Υποχρέωση εγγραφής και κοινοποίησης στοιχείων οντότητας κατά τον νόμο NIS2 στην Κύπρο

Ποιος αφορά: βασικές και σημαντικές οντότητες

Ο περί Ασφάλειας Δικτύων και Συστημάτων Πληροφοριών Νόμος (Ν. 60(Ι)/2025) διακρίνει δύο κατηγορίες υπόχρεων: τις βασικές οντότητες και τις σημαντικές οντότητες.

Ως βασικές οντότητες θεωρούνται, μεταξύ άλλων:

• Οντότητες των τύπων του Παραρτήματος Ι που υπερβαίνουν τα ανώτατα όρια για τις μεσαίες επιχειρήσεις (άρθρο 2 παρ. 1 του παραρτήματος της Σύστασης 2003/361/ΕΚ)·
• Εγκεκριμένοι παροχείς υπηρεσιών εμπιστοσύνης, μητρώα ονομάτων τομέα ανωτάτου επιπέδου (TLD) και παροχείς υπηρεσιών DNS, ανεξάρτητα από το μέγεθός τους·
• Παροχείς δημόσιων δικτύων ή διαθέσιμων στο κοινό υπηρεσιών ηλεκτρονικών επικοινωνιών που χαρακτηρίζονται ως μεσαίες επιχειρήσεις·
• Ορισμένες οντότητες δημόσιας διοίκησης·
• Οντότητες που η Αρχή προσδιορίζει ως βασικές μετά από έργο αξιολόγησης κρισιμότητας.

Οι οντότητες των τύπων που αναφέρονται στο Παράρτημα Ι ή ΙΙ και οι οποίες δεν θεωρούνται βασικές θεωρούνται σημαντικές οντότητες.

Αν δεν είστε βέβαιοι σε ποια κατηγορία εμπίπτει η επιχείρησή σας, ένα δωρεάν εργαλείο scoping μπορεί να σας βοηθήσει να χαρτογραφήσετε τους τομείς και τα κατώφλια πριν προχωρήσετε σε επαφή με νομικό σύμβουλο.

Σε ποια αρχή: η Αρχή Ψηφιακής Ασφάλειας

Αρμόδια εθνική αρχή για την κυβερνοασφάλεια είναι η Αρχή Ψηφιακής Ασφάλειας («η Αρχή»), η οποία υπέχει τα καθήκοντα εποπτείας και επιβολής που προβλέπονται στον Νόμο (άρθρο 30). Η Αρχή ορίζεται επίσης ως το εθνικό ενιαίο σημείο επαφής για την κυβερνοασφάλεια.

Η Αρχή:

• Καταρτίζει κατάλογο βασικών και σημαντικών οντοτήτων, καθώς και οντοτήτων που παρέχουν υπηρεσίες καταχώρισης ονομάτων τομέα, τον οποίο επανεξετάζει και επικαιροποιεί τουλάχιστον ανά διετία (άρθρο για τις Βασικές και Σημαντικές Οντότητες, εδάφιο 3)·
• Δύναται να θεσπίζει εθνικούς μηχανισμούς για να εγγράφονται οι ίδιες οι οντότητες (εδάφιο 4).

Οι βασικές και σημαντικές οντότητες που εγκρίνονται με Απόφαση του Υπουργικού Συμβουλίου ορίζονται με Απόφαση που εκδίδει η Αρχή και η οποία επιδίδεται στην εν λόγω οντότητα (εδάφιο 8).

Ποια στοιχεία υποβάλλονται

Για την κατάρτιση του καταλόγου, η Αρχή απαιτεί από τις οντότητες να υποβάλλουν τουλάχιστον τις ακόλουθες πληροφορίες (εδάφιο 4):

Σημαντικό: Οι οντότητες υποχρεούνται να κοινοποιούν τυχόν αλλαγές στα υποβληθέντα στοιχεία αμελλητί και, σε κάθε περίπτωση, εντός δύο (2) εβδομάδων από την ημερομηνία της αλλαγής (εδάφιο 4).

Πότε: προθεσμίες εγγραφής και κοινοποίησης

Ως προς την αρχική εγγραφή στον εθνικό μηχανισμό, η ακριβής προθεσμία και ο συγκεκριμένος ηλεκτρονικός δίαυλος εγγραφής της Αρχής [ΤΑ ΔΙΕΥΚΡΙΝΙΖΕΙ ΣΥΝΕΡΓΑΤΗΣ ΝΟΜΙΚΟΣ], καθώς δεν προκύπτουν μονοσήμαντα από το κείμενο του νόμου.

Το κείμενο του Νόμου καθορίζει ρητά ορισμένες προθεσμίες:

• Αλλαγές στα στοιχεία εγγραφής: αμελλητί και το αργότερο εντός δύο (2) εβδομάδων από την αλλαγή.
• Επικαιροποίηση καταλόγου από την Αρχή: τουλάχιστον ανά διετία.

Ξεχωριστά από την εγγραφή, ισχύουν οι υποχρεώσεις κοινοποίησης σημαντικού περιστατικού (άρθρο 35Β):

• Έγκαιρη προειδοποίηση: εντός έξι (6) ωρών από τη στιγμή που αντιλήφθηκε η οντότητα το σημαντικό περιστατικό·
• Κοινοποίηση περιστατικού: εντός εβδομήντα δύο (72) ωρών·
• Τελική έκθεση: το αργότερο μέσα σε έναν μήνα από την κοινοποίηση περιστατικού·
• Παροχείς υπηρεσιών εμπιστοσύνης: κατά παρέκκλιση, εντός είκοσι τεσσάρων (24) ωρών.

Γιατί έχει σημασία η συμμόρφωση

Η ορθή ταξινόμηση και εγγραφή αποτελεί το πρώτο βήμα προς τη συμμόρφωση με τις ουσιαστικές υποχρεώσεις του Νόμου, όπως τα μέτρα διαχείρισης κινδύνων (άρθρο 35) και οι υποχρεώσεις κοινοποίησης (άρθρο 35Β).

Σε περίπτωση παραβίασης των άρθρων 35 και 35Β, ο Νόμος προβλέπει διοικητικά πρόστιμα (άρθρο 43Α):

• Βασικές οντότητες: έως τουλάχιστον €10.000.000 ή 2% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών, ανάλογα με το ποιο είναι υψηλότερο·
• Σημαντικές οντότητες: έως τουλάχιστον €7.000.000 ή 1,4% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών, ανάλογα με το ποιο είναι υψηλότερο.

Επιπλέον, η ανώτατη διοίκηση των οντοτήτων υποχρεούται να εγκρίνει τα μέτρα διαχείρισης κινδύνων και μπορεί να λογοδοτεί για παραβάσεις (άρθρο 35Α). Ένα δωρεάν εργαλείο scoping/gap σας βοηθά να κατανοήσετε από πού να ξεκινήσετε.