Αναφορά περιστατικών NIS2 στην Ελλάδα: πρακτικός οδηγός βήμα προς βήμα

1. Πότε ενεργοποιείται η υποχρέωση αναφοράς

Η υποχρέωση δεν ενεργοποιείται για κάθε τεχνικό συμβάν, αλλά για κάθε σημαντικό περιστατικό. Σύμφωνα με το άρθρο 16 παρ. 1 του ν. 5160/2024, οι βασικές οντότητες και οι σημαντικές οντότητες κοινοποιούν, αμελλητί, κάθε περιστατικό που έχει σημαντικό αντίκτυπο στην παροχή των υπηρεσιών τους.

Το άρθρο 16 παρ. 3 του ν. 5160/2024 ορίζει ότι ένα περιστατικό θεωρείται σημαντικό αν:

• έχει προκαλέσει ή μπορεί να προκαλέσει σοβαρή λειτουργική διατάραξη των υπηρεσιών ή οικονομική ζημία για την οικεία οντότητα·
• έχει επηρεάσει ή μπορεί να επηρεάσει άλλα φυσικά ή νομικά πρόσωπα, προκαλώντας σημαντική υλική ή μη υλική ζημία.

Προσέξτε τη διατύπωση «ή μπορεί να προκαλέσει»: η δυνητική επίπτωση αρκεί. Δεν χρειάζεται να έχετε ολοκληρώσει την τεχνική ανάλυση για να ξεκινήσει η μέτρηση του χρόνου. Πρακτικά, η στιγμή που αντιληφθήκατε το περιστατικό είναι η στιγμή έναρξης των προθεσμιών.

Η υποχρέωση αφορά τις οντότητες που εμπίπτουν στο πεδίο εφαρμογής των άρθρων 3 και 4 του ν. 5160/2024 (τομείς Παραρτημάτων Ι και ΙΙ, μεσαίες επιχειρήσεις και άνω, καθώς και ορισμένες κατηγορίες ανεξαρτήτως μεγέθους, όπως πάροχοι δημόσιων δικτύων ηλεκτρονικών επικοινωνιών, πάροχοι υπηρεσιών εμπιστοσύνης, μητρώα ονομάτων τομέα και φορείς της κεντρικής κυβέρνησης ή Ο.Τ.Α.).

2. Σε ποιον υποβάλλετε την αναφορά

Ο αποδέκτης προσδιορίζεται ρητά στον εθνικό νόμο:

• Κανόνας: η κοινοποίηση γίνεται στην ομάδα απόκρισης για συμβάντα που αφορούν στην ασφάλεια υπολογιστών (CSIRT) της Εθνικής Αρχής Κυβερνοασφάλειας (άρθρο 16 παρ. 1 ν. 5160/2024). Η Εθνική Αρχή Κυβερνοασφάλειας ορίζεται επίσης ως αρμόδια αρχή και ως ενιαίο σημείο επαφής της Ελλάδας (άρθρο 8 ν. 5160/2024) και ως αρμόδια CSIRT για τις οντότητες του πεδίου εφαρμογής (άρθρο 10 παρ. 1 ν. 5160/2024).
• Εξαίρεση: ειδικά για τους φορείς της περ. στ) της παρ. 2 του άρθρου 3 (φορείς κεντρικής κυβέρνησης, Ο.Τ.Α. α΄ και β΄ βαθμού), ως αρμόδια CSIRT ορίζεται η Ομάδα Αντιμετώπισης Ηλεκτρονικών Επιθέσεων (Εθνικό CERT) της Διεύθυνσης Κυβερνοχώρου της Εθνικής Υπηρεσίας Πληροφοριών (άρθρο 10 παρ. 1 ν. 5160/2024).

Δίαυλος υποβολής: το κείμενο του νόμου δεν προσδιορίζει μονοσήμαντα ηλεκτρονική φόρμα ή πύλη ειδικά για τις αναφορές περιστατικών — [Επιβεβαιώστε το: Εθνική Αρχή Κυβερνοασφάλειας (NCSA) (επίσημη πηγή).]. Σημειώνεται ότι για τη κατάρτιση του καταλόγου βασικών και σημαντικών οντοτήτων το άρθρο 4 παρ. 3 ν. 5160/2024 αναφέρεται σε υποβολή στοιχείων «μέσω της ψηφιακής πλατφόρμας ή με κάθε άλλο τρόπο», δηλαδή σε διαφορετική υποχρέωση από την αναφορά περιστατικών.

