Γιατί σας ρωτά ο πελάτης σας;

Τέσσερα κείμενα καθιστούν τον πελάτη σας υπεύθυνο για την ασφάλεια των προμηθευτών.

1. Οδηγία (ΕΕ) 2022/2555 (NIS2), άρθρο 21 παρ. 2 στοιχείο δ και παρ. 3^[1]Ασφάλεια της αλυσίδας εφοδιασμού, μαζί με τις πτυχές ασφάλειας των σχέσεών τους με κάθε άμεσο προμηθευτή και πάροχο υπηρεσιών, λαμβάνοντας υπόψη τις ευπάθειες κάθε προμηθευτή και τη συνολική ποιότητα των προϊόντων και των πρακτικών κυβερνοασφάλειάς του, μαζί με τις διαδικασίες ασφαλούς ανάπτυξής του.
2. Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690, Παράρτημα, ενότητα 5^[2]Αφορά τους παρόχους υπηρεσιών DNS, υπολογιστικού νέφους, κέντρων δεδομένων, δικτύων διανομής περιεχομένου, διαχειριζόμενων υπηρεσιών και διαχειριζόμενων υπηρεσιών ασφάλειας, τα μητρώα ονομάτων TLD, τους παρόχους επιγραμμικών αγορών, μηχανών αναζήτησης και πλατφορμών κοινωνικής δικτύωσης και τους παρόχους υπηρεσιών εμπιστοσύνης.Πολιτική ασφάλειας της αλυσίδας εφοδιασμού με κριτήρια επιλογής προμηθευτών (5.1.2), όροι ασφάλειας σε κάθε σύμβαση (5.1.4), τακτική παρακολούθηση των προμηθευτών (5.1.6 και 5.1.7) και μητρώο των άμεσων προμηθευτών με τα προϊόντα και τις υπηρεσίες ΤΠΕ που παρέχει ο καθένας (5.2).
3. ΚΥΑ 1689/2025, άρθρο 12^[3]Αφορά τις ελληνικές βασικές και σημαντικές οντότητες.«Διαχείριση κινδύνων από τις σχέσεις με προμηθευτές και παρόχους υπηρεσιών Τ.Π.Ε.».
4. Κανονισμός (ΕΕ) 2022/2554 (DORA), άρθρα 28 και 30^[4]Αφορά τις χρηματοοικονομικές οντότητες, από τις τράπεζες έως τις ασφαλιστικές, για τους παρόχους ΤΠΕ τους.Δέουσα επιμέλεια πριν από τη σύμβαση (28 παρ. 4), μόνο πάροχοι που συμμορφώνονται με κατάλληλα πρότυπα ασφάλειας πληροφοριών (28 παρ. 5), μητρώο όλων των συμβατικών ρυθμίσεων ΤΠΕ (28 παρ. 3), δικαιώματα ελέγχου (28 παρ. 6) και γραπτή σύμβαση με τις διατάξεις του άρθρου 30.

Αν παρέχετε υπηρεσίες ΤΠΕ σε χρηματοοικονομική οντότητα, το άρθρο 30 του DORA καθορίζει μεγάλο μέρος της σύμβασής σας: πού παρέχεται η υπηρεσία και πού αποθηκεύονται τα δεδομένα της, τη συνδρομή σε περίπτωση συμβάντος ΤΠΕ, τη συνεργασία με την αρμόδια αρχή της, τα δικαιώματα καταγγελίας και, για κρίσιμη ή σημαντική λειτουργία, δοκιμασμένα σχέδια έκτακτης ανάγκης, δικαιώματα πρόσβασης και ελέγχου και μεταβατική περίοδο κατά την έξοδο.

Τι ρωτά το ερωτηματολόγιο;

Τα περισσότερα ερωτηματολόγια ομαδοποιούν τις ερωτήσεις έτσι, κάθε ενότητα με τα τεκμήρια που την απαντούν.

