THREAT-WATCHΣΥΜΒΟΥΛΕΥΤΙΚΗ ΣΥΜΜΟΡΦΩΣΗΣ
Ετοιμότητα NIS2 & ISO 27001
Σας καθοδηγούμε στις απαιτήσεις, την τεκμηρίωση και την υλοποίηση για NIS2 και ISO 27001, και καλύπτουμε επίσης GDPR, SOC 2, NIST CSF, CIS Controls και PCI DSS, ώστε η συμμόρφωση να είναι αποτέλεσμα καλής ασφάλειας, όχι ξεχωριστό τρέξιμο της τελευταίας στιγμής.
Τι λαμβάνετε
Το NIS2 ισχύει για συγκεκριμένο σύνολο βασικών και σημαντικών οντοτήτων σε τομείς όπως ενέργεια, μεταφορές, τραπεζικός τομέας, υγεία, ψηφιακές υποδομές, ορισμένη μεταποίηση και δημόσια διοίκηση. Σας βοηθάμε να προσδιορίσετε αν και πώς σας αφορά, και χτίζουμε παράλληλα ελέγχους ευθυγραμμισμένους με το ISO 27001 για το σύστημα διαχείρισης ασφάλειας πληροφοριών (ΣΔΑΠ) σας, καθώς τα δύο επικαλύπτονται σημαντικά.
Αξιολόγηση εφαρμοσιμότητας
Αξιολογούμε αν ο οργανισμός σας εμπίπτει στο NIS2 ως βασική ή σημαντική οντότητα, και τι πραγματικά απαιτεί αυτό.
Ανάλυση κενών
Χαρτογραφούμε τους υπάρχοντες ελέγχους σας έναντι των απαιτήσεων ISO 27001 και NIS2, δείχνοντας ακριβώς τι λείπει πριν το εντοπίσει ελεγκτής.
Υποστήριξη τεκμηρίωσης
Πολιτικές, εκτιμήσεις κινδύνου και πακέτα αποδεικτικών στοιχείων χτίζονται στη μορφή που αναμένουν ελεγκτές και ρυθμιστικές αρχές.
Καθοδήγηση υλοποίησης
Δεν σας δίνουμε απλώς μια λίστα ελέγχου. Βοηθάμε στην υλοποίηση των τεχνικών και οργανωτικών μέτρων που απαιτούν τα πρότυπα.
Υποστήριξη αναφοράς 24 ωρών
Από τη στιγμή που εντοπίζεται ένα σημαντικό περιστατικό, συγκεντρώνουμε τα στοιχεία και συντάσσουμε την έγκαιρη προειδοποίηση του Άρθρου 23, ώστε να μπορεί να υποβληθεί εντός του παραθύρου των 24 ωρών. Η υποχρέωση και η τελική έγκριση παραμένουν δικές σας· η σύνταξη είναι δική μας.
Πέρα από NIS2 και ISO 27001
Σας προετοιμάζουμε επίσης για GDPR, SOC 2, NIST CSF 2.0, CIS Controls v8 και PCI DSS, καθώς και για αμερικανικά πλαίσια όπως HIPAA και CMMC αν πουλάτε στις ΗΠΑ. Τα αποδεικτικά στοιχεία αντιστοιχίζονται σε όλα τα πλαίσια, ώστε η δουλειά για ένα να μετράει και για τα υπόλοιπα, αντί να ξεκινάτε κάθε φορά από το μηδέν.
Πώς εξελίσσεται ένα έργο NIS2 και ISO 27001
Η συμμόρφωση αποτυγχάνει όταν παράγει έγγραφα που δεν χρησιμοποιεί κανείς. Η δική μας προσέγγιση έχει πέντε στάδια, και το καθένα καταλήγει σε κάτι που μπορείτε να δείξετε στη διοίκηση, σε ελεγκτή ή στην αρχή.
Εφαρμογή και κατάταξη
Εξετάζουμε αν το NIS2 σας αφορά βάσει του Ν. 5160/2024 (ή της νομοθεσίας άλλων κρατών μελών όπου δραστηριοποιείστε), αν θα ήσασταν βασική ή σημαντική οντότητα, και αν επηρεάζεστε έμμεσα ως προμηθευτής πελατών που εμπίπτουν στο πεδίο.
Ανάλυση κενών
Αντιστοιχίζουμε τα τρέχοντα μέτρα σας με τα δέκα μέτρα διαχείρισης κινδύνου του Άρθρου 21 και τις απαιτήσεις του ISO 27001, ώστε να δείτε ακριβώς τι λείπει και τι είναι ήδη επαρκές.
