CER: Πέρα από τη συμμόρφωση

 Όσοι διαβάζουν τούτη τη στήλη, ίσως έχουν καταλάβει πως μου αρέσει να χρησιμοποιώ συχνά παραδείγματα.

Ειδικά για την CER (Critical Entities Resilience, η ευρωπαϊκή Οδηγία 2022/2557), δεν θα μπορούσα να κάνω και αλλιώς: έχουν γραφεί πολλά τεχνοκρατικά κείμενα και θα ήθελα τούτο το άρθρο να κινηθεί λίγο πιο κοντά στην πράξη.

Ας υποθέσουμε λοιπόν, πως μια σημαντική εγκατάσταση διαθέτει ικανοποιητικά συστήματα ασφαλείας, επιτήρηση, διαδικασίες αντιμετώπισης περιστατικών και κατάλληλα εκπαιδευμένο προσωπικό, κλπ. Θα μπορούσαμε να ισχυριστούμε ότι είναι ασφαλής; Σε κάποιον βαθμό, ναι.

Τι θα συνέβαινε όμως εάν μια φυσική καταστροφή ή η αδυναμία ενός κρίσιμου προμηθευτή καθιστούσε αδύνατη τη λειτουργία της; Πόσο γρήγορα θα μπορούσε να επανέλθει και ποιες θα ήταν οι συνέπειες για όσους εξαρτώνται από τις υπηρεσίες της;

Αυτή είναι, κατά τη γνώμη μου, η ουσιαστική αλλαγή που επιχειρεί να φέρει η CER. Αφενός να μετατοπίσει το ενδιαφέρον από την προστασία μιας υποδομής, στην ικανότητα του οργανισμού να συνεχίζει να παρέχει τις βασικές υπηρεσίες aτου, ακόμη και υπό ιδιαίτερα δυσμενείς συνθήκες, και αφετέρου να ενισχύσει τη συλλογική ανθεκτικότητα σε περιφερειακό, εθνικό και ευρωπαϊκό επίπεδο. Να περιορίσει, δηλαδή, την πιθανότητα μια σοβαρή διαταραχή στη λειτουργία μιας κρίσιμης οντότητας να προκαλέσει αλυσιδωτές επιπτώσεις σε άλλους οργανισμούς, τομείς της οικονομίας ή ακόμη και σε άλλα κράτη.

Το νέο θεσμικό πλαίσιο

Η CER ενσωματώθηκε στην ελληνική νομοθεσία με τον Ν. 5236/2025, δημιουργώντας ένα νέο πλαίσιο απαιτήσεων για οργανισμούς που παρέχουν υπηρεσίες ζωτικής σημασίας. Λειτουργεί συμπληρωματικά προς άλλα κανονιστικά πλαίσια, όπως η NIS2, αναδεικνύοντας την ανάγκη συντονισμού μεταξύ της φυσικής ασφάλειας, της κυβερνοασφάλειας και της επιχειρησιακής συνέχειας. Το πεδίο εφαρμογής του ελληνικού πλαισίου καλύπτει δώδεκα τομείς, ενώ για ορισμένους τομείς, όπως ο τραπεζικός και οι ψηφιακές υποδομές, προβλέπονται ειδικές εξαιρέσεις από επιμέρους υποχρεώσεις.

Ο προσδιορισμός των κρίσιμων οντοτήτων αποτελεί ευθύνη της Πολιτείας και κεντρικό ρόλο έχει η νεοπαγής Γενική Γραμματεία Προστασίας Κρίσιμων Οντοτήτων (ΓΓΠΚΟ) του Υπουργείου Προστασίας του Πολίτη, ως αρμόδια αρχή για την εφαρμογή του πλαισίου, την υποστήριξη των οντοτήτων, την εποπτεία και τον έλεγχο της συμμόρφωσής τους και τέλος, τον συντονισμό με άλλες αρμόδιες αρχές.

