Τον περασμένο Ιούνιο, ο Μάριος Πιερής ανέλαβε καθήκοντα Επιτρόπου Επικοινωνιών, έχοντας την ευθύνη του Γραφείου του Επιτρόπου Επικοινωνιών για τη Ρύθμιση Τηλεπικοινωνιών και Ταχυδρομείων (ΓΕΡΗΕΤ), καθώς και της Αρχής Ψηφιακής Ασφάλειας (ΑΨΑ). Πρόκειται για δύο οργανισμούς με ολοένα και πιο κρίσιμο ρόλο, καθώς στηρίζουν και διευκολύνουν τη λειτουργία καίριων τομέων της οικονομίας και της κοινωνίας. Στη συνέντευξη που ακολουθεί, εξηγεί τον αντίκτυπο των σημαντικών ρυθμιστικών μεταρρυθμίσεων που βρίσκονται σε εξέλιξη, καθώς και τη διαρκή προσπάθεια προσαρμογής στις ταχύτατες τεχνολογικές εξελίξεις.
Μετά την ανάληψη των καθηκόντων σας ως Επίτροπος Επικοινωνιών, αναφερθήκατε στους φιλόδοξους στόχους σας για το Γραφείο τα επόμενα χρόνια. Ποιοι είναι, κατά τη γνώμη σας, οι σημαντικότεροι αλλά και οι πιο συναρπαστικοί;
Τα επόμενα χρόνια δεν θα καθοριστούν μόνο από την τεχνολογική πρόοδο, αλλά και από το ποιες χώρες θα καταφέρουν να μετατρέψουν την τεχνολογία σε εμπιστοσύνη, ανθεκτικότητα και βιώσιμη οικονομική αξία. Για την Κύπρο διακρίνω τρεις προτεραιότητες ιδιαίτερης σημασίας.
Η πρώτη αφορά την ενίσχυση της εθνικής κυβερνοανθεκτικότητας μέσω της αποτελεσματικής εφαρμογής της Οδηγίας NIS2. Δεν πρόκειται απλώς για μια διαδικασία συμμόρφωσης με το νομοθετικό πλαίσιο. Στόχος είναι να διασφαλιστεί ότι οι βασικές υπηρεσίες θα μπορούν να συνεχίσουν να λειτουργούν, ότι οι οργανισμοί θα είναι σε θέση να αντέχουν και να ανακάμπτουν από περιστατικά κυβερνοασφάλειας και ότι πολίτες και επιχειρήσεις θα χρησιμοποιούν τις ψηφιακές υπηρεσίες με εμπιστοσύνη.
Η δεύτερη προτεραιότητα είναι η διατήρηση ενός σύγχρονου, σταθερού και φιλικού προς τις επενδύσεις ρυθμιστικού πλαισίου για τις ηλεκτρονικές επικοινωνίες. Η Κύπρος χρειάζεται ασφαλείς, οικονομικά προσιτές και υψηλής χωρητικότητας υποδομές συνδεσιμότητας, αποτελεσματικό ανταγωνισμό και τις κατάλληλες προϋποθέσεις για τη συνέχιση των επενδύσεων στα δίκτυα νέας γενιάς. Παράλληλα, οι ταχυδρομικές υπηρεσίες εξακολουθούν να αποτελούν σημαντικό μέρος της αποστολής μας και οφείλουν να συνεχίσουν να εκσυγχρονίζονται, διατηρώντας παράλληλα την προσβασιμότητα, την ποιότητα και την καθολική παροχή υπηρεσιών.
Η τρίτη προτεραιότητα αφορά την περαιτέρω ενίσχυση των θεσμικών δυνατοτήτων του Γραφείου. Ο οργανισμός διαθέτει ένα ευρύ και ολοένα πιο στρατηγικό πεδίο αρμοδιοτήτων, που καλύπτει τις ηλεκτρονικές επικοινωνίες, τη ρύθμιση των ταχυδρομικών υπηρεσιών και την ψηφιακή ασφάλεια. Φιλοδοξία μου είναι να αξιοποιήσουμε τα ισχυρά θεμέλια που ήδη υπάρχουν και να εξελίξουμε έναν οργανισμό που θα συνδυάζει ρυθμιστική αρτιότητα, υψηλή τεχνική εξειδίκευση, επιχειρησιακή ετοιμότητα και ενεργή διεθνή παρουσία.