Πλάνο με προτεραιότητες
Τα κενά γίνονται πλάνο ταξινομημένο κατά κίνδυνο και προσπάθεια, με υπευθύνους και ρεαλιστική σειρά. Το διοικητικό σας όργανο μπορεί να το εγκρίνει, κάτι που αποτελεί από μόνο του απαίτηση του Άρθρου 20.
Υλοποίηση και τεκμηρίωση
Βοηθάμε να εφαρμοστούν τα μέτρα: πολιτικές, εκτιμήσεις κινδύνου, διαδικασία χειρισμού και αναφοράς περιστατικών, απαιτήσεις ασφάλειας για προμηθευτές και τα τεχνικά μέτρα πίσω από αυτά. Η τεκμηρίωση αντιστοιχίζεται σε όλα τα πλαίσια, ώστε η δουλειά που γίνεται μία φορά να μετρά ταυτόχρονα για NIS2, ISO 27001 και GDPR.
Διατήρηση της συμμόρφωσης
Η συμμόρφωση διατηρείται, δεν επιτυγχάνεται μία φορά. Υποστηρίζουμε περιοδικές ανασκοπήσεις, ενημερώσεις της διοίκησης, αναφορές περιστατικών όταν χρειαστούν και, αν το επιδιώξετε, την προετοιμασία για τον έλεγχο πιστοποίησης ISO 27001.
Τι καλύπτεται και τι όχι
Καλύπτεται
- Αξιολόγηση εφαρμογής του NIS2 και κατάταξης ως βασική ή σημαντική οντότητα
- Ανάλυση κενών με βάση το Άρθρο 21 και το ISO 27001
- Πολιτικές, εκτιμήσεις κινδύνου, διαδικασίες περιστατικών και αναφοράς, απαιτήσεις ασφάλειας για προμηθευτές
- Υποστήριξη στη σύνταξη των αναφορών του Άρθρου 23 όταν συμβεί περιστατικό
- Ενημερώσεις του διοικητικού οργάνου και προετοιμασία για τον έλεγχο πιστοποίησης ISO 27001
- Αντιστοίχιση τεκμηρίωσης σε πολλαπλά πλαίσια (GDPR, SOC 2, NIST CSF 2.0, CIS Controls v8, PCI DSS)
Δεν καλύπτεται
- Επίσημες γνωμοδοτήσεις. Σε ερωτήματα που τις χρειάζονται, συνεργαζόμαστε με τον νομικό σας σύμβουλο.
- Έκδοση πιστοποιητικών ISO 27001, που μπορεί να κάνει μόνο διαπιστευμένος φορέας πιστοποίησης.
- Ανάληψη της νομικής σας υποχρέωσης αναφοράς. Οι αναφορές υποβάλλονται στο όνομά σας και παραμένουν νομικά δικές σας.
Το NIS2 στην Ελλάδα: τα πρακτικά βασικά
Η Ελλάδα ενσωμάτωσε το NIS2 με τον Ν. 5160/2024. Αρμόδια αρχή και ενιαίο σημείο επαφής είναι η Εθνική Αρχή Κυβερνοασφάλειας (ΕΑΚ). Δείτε τι σημαίνει αυτό στην πράξη.
Ποιοι εμπίπτουν στο πεδίο
Κατά κανόνα, μεσαίοι και μεγάλοι οργανισμοί στους τομείς των Παραρτημάτων I και II της Οδηγίας: 50 ή περισσότεροι εργαζόμενοι, ή ετήσιος κύκλος εργασιών και ισολογισμός άνω των €10M. Ορισμένες οντότητες καλύπτονται ανεξαρτήτως μεγέθους, όπως συγκεκριμένοι πάροχοι ψηφιακών υποδομών και φορείς δημόσιας διοίκησης όπως τους ορίζει ο νόμος. Η δομή του ομίλου και οι λεπτομέρειες του ελληνικού νόμου μπορούν να αλλάξουν την απάντηση, γι’ αυτό επιβεβαιώστε τη δική σας περίπτωση με την ΕΑΚ ή τον νομικό σας σύμβουλο.
Βασική ή σημαντική οντότητα
Οι μεγάλοι οργανισμοί σε τομείς του Παραρτήματος I είναι κατά κανόνα βασικές οντότητες· οι μεσαίοι του Παραρτήματος I και οι οργανισμοί του Παραρτήματος II είναι κατά κανόνα σημαντικές οντότητες. Οι βασικές οντότητες υπόκεινται σε προληπτική εποπτεία, ενώ οι σημαντικές εποπτεύονται κυρίως εκ των υστέρων, για παράδειγμα μετά από περιστατικό ή καταγγελία.
