Η ψηφιοποίηση των επιχειρηματικών λειτουργιών δημιουργεί νέες δυνατότητες για τις επιχειρήσεις, αλλά και νέες απαιτήσεις ως προς την ασφάλεια των πληροφοριών και την προστασία των δεδομένων.
Στο ευρωπαϊκό κανονιστικό περιβάλλον, τέσσερα σημαντικά πλαίσια διαμορφώνουν διαφορετικές πτυχές αυτών των απαιτήσεων: η Οδηγία NIS2 για την κυβερνοασφάλεια, ο Γενικός Κανονισμός για την Προστασία Δεδομένων (GDPR), ο Κανονισμός DORA για την ψηφιακή επιχειρησιακή ανθεκτικότητα του χρηματοοικονομικού τομέα και ο Κανονισμός για την Τεχνητή Νοημοσύνη (AI Act).
Παρότι τα τέσσερα πλαίσια έχουν διαφορετικό αντικείμενο και πεδίο εφαρμογής, παρουσιάζουν σημεία σύνδεσης, ιδιαίτερα στη διαχείριση κινδύνων, στην ασφάλεια των πληροφοριακών συστημάτων, στη διακυβέρνηση και στην αντιμετώπιση περιστατικών.
Έτσι, λοιπόν, οι επιχειρήσεις πρέπει να κατανοήσουν τις διαφορές και τις αλληλεπιδράσεις τους ώστε να είναι σίγουρες για τις υποχρεώσεις τους.
NIS2, GDPR, DORA και AI Act: Ποιο είναι το αντικείμενο κάθε πλαισίου;
NIS2: Κυβερνοασφάλεια και διαχείριση κινδύνων
Η Οδηγία (ΕΕ) 2022/2555, γνωστή ως NIS2, αποσκοπεί στην ενίσχυση του επιπέδου κυβερνοασφάλειας στην Ευρωπαϊκή Ένωση. Θεσπίζει απαιτήσεις για τη διαχείριση κινδύνων και την ασφάλεια δικτύων και συστημάτων πληροφοριών για οργανισμούς που εμπίπτουν στο πεδίο εφαρμογής της.
Οι απαιτήσεις της καλύπτουν, μεταξύ άλλων την:
- Αξιολόγηση και διαχείριση κινδύνων κυβερνοασφάλειας.
- Αντιμετώπιση περιστατικών και την επιχειρησιακή συνέχεια.
- Ασφάλεια της εφοδιαστικής αλυσίδας και των σχέσεων με προμηθευτές.
- Διαχείριση ευπαθειών και την ασφάλεια των συστημάτων.
- Εκπαίδευση και την ευθύνη της διοίκησης.
- Αναφορά σημαντικών περιστατικών στις αρμόδιες αρχές.
Η NIS2 δεν αφορά αυτομάτως κάθε επιχείρηση. Η υπαγωγή εξαρτάται από παράγοντες όπως ο τομέας δραστηριότητας, το μέγεθος και οι ειδικές διατάξεις που προβλέπονται για συγκεκριμένες κατηγορίες οργανισμών. Στην Ελλάδα, η ενσωμάτωσή της έγινε με τον Ν. 5160/2024.
GDPR: Προστασία προσωπικών δεδομένων
Ο Κανονισμός (ΕΕ) 2016/679 (GDPR) θέτει το πλαίσιο προστασίας των προσωπικών δεδομένων, καθορίζοντας τις υποχρεώσεις των οργανισμών που ενεργούν ως υπεύθυνοι επεξεργασίας ή εκτελούν την επεξεργασία για λογαριασμό άλλων.
Για την ασφάλεια των πληροφοριών, ο GDPR απαιτεί κατάλληλα τεχνικά και οργανωτικά μέτρα ανάλογα με τον κίνδυνο. Παράλληλα, προβλέπει υποχρεώσεις σχετικά με τη διαχείριση παραβιάσεων προσωπικών δεδομένων, τη λογοδοσία και την προστασία των δικαιωμάτων των φυσικών προσώπων.
