NIS2 στην Ελλάδα (ν. 5160/2024): τεχνικό checklist για ομάδες σε AWS

Δεν είναι νομική συμβουλή. Το άρθρο καλύπτει το τεχνικό κομμάτι. Το αν η εταιρεία σας εμπίπτει, και ως ποιος τύπος οντότητας, είναι νομικό ερώτημα· δείτε τους οδηγούς της Εθνικής Αρχής Κυβερνοασφάλειας και μιλήστε με τον νομικό σας.

Η Ελλάδα ενσωμάτωσε την οδηγία NIS2 (2022/2555) με τον ν. 5160/2024. Σε σχέση με το παλιό NIS, ο νόμος διευρύνει πολύ τον κύκλο των εταιρειών που έχουν υποχρεώσεις κυβερνοασφάλειας: ενέργεια, μεταφορές, τράπεζες, υγεία, ψηφιακές υποδομές, διαχείριση υπηρεσιών ΤΠΕ, δημόσια διοίκηση, παραγωγή κρίσιμων προϊόντων και άλλα. Και κάνει τη διοίκηση προσωπικά υπεύθυνη για την έγκριση και την εποπτεία των μέτρων.

Αν διαβάσατε κάποιον από τους νομικούς οδηγούς και κλείσατε τη σελίδα με την αίσθηση «και τώρα τι κάνω;», αυτό το άρθρο είναι για εσάς, και για τους μηχανικούς που πρέπει να το κάνουν πραγματικότητα.

Εμπίπτετε;

Σε γενικές γραμμές, η NIS2 αφορά μεσαίες και μεγάλες εταιρείες (περίπου 50+ εργαζόμενους ή κύκλο εργασιών πάνω από €10 εκατ.) στους τομείς των παραρτημάτων της οδηγίας, ενώ κάποιοι πάροχοι εμπίπτουν ανεξαρτήτως μεγέθους, για παράδειγμα ορισμένοι πάροχοι ψηφιακών υποδομών. Οι οντότητες χαρακτηρίζονται βασικές ή σημαντικές· έχουν τις ίδιες υποχρεώσεις ασφάλειας, με διαφορετική εποπτεία και πρόστιμα. Στην Ελλάδα η εγγραφή γίνεται στο μητρώο NIS2 της Εθνικής Αρχής Κυβερνοασφάλειας.

Ακόμα κι αν δεν εμπίπτετε εσείς, θα νιώσετε την NIS2 μέσω των πελατών σας. Οι εταιρείες που εμπίπτουν πρέπει να διαχειρίζονται τον κίνδυνο της εφοδιαστικής τους αλυσίδας, οπότε αν τους πουλάτε λογισμικό ή υπηρεσίες, περιμένετε security questionnaires και νέους όρους στα συμβόλαια.

Τι ζητά ο νόμος, σε γλώσσα μηχανικού

Το άρθρο 21 της οδηγίας ορίζει τα ελάχιστα μέτρα διαχείρισης κινδύνου. Να τι σημαίνει το καθένα σε ένα περιβάλλον AWS.

1. Ανάλυση κινδύνου και πολιτικές ασφάλειας

• Γραπτή απογραφή συστημάτων και δεδομένων, με υπευθύνους. Tags για environment, service και owner σε κάθε πόρο σάς βοηθούν να την κρατάτε ενημερωμένη.
• Μια σύντομη πολιτική ασφάλειας που η ομάδα πραγματικά ακολουθεί, με ετήσια ανασκόπηση και έγκριση από τη διοίκηση.

2. Διαχείριση incidents

• Κεντρικά logs που δεν αλλοιώνονται: organisation-wide CloudTrail σε ξεχωριστό log-archive λογαριασμό, με S3 Object Lock ή περιορισμένα δικαιώματα διαγραφής.
• GuardDuty ενεργό σε κάθε λογαριασμό και region που χρησιμοποιείτε, με τα ευρήματα να φτάνουν σε όποιον έχει on-call.
• Τεκμηριωμένο on-call rotation και runbook για incidents (δείτε την ενότητα για την αναφορά παρακάτω).