Εγγραφή στην ΕΑΚ
Οι οντότητες που εμπίπτουν στο πεδίο πρέπει να εγγραφούν στην ΕΑΚ και να διατηρούν επικαιροποιημένα τα στοιχεία που υποβάλλουν. Η εγγραφή είναι συνήθως το πρώτο συγκεκριμένο βήμα, γιατί έτσι η αρχή γνωρίζει ότι υπάρχετε. Ελέγξτε τις τρέχουσες οδηγίες της ΕΑΚ για τη διαδικασία και τυχόν προθεσμίες που σας αφορούν.
Αναφορά βάσει του Άρθρου 23
Για ένα σημαντικό περιστατικό: έγκαιρη προειδοποίηση εντός 24 ωρών από τη στιγμή που το αντιληφθήκατε, γνωστοποίηση περιστατικού με αρχική αξιολόγηση εντός 72 ωρών και τελική αναφορά εντός ενός μήνα από τη γνωστοποίηση, με ενδιάμεσες ενημερώσεις αν τις ζητήσει η αρχή. Το χρονόμετρο ξεκινά από τη στιγμή της αντίληψης, όχι με το τέλος της διερεύνησης.
Πρόστιμα
Βασικές οντότητες: έως €10M ή 2% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών, όποιο είναι μεγαλύτερο. Σημαντικές οντότητες: έως €7M ή 1,4%, όποιο είναι μεγαλύτερο. Αυτά είναι τα ανώτατα όρια της Οδηγίας, τα οποία ακολουθεί η ελληνική νομοθεσία· το πραγματικό ποσό εξαρτάται από την περίπτωση.
Λογοδοσία του διοικητικού οργάνου (Άρθρο 20)
Το διοικητικό όργανο πρέπει να εγκρίνει τα μέτρα διαχείρισης κινδύνων κυβερνοασφάλειας, να εποπτεύει την εφαρμογή τους και να εκπαιδεύεται, και τα μέλη του μπορούν να λογοδοτήσουν για τη μη συμμόρφωση. Το NIS2 είναι θέμα της διοίκησης, όχι μόνο έργο του IT.
Υποχρεώσεις για προμηθευτές οντοτήτων εντός πεδίου
Ακόμη κι αν δεν εμπίπτετε εσείς στο πεδίο, το Άρθρο 21 υποχρεώνει τους πελάτες σας που εμπίπτουν να διαχειρίζονται την ασφάλεια της εφοδιαστικής αλυσίδας, μαζί με τους άμεσους προμηθευτές και παρόχους υπηρεσιών τους. Να περιμένετε ερωτηματολόγια ασφάλειας, συμβατικούς όρους, υποχρεώσεις ειδοποίησης για περιστατικά και δικαιώματα ελέγχου. Αν έχετε έτοιμα μέτρα ευθυγραμμισμένα με το ISO 27001 και την αντίστοιχη τεκμηρίωση, τα αιτήματα αυτά γίνονται ρουτίνα αντί για κίνδυνο για τη σύμβαση.
Το NIS2 στην Κύπρο
Στην Κύπρο, το NIS2 εφαρμόζεται μέσω του περί Ασφάλειας Δικτύων και Συστημάτων Πληροφοριών (Τροποποιητικού) Νόμου του 2025 (Ν. 60(I)/2025), που τροποποιεί τον Ν. 89(I)/2020. Αρμόδια αρχή είναι η Αρχή Ψηφιακής Ασφάλειας (ΑΨΑ). Οι βασικές υποχρεώσεις προέρχονται από την ίδια Οδηγία, οπότε να περιμένετε τα μέτρα του Άρθρου 21, τα στάδια αναφοράς του Άρθρου 23 και τη λογοδοσία του διοικητικού οργάνου, όμως οι διαδικασίες εγγραφής, η εποπτική πρακτική και οι λεπτομέρειες των κυρώσεων ορίζονται σε εθνικό επίπεδο. Οι εταιρείες με έδρα την Κύπρο καλό είναι να επιβεβαιώνουν τα ειδικότερα θέματα με την ΑΨΑ ή τον νομικό τους σύμβουλο. Υποστηρίζουμε πελάτες στην Κύπρο με την ίδια προσέγγιση που ακολουθούμε στην Ελλάδα.
