NIS2 και ενεργειακές υποδομές, από τη συμμόρφωση στην επιχειρησιακή ανθεκτικότητα

Για πολλά χρόνια, η κυβερνοασφάλεια αντιμετωπιζόταν κυρίως ως τεχνικό ζήτημα. Ένα θέμα που ανήκε στο τμήμα πληροφορικής, στους διαχειριστές δικτύων ή στις ομάδες ασφάλειας. Η πραγματικότητα όμως στις ενεργειακές υποδομές είναι διαφορετική. Όταν ένα κυβερνοπεριστατικό μπορεί να επηρεάσει την παραγωγή, τη διανομή ή την ασφαλή λειτουργία μιας εγκατάστασης, τότε παύει να είναι αποκλειστικά τεχνικό θέμα. Γίνεται επιχειρησιακός κίνδυνος. Και ακριβώς αυτή τη μετατόπιση έρχεται να ενισχύσει θεσμικά η ευρωπαϊκή οδηγία NIS2.

Στην Ελλάδα, η οδηγία ενσωματώθηκε με τον Ν. 5160/2024, ενώ το Εθνικό Πλαίσιο Απαιτήσεων Κυβερνοασφάλειας εξειδικεύτηκε περαιτέρω το 2025. Η ενέργεια συγκαταλέγεται στους τομείς υψηλής κρισιμότητας που βρίσκονται στον πυρήνα του νέου πλαισίου. Θα ήταν όμως λάθος να διαβαστεί η NIS2 απλώς ως ένας ακόμη κατάλογος υποχρεώσεων συμμόρφωσης. Η πραγματική της σημασία βρίσκεται αλλού: αλλάζει τον τρόπο με τον οποίο ένας οργανισμός καλείται να αντιλαμβάνεται την ίδια την κυβερνοασφάλεια.

Μία από τις σημαντικότερες αλλαγές αφορά τη λογοδοσία. Η κυβερνοασφάλεια δεν μπορεί πλέον να θεωρείται κάτι που απλώς «το βλέπει η πληροφορική». Η NIS2 τοποθετεί το ανώτατο όργανο διοίκησης μέσα στο πλαίσιο διαχείρισης του κυβερνοκινδύνου, με ευθύνη για την έγκριση και την εποπτεία των σχετικών μέτρων. Αυτό αλλάζει ουσιαστικά τη συζήτηση. Το ερώτημα δεν είναι πλέον μόνο «ποια τεχνολογία πρέπει να αγοράσουμε;», αλλά «ποιον κίνδυνο προσπαθούμε να μειώσουμε και πόσο ανθεκτικός είναι πραγματικά ο οργανισμός μας;»

Για τον ενεργειακό κλάδο, αυτή η αλλαγή έχει ιδιαίτερη σημασία. Το ψηφιακό περιβάλλον μιας ενεργειακής υποδομής δεν περιορίζεται στα εταιρικά πληροφοριακά συστήματα. Περιλαμβάνει συστήματα αυτοματισμού και εποπτικού ελέγχου (SCADA), προγραμματιζόμενους λογικούς ελεγκτές (PLC), υποσταθμούς, απομακρυσμένες εγκαταστάσεις, αντιστροφείς (inverters), τηλεπικοινωνιακές υποδομές, πλατφόρμες υπολογιστικού νέφους (cloud), καθώς και κατασκευαστές και εξωτερικούς συνεργάτες που αποκτούν πρόσβαση για λόγους λειτουργίας και συντήρησης. Ο κυβερνοκίνδυνος βρίσκεται πλέον στις διασυνδέσεις και στις εξαρτήσεις μεταξύ όλων αυτών των συστημάτων.

Γι' αυτό και η ολιστική προσέγγιση της NIS2 έχει ιδιαίτερη αξία για τις ενεργειακές υποδομές. Η διαχείριση κινδύνου δεν περιορίζεται στην προστασία εταιρικών δεδομένων ή πληροφοριακών συστημάτων. Αγγίζει την επιχειρησιακή συνέχεια, τη διαχείριση περιστατικών, την ασφάλεια της εφοδιαστικής αλυσίδας, τον έλεγχο πρόσβασης και την ικανότητα ενός οργανισμού να συνεχίσει να λειτουργεί όταν κάτι πάει στραβά. Στον κόσμο της Λειτουργικής ή Επιχειρησιακής Τεχνολογίας (Operational Technology, OT), όπου μια ψηφιακή ενέργεια μπορεί να έχει φυσικό αποτέλεσμα, αυτή η διάσταση είναι κρίσιμη.

