NIS2 στην Κύπρο: Ποιοι εμπίπτουν στον νόμο (βασικές και σημαντικές οντότητες)

Ο νέος νόμος και η αρμόδια αρχή

Η Κύπρος έχει μεταφέρει στο εθνικό δίκαιο την Οδηγία (ΕΕ) 2022/2555 (Οδηγία NIS 2) μέσω του Ο περί Ασφάλειας Δικτύων και Συστημάτων Πληροφοριών Νόμος (Ν. 60(Ι)/2025).

Αρμόδια εθνική αρχή για την κυβερνοασφάλεια είναι η Αρχή Ψηφιακής Ασφάλειας (η «Αρχή»), η οποία υπέχει τα καθήκοντα εποπτείας και επιβολής, όπως προβλέπεται στο άρθρο 30 του νόμου. Η Αρχή ορίζεται επίσης ως εθνικό ενιαίο σημείο επαφής για την κυβερνοασφάλεια.

Το πρώτο και πιο κρίσιμο βήμα για κάθε επιχείρηση είναι να διαπιστώσει αν εμπίπτει στον νόμο και, αν ναι, με ποια ιδιότητα — ως βασική οντότητα ή ως σημαντική οντότητα. Ο χαρακτηρισμός αυτός καθορίζει τις υποχρεώσεις και το ύψος των πιθανών προστίμων.

Βασική οντότητα ή σημαντική οντότητα;

Ο νόμος διακρίνει δύο κατηγορίες υπόχρεων: τη βασική οντότητα (essential) και τη σημαντική οντότητα (important).

Ποιες θεωρούνται βασικές οντότητες (βάσει του σχετικού άρθρου για τις Βασικές και Σημαντικές Οντότητες):

• Οντότητες των τύπων που αναφέρονται στο Παράρτημα Ι, οι οποίες υπερβαίνουν τα ανώτατα όρια για τις μεσαίες επιχειρήσεις που προβλέπονται στο άρθρο 2 παράγραφος 1 του παραρτήματος της Σύστασης 2003/361/ΕΚ·
• Εγκεκριμένοι παροχείς υπηρεσιών εμπιστοσύνης και μητρώα ονομάτων τομέα ανωτάτου επιπέδου, καθώς και παροχείς υπηρεσιών DNS, ανεξάρτητα από το μέγεθός τους·
• Παροχείς δημόσιων δικτύων ηλεκτρονικών επικοινωνιών ή διαθέσιμων στο κοινό υπηρεσιών ηλεκτρονικών επικοινωνιών που χαρακτηρίζονται ως μεσαίες επιχειρήσεις·
• Ορισμένες οντότητες δημόσιας διοίκησης, καθώς και οντότητες που προσδιορίζει η Αρχή ή που είχαν ήδη οριστεί ως φορείς εκμετάλλευσης βασικών υπηρεσιών ή φορείς κρίσιμων υποδομών πληροφοριών πριν από την 16η Ιανουαρίου 2023.

Ποιες θεωρούνται σημαντικές οντότητες:

Οι οντότητες των τύπων που αναφέρονται στο Παράρτημα Ι ή ΙΙ, οι οποίες δεν θεωρούνται βασικές οντότητες σύμφωνα με τα παραπάνω, θεωρούνται σημαντικές οντότητες. Σε αυτές περιλαμβάνονται επίσης οντότητες που προσδιορίζονται από την Αρχή στο πλαίσιο του έργου αξιολόγησης κρισιμότητας.

Με απλά λόγια: η κατηγορία εξαρτάται από τον τομέα (Παράρτημα Ι ή ΙΙ) και από το μέγεθος της οντότητας, με εξαιρέσεις όπου ορισμένοι τύποι παρόχων εμπίπτουν ανεξαρτήτως μεγέθους.

Τα όρια μεγέθους και οι τομείς

Το κριτήριο μεγέθους στηρίζεται στη Σύσταση 2003/361/ΕΚ, που ορίζει τις πολύ μικρές, μικρές και μεσαίες επιχειρήσεις. Γενικά:

• Οι οντότητες του Παραρτήματος Ι που υπερβαίνουν τα όρια της μεσαίας επιχείρησης τείνουν να χαρακτηρίζονται ως βασικές.
• Οι υπόλοιπες οντότητες των τύπων του Παραρτήματος Ι ή ΙΙ που εμπίπτουν τείνουν να χαρακτηρίζονται ως σημαντικές.