Ποιος αναφέρει εκ μέρους σας: κατά το άρθρο 15 παρ. 5 περ. α) του ν. 5160/2024, η οντότητα ορίζει Υπεύθυνο Ασφάλειας Συστημάτων Πληροφορικής και Επικοινωνιών (Υ.Α.Σ.Π.Ε.), ο οποίος αναλαμβάνει τη διαχείριση των επικοινωνιών με την Εθνική Αρχή Κυβερνοασφάλειας και τον εσωτερικό συντονισμό για τις απαιτήσεις αναφοράς περιστατικών του άρθρου 16.

Για το ζήτημα της ενημέρωσης των αποδεκτών των υπηρεσιών σας το εθνικό απόσπασμα σιωπά· σε αυτό το σημείο βάση αποτελεί η οδηγία (ΕΕ) 2022/2555 art 23(1), κατά την οποία οι οντότητες ενημερώνουν, χωρίς αδικαιολόγητη καθυστέρηση, τους αποδέκτες των υπηρεσιών για σημαντικά περιστατικά που ενδέχεται να επηρεάσουν δυσμενώς την παροχή των υπηρεσιών.

3. Σε ποια μορφή και σε ποια στάδια

Το άρθρο 16 παρ. 4 του ν. 5160/2024 προβλέπει κλιμακωτή αναφορά σε τέσσερα στάδια:

Περιεχόμενο της τελικής έκθεσης: το εθνικό απόσπασμα του άρθρου 16 παρ. 4 περ. δ) δεν απαριθμεί τα υποχρεωτικά στοιχεία της τελικής έκθεσης. Σε αυτό το σημείο το εθνικό κείμενο σιωπά και βάση αποτελεί η οδηγία (ΕΕ) 2022/2555 art 23(4)(d), κατά την οποία η τελική έκθεση περιλαμβάνει: αναλυτική περιγραφή του περιστατικού, με τη σοβαρότητα και τις επιπτώσεις του· τον τύπο της απειλής ή τη βασική αιτία που πιθανολογείται ότι προκάλεσε το περιστατικό· τα εφαρμοσθέντα και τα εν εξελίξει μέτρα μετριασμού· και, κατά περίπτωση, τον διασυνοριακό αντίκτυπο.

Επίσης, για την περίπτωση περιστατικού που βρίσκεται σε εξέλιξη κατά τον χρόνο υποβολής της τελικής έκθεσης, το εθνικό απόσπασμα δεν περιέχει ρύθμιση· η οδηγία (ΕΕ) 2022/2555 art 23(4)(e) προβλέπει ως βάση την υποβολή έκθεσης προόδου και, στη συνέχεια, τελικής έκθεσης εντός ενός μήνα από την ολοκλήρωση του χειρισμού του περιστατικού.

Τέλος, ειδική ρύθμιση για τους παρόχους υπηρεσιών εμπιστοσύνης δεν προκύπτει από το εθνικό απόσπασμα· η οδηγία (ΕΕ) 2022/2555 art 23(4) προβλέπει, κατά παρέκκλιση, συντομότερη υποχρέωση κοινοποίησης για περιστατικά που επηρεάζουν τις υπηρεσίες εμπιστοσύνης.

4. Εντός ποιας προθεσμίας — κάθε προθεσμία χωριστά

Οι προθεσμίες του άρθρου 16 παρ. 4 του ν. 5160/2024 μετρούνται από τη στιγμή που αντιληφθήκατε το σημαντικό περιστατικό:

• Προειδοποίηση: χωρίς αδικαιολόγητη καθυστέρηση και σε κάθε περίπτωση εντός είκοσι τεσσάρων (24) ωρών από τη στιγμή που η οντότητα αντιλήφθηκε το σημαντικό περιστατικό (άρθρο 16 παρ. 4 περ. α).
• Κοινοποίηση περιστατικού: χωρίς αδικαιολόγητη καθυστέρηση και σε κάθε περίπτωση εντός εβδομήντα δύο (72) ωρών από τη στιγμή που η οντότητα αντιλήφθηκε το σημαντικό περιστατικό (άρθρο 16 παρ. 4 περ. β).
• Ενδιάμεση έκθεση: υποβάλλεται κατόπιν αιτήματος της Εθνικής Αρχής Κυβερνοασφάλειας· ο νόμος δεν θέτει αυτοτελή αριθμητική προθεσμία (άρθρο 16 παρ. 4 περ. γ).
• Τελική έκθεση: το αργότερο εντός ενός (1) μηνός μετά την υποβολή της κοινοποίησης περιστατικού (άρθρο 16 παρ. 4 περ. δ).

