Πριν ξεκινήσετε
Το εργαλείο αυτό δεν αποτελεί νομική συμβουλή και δεν υποκαθιστά κανέναν.
Παράγει ενδεικτική ταξινόμηση με βάση τις απαντήσεις που θα δώσετε. Η ευθύνη της τελικής
κρίσης, της κοινοποίησης και της τήρησης των προθεσμιών ανήκει αποκλειστικά στην οντότητα
και στα αρμόδια όργανά της. Καμία απάντηση του εργαλείου δεν δεσμεύει τις αρχές και καμία δεν μπορεί να
προβληθεί ως λόγος μη συμμόρφωσης.
Επτά πράγματα που πρέπει να γνωρίζετε
| Ζήτημα | Τι ισχύει |
|---|---|
| Ποιος αποφασίζει | Η οντότητα. Το εργαλείο δομεί τη σκέψη, δεν την αντικαθιστά. Η τελική ταξινόμηση ανήκει στον Υπεύθυνο Ασφάλειας Συστημάτων Πληροφορικής και Επικοινωνιών και στη Διοίκηση. |
| Η κρίση είναι ποιοτική | Ο Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690, που εξειδικεύει αριθμητικά πότε ένα περιστατικό είναι σημαντικό, δεν καλύπτει τον τομέα της υγείας. Δεν υπάρχουν αριθμητικά κατώφλια. Υπάρχει μόνον τεκμηριωμένη κρίση. |
| Σε αμφιβολία | Η αμφιβολία επιλύεται υπέρ της κοινοποίησης. Το κόστος μιας περιττής αναφοράς είναι διοικητικό. Το κόστος μιας παραλειφθείσας είναι κυρωτικό. |
| Το χρονόμετρο | Οι προθεσμίες τρέχουν από τη στιγμή που η οντότητα αντιλήφθηκε το σημαντικό περιστατικό, όχι από τη στιγμή που θα ανοίξετε αυτή τη σελίδα. |
| Δεν υποβάλλεται τίποτα | Το εργαλείο δεν αποστέλλει καμία αναφορά σε καμία αρχή. Η κοινοποίηση γίνεται αποκλειστικά από εσάς, με τα επίσημα μέσα. |
| Δεδομένα | Όλα εκτελούνται στον φυλλομετρητή σας. Τίποτα δεν αποστέλλεται. Μην καταχωρίζετε δεδομένα ασθενών ούτε ονόματα εργαζομένων. |
| Ισχύς | Η λογική στηρίζεται στον ν. 5160/2024 όπως ισχύει. Επαληθεύστε ότι δεν έχει μεσολαβήσει τροποποίηση πριν από επίσημη χρήση. |
Δήλωση αποδοχής
Διαλογή συμβάντος
Οι απαντήσεις καταγράφονται και εμφανίζονται στο τέλος ως ίχνος τεκμηρίωσης.
Αποτέλεσμα διαλογής
Η θεωρία πίσω από τη διαλογή
Η ταξινόμηση δεν είναι διοικητική τυπικότητα. Είναι το σημείο όπου κρίνεται αν μια υποχρέωση ενεργοποιείται ή όχι. Η ασάφεια των ορίων παράγει δύο συμμετρικά σφάλματα, την υποαναφορά, όταν γεγονότα με κανονιστική σημασία αντιμετωπίζονται ως ρουτίνα, και την υπεραναφορά, όταν ο θόρυβος των αμυντικών μηχανισμών κατακλύζει τη διαδικασία και εξαντλεί τους πόρους.
