Ποιοι πρέπει να συμμορφωθούν με τη NIS2 στην Ελλάδα
Δημοσιεύθηκε:
Σύντομη απάντηση: στη NIS2 υπάγονται κατά κανόνα οι μεσαίες και μεγάλες επιχειρήσεις και οργανισμοί που δραστηριοποιούνται σε συγκεκριμένους τομείς, όπως ενέργεια, μεταφορές, υγεία, ψηφιακές υποδομές, πάροχοι managed services, τρόφιμα και μεταποίηση. Οι μικρές και πολύ μικρές επιχειρήσεις εξαιρούνται, με ορισμένες εξαιρέσεις. Παρακάτω βλέπεις πώς κρίνεται κάθε περίπτωση.
Τι είναι η NIS2
Η NIS2 είναι η οδηγία (ΕΕ) 2022/2555 για ένα υψηλό κοινό επίπεδο κυβερνοασφάλειας στην Ευρωπαϊκή Ένωση. Στην Ελλάδα ενσωματώθηκε με τον ν. 5160/2024 (ΦΕΚ Α΄ 195/27.11.2024) και εποπτεύεται από την Εθνική Αρχή Κυβερνοασφάλειας. Υποχρεώνει τις οντότητες που υπάγονται να εφαρμόζουν μέτρα διαχείρισης κινδύνου, να αναφέρουν σοβαρά περιστατικά και να έχουν τη διοίκηση υπεύθυνη για την ασφάλεια.
Τα συγκεκριμένα μέτρα που πρέπει να εφαρμόζουν στην Ελλάδα οι οντότητες ορίζονται στην ΚΥΑ 1689/2025 (ΦΕΚ Β΄ 2186/06.05.2025), το «Εθνικό Πλαίσιο Απαιτήσεων Κυβερνοασφάλειας Βασικών και Σημαντικών Οντοτήτων» του ν. 5160/2024.
Βήμα 1: ο τομέας δραστηριότητας
Η οδηγία ορίζει δύο λίστες τομέων. Η πρώτη είναι οι τομείς υψηλής κρισιμότητας (Παράρτημα Ι):
- Ενέργεια, μεταφορές, τραπεζικός τομέας και υποδομές χρηματοπιστωτικών αγορών
- Υγεία, πόσιμο νερό και υγρά απόβλητα
- Ψηφιακή υποδομή: cloud, κέντρα δεδομένων, DNS, πάροχοι ηλεκτρονικών επικοινωνιών και υπηρεσιών εμπιστοσύνης
- Διαχείριση υπηρεσιών ΤΠΕ για επιχειρήσεις: πάροχοι managed services και managed security services
- Δημόσια διοίκηση και διάστημα
Η δεύτερη είναι οι λοιποί κρίσιμοι τομείς (Παράρτημα ΙΙ):
- Ταχυδρομικές και ταχυμεταφορικές υπηρεσίες, διαχείριση αποβλήτων, χημικά
- Τρόφιμα: βιομηχανική παραγωγή, επεξεργασία και χονδρική διανομή
- Μεταποίηση: ιατροτεχνολογικά, ηλεκτρονικά και οπτικά, ηλεκτρολογικός εξοπλισμός, μηχανήματα, οχήματα
- Ψηφιακοί πάροχοι: ηλεκτρονικές αγορές (marketplaces), μηχανές αναζήτησης, πλατφόρμες κοινωνικής δικτύωσης
- Έρευνα
Λιανικό εμπόριο, ξενοδοχεία, λογιστικά γραφεία και γενικές υπηρεσίες δεν περιλαμβάνονται ως τομείς. Ένα απλό e-shop που πουλά δικά του προϊόντα συνήθως δεν είναι «ηλεκτρονική αγορά» με την έννοια της οδηγίας.
Βήμα 2: το μέγεθος της επιχείρησης
Το μέγεθος κρίνεται με τα κριτήρια της Σύστασης 2003/361/ΕΚ. Αν ανήκεις σε όμιλο, υπολογίζονται και οι συνδεδεμένες επιχειρήσεις.
