Κυβερνοεπίθεση: ποιος αποφασίζει, ποιος γνωστοποιεί και ποιος κρατά τα αποδεικτικά

Η τεχνική απόκριση είναι μόνο ένα μέρος της κρίσης

Ένα σοβαρό cyber incident μπορεί να δημιουργεί ταυτόχρονα NIS2, GDPR, contractual, insurance, employment, litigation και communication issues. Η εταιρεία χρειάζεται decision map που να ενεργοποιεί τα σωστά workstreams χωρίς να περιμένει ad hoc συνεννόηση.

Thresholds και authority

Πρέπει να είναι σαφές ποιος έχει την εξουσία να χαρακτηρίσει severity, να διακόψει λειτουργία, να εγκρίνει communication, να ενεργοποιήσει external forensic support και να ζητήσει νομική αξιολόγηση γνωστοποίησης. Τα thresholds πρέπει να συνδέονται με current applicable law.

Privilege και evidence

Logs, forensic findings, emails, decisions και chronology ενδέχεται να χρειαστούν σε regulator, insurer ή dispute. Η συλλογή και διατήρησή τους πρέπει να γίνεται με ασφαλή process και, όπου είναι νομικά διαθέσιμο, με κατάλληλη προστασία privilege/confidentiality. Δεν πρέπει ευαίσθητο incident material να κυκλοφορεί μέσω public lead forms ή ανεξέλεγκτων collaboration tools.

Third-party incident coordination

Provider contact points, contractual deadlines, access to information και root-cause cooperation πρέπει να έχουν ελεγχθεί πριν το incident. Η εξάρτηση από provider δεν πρέπει να οδηγεί σε απώλεια της regulatory timeline.

Remediation και Board closure

Post-incident findings μετατρέπονται σε actions με owner, deadline, evidence και reassessment. Material open issues και accepted residual risk πρέπει να εμφανίζονται στη διοίκηση. Το incident κλείνει επιχειρησιακά όταν έχει αποκατασταθεί η λειτουργία, αλλά το governance closure μπορεί να απαιτεί περισσότερο χρόνο.

Πώς μετατρέπεται η ανάλυση σε πραγματικό έργο

Σε ένα πραγματικό mandate για το cyber incident governance, η εργασία δεν μπορεί να παραμένει σε γενική γνωμοδοτική διατύπωση. Πρέπει να δημιουργηθεί controlled workplan που να συνδέει το legal conclusion με decision rights, notification assessment, confidentiality/privilege, communications και evidence preservation. Για κάθε material θέμα ορίζονται factual owner και legal owner, απαιτούμενα documents, decision point, dependency και completion criterion. Έτσι η ομάδα γνωρίζει ποιο ζήτημα είναι πραγματικό blocker, ποιο μπορεί να αντιμετωπιστεί παράλληλα και ποιο απαιτεί input από specialist ή local counsel. Η ίδια δομή επιτρέπει να ελεγχθεί το scope όταν ο πελάτης αλλάζει business assumption στη διάρκεια του project, χωρίς να συγχέεται μία νέα απαίτηση με το αρχικά συμφωνημένο deliverable.

Συνήθη σημεία αποτυχίας που πρέπει να εντοπίζονται νωρίς

Τα πιο δαπανηρά προβλήματα δεν είναι πάντοτε σύνθετα νομικά ζητήματα. Συχνά είναι technical teams που λειτουργούν απομονωμένα, regulatory analysis που αρχίζει αργά και uncontrolled sharing sensitive incident material. Αυτές οι ασυνέπειες πρέπει να εντοπίζονται πριν μετατραπούν σε submission, regulator statement, Board representation ή contractual commitment. Το V11+ delivery model χρησιμοποιεί issue log με severity, legal implication, business impact, owner και required decision. Όταν ένα gap δεν μπορεί να κλείσει εγκαίρως, η σωστή λύση είναι να καταγραφεί ρητά και να ληφθεί informed decision — όχι να καλυφθεί με wording που δημιουργεί μεγαλύτερο κίνδυνο αργότερα.

Evidence, quality control και δυνατότητα μεταγενέστερου ελέγχου

Η ποιότητα του project κρίνεται από το αν ένας τρίτος reviewer μπορεί να ακολουθήσει τη διαδρομή από την υποχρέωση στην απόφαση και στην εφαρμογή. Για αυτό το matter file πρέπει να περιλαμβάνει, ανάλογα με το αντικείμενο, chronology, legal issue log, preserved logs, decisions, notifications, provider records, remediation and lessons-learned closure. Το evidence δεν αποθηκεύεται ως άναρχο folder· συνδέεται με συγκεκριμένο requirement ή action και έχει owner, date, version και review status. Πριν από filing, closure ή management assurance γίνεται δεύτερος consistency check, ώστε claims, contracts, governance records και operational evidence να μην αλληλοαναιρούνται.