Σύμφωνα με πρόσφατες δηλώσεις του Γενικού Γραμματέα, η πρώτη λίστα κρίσιμων οντοτήτων αναμένεται έως το τέλος Οκτωβρίου 2026. Η επίσημη ειδοποίησή τους θα ενεργοποιήσει ένα ιδιαίτερα απαιτητικό χρονοδιάγραμμα.

Από τη νομοθεσία στην πράξη

Τι πρέπει, λοιπόν, να κάνει ένας οργανισμός που χαρακτηρίζεται κρίσιμη οντότητα;

Το πρώτο βήμα είναι η  οργανωτική προετοιμασία, με τον ορισμό εκπροσώπου ή εξουσιοδοτημένου στελέχους για τον συντονισμό της συμμόρφωσης και την επικοινωνία με τη ΓΓΠΚΟ.

Ακολουθεί η χαρτογράφηση των υπηρεσιών που οφείλει να προστατεύσει και από τι εξαρτάται η παροχή τους. Εγκαταστάσεις, εξοπλισμός, άνθρωποι, πληροφοριακά συστήματα, προμηθευτές και εξωτερικοί συνεργάτες συνθέτουν ένα πλέγμα αλληλεξαρτήσεων, που συχνά είναι πολύ πιο σύνθετο από όσο αρχικά φαίνεται.

Στη συνέχεια  θα πρέπει να πραγματοποιήσει την εκτίμηση κινδύνων, την οποία ο νόμος απαιτεί εντός εννέα μηνών από την ειδοποίηση της οντότητας. Η εκτίμηση πρέπει να εξετάζει φυσικές και ανθρωπογενείς απειλές, ατυχήματα, φυσικές καταστροφές και άλλους κινδύνους που μπορούν να διαταράξουν την παροχή των βασικών υπηρεσιών.

Με βάση τα αποτελέσματα της εκτίμησης κινδύνου, προσδιορίζονται τα αναγκαία μέτρα πρόληψης, φυσικής προστασίας, αντιμετώπισης περιστατικών και ανάκαμψης. Παράλληλα, αντιμετωπίζονται ζητήματα ασφάλειας προσωπικού, εκπαίδευσης, ασκήσεων και διαχείρισης κρίσεων.

Κεντρικό στοιχείο αποτελεί το Σχέδιο Ανθεκτικότητας ή ισοδύναμα υφιστάμενα σχέδια, στα οποία αποτυπώνονται τα απαιτούμενα μέτρα. Παράλληλα, απαιτούνται διαδικασίες διαχείρισης και κοινοποίησης σημαντικών περιστατικών, καθώς και συνεχής αξιολόγηση και βελτίωση της αποτελεσματικότητας των μέτρων.

Και εδώ βρίσκεται μια σημαντική λεπτομέρεια. Η ύπαρξη ενός σχεδίου δεν αποδεικνύει από μόνη της την επιχειρησιακή ετοιμότητα ενός οργανισμού. Αυτή πρέπει να επιβεβαιώνεται και στην πράξη.

Η ελληνική πραγματικότητα και η ανάγκη συνεργασιών

Εκτιμώ πως αρκετοί από τους οργανισμούς που θα χαρακτηριστούν κρίσιμες οντότητες, διαθέτουν ήδη, σημαντικό μέρος των απαιτούμενων μηχανισμών. Συστήματα ασφάλειας, σχέδια επιχειρησιακής συνέχειας, διαδικασίες αντιμετώπισης εκτάκτων αναγκών και δομές διαχείρισης κινδύνων, δεν αποτελούν κάτι καινούργιο για μεγάλες επιχειρήσεις και οργανισμούς.

Το ερώτημα είναι κατά πόσο οι μηχανισμοί αυτοί λειτουργούν συντονισμένα. Συχνά, διαφορετικές οργανωτικές μονάδες διαχειρίζονται επιμέρους κινδύνους, χωρίς να υπάρχει ενιαία εικόνα των επιπτώσεων μιας σοβαρής διαταραχής.

