Εμπιστοσύνη και συμμόρφωση
Εμπιστοσύνη και συμμόρφωση για όσους εποπτεύονται
Έχουμε πιστοποίηση ISO/IEC 27001. Η σελίδα εξηγεί πώς προστατεύουμε, ως προμηθευτής, τα συστήματα και τα δεδομένα σας, με τι συμβάλλουμε στις υποχρεώσεις σας κατά τον νόμο για την ασφάλεια δικτύων (NIS2), τον DORA και τον Κανονισμό για την τεχνητή νοημοσύνη (AI Act), και πώς ζητάτε την τεκμηρίωση ασφάλειας. Για οντότητα στην Κύπρο, μέρος της εικόνας είναι η ενημέρωση της Αρχής Ψηφιακής Ασφάλειας (ΑΨΑ) εντός έξι ωρών.
Για Υπουργεία, ημικρατικούς οργανισμούς και εποπτευόμενες επιχειρήσεις στην Κύπρο, όπου την εφαρμογή των κανόνων της ΕΕ την εποπτεύουν η ΑΨΑ, η ΕΚΚ, η ΚΤΚ και το Γραφείο Επιτρόπου Προστασίας Δεδομένων Προσωπικού Χαρακτήρα.
Οι δεσμεύσεις μας
Πέντε δεσμεύσεις σε κάθε συνεργασία
Δημόσιοι φορείς και εποπτευόμενες επιχειρήσεις μας αναθέτουν ευαίσθητα δεδομένα και συστήματα που στηρίζουν πραγματικές αποφάσεις. Αυτά είναι όσα μπορούν να μας ζητήσουν να τηρούμε.
Διαχείριση ασφάλειας πληροφοριών
ΠιστοποιημένοΗ διαχείριση της ασφάλειας πληροφοριών μας είναι πιστοποιημένη κατά ISO/IEC 27001. Σε κάθε συνεργασία, οι έλεγχοι, η διαχείριση των υπεργολάβων και ο χειρισμός περιστατικών ακολουθούν αυτό το σύστημα.
Η πρόσβαση στα συστήματα και στα δεδομένα σας κλείνει πριν ξεκινήσει η δουλειά, περιορίζεται σε όσα χρειάζονται και ξαναεξετάζεται κάθε φορά που αλλάζει η σύνθεση της ομάδας.
Πιστοποίηση ISO/IEC 27001
Προσωπικά δεδομένα και GDPR
Πώς δουλεύουμεΠριν από την υλοποίηση κλείνουμε τους σκοπούς, τα όρια πρόσβασης και τον χρόνο διατήρησης. Αν επεξεργαζόμαστε προσωπικά δεδομένα για εσάς, το κάνουμε ως εκτελών την επεξεργασία, με σύμβαση κατά το άρθρο 28 του Γενικού Κανονισμού για την Προστασία Δεδομένων (GDPR)· ο υπεύθυνος επεξεργασίας στην Κύπρο έχει επιπλέον υπόψη τον Ν. 125(Ι)/2018.
Όταν η επεξεργασία μπορεί να έχει υψηλό κίνδυνο, σας δίνουμε τα τεχνικά στοιχεία για την εκτίμηση αντικτύπου που θα εκπονήσετε.
Ανθρώπινη εποπτεία της ΤΝ
Πώς δουλεύουμεΚάθε περίπτωση χρήσης τεχνητής νοημοσύνης κατατάσσεται μαζί σας στη φάση της διερεύνησης. Βήματα έγκρισης, καταγραφή και τεχνική τεκμηρίωση υπάρχουν στο σύστημα από την πρώτη έκδοση και δεν προστίθενται λίγο πριν από έναν έλεγχο. Οι πράκτορες κινούνται με περιορισμένα δικαιώματα και ζητούν έγκριση πριν από κάθε βήμα με συνέπειες.
Προσβασιμότητα
Πώς δουλεύουμεΟι διεπαφές σχεδιάζονται και ελέγχονται κατά EN 301 549 και WCAG 2.2 επίπεδο AA, αυτόματα και με χειροκίνητη ανασκόπηση με υποστηρικτικές τεχνολογίες, και παραδίδεται έκθεση συμμόρφωσης με όσα γνωστά ζητήματα απομένουν. Ένας φορέας του δημόσιου τομέα τη χρησιμοποιεί και για τις υποχρεώσεις του κατά τον Ν. 50(Ι)/2019.
