# Ευθύνη της διοίκησης σε ευπάθειες ασφάλειας πληροφορικής

> Η ευθύνη της διοίκησης σε ευπάθειες ασφάλειας πληροφορικής εν συντομία: καθήκοντα επιμέλειας, NIS2 και πώς τεκμηριώνετε σωστά τις αποφάσεις σας.

Πηγή: https://phpsos.de/el/compliance/geschaeftsfuehrer-haftung/  
Ημερομηνία: 25/10/2026  
Πάροχος: PHP SOS, Επείγουσα βοήθεια PHP και ασφάλεια διακομιστών. Άμεση βοήθεια μέσω WhatsApp: https://wa.me/491736494914?text=%CE%93%CE%B5%CE%B9%CE%B1%20%CF%83%CE%B1%CF%82%2C%20PHP%20SOS%2C%20%CF%87%CF%81%CE%B5%CE%B9%CE%B1%CE%B6%CF%8C%CE%BC%CE%B1%CF%83%CF%84%CE%B5%20%CE%B2%CE%BF%CE%AE%CE%B8%CE%B5%CE%B9%CE%B1%20%CE%BC%CE%B5%20%CF%84%CE%BF%CE%BD%20%CE%B4%CE%B9%CE%B1%CE%BA%CE%BF%CE%BC%CE%B9%CF%83%CF%84%CE%AE%20PHP%20%CE%BC%CE%B1%CF%82.%20%CE%95%CF%84%CE%B1%CE%B9%CF%81%CE%B5%CE%AF%CE%B1%3A%20%E2%80%A6%20%CE%99%CF%83%CF%84%CF%8C%CF%84%CE%BF%CF%80%CE%BF%CF%82%3A%20%E2%80%A6

**Εν συντομία:** Η ασφάλεια πληροφορικής ανήκει στα καθήκοντα της διοίκησης. Η ευθύνη της διοίκησης σε ευπάθειες ασφάλειας πληροφορικής συζητείται κυρίως όταν γνωστοί κίνδυνοι δεν αντιμετωπίστηκαν επαρκώς, δεν ρυθμίστηκαν οι αρμοδιότητες ή οι αποφάσεις δεν ελήφθησαν με αναγνωρίσιμο τρόπο. Σε καταστάσεις όπως το PHP2Shell βοηθά μια σαφής, τεκμηριωμένη απόφαση με βάση τα διαθέσιμα στοιχεία. Αυτή η σελίδα είναι γενική πληροφόρηση και όχι νομική συμβουλή.

> **Σημαντικό:**
> Δεν πρόκειται για νομική συμβουλή: τα ζητήματα ευθύνης εξαρτώνται σε μεγάλο βαθμό από τη συγκεκριμένη περίπτωση, τη νομική μορφή και τις συμβατικές ρυθμίσεις. Αφήστε συγκεκριμένα ερωτήματα στην αξιολόγηση ενός δικηγόρου εταιρικού δικαίου.

## Ευθύνη της διοίκησης και ασφάλεια πληροφορικής: το γενικό πλαίσιο

Για τους διευθυντές μιας GmbH (γερμανική εταιρεία περιορισμένης ευθύνης) το § 43 GmbHG (γερμανικός νόμος για τις εταιρείες περιορισμένης ευθύνης) απαιτεί την επιμέλεια ενός συνετού επιχειρηματία. Για τα μέλη του διοικητικού συμβουλίου μιας ανώνυμης εταιρείας το § 93 AktG (γερμανικός νόμος για τις ανώνυμες εταιρείες) περιέχει έναν συγκρίσιμο κανόνα· το § 91 παρ. 2 AktG απαιτεί επιπλέον κατάλληλα μέτρα για την έγκαιρη αναγνώριση εξελίξεων που θέτουν σε κίνδυνο την ύπαρξη της εταιρείας. Από αυτά τα γενικά καθήκοντα συνάγεται στη θεωρητική συζήτηση ότι πρέπει να διαχειρίζονται κατάλληλα και οι κίνδυνοι πληροφορικής.

Για τις επιχειρηματικές αποφάσεις υπάρχει περιθώριο εκτίμησης. Όποιος αποφασίζει με βάση επαρκή πληροφόρηση και προς όφελος της εταιρείας ενεργεί κατά κανόνα σύμφωνα με το καθήκον του, σύμφωνα με τον λεγόμενο κανόνα Business Judgment Rule, ακόμη και αν η απόφαση αποδειχθεί αργότερα δυσμενής. Από αυτό προκύπτει ένα πρακτικό δίδαγμα: αποφασιστικό είναι συχνά λιγότερο το αποτέλεσμα και περισσότερο το αν η απόφαση ελήφθη με ενημέρωση και με αναγνωρίσιμο τρόπο.