Ειδικότερα, όταν μια παραβίαση προσωπικών δεδομένων είναι πιθανό να προκαλέσει κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων, ο υπεύθυνος επεξεργασίας οφείλει, κατά κανόνα, να τη γνωστοποιήσει στην αρμόδια εποπτική αρχή χωρίς αδικαιολόγητη καθυστέρηση και, όπου είναι εφικτό, εντός 72 ωρών από τη στιγμή που έλαβε γνώση της. Σε περιπτώσεις υψηλού κινδύνου μπορεί να απαιτείται και ενημέρωση των επηρεαζόμενων προσώπων, εφόσον δεν συντρέχει προβλεπόμενη εξαίρεση.
Ο GDPR ενσωματώθηκε στην ελληνική νομοθεσία με τον Ν. 4624/2019.
DORA: Ψηφιακή επιχειρησιακή ανθεκτικότητα στον χρηματοοικονομικό τομέα
Ο Κανονισμός (ΕΕ) 2022/2554, γνωστός ως DORA (Digital Operational Resilience Act), θεσπίζει ενιαίες απαιτήσεις για τη διαχείριση κινδύνων τεχνολογιών πληροφορικής και επικοινωνιών (ΤΠΕ) στον χρηματοοικονομικό τομέα. Έχει μπει σε εφαρμογή από τις 17 Ιανουαρίου 2025.
Στόχος του είναι οι χρηματοοικονομικές οντότητες να μπορούν να αντέχουν, να αντιμετωπίζουν και να ανακάμπτουν από περιστατικά που επηρεάζουν τα πληροφοριακά τους συστήματα και τις ψηφιακές υπηρεσίες τους.
Το πλαίσιο περιλαμβάνει απαιτήσεις σχετικά με την:
- Διαχείριση κινδύνων ΤΠΕ.
- Αναφορά σημαντικών περιστατικών που σχετίζονται με τις ΤΠΕ.
- Δοκιμή και τον έλεγχο της ψηφιακής επιχειρησιακής ανθεκτικότητας.
- Διαχείριση κινδύνων από τρίτους παρόχους υπηρεσιών ΤΠΕ.
- Αντιμετώπιση και την αποκατάσταση μετά από περιστατικά.
Ο DORA αφορά τις χρηματοοικονομικές οντότητες που προσδιορίζονται στον Κανονισμό. Επιπλέον όμως, προβλέπει και συγκεκριμένες απαιτήσεις για ορισμένους τρίτους παρόχους υπηρεσιών ΤΠΕ. Σημαντικό είναι επίσης πως δεν εφαρμόζεται με τον ίδιο τρόπο σε κάθε επιχείρηση που συνεργάζεται με χρηματοοικονομικό οργανισμό. Η ενσωμάτωσή του στην ελληνική νομοθεσία έγινε με τον Ν. 5193/2025.
AI Act: Διακυβέρνηση και διαχείριση κινδύνων τεχνητής νοημοσύνης
Ο Κανονισμός (ΕΕ) 2024/1689, γνωστός ως AI Act, θεσπίζει κανόνες για την ανάπτυξη, διάθεση και χρήση συστημάτων ΤΝ στην ΕΕ.
Η προσέγγισή του βασίζεται στον κίνδυνο που συνδέεται με το εκάστοτε σύστημα και τη χρήση του. Οι απαιτήσεις διαφοροποιούνται ανάλογα με την κατηγορία του συστήματος και τον ρόλο του οργανισμού.
Ανάλογα με την περίπτωση, οι υποχρεώσεις μπορεί να αφορούν την:
- Διαχείριση κινδύνων και τη διακυβέρνηση των συστημάτων AI.
- Ποιότητα και τη διαχείριση των δεδομένων.
- Τεχνική τεκμηρίωση και την καταγραφή λειτουργιών.
- Ανθρώπινη εποπτεία και την παρακολούθηση της λειτουργίας.
- Διαφάνεια απέναντι στους χρήστες.
- Παρακολούθηση και την αναφορά συγκεκριμένων περιστατικών.
Ο AI Act δεν επιβάλλει τις ίδιες υποχρεώσεις σε κάθε χρήση τεχνητής νοημοσύνης. Για τον λόγο αυτό, η επιχείρηση χρειάζεται να εξετάζει ποια συστήματα χρησιμοποιεί, για ποιον σκοπό και ποιος είναι ο ρόλος της στην αλυσίδα ανάπτυξης και διάθεσής τους.
