NIS2 στην Κύπρο: εποπτεία και επιβολή — τι μπορεί να κάνει η Αρχή Ψηφιακής Ασφάλειας

Ποια αρχή εποπτεύει την εφαρμογή του NIS2 στην Κύπρο

Η μεταφορά της Οδηγίας (ΕΕ) 2022/2555 (Οδηγία NIS 2) στο κυπριακό δίκαιο έγινε με τον Ο περί Ασφάλειας Δικτύων και Συστημάτων Πληροφοριών Νόμο (Ν. 60(Ι)/2025).

Αρμόδια εθνική αρχή για την κυβερνοασφάλεια είναι η Αρχή Ψηφιακής Ασφάλειας (η «Αρχή»). Σύμφωνα με το άρθρο 30, η Αρχή:

• υπέχει τα καθήκοντα εποπτείας και επιβολής που προβλέπονται στον Νόμο·
• παρακολουθεί την εφαρμογή των διατάξεων του Νόμου στη Δημοκρατία (άρθρο 30, εδάφιο 3)·
• ορίζεται ως εθνικό ενιαίο σημείο επαφής για την κυβερνοασφάλεια, με ρόλο συνδέσμου για διασυνοριακή και διατομεακή συνεργασία (άρθρο 30, εδάφια 4-5).

Η Αρχή οφείλει να διαθέτει τις απαιτούμενες εξουσίες και επαρκείς πόρους ώστε να επιτελεί αποτελεσματικά τα καθήκοντά της (άρθρο 30, εδάφιο 6). Σε τεχνικό επίπεδο, ο χειρισμός περιστατικών υποστηρίζεται από το εθνικό CSIRT (άρθρο 31), στο οποίο η Αρχή διαβιβάζει τις κοινοποιήσεις περιστατικών.

Σημαντική εξαίρεση: για τις χρηματοπιστωτικές οντότητες που καλύπτονται από τον Κανονισμό (ΕΕ) 2022/2554 (DORA), οι διατάξεις του Νόμου για τη διαχείριση κινδύνων, την αναφορά περιστατικών και την εποπτεία/επιβολή δεν εφαρμόζονται (άρθρο 31, εδάφιο 10).

Βασικές vs σημαντικές οντότητες: πώς κατατάσσεστε

Ο Νόμος διακρίνει δύο κατηγορίες υπόχρεων:

• βασική οντότητα (essential)
• σημαντική οντότητα (important)

Ως βασικές οντότητες θεωρούνται, μεταξύ άλλων, οντότητες των τύπων του Παραρτήματος Ι που υπερβαίνουν τα όρια των μεσαίων επιχειρήσεων της Σύστασης 2003/361/ΕΚ, εγκεκριμένοι παροχείς υπηρεσιών εμπιστοσύνης, μητρώα ονομάτων TLD και παροχείς υπηρεσιών DNS (ανεξαρτήτως μεγέθους), καθώς και συγκεκριμένες οντότητες δημόσιας διοίκησης. Ως σημαντικές οντότητες θεωρούνται οι οντότητες των τύπων του Παραρτήματος Ι ή ΙΙ που δεν θεωρούνται βασικές.

Η Αρχή καταρτίζει και επικαιροποιεί κατάλογο βασικών και σημαντικών οντοτήτων, τον οποίο επανεξετάζει τακτικά και τουλάχιστον ανά διετία. Για τον σκοπό αυτό, οι οντότητες υποχρεούνται να υποβάλουν βασικά στοιχεία (επωνυμία, διεύθυνση και στοιχεία επικοινωνίας, πεδία IP, σχετικό τομέα/υποτομέα, κράτη μέλη όπου παρέχουν υπηρεσίες) και να κοινοποιούν αλλαγές εντός δύο (2) εβδομάδων από την ημερομηνία της αλλαγής.

Η βασική ή σημαντική οντότητα ορίζεται τελικά με Απόφαση που εκδίδει η Αρχή και η οποία επιδίδεται στην εν λόγω οντότητα.

Σημείωση για τη διάκριση εποπτείας: η Οδηγία NIS 2 προβλέπει διαφορετικά εποπτικά καθεστώτα (εκ των προτέρων vs εκ των υστέρων) για βασικές και σημαντικές οντότητες· ωστόσο, οι ακριβείς διαφορές στο εποπτικό καθεστώς όπως εξειδικεύονται στον Ν. 60(Ι)/2025 [ΤΑΠΣΥΣΤΑΒ ΠΑΡΤΝΕΡ-ΓΙΟΥΡΙΣΤ].

