Τι σημαίνουν για μια ΜμΕ ο ν. 5160/2024 (NIS2) και η Εθνική Στρατηγική 2026–2030, και επτά πρακτικά βήματα (MFA, αντίγραφα, ενημερώσεις, phishing) πριν σας το ζητήσει ο πελάτης σας.
Πολλές μικρές και μεσαίες επιχειρήσεις στην Ελλάδα αντιμετωπίζουν την κυβερνοασφάλεια ως θέμα «των μεγάλων»: τραπεζών, νοσοκομείων, παρόχων ενέργειας. Στην πράξη, όμως, το phishing, το ransomware και η διαρροή κωδικών χτυπούν συχνά ακριβώς όσους δεν έχουν ομάδα IT. Και ακόμη κι αν δεν υπάγεστε υποχρεωτικά στον νόμο για την NIS2, μπορεί να σας το ζητήσει αύριο ο μεγαλύτερος πελάτης σας ως όρο συνεργασίας.
Αυτό το άρθρο δεν είναι νομική γνωμοδότηση. Στόχος του είναι να σας δώσει ένα καθαρό πλαίσιο και μια λίστα ενεργειών που μπορείτε να ξεκινήσετε αυτή την εβδομάδα, με επίσημες πηγές όπου χρειάζεται.
Τι ισχύει σήμερα στην Ελλάδα
Η Οδηγία (ΕΕ) 2022/2555 (NIS2) ενσωματώθηκε στην ελληνική έννομη τάξη με τον ν. 5160/2024 (ΦΕΚ Α΄ 195/27.11.2024). Ο νόμος ορίζει «βασικές» και «σημαντικές» οντότητες σε συγκεκριμένους τομείς (ενέργεια, μεταφορές, υγεία, ψηφιακές υποδομές, τρόφιμα, κατασκευές κ.ά.) και θέτει υποχρεώσεις διαχείρισης κινδύνου, αναφοράς περιστατικών και, όπου προβλέπεται, εγγραφής στο μητρώο της Εθνικής Αρχής Κυβερνοασφάλειας (ΕΑΚ).
Παράλληλα, από τον Δεκέμβριο του 2025 ισχύει ως πολιτικό πλαίσιο η Εθνική Στρατηγική Κυβερνοασφάλειας 2026–2030, εγκεκριμένη με απόφαση του Υπουργού Ψηφιακής Διακυβέρνησης (αρ. πρωτ. 2563/16.12.2025). Η Στρατηγική δεν είναι νόμος· δείχνει όμως τις προτεραιότητες της πολιτείας: εκπαίδευση και υποστήριξη μικρομεσαίων, ασφάλεια της εφοδιαστικής αλυσίδας, καλύτερη αναφορά περιστατικών και συντονισμένη γνωστοποίηση ευπαθειών. Το πλήρες κείμενο είναι διαθέσιμο ως PDF στην ιστοσελίδα της ΕΑΚ.
Είστε υπόχρεοι ή όχι; Ξεκινήστε από το επίσημο τεστ
Πριν πληρώσετε συμβούλους ή εργαλεία «για τη NIS2», κάντε το απλό πρώτο βήμα: συμπληρώστε το τεστ υπαγωγής στο πεδίο εφαρμογής του ν. 5160/2024 στην ιστοσελίδα της ΕΑΚ. Ζητά μέγεθος (προσωπικό, κύκλος εργασιών, ισολογισμός), δικαιοδοσία και τομέα δραστηριότητας.
- Αν υπάγεστε, η εγγραφή στο Μητρώο Βασικών και Σημαντικών Οντοτήτων είναι νομική υποχρέωση και ακολουθούν μέτρα διαχείρισης κινδύνου και διαδικασίες αναφοράς. Για απορίες σχετικά με το πεδίο εφαρμογής, η ΕΑΚ δημοσιεύει στοιχεία επικοινωνίας στη σελίδα του εργαλείου καθοδήγησης.
