Κοινοποίηση περιστατικού NIS2 στην Κύπρο: πρακτικός οδηγός βήμα-βήμα

1. Πότε ενεργοποιείται η υποχρέωση κοινοποίησης

Η υποχρέωση δεν αφορά κάθε τεχνικό συμβάν. Ο Ο περί Ασφάλειας Δικτύων και Συστημάτων Πληροφοριών Νόμος (Ν. 60(Ι)/2025) απαιτεί από τις βασικές οντότητες και τις σημαντικές οντότητες να κοινοποιούν αμελλητί στην Αρχή κάθε περιστατικό που έχει σημαντικό αντίκτυπο στην παροχή των υπηρεσιών τους, δηλαδή κάθε σημαντικό περιστατικό (άρθρο 35Β, εδάφιο (1), παράγραφος (α)).

Πότε ένα περιστατικό θεωρείται σημαντικό; Το άρθρο 35Β, εδάφιο (3) ορίζει δύο κριτήρια:

• (α) έχει προκαλέσει ή μπορεί να προκαλέσει σοβαρή λειτουργική διατάραξη των υπηρεσιών ή οικονομική ζημία για την οντότητα· ή/και
• (β) έχει επηρεάσει ή μπορεί να επηρεάσει άλλα φυσικά ή νομικά πρόσωπα προκαλώντας σημαντική υλική ή μη υλική ζημία.

Προσέξτε τη διατύπωση «μπορεί να προκαλέσει»: το κριτήριο καλύπτει και τη δυνητική ζημία. Δεν χρειάζεται να έχει ολοκληρωθεί η ζημιά για να γεννηθεί η υποχρέωση.

Δύο πρακτικές διευκρινίσεις:

• Η πράξη της κοινοποίησης δεν συνεπάγεται αυξημένη ευθύνη για την κοινοποιούσα οντότητα (άρθρο 35Β, εδάφιο (1), παράγραφος (δ)). Η αμφιβολία δεν είναι λόγος σιωπής.
• Για τις χρηματοπιστωτικές οντότητες που καλύπτονται από τον Κανονισμό (ΕΕ) 2022/2554, οι διατάξεις του Νόμου για την αναφορά περιστατικών δεν εφαρμόζονται — εφαρμόζεται ο εν λόγω Κανονισμός (άρθρο 31, εδάφιο (10)).

2. Σε ποιον κοινοποιείτε — και μέσω ποιου διαύλου

Παραλήπτης: η Αρχή Ψηφιακής Ασφάλειας. Η Αρχή είναι η αρμόδια εθνική αρχή για την κυβερνοασφάλεια και υπέχει τα καθήκοντα εποπτείας και επιβολής (άρθρο 30, εδάφιο (1)). Είναι επίσης το εθνικό ενιαίο σημείο επαφής (άρθρο 30, εδάφιο (4)).

Δεν χρειάζεται να στείλετε χωριστή κοινοποίηση στο εθνικό CSIRT: όταν η οντότητα κοινοποιεί σημαντικό περιστατικό στην Αρχή, η Αρχή διαβιβάζει την κοινοποίηση στο εθνικό CSIRT με την παραλαβή της (άρθρο 35Β, εδάφιο (1), παράγραφος (ε)). Το εθνικό CSIRT παρέχει πρόσθετη τεχνική υποστήριξη εφόσον το ζητήσετε ή εφόσον το κρίνει απαραίτητο η Αρχή (άρθρο 35Β, εδάφιο (5), παράγραφος (β)).

Αν υπάρχουν υπόνοιες ότι το περιστατικό αφορά διάπραξη ποινικού αδικήματος, η Αρχή παρέχει καθοδήγηση σχετικά με την κοινοποίηση στην Αστυνομία (άρθρο 35Β, εδάφιο (5), παράγραφος (γ)).

