NIS 2

Η οδηγία NIS2 επεκτείνει την εφαρμογή αυστηρών κανόνων για την ασφάλεια των δικτύων και των πληροφοριακών συστημάτων σε δημόσιους φορείς αλλά και σε επιχειρήσεις που δραστηριοποιούνται στην υγεία, την ενέργεια, τις μεταφορές, τις χρηματοπιστωτικές δραστηριότητες, το νερό, τα τρόφιμα, τις ψηφιακές υποδομές, τις κατασκευές, τα λύματα και πολλούς ακόμα τομείς. Ο αριθμός των υπόχρεων οντοτήτων στα κράτη μέλη της Ε.Ε. αυξάνεται κατά μία τάξη μεγέθους.

Όλες οι επιχειρήσεις που εντάσσονται στη νέα οδηγία, οφείλουν να προσαρμόσουν τις πολιτικές και τις διαδικασίες τους για καλύτερη ανάλυση, αξιολόγηση και αντιμετώπιση των κυβερνοαπειλών. Παράλληλα, θα πρέπει να αναφέρουν περιστατικά διαδικτυακών επιθέσεων μέσα σε ελάχιστο χρονικό διάστημα αλλά και να εξασφαλίσουν την ασφάλεια των συστημάτων και των δικτύων που χρησιμοποιούν. Μεταξύ άλλων, η οδηγία NIS2 δίνει έμφαση στην ασφάλεια των αλυσίδων εφοδιασμού, κάτι που θα οδηγήσει σε αύξηση του ενδιαφέροντος για το αν ένας προμηθευτής συμμορφώνεται με το πρότυπο ISO 27001.

Αυστηρότερη εποπτεία και «τσουχτερά» πρόστιμα

Η NIS2 αλλάζει επίσης το περιβάλλον εποπτείας, καθώς οι Εθνικές Αρχές Ασφαλείας αποκτούν καθοριστικό ρόλο. Μάλιστα τα κράτη μέλη της Ε.Ε. αναλαμβάνουν καταρτίσουν καταλόγους διαχωρίζοντας τις «βασικές» και «σημαντικές» οντότητες που υπόκεινται στη ρύθμιση της οδηγίας, ανάλογα με το μέγεθος, τον τομέα και την κρισιμότητά τους.

Για όσες επιχειρήσεις δεν συμμορφωθούν με τις απαιτήσεις της νέας οδηγίας, προβλέπονται αυστηρές ποινές που μπορεί να κυμανθούν από «τσουχτερά» χρηματικά πρόστιμα μέχρι περιορισμούς στην παροχή των υπηρεσιών τους ή ακόμα και απαγορεύσεις σε φυσικά πρόσωπα να κατέχουν σημαντικές διοικητικές θέσεις (όπως για παράδειγμα εκείνη του CEO). Γίνεται επομένως σαφές, ότι οι επιχειρήσεις δεν μπορούν να ρισκάρουν να μην προσαρμοστούν στο νέο κανονιστικό πλαίσιο και πρέπει άμεσα να αναζητήσουν νέα εργαλεία για τη λειτουργία τους.

Η «παγίδα» του λογισμικού και οι λύσεις στην αγορά

Στην προσπάθειά τους να οχυρωθούν απέναντι στις κυβερνοεπιθέσεις, οι επιχειρήσεις θα πρέπει να πάρουν μέτρα για εξελιγμένες μεθόδους επιθέσεων όπως το phishing, το Ransomware ή οι επιθέσεις ATP. Την ίδια στιγμή όμως, οφείλουν να γνωρίζουν ότι ακόμα και το λογισμικό που χρησιμοποιούν, μπορεί να αποτελέσει στόχο των κυβερνοεγκληματιών.

Η χρήση παρωχημένου λογισμικού που δεν λαμβάνει πλέον ενημερώσεις ασφαλείας ή η εγκατάσταση μη επικυρωμένου λογισμικού, μπορούν να εξελιχθούν σε ευάλωτα σημεία ασφαλείας. Παράλληλα, οι οργανισμοί οφείλουν να παραμένουν σε εγρήγορση για αδύναμους κωδικούς πρόσβασης και έλλειψη αντιγράφων ασφαλείας, ενώ πρέπει να επενδύσουν και στην εκπαίδευση του προσωπικού τους, προκειμένου να παραμείνουν πιστοί στο πλαίσιο που ορίζει η NIS2 αξιοποιώντας τις καλύτερες δυνατές πρακτικές στον τομέα της κυβερνοασφάλειας.

Η συμμόρφωση με την οδηγία NIS2 είναι επιτακτική για τις επιχειρήσεις και τους κρατικούς φορείς, καθώς η άμεση προσαρμογή στις νέες κανονιστικές απαιτήσεις δεν είναι μόνο ζήτημα νομιμότητας, αλλά και ασφάλειας και βιωσιμότητας των οργανισμών.  Οι φορείς πρέπει να αξιολογήσουν προσεκτικά τις ανάγκες τους και να συνεργαστούν με τους καλύτερους δυνατούς παρόχους υπηρεσιών και λύσεων, ώστε να προστατεύσουν τα δεδομένα τους και να διασφαλίσουν την ομαλή προσαρμογή τους στον συνεχώς μεταβαλλόμενο ψηφιακό κόσμο.