Εμπιστοσύνη και συμμόρφωση για εποπτευόμενους οργανισμούς

Η Οδηγία NIS 2, Οδηγία (ΕΕ) 2022/2555, απαιτεί από τις βασικές και τις σημαντικές οντότητες να διαχειρίζονται τους κινδύνους κυβερνοασφάλειας για τα συστήματα δικτύου και πληροφοριών τους. Η ασφάλεια της εφοδιαστικής αλυσίδας είναι ένα από τα ελάχιστα μέτρα του άρθρου 21 παράγραφος 2, και το άρθρο 21 παράγραφος 3 ζητά να λαμβάνονται υπόψη οι πρακτικές ασφάλειας των άμεσων προμηθευτών και παρόχων υπηρεσιών. Στην Ελλάδα η Οδηγία ενσωματώθηκε με τον ν. 5160/2024, που καλύπτει επιχειρήσεις, την κεντρική διοίκηση και την τοπική αυτοδιοίκηση: οι οντότητες εγγράφονται στην Εθνική Αρχή Κυβερνοασφάλειας (ΕΑΚ) και της αναφέρουν τα σημαντικά περιστατικά, και η ΚΥΑ 1689/2025 ορίζει το εθνικό πλαίσιο απαιτήσεων κυβερνοασφάλειας.

Ως προμηθευτής σας, κάνουμε αυτό το μέρος της υποχρέωσής σας ευκολότερο να τεκμηριωθεί. Ρήτρες ασφάλειας, κανάλια για περιστατικά και διαχείριση ευπαθειών συμφωνούνται σε κάθε σύμβαση, και οι έλεγχοι που ισχύουν για το έργο σας τεκμηριώνονται, ώστε να τους αξιολογήσει η διαδικασία διαχείρισης κινδύνου προμηθευτών σας. Αν και πώς εφαρμόζεται ο ν. 5160/2024 στον οργανισμό σας παραμένει δική σας εκτίμηση.

Ο DORA, Κανονισμός (ΕΕ) 2022/2554 για την ψηφιακή επιχειρησιακή ανθεκτικότητα, εφαρμόζεται από 17 Ιανουαρίου 2025. Τράπεζες, ασφαλιστικές επιχειρήσεις, επιχειρήσεις επενδύσεων, ιδρύματα πληρωμών και άλλες χρηματοοικονομικές οντότητες πρέπει να διαχειρίζονται τον κίνδυνο από τρίτους παρόχους υπηρεσιών ΤΠΕ στο πλαίσιο διαχείρισης κινδύνων ΤΠΕ, να τηρούν μητρώο πληροφοριών για όλες τις συμβατικές ρυθμίσεις για υπηρεσίες ΤΠΕ (άρθρο 28) και να περιλαμβάνουν βασικές συμβατικές διατάξεις στις συμβάσεις αυτές (άρθρο 30). Αρμόδιες αρχές για τον DORA στην Ελλάδα είναι, ανάλογα με την κατηγορία της οντότητας, η Τράπεζα της Ελλάδος και η Επιτροπή Κεφαλαιαγοράς (ν. 5193/2025).

Όταν παρέχουμε υπηρεσίες ΤΠΕ σε χρηματοοικονομική οντότητα, συμφωνούμε τις διατάξεις που απαριθμεί το άρθρο 30: πλήρη περιγραφή των υπηρεσιών, τις τοποθεσίες όπου παρέχονται και όπου γίνεται η επεξεργασία των δεδομένων, συνδρομή όταν συμβαίνει περιστατικό ΤΠΕ, συνεργασία με τις αρμόδιες αρχές σας και δικαιώματα καταγγελίας της σύμβασης. Για υπηρεσίες που στηρίζουν κρίσιμες ή σημαντικές λειτουργίες, η σύμβαση καλύπτει επίσης στρατηγικές εξόδου και τη συμμετοχή μας στις δοκιμές ανθεκτικότητάς σας.