Για να επιτευχθεί αυτό απαιτείται συνεχής επένδυση στο ανθρώπινο δυναμικό μας, σαφείς προτεραιότητες και μια κουλτούρα λογοδοσίας, συνεργασίας και καινοτομίας. Η διαχρονική επιτυχία δεν είναι ποτέ έργο ενός μόνο ανθρώπου. Επιτυγχάνεται όταν ολόκληρος ο οργανισμός κατανοεί την αποστολή του και εργάζεται με κοινό προσανατολισμό.
Η Κύπρος έχει ήδη αναπτύξει σημαντικές δυνατότητες μέσω της Αρχής Ψηφιακής Ασφάλειας, της Εθνικής Ομάδας Αντιμετώπισης Περιστατικών Κυβερνοασφάλειας CSIRT-CY, του Εθνικού Κέντρου Συντονισμού για την Κυβερνοασφάλεια NCC-CY, της ICT Academy και του Κέντρου Επιχειρήσεων Ασφάλειας (Security Operations Centre). Παράλληλα, συμμετέχει ενεργά σε σημαντικές διεθνείς πρωτοβουλίες κυβερνοασφάλειας, όπως το Κέντρο Αριστείας για την Κυβερνοασφάλεια στη Ναυτιλία (MarCCE), το οποίο συντονίζεται από το Υφυπουργείο Ναυτιλίας σε συνεργασία με το Υφυπουργείο Έρευνας, Καινοτομίας και Ψηφιακής Πολιτικής και διεθνείς εταίρους, με ενεργό συμμετοχή του Γραφείου μας.
Η στενή συνεργασία μας με την Ευρωπαϊκή Επιτροπή, τον ENISA, το Ευρωπαϊκό Κέντρο Ικανοτήτων Κυβερνοασφάλειας, τις αρμόδιες αρχές των κρατών μελών και άλλους στρατηγικούς εταίρους αποδεικνύει ότι η Κύπρος μπορεί να διαδραματίσει ρόλο πολύ μεγαλύτερο από το μέγεθός της.
Τελικός μου στόχος είναι το Γραφείο να αναγνωρίζεται όχι μόνο ως ένας αποτελεσματικός ρυθμιστικός φορέας, αλλά και ως ένας αξιόπιστος θεσμός που προστατεύει το δημόσιο συμφέρον, ενισχύει τις επενδύσεις και την καινοτομία και συμβάλλει ουσιαστικά στη διαμόρφωση της ευρωπαϊκής και διεθνούς ψηφιακής ατζέντας. Φιλοδοξώ, όταν ολοκληρωθεί η θητεία μου, να παραδώσω έναν οργανισμό ισχυρότερο, πιο ικανό και ακόμη πιο καταξιωμένο από ό,τι είναι σήμερα.
Η Οδηγία NIS2 ενσωματώθηκε στην εθνική νομοθεσία το 2025, αυξάνοντας σημαντικά τον αριθμό των εποπτευόμενων οργανισμών. Ποιος είναι μέχρι σήμερα ο αντίκτυπός της στην Κύπρο;
Η σημαντικότερη επίδραση της Οδηγίας NIS2 είναι ότι η κυβερνοασφάλεια έχει πλέον μεταφερθεί από το τμήμα πληροφορικής στην αίθουσα του διοικητικού συμβουλίου. Η Οδηγία, η οποία ενσωματώθηκε στην κυπριακή νομοθεσία το 2025, διεύρυνε το πεδίο εποπτείας από περίπου 70 σε περίπου 600 οργανισμούς, που δραστηριοποιούνται στους 18 τομείς που καλύπτει η NIS2.
Για τους οργανισμούς αυτούς, η κυβερνοασφάλεια δεν αποτελεί πλέον αποκλειστικά τεχνικό ζήτημα, αλλά ευθύνη εταιρικής διακυβέρνησης και επιχειρησιακής συνέχειας. Η ανώτατη διοίκηση οφείλει να κατανοεί τους κινδύνους, να εγκρίνει τα κατάλληλα μέτρα προστασίας και να διασφαλίζει την αποτελεσματική εφαρμογή τους. Αυτό περιλαμβάνει τη διαχείριση κινδύνων, την αναφορά περιστατικών, τον σχεδιασμό για τη διασφάλιση της επιχειρησιακής συνέχειας, την ασφάλεια της εφοδιαστικής αλυσίδας, τη διενέργεια ελέγχων, την εφαρμογή βασικών πρακτικών κυβερνοϋγιεινής, καθώς και τη συνεχή εκπαίδευση του προσωπικού.