Δεδομένα εντός της ΕΕ
Ανά συνεργασίαΠεριοχές φιλοξενίας, έλεγχος των κλειδιών κρυπτογράφησης και τόποι από όπου γίνεται η υποστήριξη αποφασίζονται μαζί σας πριν από την υλοποίηση και γράφονται στην αρχιτεκτονική, με κυρίαρχες επιλογές όπου τις απαιτούν οι ανάγκες σας.
Περιγράφουμε εδώ τη δική μας πρακτική ως προμηθευτή, όχι τη δική σας συμμόρφωση. Οι υποχρεώσεις σας εξαρτώνται από τον οργανισμό και την περίπτωση χρήσης, και τη νομική τους εκτίμηση την κάνουν οι νομικοί σας σύμβουλοι.
NIS2
NIS2: η ασφάλεια της αλυσίδας εφοδιασμού σας
Η ασφάλεια της αλυσίδας εφοδιασμού είναι ένα από τα ελάχιστα μέτρα που απαριθμεί το άρθρο 21(2) της Οδηγίας (ΕΕ) 2022/2555 (NIS2) για τη διαχείριση κινδύνων κυβερνοασφάλειας στις βασικές και σημαντικές οντότητες· το άρθρο 21(3) προσθέτει ότι οι οντότητες λαμβάνουν υπόψη πώς χειρίζονται την ασφάλεια οι άμεσοι προμηθευτές και πάροχοι υπηρεσιών τους. Στο κυπριακό δίκαιο, η Οδηγία ενσωματώθηκε με τον Ν. 89(Ι)/2020, όπως τροποποιήθηκε με τον Ν. 60(Ι)/2025, και αρμόδια είναι η Αρχή Ψηφιακής Ασφάλειας (ΑΨΑ).
Ως προμηθευτής σας, κάνουμε ευκολότερη την απόδειξη αυτού του σκέλους. Ρήτρες ασφάλειας, κανάλια για περιστατικά και χειρισμός ευπαθειών συμφωνούνται σε κάθε σύμβαση, και οι έλεγχοι της συνεργασίας τεκμηριώνονται ώστε να τους αξιολογήσει η διαδικασία σας για τον κίνδυνο προμηθευτών. Αν και πώς σας αφορά ο κυπριακός νόμος παραμένει δική σας εκτίμηση.
Ρήτρες ασφάλειας στη σύμβαση
Πρόσβαση, υπεργολαβίες, ειδοποίηση περιστατικών και συνεργασία σε ελέγχους συμφωνούνται γραπτώς, δεν θεωρούνται αυτονόητα.
Ένα κανάλι περιστατικών που λειτουργεί
Ονομαστικές επαφές και συμφωνημένοι χρόνοι, ώστε ένα περιστατικό από τη δική μας πλευρά να σας φτάνει έγκαιρα. Ο κυπριακός νόμος ζητά ενημέρωση της ΑΨΑ εντός έξι ωρών από τη στιγμή που η οντότητα λαμβάνει γνώση σημαντικού περιστατικού (άρθρο 35Β(4)), αυστηρότερα από τις 24 ώρες της Οδηγίας.
Χειρισμός ευπαθειών
Σαρώσεις εξαρτήσεων, κώδικα και υποδομής τρέχουν στο pipeline παράδοσης· τα ευρήματα διορθώνονται ή αναφέρονται από το συμφωνημένο κανάλι.
Στοιχεία όταν τα ζητήσετε
Το πιστοποιητικό μας ISO/IEC 27001, μαζί με τους ελέγχους που εφαρμόζονται στο δικό σας έργο.
- Cloud και μηχανική πλατφορμώνΔιαδικασίες περιστατικών που εξυπηρετούν και τις υποχρεώσεις αναφοράς της NIS2 και του DORA.
- Δημόσιος τομέαςΥλοποίηση για Υπουργεία, Τμήματα και ΕΟΑ, με τον νόμο για την ασφάλεια δικτύων στο σχέδιο.
DORA
DORA: ο κίνδυνος από τρίτους παρόχους ΤΠΕ
Από τις 17 Ιανουαρίου 2025 εφαρμόζεται ο Κανονισμός (ΕΕ) 2022/2554 για την ψηφιακή επιχειρησιακή ανθεκτικότητα (DORA). Τράπεζες, ασφαλιστικές, επιχειρήσεις επενδύσεων, ιδρύματα πληρωμών και οι άλλες χρηματοοικονομικές οντότητες εντάσσουν τον κίνδυνο από τρίτους παρόχους ΤΠΕ στη διαχείριση κινδύνων ΤΠΕ τους, κρατούν μητρώο πληροφοριών για κάθε σύμβαση υπηρεσιών ΤΠΕ (άρθρο 28) και γράφουν στις συμβάσεις αυτές βασικές ρήτρες (άρθρο 30). Στην Κύπρο, η Κ.Δ.Π. 252/2025 ορίζει αρμόδιες αρχές την Κεντρική Τράπεζα της Κύπρου, την Επιτροπή Κεφαλαιαγοράς Κύπρου, τον Έφορο Ασφαλίσεων και τον Έφορο Ιδρυμάτων Επαγγελματικών Συνταξιοδοτικών Παροχών, την καθεμία για τις οντότητες που εποπτεύει.