Οι τομείς καθορίζονται μέσω των Παραρτημάτων Ι και ΙΙ του νόμου. Ο νόμος αναφέρει ρητά διάφορους τύπους ψηφιακών παρόχων, όπως ενδεικτικά:

| Τύπος οντότητας (όπως ορίζεται στον νόμο) |

| --- |

| Παροχέας υπηρεσιών DNS |

| Μητρώο ονομάτων TLD |

| Παροχέας υπηρεσιών υπολογιστικού νέφους |

| Παροχέας υπηρεσιών κέντρου δεδομένων |

| Παροχέας δικτύου διανομής περιεχομένου |

| Παροχέας διαχειριζόμενων υπηρεσιών / υπηρεσιών ασφάλειας |

| Παροχέας επιγραμμικής αγοράς / μηχανής αναζήτησης / πλατφόρμας κοινωνικής δικτύωσης |

| Εγκεκριμένος παροχέας υπηρεσιών εμπιστοσύνης |

Για την πλήρη και δεσμευτική λίστα τομέων και υποτομέων, καθώς και τα ακριβή αριθμητικά κατώφλια της Σύστασης 2003/361/ΕΚ που εφαρμόζονται σε κάθε περίπτωση, θα πρέπει να συμβουλευτείτε το πλήρες κείμενο των Παραρτημάτων Ι και ΙΙ του Ν. 60(Ι)/2025. [ΤΑΠΣΥΣΤΑΒ ΠΑΡΤΝΕΡ-ΓΙΟΥΡΙΣΤ]

Η Αρχή καταρτίζει και επικαιροποιεί, τουλάχιστον ανά διετία, κατάλογο βασικών και σημαντικών οντοτήτων. Οι οντότητες υποχρεούνται να υποβάλλουν στοιχεία όπως η επωνυμία, η διεύθυνση, τα στοιχεία επικοινωνίας και ο σχετικός τομέας/υποτομέας του Παραρτήματος Ι ή ΙΙ.

Γιατί έχει σημασία ο χαρακτηρισμός σας

Ο χαρακτηρισμός δεν είναι απλώς διοικητικό ζήτημα — καθορίζει τις έννομες υποχρεώσεις σας.

Μέτρα διαχείρισης κινδύνων (άρθρο 35): Τόσο οι βασικές όσο και οι σημαντικές οντότητες λαμβάνουν κατάλληλα και αναλογικά τεχνικά, επιχειρησιακά και οργανωτικά μέτρα. Ο νόμος απαριθμεί, μεταξύ άλλων: πολιτικές ανάλυσης κινδύνου, χειρισμό περιστατικών, επιχειρησιακή συνέχεια, ασφάλεια της αλυσίδας εφοδιασμού, βασικές πρακτικές κυβερνοϋγιεινής, χρήση κρυπτογραφίας και πολυπαραγοντική επαλήθευση ταυτότητας.

Διακυβέρνηση (άρθρο 35Α): Η ανώτατη διοίκηση υποχρεούται να εγκρίνει τα μέτρα, να επιβλέπει την εφαρμογή τους και μπορεί να λογοδοτεί για παραβάσεις. Τα μέλη της διοίκησης οφείλουν να παρακολουθούν εκπαιδεύσεις.

Υποχρεώσεις κοινοποίησης (άρθρο 35Β): Σε περίπτωση σημαντικού περιστατικού, οι οντότητες υποβάλλουν έγκαιρη προειδοποίηση εντός έξι (6) ωρών, κοινοποίηση περιστατικού εντός εβδομήντα δύο (72) ωρών και τελική έκθεση εντός ενός μηνός. Για τους παροχείς υπηρεσιών εμπιστοσύνης προβλέπεται ειδική προθεσμία εικοσιτεσσάρων (24) ωρών.

Πρόστιμα (άρθρο 43Α): Η διάκριση επηρεάζει άμεσα το ύψος των διοικητικών προστίμων:

Γι' αυτό, η σωστή αυτο-ταυτοποίηση αποτελεί το θεμέλιο της συμμόρφωσής σας. Ξεκινήστε με το δωρεάν εργαλείο scoping/gap για να δείτε αν και πώς εμπίπτετε.