Αξιολόγηση προμηθευτή: ερωτηματολόγιο ασφάλειας προσαρμοσμένο στον προμηθευτή σου

✓ Last verified 14 Οκτ 2026 · 4 διατάξεις · επίσημες πηγές ↓

Η ασφάλεια της εφοδιαστικής αλυσίδας είναι από τα μέτρα της NIS2 που οι εταιρείες καλύπτουν χειρότερα. Ο λόγος συνήθως δεν είναι η αδιαφορία, αλλά ότι δεν ξέρουν τι να ζητήσουν. Ένας MSP με απομακρυσμένη πρόσβαση, ένας πάροχος SaaS, ένας integrator που προγραμματίζει τα PLC σου και μια εταιρεία φύλαξης θέλουν τελείως διαφορετικές ερωτήσεις.

Εδώ διαλέγεις τον τύπο και την κρισιμότητα του προμηθευτή και παίρνεις έτοιμο ερωτηματολόγιο στα Ελληνικά, προσαρμοσμένο σε αυτόν. Μαζί παίρνεις το checklist των όρων που πρέπει να έχει η σύμβαση. Χρειάζεσαι δύο λεπτά. Δεν χρειάζεται εγγραφή.

Αξιολόγηση προμηθευτή · ΚΥΑ 1689/2025 · NIS2 · ISO/IEC 27001 · GDPR

Τρία βήματα. Κάθε βήμα ανοίγει αφού ολοκληρώσεις το προηγούμενο. Με Tab πας στο επόμενο πεδίο, με Space τσεκάρεις μια επιλογή και με Enter πατάς το κουμπί που είναι επιλεγμένο.

1 Ο προμηθευτής

Όλα τα πεδία είναι προαιρετικά. Εμφανίζονται μόνο στα αρχεία που κατεβάζεις, ώστε ο προμηθευτής να ξέρει ποιος ρωτά και ως πότε απαντά.

Η επωνυμία σου Ο προμηθευτής Η υπηρεσία ή το προϊόν που σου παρέχει Ποιος ρόλος δέχεται τις απαντήσεις Μόνο ο ρόλος, χωρίς όνομα. Email για τις απαντήσεις Απάντηση έως Μορφή ηη/μμ/εεεε, από σήμερα έως έναν χρόνο μετά. Συνήθως δύο έως τέσσερις εβδομάδες.

2 Τύπος προμηθευτή

🖥️ MSP ή υποστήριξη ITΔιαχειρίζεται ή υποστηρίζει τα συστήματα, το δίκτυο ή τους χρήστες σου (managed services, IT support, helpdesk). ☁️ Cloud ή SaaSΣου παρέχει εφαρμογή ή υποδομή ως υπηρεσία, φιλοξενία ή backup στο cloud. 🏭 Integrator OT ή αυτοματισμώνΕγκαθιστά, προγραμματίζει ή συντηρεί PLC, SCADA, HMI και γραμμές παραγωγής. 🧩 Προμηθευτής λογισμικούΣου πουλά ή αναπτύσσει λογισμικό που εγκαθίσταται στα δικά σου συστήματα (ERP, εξειδικευμένες εφαρμογές, ανάπτυξη κατά παραγγελία). 🔑 Φυσικές υπηρεσίεςΤο προσωπικό του μπαίνει στους χώρους σου (φύλαξη, καθαρισμός, συντήρηση εγκαταστάσεων, μεταφορές, καταστροφή εγγράφων).

Τι ισχύει για αυτόν τον προμηθευτή; Τα πιο συνηθισμένα τσεκάρονται με τον τύπο. Άλλαξέ τα αν χρειάζεται.

Επεξεργάζεται προσωπικά δεδομένα για λογαριασμό σουΕίναι εκτελών την επεξεργασία κατά το άρθρο 28 του GDPR, π.χ. μισθοδοσία, CRM, IT support με πρόσβαση σε mailboxes. Έχει απομακρυσμένη πρόσβαση στα συστήματα ή στο δίκτυό σουVPN, εργαλεία απομακρυσμένης υποστήριξης, 4G router σε εγκατάσταση OT. Φιλοξενεί ή αποθηκεύει δεδομένα σουΤα δεδομένα σου βρίσκονται σε δικές του υποδομές ή σε υποδομές που διαχειρίζεται. Χρησιμοποιεί υπεργολάβους για την υπηρεσίαΑν δεν ξέρεις, τσέκαρέ το. Η ερώτηση θα του ζητήσει να το δηλώσει.