Ο ηλεκτρονικός δίαυλος: εδώ το εθνικό κείμενο δεν ορίζει συγκεκριμένη πλατφόρμα ή έντυπο. Ο Νόμος προβλέπει ότι οι διαδικασίες και το περιεχόμενο της κοινοποίησης ρυθμίζονται με Απόφαση που εκδίδει η Αρχή (άρθρο 35Β, εδάφιο (1), παράγραφος (ζ)). Ο συγκεκριμένος δίαυλος υποβολής (πύλη, διεύθυνση ή έντυπο) [ΤΆΠΣΥΣΤΆΒ ΠΆΡΤΝΈΡ-ΓΙΟΎΡΙΣΤ] — δηλαδή [Επιβεβαιώστε το: Αρχή Ψηφιακής Ασφάλειας (επίσημη πηγή).]. Σε επίπεδο οδηγίας, η οδηγία (ΕΕ) 2022/2555, άρθρο 23, παράγραφος 1 θέτει μόνο τη βασική αρχή ότι η κοινοποίηση απευθύνεται στο CSIRT ή, κατά περίπτωση, στην αρμόδια αρχή· δεν προσδιορίζει ούτε αυτή τεχνικό δίαυλο. Ενεργήστε λοιπόν ως εξής: επιβεβαιώστε εκ των προτέρων την ισχύουσα Απόφαση της Αρχής και καταγράψτε τον δίαυλο στο εσωτερικό σας σχέδιο αντιμετώπισης.

3. Σε ποια μορφή και σε ποια στάδια

Το άρθρο 35Β, εδάφιο (4) προβλέπει κλιμακωτή υποβολή. Δεν είναι μία αναφορά, αλλά αλληλουχία:

Σε κάθε στάδιο αναφέρετε και κάθε πληροφορία που επιτρέπει στην Αρχή να προσδιορίσει τυχόν διασυνοριακές επιπτώσεις (άρθρο 35Β, εδάφιο (1), παράγραφος (γ)).

Θα λάβετε και ανατροφοδότηση: η Αρχή παρέχει απάντηση με αρχική ανατροφοδότηση και, κατόπιν αιτήματός σας, καθοδήγηση ή επιχειρησιακές συμβουλές για πιθανά μέτρα μετριασμού (άρθρο 35Β, εδάφιο (5), παράγραφος (α)).

4. Με ποιες προθεσμίες — κάθε αριθμός χωριστά

Οι κυπριακές προθεσμίες δεν είναι πανομοιότυπες με τη βασική διατύπωση της οδηγίας. Το εθνικό κείμενο θέτει αυστηρότερο πρώτο βήμα, γι' αυτό μην στηριχθείτε σε γενικές διεθνείς παρουσιάσεις. Όλα τα παρακάτω προκύπτουν από το άρθρο 35Β, εδάφιο (4):

• Έξι (6) ώρες: χωρίς αδικαιολόγητη καθυστέρηση και σε κάθε περίπτωση εντός έξι (6) ωρών από τη στιγμή που αντιληφθήκατε το σημαντικό περιστατικό, υποβάλλετε την πρώτη ενημέρωση (παράγραφος (α)).
• Εβδομήντα δύο (72) ώρες: χωρίς αδικαιολόγητη καθυστέρηση και σε κάθε περίπτωση εντός εβδομήντα δύο (72) ωρών από τη στιγμή που έγινε αντιληπτό το περιστατικό, υποβάλλετε την κοινοποίηση περιστατικού (παράγραφος (β)).
• Ενδιάμεση έκθεση: κατόπιν αιτήματος της Αρχής, χωρίς προκαθορισμένη προθεσμία στο κείμενο (παράγραφος (γ)).
• Ένας μήνας: η τελική έκθεση υποβάλλεται το αργότερο μέσα σε ένα μήνα μετά την υποβολή της κοινοποίησης περιστατικού (παράγραφος (δ)).
• Δεκαπέντε (15) ημέρες: για εν εξελίξει περιστατικό, υποβάλλετε έκθεση προόδου κάθε δεκαπέντε (15) ημέρες μετά την κοινοποίηση περιστατικού, μέχρι την τελική έκθεση, η οποία υποβάλλεται εντός δεκαπέντε (15) ημερών από την αποκατάσταση της λειτουργίας του δικτύου ή του πληροφοριακού συστήματος που επηρεάστηκε (παράγραφος (ε)).
• Είκοσι τέσσερις (24) ώρες — μόνο για παροχείς υπηρεσιών εμπιστοσύνης: κατά παρέκκλιση από την παράγραφο (β), ο παροχέας υπηρεσιών εμπιστοσύνης κοινοποιεί στην Αρχή, για σημαντικά περιστατικά που επηρεάζουν τις υπηρεσίες εμπιστοσύνης του, χωρίς αδικαιολόγητη καθυστέρηση και σε κάθε περίπτωση εντός είκοσι τεσσάρων (24) ωρών από τη στιγμή που έλαβε γνώση (παράγραφος (στ)).

