GDPR & NIS2: Πώς συνυπάρχουν στην πράξη

Για ελληνικούς οργανισμούς υπόχρεους τόσο του GDPR όσο και της NIS2, η εμπειρία ενός cyber incident είναι τριπλάσια πρόκληση: τεχνική αντιμετώπιση, GDPR data breach notification σε 72 ώρες, NIS2 early warning σε 24 ώρες. Τα δύο frameworks έχουν διαφορετικά criteria, διαφορετικές αρχές, διαφορετικά templates. Ο οδηγός αυτός δείχνει πώς χτίζετε ενιαία incident response διαδικασία που δεν αφήνει κανένα από τα δύο εκτός παιχνιδιού.

Τα δύο Frameworks: τι ρυθμίζει το καθένα

Η διάκριση είναι θεμελιώδης:

• GDPR (Καν. ΕΕ 2016/679): Ρυθμίζει την προστασία προσωπικών δεδομένων. Εφαρμόζεται σε κάθε οργανισμό που επεξεργάζεται personal data πολιτών της ΕΕ. Αρμόδια αρχή στην Ελλάδα: Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ).
• NIS2 (Οδηγία ΕΕ 2022/2555 / Ν.5160/2024): Ρυθμίζει την κυβερνοασφάλεια κρίσιμων τομέων. Εφαρμόζεται σε essential και important entities 18 τομέων. Αρμόδια αρχή στην Ελλάδα: Εθνική Αρχή Κυβερνοασφάλειας (ΕΑΚ).

Το κρίσιμο σημείο: τα δύο δεν είναι εναλλακτικά. Εμπλέκονται παράλληλα και απαιτούν ταυτόχρονη συμμόρφωση. Δεν υπάρχει "ένα από τα δύο" — αν ο οργανισμός σας εμπίπτει και στα δύο, οφείλει και τα δύο.

Πεδία Εφαρμογής — σχεδόν πάντα επικαλύπτονται

Στην πράξη, κάθε NIS2-υπόχρεη οντότητα είναι και GDPR controller ή processor. Ο λόγος: οι κρίσιμοι τομείς της NIS2 (ενέργεια, μεταφορές, τράπεζες, υγεία, ψηφιακές υπηρεσίες, δημόσια διοίκηση κλπ) επεξεργάζονται μαζικά προσωπικά δεδομένα.

Το αντίστροφο δεν ισχύει: πολλοί GDPR-υπόχρεοι δεν είναι NIS2-υπόχρεοι. Ένα μικρό ηλεκτρονικό κατάστημα με ετήσιο τζίρο €1M και 5 εργαζόμενους είναι GDPR controller αλλά πιθανώς εκτός NIS2 scope.

Data Breach vs Cybersecurity Incident — το παράλληλο διάγραμμα

Εδώ ξεκινά η σύγχυση. Ένα συμβάν μπορεί να είναι:

• GDPR personal data breach: "παραβίαση της ασφάλειας που οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, μη εγκεκριμένη αποκάλυψη ή πρόσβαση σε δεδομένα προσωπικού χαρακτήρα" (Άρθρο 4(12) GDPR).
• NIS2 significant incident: "γεγονός που θέτει σε κίνδυνο τη διαθεσιμότητα, αυθεντικότητα, ακεραιότητα ή εμπιστευτικότητα δεδομένων ή υπηρεσιών" με συγκεκριμένα κριτήρια σοβαρότητας (Άρθρο 23 Οδηγίας, Άρθρο 17 Ν.5160/2024).

Τα 4 πιθανά σενάρια:

• Μόνο GDPR breach: Περιορισμένη κλοπή personal data χωρίς σοβαρή επίπτωση στην υπηρεσία. Π.χ., email misdirection, phishing που λύγισε ένα account.
• Μόνο NIS2 incident: Σοβαρό DDoS που επηρεάζει διαθεσιμότητα υπηρεσίας χωρίς data breach. Π.χ., outage energy grid χωρίς απώλεια data.
• Και τα δύο: Ransomware attack — επηρεάζει διαθεσιμότητα (NIS2) ΚΑΙ ενδεχόμενη παραβίαση personal data (GDPR). Το πιο συνηθισμένο σενάριο σοβαρού incident.
• Κανένα από τα δύο: Αποτυχημένη phishing προσπάθεια που έκλεψε από κανέναν.