Πώς οι υπηρεσίες της THREAT-WATCH αντιστοιχούν στο Άρθρο 21
Αρκετά από τα δέκα μέτρα του Άρθρου 21 είναι επιχειρησιακά, όχι έγγραφα, και εκεί ένας πάροχος διαχειριζόμενων υπηρεσιών ασφαλείας βοηθά περισσότερο. Ο χειρισμός περιστατικών καλύπτεται από την παρακολούθηση SOC 24/7, το MDR και την απόκριση σε περιστατικά. Η επιχειρησιακή συνέχεια και η διαχείριση αντιγράφων ασφαλείας καλύπτονται από την υπηρεσία backup και ανάκαμψης από καταστροφές. Η κυβερνοϋγιεινή και η εκπαίδευση καλύπτονται από τις προσομοιώσεις phishing και την εκπαίδευση προσωπικού. Η αξιολόγηση της αποτελεσματικότητας των μέτρων στηρίζεται σε ανασκοπήσεις κενών και, στα ανώτερα πακέτα, σε ασκήσεις red team μέσω ελεγμένων συνεργατών. Τις πολιτικές, την ανάλυση κινδύνου, τις απαιτήσεις για την εφοδιαστική αλυσίδα και τον έλεγχο πρόσβασης τα χτίζει μαζί σας αυτή η υπηρεσία συμμόρφωσης, ώστε τα έγγραφα να περιγράφουν μέτρα που πραγματικά εφαρμόζονται.
Ποια πακέτα περιλαμβάνουν υποστήριξη συμμόρφωσης
Η υποστήριξη συμμόρφωσης περιλαμβάνεται από το THREAT-WATCH Gold, που φέρνει επίσης τριμηνιαία ανασκόπηση με τον CEO μας. Το Platinum προσθέτει φάκελο έτοιμο για το διοικητικό συμβούλιο. Οι πελάτες των Bronze και Silver έχουν και πάλι παρακολούθηση και τεκμηρίωση περιστατικών που στηρίζει τις αναφορές, και μπορούν να περάσουν στο Gold όταν η συμμόρφωση γίνει προτεραιότητα.
Σύγκριση πακέτων →Συχνές Ερωτήσεις
Ισχύει το NIS2 για την επιχείρησή μου;
Το NIS2 ισχύει για βασικές και σημαντικές οντότητες σε συγκεκριμένους τομείς (ενέργεια, μεταφορές, τραπεζικός τομέας, χρηματοπιστωτικές υποδομές, υγεία, ύδρευση, αποχέτευση, ψηφιακές υποδομές, διαχείριση υπηρεσιών ΤΠΕ, δημόσια διοίκηση, διάστημα και ορισμένη μεταποίηση), γενικά πάνω από συγκεκριμένα όρια μεγέθους. Μπορούμε να αξιολογήσουμε τη δική σας περίπτωση.
Ποιος υποβάλλει στην πράξη την αναφορά 24 ωρών του NIS2, εσείς ή εμείς;
Τη δουλειά την κάνουμε εμείς: το SOC μας εντοπίζει το περιστατικό, συντάσσει το περιεχόμενο της έγκαιρης προειδοποίησης και προετοιμάζει την υποβολή του Άρθρου 23 ώστε να μπορεί να γίνει εντός του παραθύρου των 24 ωρών, ώστε να μην συντάσσετε εσείς μια κανονιστική γνωστοποίηση κατά τη διάρκεια ενεργού περιστατικού. Αυτό που δεν μπορούμε να κάνουμε είναι να αναλάβουμε την ίδια την υποχρέωση. Το Άρθρο 23 αποδίδει το καθήκον στην υπόχρεη οντότητα, και αυτή η ευθύνη δεν μεταβιβάζεται σε πάροχο, οπότε η υποβολή γίνεται στο όνομά σας και παραμένει νομικά δική σας. Πρακτικά: εμείς αναλαμβάνουμε τη σύνταξη· εσείς κρατάτε την τελική έγκριση και παραμένετε ο υπόλογος έναντι της αρχής.
Πώς διαφέρει το NIS2 από το ISO 27001;
Το NIS2 είναι νομική υποχρέωση της ΕΕ με συγκεκριμένες προθεσμίες αναφοράς περιστατικών και κυρώσεις· το ISO 27001 είναι εθελοντικό πιστοποιήσιμο πρότυπο. Στην πράξη, οι ελέγχοι ευθυγραμμισμένοι με το ISO 27001 καλύπτουν το μεγαλύτερο μέρος όσων τεχνικά απαιτεί το NIS2.
