Hacking - Hackers - Cyberattack: CYBER Insurance, NIS2, Ασφάλιση, Ευθύνες - Η κυβερνοασφάλεια βγαίνει από το IT και «..μπαίνει..» στο γραφείο του CEO

Γράφει ο Στέφανος Ψαράκης

Η νέα ευθύνη της διοίκησης, το μάθημα από τη Γαλλία και την….Ελλάδα  και ο ουσιαστικός ρόλος της ασφάλισης Cyber.

Τα πρόσφατα περιστατικά κυβερνοεπιθέσεων στη Γαλλία, αλλά και όσα συμβαίνουν στην ελληνική αγορά τελευταία, μου έδωσαν την αφορμή να ασχοληθώ ακόμη πιο συστηματικά με έναν κίνδυνο που συχνά υποτιμούμε. Την ασφάλιση Cyber.

Μέσα από την ενασχόλησή μου με την ασφάλιση κυβερνοκινδύνου (Cyber) σε ασφαλιστικό και οργανωτικό επίπεδο, μετα από συζητήσεις με επιχειρήσεις και στελέχη, διαπίστωσα σημαντικά κενά ενημέρωσης και άγνοιας κινδύνου.

Οι περισσότεροι επιχειρηματίες και ελεύθεροι επαγγελματίες, δεν γνωρίζουν τι ακριβώς απειλεί την επιχείρησή τους, τι υποχρεούνται να κάνουν, πώς θα το κάνουν, με ποιους να συνεργαστούν  και τι μπορεί τελικά πραγματικά να καλύψει ένα ασφαλιστήριο.

Απαιτείται η συνεργασία των υπευθύνων ΙΤ των εταιρειών με κατάλληλες εταιρείες, αφ’ ενός με γνώση και αφ’ εταίρου με εξειδίκευση στην κυβερνοασφάλεια. Δεν κάνουν όλοι για όλα.

Ο υπεύθυνος ΙΤ (της εταιρείας) πρέπει να δεχτεί και να καταλάβει ότι είναι συνεργάτης και βρίσκεται στην ίδια πλευρά με τις εταιρείες εξειδίκευσης στην κυβερνοασφάλεια.

Είναι άλλα τα καθήκοντα του ΙΤ μιας εταιρείας, άλλο οι εξειδικευμένοι τεχνικοί στην κυβερνοασφάλεια και άλλο το ασφαλιστήριο Cyber ​​(Cyber Risk Insurance). Είναι τρία διαφορετικά πράγματα.

Η Ελλάδα ψηφιοποιείται με ταχύτητα. Τιμολόγηση, πληρωμές, αποθήκες, παραγωγή, τηλεργασία, αυτοματοποιημένα συστήματα ελέγχου και παραγωγής, η τηλεμετρία (IoT), καθώς και οι υπηρεσίες cloud, εξαρτώνται πλέον από συστήματα που πρέπει να λειτουργούν αδιάκοπα. 

Ο κυβερνοκίνδυνος, όμως, δεν αφορά μόνο τους μεγάλους οργανισμούς. Μια μικρομεσαία επιχείρηση, ένας προμηθευτής ή ακόμη και ένας ιδιώτης μπορούν να πέσουν θύμα υποκλοπής κωδικών, απάτης μέσω email ή παραβίασης τραπεζικού λογαριασμού. Το ζητούμενο είναι να κατανοήσουμε πώς συνδέονται η πρόληψη, η ευθύνη της διοίκησης και η ασφάλιση.

Εδώ απαιτείται η ενημέρωση υπευθύνων των εταιρειών από τον ασφαλιστικό διαμεσολαβητή σε σχέση με την κυβερνοασφάλεια: τι να κάνουν, πώς και γιατί;

Το περιστατικό στη Γαλλία μας δείχνει τι συμβαίνει όταν η ψηφιακή επίθεση καταστρέφει πραγματικά προϊόντα.

Τη νύχτα της 11ης προς τη 12η Οκτωβρίου 2026, κυβερνοεπίθεση επηρέασε τα συνδεδεμένα συστήματα ψύξης εκατοντάδων σούπερ μάρκετ στη Γαλλία (κατά ορισμένα μέσα, περίπου 700). Μεταξύ των αλυσίδων που επλήγησαν ήταν οι Intermarché, Netto, Coopérative U, Carrefour, Monoprix και E.Leclerc. Οι δράστες παρενέβησαν εξ αποστάσεως στις ρυθμίσεις των ψυκτικών εγκαταστάσεων, προκαλώντας υπερθέρμανση και αλλοίωση τροφίμων. Δεν έκλεισαν όλα τα καταστήματα ούτε υπέστησαν όλα την ίδια ζημιά.

