Τεύχος B’ 3739/08.10.2019 ΕΦΗΜΕΡΙ∆Α TΗΣ ΚΥΒΕΡΝΗΣΕΩΣ και πληροφοριών, σε συνδυασμό με τους παράγοντες της περίπτωσης 2 του άρθρου 5 του ν. 4577/2018 (Α΄ 199) και ειδικότερα όταν πληροί τουλάχιστον μία από τις ακόλουθες συνθήκες: α) Κάθε συμβάν κατά το οποίο η συνέχεια της υπηρεσίας που παρέχεται από τον φορέα επηρεάζεται για πάνω από 100.000 χρηστοώρες. Ως συνέχεια της υπηρεσίας ορίζεται η δυνατότητα παροχής της υπηρεσίας σε αποδεκτά επίπεδα εμπιστευτικότητας, ακεραιότητας, διαθεσιμότητας και αυθεντικότητας. β) Κάθε συμβάν που επηρεάζει πληθυσμό τουλάχιστον 50.000 χρηστών. γ) Απειλή σε ανθρώπινη ζωή. Σε περίπτωση απώλειας ανθρώπινης ζωής το συμβάν κρίνεται αυτομάτως κοινοποιήσιμο. δ) Το συμβάν έχει προκαλέσει υλικές ζημιές στον ίδιο τον φορέα ή σε άλλους φορείς που υπερβαίνουν το 1.000.000 ευρώ. Άρθρο 8 Κριτήρια προσδιορισμού ενός συμβάντος ως σοβαρής διατάραξης για τους παρόχους ψηφιακών υπηρεσιών Σοβαρή διατάραξη, θεωρείται οποιοδήποτε συμβάν πληροί μία από τις καταστάσεις, όπως αυτές ορίζονται στο άρθρο 4 του Εκτελεστικού Κανονισμού (ΕΕ) 2018/151. Άρθρο 9 Διαδικασία Κοινοποίησης Συμβάντος Ασφάλειας 1. Κάθε Οργανισμός κοινοποιεί στο αρμόδιο CSIRT και στην Εθνική Αρχή Κυβερνοασφάλειας χωρίς αδικαιολόγητη καθυστέρηση κάθε συμβάν που έχει αντίκτυπο στη συνεχή παροχή της υπηρεσίας που προσφέρει. 2. Η αρχική αναφορά παρέχεται στην Αρχή: α) ηλεκτρονικά ή εγγράφως, στον τύπο που θέτει σχετικό πρότυπο της Αρχής. β) Σε εύλογο χρόνο και, σε κάθε περίπτωση, εντός 24 ωρών αφότου ο Οργανισμός έλαβε γνώση του περιστατικού. γ) Ειδικά στην περίπτωση που το συμβάν προσδιορίζεται ως σοβαρή διατάραξη, σύμφωνα με το άρθρο 7 και άρθρο 8 της παρούσης, ο Οργανισμός υποχρεούται να υποβάλει την αρχική αναφορά χωρίς αδικαιολόγητη καθυστέρηση. 3. Η κοινοποίηση πρέπει να περιέχει τουλάχιστον τις ακόλουθες πληροφορίες: α) Το όνομα ή την επωνυμία του φορέα καθώς και το είδος των υπηρεσιών που παρέχει. Το όνομα του νόμιμου εκπροσώπου του Οργανισμού και του Υπεύθυνου Ασφάλειας Πληροφοριών και Δικτύων. β) Τον χρόνο, κατά τον οποίο διαγνώστηκε το συμβάν. γ) Την ακριβή διάρκεια του περιστατικού, από τη στιγμή που διαγνώστηκε μέχρι την πλήρη αντιμετώπισή του, εάν αυτό θεωρείται λήξαν. δ) Πληροφορίες για τη φύση του συμβάντος, καθώς και μία πρώτη εκτίμηση του αντίκτυπου του βάσει των προαναφερθέντων στοιχείων προσδιορισμού αντίκτυπου. ε) Πληροφορίες για τις ενέργειες που ακολουθήθηκαν 43657 και τα μέτρα περιορισμού του αντίκτυπου του συμβάντος που έχουν ήδη ληφθεί. στ) Πληροφορίες σχετικά με την πιθανότητα επηρεασμού περισσοτέρων κρατών - μελών από το συμβάν. ζ) Οποιαδήποτε άλλη πληροφορία κρίνεται ότι θα βοηθούσε το έργο των αρμόδιων Αρχών. 