EnglishΜία και μόνη εισβολή μπορεί να ενεργοποιεί τρία ευρωπαϊκά καθεστώτα με διαφορετικές γενεσιουργές αιτίες, διαφορετικές προθεσμίες και διαφορετικούς αποδέκτες. Τα δυσκολότερα ερωτήματα δεν είναι τεχνικά, και τα περισσότερα πρέπει να απαντηθούν εντός της πρώτης ημέρας.
Η συνήθης αφήγηση για ένα περιστατικό κυβερνοασφάλειας αντιμετωπίζει τη νομική εργασία ως κάτι που έπεται της τεχνικής απόκρισης. Η σειρά είναι κατά κανόνα η αντίστροφη. Εντός ωρών από τον εντοπισμό, ο οργανισμός οφείλει να αποφασίσει αν το γεγονός είναι καν γνωστοποιητέο, βάσει ποιου κειμένου, προς ποια αρχή και από ποιο χρονικό σημείο τρέχει η προθεσμία. Πρόκειται για νομικά ερωτήματα, οι απαντήσεις διαφέρουν μεταξύ των κειμένων που ενδέχεται να εφαρμόζονται ταυτόχρονα, και ο οργανισμός που φθάνει σε αυτά καθυστερημένα έχει ήδη απολέσει το μόνο τμήμα του χρονοδιαγράμματος που ελέγχει.
Ποιο καθεστώς εφαρμόζεται και τα όρια της εξαίρεσης
Αφετηρία αποτελεί η Οδηγία (ΕΕ) 2022/2555, η οποία εφαρμόζεται σε ουσιώδεις και σημαντικές οντότητες των τομέων των παραρτημάτων της. Για τις χρηματοπιστωτικές οντότητες, ωστόσο, ο Κανονισμός (ΕΕ) 2022/2554 λειτουργεί ως το τομεακό κείμενο. Η ίδια η Οδηγία το προβλέπει: όπου τομεακή πράξη της Ένωσης επιβάλλει υποχρεώσεις διαχείρισης κινδύνων ή γνωστοποίησης περιστατικών τουλάχιστον ισοδύναμου αποτελέσματος, εφαρμόζονται οι διατάξεις εκείνες, η δε Οδηγία καταγράφει ότι ο Κανονισμός αντιμετωπίζεται κατ’ αυτόν τον τρόπο ως προς τις χρηματοπιστωτικές οντότητες.
Η εξαίρεση περιγράφεται συχνά σαν η χρηματοπιστωτική οντότητα να βρίσκεται απλώς εκτός της Οδηγίας. Αυτό είναι υπερβολικά ευρύ. Η υποχώρηση λειτουργεί κατά αντικείμενο: καταλαμβάνει τα ζητήματα που ρυθμίζει η τομεακή πράξη, ενώ η Οδηγία μπορεί να παραμένει κρίσιμη όπου καλύπτει πεδίο που ο Κανονισμός δεν καλύπτει, καθώς και όπου το εθνικό δίκαιο ενσωμάτωσης προσθέτει δικές του υποχρεώσεις. Για όμιλο που περιλαμβάνει τόσο εποπτευόμενες χρηματοπιστωτικές οντότητες όσο και μη εποπτευόμενες εταιρείες υπηρεσιών, η πρακτική συνέπεια είναι ότι διαφορετικά μέλη του ίδιου ομίλου μπορεί να υπάγονται σε διαφορετικά καθεστώτα για το ίδιο περιστατικό, με διαφορετικές υποχρεώσεις αναφοράς, μολονότι μοιράζονται το ίδιο δίκτυο και την ίδια ομάδα απόκρισης.
Τρεις γενεσιουργές αιτίες που δεν συμπίπτουν
Η δεύτερη δυσκολία είναι ότι τα κείμενα ενεργοποιούνται από διαφορετικά νομικά γεγονότα. Η Οδηγία αφορά το σημαντικό περιστατικό, ήτοι εκείνο που έχει προκαλέσει ή δύναται να προκαλέσει σοβαρή λειτουργική διαταραχή των υπηρεσιών ή οικονομική ζημία στην οντότητα, ή που έχει επηρεάσει ή δύναται να επηρεάσει τρίτους προκαλώντας σημαντική υλική ή μη υλική ζημία. Ο Κανονισμός αφορά το μείζον περιστατικό που συνδέεται με τεχνολογίες πληροφοριών και επικοινωνιών, αξιολογούμενο βάσει δικών του κριτηρίων κατάταξης. Ο Κανονισμός (ΕΕ) 2016/679 αφορά την παραβίαση δεδομένων προσωπικού χαρακτήρα, έννοια εκ νέου διαφορετική, η οποία μπορεί να συντρέχει χωρίς να πληρούται κανένα από τα άλλα δύο όρια.