Οι ορισμοί, όπως ακριβώς είναι γραμμένοι
| Όρος | Κείμενο του νόμου |
|---|---|
| Παρ' ολίγον περιστατικό άρ. 6 περ. ε΄ |
«περιστατικό, το οποίο θα μπορούσε να έχει θέσει σε κίνδυνο τη διαθεσιμότητα, την αυθεντικότητα, την ακεραιότητα ή την εμπιστευτικότητα των αποθηκευμένων, διαβιβαζόμενων ή υφισταμένων επεξεργασία δεδομένων ή των υπηρεσιών [...], αλλά το οποίο εμποδίστηκε ή δεν υλοποιήθηκε επιτυχώς» |
| Περιστατικό άρ. 6 περ. στ΄ |
«κάθε συμβάν που θέτει σε κίνδυνο τη διαθεσιμότητα, την αυθεντικότητα, την ακεραιότητα ή το απόρρητο των δεδομένων [...] ή των υπηρεσιών» |
| Σημαντικό περιστατικό άρ. 16 παρ. 3 |
«α) έχει προκαλέσει ή μπορεί να προκαλέσει σοβαρή λειτουργική διατάραξη των υπηρεσιών ή οικονομική ζημία για την οικεία οντότητα, β) έχει επηρεάσει ή μπορεί να επηρεάσει άλλα φυσικά ή νομικά πρόσωπα προκαλώντας σημαντική υλική ή μη υλική ζημία» |
Δύο ατέλειες του κειμένου που πρέπει να γνωρίζετε. Πρώτον, η περ. ε΄ ορίζει το παρ' ολίγον περιστατικό ως περιστατικό, ενώ το αγγλικό κείμενο της Οδηγίας χρησιμοποιεί τον όρο event. Ο ορισμός είναι κυκλικός, διότι το περιστατικό προϋποθέτει κατά την επόμενη περίπτωση επελθούσα διακύβευση. Δεύτερον, η περ. ε΄ λέει «εμπιστευτικότητα» και η περ. στ΄ λέει «απόρρητο» για το ίδιο αγγλικό confidentiality. Οι αποκλίσεις δεν αναιρούν την ισχύ των διατάξεων, καθιστούν όμως αναγκαίο έναν εσωτερικό λειτουργικό ορισμό, όπως ο παρακάτω.
Τα τέσσερα όρια
| Όριο | Πού τίθεται | Γιατί εκεί |
|---|---|---|
| 1ο συμβάν → περιστατικό | Στην επέλευση της διακύβευσης | Το συμβάν είναι παρατηρήσιμο γεγονός. Γίνεται περιστατικό μόνον όταν η διακύβευση υλοποιείται. Η μερική υλοποίηση αρκεί. |
| 2ο θόρυβος → παρ' ολίγον | Στο βάθος της άμυνας που απέμεινε | Το κριτήριο δεν είναι η κακόβουλη πρόθεση, που συντρέχει και στα δύο, αλλά αν ο έλεγχος που απέτρεψε τη διακύβευση ήταν ο τελευταίος εναπομείνας. Οι αποκλεισμένες σαρώσεις είναι χιλιάδες ημερησίως. Τα γεγονότα όπου δοκιμάστηκε ο τελευταίος έλεγχος είναι διαχειρίσιμα. |
| 3ο περιστατικό → σημαντικό | Στη σοβαρότητα της επίπτωσης | Το μόνο όριο που ενεργοποιεί υποχρεωτικές προθεσμίες. Για την υγεία παραμένει αμιγώς ποιοτικό, καθώς ο Εκτ. Καν. (ΕΕ) 2024/2690 δεν εφαρμόζεται στον τομέα. |
| 4ο παράλληλο | Στα δεδομένα προσωπικού χαρακτήρα | Δεν είναι ιεραρχικό. Ο ΓΚΠΔ τέμνει τη NIS2 χωρίς να ταυτίζεται. Ένα γεγονός μπορεί να είναι παραβίαση δεδομένων χωρίς να είναι σημαντικό περιστατικό, και αντιστρόφως. |
Η πεντάβαθμη κλίμακα
Το ίδιο γεγονός, τρεις διαφορετικές ταξινομήσεις
Γεγονός αναφοράς: φορτίο ransomware ανακοπέν από τη βαθμίδα EDR πριν από οποιαδήποτε κρυπτογράφηση.
