Ενότητα 9 · 9.1
Η NIS2 και ο νόμος 5160/2024
Ενότητα 9: Κανόνες και οργάνωση · Χρόνος ανάγνωσης: 11 λεπτά
Στόχος μαθήματος: Μετά από αυτό το μάθημα θα μπορείτε να εξηγήσετε τι ρυθμίζει ο νόμος 5160/2024 (NIS2), για ποιους ισχύει και τι σημαίνει αυτός μέσω της αλυσίδας για τις μικρές επιχειρήσεις.
Βασικές έννοιες: NIS2, ν. 5160/2024, βασική και σημαντική οντότητα, τομέας, μέγεθος, υποχρέωση μέριμνας, υποχρέωση αναφοράς (24 ώρες, 72 ώρες, 1 μήνας), υποχρέωση καταχώρισης, αλυσίδα εφοδιασμού, αυτοαξιολόγηση της αρμόδιας αρχής
Από ευρωπαϊκή οδηγία σε εθνικό νόμο
Η NIS2 είναι μια ευρωπαϊκή οδηγία του 2022 (Οδηγία (ΕΕ) 2022/2555) που στοχεύει να αυξήσει την ψηφιακή ανθεκτικότητα σημαντικών οργανισμών σε όλη την ΕΕ. Μια οδηγία δεν ισχύει απευθείας: κάθε χώρα την ενσωματώνει σε δικό της νόμο. Στην Ελλάδα αυτός είναι ο νόμος 5160/2024. Αυτός ισχύει από τις 27 Νοεμβρίου 2024. Στην Ολλανδία, όπου βρίσκονται οι διακομιστές του WebOké, η αντίστοιχη εθνική μεταφορά της NIS2 ισχύει από 15 Αυγούστου 2026, ταυτόχρονα με την εθνική ενσωμάτωση της οδηγίας CER (EU) 2022/2557 και σχετικές κανονιστικές ρυθμίσεις που εξειδικεύουν τους κανόνες. Δεν υπάρχει μεταβατική περίοδος: όποιος εμπίπτει στο πεδίο εφαρμογής πρέπει να συμμορφώνεται ήδη.
Σύμφωνα με το ολλανδικό NCSC, πάνω από 8.000 οργανισμοί εμπίπτουν στον ολλανδικό νόμο. Αυτό είναι μικρό ποσοστό όλων των επιχειρήσεων. Για τις περισσότερες μικρές επιχειρήσεις το σημαντικότερο ερώτημα επομένως δεν είναι «τι πρέπει να κάνω εγώ για τον νόμο;», αλλά «τι ζητούν από εμένα οι πελάτες μου επειδή οι ίδιοι εμπίπτουν στον νόμο;». Σε αυτό θα επανέλθουμε παρακάτω.
Στην Ελλάδα, αρμόδιο σημείο επαφής για θέματα κυβερνοασφάλειας είναι η Εθνική Αρχή Κυβερνοασφάλειας, https://cyber.gov.gr/, η οποία παρέχει επίσης στήριξη σε μικρομεσαίες επιχειρήσεις.
Εμπίπτετε σε αυτόν; Τομέας και μέγεθος
Το αν ένας οργανισμός εμπίπτει στον νόμο εξαρτάται από δύο ερωτήματα.
1. Εργάζεστε σε τομέα που αναφέρεται στον νόμο; Ο νόμος έχει δύο παραρτήματα.
| Παράρτημα 1 (11 τομείς) | Παράρτημα 2 (7 τομείς) |
|---|---|
| ενέργεια, μεταφορές, τραπεζικός τομέας, πόσιμο νερό, ψηφιακές υποδομές, διαχείριση υπηρεσιών ΤΠΕ, διάστημα, υποδομή χρηματοπιστωτικής αγοράς, υγεία, λύματα, δημόσια διοίκηση | πάροχοι ψηφιακών υπηρεσιών, ταχυδρομικές και ταχυμεταφορικές υπηρεσίες, διαχείριση αποβλήτων, τρόφιμα, χημικές ουσίες, έρευνα, μεταποίηση (βιομηχανία) |
Για ορισμένους τομείς ισχύουν επιπλέον προϋποθέσεις που καθορίζει το αρμόδιο υπουργείο. Δεν εμπίπτει λοιπόν αυτόματα κάθε οργανισμός που έχει κάποια σχέση με «τρόφιμα».
