Το ISO/IEC 27001 είναι το διεθνές πρότυπο αναφοράς για ένα Σύστημα Διαχείρισης Ασφάλειας Πληροφοριών (ΣΔΑΠ). Καθώς ζητείται όλο και συχνότερα από πελάτες, σε διαγωνισμούς, από ασφαλιστές κυβερνοκινδύνου ή για την πρόσβαση σε ορισμένες εξαγωγικές αγορές, η SYAGA σάς συνοδεύει από την ανάλυση αποκλίσεων έως την προετοιμασία για τον έλεγχο πιστοποίησης.
Το ISO 27001 δεν αποτελεί γενική νομική υποχρέωση, αλλά γίνεται αναπόφευκτη εμπορική προϋπόθεση
Το ISO/IEC 27001 παραμένει εθελοντική διαδικασία. Ωστόσο ζητείται όλο και συχνότερα σε διαγωνισμούς, από μεγάλους πελάτες, από ορισμένους ασφαλιστές κυβερνοκινδύνου ή ως προϋπόθεση για την πρόσβαση σε ορισμένες εξαγωγικές αγορές.
Οι περισσότερες ΜμΕ και μεσαίες επιχειρήσεις δεν έχουν αναλάβει καμία δομημένη προσέγγιση για ένα Σύστημα Διαχείρισης Ασφάλειας Πληροφοριών. Το θέμα θεωρείται σύνθετο, τεχνικό και χρονοβόρο.
Τα κλασικά έργα πιστοποίησης δεσμεύουν τις ομάδες σας για αρκετούς μήνες και αποτελούν σημαντική επένδυση, συχνά απρόσιτη για μια ΜμΕ.
Η δέσμευση του διευθυντή πληροφορικής ή του υπεύθυνου ασφάλειας για μήνες ώστε να στηθεί ένα ΣΔΑΠ δεν είναι βιώσιμη σε μια ΜμΕ όπου ο καθένας ήδη κάνει πολλά πράγματα.
Μια δομημένη προσέγγιση σε 3 φάσεις, βασισμένη στην ίδια μεθοδολογία που η SYAGA έχει ήδη δοκιμάσει στο PSSI-Express
Συνέντευξη οριοθέτησης με τη διοίκηση και τον υπεύθυνο ασφάλειας πληροφοριών, και στη συνέχεια συστηματική αξιολόγηση καθενός από τα 93 μέτρα ελέγχου ασφάλειας του Παραρτήματος Α (έκδοση 2022), κατανεμημένων στις 4 θεματικές ενότητες: οργανωτικά, ανθρώπινοι πόροι, φυσικά και τεχνολογικά. Παράδοση έκθεσης αποκλίσεων βασισμένης σε γεγονότα.
Σύνταξη ή επικαιροποίηση της πολιτικής ασφάλειας (ΣΔΑΠ), της Δήλωσης Εφαρμοσιμότητας (SoA) που αιτιολογεί την εφαρμογή ή την εξαίρεση καθενός από τα 93 μέτρα ελέγχου, και ενός ιεραρχημένου σχεδίου αποκατάστασης για την κάλυψη των αποκλίσεων της φάσης 1.
Παρακολούθηση της υλοποίησης του σχεδίου αποκατάστασης, έλεγχος της τεκμηρίωσης και προετοιμασία της ομάδας σας για τον έλεγχο που διενεργεί ανεξάρτητος διαπιστευμένος φορέας πιστοποίησης. Η SYAGA σάς προετοιμάζει για τον έλεγχο· την ίδια την πιστοποίηση την εκδίδει αυτός ο τρίτος φορέας.
Τα βασικά έγγραφα του φακέλου πιστοποίησης ISO 27001
Αξιολόγηση, βασισμένη σε γεγονότα, του επιπέδου συμμόρφωσής σας με το πρότυπο.
Κεντρικό κανονιστικό έγγραφο του φακέλου πιστοποίησης ISO 27001.
Το έγγραφο διακυβέρνησης που απαιτούν οι ρήτρες 4 έως 10 του προτύπου.
Ο οδικός χάρτης για την κάλυψη των αποκλίσεων που εντοπίστηκαν.
Έγγραφα άμεσα εφαρμόσιμα από τις ομάδες σας.
