Ο ν. 5160/2024 (ενσωμάτωση της NIS2)

Ενότητα 9: Κανόνες και οργάνωση · Χρόνος ανάγνωσης: 11 λεπτά

Στόχος μαθήματος: Μετά από αυτό το μάθημα θα μπορείτε να εξηγήσετε τι ρυθμίζει η NIS2 μέσω της εθνικής νομοθεσίας, για ποιον ισχύει και τι σημαίνει μέσω της αλυσίδας προμηθευτών για μικρές επιχειρήσεις.
Βασικές έννοιες: NIS2, εθνική νομοθεσία μεταφοράς, βασική και σημαντική οντότητα, τομέας, μέγεθος, υποχρέωση μέριμνας, υποχρέωση αναφοράς (24 ώρες, 72 ώρες, 1 μήνας), υποχρέωση εγγραφής, αλυσίδα προμηθευτών, αυτοαξιολόγηση

Από ευρωπαϊκή οδηγία σε εθνική νομοθεσία

Η NIS2 είναι μια ευρωπαϊκή οδηγία του 2022 (Οδηγία (ΕΕ) 2022/2555) που στοχεύει στην ενίσχυση της ψηφιακής ανθεκτικότητας σημαντικών οργανισμών σε όλη την ΕΕ. Μια οδηγία δεν ισχύει απευθείας: κάθε χώρα την ενσωματώνει στη δική της νομοθεσία. Στην Ελλάδα αυτό γίνεται με τον ν. 5160/2024. Για παράδειγμα, στις Κάτω Χώρες η αντίστοιχη εθνική νομοθεσία ονομάζεται Cyberbeveiligingswet (Cbw) και ισχύει από τις 15 Αυγούστου 2026, χωρίς μεταβατική περίοδο.

Σύμφωνα με το ολλανδικό NCSC, περισσότεροι από 8.000 οργανισμοί εμπίπτουν στη δική τους εθνική νομοθεσία. Πρόκειται για μικρό ποσοστό όλων των επιχειρήσεων. Για τις περισσότερες μικρές επιχειρήσεις το σημαντικότερο ερώτημα δεν είναι λοιπόν «τι πρέπει να κάνω εγώ εξαιτίας του νόμου;», αλλά «τι μου ζητούν οι πελάτες μου επειδή οι ίδιοι εμπίπτουν στον νόμο;». Σε αυτό θα επανέλθουμε.

Στην Ελλάδα, αρμόδια αρχή για την εφαρμογή της NIS2 και σημείο επαφής είναι η Εθνική Αρχή Κυβερνοασφάλειας, https://cyber.gov.gr/.

Εμπίπτετε εσείς; Τομέας και μέγεθος

Το αν ένας οργανισμός εμπίπτει στη νομοθεσία εξαρτάται από δύο ερωτήματα.

1. Δραστηριοποιείστε σε τομέα της νομοθεσίας; Η οδηγία περιλαμβάνει δύο παραρτήματα.

Για ορισμένους τομείς ισχύουν πρόσθετες προϋποθέσεις που καθορίζει το αρμόδιο υπουργείο. Δεν εμπίπτει λοιπόν αυτόματα κάθε οργανισμός που ασχολείται με κάτι σχετικό με «τρόφιμα».

2. Είστε αρκετά μεγάλοι; Ο οργανισμός σας υπολογίζεται αν:

• έχετε 50 ή περισσότερους εργαζομένους (ΙΠΑ), ή
• έχετε λιγότερους από 50 εργαζομένους, αλλά ο ετήσιος κύκλος εργασιών σας και το σύνολο του ισολογισμού σας είναι και τα δύο πάνω από 10 εκατομμύρια ευρώ.

Συνδεδεμένες και θυγατρικές επιχειρήσεις προσμετρώνται. Μια επιχείρηση με 20 εργαζομένους που ανήκει σε όμιλο 200 ατόμων μπορεί έτσι να εμπίπτει κι αυτή στη νομοθεσία.

Εξαιρέσεις: ανεξαρτήτως μεγέθους. Ορισμένα είδη οργανισμών εμπίπτουν πάντα, όσο μικροί κι αν είναι: πάροχοι DNS, μητρώα ονομάτων τομέα ανωτάτου επιπέδου, πάροχοι δημόσιων δικτύων και υπηρεσιών ηλεκτρονικών επικοινωνιών, πάροχοι υπηρεσιών εμπιστοσύνης και δημόσιοι φορείς. Επίσης οι πάροχοι υπηρεσιών καταχώρισης ονομάτων domain πρέπει να εγγραφούν.