| Πλαίσιο | Ταξινόμηση | Συνέπεια |
|---|---|---|
| Οδηγία (ΕΕ) 2022/2555 και ν. 5160/2024 | Παρ' ολίγον περιστατικό | Ο ορισμός απαιτεί επέλευση της διακύβευσης. Εφόσον εμποδίστηκε, δεν είναι περιστατικό. Εθελούσια μόνον κοινοποίηση. |
| NIST SP 800-61r3 | Cybersecurity incident | Ο ορισμός καλύπτει και την επικείμενη διακύβευση. Πλήρης κύκλος απόκρισης. |
| ISO/IEC 27035-1:2023 | Information security incident | Ο ορισμός στηρίζεται στη δυνητικότητα βλάβης. Ενεργοποίηση της διαδικασίας διαχείρισης. |
Ο κανόνας προτεραιότητας. Δύο από τα τρία πλαίσια ενεργοποιούν πλήρη κύκλο απόκρισης, το τρίτο μόνον εθελούσια κοινοποίηση. Η προτεινόμενη λύση είναι ρητή: η εσωτερική ταξινόμηση και η ενεργοποίηση των διαδικασιών ακολουθούν το ευρύτερο κριτήριο, ώστε να μη χάνεται μαθησιακή αξία. Η εξωτερική κοινοποίηση ακολουθεί αποκλειστικά το κανονιστικό κριτήριο του ν. 5160/2024, ώστε να αποφεύγεται τόσο η παράλειψη υποχρεωτικής αναφοράς όσο και η υποβολή αναφορών άνευ νομικής βάσεως.
Ποιος ειδοποιείται και πότε
| Στάδιο | Προθεσμία | Περιεχόμενο |
|---|---|---|
| Έγκαιρη προειδοποίηση | 24 ώρες | Από τη στιγμή της αντίληψης. Αναφέρει, κατά περίπτωση, αν υπάρχει υποψία παράνομης ή κακόβουλης ενέργειας ή διασυνοριακού αντικτύπου. |
| Κοινοποίηση περιστατικού | 72 ώρες | Από τη στιγμή της αντίληψης. Επικαιροποιεί την προειδοποίηση και προσθέτει αρχική αξιολόγηση σοβαρότητας, επιπτώσεων και ενδείξεων παραβίασης. |
| Ενδιάμεση έκθεση | κατόπιν αιτήματος | Επικαιροποιήσεις της κατάστασης. |
| Τελική έκθεση | 1 μήνας | Από την υποβολή της κοινοποίησης των 72 ωρών, όχι από την αντίληψη. Περιλαμβάνει λεπτομερή περιγραφή, βασική αιτία, μέτρα μετριασμού και, κατά περίπτωση, διασυνοριακό αντίκτυπο. |
Δύο αποδέκτες, όχι ένας. Κατά το δεύτερο εδάφιο της παρ. 1 του άρ. 16, οι οντότητες της περ. στ΄ της παρ. 2 του άρ. 3 — δηλαδή οι φορείς της κεντρικής κυβέρνησης κατά τον ν. 4270/2014 και οι Ο.Τ.Α. αμφοτέρων των βαθμών — κοινοποιούν στην CSIRT της Εθνικής Υπηρεσίας Πληροφοριών με ταυτόχρονη ενημέρωση της Εθνικής Αρχής Κυβερνοασφάλειας. Τα δημόσια νοσοκομεία ως Ν.Π.Δ.Δ. υπάγονται κατά κανόνα εκεί. Η τήρηση της προθεσμίας έναντι του ενός αποδέκτη δεν θεραπεύει την παράλειψη του άλλου.
Οριακές περιπτώσεις
Κάθε σχήμα ταξινόμησης κρίνεται όχι από τις τυπικές αλλά από τις οριακές περιπτώσεις. Οι παρακάτω παράγουν τη μεγαλύτερη διαφωνία μεταξύ του τεχνικού και του νομικού αναγνώστη.
Το κοινό στοιχείο. Η ταξινόμηση δεν προκύπτει από το αποτέλεσμα του γεγονότος αλλά από τη δοκιμασία των ελέγχων. Η διάκριση αυτή προστατεύει από δύο αντίθετους πειρασμούς, εκείνον της υποβάθμισης κάθε ανακοπέντος γεγονότος σε θόρυβο και εκείνον της αναβάθμισης κάθε απόπειρας σε περιστατικό.