Όλα τα έγγραφα σε μορφές που μπορείτε να εξελίσσετε.
Το ΣΔΑΠ κατά ISO 27001 επικαλύπτεται φυσικά με αρκετά πλαίσια αναφοράς
Κεντρικό πλαίσιο αναφοράς: ρήτρες 4 έως 10 (απαιτήσεις διαχείρισης) και Παράρτημα Α (93 μέτρα ελέγχου ασφάλειας κατανεμημένα σε 4 θεματικές ενότητες).
Τα μέτρα διαχείρισης κινδύνων κυβερνοασφάλειας που απαιτεί η οδηγία NIS2 επικαλύπτονται σε μεγάλο βαθμό με τα μέτρα ελέγχου του Παραρτήματος Α του ISO 27001. Ένα ΣΔΑΠ κατά ISO 27001 διευκολύνει τη συμμόρφωση με την NIS2 για τις οντότητες που εμπίπτουν στο πεδίο εφαρμογής της.
Τα μέτρα του οδηγού υγιεινής πληροφορικής που δημοσιεύει η ANSSI (ο γαλλικός εθνικός οργανισμός κυβερνοασφάλειας) επικαλύπτονται σημαντικά με τα μέτρα ελέγχου του Παραρτήματος Α του ISO 27001. Η αντιστοίχιση τεκμηριώνεται στο σχέδιο αποκατάστασης.
Τα κατάλληλα τεχνικά και οργανωτικά μέτρα που απαιτεί το άρθρο 32 του Γενικού Κανονισμού για την Προστασία Δεδομένων (ΓΚΠΔ) βασίζονται στις ίδιες ορθές πρακτικές με το Παράρτημα Α του ISO 27001 (έλεγχος πρόσβασης, κρυπτογράφηση, διαχείριση περιστατικών).
Κάθε έργο ISO 27001 οριοθετείται ανάλογα με το πεδίο εφαρμογής σας και το τρέχον επίπεδο ωριμότητας. Πάντα με εξατομικευμένη προσφορά.
Αρχική αποτύπωση των αποκλίσεών σας
Από την ανάλυση αποκλίσεων έως την προετοιμασία του ελέγχου
Μετά την πιστοποίηση ή σε συνεχή βάση
Τι λέει πραγματικά το ISO/IEC 27001, εξηγημένο απλά. Κάθε σημείο παραπέμπει στην επίσημη πηγή του (ISO, AFNOR, COFRAC, ANSSI), επικαιροποίηση στις 17/07/2026.
Το ISO/IEC 27001 είναι μια αναγνωρισμένη μέθοδος για τον εντοπισμό των απειλών για τα δεδομένα σας, τη διαχείριση των κινδύνων και την εφαρμογή των σωστών μέτρων προστασίας, ώστε οι πληροφορίες σας να παραμένουν εμπιστευτικές, διαθέσιμες και αξιόπιστες. Δεν είναι λογισμικό: είναι μια οργάνωση που εφαρμόζεται μέσα στην επιχείρηση.
Πηγή: AFNOR CertificationΣε αντίθεση με άλλες προσεγγίσεις (όπως η έγκριση ασφάλειας που επιβάλλεται σε ορισμένα συστήματα του γαλλικού Δημοσίου), το ISO 27001 είναι προαιρετικό: είναι πρότυπο πιστοποίησης, όχι γενική κανονιστική υποχρέωση. Το επιλέγετε για να καθησυχάσετε πελάτες, συνεργάτες και ασφαλιστές.
Πηγή: ANSSI (μεθοδολογικό δελτίο)Ποτέ η ίδια η επιχείρηση ούτε ένας σύμβουλος: μόνο ένας ανεξάρτητος, διαπιστευμένος φορέας πιστοποίησης μπορεί να το εκδώσει (στη Γαλλία, ο COFRAC είναι ο μοναδικός φορέας διαπίστευσης, που ιδρύθηκε το 1994). Το πιστοποιητικό ισχύει για 3 έτη.