3. Επιχειρησιακή συνέχεια, backups και διαχείριση κρίσεων

• Σχέδια AWS Backup για βάσεις και volumes, με αντίγραφα σε ξεχωριστό λογαριασμό και, όπου μετράει, vault lock ώστε να μην μπορεί να τα σβήσει ένας παραβιασμένος admin.
• Multi-AZ για τις βάσεις του production και τα services πίσω από load balancer.
• Τακτική δοκιμή restore, με καταγραφή του χρόνου που χρειάστηκε. Ένα backup που δεν έχει δοκιμαστεί είναι ελπίδα, όχι control.

4. Ασφάλεια εφοδιαστικής αλυσίδας

• Λίστα με τους κρίσιμους προμηθευτές σας (cloud, SaaS, πληρωμές, CI) και τι δεδομένα έχει ο καθένας.
• Least-privilege πρόσβαση για τα integrations τρίτων, με roles αντί για κοινά keys.
• Pinned και ελεγμένες εξαρτήσεις και container images, ώστε ένα παραβιασμένο upstream πακέτο να μη φτάσει κατευθείαν στο production.

5. Ασφαλής ανάπτυξη και διαχείριση ευπαθειών

• Code review και CI σε κάθε αλλαγή, με τις αλλαγές υποδομής να περνούν από Terraform pull requests.
• Έλεγχος ευπαθειών με Amazon Inspector για EC2, Lambda και ECR images, και έλεγχος εξαρτήσεων στο CI.
• Πρόγραμμα patching με προθεσμίες ανά σοβαρότητα, και τρόπος να βλέπετε τι έχει μείνει πίσω.

6. Αξιολόγηση της αποτελεσματικότητας

• AWS Config και Security Hub με ένα αναγνωρισμένο baseline (όπως το AWS Foundational Security Best Practices) για να βλέπετε τις αποκλίσεις.
• Περιοδικός εσωτερικός έλεγχος. Το cloud audit πέντε διαστάσεων είναι ένας τρόπος, και δίνει στη διοίκηση εικόνα σε μία σελίδα.

7. Κυβερνοϋγιεινή και εκπαίδευση

• Εκπαίδευση ασφάλειας για το προσωπικό, και ειδική εκπαίδευση για τη διοίκηση, όπως απαιτεί ο νόμος.
• Βασική υγιεινή που επιβάλλεται με guardrails και όχι με υπενθυμίσεις: S3 Block Public Access σε επίπεδο λογαριασμού, υποχρεωτικό IMDSv2, default κρυπτογράφηση EBS.

8. Κρυπτογραφία

• Κρυπτογράφηση at rest παντού με KMS keys, και TLS σε κάθε κίνηση.
• Key policies που ξεχωρίζουν ποιος χρησιμοποιεί ένα key από ποιος το διαχειρίζεται.

9. Έλεγχος πρόσβασης, ασφάλεια προσωπικού και διαχείριση πόρων

• Μία ταυτότητα ανά άνθρωπο μέσω IAM Identity Center συνδεδεμένου με τον identity provider σας, χωρίς προσωπικά long-lived access keys.
• Διαδικασίες για όποιον μπαίνει, αλλάζει ρόλο ή φεύγει, που κόβουν την πρόσβαση την ίδια μέρα.
• Ξεχωριστοί λογαριασμοί για το production με guardrails σε επίπεδο οργανισμού (SCPs).

10. MFA και ασφαλής επικοινωνία

• Υποχρεωτικό MFA για κάθε άνθρωπο, και μέσω του identity provider, και κλειδωμένος root λογαριασμός με hardware MFA.
• Ένα ασφαλές, ανεξάρτητο κανάλι επικοινωνίας για incidents, σε περίπτωση που επηρεαστούν τα βασικά σας εργαλεία.

Αναφορά incidents: 24 ώρες, 72 ώρες, ένας μήνας

Για ένα σημαντικό incident, η NIS2 ορίζει χρονοδιάγραμμα αναφοράς στο εθνικό CSIRT ή στην αρμόδια αρχή: έγκαιρη προειδοποίηση μέσα σε 24 ώρες από τη στιγμή που το αντιληφθήκατε, κοινοποίηση του incident μέσα σε 72 ώρες με αρχική εκτίμηση, και τελική αναφορά μέσα σε έναν μήνα. Η διαδικασία on-call σας πρέπει να μπορεί να βγάλει αυτές τις πληροφορίες υπό πίεση:

• Πότε το εντοπίσαμε, και πώς; (Timestamps από alerts και ευρήματα GuardDuty.)
• Τι επηρεάζεται: ποια services, ποια δεδομένα, ποιοι πελάτες;
• Είναι πιθανώς κακόβουλο, και μπορεί να επηρεάσει άλλους οργανισμούς;
• Τι έχουμε κάνει μέχρι τώρα, και ποια είναι η τρέχουσα επίπτωση;

Γράψτε τώρα ένα πρότυπο αναφοράς μέσα στο runbook, με έναν συγκεκριμένο άνθρωπο που αποφασίζει αν ένα incident είναι σημαντικό. Τα κεντρικά, διατηρημένα και αναζητήσιμα logs είναι αυτά που κάνουν δυνατή την αναφορά των 72 ωρών· αν μένουν στην ΕΕ, είστε καλυμμένοι και για GDPR.