2. Είστε αρκετά μεγάλοι; Ο οργανισμός σας προσμετράται αν:
- έχετε 50 ή περισσότερους εργαζομένους (ΙΠΑ), ή
- έχετε λιγότερους από 50 εργαζομένους, αλλά ο ετήσιος κύκλος εργασιών σας ΚΑΙ το σύνολο ενεργητικού σας βρίσκονται και τα δύο πάνω από 10 εκατομμύρια ευρώ.
Οι συνδεδεμένες και οι συνεργαζόμενες επιχειρήσεις προσμετρώνται. Μια επιχείρηση με 20 εργαζομένους που ανήκει σε όμιλο 200 ατόμων μπορεί επομένως να εμπίπτει κι αυτή στον νόμο.
Εξαιρέσεις: ανεξαρτήτως μεγέθους. Ορισμένα είδη οργανισμών εμπίπτουν πάντα, όσο μικροί κι αν είναι: πάροχοι υπηρεσιών DNS, μητρώα ονομάτων τομέα ανωτάτου επιπέδου, πάροχοι δημόσιων δικτύων και υπηρεσιών ηλεκτρονικών επικοινωνιών, πάροχοι υπηρεσιών εμπιστοσύνης και δημόσιοι φορείς. Επίσης οι πάροχοι υπηρεσιών καταχώρισης ονομάτων domain πρέπει να καταχωρίζονται.
Βασική ή σημαντική οντότητα
Οι οργανισμοί που εμπίπτουν στον νόμο είναι βασικές ή σημαντικές οντότητες. Σε γενικές γραμμές: μεγάλοι οργανισμοί στους τομείς του παραρτήματος 1 και ορισμένα είδη που ορίζονται ως τέτοια ανεξαρτήτως μεγέθους είναι βασικές οντότητες· οι υπόλοιποι είναι σημαντικές. Η διαφορά έγκειται κυρίως στην εποπτεία: στις βασικές οντότητες η αρμόδια αρχή μπορεί να ελέγχει και αυτεπάγγελτα, για παράδειγμα με επιθεωρήσεις και ελέγχους· στις σημαντικές οντότητες παρεμβαίνει κυρίως εκ των υστέρων, όταν υπάρχουν ενδείξεις ότι κάτι δεν πάει καλά. Οι ίδιες οι υποχρεώσεις είναι σε μεγάλο βαθμό ίδιες. Το αν είστε βασική ή σημαντική οντότητα το διαπιστώνετε με την αυτοαξιολόγηση παρακάτω.
Ελέγξτε το μόνοι σας
Στην Ολλανδία, η Rijksinspectie Digitale Infrastructuur (RDI) διαθέτει δωρεάν αυτοαξιολόγηση NIS2 στη διεύθυνση https://regelhulpenvoorbedrijven.nl/NIS-2-NL/. Απαντάτε σε μια σειρά ερωτήσεων σχετικά με τον τομέα, το μέγεθος και τις υπηρεσίες σας και λαμβάνετε ένα αποτέλεσμα. Για την κατάσταση στην Ελλάδα, συμβουλευτείτε την αρμόδια εθνική αρχή για να διαπιστώσετε αν εμπίπτετε στον ν. 5160/2024. Αν έχετε αμφιβολίες, για παράδειγμα επειδή η επιχείρησή σας ανήκει σε όμιλο ή δραστηριοποιείται σε περισσότερες χώρες, η Εθνική Αρχή Κυβερνοασφάλειας διαθέτει οδηγίες για σύνθετα επιχειρηματικά μοντέλα.