Επιπλέον, η εφαρμογή του Κανονισμού είναι σταδιακή. Στις 2 Αυγούστου 2026 άρχισαν να εφαρμόζονται σημαντικές πρόσθετες διατάξεις, μεταξύ των οποίων οι απαιτήσεις διαφάνειας του άρθρου 50, ενώ μετά τις αλλαγές του AI Omnibus οι βασικές απαιτήσεις για συστήματα υψηλού κινδύνου του Παραρτήματος III προβλέπεται να εφαρμοστούν από τις 2 Δεκεμβρίου 2027 και για συστήματα ενσωματωμένα σε ορισμένα ρυθμιζόμενα προϊόντα από τις 2 Αυγούστου 2028.
O Ν. 5321/2026 ενσωματώνει τον AI Act στο ελληνικό κανονιστικό πλαίσιο.
Πού συναντώνται τα NIS2, GDPR, DORA και AI Act;
Παρότι η NIS2, ο GDPR, ο DORA και ο AI Act καλύπτουν διαφορετικές πτυχές της ψηφιακής λειτουργίας, υπάρχουν κοινά σημεία που μπορούν να αξιοποιηθούν για μια πιο οργανωμένη προσέγγιση συμμόρφωσης.
#1 Διαχείριση κινδύνων
Και τα τέσσερα πλαίσια συνδέονται, με διαφορετικό τρόπο, με τον εντοπισμό και την αντιμετώπιση κινδύνων. Η NIS2 εστιάζει στους κινδύνους κυβερνοασφάλειας, ο GDPR στους κινδύνους για τα προσωπικά δεδομένα και τα δικαιώματα των φυσικών προσώπων, ο DORA στους κινδύνους ΤΠΕ και στην ψηφιακή ανθεκτικότητα, ενώ ο AI Act λαμβάνει υπόψη τους κινδύνους που συνδέονται με τα συστήματα τεχνητής νοημοσύνης.
#2 Ασφάλεια πληροφοριών και δεδομένων
Η προστασία πληροφοριών και δεδομένων αποτελεί σημαντικό στοιχείο της κυβερνοασφάλειας, της προστασίας προσωπικών δεδομένων και της ανθεκτικότητας των ψηφιακών υπηρεσιών. Η έκταση και το είδος των απαιτούμενων μέτρων διαφέρουν ανάλογα με το εφαρμοστέο πλαίσιο, τον οργανισμό και τον κίνδυνο.
#3 Διαχείριση περιστατικών
Η αναγνώριση, η καταγραφή, η αξιολόγηση και η αντιμετώπιση περιστατικών είναι σημαντικές για όλα τα παραπάνω πλαίσια. Ωστόσο, οι προϋποθέσεις αναφοράς, οι αποδέκτες και οι προθεσμίες δεν είναι ίδιες. Ένα περιστατικό μπορεί να ενεργοποιήσει περισσότερες από μία υποχρεώσεις, ανάλογα με τις επιπτώσεις του.
#4 Διακυβέρνηση και τεκμηρίωση
Η αποτελεσματική εφαρμογή των απαιτήσεων κανονιστικής συμμόρφωσης προϋποθέτει σαφώς καθορισμένες αρμοδιότητες, κατάλληλες πολιτικές και τεκμηριωμένες διαδικασίες. Είτε πρόκειται για τη διαχείριση κινδύνων κυβερνοασφάλειας, την προστασία προσωπικών δεδομένων, την ψηφιακή επιχειρησιακή ανθεκτικότητα είτε τη χρήση συστημάτων τεχνητής νοημοσύνης, η επιχείρηση χρειάζεται να γνωρίζει ποιος είναι υπεύθυνος για κάθε ενέργεια και πώς παρακολουθείται η εφαρμογή των σχετικών μέτρων.