## Τι προσθέτει η NIS2

Για τις επιχειρήσεις που εμπίπτουν στη NIS2 η ευθύνη της διοίκησης ρυθμίζεται ρητά. Η διοίκηση πρέπει να εγκρίνει τα μέτρα διαχείρισης κινδύνων, να επιβλέπει την υλοποίησή τους και να εκπαιδεύεται σε θέματα κυβερνοασφάλειας. Στη Γερμανία η μεταφορά γίνεται με το NIS2UmsuCG (γερμανικός νόμος). Το αν η επιχείρησή σας αφορά και ποιες υποχρεώσεις ισχύουν ειδικά, το βρίσκετε στα στοιχεία του BSI (Ομοσπονδιακή Υπηρεσία Ασφάλειας Πληροφοριών της Γερμανίας). Μια γενική επισκόπηση δίνει η σελίδα [NIS2 και ασφάλεια διακομιστών ιστού](https://phpsos.de/el/compliance/nis2/).

Προστίθενται υποχρεώσεις από την προστασία δεδομένων. Σύμφωνα με τον ΓΚΠΔ, μια επιχείρηση πρέπει να λαμβάνει κατάλληλα τεχνικά και οργανωτικά μέτρα και να αξιολογεί, να τεκμηριώνει και, αν χρειάζεται, να γνωστοποιεί παραβιάσεις της προστασίας δεδομένων προσωπικού χαρακτήρα σύμφωνα με το άρθρο 33.

## Τι απαιτεί μια κατάσταση όπως το PHP2Shell από τη διοίκηση

Το PHP2Shell περιλαμβάνει δύο κρίσιμες ευπάθειες στην ίδια την PHP (CVE-2026-109618 και CVE-2026-109619, με CVSS v4.0 9,2 η καθεμία). Το BSI κήρυξε επίπεδο προειδοποίησης 3 (πορτοκαλί) και συνιστά άμεση ενημέρωση και, αν αυτό δεν είναι δυνατό, προσωρινή αποσύνδεση των διακομιστών ιστού από το δίκτυο. Για τη διοίκηση προκύπτει έτσι μια τυπική στάθμιση: κύκλος εργασιών και διαθεσιμότητα έναντι ενός υψηλού, δημόσια γνωστού κινδύνου.

Κανείς δεν απαιτεί από τους διευθυντές να κάνουν οι ίδιοι patch στους διακομιστές. Μπορεί όμως να αναμένεται ότι θα λάβουν γνώση της κατάστασης, θα ξεκαθαρίσουν τις αρμοδιότητες, θα ζητήσουν ενημέρωση και θα λάβουν απόφαση. Ερωτήματα που πρέπει να θέτει η διοίκηση:

- Ποια από τα συστήματά μας χρησιμοποιούν PHP και ποιος είναι αρμόδιος γι' αυτά, εσωτερικά ή στον πάροχο υπηρεσιών;
- Έχουν εφαρμοστεί οι ενημερώσεις και έχουν επανεκκινηθεί οι διεργασίες και υπάρχει απόδειξη γι' αυτό;
- Αν όχι: γιατί όχι, ποια προσωρινά μέτρα εφαρμόζονται και αποσυνδέουμε το σύστημα από το δίκτυο;
- Υπάρχουν ενδείξεις παραβίασης και ποιος αξιολογεί πιθανές υποχρεώσεις γνωστοποίησης;

## Τεκμηρίωση των αποφάσεων

Καταγράψτε σύντομα γραπτά την εικόνα της κατάστασης, τις επιλογές, την απόφαση και την αιτιολόγηση, με ημερομηνία και ώρα. Ένα τέτοιο πρωτόκολλο δεν χρειάζεται να είναι μακροσκελές. Δείχνει αργότερα ότι η διοίκηση ήταν ενημερωμένη και στάθμισε. Αυτό ισχύει ρητά και για την απόφαση να συνεχίσει να λειτουργεί ένα σύστημα, παρά τον κίνδυνο, για περιορισμένο χρονικό διάστημα.

| Περιεχόμενο | Παράδειγμα |
|---|---|
| Εικόνα της κατάστασης | BSI επίπεδο προειδοποίησης 3, patches διαθέσιμα από τις 21/10/2026 |
| Επηρεαζόμενα συστήματα | κατάστημα, πύλη πελατών, εσωτερική εγκατάσταση wiki |
| Επιλογές | άμεσο patch, προσωρινά μέτρα, αποσύνδεση από το δίκτυο |
| Απόφαση | patch στο κατάστημα, το wiki εκτός σύνδεσης μέχρι την ενημέρωση |
| Αιτιολόγηση και υπεύθυνοι | απόδειξη από τον πάροχο υπηρεσιών, έλεγχος από τη διεύθυνση IT |

Ένα patch δεν αφαιρεί κακόβουλο λογισμικό που έχει ήδη εισαχθεί. Και η απόφαση για το αν θα αναζητηθούν ίχνη ανήκει στο πρωτόκολλο.