Διασυνοριακή και επαγγελματική διάσταση

Σε cross-border matters, η γλώσσα του client deliverable δεν καθορίζει το εφαρμοστέο δίκαιο. cross-border incidents χρειάζονται jurisdiction-by-jurisdiction notification map και coordinated communications χωρίς πρόωρα νομικά συμπεράσματα. Για τον λόγο αυτό, κάθε country expansion περνά χωριστό jurisdiction, practice-rights και professional-conduct gate. Η OIKONOMAKIS LAW μπορεί να λειτουργεί ως coordinating counsel, αλλά local-law conclusions και local representation ανατίθενται σε κατάλληλα qualified professionals όπου αυτό απαιτείται. Το ίδιο control εφαρμόζεται στο marketing: μία υπηρεσία που μπορεί να παρασχεθεί σε συγκεκριμένη χώρα δεν σημαίνει αυτομάτως ότι μπορεί να διαφημιστεί με οποιοδήποτε paid targeting ή solicitation format.

Εμβάθυνση και εφαρμογή

Decision rights πριν από το περιστατικό

Το cyber incident plan πρέπει να απαντά ποιος έχει δικαίωμα να διακόψει service, να ενεργοποιήσει crisis team, να ενημερώσει πελάτες, να καλέσει insurer/forensics, να εγκρίνει notification και να αποδεχθεί προσωρινό residual risk. Αν τα δικαιώματα αυτά δεν έχουν συμφωνηθεί, το incident response επιβραδύνεται ακριβώς όταν ο χρόνος είναι κρίσιμος.

Ο legal lead χρειάζεται άμεση πρόσβαση σε verified facts χωρίς να παρεμβαίνει στην τεχνική containment. Η νομική αξιολόγηση πρέπει να στηρίζεται σε κοινή incident chronology και όχι σε διαφορετικές εκδοχές από IT, vendor και business teams.

Multiple notification regimes

Ένα περιστατικό μπορεί να αγγίζει NIS2, GDPR, DORA, sector-specific law, contractual notice obligations και insurance conditions. Η ύπαρξη ενός regime δεν σημαίνει αυτόματα ότι ενεργοποιούνται όλα. Χρειάζεται notification matrix με thresholds, authority, timing, responsible lawyer και factual inputs. Η λογική αυτή είναι ιδιαίτερα σημαντική σε group structures με πολλές χώρες.

Η εξωτερική επικοινωνία πρέπει να είναι ευθυγραμμισμένη με τις regulator filings και την πραγματική τεχνική εικόνα. Αν marketing, customer support και legal χρησιμοποιούν διαφορετική περιγραφή του περιστατικού, δημιουργείται πρόσθετος κίνδυνος.

Preservation και μεταγενέστερη απόδειξη

Logs, forensic images, communications, decisions, provider notices και recovery records πρέπει να διατηρούνται με controlled τρόπο. Η ομάδα πρέπει να γνωρίζει ποια στοιχεία ενδέχεται να απαιτηθούν από regulator, insurer ή δικαστήριο και να εφαρμόζει κατάλληλο legal hold όπου χρειάζεται. Μετά το incident, το evidence τροφοδοτεί τόσο root-cause analysis όσο και remediation assurance.

Πηγές

Οδηγία (ΕΕ) 2022/2555 (NIS2): https://eur-lex.europa.eu/eli/dir/2022/2555/oj/ell

Ν. 5160/2024 (ΦΕΚ Α’ 195/27.11.2024), ενσωμάτωση της Οδηγίας (ΕΕ) 2022/2555.

ΚΥΑ 1689/2025 (ΦΕΚ Β’ 2186/06.05.2025), Εθνικό Πλαίσιο Απαιτήσεων Κυβερνοασφάλειας για Ουσιώδεις και Σημαντικές Οντότητες.

Εθνική Αρχή Κυβερνοασφάλειας: https://cyber.gov.gr/nomothesia/elliniki-nomothesia-gia-tin-kyvernoasfaleia/

Κανονισμός (ΕΕ) 2022/2554 (DORA) και Κανονισμός (ΕΕ) 2016/679 (ΓΚΠΔ), ως προς τις παράλληλες υποχρεώσεις γνωστοποίησης.