Η μετάβαση αυτή είναι ιδιαίτερα σημαντική. Πολλοί από τους οργανισμούς που υπάγονται πλέον στην εποπτεία μας αξιολογούν για πρώτη φορά το επίπεδο ωριμότητάς τους, θεσμοθετούν σαφείς αρμοδιότητες και επενδύουν σε μηχανισμούς και δικλίδες ασφαλείας.
Ταυτόχρονα, η διεύρυνση του πεδίου εφαρμογής δημιουργεί ουσιαστικές προκλήσεις, κυρίως σε ό,τι αφορά τη διαθεσιμότητα εξειδικευμένων δεξιοτήτων, τους διαθέσιμους προϋπολογισμούς και την έλλειψη καταρτισμένων επαγγελματιών στον τομέα της κυβερνοασφάλειας.
Ο δικός μας ρόλος, επομένως, δεν περιορίζεται στην άσκηση εποπτείας και στην επιβολή της νομοθεσίας. Η Αρχή Ψηφιακής Ασφάλειας αναπτύσσει το απαραίτητο εποπτικό πλαίσιο, εκδίδει κατευθυντήριες οδηγίες και δημιουργεί ψηφιακά εργαλεία για την υποβολή αναφορών και τη διαχείριση της επικοινωνίας με τους εμπλεκόμενους φορείς, ώστε να στηρίξει αποτελεσματικά τους οργανισμούς σε αυτή τη μετάβαση.
Στόχος μας είναι η εφαρμογή της Οδηγίας να είναι ταυτόχρονα αναλογική και αποτελεσματική. Αρκετά ισχυρή ώστε να μειώνει τον εθνικό κίνδυνο στον κυβερνοχώρο, αλλά και αρκετά πρακτική ώστε να βοηθά τους οργανισμούς να οικοδομήσουν πραγματική και διαχρονική ανθεκτικότητα, αντί να αντιμετωπίζουν τη συμμόρφωση ως μια απλή διαδικασία συμπλήρωσης υποχρεώσεων ή μιας λίστας ελέγχου.
Ποια είναι τα σημαντικότερα κενά που εντοπίζονται συχνότερα στα πρωτόκολλα κυβερνοασφάλειας των ιδιωτικών επιχειρήσεων και ποια υποστήριξη είναι διαθέσιμη προς αυτές;
Το συνηθέστερο κενό δεν αφορά κάποια συγκεκριμένη τεχνολογία. Αφορά την απουσία ξεκάθαρης διακυβέρνησης και μιας ώριμης κουλτούρας κυβερνοασφάλειας. Σε πολλούς οργανισμούς, ιδιαίτερα στις μικρομεσαίες επιχειρήσεις, οι αρμοδιότητες είναι κατακερματισμένες, οι κίνδυνοι δεν αξιολογούνται σε τακτική βάση και οι αποφάσεις που αφορούν την ασφάλεια λαμβάνονται συνήθως εκ των υστέρων, ως αντίδραση σε κάποιο περιστατικό.
Στις πιο συνηθισμένες αδυναμίες περιλαμβάνονται η ελλιπής καταγραφή των ψηφιακών περιουσιακών στοιχείων, η χρήση παρωχημένων συστημάτων, οι ανεπαρκείς μηχανισμοί ελέγχου πρόσβασης, η περιορισμένη αξιοποίηση της πολυπαραγοντικής ταυτοποίησης, η ελλιπής προετοιμασία για την αντιμετώπιση περιστατικών και τη διασφάλιση της επιχειρησιακής συνέχειας, η ανεπαρκής ευαισθητοποίηση και εκπαίδευση του προσωπικού, καθώς και η περιορισμένη εποπτεία των προμηθευτών και συνεργατών.
Ιδιαίτερη σημασία έχει και ο κίνδυνος που προέρχεται από την εφοδιαστική αλυσίδα, καθώς ένας οργανισμός μπορεί να διαθέτει ισχυρούς εσωτερικούς μηχανισμούς προστασίας, αλλά να παραμένει εκτεθειμένος μέσω ενός κρίσιμου συνεργάτη ή παρόχου υπηρεσιών.
Έχοντας αφιερώσει μεγάλο μέρος της επαγγελματικής μου πορείας στη διαχείριση τεχνολογίας σε ένα ιδιαίτερα ευαίσθητο περιβάλλον, όπως είναι ο τομέας της υγείας, γνωρίζω ότι η κυβερνοανθεκτικότητα δεν αποτελεί μια αφηρημένη υποχρέωση συμμόρφωσης. Στην ουσία της αφορά τη διασφάλιση ότι οι κρίσιμες υπηρεσίες θα παραμένουν διαθέσιμες όταν οι πολίτες τις χρειάζονται περισσότερο.