Δεν πρόκειται για τρεις περιγραφές του ίδιου πράγματος. Περιστατικό ransomware που παραλύει την παραγωγή χωρίς να θίγει δεδομένα προσωπικού χαρακτήρα μπορεί να είναι σημαντικό χωρίς να αποτελεί παραβίαση. Η εξαγωγή πελατολογίου από εξωτερικό συνεργάτη μπορεί να αποτελεί παραβίαση χωρίς να διαταράσσει καμία υπηρεσία. Ένα και μόνο γεγονός μπορεί να συνιστά οποιονδήποτε συνδυασμό των τριών, η δε αξιολόγηση πρέπει να γίνει χωριστά ως προς καθένα, από τα ίδια περιστατικά, σε χρόνο κατά τον οποίο τα περιστατικά είναι ελλιπή.
Τα χρονόμετρα δεν ξεκινούν την ίδια στιγμή
Εδώ αποτυγχάνουν τα περισσότερα σχέδια απόκρισης, διότι προϋποθέτουν μία προθεσμία.
Κατά την Οδηγία, η οντότητα οφείλει να υποβάλει έγκαιρη προειδοποίηση χωρίς αδικαιολόγητη καθυστέρηση και εν πάση περιπτώσει εντός είκοσι τεσσάρων ωρών αφότου λάβει γνώση σημαντικού περιστατικού, γνωστοποίηση περιστατικού εντός εβδομήντα δύο ωρών από τη γνώση, και τελική έκθεση το αργότερο έναν μήνα μετά τη γνωστοποίηση. Η προθεσμία τρέχει επομένως από τη γνώση.
Κατά τον Κανονισμό η αρχιτεκτονική διαφέρει. Η αρχική γνωστοποίηση οφείλεται εντός τεσσάρων ωρών από τον χαρακτηρισμό του περιστατικού ως μείζονος, με ανώτατο όριο που τρέχει από τον εντοπισμό, ακολουθούμενη από ενδιάμεση και εν συνεχεία τελική έκθεση. Η γενεσιουργός αιτία είναι ο χαρακτηρισμός και όχι η γνώση, πράγμα που έχει σημαντική συνέπεια: ο χαρακτηρισμός αποτελεί ο ίδιος νομική πράξη με χρονικά αποτελέσματα, και επειδή το ανώτατο όριο τρέχει από τον εντοπισμό, ο οργανισμός δεν μπορεί να παρατείνει τον χρόνο του αποφεύγοντας τον χαρακτηρισμό.
Κατά τον Κανονισμό (ΕΕ) 2016/679 ο υπεύθυνος επεξεργασίας οφείλει να γνωστοποιήσει στην εποπτική αρχή χωρίς αδικαιολόγητη καθυστέρηση και, όπου είναι εφικτό, το αργότερο εντός εβδομήντα δύο ωρών αφότου λάβει γνώση της παραβίασης, και να ανακοινώσει στα υποκείμενα των δεδομένων όπου ο κίνδυνος για τα δικαιώματα και τις ελευθερίες τους είναι υψηλός. Η προθεσμία αυτή τρέχει ανεξάρτητα από τις άλλες δύο και οφείλεται προς διαφορετική αρχή.
Ο χαρακτηρισμός είναι νομική και όχι τεχνική απόφαση
Συνάγεται ότι η πλέον κρίσιμη απόφαση των πρώτων ωρών είναι ποιος χαρακτηρίζει και με ποια βάση. Όπου ο χαρακτηρισμός ανατίθεται αποκλειστικά στην τεχνική ομάδα, επαναλαμβάνονται δύο αστοχίες. Η πρώτη είναι ότι τα εφαρμοζόμενα κριτήρια είναι λειτουργικά και όχι νομικά, ώστε το γεγονός βαθμολογείται ως προς την επίδρασή του στα συστήματα και όχι ως προς την επίδρασή του στις υπηρεσίες, στα πρόσωπα και στα δεδομένα που απασχολούν τα κείμενα. Η δεύτερη είναι ότι η απόφαση δεν καταγράφεται κατά τρόπο που να αποδεικνύει πότε ελήφθη και επί ποιων πληροφοριών, στοιχείο κρίσιμο διότι η δικαιολόγηση μιας καθυστερημένης γνωστοποίησης κρίνεται συνήθως στην απόδειξη του χρόνου κατά τον οποίο η οντότητα έλαβε γνώση ή όφειλε να έχει προβεί σε χαρακτηρισμό.
