Με τον Ν. 5160/2024 (ΦΕΚ Α’ 195/27-11-2024) ενσωματώθηκε στην ελληνική έννομη τάξη η Οδηγία (ΕΕ) 2022/2555 για μέτρα υψηλού κοινού επιπέδου κυβερνοασφάλειας σε ολόκληρη την Ένωση – Οδηγία NIS2.

Η NIS2 δεν αποτελεί απλή επικαιροποίηση της προηγούμενης οδηγίας NIS. Αποτελεί ριζική αλλαγή παραδείγματος: από την προαιρετική συμμόρφωση περνάμε στην υποχρεωτική, αποδεδειγμένη και ελεγχόμενη ανθεκτικότητα.

Η εφαρμογή εξειδικεύεται περαιτέρω με:

• ΚΥΑ 1381/2025 (10.02.2025): Δημιουργία ψηφιακής πλατφόρμας εγγραφής βασικών και σημαντικών οντοτήτων στο Μητρώο της Εθνικής Αρχής Κυβερνοασφάλειας (ΕΑΚ).
• ΚΥΑ 1689/2025 (Β’ 2186): Θέσπιση Εθνικού Πλαισίου Απαιτήσεων Κυβερνοασφάλειας – καθορίζει τις ελάχιστες τεχνικές, οργανωτικές και επιχειρησιακές απαιτήσεις που καλούνται να εφαρμόσουν οι υπόχρεοι φορείς.

Στην Ελλάδα εκτιμάται ότι πάνω από 2.000 μεγάλες και μεσαίες επιχειρήσεις, οργανισμοί και φορείς του δημόσιου τομέα εμπίπτουν στις υποχρεώσεις της.

Ποιοι είναι υπόχρεοι;

Η Οδηγία διευρύνει δραματικά το πεδίο. Διακρίνει πλέον δύο κατηγορίες:

Α) Βασικές Οντότητες (Essential Entities): Ενέργεια, Μεταφορές, Τραπεζικός τομέας, Υγεία, Πόσιμο νερό, Λύματα, Ψηφιακές Υποδομές, Διαχείριση ΤΠΕ (B2B), Δημόσια Διοίκηση, Διαστημικές δραστηριότητες.

Β) Σημαντικές Οντότητες (Important Entities): Ταχυδρομικές υπηρεσίες, Διαχείριση αποβλήτων, Χημικά, Τρόφιμα, Μεταποίηση (ιατροτεχνολογικά, μηχανήματα, οχήματα), Ψηφιακοί πάροχοι (marketplaces, search engines, social networks), Ερευνητικοί οργανισμοί.

Κριτήριο υπαγωγής: Επιχειρήσεις με >50 εργαζόμενους και κύκλο εργασιών >10 εκατ. €, καθώς και ανεξαρτήτως μεγέθους φορείς που χαρακτηρίζονται ως κρίσιμοι από το κράτος.

Όλοι οι φορείς του δημόσιου τομέα που εμπίπτουν στο άρθρο 4 του Ν.5160/2024 υποχρεούνται σε εγγραφή στην πλατφόρμα της ΕΑΚ.

Γιατί η εφαρμογή είναι ΑΝΑΓΚΑΙΑ και ΕΠΕΙΓΟΥΣΑ

Α. Νομική Αναγκαιότητα – Δεν είναι επιλογή

Η συμμόρφωση είναι εκ του νόμου υποχρεωτική. Η μη συμμόρφωση επισύρει διοικητικές κυρώσεις σύμφωνα με το άρθρο 34 του Ν.5160/2024, οι οποίες περιλαμβάνουν:

• Πρόστιμα έως 10.000.000€ ή 2% του παγκόσμιου ετήσιου κύκλου εργασιών για τις Βασικές Οντότητες
• Πρόστιμα έως 7.000.000€ ή 1,4% για τις Σημαντικές Οντότητες
• Προσωπική ευθύνη των διοικητικών στελεχών – δυνατότητα προσωρινής απαγόρευσης άσκησης καθηκόντων σε CEO / νόμιμο εκπρόσωπο
• Αναστολή πιστοποιήσεων και αδειών

