Προθεσμίες αναφοράς περιστατικών κατά τον NIS2 στην Κύπρο

Ποιος έχει την υποχρέωση κοινοποίησης

Ο νόμος Ο περί Ασφάλειας Δικτύων και Συστημάτων Πληροφοριών Νόμος (Ν. 60(Ι)/2025) επιβάλλει υποχρεώσεις αναφοράς περιστατικών σε δύο κατηγορίες οργανισμών:

• βασική οντότητα (essential)
• σημαντική οντότητα (important)

Σύμφωνα με το άρθρο 35Β, εδάφιο (1), οι βασικές και σημαντικές οντότητες κοινοποιούν αμελλητί κάθε περιστατικό που έχει σημαντικό αντίκτυπο στην παροχή των υπηρεσιών τους — δηλαδή κάθε σημαντικό περιστατικό.

Ένα περιστατικό θεωρείται σημαντικό (άρθρο 35Β, εδάφιο 3) εάν:

• έχει προκαλέσει ή μπορεί να προκαλέσει σοβαρή λειτουργική διατάραξη των υπηρεσιών ή οικονομική ζημία για την οντότητα· ή/και
• έχει επηρεάσει ή μπορεί να επηρεάσει άλλα φυσικά ή νομικά πρόσωπα προκαλώντας σημαντική υλική ή μη υλική ζημία.

Σημειώνεται ότι η ίδια η πράξη της κοινοποίησης δεν συνεπάγεται αυξημένη ευθύνη για την οντότητα που την υποβάλλει (άρθρο 35Β, εδάφιο 1(δ)).

Σε ποια αρχή υποβάλλονται οι κοινοποιήσεις

Αρμόδια εθνική αρχή για την κυβερνοασφάλεια είναι η Αρχή Ψηφιακής Ασφάλειας («Αρχή»), η οποία υπέχει τα καθήκοντα εποπτείας και επιβολής (άρθρο 30).

Η ροή της αναφοράς έχει ως εξής:

• Οι βασικές και σημαντικές οντότητες κοινοποιούν το σημαντικό περιστατικό στην Αρχή.
• Με την παραλαβή της κοινοποίησης, η Αρχή τη διαβιβάζει στο εθνικό CSIRT (άρθρο 35Β, εδάφιο 1(ε)).
• Το εθνικό CSIRT είναι υπεύθυνο για τον χειρισμό των περιστατικών σύμφωνα με σαφώς καθορισμένη διαδικασία (άρθρο 31) και παρέχει πρόσθετη τεχνική υποστήριξη εφόσον ζητηθεί.

Η Αρχή λειτουργεί επίσης ως ενιαίο σημείο επαφής για διασυνοριακά ή διατομεακά περιστατικά (άρθρο 30, εδάφιο 4).

Οι προθεσμίες αναφοράς βήμα προς βήμα

Το άρθρο 35Β, εδάφιο (4) ορίζει τις ακριβείς προθεσμίες υποβολής. Προσοχή: ο κυπριακός νόμος προβλέπει έγκαιρη προειδοποίηση εντός έξι (6) ωρών — όχι 24 ωρών όπως ενδέχεται να ισχύει αλλού.

Για εν εξελίξει περιστατικό κατά τον χρόνο της τελικής έκθεσης, η οντότητα υποβάλλει έκθεση προόδου κάθε 15 ημέρες, μέχρι την υποβολή της τελικής έκθεσης, η οποία υποβάλλεται εντός 15 ημερών από την αποκατάσταση της λειτουργίας του συστήματος (35Β(4)(ε)).

Ειδική περίπτωση — παροχείς υπηρεσιών εμπιστοσύνης: κατά παρέκκλιση, ο παροχέας υπηρεσιών εμπιστοσύνης κοινοποιεί σημαντικά περιστατικά εντός 24 ωρών από τη στιγμή που έλαβε γνώση (35Β(4)(στ)).

Τι ανατροφοδότηση λαμβάνετε από την Αρχή

Μετά την έγκαιρη προειδοποίηση, η Αρχή δεν σας αφήνει μόνους:

• Η Αρχή παρέχει, ει δυνατόν εντός 24 ωρών από τη λήψη της έγκαιρης προειδοποίησης, αρχική ανατροφοδότηση (feedback) σχετικά με το σημαντικό περιστατικό (άρθρο 35Β, εδάφιο 5(α)).
• Κατόπιν αιτήματος, παρέχεται καθοδήγηση ή επιχειρησιακές συμβουλές για πιθανά μέτρα μετριασμού.
• Το εθνικό CSIRT προσφέρει πρόσθετη τεχνική υποστήριξη (35Β(5)(β)).
• Αν υπάρχουν υπόνοιες ποινικού αδικήματος, η Αρχή παρέχει καθοδήγηση για κοινοποίηση στην Αστυνομία (35Β(5)(γ)).

Οι ακριβείς διαδικασίες και το περιεχόμενο της κοινοποίησης ρυθμίζονται με Απόφαση που εκδίδει η Αρχή (35Β(1)(ζ)). Ο ακριβής ηλεκτρονικός δίαυλος κοινοποίησης ή εγγραφής της Αρχής [ΤΑΠΤΆΣΤΑΒ ΠΑΡΤΝΕΡ-ΓΙΟΥΡΊΣΤ].

Κυρώσεις σε περίπτωση μη συμμόρφωσης

Η παραβίαση των υποχρεώσεων αναφοράς περιστατικών (άρθρο 35Β) και των μέτρων διαχείρισης κινδύνων (άρθρο 35) επισύρει διοικητικά πρόστιμα, τα οποία είναι αποτελεσματικά, αναλογικά και αποτρεπτικά (άρθρο 43Α).

• βασική οντότητα: διοικητικό πρόστιμο ύψους κατ' ανώτατο όριο τουλάχιστον €10.000.000 ή τουλάχιστον 2% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών της επιχείρησης, ανάλογα με το ποιο είναι υψηλότερο (άρθρο 43Α, εδάφιο 4).
• σημαντική οντότητα: διοικητικό πρόστιμο ύψους κατ' ανώτατο όριο τουλάχιστον €7.000.000 ή τουλάχιστον 1,4% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών, ανάλογα με το ποιο είναι υψηλότερο (άρθρο 43Α, εδάφιο 5).

Επιπλέον, η ανώτατη διοίκηση εγκρίνει και επιβλέπει τα μέτρα κυβερνοασφάλειας και μπορεί να λογοδοτεί για παραβάσεις (άρθρο 35Α, εδάφιο 1).

Επόμενο βήμα: χρησιμοποιήστε το δωρεάν εργαλείο scoping/gap για να αξιολογήσετε αν εμπίπτετε στον νόμο και πόσο έτοιμοι είστε να τηρήσετε τις προθεσμίες των 6 ωρών, των 72 ωρών και του ενός μηνός.