Τέλος, η Αρχή απαντά αμελλητί και ει δυνατόν εντός είκοσι τεσσάρων (24) ωρών από τη λήψη της έγκαιρης προειδοποίησης (άρθρο 35Β, εδάφιο (5), παράγραφος (α)).

5. Ενημέρωση πελατών και κοινού

Η κοινοποίηση στην Αρχή δεν είναι η μόνη επικοινωνία που μπορεί να απαιτηθεί:

• Αποδέκτες υπηρεσιών: κατά περίπτωση, ενημερώνετε χωρίς αδικαιολόγητη καθυστέρηση τους αποδέκτες των υπηρεσιών σας για σημαντικά περιστατικά που ενδέχεται να επηρεάσουν αρνητικά την παροχή των υπηρεσιών (άρθρο 35Β, εδάφιο (1), παράγραφος (β)).
• Σημαντική κυβερνοαπειλή: ενημερώνετε αμελλητί τους αποδέκτες που ενδέχεται να επηρεαστούν, για τα μέτρα ή τις διορθωτικές ενέργειες που μπορούν να λάβουν. Αν υπάρχει σοβαρός λόγος μη ενημέρωσης, η οντότητα οφείλει να ενημερώνει, να διαβουλεύεται και να λαμβάνει έγκριση από την Αρχή (άρθρο 35Β, εδάφιο (2)).
• Ενημέρωση του κοινού: όταν είναι αναγκαία για την πρόληψη ή αντιμετώπιση του περιστατικού ή είναι προς το δημόσιο συμφέρον, η Αρχή μπορεί, κατόπιν διαβούλευσης μαζί σας, να ενημερώσει το κοινό ή να απαιτήσει από εσάς να το πράξετε (άρθρο 35Β, εδάφιο (7)).

6. Τι διακυβεύεται και τι να κάνετε σήμερα

Η παράβαση των υποχρεώσεων κοινοποίησης δεν είναι τυπικό ζήτημα. Σε περίπτωση παραβίασης των άρθρων 35 και 35Β:

• οι βασικές οντότητες υπόκεινται σε διοικητικά πρόστιμα ύψους κατ' ανώτατο όριο τουλάχιστον δέκα εκατομμυρίων ευρώ (€10.000.000) ή κατ' ανώτατο όριο τουλάχιστον 2% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών του προηγούμενου οικονομικού έτους, ανάλογα με το ποιο είναι υψηλότερο (άρθρο 43Α, εδάφιο (4))·
• οι σημαντικές οντότητες υπόκεινται σε διοικητικά πρόστιμα ύψους κατ' ανώτατο όριο τουλάχιστον επτά εκατομμυρίων ευρώ (€7.000.000) ή κατ' ανώτατο όριο τουλάχιστον 1,4% του αντίστοιχου κύκλου εργασιών, ανάλογα με το ποιο είναι υψηλότερο (άρθρο 43Α, εδάφιο (5)).

Πρακτικός κατάλογος ετοιμότητας:

1. Ορίστε ονομαστικά ποιος αποφασίζει, εντός των πρώτων ωρών, αν ένα περιστατικό είναι «σημαντικό» βάσει των δύο κριτηρίων του άρθρου 35Β, εδάφιο (3). 2. Καταγράψτε τη στιγμή αντίληψης του περιστατικού — από αυτήν μετρούν οι προθεσμίες. 3. Προετοιμάστε πρότυπα κειμένων για την πρώτη ενημέρωση και για την κοινοποίηση περιστατικού, ώστε να μη συντάσσονται υπό πίεση. 4. Εντάξτε τον χειρισμό περιστατικών στα μέτρα διαχείρισης κινδύνων του άρθρου 35, εδάφιο (2), παράγραφος (β) — και θυμηθείτε ότι η ανώτατη διοίκηση εγκρίνει τα μέτρα και επιβλέπει την εφαρμογή τους (άρθρο 35Α, εδάφιο (1)). 5. Δοκιμάστε τη ροή με μια άσκηση: η προθεσμία των έξι (6) ωρών δεν αφήνει χώρο για αυτοσχεδιασμό.

Δεν είστε βέβαιοι αν η επιχείρησή σας θεωρείται βασική οντότητα ή σημαντική οντότητα, ούτε πόσο απέχει η σημερινή σας διαδικασία από τις απαιτήσεις του άρθρου 35Β; Χρησιμοποιήστε το δωρεάν εργαλείο αξιολόγησης πεδίου εφαρμογής και κενών (gap check) για να λάβετε μια πρώτη, δομημένη εικόνα σε λίγα λεπτά.