Βασική ή σημαντική οντότητα

Οι οργανισμοί που εμπίπτουν στη νομοθεσία χαρακτηρίζονται βασικές ή σημαντικές οντότητες. Σε γενικές γραμμές: μεγάλοι οργανισμοί στους τομείς του παραρτήματος 1 και ορισμένα είδη που ορίζονται ως τέτοια ανεξαρτήτως μεγέθους χαρακτηρίζονται βασικοί· οι υπόλοιποι είναι σημαντικοί. Η διαφορά έγκειται κυρίως στον εποπτικό έλεγχο: στις βασικές οντότητες η αρμόδια αρχή μπορεί να ελέγχει και με δική της πρωτοβουλία, για παράδειγμα με επιθεωρήσεις και ελέγχους· στις σημαντικές οντότητες παρεμβαίνει κυρίως εκ των υστέρων, όταν υπάρχουν ενδείξεις ότι κάτι δεν είναι εντάξει. Οι ίδιες οι υποχρεώσεις είναι σε μεγάλο βαθμό όμοιες. Αν είστε βασική ή σημαντική οντότητα, το διαπιστώνετε με αυτοαξιολόγηση.

Ελέγξτε μόνοι σας

Στις Κάτω Χώρες, η Rijksinspectie Digitale Infrastructuur (RDI) διαθέτει δωρεάν αυτοαξιολόγηση NIS2 στο https://regelhulpenvoorbedrijven.nl/NIS-2-NL/ (ολλανδική πηγή). Απαντάτε σε μια σειρά ερωτήσεων σχετικά με τον τομέα, το μέγεθος και τις υπηρεσίες σας και λαμβάνετε ένα αποτέλεσμα. Αν αμφιβάλλετε, για παράδειγμα επειδή η επιχείρησή σας ανήκει σε όμιλο ή δραστηριοποιείται σε περισσότερες χώρες, το ολλανδικό NCSC διαθέτει έναν οδηγό για σύνθετα επιχειρηματικά μοντέλα.

Τι απαιτεί η νομοθεσία

Αν ο οργανισμός σας εμπίπτει στη νομοθεσία, ισχύουν τρεις υποχρεώσεις.

Υποχρέωση εγγραφής

Δηλώνετε τον οργανισμό σας στο μητρώο οντοτήτων. Στις Κάτω Χώρες αυτό γίνεται μέσω της πλατφόρμας του ολλανδικού NCSC (MijnNCSC)· στην Ελλάδα η καταχώριση γίνεται στην πλατφόρμα της Εθνικής Αρχής Κυβερνοασφάλειας. Έτσι η αρμόδια αρχή γνωρίζει ποιος εμπίπτει στη νομοθεσία και μπορεί να επικοινωνήσει μαζί σας σε περίπτωση απειλής.

Υποχρέωση μέριμνας

Εκπονείτε μια ανάλυση κινδύνου και λαμβάνετε με βάση αυτήν κατάλληλα και αναλογικά μέτρα για την ασφάλεια των δικτυακών και πληροφοριακών σας συστημάτων. Το ολλανδικό NCSC αναφέρει τουλάχιστον δέκα θέματα, τα οποία έχετε ήδη συναντήσει όλα σε αυτό το μάθημα:

1. ανάλυση κινδύνου (μάθημα 1.1 και 9.3)·
2. διαχείριση περιστατικών με σχέδιο αντιμετώπισης περιστατικών (μάθημα 8.1)·
3. προετοιμασία για διακοπή λειτουργίας: αντίγραφα ασφαλείας, σχέδια αποκατάστασης, διαχείριση κρίσεων (ενότητα 6)·
4. ασφάλεια της αλυσίδας εφοδιασμού, συμπεριλαμβανομένων των κινδύνων από προμηθευτές (μάθημα 7.2)·
5. κυβερνοϋγιεινή και εκπαίδευση (μάθημα 9.2)·
6. ασφαλής προμήθεια, ανάπτυξη και συντήρηση συστημάτων, συμπεριλαμβανομένων των ενημερώσεων (μάθημα 5.1)·
7. προσωπικό, πολιτική πρόσβασης και διαχείριση εξοπλισμού και λογισμικού (μάθημα 7.1)·
8. passkeys ή έλεγχος ταυτότητας πολλαπλών παραγόντων και ασφαλής επικοινωνία (ενότητα 2)·
9. πολιτική κρυπτογραφίας (encryption)·
10. αξιολόγηση της αποτελεσματικότητας των μέτρων, για παράδειγμα με περιοδικές δοκιμές (μάθημα 6.3 και 9.3).