## Μόνιμη οργάνωση αντί για αυτοσχεδιασμό στην πραγματική περίπτωση

Η καλύτερη πρόληψη είναι μια σαφής οργάνωση: ένας ορισμένος υπεύθυνος για την ασφάλεια πληροφοριών, μια διαδικασία για ενημερώσεις ασφαλείας, τακτικές αναφορές προς τη διοίκηση, ένα δοκιμασμένο [σχέδιο έκτακτης ανάγκης πληροφορικής](https://phpsos.de/el/compliance/notfallplan-erstellen/) και ένας ανεξάρτητος έλεγχος σε εύλογα χρονικά διαστήματα. Ως μεθοδολογικό πλαίσιο ενδείκνυται το IT-Grundschutz του BSI.

Στην οργάνωση ανήκει και η διαμόρφωση των αναφορών ώστε να τις κατανοεί η διοίκηση. Συχνά αρκεί μια σύντομη, τακτική αναφορά με λίγα στοιχεία: πόσα συστήματα βρίσκονται στο τρέχον επίπεδο, πού υπάρχουν εξαιρέσεις και γιατί, ποια περιστατικά ή παρ' ολίγον περιστατικά υπήρξαν, ποιες αποφάσεις εκκρεμούν. Όποιος παραλαμβάνει τέτοιες αναφορές, θέτει ερωτήματα και καταγράφει τα αποτελέσματα, μπορεί αργότερα να δείξει ότι η εποπτεία πράγματι έγινε. Αυτό ισχύει ανεξάρτητα από το αν η τεχνική βρίσκεται εσωτερικά ή σε πάροχο υπηρεσιών.

## Πώς βοηθά συγκεκριμένα το PHP SOS;

- Καταρτίζουμε μια κατανοητή εικόνα της κατάστασης των διακομιστών ιστού σας για τη διοίκηση, με σαφείς επιλογές.
- Υλοποιούμε την επιλεγμένη επιλογή και παρέχουμε γραπτή τεχνική απόδειξη.
- Μέσω ενός [ελέγχου ασφάλειας ή δοκιμής διείσδυσης](https://phpsos.de/el/leistungen/sicherheitsaudit-penetrationstest/) δημιουργούμε μια ανεξάρτητη βάση για τις αποφάσεις σας.
- Με μια [σύμβαση συντήρησης ασφάλειας](https://phpsos.de/el/leistungen/security-wartungsvertrag/) ρυθμίζουμε μόνιμα ενημερώσεις και αναφορές.


## Συχνές ερωτήσεις

**Ευθύνεται προσωπικά ένας διευθύνων σύμβουλος για μια επίθεση χάκερ;**  
Μια επίθεση από μόνη της δεν θεμελιώνει προσωπική ευθύνη. Μια ευθύνη συζητείται κυρίως όταν παραβιάστηκαν καθήκοντα επιμέλειας, για παράδειγμα όταν αγνοήθηκαν γνωστοί κίνδυνοι ή δεν ρυθμίστηκαν οι αρμοδιότητες. Το αν ισχύει αυτό σε κάθε περίπτωση το κρίνει μόνο μια νομική συμβουλή.

**Μπορώ να αναθέσω πλήρως την ασφάλεια πληροφορικής στο τμήμα IT ή σε πάροχο υπηρεσιών;**  
Οι εργασίες μπορούν να ανατεθούν, η ευθύνη όμως για την επιλογή, τον εξοπλισμό και την εποπτεία παραμένει στη διοίκηση. Ζητάτε τακτική ενημέρωση και καταγράφετε ποιες αποφάσεις λήφθηκαν και με ποια βάση.

**Τι αλλάζει η NIS2 στην ευθύνη της διοίκησης;**  
Η NIS2 απαιτεί από τη διοίκηση των επιχειρήσεων που αφορά να εγκρίνει μέτρα διαχείρισης κινδύνων, να επιβλέπει την υλοποίησή τους και να συμμετέχει σε εκπαιδεύσεις. Οι λεπτομέρειες προκύπτουν από τον γερμανικό νόμο μεταφοράς και τα στοιχεία του BSI.

**Βοηθά μια ασφάλιση D&O;**  
Μια ασφάλιση αστικής ευθύνης διοικητικών στελεχών μπορεί να καλύπτει ορισμένους κινδύνους ευθύνης της διοίκησης, οι όροι όμως διαφέρουν σημαντικά. Ξεκαθαρίστε την έκταση με τον διαμεσολαβητή ή τον ασφαλιστή σας.

## Πηγές

- [BSI](https://www.bsi.bund.de/)
- [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [Άρθρο 33 ΓΚΠΔ](https://dsgvo-gesetz.de/art-33-dsgvo/)