NIS2 και εθνική μεταφορά στην Κύπρο: ο νόμος Ν. 60(Ι)/2025

Από την Οδηγία NIS2 στον εθνικό νόμο

Η Οδηγία (ΕΕ) 2022/2555 (γνωστή ως Οδηγία NIS 2) θέτει το πλαίσιο για ένα υψηλό κοινό επίπεδο κυβερνοασφάλειας σε ολόκληρη την Ένωση. Ως οδηγία, δεν εφαρμόζεται άμεσα, αλλά κάθε κράτος μέλος πρέπει να τη μεταφέρει στο εθνικό του δίκαιο.

Στην Κύπρο, η μεταφορά γίνεται μέσω του νόμου Ο περί Ασφάλειας Δικτύων και Συστημάτων Πληροφοριών Νόμος (Ν. 60(Ι)/2025). Ο νόμος αυτός ενσωματώνει τις υποχρεώσεις της Οδηγίας και τις εξειδικεύει στην κυπριακή έννομη τάξη.

Για μια μικρομεσαία επιχείρηση (ΜμΕ) αυτό σημαίνει ένα πρακτικό συμπέρασμα: οι νομικές σας υποχρεώσεις προκύπτουν από τον Ν. 60(Ι)/2025, ο οποίος παραπέμπει και στην Οδηγία (ΕΕ) 2022/2555 όπου χρειάζεται (για παράδειγμα, στο άρθρο 35 εδάφιο 5 σχετικά με τις εκτελεστικές πράξεις της Επιτροπής).

Ποια είναι η αρμόδια αρχή

Σύμφωνα με το άρθρο 30 του Ν. 60(Ι)/2025, αρμόδια εθνική αρχή για την κυβερνοασφάλεια είναι η Αρχή Ψηφιακής Ασφάλειας (στον νόμο αναφέρεται ως «Αρχή»).

Οι βασικές αρμοδιότητες της Αρχής περιλαμβάνουν:

• Τα καθήκοντα εποπτείας και επιβολής του νόμου (άρθρο 30 εδάφιο 1).
• Την παρακολούθηση της εφαρμογής των διατάξεων του νόμου στη Δημοκρατία (άρθρο 30 εδάφιο 3).
• Τον ρόλο του εθνικού ενιαίου σημείου επαφής για την κυβερνοασφάλεια (άρθρο 30 εδάφιο 4), με καθήκοντα συνδέσμου για τη διασυνοριακή και διατομεακή συνεργασία (άρθρο 30 εδάφιο 5).

Παράλληλα, το εθνικό CSIRT (άρθρο 31) είναι υπεύθυνο για τον χειρισμό περιστατικών και παρέχει τεχνική υποστήριξη στις οντότητες. Η Αρχή διαβιβάζει στο εθνικό CSIRT τις κοινοποιήσεις περιστατικών με την παραλαβή τους (άρθρο 35Β εδάφιο 1(ε)).

Βασικές και σημαντικές οντότητες: πού ανήκετε

Ο Ν. 60(Ι)/2025 διακρίνει δύο κατηγορίες υποκείμενων:

• βασική οντότητα — μεταξύ άλλων, οντότητες των τύπων του Παραρτήματος Ι που υπερβαίνουν τα ανώτατα όρια των μεσαίων επιχειρήσεων της Σύστασης 2003/361/ΕΚ, καθώς και ορισμένοι πάροχοι ανεξαρτήτως μεγέθους (π.χ. εγκεκριμένοι παροχείς υπηρεσιών εμπιστοσύνης, μητρώα ονομάτων TLD, παροχείς υπηρεσιών DNS).
• σημαντική οντότητα — οι οντότητες των τύπων που αναφέρονται στο Παράρτημα Ι ή ΙΙ οι οποίες δεν θεωρούνται βασικές οντότητες.