Πηγή: COFRACΠροκαταρκτική αξιολόγηση (προαιρετική), προετοιμασία, έλεγχος τεκμηρίωσης, επιτόπιος έλεγχος για την επαλήθευση όσων εφαρμόζονται πραγματικά, έκδοση του πιστοποιητικού (3 έτη), και στη συνέχεια επίσκεψη επιτήρησης κάθε χρόνο και πλήρης έλεγχος ανανέωσης μετά από 3 έτη. Τίποτα δεν κατακτάται οριστικά.
Πηγή: AFNOR CertificationΣύμφωνα με μελέτη της AFNOR σε πιστοποιημένες επιχειρήσεις: το 89% παρατήρησε λιγότερα περιστατικά ασφάλειας, το 83% διαθέτει ισχυρότερες εσωτερικές διαδικασίες ασφάλειας και το 88% διατήρησε πελάτες που διαφορετικά θα είχαν αποχωρήσει χωρίς την πιστοποίηση.
Πηγή: μελέτη AFNOR, 2019Είναι το πιο διαδεδομένο πρότυπο ασφάλειας πληροφοριών στον κόσμο, σύμφωνα με τον ίδιο τον ISO. Και η διαπίστευση που εποπτεύει τους φορείς πιστοποίησης (όπως ο COFRAC στη Γαλλία) αναγνωρίζεται διεθνώς μέσω συμφωνιών μεταξύ χωρών, γεγονός που διευκολύνει την πρόσβαση σε αγορές στην Ευρώπη και πέραν αυτής.
Πηγή: ISO (επιτροπή JTC1/SC27)Δεν χρειάζεται να είστε πολυεθνική ή εταιρεία τεχνολογίας. Ιδού, με βάση επίσημες πηγές, ποιοι μπορούν (και μερικές φορές πρέπει) να ενδιαφερθούν.
Η πιστοποίηση απευθύνεται σε «όλους τους οργανισμούς, επιχειρήσεις και δημόσιους φορείς, οποιουδήποτε μεγέθους και σε οποιονδήποτε κλάδο, που κατέχουν δεδομένα, φυσικά ή ψηφιακά». Η ίδια η AFNOR διευκρινίζει ότι δεν απευθύνεται «μόνο σε παρόχους φιλοξενίας δεδομένων, νεοφυείς επιχειρήσεις, πολυεθνικές ή εταιρείες πληροφορικής»: λογιστικό γραφείο, συνεργείο, σύλλογος, δημαρχείο, κλινική... αν κατέχετε δεδομένα, σας αφορά.
Πηγή: AFNOR Certification (17/07/2026)Το επίσημο μεθοδολογικό δελτίο της ANSSI (Μάιος 2025) το επιβεβαιώνει ρητά: για το ISO/IEC 27001, το πεδίο «Υποχρέωση» είναι σημειωμένο ως «Προαιρετικό». Αντίθετα, η έγκριση ασφάλειας (το πραγματικά υποχρεωτικό καθεστώς) αφορά μόνο τα πληροφοριακά συστήματα του γαλλικού Δημοσίου και των ρυθμιζόμενων φορέων (OIV/OSE). Δύο διαφορετικοί κόσμοι: μην τους συγχέετε. Αν ένας πάροχος σάς πει ότι το ISO 27001 είναι νομική υποχρέωση, αυτό δεν είναι ακριβές.
Πηγή: ANSSI, μεθοδολογικό δελτίο v1.0 (Μάιος 2025)Το ευρωπαϊκό κείμενο NIS2 (που είναι υποχρεωτικό) αναφέρει ρητά τη σειρά προτύπων ISO/IEC 27000, στην οποία ανήκει το ISO 27001, ως αναφορά ορθών πρακτικών για τα μέτρα κυβερνοασφάλειας που πρέπει να εφαρμοστούν. Η Ευρωπαϊκή Επιτροπή ζητεί από τα κράτη μέλη να «προωθούν τη χρήση σχετικών ευρωπαϊκών και διεθνών προτύπων». Στην πράξη: το ISO 27001 γίνεται ο πιο αναγνωρισμένος τρόπος απόδειξης της συμμόρφωσης με την NIS2 ενώπιον μιας εποπτικής αρχής.