- Αν δεν υπάγεστε, δεν τελειώνει η συζήτηση. Η ΕΑΚ και η ίδια η Στρατηγική τονίζουν την εφοδιαστική αλυσίδα: μεγάλες υπόχρεες οντότητες ζητούν ολοένα συχνότερα από προμηθευτές και συνεργάτες να αποδείξουν βασικά μέτρα ασφάλειας (πολυπαραγοντική αυθεντικοποίηση, αντίγραφα, ενημερώσεις, εκπαίδευση). Δηλαδή η πίεση μπορεί να έρθει συμβατικά, ακόμη κι αν ο νόμος δεν σας αγγίζει άμεσα.
Επτά πρακτικά βήματα που αξίζουν για κάθε ΜμΕ
Ο οδηγός του ENISA για ΜμΕ (και η ελληνική περίληψη των 12 βημάτων) και ο πρακτικός οδηγός του ΣΕΒ για τη συμμόρφωση με τον ν. 5160/2024 και την NIS2 συγκλίνουν σε μερικά μέτρα υψηλής απόδοσης. Παρακάτω τα μεταφράζουμε σε ενέργειες μιας μικρής ομάδας.
1. Πολυπαραγοντική αυθεντικοποίηση (MFA) παντού μετράει
Email εταιρείας, cloud αποθήκευση, ERP, τραπεζικό e-banking, πίνακες φιλοξενίας και VPN: όπου υπάρχει σύνδεση με κωδικό, ενεργοποιήστε δεύτερο παράγοντα (εφαρμογή αυθεντικοποίησης ή hardware key). Η ΕΑΚ προβάλλει το MFA ως βασικό αντίμετρο· στην πράξη κόβει την πλειονότητα των εισβολών που ξεκινούν από κλεμμένο κωδικό.
2. Αντίγραφα ασφαλείας που έχετε δοκιμάσει να επαναφέρετε
Ένα backup που δεν έχετε δοκιμάσει είναι υπόθεση, όχι σχέδιο. Κρατήστε τουλάχιστον ένα αντίγραφο εκτός του ίδιου δικτύου (offline ή σε ξεχωριστό λογαριασμό cloud με περιορισμένα δικαιώματα), ορίστε πόσο πίσω θέλετε να μπορείτε να γυρίσετε (π.χ. 14 ημερήσια + εβδομαδιαία) και κάντε μία δοκιμαστική επαναφορά ανά τρίμηνο. Για βάσεις δεδομένων και αρχεία τιμολογίων, η κρυπτογράφηση των dumps πριν φύγουν από τον διακομιστή είναι καλή πρακτική.
3. Ενημερώσεις και κλείσιμο όσων δεν χρειάζεστε
Λειτουργικά συστήματα, routers, CMS του site, πρόσθετα e-shop, εκδόσεις PHP/Node και απομακρυσμένη επιφάνεια εργασίας: απενεργοποιήστε υπηρεσίες που δεν χρησιμοποιείτε και εφαρμόστε ενημερώσεις ασφαλείας με προτεραιότητα στα συστήματα που βλέπουν το διαδίκτυο. Η «ασφάλεια από τον σχεδιασμό» που αναφέρει ο οδηγός του ΣΕΒ ξεκινά από εδώ: λιγότερα ανοιχτά παράθυρα, λιγότερα σημεία επίθεσης.
4. Έλεγχος προσβάσεων με ρόλους, όχι με «όλοι admin»
Κάθε εργαζόμενος και κάθε εξωτερικός συνεργάτης παίρνει μόνο όσα χρειάζεται για τη δουλειά του. Όταν κάποιος αποχωρεί, κλείνουν αυθημερόν email, VPN, πίνακες και κοινόχρηστοι φάκελοι. Κοινοί κωδικοί σε ομαδικά chat ή sticky notes είναι πρόσκληση για περιστατικό.