Ο επικεφαλής της γαλλικής αρχής κυβερνοασφάλειας ANSSI χαρακτήρισε «επείγουσα» την αποσύνδεση των εκτεθειμένων συσκευών. Επρόκειτο κυρίως για ελεγκτές ψύξης παλαιάς γενιάς, συνδεδεμένους στο διαδίκτυο χωρίς ενημερώσεις ασφαλείας και στοιχειώδεις αδυναμίες προστασίας. 

Και το φαινόμενο δεν σταμάτησε στη Γαλλία. Στις 2 Νοεμβρίου 2026 αναφέρθηκαν παρόμοιες επιθέσεις σε συστήματα ψύξης σούπερ μάρκετ σε αρκετές ευρωπαϊκές χώρες, μεταξύ των οποίων η Σουηδία, το Βέλγιο, το Λουξεμβούργο και η Ιρλανδία. Δεν έχει διευκρινιστεί αν οι δύο επιθέσεις συνδέονται.

Το μήνυμα ήταν εντυπωσιακά απλό: μια ψηφιακή ευπάθεια μπορεί να προκαλέσει φυσική καταστροφή εμπορευμάτων, διακοπή λειτουργίας και απώλεια πωλήσεων. Και το κρίσιμο ασφαλιστικό ερώτημα είναι εάν οι ζημιές αυτές εμπίπτουν στην κάλυψη περιουσίας, διακοπής εργασιών ή Cyber — κάτι που εξαρτάται από τους συγκεκριμένους όρους κάθε συμβολαίου.

Ας σκεφτούμε και πιο καθημερινά παραδείγματα. Ένας εργαζόμενος ανοίγει ένα παραπλανητικό συνημμένο. Κάποιος υποκλέπτει τον κωδικό πρόσβασης στο αρχείο πελατών. Ένα μήνυμα που μοιάζει να προέρχεται από προμηθευτή ζητά να πληρωθεί το τιμολόγιο σε «νέο IBAN». Ή μια επίθεση ransomware κλειδώνει τα αρχεία της εταιρείας και απαιτεί λύτρα. Το κόστος δεν είναι μόνο τα χρήματα που μπορεί να χαθούν, είναι οι ημέρες χωρίς παραγγελίες, παραγωγή ή εξυπηρέτηση πελατών. Πόσο μπορεί να αντέξει μια επιχείρηση χωρίς τα συστήματά της;

Τι αλλάζει με τη NIS2 — και ποιους αφορά.

Η ευρωπαϊκή οδηγία NIS2 θεσπίζει υψηλότερες απαιτήσεις κυβερνοασφάλειας για κρίσιμες δραστηριότητες. Στην Ελλάδα ενσωματώθηκε με τον ν. 5160/2024, με αρμόδια εποπτική αρχή την Εθνική Αρχή Κυβερνοασφάλειας. Δεν επιβάλλει τις ίδιες υποχρεώσεις σε κάθε μικρή επιχείρηση. Αφορά, κατά κανόνα, μεσαίες και μεγάλες οντότητες συγκεκριμένων κλάδων, με ειδικές περιπτώσεις υπαγωγής ανεξαρτήτως μεγέθους.

Στο πεδίο εφαρμογής της περιλαμβάνονται, μεταξύ άλλων, ενέργεια, μεταφορές, υγεία, ύδρευση, ψηφιακές υποδομές, δημόσια διοίκηση, καθώς και δραστηριότητες τροφίμων, μεταποίησης, χημικών, αποβλήτων, ταχυδρομικών υπηρεσιών και ψηφιακών πλατφορμών.

Ιδιαίτερη προσοχή απαιτεί η εφοδιαστική αλυσίδα: ακόμη και μια εταιρεία που δεν υπάγεται άμεσα στη NIS2 μπορεί να κληθεί από μεγάλο πελάτη της να αποδείξει ότι τηρεί επαρκή μέτρα ασφαλείας. Για τους δήμους α΄ βαθμού, η έναρξη υπαγωγής στο σχετικό πλαίσιο έχει μετατεθεί στις 27 Νοεμβρίου 2026.