Πηγή: EUR-Lex, Οδηγία (ΕΕ) 2022/2555, αιτιολογικές σκέψεις 79-80Σύμφωνα με την Ευρωπαϊκή Επιτροπή, η NIS2 καλύπτει 18 κρίσιμους κλάδους: ενέργεια, μεταφορές, υγεία, χρηματοοικονομικά, διαχείριση υδάτων, ψηφιακές υποδομές (ήδη καλυπτόμενοι από την NIS1), καθώς και πλέον τις δημόσιες ηλεκτρονικές επικοινωνίες, τα κοινωνικά δίκτυα, τη διαχείριση αποβλήτων, την κατασκευή κρίσιμων προϊόντων, τις ταχυδρομικές υπηρεσίες και υπηρεσίες ταχυμεταφορών, τη δημόσια διοίκηση και τον τομέα του διαστήματος. Ο κανόνας μεγέθους: οι «μεσαίες και μεγάλες οντότητες» αυτών των κλάδων θα πρέπει να λαμβάνουν μέτρα διαχείρισης κινδύνων κυβερνοασφάλειας και να αναφέρουν τα σημαντικά περιστατικά.
Πηγή: Ευρωπαϊκή Επιτροπή, digital-strategy.ec.europa.euΟ επίσημος ευρωπαϊκός ορισμός (Σύσταση 2003/361/ΕΚ) θέτει συγκεκριμένα όρια. Μια επιχείρηση ξεπερνά το όριο της «μεσαίας» (και εισέρχεται στο πιθανό πεδίο εφαρμογής της NIS2) μόλις υπερβεί ένα από τα εξής κριτήρια:
| Κατηγορία | Αριθμός εργαζομένων | Κύκλος εργασιών |
|---|---|---|
| Πολύ μικρή επιχείρηση | λιγότεροι από 10 | έως 2 εκατ. € |
| Μικρή επιχείρηση | λιγότεροι από 50 | έως 10 εκατ. € |
| Μεσαία επιχείρηση | λιγότεροι από 250 | έως 50 εκατ. € |
Στις 20 Ιανουαρίου 2026, η Ευρωπαϊκή Επιτροπή πρότεινε στοχευμένη τροποποίηση για να διευκολύνει τη συμμόρφωση 28.700 επιχειρήσεων, μεταξύ των οποίων 6.200 πολύ μικρές και μικρές επιχειρήσεις. Απόδειξη ότι το θέμα δεν αφορά πλέον μόνο τους μεγάλους ομίλους: οργανισμοί μέτριου μεγέθους καλούνται, μέσω των πελατών τους ή του κλάδου τους, να ανταποκριθούν στις ίδιες απαιτήσεις.
Πηγή: Ευρωπαϊκή Επιτροπή, digital-strategy.ec.europa.eu (20/01/2026)Χωρίς περιττό πανικό, μόνο τα επίσημα στοιχεία. Τι λέει πραγματικά ο νόμος για τα πρόστιμα, ποιος τα επιβάλλει και γιατί το ISO 27001 παραμένει η καλύτερη προστασία σας απέναντί τους.
Αυτό είναι το πιο καθησυχαστικό σημείο: η έλλειψη πιστοποίησης ISO 27001 δεν επισύρει, από μόνη της, κανένα πρόστιμο. Το πρότυπο είναι προαιρετικό (το επίσημο μεθοδολογικό δελτίο της ANSSI το επιβεβαιώνει: «πεδίο Υποχρέωση σημειωμένο ως Προαιρετικό»). Ένα προαιρετικό πρότυπο λογικά δεν συνοδεύεται από μηχανισμό νομικών κυρώσεων για την απουσία του.
Πηγή: ANSSI, μεθοδολογικό δελτίο v1.0 (Μάιος 2025)Αν η δραστηριότητά σας εμπίπτει στο πεδίο εφαρμογής της ευρωπαϊκής οδηγίας NIS2 (που είναι υποχρεωτική), τα πρόστιμα ορίζονται ρητά από την Ευρωπαϊκή Επιτροπή: έως 10.000.000 ευρώ ή 2% του παγκόσμιου κύκλου εργασιών του προηγούμενου οικονομικού έτους για μια «βασική» οντότητα (όποιο ποσό είναι υψηλότερο), και έως 7.000.000 ευρώ ή 1,4% του παγκόσμιου κύκλου εργασιών για μια «σημαντική» οντότητα. Ακριβώς για την αποφυγή αυτού του κινδύνου συνιστάται το ISO 27001 ως απόδειξη συμμόρφωσης.