Σε κάθε σύμβαση υπηρεσιών ΤΠΕ με χρηματοοικονομική οντότητα περιλαμβάνουμε όσα ορίζει το άρθρο 30: τι ακριβώς παρέχουμε, πού το παρέχουμε και πού επεξεργαζόμαστε τα δεδομένα, πώς βοηθούμε σε περιστατικό ΤΠΕ, πώς συνεργαζόμαστε με την αρμόδια αρχή σας και πότε μπορείτε να καταγγείλετε τη σύμβαση. Αν η υπηρεσία στηρίζει κρίσιμη ή σημαντική λειτουργία, προστίθενται στρατηγική εξόδου και συμμετοχή μας στις δοκιμές ανθεκτικότητάς σας.
Δίνουμε τα στοιχεία που χρειάζεται το μητρώο πληροφοριών σας, για παράδειγμα σε μια ΚΕΠΕΥ που εποπτεύεται από την ΕΚΚ, και γράφουμε σχέδια εξόδου από την αρχή, ώστε η αλλαγή παρόχου να μένει ρεαλιστική επιλογή.
- Χρηματοοικονομικές υπηρεσίεςΤεχνητή νοημοσύνη υπό εποπτεία, ανθεκτικές πλατφόρμες και λειτουργία σχεδιασμένη γύρω από τον DORA.
AI Act
AI Act: ανθρώπινη εποπτεία και τεκμηρίωση από τον σχεδιασμό
Ο Κανονισμός (ΕΕ) 2024/1689 μπαίνει σε εφαρμογή κατά στάδια. Από τον Φεβρουάριο του 2025 ισχύουν οι απαγορεύσεις και η υποχρέωση γραμματισμού στην τεχνητή νοημοσύνη, από τον Αύγουστο του 2026 οι κανόνες διαφάνειας του άρθρου 50. Για τα συστήματα υψηλού κινδύνου του Παραρτήματος III, η ημερομηνία είναι η 2 Δεκεμβρίου 2027, όπως την όρισε ο τροποποιητικός Κανονισμός (ΕΕ) 2026/1744. Στην Κυπριακή Δημοκρατία ο εθνικός ορισμός των αρχών για τον Κανονισμό δεν είχε οριστικοποιηθεί το φθινόπωρο του 2026.
Τι ζητά ο Κανονισμός από ένα σύστημα υψηλού κινδύνου; Τεχνική τεκμηρίωση (άρθρο 11), καταγραφή συμβάντων από το ίδιο το σύστημα (άρθρο 12) και σχεδιασμό που αφήνει τον άνθρωπο να εποπτεύει πραγματικά (άρθρο 14). Ο φορέας εφαρμογής, από την πλευρά του, αναθέτει την εποπτεία σε πρόσωπα με επάρκεια και εξουσία να παρέμβουν (άρθρο 26). Όλα αυτά υπάρχουν στο σύστημα από την πρώτη έκδοση: έγκριση και παράκαμψη εκεί όπου η απόφαση αγγίζει ανθρώπους, τεκμηρίωση παράλληλα με τον κώδικα.
Ο ρόλος του οργανισμού σας, πάροχος ή φορέας εφαρμογής, κρίνεται από τον τρόπο που το σύστημα τίθεται σε λειτουργία. Αυτό είναι νομικό ερώτημα για τους συμβούλους σας· εμείς τους δίνουμε τα τεχνικά στοιχεία που χρειάζονται.
- Η ΤΝ στους δημόσιους φορείςΟι ισχύουσες υποχρεώσεις, όσα έρχονται τον Δεκέμβριο του 2027 και πώς να προετοιμαστείτε.
- Πράκτορες ΤΝ και αυτοματοποίησηΠράκτορες με περιορισμένα δικαιώματα, πύλες έγκρισης και πλήρη αρχεία καταγραφής.
Στην υλοποίηση
Ασφάλεια σε κάθε στάδιο της υλοποίησης
Η συμμόρφωση αποδεικνύεται από τον τρόπο δουλειάς, όχι από ένα έγγραφο που γράφεται στο τέλος.