Τι ζητά ο νόμος
Αν ο οργανισμός σας εμπίπτει σε αυτόν, ισχύουν τρεις υποχρεώσεις.
Υποχρέωση καταχώρισης
Καταχωρίζετε τον οργανισμό σας στο μητρώο οντοτήτων μέσω της πλατφόρμας της αρμόδιας αρχής (στην Ολλανδία: καταχώριση στην πλατφόρμα της Εθνικής Αρχής Κυβερνοασφάλειας). Έτσι το κράτος γνωρίζει ποιος εμπίπτει στον νόμο και μπορεί να επικοινωνήσει μαζί σας σε περίπτωση απειλής.
Υποχρέωση μέριμνας
Εκπονείτε μια ανάλυση κινδύνου και με βάση αυτήν λαμβάνετε κατάλληλα και αναλογικά μέτρα για την ασφάλεια των συστημάτων δικτύου και πληροφοριών σας. Το ολλανδικό NCSC αναφέρει τουλάχιστον δέκα θέματα, τα οποία έχετε ήδη συναντήσει όλα σε αυτό το μάθημα:
- ανάλυση κινδύνου (μάθημα 1.1 και 9.3)·
- διαχείριση περιστατικών με σχέδιο αντιμετώπισης περιστατικών (μάθημα 8.1)·
- προετοιμασία για διακοπή λειτουργίας: αντίγραφα ασφαλείας, σχέδια αποκατάστασης, διαχείριση κρίσεων (ενότητα 6)·
- ασφάλεια της αλυσίδας εφοδιασμού, συμπεριλαμβανομένων των κινδύνων από προμηθευτές (μάθημα 7.2)·
- κυβερνοϋγιεινή και εκπαίδευση (μάθημα 9.2)·
- ασφαλής προμήθεια, ανάπτυξη και συντήρηση συστημάτων, συμπεριλαμβανομένων των ενημερώσεων (μάθημα 5.1)·
- προσωπικό, πολιτική πρόσβασης και διαχείριση εξοπλισμού και λογισμικού (μάθημα 7.1)·
- passkeys ή πολυπαραγοντικός έλεγχος ταυτότητας και ασφαλής επικοινωνία (ενότητα 2)·
- πολιτική για την κρυπτογραφία·
- αξιολόγηση του αν λειτουργούν τα μέτρα, για παράδειγμα με περιοδικές δοκιμές (μάθημα 6.3 και 9.3).
Το διοικητικό συμβούλιο είναι υπεύθυνο: εγκρίνει τα μέτρα και εποπτεύει την εφαρμογή τους. Σύμφωνα με την ευρωπαϊκή οδηγία, τα μέλη της διοίκησης πρέπει επίσης να παρακολουθούν εκπαίδευση σχετικά με τους κυβερνοκινδύνους. Η κυβερνοασφάλεια δεν είναι επομένως πλέον μια δουλειά που αναθέτετε απλώς στον υπεύθυνο πληροφορικής.
Υποχρέωση αναφοράς
Ένα σημαντικό περιστατικό αναφέρεται στην αρμόδια αρχή (στην Ολλανδία: στο NCSC, μέσω της πλατφόρμας του). Πρόκειται για περιστατικό που διαταράσσει σοβαρά την παροχή των υπηρεσιών σας, προκαλεί οικονομική ζημία ή μπορεί να προκαλέσει μεγάλη ζημία σε τρίτους· τα ακριβή όρια διαφέρουν ανά τομέα. Οι προθεσμίες μετρούν από τη στιγμή που λαμβάνετε γνώση του περιστατικού:
| Προθεσμία | Τι αποστέλλετε |
|---|---|
| Εντός 24 ωρών | Έγκαιρη προειδοποίηση: αν φαίνεται κακόβουλο, αν υπάρχουν διασυνοριακές επιπτώσεις, ποιος είναι το πρόσωπο επικοινωνίας |
| Εντός 72 ωρών | Αναφορά περιστατικού: μια ενημέρωση με αρχική εκτίμηση της σοβαρότητας και των επιπτώσεων |
| Εντός 1 μηνός από την αναφορά | Τελική έκθεση: τι συνέβη, η αιτία και τα μέτρα (αν το περιστατικό διαρκεί περισσότερο: ενδιάμεση έκθεση προόδου) |
Στην Ολλανδία, μία και μόνη αναφορά μέσω της πλατφόρμας του NCSC φτάνει ταυτόχρονα στο CSIRT (την ομάδα που βοηθά με το περιστατικό) και στην αρμόδια αρχή εποπτείας. Επιπλέον, σύμφωνα με την οδηγία πρέπει να ενημερώνετε, όπου χρειάζεται, τους αποδέκτες των υπηρεσιών σας για σημαντικά περιστατικά που μπορεί να τους επηρεάσουν.