Συγκριτικός πίνακας: NIS2, GDPR, DORA και AI Act
| Κανονιστικό πλαίσιο | Τι αφορά | Ποιους αφορά κυρίως | Βασικές απαιτήσεις |
| NIS2 | Κυβερνοασφάλεια και προστασία δικτύων και πληροφοριακών συστημάτων. | Μεσαίες και μεγάλες οντότητες σε συγκεκριμένους τομείς, όπως ενέργεια, μεταφορές, υγεία, τρόφιμα, μεταποίηση, ψηφιακές υποδομές, ταχυδρομικές υπηρεσίες και δημόσια διοίκηση. Μπορεί να καλύπτει και μικρότερες οντότητες σε ειδικές περιπτώσεις. | Διαχείριση κινδύνων κυβερνοασφάλειας, μέτρα προστασίας, αναφορά σημαντικών περιστατικών και εποπτεία. |
| GDPR | Προστασία προσωπικών δεδομένων και δικαιωμάτων των φυσικών προσώπων. | Τράπεζες, ασφαλιστικές εταιρείες, επενδυτικές επιχειρήσεις, ιδρύματα πληρωμών, ιδρύματα ηλεκτρονικού χρήματος, εταιρείες διαχείρισης κεφαλαίων και άλλες κατηγορίες χρηματοοικονομικών οντοτήτων που προβλέπει ο Κανονισμός. Οι απαιτήσεις για τρίτους παρόχους υπηρεσιών ΤΠΕ διαφοροποιούνται ανάλογα με τον ρόλο και τις σχετικές διατάξεις. | Νόμιμη και ασφαλής επεξεργασία δεδομένων, τεχνικά και οργανωτικά μέτρα προστασίας, διαχείριση παραβιάσεων και άσκηση δικαιωμάτων των υποκειμένων. |
| DORA | Ψηφιακή επιχειρησιακή ανθεκτικότητα στον χρηματοοικονομικό τομέα. | Επιχειρήσεις και οργανισμούς κάθε μεγέθους που επεξεργάζονται προσωπικά δεδομένα, όπως στοιχεία εργαζομένων, πελατών, προμηθευτών ή χρηστών ιστοσελίδων. Ισχύει επίσης υπό συγκεκριμένες προϋποθέσεις για οργανισμούς εκτός ΕΕ που προσφέρουν υπηρεσίες σε άτομα στην ΕΕ ή παρακολουθούν τη συμπεριφορά τους. | Διαχείριση κινδύνων ΤΠΕ, αναφορά περιστατικών, δοκιμές ψηφιακής ανθεκτικότητας και διαχείριση κινδύνων από τρίτους παρόχους. |
| AI Act | Ασφαλής και υπεύθυνη ανάπτυξη και χρήση συστημάτων τεχνητής νοημοσύνης. | Επιχειρήσεις και οργανισμούς που αναπτύσσουν, διαθέτουν, εισάγουν, διανέμουν ή χρησιμοποιούν συστήματα ΤΝ. Οι υποχρεώσεις εξαρτώνται από τον ρόλο τους, το είδος του συστήματος και τη χρήση του. | Υποχρεώσεις ανάλογα με τον κίνδυνο και τον ρόλο, όπως διαχείριση κινδύνων, διαφάνεια, ανθρώπινη εποπτεία και τεκμηρίωση όπου απαιτείται. |
Τι συμβαίνει όταν ένα περιστατικό επηρεάζει περισσότερα από ένα πλαίσια;
Ας εξετάσουμε το παράδειγμα μιας χρηματοοικονομικής επιχείρησης που δέχεται κυβερνοεπίθεση. Οι δράστες αποκτούν πρόσβαση σε πληροφοριακά συστήματα, διακόπτουν προσωρινά μια ψηφιακή υπηρεσία και ενδέχεται να αποκτήσουν πρόσβαση σε προσωπικά δεδομένα. Παράλληλα, η επιχείρηση χρησιμοποιεί σύστημα τεχνητής νοημοσύνης για την υποστήριξη ορισμένων λειτουργιών της.
Σε αυτή την περίπτωση, χρειάζεται να εξεταστούν διακριτά αρκετά ζητήματα:
- NIS2: Εφόσον η επιχείρηση και το περιστατικό εμπίπτουν στο σχετικό πεδίο εφαρμογής, εξετάζονται οι υποχρεώσεις κυβερνοασφάλειας και αναφοράς που προβλέπονται από το εφαρμοστέο πλαίσιο.
- GDPR: Εάν έχει παραβιαστεί η ασφάλεια προσωπικών δεδομένων, αξιολογείται αν απαιτείται γνωστοποίηση στην εποπτική αρχή και, ενδεχομένως, ενημέρωση των επηρεαζόμενων προσώπων.
- DORA: Εάν πρόκειται για χρηματοοικονομική οντότητα που υπάγεται στον Κανονισμό, εξετάζονται οι απαιτήσεις διαχείρισης και αναφοράς περιστατικών ΤΠΕ, καθώς και οι διαδικασίες αποκατάστασης.