Β. Επιχειρησιακή Αναγκαιότητα – Η απειλή είναι υπαρκτή

Το 2024-2025 οι επιθέσεις ransomware σε ΟΤΑ, νοσοκομεία και ενεργειακές υποδομές στην Ελλάδα αυξήθηκαν πάνω από 150%. Μια επιτυχημένη επίθεση σήμερα σημαίνει:

• Παράλυση κρίσιμων λειτουργιών (π.χ. μη λειτουργία χειρουργείων, διακοπή υδροδότησης)
• Απώλεια / διαρροή δεδομένων με ταυτόχρονη παραβίαση GDPR
• Οικονομική ζημία και απώλεια εμπιστοσύνης πολιτών / πελατών

Γ. Στρατηγική Αναγκαιότητα – Από την ασφάλεια πληροφορικής στην ανθεκτικότητα

Η NIS2 απαιτεί αποδεδειγμένη ωριμότητα, όχι απλά ύπαρξη antivirus. Απαιτεί:

Τι υποχρεούται να εφαρμόσει ο υπόχρεος φορέας

Σύμφωνα με την ΚΥΑ 1689/2025, κάθε υπόχρεος πρέπει να:

1. Εγγραφεί άμεσα στην ψηφιακή πλατφόρμα της ΕΑΚ.
2. Ορίσει Υπεύθυνο Ασφάλειας Συστημάτων (ΥΑΣΠΕ / CISO) και ομάδα διαχείρισης συμβάντων.
3. Εφαρμόσει το Εθνικό Πλαίσιο Απαιτήσεων: Ανάλυση επικινδυνότητας, πολιτικές ασφάλειας, διαχείριση εφοδιαστικής αλυσίδας (supply chain security), ασφάλεια κατά την ανάπτυξη συστημάτων, κρυπτογράφηση, MFA, διαχείριση ευπαθειών, επιχειρησιακή συνέχεια (BCP/DRP).
4. Εκπαιδεύσει το προσωπικό και τη Διοίκηση: Η Διοίκηση οφείλει να παρακολουθεί εκπαιδεύσεις κυβερνοασφάλειας και να εγκρίνει τα μέτρα – με προσωπική λογοδοσία.
5. Αναφέρει συμβάντα: Υποχρεωτική αναφορά στην ΕΑΚ εντός 24 ωρών (early warning), 72 ωρών (αναλυτική αναφορά) και τελική αναφορά εντός 1 μήνα.
6. Τεκμηριώσει τη συμμόρφωση: Πολιτικές, διαδικασίες, logs, εκθέσεις ελέγχου.

Οφέλη από την έγκαιρη συμμόρφωση

• Νομική θωράκιση και αποφυγή κυρώσεων
• Μείωση του χρόνου διακοπής λειτουργίας (downtime) κατά >70%
• Ενίσχυση της εμπιστοσύνης πελατών, προμηθευτών και πολιτών
• Πλεονέκτημα σε διαγωνισμούς Δημοσίου και ιδιωτικού τομέα – η συμμόρφωση NIS2 γίνεται προαπαιτούμενο
• Συμβατότητα με ISO 27001:2022, DORA, GDPR

Συμπέρασμα

Η εφαρμογή της NIS2 δεν είναι ένα ακόμη τεχνικό έργο πληροφορικής. Είναι θεσμική, νομική και λειτουργική υποχρέωση επιβίωσης.

Για τον υπόχρεο φορέα, η ερώτηση δεν είναι πλέον αν θα εφαρμόσει την οδηγία, αλλά πόσο γρήγορα και πόσο σωστά θα το πράξει. Η καθυστέρηση ισοδυναμεί με ανάληψη μη διαχειρίσιμου νομικού και επιχειρησιακού ρίσκου.

Η άμεση έναρξη έργου συμμόρφωσης με τα στάδια: Αποτύπωση – Ανάλυση Κενών (Gap Analysis) έναντι ΚΥΑ 1689/2025 – Σχέδιο Δράσης – Υλοποίηση – Εγγραφή στην ΕΑΚ, κρίνεται επιβεβλημένη.

NIS2 CYBER SECURITY DIRECTIVE – Ευρωπαϊκή οδηγία κυβερνοασφάλειας

HOME