Ελάχιστα αναγκαία δικαιώματα
Όσοι από εμάς δουλεύουν στα περιβάλλοντά σας έχουν μόνο την πρόσβαση που χρειάζεται η δουλειά· τη συμφωνούμε πριν αρχίσουμε και την επανεξετάζουμε με κάθε αλλαγή στην ομάδα.
Αλλαγές με ανασκόπηση και σάρωση
Δεύτερος μηχανικός εξετάζει κάθε αλλαγή πριν φύγει. Οι σαρώσεις εξαρτήσεων, κώδικα και υποδομής είναι αυτόματες, και για κάθε έκδοση προγραμματίζονται δοκιμές ασφάλειας.
Περιστατικά με συμφωνημένη διαδικασία
Κατάταξη περιστατικών, επαφές ειδοποίησης και συλλογή στοιχείων ορίζονται στην αρχή και μπαίνουν στη διαδικασία περιστατικών όπου σας αφορούν η NIS2 ή ο DORA, π.χ. με την προθεσμία των έξι ωρών προς την ΑΨΑ.
Τεκμηριωμένη παράδοση και έξοδος
Μαζί με το σύστημα παραλαμβάνετε εγχειρίδια, αποφάσεις αρχιτεκτονικής και μοντέλα δεδομένων· τα σχέδια εξόδου δείχνουν από την πρώτη μέρα πώς επιστρέφονται τα δεδομένα και πόσο κοστίζει μια αλλαγή.
Έλεγχος δέουσας επιμέλειας
Ζητήστε την τεκμηρίωση ασφάλειας
Πριν υπογράψουν, οι υπεύθυνοι προμηθειών, ασφάλειας και νομικών θεμάτων θέλουν αποδείξεις. Ζητήστε μας το πιστοποιητικό ISO/IEC 27001 με το πεδίο εφαρμογής του, απαντήσεις στο ερωτηματολόγιο ασφάλειας προμηθευτών σας και τους όρους επεξεργασίας δεδομένων που θα ίσχυαν για τη συνεργασία.
Στείλτε το αίτημα από τη σελίδα επικοινωνίας και αναφέρετε με ποιο πλαίσιο αξιολογείτε προμηθευτές, π.χ. τον κυπριακό νόμο για την ασφάλεια δικτύων, τον DORA ή ένα εθνικό πλαίσιο ασφάλειας. Θα σας απαντήσουν οι κατάλληλοι άνθρωποι.
- Επικοινωνήστε μαζί μαςΑναφέρετε στο μήνυμά σας την τεκμηρίωση ασφάλειας.
- Νομικές πληροφορίεςΣτοιχεία εταιρείας και εγγραφής για το μητρώο προμηθευτών σας.
Κύπρος
Κοινή βάση της ΕΕ, εποπτεία στην Κύπρο
Ο GDPR, ο DORA και ο AI Act είναι κανονισμοί και ισχύουν άμεσα σε όλη την Ένωση. Η NIS2 είναι οδηγία, άρα το πεδίο εφαρμογής και οι λεπτομέρειες της αναφοράς περιστατικών ρυθμίζονται από κάθε κράτος μέλος. Η εποπτεία είναι πάντα εθνική. Στην Κύπρο: η Αρχή Ψηφιακής Ασφάλειας για τον νόμο για την ασφάλεια δικτύων, η ΚΤΚ, η ΕΚΚ, ο Έφορος Ασφαλίσεων και ο Έφορος Ιδρυμάτων Επαγγελματικών Συνταξιοδοτικών Παροχών για τον DORA κατά την Κ.Δ.Π. 252/2025, και το Γραφείο Επιτρόπου Προστασίας Δεδομένων Προσωπικού Χαρακτήρα για τον GDPR. Σε προγράμματα που απλώνονται σε περισσότερες χώρες, ορίζουμε ένα σύνολο ελέγχων και αντιστοιχίζουμε κάθε κανάλι περιστατικών στην αρχή στην οποία αναφέρει η συγκεκριμένη οντότητα.
