NIS2 στην Ελλάδα: Υποχρέωση αναφοράς περιστατικών και προθεσμίες κοινοποίησης
Ποιος οφείλει να αναφέρει και σε ποια αρχή
Με τον Νόμο 5160/2024, που ενσωματώνει την Οδηγία (ΕΕ) 2022/2555 (NIS2), οι επιχειρήσεις που εμπίπτουν στο πεδίο εφαρμογής αποκτούν σαφή υποχρέωση αναφοράς σοβαρών περιστατικών κυβερνοασφάλειας.
Η υποχρέωση αφορά δύο κατηγορίες οντοτήτων:
- βασική οντότητα (essential)
- σημαντική οντότητα (important)
Σύμφωνα με το άρθρο 16, οι βασικές και σημαντικές οντότητες κοινοποιούν, αμελλητί, κάθε σοβαρό περιστατικό στην ομάδα απόκρισης για συμβάντα (CSIRT) της Εθνικής Αρχής Κυβερνοασφάλειας (NCSA).
Η Εθνική Αρχή Κυβερνοασφάλειας (NCSA) ορίζεται ως η αρμόδια αρχή για την κυβερνοασφάλεια και ως το ενιαίο σημείο επαφής της χώρας (άρθρο 8). Παράλληλα, η NCSA ορίζεται ως αρμόδια CSIRT για τις οντότητες που εντάσσονται στο πεδίο εφαρμογής (άρθρο 10). Ειδικά για τους φορείς της περ. στ) της παρ. 2 του άρθρου 3 (φορείς κεντρικής κυβέρνησης και Οργανισμοί Τοπικής Αυτοδιοίκησης α' και β' βαθμού), αρμόδια CSIRT ορίζεται η Ομάδα Αντιμετώπισης Ηλεκτρονικών Επιθέσεων (Εθνικό CERT) της Διεύθυνσης Κυβερνοχώρου της Εθνικής Υπηρεσίας Πληροφοριών (Ε.Υ.Π.).
Πότε ένα περιστατικό θεωρείται «σοβαρό»
Η υποχρέωση αναφοράς ενεργοποιείται μόνο για σοβαρά (σημαντικά) περιστατικά. Σύμφωνα με την παρ. 3 του άρθρου 16, ένα περιστατικό θεωρείται σημαντικό αν:
- α) έχει προκαλέσει ή μπορεί να προκαλέσει σοβαρή λειτουργική διατάραξη των υπηρεσιών ή οικονομική ζημία για την οικεία οντότητα·
- β) έχει επηρεάσει ή μπορεί να επηρεάσει άλλα φυσικά ή νομικά πρόσωπα προκαλώντας σημαντική υλική ή μη υλική ζημία.
Για τον VKE-διαχειριστή αυτό σημαίνει ότι δεν αναφέρεται κάθε τεχνικό συμβάν, αλλά κάθε περιστατικό που περνά αυτό το κατώφλι επίπτωσης. Η ύπαρξη σαφούς διαδικασίας εσωτερικής αξιολόγησης βοηθά στην έγκαιρη λήψη της απόφασης κοινοποίησης.
Οι προθεσμίες αναφοράς: 24 ώρες, 72 ώρες, τελική έκθεση
Το άρθρο 16 παρ. 4 ορίζει ρητά τα στάδια και τις προθεσμίες υποβολής προς την Εθνική Αρχή Κυβερνοασφάλειας:
| Στάδιο | Προθεσμία | Περιεχόμενο |
|---|---|---|
| Προειδοποίηση (early warning) | χωρίς αδικαιολόγητη καθυστέρηση και σε κάθε περίπτωση εντός 24 ωρών από τη στιγμή που αντιλήφθηκαν το περιστατικό | αναφέρει, κατά περίπτωση, αν υπάρχει υποψία παράνομων/κακόβουλων ενεργειών ή πιθανού διασυνοριακού αντικτύπου |
| Κοινοποίηση περιστατικού (incident notification) | χωρίς αδικαιολόγητη καθυστέρηση και σε κάθε περίπτωση εντός 72 ωρών από τη στιγμή που αντιλήφθηκαν το περιστατικό | επικαιροποιεί την προειδοποίηση και περιλαμβάνει αρχική αξιολόγηση της σοβαρότητας και των επιπτώσεων, καθώς και ενδείξεις παραβίασης, εφόσον υπάρχουν |
| Ενδιάμεση έκθεση (intermediate report) | κατόπιν αιτήματος της Εθνικής Αρχής Κυβερνοασφάλειας | σχετικές επικαιροποιήσεις της κατάστασης |
| Τελική έκθεση (final report) | το αργότερο εντός ενός (1) μηνός μετά την υποβολή της κοινοποίησης περιστατικού | ολοκληρωμένη περιγραφή του περιστατικού |
Σημείωση: Οι ανωτέρω προθεσμίες προκύπτουν από το κείμενο του άρθρου 16 παρ. 4. Ο ακριβής ηλεκτρονικός δίαυλος υποβολής/εγγραφής [ΤΆΠΣΥΣΤΑΒ ΠΑΡΤΝΕΡ-ΓΙΟΥΡΙΣΤ].