Η συμμόρφωση με τη CER, επομένως, δεν μπορεί να αντιμετωπιστεί αποκλειστικά ως έργο του Security, του IT ή του Compliance. Χρειάζεται τη συμμετοχή της διοίκησης, των επιχειρησιακών λειτουργιών, του Risk Management, του Engineering και άλλων εμπλεκόμενων τμημάτων.

Αντίστοιχα, θα χρειαστούν συνεργασίες με εξειδικευμένους συμβούλους, τεχνικούς παρόχους και άλλους φορείς. Όχι απαραίτητα για την ανάπτυξη νέων λύσεων, αλλά πρωτίστως για την αξιολόγηση, τον συντονισμό και τη συμπλήρωση όσων ήδη υπάρχουν. Οι συνέργειες μεταξύ των ίδιων των κρίσιμων οντοτήτων αποκτούν επίσης ιδιαίτερη σημασία, αφού η ανθεκτικότητα της μιας μπορεί να εξαρτάται από τη λειτουργία κάποιας άλλης.

Δέκα μήνες. Είναι αρκετοί;

Για τις οντότητες που υπάγονται στις σχετικές υποχρεώσεις, ο νόμος ορίζει πως η εκτίμηση κινδύνων πρέπει να ολοκληρωθεί εντός εννέα μηνών από την επίσημη ειδοποίηση, ενώ οι υποχρεώσεις του Κεφαλαίου Γ’ αρχίζουν να εφαρμόζονται μετά την παρέλευση δέκα μηνών. Πρόκειται για διάστημα που, κατά την εκτίμησή μου, μπορεί να αποδειχθεί περιορισμένο.

Σε έναν σχετικά ώριμο οργανισμό, και ανάλογα με το μέγεθος, την πολυπλοκότητα και τη διαθεσιμότητα των απαιτούμενων στοιχείων, η αρχική οργάνωση, η χαρτογράφηση εξαρτήσεων και η εκτίμηση κινδύνων ενδέχεται να απαιτήσουν τρεις έως πέντε μήνες. Η αξιολόγηση υφιστάμενων μέτρων, η κατάρτιση του Σχεδίου Ανθεκτικότητας και η προετοιμασία της εφαρμογής του μπορούν να απαιτήσουν ακόμη τρεις έως τέσσερις, με αρκετές εργασίες να εξελίσσονται παράλληλα.

Εάν προκύψει ανάγκη ουσιαστικών τεχνικών παρεμβάσεων, οργανωτικών αλλαγών ή επενδύσεων, το χρονοδιάγραμμα γίνεται ακόμη πιο πιεστικό και σε ορισμένες περιπτώσεις μη βιώσιμο.

Θα υπάρξουν παρατάσεις; Δεν θα τις απέκλεια, λαμβάνοντας υπόψη την πολυπλοκότητα της εφαρμογής και τη χρονική μετατόπιση του αρχικού σχεδιασμού. Δεν θεωρώ, ωστόσο, συνετό ένας οργανισμός να στηρίξει τον προγραμματισμό του στην προσδοκία μιας μελλοντικής παράτασης.

Το πραγματικό ζητούμενο

Είναι σαφές πως η συζήτηση για τη CER είναι απαιτητική, πολυπαραγοντική, διατμηματική και με πολλές προεκτάσεις. Αν όμως ήθελα να μεταδώσω μια κεντρική ιδέα, μια φράση-οδηγό, θα έλεγα πως η CER, κατά την άποψή μου, δεν θα πρέπει να αντιμετωπιστεί ως μία ακόμη κανονιστική υποχρέωση. Είναι μια ευκαιρία για τους οργανισμούς να γνωρίσουν καλύτερα τις αδυναμίες και τις εξαρτήσεις τους, να προστατεύσουν τη συνέχεια των δραστηριοτήτων τους και να ενισχύσουν την αξιοπιστία τους. Η συμμόρφωση με τον νόμο είναι ασφαλώς απαραίτητη. Το πραγματικό όφελος, όμως, θα προκύψει εάν καταφέρουν να γίνουν ουσιαστικά πιο ανθεκτικοί και όχι απλώς τυπικά συμμορφούμενοι.