Η επιχειρησιακή ανθεκτικότητα περνά πλέον στο επίκεντρο, καθώς οι επιχειρήσεις αντιμετωπίζουν κυβερνοαπειλές, διακοπές σε υποδομές και σύνθετες κρίσεις που μπορούν να επηρεάσουν ταυτόχρονα παραγωγή, πωλήσεις και εφοδιαστικές αλυσίδες. Από ένα απλό μέτρο εφεδρείας, εξελίσσεται σε βασική ευθύνη της διοίκησης και σε κεντρικό πυλώνα στρατηγικής.
Μέχρι πρόσφατα, η επιχειρησιακή ανθεκτικότητα θεωρούνταν μια τυπική δικλίδα ασφαλείας, που περιλάμβανε ένα εφεδρικό data centre, ένα σχέδιο business continuity, ένα ασφαλιστήριο συμβόλαιο ή μια ομάδα που ενεργοποιούνταν μόνο όταν κάτι πήγαινε στραβά. Πλέον, το τοπίο έχει αλλάξει ριζικά, αφού η ανθεκτικότητα αποτελεί κεντρικό πυλώνα στρατηγικής και άμεση ευθύνη της ίδιας της διοίκησης των οργανισμών.
Η μεταβολή αυτή δεν είναι τυχαία, αλλά προκύπτει από ένα νέο επιχειρηματικό περιβάλλον με υψηλή αλληλεξάρτηση.
Σήμερα, μια κυβερνοεπίθεση μπορεί να παραλύσει την παραγωγή, μια διακοπή σε υπηρεσίες cloud να παγώσει τις πωλήσεις, μια γεωπολιτική κρίση να διαρρήξει την εφοδιαστική αλυσίδα και ένα ακραίο καιρικό φαινόμενο να προκαλέσει ταυτόχρονες ζημιές σε υποδομές, προσωπικό και προμηθευτές.
Η νέα ευρωπαϊκή πραγματικότητα: Από τη θεωρία στην Resilience 2.0
Σε αυτό το νέο πλαίσιο, η Ευρωπαϊκή Επιτροπή έχει τοποθετήσει την ετοιμότητα και την ανθεκτικότητα στον πυρήνα των πολιτικών της. Στη στρατηγική της για την περίοδο 2024-2029 δίνει έμφαση στην πρόβλεψη και τη διαχείριση κρίσεων, εντάσσοντας ρητά τον ιδιωτικό τομέα και τις σύγχρονες ψηφιακές απειλές.
Παράλληλα, στην έκθεση στρατηγικής προοπτικής του 2025 προωθείται η προσέγγιση Resilience 2.0, η οποία απαιτεί έγκαιρη αναγνώριση κινδύνων, προετοιμασία για σύνθετα σενάρια και προσαρμοστικότητα στην αβεβαιότητα.
Στην Ελλάδα, το νομοθετικό πλαίσιο έχει ήδη προσαρμοστεί. Ο Ν. 5160/2024 ενσωμάτωσε την ευρωπαϊκή Οδηγία NIS2, δημιουργώντας ένα αυστηρό πλαίσιο διαχείρισης κινδύνων και λογοδοσίας.
Η Εθνική Αρχή Κυβερνοασφάλειας επισημαίνει ότι το ελληνικό πλαίσιο υιοθετεί μια all hazards approach (προσέγγιση όλων των κινδύνων), καλύπτοντας καίριους τομείς όπως η ενέργεια, οι μεταφορές, η υγεία, οι χρηματοπιστωτικές υπηρεσίες και οι ψηφιακές υποδομές, ενώ για το 2025 προχώρησε στη δημιουργία μητρώου υπόχρεων οργανισμών και στην καθιέρωση απαιτήσεων ασφαλείας.
Η διοίκηση στο τιμόνι της κυβερνοανθεκτικότητας
Η κυβερνοασφάλεια δεν αποτελεί πλέον αποκλειστική υπόθεση του τμήματος IT, καθώς με τον Κανονισμό DORA (Κανονισμός ΕΕ 2022/2554) οι χρηματοπιστωτικές οντότητες υποχρεούνται να διαθέτουν ολοκληρωμένα πλαίσια διαχείρισης κινδύνων ΤΠΕ και αυστηρούς μηχανισμούς για τρίτους παρόχους. Το κρίσιμο στοιχείο είναι ότι το διοικητικό όργανο φέρει την τελική ευθύνη, εγκρίνοντας τη στρατηγική, εποπτεύοντας τους κινδύνους και εγκρίνοντας στη συνέχεια τα σχέδια επιχειρησιακής συνέχειας.