Για τις τράπεζες και τις ασφαλιστικές επιχειρήσεις ιδιαίτερη σημασία έχει ο ευρωπαϊκός κανονισμός DORA, που ρυθμίζει ειδικά την ψηφιακή επιχειρησιακή ανθεκτικότητα του χρηματοπιστωτικού τομέα. Η σχέση του με τη NIS2 πρέπει να εξετάζεται κατά περίπτωση· δεν σημαίνει ότι κάθε υποχρέωση εφαρμόζεται δύο φορές.

Η διοίκηση έχει πλέον συγκεκριμένη ευθύνη

Η μεγαλύτερη αλλαγή είναι διοικητική. Στους οργανισμούς που υπάγονται στο πλαίσιο, τα διοικητικά όργανα οφείλουν να εγκρίνουν μέτρα προστασίας, να εποπτεύουν την εφαρμογή τους και να εκπαιδεύονται. Η ανάθεση της μηχανογράφησης σε εξωτερικό τεχνικό συνεργάτη δεν αναιρεί τις υποχρεώσεις τους. 

Η ενδεχόμενη προσωπική ευθύνη της διοίκησης αξιολογείται βάσει νόμου και πραγματικών περιστατικών, δεν προκύπτει αυτομάτως από κάθε κυβερνοεπίθεση.

Οι κυρώσεις υπογραμμίζουν τη σοβαρότητα του θέματος. Για τις βασικές οντότητες, τα προβλεπόμενα ανώτατα όρια προστίμων για συγκεκριμένες παραβάσεις φθάνουν τα 10 εκατ. ευρώ ή το 2% του παγκόσμιου ετήσιου κύκλου εργασιών· για τις σημαντικές, τα 7 εκατ. ευρώ ή το 1,4%, με κριτήριο το υψηλότερο ποσό. Αυτά είναι ανώτατα όρια, όχι αυτόματες ποινές.

Η προστασία απαιτεί πρακτική οργάνωση: 

Η οδηγία ζητά μέτρα «κατάλληλα και αναλογικά» με τον κίνδυνο. Στην πράξη, η εταιρεία πρέπει:

• να αναλύει τους κινδύνους της: ποια συστήματα είναι κρίσιμα και πού είναι ευάλωτα·

• να έχει γραπτές πολιτικές και σχέδιο αντιμετώπισης περιστατικών·

• να εξασφαλίζει τη συνέχεια της λειτουργίας της, με αντίγραφα ασφαλείας που επαναφέρονται πραγματικά·

• να ελέγχει τους προμηθευτές της·

• να εφαρμόζει βασικά μέτρα, όπως πολυπαραγοντική ταυτοποίηση (MFA), δηλαδή δεύτερο βήμα επιβεβαίωσης πέρα από τον κωδικό, κρυπτογράφηση και έγκαιρη ενημέρωση λογισμικού·

• να εκπαιδεύει το προσωπικό, γιατί ο ανθρώπινος παράγοντας παραμένει η συχνότερη πόρτα εισόδου για τους επιτιθέμενους.

Εξίσου σημαντική είναι η εκπαίδευση του προσωπικού, ώστε ένα απλό μήνυμα να μην ανοίξει την πόρτα στους επιτιθέμενους.

Για τα σημαντικά περιστατικά ο νόμος προβλέπει, κατά κανόνα, πρώιμη προειδοποίηση εντός 24 ωρών, κοινοποίηση εντός 72 ωρών από τη γνώση του περιστατικού και τελική έκθεση εντός ενός μηνός από την κοινοποίηση. Γι’ αυτό πρέπει να είναι γνωστό εκ των προτέρων ποιος αποφασίζει, ποιος ειδοποιείται και πώς συνεχίζεται η λειτουργία. Την ώρα της κρίσης δεν υπάρχει περιθώριο αυτοσχεδιασμού. Αυτό προϋποθέτει κατάλληλη προετοιμασία και υποδομή.

Πού βοηθά η ασφάλιση Cyber — και πού χρειάζεται προσοχή.