- AI Act: Εξετάζεται αν το περιστατικό συνδέεται με σύστημα AI και αν ενεργοποιούνται συγκεκριμένες υποχρεώσεις βάσει του ρόλου του οργανισμού και της κατηγορίας του συστήματος.
Το κρίσιμο σημείο είναι ότι ένα περιστατικό δεν συνεπάγεται αυτομάτως ότι παραβιάστηκαν και τα τέσσερα πλαίσια. Απαιτείται αξιολόγηση των πραγματικών περιστατικών και των ειδικών προϋποθέσεων κάθε κανονισμού.
Πώς μπορεί μια επιχείρηση να οργανώσει μια ολοκληρωμένη προσέγγιση συμμόρφωσης;
Η διαχείριση των παραπάνω απαιτήσεων δεν χρειάζεται να αντιμετωπίζεται ως τέσσερα εντελώς ανεξάρτητα έργα. Μια οργανωμένη προσέγγιση μπορεί να βοηθήσει την επιχείρηση να εντοπίσει κοινές ανάγκες, να περιορίσει τις επικαλύψεις και να διασφαλίσει ότι οι ειδικές απαιτήσεις κάθε πλαισίου εξετάζονται ξεχωριστά.
Στην πράξη, η προετοιμασία μπορεί να περιλαμβάνει:
- Χαρτογράφηση των εφαρμοστέων απαιτήσεων. Προσδιορισμός των κανονιστικών πλαισίων που αφορούν την επιχείρηση, με βάση τον κλάδο, το μέγεθος, τις δραστηριότητες και τον ρόλο της.
- Απογραφή συστημάτων, δεδομένων και δραστηριοτήτων. Καταγραφή των πληροφοριακών συστημάτων, των δεδομένων και των προσωπικών δεδομένων που διαχειρίζεται η επιχείρηση, των υπηρεσιών που προσφέρει, καθώς και των συστημάτων ΤΝ που αναπτύσσει ή χρησιμοποιεί.
- Αξιολόγηση κινδύνων και υφιστάμενων διαδικασιών. Εντοπισμός κενών σε θέματα ασφάλειας πληροφοριών, προστασίας δεδομένων, διαχείρισης ΤΠΕ και χρήσης τεχνητής νοημοσύνης.
- Συντονισμός πολιτικών και διαδικασιών. Εξέταση του τρόπου με τον οποίο συνδέονται οι διαδικασίες διαχείρισης κινδύνων, αντιμετώπισης περιστατικών, επιχειρησιακής συνέχειας και διακυβέρνησης AI.
- Καθορισμός αρμοδιοτήτων. Ανάθεση σαφών ρόλων για την παρακολούθηση των υποχρεώσεων, την αξιολόγηση περιστατικών και την επικοινωνία με τις αρμόδιες αρχές.
- Εκπαίδευση και τακτική επανεξέταση. Ενημέρωση των εργαζομένων και αξιολόγηση της αποτελεσματικότητας των μέτρων, με βάση τις μεταβολές στους κινδύνους, στις δραστηριότητες και στο κανονιστικό περιβάλλον.
Η ύπαρξη κοινών διαδικασιών μπορεί να διευκολύνει την εφαρμογή των απαιτήσεων, αλλά δεν υποκαθιστά την αξιολόγηση των ειδικών υποχρεώσεων που απορρέουν από κάθε κανονισμό.
Συμπέρασμα
Η NIS2, ο GDPR, ο DORA και ο AI Act διαμορφώνουν ένα σύνθετο πλαίσιο απαιτήσεων για τις επιχειρήσεις. Κάθε πλαίσιο, έχει διαφορετικό σκοπό, πεδίο εφαρμογής, κριτήρια υπαγωγής και η βασικότερη πρόκληση είναι ο προσδιορισμός των παραπάνω υποχρεώσεων ανά περίπτωση.
Η ΝΕΣΤΩΡ ΣΥΜΒΟΥΛΕΥΤΙΚΗ Α.Ε. υποστηρίζει τις επιχειρήσεις στην αξιολόγηση των αναγκών τους και στην οργάνωση συστημάτων διαχείρισης και διαδικασιών που ανταποκρίνονται στις απαιτήσεις της δραστηριότητάς τους. Επικοινωνήστε μαζί μας για να εξετάσουμε τις ανάγκες της δικής σας επιχείρησης.
Συμπληρώστε την παρακάτω φόρμα επικοινωνίας.