Ρόλος του Υ.Α.Σ.Π.Ε. και σύνδεση με τα μέτρα διαχείρισης κινδύνων
Η αναφορά περιστατικών δεν λειτουργεί μεμονωμένα· αποτελεί μέρος ενός ευρύτερου πλαισίου συμμόρφωσης.
Σύμφωνα με το άρθρο 15 παρ. 5, οι βασικές και σημαντικές οντότητες ορίζουν αρμόδιο στέλεχος ως Υπεύθυνο Ασφάλειας Συστημάτων Πληροφορικής και Επικοινωνιών (Υ.Α.Σ.Π.Ε.), ο οποίος αναλαμβάνει:
- τη διαχείριση των επικοινωνιών και επαφών με την Εθνική Αρχή Κυβερνοασφάλειας·
- τον εσωτερικό συντονισμό για τη συμμόρφωση, καθώς και τις απαιτήσεις αναφοράς περιστατικών σύμφωνα με το άρθρο 16.
Τα μέτρα διαχείρισης κινδύνων του άρθρου 15 παρ. 2 περιλαμβάνουν, μεταξύ άλλων, τη διαχείριση περιστατικών (περ. β), γεγονός που καθιστά την ετοιμότητα αναφοράς αναπόσπαστο κομμάτι της κυβερνοασφάλειας της οντότητας.
Η σημασία της συμμόρφωσης ενισχύεται από το άρθρο 26, που προβλέπει διοικητικά πρόστιμα: για τις βασικές οντότητες έως δέκα εκατομμύρια (10.000.000) ευρώ ή 2% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών, και για τις σημαντικές οντότητες έως επτά εκατομμύρια (7.000.000) ευρώ ή 1,4% του κύκλου εργασιών, ανάλογα με το ποιο είναι υψηλότερο.
Θέλετε να δείτε αν η επιχείρησή σας εμπίπτει στο πεδίο εφαρμογής και ποιες υποχρεώσεις σας αφορούν; Χρησιμοποιήστε το δωρεάν εργαλείο scoping/gap για μια πρώτη αξιολόγηση.
Συχνές ερωτήσεις
Ποια είναι η προθεσμία για την πρώτη αναφορά περιστατικού στην Ελλάδα;
Σύμφωνα με το άρθρο 16 παρ. 4 του Νόμου 5160/2024, η προειδοποίηση (early warning) υποβάλλεται χωρίς αδικαιολόγητη καθυστέρηση και σε κάθε περίπτωση εντός 24 ωρών από τη στιγμή που η οντότητα αντιλήφθηκε το σημαντικό περιστατικό.
Πότε υποβάλλεται η τελική έκθεση;
Η τελική έκθεση υποβάλλεται το αργότερο εντός ενός (1) μηνός μετά την υποβολή της κοινοποίησης περιστατικού (των 72 ωρών), σύμφωνα με το άρθρο 16 παρ. 4 περ. δ).
Σε ποια αρχή αναφέρονται τα περιστατικά;
Τα σημαντικά περιστατικά κοινοποιούνται στην ομάδα απόκρισης (CSIRT) της Εθνικής Αρχής Κυβερνοασφάλειας (NCSA), σύμφωνα με τα άρθρα 8, 10 και 16 του Νόμου 5160/2024. Για ορισμένους δημόσιους φορείς αρμόδια CSIRT είναι το Εθνικό CERT της Ε.Υ.Π.
Ποιες οντότητες υποχρεούνται να αναφέρουν περιστατικά;
Η υποχρέωση αφορά τις βασικές οντότητες (essential) και τις σημαντικές οντότητες (important) που εμπίπτουν στο πεδίο εφαρμογής των άρθρων 3 και 4 του Νόμου 5160/2024.
Ελέγξτε τη συμμόρφωσή σας με το NIS2
Ξεκινήστε το δωρεάν τεστ scoping
Εκτελέστε τη δωρεάν ανάλυση gap Κάντε τη δωρεάν σάρωση επιφάνειας
Ο πλήρης οδηγός NIS2 — Ελλάδα →
Το άρθρο αυτό αποτελεί γενική πληροφόρηση, όχι νομική συμβουλή. Συνεργαζόμενος δικηγόρος επιβεβαιώνει τη συγκεκριμένη περίπτωσή σας.