Ο φάκελος τεκμηρίωσης

Όταν μια αρχή ή ένας πελάτης ρωτήσει πώς συμμορφώνεστε, θέλετε να δώσετε στοιχεία, όχι υποσχέσεις. Κρατήστε ενημερωμένα:

• Απογραφή πόρων και προμηθευτών με υπευθύνους.
• Πολιτική ασφάλειας και αρχεία έγκρισης από τη διοίκηση, μαζί με την εκπαίδευση.
• Ιστορικό αναφορών συμμόρφωσης από Security Hub ή Config.
• Αρχεία δοκιμών restore.
• Ημερολόγιο incidents, postmortems και όποιες αναφορές στάλθηκαν στις αρχές.
• Αρχεία ελέγχων πρόσβασης και αποχωρήσεων.

Αν έχετε ήδη ISO 27001 ή SOC 2

Μεγάλο μέρος της δουλειάς επικαλύπτεται. Τα controls του ISO 27001 καλύπτουν το μεγαλύτερο μέρος του άρθρου 21, και τα στοιχεία του SOC 2, όπως έλεγχοι πρόσβασης, change management και απόκριση σε incidents, ξαναχρησιμοποιούνται. Τα κενά είναι συνήθως τα καθαρά NIS2: η ροή αναφοράς 24/72 ωρών, η εκπαίδευση και η ευθύνη της διοίκησης, και η εγγραφή στην εθνική αρχή.

Από πού να ξεκινήσετε

1. Επιβεβαιώστε με τον νομικό σας σύμβουλο αν εμπίπτετε, και κάντε εγγραφή αν ναι.
2. Κάντε έναν βασικό έλεγχο του cloud σας στις δέκα περιοχές παραπάνω.
3. Διορθώστε πρώτα τα κενά με τη μεγαλύτερη επίπτωση: MFA και SSO, κεντρικό logging, δοκιμασμένα backups, και το runbook αναφοράς incidents.
4. Ενεργοποιήστε συνεχείς ελέγχους, ώστε να ξέρετε πότε κάτι ξεφεύγει.

Τα πρόστιμα της NIS2 φτάνουν τα €10 εκατ. ή το 2% του παγκόσμιου κύκλου εργασιών για τις βασικές οντότητες και τα €7 εκατ. ή το 1,4% για τις σημαντικές. Στην πράξη όμως, ο μεγαλύτερος κίνδυνος για τις περισσότερες εταιρείες είναι να χάσουν έναν πελάτη επειδή δεν τον έπεισαν οι απαντήσεις τους στο security questionnaire. Δεν χρειάζεται να το περάσετε μόνοι σας.

Συχνές ερωτήσεις

Ποιες είναι οι προθεσμίες αναφοράς incidents στην NIS2;

Για σημαντικά incidents: έγκαιρη προειδοποίηση μέσα σε 24 ώρες, κοινοποίηση του incident μέσα σε 72 ώρες και τελική αναφορά μέσα σε έναν μήνα.

Αν είμαστε στο AWS, είμαστε συμμορφωμένοι με την NIS2;

Όχι. Το AWS ασφαλίζει την υποκείμενη υποδομή, αλλά εσείς είστε υπεύθυνοι για το πώς ρυθμίζετε και λειτουργείτε τους λογαριασμούς σας: identity, logging, backups, patching και απόκριση σε incidents.

Ποιος νόμος ενσωματώνει την NIS2 στην Ελλάδα;

Ο ν. 5160/2024 ενσωματώνει την οδηγία (ΕΕ) 2022/2555 στο ελληνικό δίκαιο. Η Εθνική Αρχή Κυβερνοασφάλειας εκδίδει οδηγίες και τηρεί το μητρώο των οντοτήτων που εμπίπτουν.