5. Σύντομη εκπαίδευση κατά του phishing
Το phishing παραμένει ο κυριότερος τρόπος εισόδου σε ευρωπαϊκές οργανώσεις, σύμφωνα με τα δεδομένα του ENISA που επικαλείται η εθνική στρατηγική. Μια ετήσια παρουσίαση δεν αρκεί· αρκεί όμως μια σελίδα εσωτερικών κανόνων: μην ανοίγετε συνημμένα από άγνωστους αποστολείς, επαληθεύστε τηλέφωνο για αιτήματα πληρωμής, μην επικολλάτε κωδικούς σε σελίδες που ανοίγουν από link σε email. Η ΕΑΚ δημοσιεύει επίσης συστάσεις για επιχειρήσεις και κανάλια αναφοράς περιστατικών.
6. Καταγραφή του τι έχετε και ποιος το συντηρεί
Λίστα διακομιστών, laptops, εκτυπωτών με δίκτυο, λογαριασμών cloud, domains και πιστοποιητικών SSL. Δίπλα σε κάθε γραμμή: υπεύθυνος και ημερομηνία τελευταίας ενημέρωσης. Χωρίς αυτή την απογραφή, κάθε περιστατικό ξεκινά με χάος.
7. Μικρό σχέδιο «τι κάνουμε αν συμβεί κάτι»
Ποιος αποσυνδέει συστήματα, ποιος μιλά με πελάτες, ποιος καλεί τον πάροχο ή την ΕΑΚ αν απαιτείται αναφορά, πού είναι τα αντίγραφα και τα κλειδιά κρυπτογράφησης. Δεν χρειάζεται εκατό σελίδες· χρειάζεται ένα έγγραφο που η ομάδα έχει διαβάσει μία φορά.
Τι να ζητήσετε από τον τεχνικό σας συνεργάτη
Αν αναθέτετε site, εφαρμογή, cloud ή διασύνδεση με myDATA/POS σε εξωτερική ομάδα, βάλτε στην προσφορά ρητά:
- MFA και διαχωρισμός ρόλων στα περιβάλλοντα διαχείρισης.
- Πολιτική αντιγράφων και δοκιμαστική επαναφορά.
- Καταγραφή αλλαγών και πρόσβασης σε production.
- Ρητή δήλωση ότι τα δεδομένα πελατών δεν χρησιμοποιούνται για εκπαίδευση μοντέλων AI χωρίς συμφωνία (όπου υπάρχει AI).
- Διαδικασία ενημέρωσης όταν αποχωρεί μέλος της δικής τους ομάδας που είχε πρόσβαση στα συστήματά σας.
Αυτά τα σημεία κοστίζουν λίγο να οριστούν στην αρχή και πολύ να διορθωθούν μετά από περιστατικό.
Πώς μπορεί να βοηθήσει η StreamCode
Στη StreamCode σχεδιάζουμε και λειτουργούμε εφαρμογές, αυτοματισμούς και υποδομές για ελληνικές επιχειρήσεις: web και mobile, παραγγελιοληψία/POS, διασυνδέσεις myDATA, cloud και πρακτικά μέτρα ασφάλειας (πρόσβαση, αντίγραφα, παρακολούθηση). Δεν πουλάμε «πιστοποίηση NIS2 σε μία εβδομάδα»· βοηθάμε να στηθούν σωστά τα βασικά και να μείνουν δοκιμασμένα.
Αν θέλετε έναν έλεγχο της τρέχουσας κατάστασης (MFA, backups, ενημερώσεις, προσβάσεις) ή να σχεδιάσουμε αντίγραφα και hardening για τα συστήματά σας, επικοινωνήστε μαζί μας για μια πρώτη συζήτηση.
Ειδήσεις ανά κατηγορία: Tech, Fintech, Crypto & Ψηφιακό Ευρώ, Νομοθεσία, Ευπάθειες & Ασφάλεια.