Η Αρχή καταρτίζει και επικαιροποιεί, τουλάχιστον ανά διετία, κατάλογο βασικών και σημαντικών οντοτήτων, ζητώντας από τις οντότητες βασικά στοιχεία (επωνυμία, στοιχεία επικοινωνίας, τομέα/υποτομέα και, κατά περίπτωση, τα κράτη μέλη στα οποία παρέχουν υπηρεσίες).

Για να δείτε προκαταρκτικά αν και σε ποια κατηγορία ενδέχεται να εμπίπτετε, μπορείτε να χρησιμοποιήσετε το δωρεάν εργαλείο scoping/gap που παρέχουμε.

Τι προσθέτει ο νόμος πάνω στην Οδηγία

Ο Ν. 60(Ι)/2025 δεν αναπαράγει απλώς την Οδηγία· την εξειδικεύει με εθνικούς μηχανισμούς και συγκεκριμένες υποχρεώσεις:

Μέτρα διαχείρισης κινδύνων (άρθρο 35). Οι βασικές και σημαντικές οντότητες λαμβάνουν κατάλληλα και αναλογικά τεχνικά, επιχειρησιακά και οργανωτικά μέτρα, τα οποία περιλαμβάνουν τουλάχιστον:

• πολιτικές ανάλυσης κινδύνου και ασφάλειας πληροφοριακών συστημάτων·
• χειρισμό περιστατικών·
• επιχειρησιακή συνέχεια και διαχείριση κρίσεων·
• ασφάλεια της αλυσίδας εφοδιασμού·
• πρακτικές κυβερνοϋγιεινής και κατάρτιση·
• χρήση κρυπτογραφίας και πολυπαραγοντικής επαλήθευσης ταυτότητας, κατά περίπτωση.

Διακυβέρνηση (άρθρο 35Α). Η ανώτατη διοίκηση υποχρεούται να εγκρίνει τα μέτρα, να επιβλέπει την εφαρμογή τους και μπορεί να λογοδοτεί για παραβάσεις. Τα μέλη της διοίκησης πρέπει να παρακολουθούν εκπαιδεύσεις σε τακτική βάση.

Κοινοποίηση περιστατικών (άρθρο 35Β). Προβλέπεται κλιμακωτή αναφορά:

Διοικητικά πρόστιμα (άρθρο 43Α). Για παραβάσεις των άρθρων 35 και 35Β:

• βασικές οντότητες: έως τουλάχιστον €10.000.000 ή 2% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών, όποιο είναι υψηλότερο·
• σημαντικές οντότητες: έως τουλάχιστον €7.000.000 ή 1,4% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών, όποιο είναι υψηλότερο.

Πρακτικά βήματα για ΜμΕ

Αν είστε επικεφαλής μιας κυπριακής ΜμΕ, μια λογική σειρά ενεργειών είναι:

1. Προσδιορίστε το πεδίο: ελέγξτε αν οι δραστηριότητές σας εμπίπτουν στους τύπους του Παραρτήματος Ι ή ΙΙ και αν είστε βασική ή σημαντική οντότητα. 2. Χαρτογραφήστε τα κενά έναντι των μέτρων του άρθρου 35. 3. Εξασφαλίστε την εμπλοκή της διοίκησης (άρθρο 35Α) — η έγκριση και εποπτεία των μέτρων είναι νομική υποχρέωση. 4. Ετοιμάστε διαδικασία κοινοποίησης ώστε να τηρήσετε τις προθεσμίες του άρθρου 35Β.

Οι ακριβείς διαδικασίες και ο ηλεκτρονικός δίαυλος κοινοποίησης ή εγγραφής της Αρχής ενδέχεται να καθορίζονται με Απόφαση της Αρχής· τα λεπτομερή σημεία [ΤΆΠΣΥΣΤΆΒ ΠΑΡΤΝΕΡ-ΓΙΟΥΡΙΣΤ]. Το δωρεάν εργαλείο scoping/gap μπορεί να σας δώσει μια πρώτη εικόνα του πλάνου συμμόρφωσης.