Αναφορά βάσει κυβερνοασφάλειας και αναφορά βάσει GDPR: δύο διαφορετικά πράγματα
Αυτό μοιάζει με την υποχρέωση γνωστοποίησης παραβιάσεων δεδομένων του GDPR (ΓΚΠΔ) (μάθημα 8.2), και οι «72 ώρες» εμφανίζονται και στις δύο περιπτώσεις. Ωστόσο πρόκειται για δύο ξεχωριστές υποχρεώσεις.
| Νόμος κυβερνοασφάλειας (NIS2) | GDPR (ΓΚΠΔ, παραβίαση δεδομένων) | |
|---|---|---|
| Για ποιους | Οργανισμούς που εμπίπτουν στον νόμο κυβερνοασφάλειας | Οποιονδήποτε επεξεργάζεται δεδομένα προσωπικού χαρακτήρα, ακόμη και έναν ελεύθερο επαγγελματία |
| Σχετικά με τι | Σημαντικά περιστατικά που αφορούν την παροχή υπηρεσιών σας | Παραβιάσεις της ασφάλειας δεδομένων προσωπικού χαρακτήρα |
| Σε ποιον | Στην αρμόδια αρχή κυβερνοασφάλειας | Στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ) |
| Προθεσμίες | 24 ώρες, 72 ώρες, 1 μήνας | Χωρίς αδικαιολόγητη καθυστέρηση, αν είναι δυνατόν εντός 72 ωρών |
Μια επίθεση ransomware σε οργανισμό που εμπίπτει στον νόμο κυβερνοασφάλειας, κατά την οποία κλάπηκαν και δεδομένα πελατών, πρέπει επομένως να αναφερθεί και στις δύο αρχές. Και μια μικρή επιχείρηση που δεν εμπίπτει στον νόμο κυβερνοασφάλειας έχει ωστόσο την υποχρέωση γνωστοποίησης βάσει GDPR αν διαρρεύσουν δεδομένα προσωπικού χαρακτήρα.
Αν δεν εμπίπτετε: η αλυσίδα εφοδιασμού
Για τους περισσότερους αναγνώστες αυτού του μαθήματος, η απάντηση στο πρώτο ερώτημα είναι: όχι, η επιχείρησή μου δεν εμπίπτει στον νόμο κυβερνοασφάλειας. Ο φούρνος με δώδεκα άτομα, το λογιστικό γραφείο με πέντε, ο ανεξάρτητος κατασκευαστής ιστοτόπων. Τότε δεν έχετε νομικές υποχρεώσεις από τον νόμο αυτόν: καμία καταχώριση, καμία υποχρέωση αναφοράς στην αρμόδια αρχή, καμία εποπτεία.