Η πρόληψη μειώνει τον κίνδυνο, δεν τον μηδενίζει. Ένα κατάλληλα σχεδιασμένο ασφαλιστήριο Cyber μπορεί, ανάλογα με τους όρους του, να καλύπτει δαπάνες τεχνικής και νομικής υποστήριξης, αποκατάσταση δεδομένων, απώλεια εσόδων από ασφαλισμένη διακοπή εργασιών και αστική ευθύνη έναντι τρίτων. Συχνά εξαιρετικά πολύτιμη είναι και η άμεση πρόσβαση σε ειδικούς διαχείρισης περιστατικών.

Ωστόσο, η ασφάλιση δεν υποκαθιστά την κυβερνοπροστασία ούτε πιστοποιεί συμμόρφωση με τη NIS2. Οι ασφαλιστές εξετάζουν τα εφαρμοζόμενα μέτρα ασφαλείας και μπορεί να θέτουν προϋποθέσεις για την ανάληψη του κινδύνου. Απάτες με αλλαγή IBAN, υλικές ζημιές από ψηφιακό συμβάν, όρια αποζημίωσης, απαλλαγές και εξαιρέσεις χρειάζονται ειδικό έλεγχο, δεν καλύπτονται αυτομάτως από κάθε πρόγραμμα. 

Εξίσου κρίσιμες είναι οι ακριβείς απαντήσεις στην αίτηση ασφάλισης και καθοριστικές στο θέμα της αποζημίωσης.

Εδώ αναδεικνύεται ο ουσιαστικός ρόλος του ασφαλιστικού διαμεσολαβητή. Ο επαγγελματίας που συνεργάζεται με εξειδικευμένους τεχνικούς, κατανοεί τις πραγματικές ανάγκες και εκθέσεις μιας επιχείρησης, συγκρίνει ουσιαστικά τους όρους κάλυψης και λειτουργεί ως σύμβουλος διαχείρισης κινδύνου και όχι απλώς ως πωλητής συμβολαίων.

Οι ασφαλιστικοί διαμεσολαβητές οφείλουν να εκπαιδευτούν, να αποκτήσουν σοβαρή γνώση και εξειδίκευση σε ένα νέο προϊόν, κάτι χρήσιμο και αναγκαίο για τις επιχειρήσεις τα επόμενα χρόνια. Δημιουργούνται νέες ανάγκες , νέα συμβόλαια, νέες πωλήσεις.

Απαιτείται μία  σωστή διαδικασία και  μέθοδος με τους εμπλεκομένους. Και για να είναι αποτελεσματικότερη η λύση απαιτείται ένα ενιαίο σχέδιο δράσης με διάρκεια .Η κυβερνοπροστασία είναι <..μαραθώνιος..> απαιτείται κυβερνοανθεκτικότητα. Διαρκεί δε  όσο υπάρχει η επιχείρηση.

Τελικά, είναι επένδυση στην ανθεκτικότητα, και όχι ένα ακόμη κόστος.

Κατά την άποψή μου, η αξία της NIS2 δεν βρίσκεται πρωτίστως στα πρόστιμα. Βρίσκεται στο ότι υποχρεώνει τη διοίκηση να αντιμετωπίσει την κυβερνοασφάλεια ως ζήτημα επιχειρησιακής συνέχειας, αξιοπιστίας και επιβίωσης της επιχείρησης . 

Το Hacking- οι Hackers – και το Cyberattack τώρα αρχίζει πραγματικά και για την χώρα μας .

Η μάχη μεταξύ του καλού και του κακού υπήρχε από τη γέννηση αυτού του κόσμου, υπάρχει σήμερα και θα εξακολουθεί να υπάρχει εσαεί.

Η σωστή αρχή είναι απλή: ελέγχουμε αν υπαγόμαστε στο πλαίσιο, αξιολογούμε τις αδυναμίες μας, ορίζουμε ευθύνες και εξετάζουμε με ακρίβεια την ασφαλιστική μας προστασία.

Συνεργαζόμαστε με ειδικούς .

Η κυβερνοασφάλεια δεν είναι πια υπόθεση μόνο του IT. Είναι απόφαση της διοίκησης και επένδυση στην εμπιστοσύνη πελατών, εργαζομένων και συνεργατών. Ας προσέξουν οι CEO και οι επιχειρηματίες .

Είναι σχεδόν σίγουρο, ότι το επόμενο χρονικό διάστημα θα δούμε περισσότερα και πιο σύνθετα περιστατικά κυβερνοεπιθέσεων.