1. Εταιρεία, πιστοποίηση και εύροςΠοιοι είστε, ποιες υπηρεσίες παρέχετε και αν τις καλύπτει πιστοποιητικό ISO/IEC 27001 ή έκθεση ελέγχου (Παράρτημα, σημείο 5.1.4 στοιχείο ε· DORA άρθρο 28 παρ. 5).Τεκμήρια: το πιστοποιητικό με το εύρος του, η Δήλωση Εφαρμοσιμότητας και η τελευταία έκθεση ελέγχου.Στο Vardion: το εύρος του πιστοποιητικού ανά υπηρεσία και η Δήλωση Εφαρμοσιμότητας.
2. Πολιτικές και διακυβέρνησηΑν οι πολιτικές ασφάλειας είναι εγκεκριμένες, ποιος είναι υπεύθυνος για την ασφάλεια και πότε τις επανεξέτασε τελευταία φορά η διοίκηση.Τεκμήρια: οι πολιτικές με τις ημερομηνίες έγκρισης, η απόφαση ορισμού του υπευθύνου ασφάλειας και η τελευταία ανασκόπηση από τη διοίκηση.Στο Vardion: 16 σχέδια πολιτικών και διαδικασιών, το ευρετήριο πολιτικών και οι ανασκοπήσεις της διοίκησης.
3. Διαχείριση κινδύνωνΠώς εκτιμάτε και αντιμετωπίζετε τους κινδύνους και πώς χειρίζεστε τις εξαιρέσεις από τις δικές σας πολιτικές.Τεκμήρια: η διαδικασία διαχείρισης κινδύνων, το μητρώο κινδύνων και το μητρώο εξαιρέσεων.Στο Vardion: μητρώα κινδύνων και εξαιρέσεων, με σχέδια των δύο διαδικασιών.
4. Συστήματα, αρχιτεκτονική και τοποθεσία δεδομένωνΠοια συστήματα υποστηρίζουν την υπηρεσία τους, πώς είναι οργανωμένο το δίκτυό σας και πού αποθηκεύονται τα δεδομένα τους και πού γίνεται η επεξεργασία τους (DORA άρθρο 30 παρ. 2 στοιχεία α και β).Τεκμήρια: η απογραφή συστημάτων, το διάγραμμα αρχιτεκτονικής και οι χώρες αποθήκευσης και επεξεργασίας των δεδομένων.Στο Vardion: μητρώο συστημάτων από σαρώσεις και πράκτορες, με αρχιτεκτονική από τα δίκτυά σας.
5. Πρόσβαση και έλεγχος ταυτότηταςΑν εφαρμόζεται πολυπαραγοντικός έλεγχος ταυτότητας, πώς ελέγχεται η προνομιακή πρόσβαση και πώς αφαιρείται η πρόσβαση όσων αποχωρούν (NIS2 άρθρο 21 παρ. 2 στοιχεία θ και ι).Τεκμήρια: η πολιτική ελέγχου πρόσβασης και οι ρυθμίσεις του παρόχου ταυτότητας.Στο Vardion: έλεγχος του MFA στο Microsoft 365 ή στο Google Workspace.
6. Ευπάθειες, δοκιμές και ανάπτυξηΠόσο συχνά σαρώνετε, πόσο γρήγορα διορθώνετε τις κρίσιμες ευπάθειες, πότε έγινε η τελευταία δοκιμή διείσδυσης και πώς αναπτύσσετε λογισμικό με ασφάλεια (NIS2 άρθρο 21 παρ. 3· Παράρτημα, σημείο 5.1.4 στοιχείο στ).Τεκμήρια: αποτελέσματα σαρώσεων, χρόνοι διόρθωσης, η τελευταία έκθεση δοκιμής διείσδυσης και η διαδικασία ασφαλούς ανάπτυξης.Στο Vardion: προγραμματισμένες σαρώσεις με μετρημένους χρόνους διόρθωσης και εισαγωγή ευρημάτων δοκιμών διείσδυσης.
7. ΠεριστατικάΠώς χειρίζεστε τα περιστατικά και πόσο σύντομα θα τους ενημερώσετε για ένα περιστατικό που τους αφορά (Παράρτημα, σημείο 5.1.4 στοιχείο δ· DORA άρθρο 30 παρ. 2 στοιχείο στ και παρ. 3 στοιχείο β).Τεκμήρια: η διαδικασία διαχείρισης περιστατικών, το μητρώο περιστατικών και ο όρος ειδοποίησης στη σύμβασή σας.Στο Vardion: μητρώο περιστατικών που υπολογίζει κάθε προθεσμία αναφοράς.
8. Συνέχεια και έξοδοςΑν τα σχέδια συνέχειας και ανάκαμψης έχουν δοκιμαστεί και πώς επιστρέφονται τα δεδομένα τους όταν λήξει η σύμβαση (Παράρτημα, σημείο 5.1.4 στοιχείο η· DORA άρθρο 30 παρ. 2 στοιχείο δ και παρ. 3 στοιχεία γ και στ).Τεκμήρια: το σχέδιο επιχειρησιακής συνέχειας, τα αποτελέσματα της τελευταίας δοκιμής και το σχέδιο εξόδου.Στο Vardion: ανάλυση επιπτώσεων με στόχους ανάκαμψης και 6 σενάρια ασκήσεων επί χάρτου.
9. Οι δικοί σας προμηθευτέςΠοιοι υπεργολάβοι συμμετέχουν στην υπηρεσία τους και πώς τους ελέγχετε (Παράρτημα, σημείο 5.1.4 στοιχείο ζ· DORA άρθρο 30 παρ. 2 στοιχείο α).Τεκμήρια: ο κατάλογος υπεργολάβων και οι δικές σας αξιολογήσεις προμηθευτών.Στο Vardion: μητρώο προμηθευτών με εβδομαδιαία βαθμολογία και ερωτηματολόγια.
10. Προσωπικό και εκπαίδευσηΑν το προσωπικό σας εκπαιδεύεται και ελέγχεται το ιστορικό του, και πώς συμμετέχει στο πρόγραμμα ευαισθητοποίησης του πελάτη σας (Παράρτημα, σημείο 5.1.4 στοιχεία β και γ· DORA άρθρο 30 παρ. 2 στοιχείο θ).Τεκμήρια: αρχεία εκπαίδευσης, αποτελέσματα προσομοιώσεων ηλεκτρονικού ψαρέματος και η διαδικασία ελέγχου ιστορικού.Στο Vardion: αποτελέσματα προσομοιώσεων ηλεκτρονικού ψαρέματος και εκπαιδεύσεων, ανά τμήμα.
11. Δεδομένα προσωπικού χαρακτήραΠοια δεδομένα προσωπικού χαρακτήρα επεξεργάζεστε για λογαριασμό τους, πού και με ποιες εγγυήσεις (DORA άρθρο 30 παρ. 2 στοιχείο γ).Τεκμήρια: το αρχείο δραστηριοτήτων επεξεργασίας, οι εκτιμήσεις αντικτύπου και η σύμβαση επεξεργασίας δεδομένων.Στο Vardion: αρχεία δραστηριοτήτων επεξεργασίας, εκτιμήσεις αντικτύπου και σχέδιο πολιτικής προστασίας δεδομένων.