Η διοίκηση φέρει την ευθύνη: εγκρίνει τα μέτρα και εποπτεύει την εφαρμογή τους. Σύμφωνα με την ευρωπαϊκή οδηγία, τα μέλη της διοίκησης πρέπει επίσης να παρακολουθούν εκπαίδευση σχετικά με τους κυβερνοκινδύνους. Η κυβερνοασφάλεια δεν είναι λοιπόν πλέον μια δουλειά που αναθέτετε απλώς στον υπεύθυνο πληροφορικής.

Υποχρέωση αναφοράς

Στις Κάτω Χώρες, ένα σημαντικό περιστατικό αναφέρεται στο ολλανδικό NCSC, μέσω της πλατφόρμας του (MijnNCSC)· στην Ελλάδα η αναφορά γίνεται στην Εθνική Αρχή Κυβερνοασφάλειας. Πρόκειται για ένα περιστατικό που διαταράσσει σοβαρά την παροχή της υπηρεσίας σας, προκαλεί οικονομική ζημία ή μπορεί να προκαλέσει μεγάλη ζημία σε τρίτους· τα ακριβή όρια διαφέρουν ανά τομέα. Οι προθεσμίες μετρούν από τη στιγμή που λαμβάνετε γνώση του περιστατικού:

Στις Κάτω Χώρες, μία μόνο αναφορά στην πλατφόρμα του ολλανδικού NCSC φτάνει τόσο στο CSIRT (την ομάδα που βοηθά στο περιστατικό) όσο και στην αρμόδια αρχή. Επιπλέον, σύμφωνα με την οδηγία, πρέπει να ενημερώνετε εφόσον χρειάζεται τους αποδέκτες των υπηρεσιών σας για σημαντικά περιστατικά που μπορούν να τους επηρεάσουν.

Αναφορά βάσει της νομοθεσίας για την κυβερνοασφάλεια και αναφορά βάσει του GDPR: δύο διαφορετικά πράγματα

Μοιάζει με την υποχρέωση αναφοράς παραβιάσεων δεδομένων του GDPR (μάθημα 8.2), και οι «72 ώρες» εμφανίζονται και στις δύο περιπτώσεις. Ωστόσο πρόκειται για δύο ξεχωριστές υποχρεώσεις.

Μια επίθεση ransomware σε οργανισμό που εμπίπτει στη νομοθεσία αυτή, στην οποία κλάπηκαν και δεδομένα πελατών, πρέπει επομένως να αναφερθεί και στις δύο αρχές. Και μια μικρή επιχείρηση που δεν εμπίπτει στη νομοθεσία αυτή έχει πάντως την υποχρέωση αναφοράς του GDPR αν διαρρεύσουν προσωπικά δεδομένα.

Δεν εμπίπτετε εσείς: η αλυσίδα προμηθευτών

Για τους περισσότερους αναγνώστες αυτού του μαθήματος, η απάντηση στο πρώτο ερώτημα είναι: όχι, η επιχείρησή μου δεν εμπίπτει σε αυτή τη νομοθεσία. Ο φούρνος με δώδεκα άτομα, το λογιστικό γραφείο με πέντε, ο μεμονωμένος κατασκευαστής ιστοτόπων. Τότε δεν έχετε καμία νομική υποχρέωση από τη νομοθεσία αυτή: καμία εγγραφή, καμία υποχρέωση αναφοράς στην αρμόδια αρχή, κανέναν εποπτικό έλεγχο.

