Αναφορά περιστατικού στην ΕΑΚ: 24 ώρες, 72 ώρες, 1 μήνας

Σύντομη απάντηση: αν η οργάνωσή σου υπάγεται στον ν. 5160/2024 και συμβεί σημαντικό περιστατικό, πρέπει να ενημερώσεις την Εθνική Αρχή Κυβερνοασφάλειας (ΕΑΚ) σε στάδια: έγκαιρη προειδοποίηση χωρίς αδικαιολόγητη καθυστέρηση και εντός 24 ωρών, κοινοποίηση του περιστατικού εντός 72 ωρών, και τελική έκθεση το αργότερο εντός ενός μήνα από την κοινοποίηση ή το «κλείσιμο» του περιστατικού. Οι προθεσμίες μετρούν από τη στιγμή που αντιλαμβάνεσαι το σημαντικό περιστατικό.

Τι είναι «σημαντικό περιστατικό»

Περιστατικό είναι κάθε συμβάν που θέτει σε κίνδυνο τη διαθεσιμότητα, την ακεραιότητα ή την εμπιστευτικότητα δεδομένων ή υπηρεσιών που προσφέρονται ή είναι προσβάσιμες μέσω συστημάτων δικτύου και πληροφοριακών συστημάτων. Θεωρείται σημαντικό όταν έχει προκαλέσει ή μπορεί να προκαλέσει σοβαρή λειτουργική διατάραξη των υπηρεσιών ή οικονομική ζημία στην οντότητα, ή όταν έχει επηρεάσει ή μπορεί να επηρεάσει άλλα φυσικά ή νομικά πρόσωπα προκαλώντας σημαντική υλική ή μη υλική ζημία. Η υποχρεωτική αναφορά αφορά τα σημαντικά περιστατικά, όχι κάθε συμβάν.

Τα στάδια της αναφοράς

Τα τέσσερα στάδια και οι προθεσμίες τους
Στάδιο	Προθεσμία	Τι περιέχει
Έγκαιρη προειδοποίηση	Χωρίς αδικαιολόγητη καθυστέρηση και εντός 24 ωρών	Αναφέρει αν υπάρχει υποψία ότι το περιστατικό προκλήθηκε από παράνομες ή κακόβουλες ενέργειες ή θα μπορούσε να έχει διασυνοριακό αντίκτυπο
Κοινοποίηση περιστατικού	Χωρίς αδικαιολόγητη καθυστέρηση και εντός 72 ωρών	Επικαιροποιεί τις πληροφορίες και περιλαμβάνει αρχική αξιολόγηση: σοβαρότητα, επιπτώσεις και, αν υπάρχουν, ενδείξεις της παραβίασης
Ενδιάμεση έκθεση	Κατόπιν αιτήματος της ΕΑΚ	Επικαιροποιήσεις της κατάστασης
Τελική έκθεση	Το αργότερο εντός ενός μήνα από την κοινοποίηση ή το «κλείσιμο» του περιστατικού	Ολοκληρώνει την αναφορά του περιστατικού

Πηγή: οδηγός της ΕΑΚ «Η οδηγία NIS2 στην Ελλάδα».

Πού και πώς γίνεται η αναφορά

Η ΕΑΚ έχει σελίδα «Αναφορά Συμβάντων» με την τρέχουσα διαδικασία. Στη σελίδα επικοινωνίας της αναφέρει ότι για την αναφορά περιστατικών ασφαλείας αποστέλλεται η αντίστοιχη φόρμα στο email incident@cyber.gov.gr. Η διαδικασία μπορεί να αλλάξει, οπότε χρησιμοποίησε πάντα την ενημερωμένη σελίδα της ΕΑΚ.

Ποιος κάνει την αναφορά

Την κοινοποίηση κάνει η ίδια η οντότητα. Σύμφωνα με τον οδηγό της ΕΑΚ, ο Υπεύθυνος Ασφάλειας Συστημάτων Πληροφορικής και Επικοινωνιών (Υ.Α.Σ.Π.Ε.) αποτελεί το σημείο επαφής και συνεργάζεται με την ΕΑΚ και το αρμόδιο CSIRT. Η ανώτατη διοίκηση διατηρεί την ευθύνη για την επιλογή και εφαρμογή των μέτρων, για την ενημέρωση σε σχέση με πιθανά περιστατικά και για την πληροφόρηση που απαιτείται προς την ΕΑΚ.

Τι να έχεις έτοιμο πριν συμβεί (δική μας πρακτική σύσταση)

Όρισε εκ των προτέρων ποιος αποφασίζει αν ένα περιστατικό είναι σημαντικό, και ποιος τον αντικαθιστά. Οι 24 ώρες δεν περιμένουν.
Σημείωσε την ακριβή ώρα που αντιλήφθηκες το περιστατικό. Από εκεί μετρούν οι προθεσμίες.
Κράτα έτοιμη λίστα επαφών: Υ.Α.Σ.Π.Ε., διοίκηση, πάροχος IT ή ασφάλειας, νομικός σύμβουλος, ασφαλιστής.
Ετοίμασε πρότυπο για την πρώτη προειδοποίηση, ώστε να γράφεις γρήγορα τι ξέρεις και τι όχι ακόμα, και αν υπάρχει υποψία κακόβουλης ενέργειας ή διασυνοριακού αντίκτυπου.
Κράτα logs και στοιχεία, ώστε να υπάρχουν για την κοινοποίηση και την τελική έκθεση.
Δοκίμασε τη διαδικασία σε άσκηση, τουλάχιστον μία φορά τον χρόνο.

Και ο GDPR;

Αν παραβιάστηκαν και προσωπικά δεδομένα, υπάρχει ξεχωριστή υποχρέωση προς την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (GDPR, άρθρο 33), συνήθως χωρίς αδικαιολόγητη καθυστέρηση και, αν είναι εφικτό, εντός 72 ωρών. Οι δύο αναφορές είναι ανεξάρτητες μεταξύ τους.

Έλεγχος NIS2

Δέχομαι επίθεση

Συχνές ερωτήσεις

Πότε ξεκινά η προθεσμία των 24 ωρών;

Από τη στιγμή που η οντότητα αντιλαμβάνεται το σημαντικό περιστατικό, σύμφωνα με τον οδηγό της ΕΑΚ.

Αναφέρω κάθε περιστατικό ασφαλείας;

Η υποχρεωτική αναφορά προς την ΕΑΚ αφορά τα σημαντικά περιστατικά, δηλαδή όσα έχουν προκαλέσει ή μπορεί να προκαλέσουν σοβαρή λειτουργική διατάραξη ή οικονομική ζημία στην οντότητα, ή σημαντική ζημία σε άλλους. Η κρίση πρέπει να γίνεται εγκαίρως.

Ισχύει η αναφορά για μικρές επιχειρήσεις;

Ισχύει για τις οντότητες που υπάγονται στον ν. 5160/2024. Οι περισσότερες μικρές και πολύ μικρές επιχειρήσεις δεν υπάγονται, εκτός από ορισμένες περιπτώσεις ανεξαρτήτως μεγέθους. Δες το εργαλείο ελέγχου υπαγωγής.