Η απαραίτητη υποστήριξη παρέχεται μέσω της Αρχής Ψηφιακής Ασφάλειας, του NCC-CY και της ICT Academy, μέσα από κατευθυντήριες οδηγίες, δράσεις ευαισθητοποίησης, εξειδικευμένα προγράμματα κατάρτισης, εργαστήρια και πρωτοβουλίες ανταλλαγής πληροφοριών και βέλτιστων πρακτικών.
Τα τελευταία δυόμισι χρόνια, σχεδόν 9.000 συμμετέχοντες έχουν παρακολουθήσει εκπαιδευτικά προγράμματα της ICT Academy. Παράλληλα, μέσω του NCC-CY και του Ιδρύματος Έρευνας και Καινοτομίας έχουν διατεθεί ευκαιρίες χρηματοδότησης ύψους άνω των 3,5 εκατομμυρίων ευρώ για έργα που αφορούν τεχνολογίες, υπηρεσίες και δεξιότητες στον τομέα της κυβερνοασφάλειας.
Το NCC-CY στηρίζει επίσης οργανισμούς που επιδιώκουν να αξιοποιήσουν ευρωπαϊκά προγράμματα χρηματοδότησης, όπως τα Horizon Europe και Digital Europe, παρέχοντας καθοδήγηση, ευκαιρίες δικτύωσης και υποστήριξη για τη δημιουργία συνεργασιών.
Στόχος μας είναι να συνδυάζουμε το ρυθμιστικό πλαίσιο με την ουσιαστική ενίσχυση των δυνατοτήτων των οργανισμών, ώστε να μην περιορίζονται απλώς στη συμμόρφωση με τις νομικές τους υποχρεώσεις, αλλά να γίνονται πραγματικά πιο ασφαλείς και περισσότερο ανθεκτικοί απέναντι στις σύγχρονες κυβερνοαπειλές.
Η Εθνική Ομάδα Αντιμετώπισης Περιστατικών Κυβερνοασφάλειας, CSIRT-CY, διαχειρίστηκε περισσότερα από 500 αναφερόμενα περιστατικά μόνο το 2024. Έχει διαφοροποιηθεί η εικόνα αυτή το 2026 και προς ποια κατεύθυνση εκτιμάτε ότι εξελίσσεται η τάση;
Είναι σημαντικό να είμαστε προσεκτικοί όταν συγκρίνουμε στοιχεία που αφορούν ένα ολοκληρωμένο ημερολογιακό έτος με δεδομένα που καλύπτουν μόνο μέρος του τρέχοντος έτους. Αυτό που μπορούμε να πούμε με βεβαιότητα για το 2026 είναι ότι η πίεση παραμένει ιδιαίτερα αυξημένη και το περιβάλλον των κυβερνοαπειλών γίνεται ολοένα πιο σύνθετο.
Εξακολουθούμε να καταγράφουμε περιστατικά που επηρεάζουν τον χρηματοπιστωτικό τομέα, τις τηλεπικοινωνίες, την ενέργεια, τη δημόσια διοίκηση, την υγεία και άλλες κρίσιμες υπηρεσίες.
Η αύξηση του αριθμού των αναφερόμενων περιστατικών δεν θα πρέπει να ερμηνεύεται αυτομάτως ως αύξηση των επιτυχημένων κυβερνοεπιθέσεων. Αντιθέτως, μπορεί να αντικατοπτρίζει την ενίσχυση των υποχρεώσεων αναφοράς, τη βελτίωση των δυνατοτήτων εντοπισμού περιστατικών και την ενδυνάμωση της σχέσης εμπιστοσύνης μεταξύ των οργανισμών και της CSIRT-CY.
Ωστόσο, η γενική κατεύθυνση είναι σαφής. Οι φορείς κυβερνοαπειλών αξιοποιούν πλέον τον αυτοματισμό και την τεχνητή νοημοσύνη, προκειμένου να κλιμακώσουν επιθέσεις ηλεκτρονικού «ψαρέματος» (phishing), επιθέσεις παραβίασης επαγγελματικών λογαριασμών ηλεκτρονικού ταχυδρομείου (Business Email Compromise) και επιθέσεις κοινωνικής μηχανικής.
Παράλληλα, συνεχίζουν να εκμεταλλεύονται συστήματα που είναι εκτεθειμένα στο διαδίκτυο, ευπάθειες που δεν έχουν επιδιορθωθεί εγκαίρως, αδύναμους μηχανισμούς πιστοποίησης χρηστών και εξαρτήσεις από τρίτους παρόχους και συνεργάτες.