- Οδηγία NIS 2Οδηγία (ΕΕ) 2022/2555 σχετικά με μέτρα για υψηλό κοινό επίπεδο κυβερνοασφάλειας σε ολόκληρη την Ένωση (οδηγία NIS 2) (ανοίγει εξωτερικό ιστότοπο)
- Νόμος NIS2 της Κύπρου (Ν. 89(Ι)/2020)Ο περί Ασφάλειας Δικτύων και Συστημάτων Πληροφοριών Νόμος του 2020 (Ν. 89(Ι)/2020), όπως τροποποιήθηκε με τον Ν. 60(Ι)/2025, που ενσωματώνει την Οδηγία NIS 2· αρμόδια αρχή η Αρχή Ψηφιακής Ασφάλειας (ΑΨΑ) (ανοίγει εξωτερικό ιστότοπο)
- DORAΚανονισμός (ΕΕ) 2022/2554 σχετικά με την ψηφιακή επιχειρησιακή ανθεκτικότητα του χρηματοοικονομικού τομέα (DORA) (ανοίγει εξωτερικό ιστότοπο)
- Κανονισμός για την τεχνητή νοημοσύνη (AI Act)Κανονισμός (ΕΕ) 2024/1689 για τη θέσπιση εναρμονισμένων κανόνων σχετικά με την τεχνητή νοημοσύνη (κανονισμός για την τεχνητή νοημοσύνη) (ανοίγει εξωτερικό ιστότοπο)
- ΓΚΠΔΓενικός Κανονισμός για την Προστασία Δεδομένων (ΓΚΠΔ), Κανονισμός (ΕΕ) 2016/679 (ανοίγει εξωτερικό ιστότοπο)
Ερωτήσεις από ομάδες προμηθειών και ασφάλειας
Έχει η FromNine πιστοποίηση ISO/IEC 27001;
Ναι, η διαχείριση της ασφάλειας πληροφοριών μας έχει πιστοποίηση ISO/IEC 27001. Πιστοποιητικό και πεδίο εφαρμογής τα στέλνουμε κατόπιν αιτήματος, για τον έλεγχο δέουσας επιμέλειας που κάνετε.
Πώς στηρίζετε ως προμηθευτής τις υποχρεώσεις μας κατά τον νόμο για την ασφάλεια δικτύων (NIS2);
Βάζουμε στη σύμβαση ρήτρες ασφάλειας, κανάλια ειδοποίησης περιστατικών και χειρισμό ευπαθειών, τεκμηριώνουμε τους ελέγχους της συνεργασίας και σας δίνουμε ό,τι χρειάζεται η αξιολόγηση κινδύνου προμηθευτών. Το κανάλι στήνεται ώστε να χωρά στην προθεσμία των έξι ωρών του Ν. 89(Ι)/2020. Αν και πώς σας αφορά ο νόμος το κρίνετε εσείς με τους νομικούς σας συμβούλους.
Θα συμφωνήσετε τις συμβατικές ρήτρες που ζητά ο DORA;
Ναι: τις ρήτρες του άρθρου 30, ειδοποίηση περιστατικών από το κανάλι που συμφωνήσαμε, σχέδια εξόδου, συμμετοχή σε δοκιμές ανθεκτικότητας και τα στοιχεία που χρειάζεται το μητρώο πληροφοριών που τηρείτε για την αρμόδια αρχή σας.
Ποιος ευθύνεται για τη συμμόρφωση με τον AI Act;
Εξαρτάται από τον ρόλο σας, πάροχος ή φορέας εφαρμογής, και από την κατηγορία κινδύνου της περίπτωσης χρήσης. Κατατάσσουμε κάθε περίπτωση μαζί σας στη διερεύνηση, ενσωματώνουμε εποπτεία, καταγραφή και τεκμηρίωση στο σύστημα και δίνουμε στους νομικούς σας συμβούλους τα τεχνικά στοιχεία για τη νομική εκτίμηση.
Σε ποια τοποθεσία θα βρίσκονται τα δεδομένα μας;
Εκεί που θα αποφασίσουμε μαζί πριν ξεκινήσει η υλοποίηση: στο δικό σας cloud, σε ευρωπαϊκή περιοχή ενός δημόσιου παρόχου cloud ή, για ευαίσθητα φορτία, σε δικές σας υποδομές. Με βάση αυτό διαλέγουμε φιλοξενία και υπηρεσίες τεχνητής νοημοσύνης, και καταγράφουμε την επιλογή μαζί με τον τρόπο εξόδου.
Πώς ζητούμε την τεκμηρίωση ασφάλειας;
Μέσω της σελίδας επικοινωνίας: γράψτε ποια έγγραφα θέλετε και ποιο πλαίσιο χρησιμοποιείτε για την αξιολόγηση προμηθευτών, και θα σας απαντήσει ο κατάλληλος συνάδελφος.
Ζητήστε τα στοιχεία
Γράψτε μας ποια έγγραφα θέλετε και ποιο πλαίσιο εφαρμόζετε στους προμηθευτές σας, π.χ. τον Ν. 89(Ι)/2020 ή τον DORA. Θα σας εξηγήσουμε τι μπορούμε να στείλουμε και πώς.