Αν δει κανείς τις βασικές απαιτήσεις μέσα από αυτή την οπτική, θα αναγνωρίσει ζητήματα απολύτως πρακτικά. Γνωρίζουμε ποια συστήματα υποστηρίζουν τις κρίσιμες λειτουργίες μας και πώς διασυνδέονται; Ελέγχουμε ποιος έχει πρόσβαση σε αυτά, ιδίως όταν πρόκειται για εξωτερικούς συνεργάτες; Μπορούμε να αντιληφθούμε έγκαιρα μια μη αναμενόμενη δραστηριότητα; Υπάρχει σχέδιο αντιμετώπισης ενός περιστατικού και, κυρίως, έχει δοκιμαστεί;

Πρόκειται για ζητήματα που κάθε ώριμος οργανισμός θα έπρεπε να αντιμετωπίζει και να διαχειρίζεται ανεξαρτήτως νόμου. Η διαφορά είναι ότι πλέον εντάσσονται σε ένα σαφώς αυστηρότερο πλαίσιο διαχείρισης κινδύνου, εποπτείας και λογοδοσίας.

Και εδώ βρίσκεται ίσως η μεγαλύτερη αξία της NIS2 για τον ενεργειακό κλάδο. Όχι στο να προσθέσει ακόμη μία σειρά εγγράφων και διαδικασιών, αλλά στο να αποτελέσει αφορμή για να μπει σε τάξη κάτι που ούτως ή άλλως είχε γίνει αναγκαίο. Η γνώση των υποδομών, ο έλεγχος της απομακρυσμένης πρόσβασης, η διαχείριση του κινδύνου από τρίτους, η συνεχής παρακολούθηση και η ετοιμότητα απόκρισης δεν είναι απαιτήσεις που προέκυψαν επειδή το ζήτησε ένας νομοθέτης. Είναι η πρακτική πραγματικότητα ενός ενεργειακού τομέα που γίνεται ολοένα πιο ψηφιακός, κατανεμημένος και διασυνδεδεμένος.

Υπάρχει βέβαια και ένας κίνδυνος: να αντιμετωπιστεί η NIS2 ως άσκηση συμμόρφωσης «στα χαρτιά». Να συνταχθούν πολιτικές που δεν εφαρμόζονται στην πράξη, να δημιουργηθούν διαδικασίες που δεν έχουν ποτέ δοκιμαστεί και να καταγραφούν μέτρα που δεν αντικατοπτρίζουν την πραγματική κατάσταση των υποδομών.

Ένας οργανισμός μπορεί να διαθέτει σχέδιο αντιμετώπισης περιστατικών, αλλά να μην έχει δοκιμάσει ποτέ τι θα συμβεί αν χαθεί η επικοινωνία με μια κρίσιμη εγκατάσταση. Μπορεί να διαθέτει Κέντρο Επιχειρήσεων Ασφάλειας (SOC), αλλά να μην έχει επαρκή εικόνα του περιβάλλοντος OT. Μπορεί να εφαρμόζει αυστηρούς ελέγχους στο εταιρικό δίκτυο, αλλά να διατηρεί απομακρυσμένες προσβάσεις τρίτων που κανείς δεν επανεξετάζει. Η συμμόρφωση στα χαρτιά δεν σημαίνει απαραίτητα και ανθεκτικότητα στην πράξη.

Το ουσιαστικό ερώτημα, επομένως, δεν είναι μόνο «είμαστε συμμορφωμένοι;». Είναι «είμαστε πραγματικά προετοιμασμένοι;». Αν αύριο συμβεί ένα περιστατικό, γνωρίζουμε ποια συστήματα επηρεάζονται, ποιος έχει πρόσβαση και τι ακριβώς συμβαίνει; Ξέρουμε ποιος θα πάρει τις αποφάσεις, πώς θα αντιδράσουμε και πώς θα επαναφέρουμε την κανονική λειτουργία;

Η NIS2 θέτει το πλαίσιο. Η πραγματική αξία όμως θα κριθεί από το πώς αυτό θα μεταφραστεί στην καθημερινή λειτουργία κάθε οργανισμού. Γιατί σε έναν κλάδο όπου η αξιοπιστία και η συνέχεια της λειτουργίας έχουν κοινωνική και εθνική σημασία, ο στόχος δεν μπορεί να είναι απλώς η επιτυχία σε έναν έλεγχο συμμόρφωσης.

Η NIS2 δεν είναι ο τερματισμός μιας διαδικασίας συμμόρφωσης. Είναι η αφετηρία για πραγματική επιχειρησιακή ανθεκτικότητα.

____________

Μιχάλης Κούκος - Μηχανικός Αυτοματισμού

OT Security | ICS/SCADA | Critical Infrastructure

https://gr.linkedin.com/in/michalis-koukos-greece