Το απόρρητο επί της έκθεσης εγκληματολογικής έρευνας
Λίγα ζητήματα αντιμετωπίζονται τόσο πλημμελώς όσο το καθεστώς της εγκληματολογικής έρευνας. Ο οργανισμός που δέχεται επίθεση αναθέτει σε εξωτερικό φορέα, η έκθεση παραδίδεται μετά από εβδομάδες, και περιέχει τη σαφέστερη διαθέσιμη διατύπωση του τι αστόχησε και του τι ο οργανισμός είχε παραλείψει. Το έγγραφο αυτό θα αναζητηθεί από εποπτικές αρχές, από ασφαλιστές και, εν ευθέτω χρόνω, από ενάγοντες.
Το αν καλύπτεται από το δικηγορικό απόρρητο δεν είναι ζήτημα τιτλοφόρησης. Εξαρτάται, σε γενικές γραμμές, από το ποιος ανέθεσε το έργο, για ποιον κύριο σκοπό, προς ποιον απευθύνεται η έκθεση και πώς κυκλοφόρησε στη συνέχεια. Έκθεση που ανατέθηκε από την επιχείρηση για λειτουργική αποκατάσταση, απευθύνεται στη διοίκηση και διανέμεται ευρέως, δύσκολα προστατεύεται σε οποιοδήποτε σύστημα για τον λόγο και μόνο ότι κοινοποιήθηκε σε δικηγόρο. Η θέση διαφέρει επίσης ανά διαδικασία. Στο πλαίσιο των ερευνών της Ευρωπαϊκής Επιτροπής, το Δικαστήριο έχει κρίνει ότι το απόρρητο δεν εκτείνεται στην επικοινωνία με έμμισθους νομικούς συμβούλους, περιορισμός που αιφνιδιάζει ομίλους οι οποίοι στηρίζονται σε εσωτερική νομική υπηρεσία, ενώ οι εθνικοί κανόνες περί απορρήτου διαφέρουν σημαντικά ως προς την έκταση και τις διαδικασίες στις οποίες εφαρμόζονται.
Η συνέπεια για τον σχεδιασμό είναι συγκεκριμένη. Αν ο οργανισμός επιδιώκει οποιαδήποτε προοπτική προστασίας, η εντολή πρέπει να προέρχεται από δικηγόρο, για κύριο σκοπό την παροχή συμβουλής ή την προετοιμασία επικείμενης δίκης, με ορισμένο αποδέκτη και ελεγχόμενο κατάλογο διανομής, η δε δομή αυτή πρέπει να υφίσταται πριν ανατεθεί το έργο. Δεν εφαρμόζεται αναδρομικά σε έκθεση που ήδη υπάρχει.
Διατήρηση αποδεικτικών και η ένταση με την προστασία δεδομένων
Αρχεία καταγραφής, εγκληματολογικά αντίγραφα, επικοινωνίες και αρχεία αποφάσεων ενδέχεται να απαιτηθούν αργότερα από εποπτική αρχή, ασφαλιστή ή δικαστήριο, η δε υποχρέωση διατήρησής τους συνυπάρχει δυσχερώς με τις αρχές του περιορισμού της περιόδου αποθήκευσης και της ελαχιστοποίησης. Η ένταση είναι διαχειρίσιμη αλλά πρέπει να αντιμετωπισθεί σκοπίμως: η εντολή διατήρησης πρέπει να προσδιορίζει τις κατηγορίες που τηρούνται, τον σκοπό και τη νομική βάση της διατήρησης, τους περιορισμούς πρόσβασης και το χρονικό σημείο επανεξέτασης. Η επ’ αόριστον διατήρηση των πάντων δεν αποτελεί ουδέτερη επιλογή, η δε διαγραφή κατά τον συνήθη κύκλο κατά τη διάρκεια ενεργού περιστατικού είναι χειρότερη.