Πηγή: Ευρωπαϊκή Επιτροπή, επίσημες συχνές ερωτήσεις NIS2Δεν πρόκειται για αυτόματα ή κατ' αποκοπή πρόστιμα. Η αρμόδια αρχή πρέπει να λαμβάνει υπόψη «τη φύση, τη σοβαρότητα και τη διάρκεια της παράβασης, τη ζημία που προκλήθηκε ή τις απώλειες που υπέστησαν, [και] τον εκ προθέσεως ή εξ αμελείας χαρακτήρα της παράβασης». Μια καλόπιστη επιχείρηση που διορθώνει γρήγορα ένα περιστατικό δεν αντιμετωπίζεται όπως μια αμελής και υπότροπη.
Πηγή: Ευρωπαϊκή Επιτροπή, επίσημες συχνές ερωτήσεις NIS2Κάθε κράτος μέλος ορίζει τη δική του αρμόδια αρχή για την επιβολή της NIS2. Στη Γαλλία, αρμόδια για την εφαρμογή και την επιβολή είναι η ANSSI (ο γαλλικός εθνικός οργανισμός κυβερνοασφάλειας). Τον Μάρτιο του 2026 διέθεσε ένα εθνικό πλαίσιο αναφοράς (ReCyF, μη υποχρεωτικό) για να βοηθήσει τις επιχειρήσεις να προσανατολιστούν και να συγκρίνουν τις υφιστάμενες προσεγγίσεις τους, συμπεριλαμβανομένου του ISO 27001.
Πηγή: cyber.gouv.fr (ANSSI)Οι αρμόδιες αρχές διαθέτουν επίσης μη χρηματικά εργαλεία: δεσμευτικές οδηγίες, εντολές εφαρμογής των συστάσεων ενός ελέγχου ασφάλειας ή εντολές συμμόρφωσης των μέτρων ασφάλειας. Η οδηγία προβλέπει επίσης διατάξεις για την ευθύνη των προσώπων που ασκούν διευθυντικά καθήκοντα. Το πρόστιμο δεν είναι συνήθως η πρώτη αντίδραση σε μια παράβαση.
Πηγή: Ευρωπαϊκή Επιτροπή, επίσημες συχνές ερωτήσεις NIS2Τα κράτη μέλη είχαν προθεσμία έως τις 17 Οκτωβρίου 2024 για να μεταφέρουν την NIS2 στο εθνικό τους δίκαιο. Κατά τη στιγμή της σύνταξης, καμία επίσημη πηγή δεν έχει δημοσιεύσει πραγματική περίπτωση με ποσό κύρωσης που να έχει πράγματι επιβληθεί στη Γαλλία ή στην ΕΕ: τα παραπάνω ποσά είναι ανώτατα νόμιμα όρια, όχι μέσα ποσά που παρατηρούνται στην πράξη. Θα επικαιροποιήσουμε αυτή τη σελίδα μόλις δημοσιευθεί επίσημη περίπτωση.
Πηγή: Ευρωπαϊκή Επιτροπή, digital-strategy.ec.europa.euΠοιες ημερομηνίες μετράνε πραγματικά; Τι είναι ήδη υποχρεωτικό, τι ισχύει ήδη και τι έρχεται. Με βάση επίσημες πηγές, κατανοητό σε 2 λεπτά, επικαιροποίηση στις 18/07/2026.
Υπήρχε παλαιότερα μια έκδοση του 2013, η οποία έχει πλέον αντικατασταθεί. Το επίσημο μεθοδολογικό δελτίο της ANSSI (Μάιος 2025) το επιβεβαιώνει ρητά στον συγκριτικό του πίνακα: «Τελευταία έκδοση: ISO 27001 έκδοση 2022». Η έκδοση αυτή καλύπτει τους οργανωτικούς, φυσικούς και τεχνολογικούς τομείς του πεδίου που πιστοποιείται. Στην πράξη: κάθε νέα πιστοποίηση ή ανανέωση διενεργείται πλέον με βάση αυτή την έκδοση.