Παράλληλα ισχύει η γενική υποχρέωση κοινοποίησης αμελλητί του άρθρου 16 παρ. 1: οι μέγιστες προθεσμίες δεν αποτελούν άδεια αναμονής.

5. Πρακτική σειρά ενεργειών όταν συμβεί το περιστατικό

Ώρα 0 — καταγραφή. Σημειώστε ακριβή ημερομηνία και ώρα κατά την οποία η οντότητα αντιλήφθηκε το περιστατικό, καθώς και ποιος το αντιλήφθηκε. Από αυτό το χρονικό σημείο τρέχουν και οι είκοσι τέσσερις (24) ώρες και οι εβδομήντα δύο (72) ώρες.

Βήμα 1 — αξιολόγηση σημαντικότητας. Εφαρμόστε τα δύο κριτήρια του άρθρου 16 παρ. 3 ν. 5160/2024 (σοβαρή λειτουργική διατάραξη ή οικονομική ζημία· επίπτωση σε άλλα πρόσωπα). Καταγράψτε την αιτιολογία σας, ανεξάρτητα από το αποτέλεσμα.

Βήμα 2 — ενεργοποίηση του Υ.Α.Σ.Π.Ε. Ο Υ.Α.Σ.Π.Ε. αναλαμβάνει την επικοινωνία με την Εθνική Αρχή Κυβερνοασφάλειας και τον εσωτερικό συντονισμό της αναφοράς (άρθρο 15 παρ. 5 περ. α ν. 5160/2024).

Βήμα 3 — προειδοποίηση εντός των είκοσι τεσσάρων (24) ωρών. Μην περιμένετε πλήρη τεχνική εικόνα. Αρκεί η ένδειξη υποψίας παράνομων ή κακόβουλων ενεργειών και πιθανού διασυνοριακού αντικτύπου.

Βήμα 4 — κοινοποίηση περιστατικού εντός των εβδομήντα δύο (72) ωρών. Επικαιροποιήστε τα αρχικά στοιχεία, προσθέστε αρχική αξιολόγηση σοβαρότητας και επιπτώσεων και τις διαθέσιμες ενδείξεις παραβίασης.

Βήμα 5 — ανταπόκριση σε αίτημα ενδιάμεσης έκθεσης και τήρηση ημερολογίου χειρισμού.

Βήμα 6 — τελική έκθεση εντός ενός (1) μηνός από την κοινοποίηση περιστατικού.

Η διαχείριση περιστατικών και η επιχειρησιακή συνέχεια αποτελούν ρητά υποχρεωτικά μέτρα του άρθρου 15 παρ. 2 περ. β) και γ) του ν. 5160/2024: το «εγχειρίδιο» της αναφοράς πρέπει να υπάρχει πριν το περιστατικό.

6. Τι διακυβεύεται και πώς να ελέγξετε την ετοιμότητά σας

Η μη συμμόρφωση δεν είναι θεωρητικό ρίσκο. Κατά το άρθρο 26 του ν. 5160/2024:

• στις βασικές οντότητες επιβάλλεται διοικητικό πρόστιμο κατ' ανώτατο όριο δέκα εκατομμυρίων (10.000.000) ευρώ ή ποσού ίσου με το δύο τοις εκατό (2%) του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών της επιχείρησης στην οποία ανήκει, ανάλογα με το ποιο είναι υψηλότερο·
• στις σημαντικές οντότητες επιβάλλεται διοικητικό πρόστιμο κατ' ανώτατο όριο επτά εκατομμυρίων (7.000.000) ευρώ ή ποσού ίσου με το ένα κόμμα τέσσερα τοις εκατό (1,4%) του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών, ανάλογα με το ποιο είναι υψηλότερο.

Επιπλέον, τα όργανα διοίκησης εγκρίνουν και επιβλέπουν τα μέτρα διαχείρισης κινδύνων και ευθύνονται για παραβάσεις (άρθρο 14 ν. 5160/2024).

Επόμενο βήμα: ελέγξτε πρώτα αν η οντότητά σας εμπίπτει στο πεδίο εφαρμογής και ως ποια κατηγορία, και έπειτα αν το πρωτόκολλο αναφοράς σας ανταποκρίνεται στα στάδια και τις προθεσμίες του άρθρου 16. Χρησιμοποιήστε το δωρεάν εργαλείο αξιολόγησης πεδίου εφαρμογής και κενών (gap analysis) για να αποκτήσετε σε λίγα λεπτά μια δομημένη εικόνα και λίστα ενεργειών.