Ποια άλλα πλαίσια υποστηρίζετε;
Εκτός από NIS2 και ISO 27001, υποστηρίζουμε GDPR, SOC 2, NIST CSF 2.0, CIS Controls v8 και PCI DSS. Για πελάτες που πουλάνε στις ΗΠΑ, καλύπτουμε επίσης πλαίσια όπως HIPAA και CMMC. Αν χρειάζεστε κάποιο που δεν αναφέρεται εδώ, ρωτήστε μας· η λίστα είναι μεγαλύτερη από όσα χωράνε σε αυτή τη σελίδα.
Παρέχετε εσείς την πιστοποίηση ISO 27001;
Η πιστοποίηση εκδίδεται από διαπιστευμένο εξωτερικό φορέα πιστοποίησης. Εμείς προετοιμάζουμε τον οργανισμό σας ώστε να περάσει αυτόν τον έλεγχο. Δεν εκδίδουμε οι ίδιοι το πιστοποιητικό.
Υπάρχει πιστοποίηση NIS2;
Όχι. Το NIS2 είναι νομική υποχρέωση, όχι πιστοποιήσιμο πρότυπο, οπότε κανείς δεν μπορεί να σας πιστοποιήσει ως συμμορφωμένους με το NIS2. Αποδεικνύετε τη συμμόρφωση στην αρχή μέσα από τα μέτρα και την τεκμηρίωσή σας. Η πιστοποίηση ISO 27001 είναι ξεχωριστή, αλλά αποτελεί ισχυρό συμπληρωματικό τεκμήριο, γιατί τα μέτρα επικαλύπτονται σε μεγάλο βαθμό.
Είμαστε κάτω από τα όρια μεγέθους. Μπορούμε να αγνοήσουμε το NIS2;
Όχι απαραίτητα. Ορισμένες οντότητες εμπίπτουν στο πεδίο ανεξαρτήτως μεγέθους, και αν είστε προμηθευτής οργανισμού που εμπίπτει, οι υποχρεώσεις του για την εφοδιαστική αλυσίδα θα σας φτάσουν μέσω των συμβάσεων. Ελέγξτε και τα δύο πριν αποφασίσετε ότι το NIS2 δεν σας αφορά.
Ποιος εποπτεύει το NIS2 στην Ελλάδα;
Η Εθνική Αρχή Κυβερνοασφάλειας (ΕΑΚ), βάσει του Ν. 5160/2024. Οι οντότητες που εμπίπτουν στο πεδίο εγγράφονται στην ΕΑΚ και αναφέρουν τα σημαντικά περιστατικά σύμφωνα με το Άρθρο 23. Ελέγξτε τις τρέχουσες οδηγίες της αρχής για διαδικασίες και προθεσμίες.
Πόσο μεγάλα μπορεί να είναι τα πρόστιμα NIS2 στην Ελλάδα;
Έως €10M ή 2% του παγκόσμιου ετήσιου κύκλου εργασιών για τις βασικές οντότητες, και έως €7M ή 1,4% για τις σημαντικές, όποιο είναι μεγαλύτερο σε κάθε περίπτωση. Η δωρεάν λίστα ελέγχου NIS2 μας περιλαμβάνει υπολογιστή που εκτιμά την έκθεσή σας.
Λογοδοτούν προσωπικά τα μέλη της διοίκησης βάσει του NIS2;
Το Άρθρο 20 απαιτεί από το διοικητικό όργανο να εγκρίνει και να εποπτεύει τα μέτρα διαχείρισης κινδύνων και να εκπαιδεύεται, και τα μέλη του μπορούν να λογοδοτήσουν για τη μη συμμόρφωση. Για τις βασικές οντότητες, οι αρχές μπορούν να φτάσουν έως την προσωρινή απαγόρευση άσκησης διευθυντικών καθηκόντων από συγκεκριμένο πρόσωπο, μέχρι η οντότητα να συμμορφωθεί.
Υποστηρίζετε εταιρείες στην Κύπρο;
Ναι. Στην Κύπρο, το NIS2 εφαρμόζεται μέσω του Ν. 60(I)/2025, που τροποποιεί τον Ν. 89(I)/2020, με αρμόδια αρχή την Αρχή Ψηφιακής Ασφάλειας (ΑΨΑ). Η μέθοδος εργασίας είναι ίδια με την Ελλάδα· οι εθνικές διαδικασίες καλό είναι να επιβεβαιώνονται με την ΑΨΑ ή τον νομικό σας σύμβουλο.
Σχετικές Υπηρεσίες & Πόροι
Δεν είστε σίγουροι αν σας αφορά το NIS2;
Πείτε μας για τον οργανισμό σας και θα σας βοηθήσουμε να καταλάβετε πού βρίσκεστε.