Τι πρέπει να έχετε έτοιμο πριν σας εποπτεύσει η Αρχή

Η εποπτεία της Αρχής επικεντρώνεται στη συμμόρφωση με τις βασικές υποχρεώσεις του Νόμου. Οι κρίσιμες υποχρεώσεις είναι:

1. Μέτρα διαχείρισης κινδύνων (άρθρο 35). Βασικές και σημαντικές οντότητες λαμβάνουν κατάλληλα και αναλογικά τεχνικά, επιχειρησιακά και οργανωτικά μέτρα, με ολιστική προσέγγιση («all-hazards»). Τα μέτρα περιλαμβάνουν τουλάχιστον:

• πολιτικές ανάλυσης κινδύνου και ασφάλειας πληροφοριακών συστημάτων·
• χειρισμό περιστατικών·
• επιχειρησιακή συνέχεια (αντίγραφα ασφαλείας, αποκατάσταση, διαχείριση κρίσεων)·
• ασφάλεια αλυσίδας εφοδιασμού·
• ασφαλή απόκτηση, ανάπτυξη και συντήρηση συστημάτων, με χειρισμό ευπαθειών·
• πολιτικές αξιολόγησης της αποτελεσματικότητας των μέτρων·
• βασική κυβερνοϋγιεινή και κατάρτιση·
• κρυπτογραφία/κρυπτογράφηση κατά περίπτωση·
• ασφάλεια ανθρώπινων πόρων, έλεγχο πρόσβασης, διαχείριση πάγιων στοιχείων·
• πολυπαραγοντική επαλήθευση ταυτότητας (MFA) και ασφαλείς επικοινωνίες, κατά περίπτωση.

2. Διακυβέρνηση (άρθρο 35Α). Η ανώτατη διοίκηση υποχρεούται να εγκρίνει τα μέτρα, να επιβλέπει την εφαρμογή τους και μπορεί να λογοδοτεί για παραβάσεις. Τα μέλη της διοίκησης παρακολουθούν εκπαιδεύσεις και προσφέρουν παρόμοια κατάρτιση στους υπαλλήλους σε τακτική βάση.

3. Κοινοποίηση περιστατικών (άρθρο 35Β). Για κάθε σημαντικό περιστατικό, οι οντότητες υποβάλλουν στην Αρχή:

Για παροχείς υπηρεσιών εμπιστοσύνης, η κοινοποίηση γίνεται εντός 24 ωρών. Σε εν εξελίξει περιστατικό υποβάλλεται έκθεση προόδου κάθε 15 ημέρες.

Μια δωρεάν αξιολόγηση scoping/gap σας βοηθά να δείτε γρήγορα αν εμπίπτετε στον Νόμο και ποια από τα παραπάνω μέτρα λείπουν.

Επιβολή: διορθωτικά μέτρα και διοικητικά πρόστιμα

Η επιβολή είναι το «σκληρό» σκέλος της εποπτείας. Πρώτη υποχρέωση της ίδιας της οντότητας: όποιος διαπιστώνει ότι δεν συμμορφώνεται με τα μέτρα του άρθρου 35 οφείλει να λάβει αμελλητί όλα τα αναγκαία, κατάλληλα και αναλογικά διορθωτικά μέτρα (άρθρο 35, εδάφιο 4).

Τα διοικητικά πρόστιμα (άρθρο 43Α) πρέπει να είναι αποτελεσματικά, αναλογικά και αποτρεπτικά και επιβάλλονται επιπρόσθετα από άλλα μέτρα που προβλέπει ο Νόμος. Για παραβάσεις των άρθρων 35 και 35Β:

Η Αρχή, κατά τη λήψη απόφασης για την επιβολή και το ύψος του προστίμου, λαμβάνει υπόψη τις περιστάσεις κάθε περίπτωσης. Μπορεί επίσης, με Απόφασή της, να επιβάλει άλλες διοικητικές κυρώσεις προκειμένου να υποχρεώσει την οντότητα να παύσει την παράβαση (άρθρο 43Α, εδάφιο 6).

Ο ακριβής κατάλογος των εποπτικών εξουσιών (π.χ. έλεγχοι, επιθεωρήσεις, αιτήματα πληροφοριών, εντολές) και ο πλήρης κατάλογος διορθωτικών/εκτελεστικών μέτρων όπως εξειδικεύονται στα σχετικά άρθρα του Νόμου [ΤΑΠΣΥΣΤΑΒ ΠΑΡΤΝΕΡ-ΓΙΟΥΡΙΣΤ].