Η ραγδαία εξέλιξη του μοντέλου Software–as–a–Service (SaaS) άλλαξε ριζικά τον τρόπο με τον οποίο οι επιχειρήσεις αναπτύσσουν, διανέμουν και χρησιμοποιούν λογισμικό. Ωστόσο, η αυξανόμενη εξάρτηση από τις υποδομές υπολογιστικού νέφους (cloud) και τη διαρκή συνδεσιμότητα συνεπάγεται σοβαρούς κινδύνους κυβερνοασφάλειας.

Νίκος Γεωργόπουλος

Digital Risk Insurance Architect

Cromar Insurance Brokers www.cromar.gr

LinkedIn Profile : https://www.linkedin.com/in/nikos-georgopoulos/

 

 

 

Σε αυτό το πλαίσιο, ο ευρωπαϊκός Κανονισμός για την Κυβερνοανθεκτικότητα (Cyber Resilience Act – CRA / Κανονισμός ΕΕ 2024/2847) εισάγει υποχρεωτικές απαιτήσεις κυβερνοασφάλειας για προϊόντα με ψηφιακά στοιχεία καθ’ όλη τη διάρκεια του κύκλου ζωής τους. Για τις εταιρείες SaaS, η κατανόηση των απαιτήσεων του CRA σε συνδυασμό με την Ασφάλιση Τεχνολογίας (Tech Insurance) αποτελεί πλέον κρίσιμο παράγοντα βιώσιμης ανάπτυξης και διαχείρισης κινδύνου.

SaaS και Cyber Resilience Act: Πότε και πώς υπάγεται το Λογισμικό

Ο CRA καλύπτει «προϊόντα με ψηφιακά στοιχεία» (Products with Digital Elements – PDE), δηλαδή προϊόντα λογισμικού ή υλικού που συνεπάγονται άμεση ή έμμεση, φυσική ή λογική σύνδεση με συσκευή ή δίκτυο. Παρότι μια αμιγώς browser-based υπηρεσία SaaS που χρησιμοποιείται αποκλειστικά μέσω διαδικτύου δεν αποτελεί αυτόματα αυτοτελές PDE, η εξαίρεση αυτή είναι αυστηρά περιορισμένη.

Μια λειτουργία cloud ή SaaS εμπίπτει άμεσα στον CRA όταν λειτουργεί ως «λύση εξ αποστάσεως επεξεργασίας δεδομένων» (remote data processing solution), δηλαδή όταν έχει σχεδιαστεί από ή για λογαριασμό του κατασκευαστή ενός ψηφιακού προϊόντος και η απουσία της θα εμπόδιζε το προϊόν να εκτελέσει μία από τις βασικές του λειτουργίες. Επιπλέον, downloadable εφαρμογές, desktop ή mobile clients, agents, plug-ins, libraries, APIs και SDKs που διατίθενται αυτόνομα αξιολογούνται αυτοτελώς και υπάγονται στον Κανονισμό εφόσον παρέχονται στο πλαίσιο εμπορικής δραστηριότητας στην αγορά της ΕΕ.

Για τις εταιρείες λογισμικού που ενεργούν ως κατασκευαστές, ο CRA επιβάλλει ένα εκτεταμένο σύνολο υποχρεώσεων:

  • 24ωρη & 72ωρη Υποχρέωση Αναφοράς (Άρθρο 14): Από τις 11 Σεπτεμβρίου 2026, οι κατασκευαστές υποχρεούνται να υποβάλλουν πρώιμη ειδοποίηση εντός 24 ωρών από τη στιγμή που λαμβάνουν γνώση ενεργά εκμεταλλευόμενης ευπάθειας ή σοβαρού περιστατικού στον ENISA και στην αρμόδια CSIRT, ακολουθούμενη από πλήρη κοινοποίηση εντός 72 ωρών.
  • Διαχείριση Κύκλου Ζωής & SBOM: Απαιτείται τεκμηριωμένη αξιολόγηση κινδύνων κυβερνοασφάλειας, κατάρτιση καταλόγου υλικών λογισμικού (Software Bill of Materials – SBOM) σε μηχαναγνώσιμη μορφή (όπως SPDX ή CycloneDX), καθώς και παροχή ενημερώσεων ασφαλείας για περίοδο υποστήριξης τουλάχιστον 5 ετών.
  • Τεχνική Τεκμηρίωση & Ρόλοι: Η τεχνική τεκμηρίωση και η δήλωση συμμόρφωσης ΕΕ πρέπει να τηρούνται για τουλάχιστον 10 έτη ή για όση διάρκεια έχει η περίοδος υποστήριξης. Επιπλέον, εισαγωγείς ή διανομείς που διαθέτουν λογισμικό υπό το δικό τους σήμα ή προβαίνουν σε ουσιώδη τροποποίηση αναλαμβάνουν το πλήρες βάρος των υποχρεώσεων του κατασκευαστή.
  • Αυστηρές Κυρώσεις: Η μη συμμόρφωση με τις ουσιώδεις απαιτήσεις ή τις υποχρεώσεις αναφοράς επισύρει διοικητικά πρόστιμα έως €15 εκατομμύρια ή 2,5% του παγκόσμιου ετήσιου κύκλου εργασιών.