Παρέχουμε τις πληροφορίες που χρειάζεται το μητρώο πληροφοριών σας και τεκμηριώνουμε σχέδια εξόδου από την αρχή, ώστε η αλλαγή παρόχου να παραμένει ρεαλιστική επιλογή.

Ο Κανονισμός για την τεχνητή νοημοσύνη, Κανονισμός (ΕΕ) 2024/1689, εφαρμόζεται σταδιακά. Οι απαγορευμένες πρακτικές και ο γραμματισμός στον τομέα της ΤΝ ισχύουν από τον Φεβρουάριο του 2025 και οι υποχρεώσεις διαφάνειας του άρθρου 50 από τον Αύγουστο του 2026. Όπως τροποποιήθηκε το 2026 με τον Κανονισμό (ΕΕ) 2026/1744, οι κανόνες για τα συστήματα υψηλού κινδύνου του Παραρτήματος III εφαρμόζονται από 2 Δεκεμβρίου 2027. Στην Ελλάδα, με τον ν. 5321/2026 η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ) είναι η αρχή εποπτείας της αγοράς για τις απαγορευμένες πρακτικές, τα συστήματα υψηλού κινδύνου του Παραρτήματος III και τις υποχρεώσεις διαφάνειας του άρθρου 50, καθώς και το ενιαίο σημείο επαφής.

Για τα συστήματα υψηλού κινδύνου ο Κανονισμός ζητά τεχνική τεκμηρίωση (άρθρο 11), αυτόματη καταγραφή συμβάντων (άρθρο 12) και σχεδιασμό που επιτρέπει αποτελεσματική ανθρώπινη εποπτεία (άρθρο 14), ενώ οι φορείς εφαρμογής πρέπει να αναθέτουν την εποπτεία σε πρόσωπα με την αναγκαία επάρκεια και εξουσία (άρθρο 26). Το λαμβάνουμε υπόψη από την πρώτη έκδοση: τα σημεία έγκρισης και η δυνατότητα παράκαμψης βρίσκονται εκεί όπου οι αποφάσεις επηρεάζουν ανθρώπους, και η τεκμηρίωση γράφεται μαζί με τον κώδικα.

Κάθε δημόσιος φορέας που σκοπεύει να χρησιμοποιήσει σύστημα τεχνητής νοημοσύνης υποβάλλει δήλωση στο μητρώο συστημάτων ΤΝ της Ειδικής Γραμματείας Τεχνητής Νοημοσύνης και Διακυβέρνησης Δεδομένων πριν από τη θέση του σε λειτουργία. Αν ο οργανισμός σας είναι πάροχος ή φορέας εφαρμογής εξαρτάται από τον τρόπο που το σύστημα τίθεται σε λειτουργία. Το ερώτημα αυτό ανήκει στη νομική εκτίμηση, που παραμένει στους νομικούς σας συμβούλους, και εμείς παρέχουμε τα τεχνικά στοιχεία που χρειάζεται.

Οι ομάδες προμηθειών, ασφάλειας και νομικών υπηρεσιών χρειάζονται τεκμήρια πριν από την υπογραφή μιας σύμβασης. Ζητήστε μας το πιστοποιητικό ISO/IEC 27001 και το πεδίο εφαρμογής του, απαντήσεις στο ερωτηματολόγιο ασφάλειας προμηθευτών σας και τους όρους επεξεργασίας δεδομένων που θα ισχύουν για το έργο σας.

Στείλτε το αίτημά σας από τη σελίδα επικοινωνίας και αναφέρετε το πλαίσιο με το οποίο αξιολογείτε τους προμηθευτές, όπως τον ν. 5160/2024 με το πλαίσιο της ΚΥΑ 1689/2025, τον DORA ή τις απαιτήσεις ενός διαγωνισμού. Οι κατάλληλοι άνθρωποι θα επικοινωνήσουν μαζί σας.