Ωστόσο, ο νόμος μπορεί να σας επηρεάσει μέσω των πελατών σας. Οι οργανισμοί που εμπίπτουν στον νόμο πρέπει να ασφαλίζουν την αλυσίδα εφοδιασμού τους: πρέπει να λαμβάνουν υπόψη τις ευπάθειες των άμεσων προμηθευτών και παρόχων υπηρεσιών τους. Το ολλανδικό NCSC γράφει ότι ο νόμος δεν επιβάλλει από μόνος του υποχρεώσεις στους προμηθευτές, αλλά οι οργανισμοί που εμπίπτουν στον νόμο μπορούν να θέτουν απαιτήσεις για την ψηφιακή ασφάλεια των προμηθευτών τους. Αυτές οι απαιτήσεις καταλήγουν τότε στη σύμβαση ή σε ένα ερωτηματολόγιο.
Ένα παράδειγμα. Μια μικρή εταιρεία πληροφορικής με έξι εργαζομένους διαχειρίζεται τα laptop και το δίκτυο μιας μεσαίας μεταφορικής εταιρείας με 140 εργαζομένους. Η μεταφορική εταιρεία εμπίπτει στον νόμο (μεταφορές, αρκετά μεγάλη). Η ίδια η εταιρεία πληροφορικής όχι: η «διαχείριση υπηρεσιών ΤΠΕ» αναφέρεται μεν στο παράρτημα 1, αλλά η εταιρεία είναι πολύ μικρή. Παρ' όλα αυτά λαμβάνει ένα ερωτηματολόγιο: έχετε έλεγχο ταυτότητας δύο παραγόντων στα εργαλεία διαχείρισης, ποιος έχει πρόσβαση στα συστήματά μας, πόσο γρήγορα μας αναφέρετε ένα περιστατικό, πού βρίσκονται τα αντίγραφα ασφαλείας;
Τι λέει το ολλανδικό NCSC σχετικά με αυτό, και τι σημαίνει αυτό για εσάς:
- Οι απαιτήσεις πρέπει να είναι κατάλληλες. Ένας πελάτης οφείλει να εξετάζει τον κίνδυνο που ενέχει η υπηρεσία σας για αυτόν. Ένας προμηθευτής με πρόσβαση στα συστήματα λαμβάνει αυστηρότερες απαιτήσεις από τον φούρναρη που παραδίδει το μεσημεριανό.
- Αφορά τους άμεσους προμηθευτές. Οι προμηθευτές των προμηθευτών σας δεν εμπίπτουν στον νόμο.
- Ένα πιστοποιητικό δεν είναι υποχρεωτικό. Ο νόμος δεν προβλέπει κάποιο σήμα ποιότητας. Ένα πιστοποιητικό μπορεί να διευκολύνει τη συζήτηση, αλλά δεν αποτελεί εγγύηση ούτε απαίτηση του νόμου.
- Ξεκινήστε νωρίς τη συζήτηση. Χαρτογραφήστε ποια μέτρα έχετε ήδη στα σημεία όπου έρχεστε σε επαφή με τον πελάτη, και καταγράψτε τις συμφωνίες.
Μην το παρακάνετε λοιπόν. Ο νόμος αυτός δεν μετατρέπει μια μικρή επιχείρηση σε οργανισμό «υπόχρεο NIS2», και ένας σύμβουλος που σας το λέει αυτό για να σας πουλήσει μια ακριβή πιστοποίηση, λέει μόνο ένα μέρος της αλήθειας. Αλλά μην το υποτιμάτε κιόλας: όποιος προμηθεύει μεγαλύτερους οργανισμούς πρέπει όλο και πιο συχνά να μπορεί να αποδείξει ότι οι βασικές του ρυθμίσεις είναι εντάξει. Τα βασικά μέτρα αυτού του μαθήματος είναι ακριβώς αυτό που συνήθως ζητά ένα τέτοιο ερωτηματολόγιο.
Αυτό το μάθημα παρέχει γενικές πληροφορίες και δεν αποτελεί νομική συμβουλή. Για τους ισχύοντες κανόνες στην Ελλάδα, συμβουλευτείτε την αρμόδια εθνική αρχή και το κείμενο του ν. 5160/2024. Για τους ολλανδικούς κανόνες δείτε https://cyber.gov.gr/ και το κείμενο του νόμου στην https://wetten.overheid.nl/BWBR0052872/2026-08-15/0.