Όμως η νομοθεσία μπορεί να σας επηρεάσει μέσω των πελατών σας. Οι οργανισμοί που εμπίπτουν σε αυτήν πρέπει να ασφαλίζουν την αλυσίδα εφοδιασμού τους: πρέπει να λαμβάνουν υπόψη τις ευπάθειες των άμεσων προμηθευτών και παρόχων υπηρεσιών τους. Το ολλανδικό NCSC γράφει ότι η νομοθεσία δεν επιβάλλει υποχρεώσεις απευθείας στους προμηθευτές, αλλά ότι οι οργανισμοί που εμπίπτουν σε αυτήν μπορούν να θέτουν απαιτήσεις για την ψηφιακή ασφάλεια των προμηθευτών τους. Αυτές οι απαιτήσεις περιλαμβάνονται τότε στη σύμβασή σας ή σε ένα ερωτηματολόγιο.

Ένα παράδειγμα. Μια μικρή εταιρεία πληροφορικής με έξι εργαζομένους διαχειρίζεται τα laptop και το δίκτυο μιας μεσαίου μεγέθους μεταφορικής εταιρείας με 140 εργαζομένους. Η μεταφορική εταιρεία εμπίπτει στη νομοθεσία (μεταφορές, αρκετά μεγάλη). Η ίδια η εταιρεία πληροφορικής όχι: η «διαχείριση υπηρεσιών ΤΠΕ» αναφέρεται μεν στο παράρτημα 1, αλλά η εταιρεία είναι πολύ μικρή. Παρ' όλα αυτά λαμβάνει ένα ερωτηματολόγιο: έχετε έλεγχο ταυτότητας δύο παραγόντων στα εργαλεία διαχείρισης, ποιος έχει πρόσβαση στα συστήματά μας, πόσο γρήγορα θα μας αναφέρετε ένα περιστατικό, πού βρίσκονται τα αντίγραφα ασφαλείας;

Τι αναφέρει το ολλανδικό NCSC σχετικά με αυτό, και τι σημαίνει αυτό για εσάς:

• Οι απαιτήσεις πρέπει να είναι αναλογικές. Ένας πελάτης οφείλει να εξετάζει τον κίνδυνο που ενέχει η υπηρεσία σας γι' αυτόν. Ένας προμηθευτής με πρόσβαση στα συστήματα λαμβάνει αυστηρότερες απαιτήσεις από τον φούρναρη που φέρνει το μεσημεριανό.
• Αφορά τους άμεσους προμηθευτές. Οι προμηθευτές των δικών σας προμηθευτών δεν εμπίπτουν στη νομοθεσία.
• Ένα πιστοποιητικό δεν είναι υποχρεωτικό. Η νομοθεσία δεν προβλέπει κάποιο σήμα ποιότητας. Ένα πιστοποιητικό μπορεί να διευκολύνει τη συζήτηση, αλλά δεν αποτελεί εγγύηση ούτε νομική απαίτηση.
• Ξεκινήστε νωρίς τη συζήτηση. Καταγράψτε ποια μέτρα έχετε ήδη στα σημεία επαφής με τον πελάτη, και καταγράψτε τις συμφωνίες.

Μην το παρακάνετε λοιπόν. Η νομοθεσία αυτή δεν μετατρέπει μια μικρή επιχείρηση σε οργανισμό «υπόχρεο NIS2», και ένας σύμβουλος που σας το λέει αυτό για να σας πουλήσει μια ακριβή πιστοποίηση, σας λέει μόνο ένα μέρος της ιστορίας. Αλλά μην το υποτιμάτε επίσης: όποιος προμηθεύει μεγαλύτερους οργανισμούς πρέπει όλο και πιο συχνά να μπορεί να αποδείξει ότι τα βασικά είναι τακτοποιημένα. Τα βασικά μέτρα αυτού του μαθήματος είναι ακριβώς αυτά που συνήθως ζητά ένα τέτοιο ερωτηματολόγιο.

Αυτό το μάθημα παρέχει γενική ενημέρωση και δεν αποτελεί νομική συμβουλή. Για τους ισχύοντες κανόνες στην Ελλάδα, συμβουλευτείτε τον ν. 5160/2024 και την Εθνική Αρχή Κυβερνοασφάλειας, https://cyber.gov.gr/. Για τους ολλανδικούς κανόνες, δείτε https://www.ncsc.nl/cyberbeveiligingswet-nis2 και το νομικό κείμενο στο https://wetten.overheid.nl/BWBR0052872/2026-08-15/0.