Μέσα από αυτά τα δεδομένα, ένα Διοικητικό Συμβούλιο οφείλει να μπορεί να απαντήσει στο ερώτημα πόσο γρήγορα μπορεί η επιχείρηση να συνεχίσει να λειτουργεί αν καταρρεύσει ένα κρίσιμο σύστημα.
Σε αυτό το πλαίσιο, τα cyber stress tests επεκτείνονται πέρα από τις τράπεζες σε ολόκληρη την οικονομία. Η ENISA δημοσίευσε το 2025 ειδικό εγχειρίδιο για δοκιμές κυβερνοανθεκτικότητας, αξιοποιήσιμο στο πλαίσιο των οδηγιών NIS2, DORA και CER. Μέσω προσομοιώσεων, όπως μια επίθεση ransomware διάρκειας 48 ωρών, οι επιχειρήσεις μαθαίνουν εκ των προτέρων ποια λειτουργία διακόπτεται πρώτη και ποιος αναλαμβάνει τον έλεγχο.
Από το κόστος συμμόρφωσης στην επένδυση στρατηγικής
Η μεγάλη πρόκληση για τις επιχειρήσεις είναι ο οικονομικός σχεδιασμός της ανθεκτικότητας και η αλλαγή του mindset, ώστε να σταματήσει να αντιμετωπίζεται ως περιττό έξοδο συμμόρφωσης και να αναγνωριστεί ως βασική επένδυση στη βιωσιμότητα. Με την ανταγωνιστικότητα και την οικονομική ασφάλεια να βρίσκονται ψηλά στην ατζέντα της Ευρωπαϊκής Ένωσης, οι οργανισμοί καλούνται να προσαρμοστούν.
Η ανθεκτικότητα δεν αποδεικνύεται όταν όλα κυλούν ομαλά. Αποδεικνύεται τη στιγμή ακριβώς που κάτι σταματά να λειτουργεί, δείχνοντας αν η επιχείρηση διαθέτει το σθένος, τα εργαλεία και τη στρατηγική για να συνεχίσει.
Υποχρεωτικά βήματα συμμόρφωσης για τις επιχειρήσεις και τις ΜμΕ στο πλαίσιο της NIS2 και του Ν. 5160/2024
Έλεγχος Υπαγωγής: Χρήση του επίσημου εργαλείου ελέγχου υπαγωγής από την Εθνική Αρχή Κυβερνοασφάλειας, ώστε οι οργανισμοί να εξακριβώσουν αν εμπίπτουν στις κρίσιμες κατηγορίες και τους τομείς εφαρμογής του νόμου.
Εγγραφή στο Μητρώο: Καταχώριση και ένταξη στο ειδικό μητρώο υπόχρεων οργανισμών που τηρεί η Εθνική Αρχή Κυβερνοασφάλειας.
Υιοθέτηση Εθνικού Πλαισίου Απαιτήσεων: Εφαρμογή των 22 τεχνικών, οργανωτικών και επιχειρησιακών μέτρων ασφαλείας με βάση την all hazards προσέγγιση.
Διαχείριση Κινδύνων και Λογοδοσία Διοίκησης: Ενεργός εμπλοκή του διοικητικού οργάνου στην έγκριση και εποπτεία των πολιτικών κυβερνοασφάλειας, καθώς και στη διαχείριση κινδύνων τρίτων παρόχων.
Ορισμός Υπευθύνων και Αναφορά Περιστατικών: Ορισμός αρμόδιων υπευθύνων ασφάλειας πληροφοριών (με καθορισμένα προσόντα και υποχρεώσεις) και τήρηση αυστηρών διαδικασιών άμεσης γνωστοποίησης σημαντικών κυβερνοπεριστατικών στην Αρχή.
Με πληροφορίες από Εθνική Αρχή Κυβερνοασφάλειας, ENISA, EUR-Lex, European Commission, ΣΕΠΕ