Σύνοψη
- Ο ν. 5160/2024 είναι η ελληνική ενσωμάτωση της NIS2 και ισχύει από τις 27 Νοεμβρίου 2024.
- Εμπίπτετε σε αυτόν αν ανήκετε σε τομέα του παραρτήματος 1 ή 2 ΚΑΙ έχετε 50 ή περισσότερους εργαζομένους, ή αν ο ετήσιος κύκλος εργασιών και το σύνολο ενεργητικού είναι και τα δύο πάνω από 10 εκατομμύρια ευρώ· ορισμένα είδη (όπως πάροχοι DNS και δημόσιοι φορείς) εμπίπτουν ανεξαρτήτως μεγέθους.
- Υποχρεώσεις: καταχώριση στην αρμόδια πλατφόρμα, υποχρέωση μέριμνας με ανάλυση κινδύνου και κατάλληλα μέτρα υπό την ευθύνη της διοίκησης, και αναφορά σημαντικών περιστατικών εντός 24 ωρών, 72 ωρών και 1 μηνός.
- Η αναφορά στην αρχή κυβερνοασφάλειας είναι ανεξάρτητη από τη γνωστοποίηση παραβίασης δεδομένων στην ΑΠΔΠΧ· ενίοτε απαιτούνται και οι δύο.
- Μια μικρή επιχείρηση συνήθως δεν εμπίπτει η ίδια στον νόμο, αλλά μπορεί μέσω πελατών που εμπίπτουν σε αυτόν να λάβει κατάλληλες απαιτήσεις ασφάλειας.
Κουίζ
Άσκηση
Άσκηση A9.1: Εμπίπτει στον νόμο 5160/2024 (ενσωμάτωση της NIS2); Λαμβάνετε έξι σύντομες περιγραφές οργανισμών (τομέας, αριθμός εργαζομένων, κύκλος εργασιών, σύνολο ενεργητικού, ενδεχομένως έναν όμιλο ή έναν μεγάλο πελάτη). Προσδιορίστε για κάθε οργανισμό: εμπίπτει στον νόμο, δεν εμπίπτει αλλά πιθανότατα θα λάβει απαιτήσεις μέσω κάποιου πελάτη, ή δεν εμπίπτει καθόλου. Το πρόγραμμα ελέγχει τις απαντήσεις και εμφανίζει για κάθε οργανισμό τα βήματα του δέντρου αποφάσεων.
Περαιτέρω ανάγνωση
Για τον νόμο κυβερνοασφάλειας δεν υπάρχει ακόμη άρθρο στη βάση γνώσεων του WebOké· χρησιμοποιήστε τις επίσημες πηγές.
- Ολλανδικό NCSC, Νόμος κυβερνοασφάλειας (NIS2): https://www.ncsc.nl/cyberbeveiligingswet-nis2
- Ολλανδικό NCSC, Εμπίπτει ο οργανισμός μου στον νόμο κυβερνοασφάλειας;: https://www.ncsc.nl/cyberbeveiligingswet-nis2/valt-mijn-organisatie-onder-de-cyberbeveiligingswet-nis2
- Ολλανδικό NCSC, Υποχρέωση μέριμνας: https://www.ncsc.nl/cyberbeveiligingswet-nis2/zorgplicht
- Ολλανδικό NCSC, Υποχρέωση αναφοράς: https://www.ncsc.nl/cyberbeveiligingswet-nis2/meldplicht
- Ολλανδικό NCSC, Ο νόμος κυβερνοασφάλειας και οι προμηθευτές: https://www.ncsc.nl/cyberbeveiligingswet-nis2/de-cyberbeveiligingswet-en-toeleveranciers
- RDI, Αυτοαξιολόγηση NIS2: https://regelhulpenvoorbedrijven.nl/NIS-2-NL/
- Κείμενο νόμου κυβερνοασφάλειας (Ολλανδία): https://wetten.overheid.nl/BWBR0052872/2026-08-15/0