3 Κρισιμότητα

Απάντησε σε τέσσερις ερωτήσεις και το εργαλείο προτείνει κρισιμότητα. Μπορείς να διαλέξεις άλλη, αν ξέρεις κάτι που δεν φαίνεται εδώ.

Αν σταματήσει η υπηρεσία του, σταματά ή διαταράσσεται σοβαρά κρίσιμη λειτουργία σου (παραγωγή, πωλήσεις, εξυπηρέτηση); Έχει προνομιακή ή απομακρυσμένη πρόσβαση στα συστήματα ή στο δίκτυό σου, IT ή OT; Επεξεργάζεται ή φιλοξενεί εμπιστευτικά ή προσωπικά δεδομένα σου; Είναι δύσκολο να τον αντικαταστήσεις μέσα σε λίγες εβδομάδες;

ΧαμηλήΗ διακοπή του δεν επηρεάζει κρίσιμη λειτουργία και δεν έχει πρόσβαση σε συστήματα ή ευαίσθητα δεδομένα. ΜέσηΈχει πρόσβαση σε συστήματα ή δεδομένα σου, ή η διακοπή του επηρεάζει λειτουργία σου, αλλά αντικαθίσταται χωρίς μεγάλη δυσκολία. Υψηλή (κρίσιμος προμηθευτής)Η διακοπή του σταματά κρίσιμη λειτουργία σου, έχει προνομιακή ή απομακρυσμένη πρόσβαση, ή δύσκολα αντικαθίσταται.

Τι παίρνεις

Ένα .xlsx για τον προμηθευτή. Έχει οδηγίες που εξηγούν γιατί ρωτάς, τις ερωτήσεις με λίστα απαντήσεων και το τεκμήριο που ζητάς σε καθεμία, και τους συμβατικούς όρους για να δηλώσει αν τους αποδέχεται. Έχει επίσης στήλες για τη δική σου αξιολόγηση, και ένα φύλλο «Σύνοψη» που μετρά τις απαντήσεις μόνο του όταν το αρχείο επιστρέψει.

Ένα .pdf για τον φάκελο του ISMS. Περιέχει το προφίλ του προμηθευτή και την κρισιμότητά του, το checklist των συμβατικών όρων, όλες τις ερωτήσεις και ποιες απαιτήσεις της ΚΥΑ 1689/2025, της Οδηγίας NIS2, του ISO/IEC 27001 και του GDPR τεκμηριώνει η αξιολόγηση. Αυτό είναι που θα ζητήσει ο ελεγκτής για το άρθρο 12 της ΚΥΑ.

Πώς διαλέγονται οι ερωτήσεις

Η τράπεζα έχει 71 ερωτήσεις σε 12 ενότητες. Ο τύπος του προμηθευτή κρατά όσες τον αφορούν: τα συστήματα OT ρωτώνται μόνο τον integrator, η φυσική ασφάλεια μόνο όσους μπαίνουν στους χώρους σου. Τα χαρακτηριστικά προσθέτουν ενότητες: αν επεξεργάζεται προσωπικά δεδομένα, μπαίνουν οι ερωτήσεις του άρθρου 28 του GDPR, και αν έχει υπεργολάβους, οι ερωτήσεις για την αλυσίδα πίσω από αυτόν.

Η κρισιμότητα ορίζει το βάθος. Σε έναν προμηθευτή χαμηλής κρισιμότητας στέλνεις 10 έως 16 βασικές ερωτήσεις. Έναν κρίσιμο προμηθευτή τον ρωτάς για πιστοποιήσεις, ανεξάρτητους ελέγχους, SBOM και διαχείριση προνομιακής πρόσβασης, και του ζητάς τεκμήριο για κάθε απάντηση. Για τις βασικές οντότητες, το άρθρο 12.2 της ΚΥΑ ζητά ενισχυμένες απαιτήσεις για τους κρίσιμους προμηθευτές και επέκταση στους υπεργολάβους.

Οι συμβατικοί όροι βασίζονται στο σημείο 5.1.4 του Εκτελεστικού Κανονισμού (ΕΕ) 2024/2690: απαιτήσεις ασφάλειας, προσωπικό, γνωστοποίηση περιστατικών, δικαίωμα ελέγχου, ευπάθειες, υπεργολάβοι και λήξη. Ο Κανονισμός δεσμεύει τους παρόχους ψηφιακών υπηρεσιών που ορίζει, αλλά είναι το πιο συγκεκριμένο κείμενο της ΕΕ για το τι πρέπει να λέει μια σύμβαση, και καλύπτει ό,τι ζητά το άρθρο 12.1.δ της ΚΥΑ.