Ο Ρόλος της Ασφάλισης Tech Insurance στη Διαχείριση Κινδύνου

Ενώ ο CRA ορίζει το θεσμικό πλαίσιο συμμόρφωσης, η εξειδικευμένη Ασφάλιση Τεχνολογίας (Tech Insurance) παρέχει τον απαραίτητο μηχανισμό μεταφοράς κινδύνου και επιχειρησιακής ετοιμότητας. H ασφάλιση συνδυάζει προληπτικές υπηρεσίες και ευρείες καλύψεις:

  • 24/7 Άμεση Ανταπόκριση σε Περιστατικά (Cyber Incident Response – Insuring Clause 3): Παρέχει 24/7 πρόσβαση σε εξειδικευμένους incident managers, IT forensics consultants και νομικούς συμβούλους. Η υποστήριξη αυτή είναι καθοριστική για την έγκαιρη διερεύνηση του περιστατικού και τη σύνταξη των απαιτούμενων αναφορών εντός των σφιχτών προθεσμιών των 24 και 72 ωρών που επιβάλλει το άρθρο 14 του CRA.
  • Επαγγελματική Ευθύνη & Σφάλματα Λογισμικού (Professional Liability): Καλύπτει την εταιρεία SaaS έναντι αξιώσεων πελατών για αμελείς πράξεις, σφάλματα στον κώδικα (bugs), παραλείψεις, αστοχία του προϊόντος να λειτουργήσει όπως προοριζόταν, καθώς και για ακούσια παράβαση συμβατικών όρων (Breach of Contract/SLAs). Παράλληλα, η κάλυψη Sub–contractor Vicarious Liability προστατεύει από την αντικειμενική ευθύνη για λάθη εξωτερικών προγραμματιστών.
  • Ασφάλεια Δεδομένων & Ιδιωτικότητα (Network Security & Privacy Liability): Καλύπτει την αστική ευθύνη από actual ή suspected διαρροή προσωπικών δεδομένων (PII/PHI), έξοδα ειδοποίησης επηρεαζόμενων μερών, καθώς και κανονιστικές έρευνες.
  • Διακοπή Εργασιών & Εφοδιαστική Αλυσίδα (Business Interruption & Dependent Business Interruption): Αποζημιώνει την απώλεια εισοδήματος και τα αυξημένα έξοδα λειτουργίας λόγω downtime των συστημάτων της ίδιας της εταιρείας ή λόγω ξαφνικής διακοπής συστημάτων κρίσιμου τρίτου παρόχου/cloud (supply chain partner).
  • Προληπτική Προστασία & Μετριασμός Ζημιάς (Proactive Services & Loss Mitigation): Περιλαμβάνει προληπτικές υπηρεσίες εντοπισμού ευπαθειών, ενώ η κάλυψη Loss Mitigation αποζημιώνει έξοδα άμεσης διόρθωσης ενός σφάλματος προτού αυτό εξελιχθεί σε επίσημη δικαστική αξίωση.

Συμπέρασμα: Στρατηγικό Πλεονέκτημα Ψηφιακής Εμπιστοσύνης

Η εφαρμογή του Cyber Resilience Act μετατρέπει την κυβερνοασφάλεια από τεχνική επιλογή σε αυστηρή νομική υποχρέωση με σοβαρές κυρωτικές συνέπειες. Για τις εταιρείες SaaS, η προσαρμογή στις απαιτήσεις του CRA σε συνδυασμό με εξειδικευμένη ασφάλιση Tech Insurance δεν είναι απλώς ένα έξοδο συμμόρφωσης. Αποτελεί μια στρατηγική επένδυση που θωρακίζει τη ρευστότητα, ενισχύει την εμπιστοσύνη των B2B πελατών και εξασφαλίζει την επιχειρησιακή ανθεκτικότητα στην εσωτερική αγορά της Ευρωπαϊκής Ένωσης.