Το ελληνικό επίπεδο
Στην Ελλάδα η Οδηγία ενσωματώθηκε με τον ν. 5160/2024, το δε Εθνικό Πλαίσιο Απαιτήσεων Κυβερνοασφάλειας για Ουσιώδεις και Σημαντικές Οντότητες θεσπίσθηκε με την ΚΥΑ 1689/2025, η οποία περιλαμβάνει είκοσι δύο απαιτήσεις που καλύπτουν, μεταξύ άλλων, την ανάλυση κινδύνων, τον χειρισμό περιστατικών, την επιχειρησιακή συνέχεια και την ασφάλεια της αλυσίδας εφοδιασμού. Οι υπαγόμενες οντότητες εγγράφονται στην Εθνική Αρχή Κυβερνοασφάλειας, η οποία λειτουργεί και ως εθνική ομάδα απόκρισης σε περιστατικά. Οι κυρώσεις περιλαμβάνουν διοικητικά πρόστιμα και, στις σοβαρότερες περιπτώσεις, αναστολή πιστοποιήσεων και προσωρινή απαγόρευση άσκησης διοικητικών καθηκόντων από φυσικά πρόσωπα. Το τελευταίο αυτό μέτρο είναι εκείνο που συγκεντρώνει την προσοχή σε επίπεδο διοικητικού συμβουλίου, και αποτελεί λόγο ώστε η έγκριση των μέτρων διαχείρισης κινδύνων να τεκμηριώνεται ως απόφαση του οργάνου διοίκησης και όχι ως ζήτημα πληροφορικής.
Τι πρέπει πράγματι να περιέχει η μήτρα
Η μήτρα γνωστοποιήσεων αξίζει να καταρτισθεί πριν από το περιστατικό, και αποτελεί νομικό έγγραφο και όχι κατάλογο ελέγχου. Για κάθε καθεστώς που ενδέχεται να εφαρμοσθεί στην οντότητα, πρέπει να καταγράφει τη νομική γενεσιουργό αιτία με τη διατύπωση του ίδιου του κειμένου, το γεγονός από το οποίο τρέχει ο χρόνος, κάθε προθεσμία, την αρχή ή το πρόσωπο προς το οποίο οφείλεται η αναφορά, το ονομαστικά οριζόμενο πρόσωπο που προβαίνει στην αξιολόγηση και εκείνο που εγκρίνει την υποβολή, το απαιτούμενο περιεχόμενο κάθε σταδίου, καθώς και τη θέση ως προς τις συμβατικές και ασφαλιστικές υποχρεώσεις ειδοποίησης, οι οποίες συχνά τρέχουν σε συντομότερες προθεσμίες από τις κανονιστικές και συνήθως παραβλέπονται.
Δύο βελτιώσεις κάνουν τη διαφορά μεταξύ εγγράφου που χρησιμοποιείται και εγγράφου που αρχειοθετείται. Η πρώτη είναι η χαρτογράφηση του ομίλου, διότι το καθεστώς εξαρτάται από την οντότητα και όχι από το δίκτυο. Η δεύτερη είναι η καταγραφή, για κάθε καθεστώς, του τρόπου με τον οποίο ο οργανισμός θα αποδείξει τη στιγμή της γνώσης ή του χαρακτηρισμού, καθώς αυτό είναι το περιστατικό επί του οποίου θα κριθεί εκ των υστέρων η νομιμότητα του χρόνου.
Η OIKONOMAKIS LAW παρέχει συμβουλές σε επιχειρήσεις επί των υποχρεώσεων κυβερνοασφάλειας και επιχειρησιακής ανθεκτικότητας, επί της διακυβέρνησης περιστατικών και της ανάλυσης γνωστοποιήσεων, καθώς και επί της συμβατικής θέσης έναντι των παρόχων τεχνολογίας, και συντονίζει τοπικούς συμβούλους όταν το περιστατικό είναι διασυνοριακό. Επικοινωνία: leads@oikonomakislaw.com, +30 210 3600036.
OIKONOMAKIS LAW / Χρήστος Οικονομάκης, δικηγόρος Αθηνών
Η παρούσα δημοσίευση παρέχει γενική νομική και κανονιστική πληροφόρηση και δεν συνιστά νομική συμβουλή επί συγκεκριμένης υποθέσεως. Η θέση πρέπει να επαληθεύεται σε σχέση με τα συγκεκριμένα πραγματικά περιστατικά και την οικεία δικαιοδοσία.