Σύνοψη

• Στην Ελλάδα, η NIS2 έχει ενσωματωθεί με τον ν. 5160/2024, ο οποίος ισχύει από τις 27 Νοεμβρίου 2024. Στις Κάτω Χώρες, η αντίστοιχη εθνική νομοθεσία (Cyberbeveiligingswet) ισχύει από τις 15 Αυγούστου 2026, χωρίς μεταβατική περίοδο.
• Εμπίπτετε αν δραστηριοποιείστε σε τομέα του παραρτήματος 1 ή 2 και έχετε 50 ή περισσότερους εργαζομένους, ή ο ετήσιος κύκλος εργασιών και το σύνολο του ισολογισμού σας είναι και τα δύο πάνω από 10 εκατομμύρια ευρώ· ορισμένα είδη (όπως πάροχοι DNS και δημόσιοι φορείς) εμπίπτουν ανεξαρτήτως μεγέθους.
• Υποχρεώσεις: εγγραφή στην αρμόδια αρχή, υποχρέωση μέριμνας με ανάλυση κινδύνου και κατάλληλα μέτρα υπό την ευθύνη της διοίκησης, και αναφορά σημαντικών περιστατικών εντός 24 ωρών, 72 ωρών και 1 μήνα.
• Η αναφορά βάσει της νομοθεσίας για την κυβερνοασφάλεια είναι ανεξάρτητη από τη γνωστοποίηση παραβίασης δεδομένων βάσει του GDPR στην ΑΠΔΠΧ· μερικές φορές απαιτούνται και οι δύο.
• Μια μικρή επιχείρηση συνήθως δεν εμπίπτει η ίδια στη νομοθεσία, αλλά μπορεί μέσω πελατών που εμπίπτουν σε αυτήν να λάβει κατάλληλες απαιτήσεις ασφάλειας.

Κουίζ

Άσκηση

Άσκηση A9.1: Εμπίπτει στον νόμο 5160/2024 (ενσωμάτωση της NIS2); Θα λάβετε έξι σύντομες περιγραφές οργανισμών (τομέας, αριθμός εργαζομένων, κύκλος εργασιών, σύνολο ισολογισμού, ενδεχομένως όμιλος ή μεγάλος πελάτης). Καθορίστε για κάθε οργανισμό: εμπίπτει, δεν εμπίπτει αλλά πιθανότατα θα λάβει απαιτήσεις μέσω πελάτη, ή δεν εμπίπτει καθόλου. Το πρόγραμμα ελέγχει τις απαντήσεις και εμφανίζει για κάθε οργανισμό τα βήματα του δέντρου αποφάσεων.

Περαιτέρω ανάγνωση

Για τη νομοθεσία αυτή δεν υπάρχει ακόμη άρθρο στη βάση γνώσεων του WebOké· χρησιμοποιήστε τις επίσημες πηγές.

• Ολλανδικό NCSC, Cyberbeveiligingswet (NIS2) [ολλανδική πηγή]: https://www.ncsc.nl/cyberbeveiligingswet-nis2
• Ολλανδικό NCSC, Εμπίπτει ο οργανισμός μου στη Cyberbeveiligingswet (NIS2); [ολλανδική πηγή]: https://www.ncsc.nl/cyberbeveiligingswet-nis2/valt-mijn-organisatie-onder-de-cyberbeveiligingswet-nis2
• Ολλανδικό NCSC, Υποχρέωση μέριμνας [ολλανδική πηγή]: https://www.ncsc.nl/cyberbeveiligingswet-nis2/zorgplicht
• Ολλανδικό NCSC, Υποχρέωση αναφοράς [ολλανδική πηγή]: https://www.ncsc.nl/cyberbeveiligingswet-nis2/meldplicht
• Ολλανδικό NCSC, Η Cyberbeveiligingswet και οι προμηθευτές [ολλανδική πηγή]: https://www.ncsc.nl/cyberbeveiligingswet-nis2/de-cyberbeveiligingswet-en-toeleveranciers
• Ολλανδική Rijksinspectie Digitale Infrastructuur (RDI), Αυτοαξιολόγηση NIS2 [ολλανδική πηγή]: https://regelhulpenvoorbedrijven.nl/NIS-2-NL/
• Νομικό κείμενο της ολλανδικής Cyberbeveiligingswet [ολλανδική πηγή]: https://wetten.overheid.nl/BWBR0052872/2026-08-15/0
• NIS2 και ο ολλανδικός νόμος για την κυβερνοασφάλεια (Cyberbeveiligingswet): εμπίπτει η επιχείρησή μου;