Οι επιθέσεις λυτρισμικού (ransomware), η κλοπή δεδομένων και η διακοπή της λειτουργίας κρίσιμων υπηρεσιών εξακολουθούν να αποτελούν ιδιαίτερα σοβαρές απειλές.
Η δική μας απάντηση πρέπει να βασίζεται σε μια ολοκληρωμένη προσέγγιση, η οποία συνδυάζει την πρόληψη, την έγκαιρη ανίχνευση απειλών, την ταχεία διαχείριση περιστατικών, τη διεξαγωγή ασκήσεων ετοιμότητας, την ανταλλαγή πληροφοριών για τις απειλές και την ύπαρξη δοκιμασμένων σχεδίων αποκατάστασης.
Στο τέλος της ημέρας, η ανθεκτικότητα ενός οργανισμού δεν μετριέται από το αν θα δεχθεί ποτέ επίθεση. Μετριέται από το πόσο αποτελεσματικά μπορεί να περιορίσει τις επιπτώσεις της, να ανακάμψει γρήγορα και να συνεχίσει απρόσκοπτα τη λειτουργία του.
Αντιμετωπίζει η Κύπρος προηγμένες απειλές που συνδέονται με κρατικούς φορείς ή πρόκειται κυρίως για ευκαιριακές επιθέσεις από άτομα και οργανωμένες ομάδες; Πώς επηρεάζει αυτό το έργο του Γραφείου σας;
Η ειλικρινής απάντηση είναι ότι η Κύπρος δραστηριοποιείται σε ένα περιβάλλον απειλών που περιλαμβάνει τόσο το ηλεκτρονικό έγκλημα ευκαιριακού χαρακτήρα όσο και πιο σύνθετες και οργανωμένες εκστρατείες, οι οποίες διεξάγονται από ιδιαίτερα ικανούς και καλά εξοπλισμένους φορείς.
Η στρατηγική γεωγραφική θέση της χώρας, η έντονη διεθνής επιχειρηματική δραστηριότητα, ο ναυτιλιακός τομέας και η υψηλή ψηφιακή διασυνδεσιμότητα αυξάνουν την έκθεσή μας σε εκστρατείες που συχνά έχουν περιφερειακή ή και παγκόσμια διάσταση.
Ωστόσο, η απόδοση ευθύνης για μια κυβερνοεπίθεση πρέπει να γίνεται με υπευθυνότητα. Δεν χαρακτηρίζουμε ένα περιστατικό ως συνδεόμενο με κρατικό φορέα χωρίς την ύπαρξη επαρκών και αξιόπιστων αποδεικτικών στοιχείων, καθώς και χωρίς τον απαραίτητο συντονισμό με τις αρμόδιες εθνικές και διεθνείς αρχές.
Σε επιχειρησιακό επίπεδο, η προσέγγισή μας βασίζεται στην αξιολόγηση πληροφοριών και όχι στην ταυτότητα του δράστη. Οι οργανισμοί πρέπει να είναι σε θέση να εντοπίζουν, να αντιμετωπίζουν και να ανακάμπτουν από ένα περιστατικό κυβερνοασφάλειας, ανεξάρτητα από το ποιος βρίσκεται πίσω από αυτό.
Για να επιτευχθεί αυτό απαιτούνται ισχυρές τεχνικές δυνατότητες, ασφαλής και έγκαιρη ανταλλαγή πληροφοριών για τις απειλές, συνεχείς ασκήσεις ετοιμότητας και στενή συνεργασία με τις εθνικές αρχές, τον ιδιωτικό τομέα, το Ευρωπαϊκό Δίκτυο CSIRT, τον ENISA και αξιόπιστους διεθνείς εταίρους.
Πολλά από τα περιστατικά που επηρεάζουν την Κύπρο αποτελούν μέρος ευρύτερων διεθνών εκστρατειών και όχι επιθέσεις που στοχεύουν αποκλειστικά τη χώρα μας. Αυτό καθιστά τη διεθνή συνεργασία όχι απλώς σημαντική, αλλά απολύτως αναγκαία.
Η κυβερνοασφάλεια είναι μια συλλογική ευθύνη και η εμπιστοσύνη μεταξύ των θεσμών αποτελεί μία από τις ισχυρότερες αμυντικές δυνατότητες που μπορούμε να οικοδομήσουμε.
*Η συνέντευξη δημοσιεύτηκε στο περιοδικό Gold, τεύχος Ιουλίου 2026.