Πηγή: ANSSI, μεθοδολογικό δελτίο v1.0 (Μάιος 2025)Η ευρωπαϊκή οδηγία NIS2 τέθηκε σε ισχύ τον Ιανουάριο του 2023, αλλά η ημερομηνία που μετράει για τις επιχειρήσεις είναι η 17η Οκτωβρίου 2024: η προθεσμία εντός της οποίας κάθε κράτος μέλος έπρεπε να μεταφέρει το κείμενο στο εθνικό του δίκαιο. Από εκείνη την ημερομηνία, η NIS2 εφαρμόζεται στην πράξη και αναφέρει ακριβώς τη σειρά προτύπων ISO/IEC 27000 (στην οποία ανήκει το ISO 27001) ως αναφορά ορθών πρακτικών για τη συμμόρφωση με αυτήν.
Πηγή: Ευρωπαϊκή Επιτροπή, digital-strategy.ec.europa.euΤην επομένη της προθεσμίας μεταφοράς της NIS2, η παλαιά οδηγία NIS1 (του 2016) καταργήθηκε επίσημα. Υπάρχει πλέον ένα μόνο κείμενο αναφοράς στην Ευρώπη για την κανονιστική κυβερνοασφάλεια των κρίσιμων κλάδων: καμία αμφιβολία πλέον για το ποιο πλαίσιο εφαρμόζεται.
Πηγή: Ευρωπαϊκή Επιτροπή, digital-strategy.ec.europa.euΜόλις εκδοθεί από διαπιστευμένο φορέα, το πιστοποιητικό ISO 27001 ισχύει για 3 έτη. Δεν κατακτάται όμως οριστικά: η AFNOR Certification προγραμματίζει επίσκεψη επιτήρησης κάθε χρόνο και στη συνέχεια πλήρη έλεγχο ανανέωσης στη συμπλήρωση των 3 ετών. Η ANSSI επιβεβαιώνει ακριβώς τον ίδιο μηχανισμό στο δελτίο του Μαΐου 2025: διάρκεια 3 ετών, ετήσια ανασκόπηση από τη διοίκηση και έλεγχος παρακολούθησης. Δύο διαφορετικές επίσημες πηγές, το ίδιο χρονολόγιο.
Πηγή: AFNOR Certification, ANSSI (Μάιος 2025)Στις 20 Ιανουαρίου 2026 η Ευρωπαϊκή Επιτροπή πρότεινε στοχευμένη τροποποίηση για την απλούστευση της συμμόρφωσης 28.700 επιχειρήσεων, μεταξύ των οποίων 6.200 πολύ μικρές και μικρές επιχειρήσεις. Κατά την ημερομηνία αυτή πρόκειται για πρόταση, όχι για κείμενο που έχει ήδη εγκριθεί: το κανονιστικό χρονολόγιο γύρω από το ISO 27001 μπορεί επομένως να μετακινηθεί τους επόμενους μήνες, χωρίς να αλλάζει η αξία του ίδιου του προτύπου.
Πηγή: Ευρωπαϊκή Επιτροπή, digital-strategy.ec.europa.eu (20/01/2026)Για τα πληροφοριακά συστήματα του γαλλικού Δημοσίου και των ρυθμιζόμενων φορέων, η ANSSI διαθέτει τη δική της διαδικασία, την έγκριση ασφάλειας, σήμερα στην έκδοση 2.1 (2025), η οποία έχει επίσης μέγιστη διάρκεια 3 ετών και συνιστώμενη ετήσια ανασκόπηση του συστήματος. Δεν πρόκειται για την ίδια διαδικασία με το ISO 27001 (προαιρετικό), αλλά και οι δύο ακολουθούν τον ίδιο ρυθμό των 3 ετών, γεγονός που διευκολύνει όσους πρέπει να διαχειρίζονται και τις δύο ταυτόχρονα.
Πηγή: ANSSI, μεθοδολογικό δελτίο v1.0 (Μάιος 2025)Επικοινωνήστε μαζί μας για εξατομικευμένη προσφορά ανάλογα με το πεδίο εφαρμογής σας και το τρέχον επίπεδο ωριμότητας.
Δωρεάν: η βαθμολογία σας + οι αποκλίσεις σας. Η αναλυτική έκθεση και η τεκμηριωμένη δήλωση: 990 EUR χωρίς ΦΠΑ, μόνο αν το αποφασίσετε.
contact@syaga.eu