Γιατί αφορά και τον προμηθευτή

Ο προμηθευτής σου μπορεί να μην υπάγεται ο ίδιος στον ν. 5160/2024. Είναι όμως μέρος της δικής σου επιφάνειας επίθεσης: μια επίθεση στην εφοδιαστική αλυσίδα (T1195) ή μέσω έμπιστης σχέσης (T1199) περνά από αυτόν σε εσένα. Το ερωτηματολόγιο εξηγεί στον προμηθευτή γιατί ρωτάς και τι περιμένεις. Πολλές μικρές εταιρείες το διαβάζουν και καταλαβαίνουν για πρώτη φορά τι σημαίνει η NIS2 για τους πελάτες τους.

Αν το περιβάλλον σου είναι Microsoft 365, μερικά από αυτά τα ελέγχεις και τεχνικά. Το Cloud Discovery του Microsoft Defender for Cloud Apps δείχνει ποιες cloud υπηρεσίες χρησιμοποιούνται πραγματικά και το risk score τους. Τα cross-tenant access settings και το Conditional Access για guest users στο Microsoft Entra ID ορίζουν πώς μπαίνει ο προμηθευτής στο tenant σου. Για προμηθευτές που δεν είναι cloud υπηρεσίες δεν υπάρχει εργαλείο Microsoft, και εκεί η αξιολόγηση γίνεται με ερωτηματολόγιο και σύμβαση.

Τι δεν καλύπτει το εργαλείο

Τη βαθμολόγηση των απαντήσεων. Το φύλλο «Σύνοψη» μετρά τις απαντήσεις, αλλά η κρίση αν ένα «Μερικώς» είναι αποδεκτό είναι δική σου. Η εισαγωγή των απαντήσεων πίσω στο εργαλείο, με αναφορά κενών, θα προστεθεί σε επόμενη έκδοση.
Το κείμενο της σύμβασης. Το checklist λέει τι πρέπει να προβλέπει η σύμβαση, όχι πώς διατυπώνεται. Τη διατύπωση τη δίνει ο νομικός σου σύμβουλος.
Τη νομική κρίση. Το εργαλείο είναι βοήθημα και δεν αποτελεί νομική συμβουλή. Η αξιολόγηση και η απόφαση ανήκουν στην οντότητα.

Πηγές και επαλήθευση

Επαλήθευση νομικών πηγών · Last verified

Κάθε διάταξη ελέγχθηκε στο κείμενο που ισχύει. Οι νόμοι και οι αποφάσεις τροποποιούνται, γι' αυτό δες την ημερομηνία ελέγχου και άνοιξε την πηγή.

Διάταξη	Κατάσταση	Αναφορά	Last verified	Πηγή
ΚΥΑ 1689/2025 (ΦΕΚ Β΄ 2186/06.05.2025), άρθρο 12: διαχείριση κινδύνων από τις σχέσεις με προμηθευτές και παρόχους υπηρεσιών Τ.Π.Ε.	Ισχύει	Άρθρο 12	14 Οκτ 2026	cyber.gov.gr ↗
Οδηγία (ΕΕ) 2022/2555 (NIS2): ασφάλεια της αλυσίδας εφοδιασμού ως μέτρο διαχείρισης κινδύνων	Ισχύει	Άρθρο 21 παρ. 2 στοιχ. δ΄ και παρ. 3	14 Οκτ 2026	EUR-Lex ↗
Εκτελεστικός Κανονισμός (ΕΕ) 2024/2690: τι ορίζουν οι συμβάσεις με προμηθευτές (απαιτήσεις, προσωπικό, περιστατικά, έλεγχος, ευπάθειες, υπεργολάβοι, λήξη)	Ισχύει για τους παρόχους ψηφιακών υπηρεσιών του άρθρου 1. Χρήσιμο πρότυπο για όλους.	Παράρτημα, σημείο 5.1.4	25 Οκτ 2026	EUR-Lex ↗
Κανονισμός (ΕΕ) 2016/679 (GDPR): σύμβαση με τον εκτελούντα την επεξεργασία	Ισχύει	Άρθρο 28	14 Οκτ 2026	EUR-Lex ↗

Το thecybersec.gr είναι προσωπικό blog και δεν εκπροσωπεί την Εθνική Αρχή Κυβερνοασφάλειας.

🛠️ Ο προμηθευτής σου είχε περιστατικό; Αναφορά περιστατικού στην ΕΑΚ