4. Σε περίπτωση που μεταβληθούν ουσιωδώς τα στοιχεία του συμβάντος, ο Οργανισμός δύναται να υποβάλει επικαιροποιημένη αναφορά, με την οποία θα παρέχει όσο το δυνατόν περισσότερες πληροφορίες σχετικά με αυτό. 5. Η τελική αναφορά παρέχεται στην Αρχή: α) εγγράφως, στον τύπο που τάσσει σχετικό πρότυπο της Αρχής β) εντός ενός (1) μήνα από την ημερομηνία κλεισίματος του συμβάντος ασφαλείας. γ) Περιλαμβάνει όλα τα υπό παρ. 2 στοιχεία στην τελική τους μορφή, όπως αυτά περιλαμβάνονται στην Φόρμα Αναφοράς Συμβάντος Κυβερνοασφάλειας που εκδίδει η Αρχή και είναι διαθέσιμη στην ιστοσελίδα της. Άρθρο 10 Ενέργειες των αρμόδιων Αρχών μετά την Κοινοποίηση 1. Μετά τη λήψη της αρχικής αναφοράς: α) οι αρμόδιες Αρχές αξιολογούν το συμβάν και αποφασίζουν για τις άμεσες ενέργειες στις οποίες θα προβούν. β) Σε περίπτωση που το συμβάν έχει σοβαρό αντίκτυπο στη συνέχιση ουσιώδους υπηρεσίας και σε άλλο κράτος-μέλος, οι αρμόδιες Αρχές ενημερώνουν χωρίς καθυστέρηση τις αρμόδιες αρχές του κράτους-μέλους. 2. Μετά τη λήψη της τελικής αναφοράς: α) Οι αρμόδιες Αρχές αξιολογούν τα στοιχεία, ενημερώνουν τον Οργανισμό σχετικά με την αποτελεσματικότητα της διαχείρισης του συμβάντος και παρέχουν οδηγίες για την αποτροπή ή την καλύτερη διαχείριση μελλοντικών αντίστοιχων συμβάντων. β) Η Εθνική Αρχή Κυβερνοασφάλειας, λαμβάνοντας υπόψη και τα ευρήματα των προηγουμένως διενεργηθέντων ελέγχων των Αρ. 12 και 13 της παρούσης, αξιολογεί την πιθανότητα κλήσης προς ακρόαση καθώς και επιβολής άλλων πιθανών διοικητικών κυρώσεων. Άρθρο 11 Ενημέρωση του Κοινού 1. Κατόπιν διαβούλευσης με τον Οργανισμό, και όταν αυτό κρίνεται απαραίτητο για την καλύτερη διαχείριση του συμβάντος, η ΕΑΚ μεριμνά για την ενημέρωση του κοινού που απολαμβάνει την υπηρεσία που επηρεάστηκε από το συμβάν σχετικά με την ύπαρξή του, την αντιμετώπισή του και την πιθανή διατάραξη της ομαλής λειτουργίας την οποία υπέστησαν. 2. Η ενημέρωση του κοινού δεν ενδείκνυται όταν: α) αφορά ευαίσθητες ή διαβαθμισμένες πληροφορίες β) επηρεάζει δυσανάλογα τα έννομα συμφέροντα του Οργανισμού. Σε περίπτωση που η ΕΑΚ κρίνει ότι δεν συντρέχουν οι λόγοι (α) και (β) μπορεί να ενημερώσει το κοινό κρίνοντας κατά περίπτωση και αναλογικά.