Ο κακόβουλος χάκερ (hacker) είναι ένα άτομο το οποίο εισβάλλει σε λογισμικά και υπολογιστικά συστήματα και πειραματίζεται με κάθε πτυχή τους, συνήθως με σκοπό το κέρδος ή την πρόκληση ζημιάς. Μόνο που τώρα δεν είναι μόνος, έχει τον καλύτερο συνεργάτη μαζί του, την τεχνητή νοημοσύνη. Οπότε ΠΡΟΣΟΧΗ!

Το φυλάξαι τ’ αγαθά του κτήσασθαι χαλεπότερων (Δημοσθένης).

Καλή επιτυχία και προσοχή στις επιλογές σας.

Στέφανος Ψαράκης

Σύμβουλος Ασφάλισης και Οργάνωσης Επιχειρήσεων

Ο Στέφανος Ψαράκης γεννήθηκε στην Κρήτη τον Ιούλιο 1956. Μετά τις γυμνασιακές σπουδές η αγάπη του για την θάλασσα τον οδήγησε στην Ακαδημία Εμπορικού Ναυτικού (Πλοιάρχων) - Ναυτιλιακά.

Ξεκίνησε την ασφαλιστική του σταδιοδρομία το 1984 ως ασφαλιστικός σύμβουλος στην ΝΝ, όπου παρέμεινε έως το 2010 .

Εργάστηκε, εξελίχθηκε και βραβεύτηκε σε όλες τις βαθμίδες της εταιρείας ΝΝ-ING, ως ασφαλιστικός σύμβουλος, Unit - Assistant Agency manager, Διευθυντής Υποκαταστήματος, Area Manager. Διακρίθηκε μέσα στα 10 καλύτερα υποκαταστήματα της ασφαλιστικής αγοράς πανελλαδικά.

Έχει συμμετάσχει σε πλήθος ασφαλιστικών, επιμορφωτικών σεμιναρίων και δραστηριοτήτων.

• LIMRA International Certificate - Management 1-2. LIMRA "The Field Management Development

• PMI, Certificate of completion "Master Certificate in Project Management".

• Το 2003 αποδέχθηκε την πρόταση των Ολλανδών να αναλάβει ως Περιφερειακός Διευθυντής Πωλήσεων της ΝΝ-ING (Area Manager)

• Από το 2010 μέχρι σήμερα δραστηριοποιείται ως σύμβουλος Πωλήσεων - Ασφάλισης και Επιχειρήσεων

• Συνεργάστηκε ως Σύμβουλος Διοίκησης AFC Ajax Hellas Academy (Ajax Youth Football Academy) Ολλανδίας (2011-2014).

• Συνεργάστηκε με την ασφαλιστική εταιρεία GROUPAMA σε επίπεδο υποκαταστήματος (Agency).

• Το 2014-2016 μετα από πρόταση της Τράπεζας Πειραιώς συμμετείχε ως μέλος του Διοικητικού Συμβουλίου της Αγροτικής Ασφαλιστικής (BoD)

• Από το 2015 είναι μέλος Ομάδας Ψηφιακού Σχεδιασμού Εφαρμογών Προϊόντων Προηγμένης Τεχνολογίας Περιβάλλοντος (IoT) και Ψηφιακών Εφαρμογών Επικοινωνίας AI - Cyber.

• Είναι Σύμβουλος Οργάνωσης, Ανάπτυξης Πωλήσεων Ασφαλειών και Επιχειρήσεων.

Λοιπές επιχειρηματικές Δραστηριότητες

Συνιδρυτής της εταιρείας Ειδικά Αέρια Ελλάδος, Messer Griesheim GmbH (1992-1995)

Συνιδρυτής της εταιρείας Alfa Sailing Yachts (κατασκευή ελληνικών ιστιοπλοϊκών σκαφών Alfa 51-56 feet), 2000-2009

Και επειδή η ζωή δεν είναι μόνο δουλειά, διατέλεσε:

Πρόεδρος του Ναυτικού Ομίλου Κέας (Ν.Ο.Κ)

Πρόεδρος Σ.Ι.Τ.Ε.Σ.Α.Π: (Σύνδεσμος Ιδιοκτητών Τουριστικών Επαγγελματικών Σκαφών Άνευ Πληρώματος) Ελλάδος

Μέλος Δ.Σ. Συλλόγου Φίλων Κέας (Σ.Φ.Κ)