| Κατηγορία | Εργαζόμενοι | Οικονομικά μεγέθη |
|---|---|---|
| Μικρή ή πολύ μικρή | Λιγότεροι από 50 | Κύκλος εργασιών ή ισολογισμός έως 10 εκ. € |
| Μεσαία | Λιγότεροι από 250 | Κύκλος εργασιών έως 50 εκ. € ή ισολογισμός έως 43 εκ. € |
| Μεγάλη | 250 και άνω | Ή κύκλος εργασιών πάνω από 50 εκ. € και ισολογισμός πάνω από 43 εκ. € |
Εξαιρέσεις: υπαγωγή ανεξαρτήτως μεγέθους
Ορισμένοι τύποι οντοτήτων υπάγονται ακόμα κι αν είναι μικροί:
- Εγκεκριμένοι πάροχοι υπηρεσιών εμπιστοσύνης, μητρώα ονομάτων χώρου ανώτατου επιπέδου (TLD) και πάροχοι DNS, που θεωρούνται πάντα βασικές οντότητες
- Πάροχοι δημόσιων δικτύων ή υπηρεσιών ηλεκτρονικών επικοινωνιών και μη εγκεκριμένοι πάροχοι υπηρεσιών εμπιστοσύνης
- Δημόσια διοίκηση σε κεντρικό επίπεδο
- Ο μοναδικός πάροχος μιας ουσιώδους υπηρεσίας στη χώρα, ή οντότητα της οποίας η διακοπή θα είχε σημαντικό αντίκτυπο στη δημόσια ασφάλεια
Βασική ή σημαντική οντότητα
Όταν υπάγεσαι, κατατάσσεσαι σε μία από δύο κατηγορίες. Οι υποχρεώσεις είναι ουσιαστικά ίδιες, αλλά η εποπτεία και τα πρόστιμα διαφέρουν.
| Κατηγορία | Ποιοι | Ανώτατο πρόστιμο (οδηγία) |
|---|---|---|
| Βασική | Μεγάλες οντότητες του Παραρτήματος Ι και ορισμένοι τύποι ανεξαρτήτως μεγέθους | Έως 10 εκ. € ή 2% του παγκόσμιου ετήσιου κύκλου εργασιών |
| Σημαντική | Μεσαίες οντότητες του Παραρτήματος Ι, μεσαίες και μεγάλες του Παραρτήματος ΙΙ | Έως 7 εκ. € ή 1,4% του παγκόσμιου ετήσιου κύκλου εργασιών |
Ισχύει το υψηλότερο ποσό. Τα ακριβή ποσά και η διαδικασία ορίζονται στον ν. 5160/2024. Οι βασικές οντότητες εποπτεύονται αυστηρότερα.
Αν δεν υπάγεσαι άμεσα
Αυτό δεν σημαίνει ότι δεν σε αφορά. Οι πελάτες σου που υπάγονται πρέπει να διαχειρίζονται την ασφάλεια των προμηθευτών τους και μπορεί να σου ζητήσουν συγκεκριμένα μέτρα, όπως πολυπαραγοντική ταυτοποίηση, αντίγραφα ασφαλείας και εκπαίδευση προσωπικού. Επιπλέον, η Εθνική Αρχή Κυβερνοασφάλειας μπορεί να εντάξει και άλλες οντότητες στο πεδίο εφαρμογής.
Τι να κάνεις τώρα
- Έλεγξε αν υπάγεσαι, με το δωρεάν εργαλείο μας. Σε τέσσερις ερωτήσεις βλέπεις αν και ως τι.
- Αν υπάγεσαι, αξιολόγησε τα κενά σε σχέση με τα μέτρα του άρθρου 21 και με το εθνικό πλαίσιο της ΚΥΑ 1689/2025, και κάνε εγγραφή στο Μητρώο Οντοτήτων της Εθνικής Αρχής Κυβερνοασφάλειας.
- Στήσε διαδικασία αναφοράς περιστατικών: έγκαιρη προειδοποίηση εντός 24 ωρών, κοινοποίηση εντός 72 ωρών και τελική έκθεση εντός ενός μήνα.
Συχνές ερωτήσεις
Υπάγεται μια μικρή επιχείρηση στη NIS2;
Κατά κανόνα όχι. Οι μικρές και πολύ μικρές επιχειρήσεις εξαιρούνται, εκτός από ορισμένους τύπους οντοτήτων που υπάγονται ανεξαρτήτως μεγέθους. Μπορεί όμως να της ζητηθούν αντίστοιχα μέτρα από πελάτες που υπάγονται.
Υπάγεται ένα ξενοδοχείο ή ένα λογιστικό γραφείο;
Οι τομείς αυτοί δεν περιλαμβάνονται στα Παραρτήματα Ι και ΙΙ της οδηγίας. Μπορεί όμως να έχουν πελάτες ή συνεργάτες που υπάγονται και να τους ζητήσουν μέτρα ασφάλειας.
Τι είναι η ΚΥΑ 1689/2025;
Είναι η Κοινή Υπουργική Απόφαση 1689/2025 (ΦΕΚ Β΄ 2186/06.05.2025) που θεσπίζει το Εθνικό Πλαίσιο Απαιτήσεων Κυβερνοασφάλειας Βασικών και Σημαντικών Οντοτήτων του ν. 5160/2024, δηλαδή τα μέτρα διαχείρισης κινδύνων κυβερνοασφάλειας που πρέπει να εφαρμόζουν οι οντότητες που υπάγονται.
Πού ελέγχω αν υπάγομαι;
Μπορείς να χρησιμοποιήσεις το δωρεάν εργαλείο ελέγχου της ITHACA. Το αποτέλεσμα είναι ενδεικτικό. Την τελική κρίση έχει η Εθνική Αρχή Κυβερνοασφάλειας.