Η κρίσιμη διαφορά: 72h vs 24h

Οι προθεσμίες αναφοράς είναι το πιο τραυματικό σημείο:

• GDPR (Άρθρο 33): Notification στην ΑΠΔΠΧ εντός 72 ωρών από awareness του breach, εκτός αν δεν πιθανολογείται κίνδυνος για δικαιώματα και ελευθερίες. Communication στα υποκείμενα (Άρθρο 34) αν υπάρχει υψηλός κίνδυνος.
• NIS2 (Άρθρο 23): 24 ώρες early warning στην ΕΑΚ, 72 ώρες full notification, 1 μήνας final report.

Στο σύνηθες ransomware σενάριο, ο οργανισμός πρέπει:

1. Μέσα σε 24 ώρες → early warning στην ΕΑΚ (NIS2).
2. Μέσα σε 72 ώρες → (α) full notification στην ΕΑΚ (NIS2) ΚΑΙ (β) notification στην ΑΠΔΠΧ (GDPR) αν πιθανολογείται data breach.
3. Μέσα σε 1 μήνα → final report στην ΕΑΚ (NIS2).

Χωρίς προκαθορισμένες διαδικασίες, το χρονοδιάγραμμα αυτό παραβιάζεται πάντα. Το πρώτο 24-ωρο γίνεται crisis management, όχι compliance.

DPO vs ICSSO — ταυτόσημοι ή συμπληρωματικοί;

Συχνή ερώτηση: "έχουμε DPO — αυτός είναι και ο ICSSO μας;" Η απάντηση: μπορεί αλλά συνήθως όχι.

• DPO (Data Protection Officer): Ρόλος GDPR-specific (Άρθρα 37-39). Εστιάζει στην προστασία προσωπικών δεδομένων, compliance με GDPR, cooperation με την εποπτική αρχή. Αναφέρεται απευθείας στην ανώτερη διοίκηση. Απαιτεί expertise σε data protection law.
• ICSSO (Information and Communication Systems Security Officer): Ρόλος NIS2-specific (Ν.5160/2024). Εστιάζει στην κυβερνοασφάλεια συστημάτων, incident response, coordination με ΕΑΚ. Απαιτεί technical cybersecurity expertise.

Οι δεξιότητες επικαλύπτονται μερικώς, αλλά οι εστιάσεις είναι διαφορετικές. Σε μικρούς οργανισμούς (π.χ., 30-50 άτομα), το ίδιο πρόσωπο μπορεί να φορά και τα δύο "καπέλα" — εφόσον έχει και τα δύο skills. Σε μεσαίους-μεγαλύτερους οργανισμούς, προτείνεται διαχωρισμός.

Χτίζοντας Ενιαία Incident Response

Το μυστικό της επιτυχίας: μία διαδικασία, διπλή εκροή. Σχεδιάστε incident response με τα εξής στοιχεία:

1. Unified Detection & Triage: Ενιαία οδός αναφοράς όλων των incidents. SOC/IT team κάνει initial triage χωρίς να διαχωρίζει GDPR από NIS2.
2. Dual Classification: Σε κάθε incident, δύο ερωτήματα: (α) Είναι GDPR data breach; (β) Είναι NIS2 significant incident; Decision trees για κάθε.
3. Parallel Escalation: Αν θετικό GDPR → DPO activation. Αν θετικό NIS2 → ICSSO activation. Αν και τα δύο → joint response.
4. Aligned Documentation: Κοινό incident log με φίλτρα για GDPR-specific και NIS2-specific πληροφορίες. Evidence που χρησιμεύει και στα δύο notifications.
5. Coordinated Communication: Ταυτόχρονες αναφορές (εντός 72 ωρών) σε ΑΠΔΠΧ και ΕΑΚ για κοινά incidents. Ενημέρωση και συντονισμός με legal/PR.

Πρόστιμα — ποιο είναι μεγαλύτερο;

• GDPR: Έως €20 εκατ. ή 4% παγκόσμιου ετήσιου κύκλου εργασιών (όποιο μεγαλύτερο).
• NIS2 — Essential entities: Έως €10 εκατ. ή 2% παγκόσμιου κύκλου εργασιών.
• NIS2 — Important entities: Έως €7 εκατ. ή 1,4% παγκόσμιου κύκλου εργασιών.

Τα δύο πρόστιμα είναι σωρευτικά — παραβίαση που προκαλεί και τα δύο περιστατικά μπορεί να τιμωρηθεί από ΑΠΔΠΧ και ΕΑΚ ανεξάρτητα. Δεν υπάρχει ne bis in idem protection μεταξύ διαφορετικών regulatory regimes.

Συχνές Ερωτήσεις