Απαντήστε στο ερωτηματολόγιο του πελάτη σας στο Vardion

• Ξεκινήστε από πρότυπο δέουσας επιμέλειας προμηθευτή ή DORA, ή επικολλήστε τη λίστα του πελάτη σας.
• Ορίστε το μητρώο που απαντά σε κάθε ερώτηση, από το μητρώο συστημάτων έως το μητρώο DORA.
• Στείλτε τη λίστα στον συνάδελφο που γνωρίζει τις απαντήσεις. Απαντά με κείμενο και έγγραφα και εσείς εγκρίνετε κάθε απάντηση ή την επιστρέφετε με σημείωση.
• Στείλτε ένα πακέτο με κάθε απάντηση και αρχείο, με άθροισμα ελέγχου για κάθε αρχείο.

Πηγές

1. Οδηγία (ΕΕ) 2022/2555 (NIS2), άρθρο 21, ελέγχθηκε στις 24 Οκτωβρίου 2026
2. Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690, Παράρτημα, ενότητα 5, ελέγχθηκε στις 24 Οκτωβρίου 2026
3. ΚΥΑ 1689/2025 (ΦΕΚ Β' 2186/2025), άρθρο 12, αντίγραφο της ΕΑΚ, ελέγχθηκε στις 24 Οκτωβρίου 2026
4. Κανονισμός (ΕΕ) 2022/2554 (DORA), άρθρα 28 και 30, ελέγχθηκε στις 14 Οκτωβρίου 2026