NIS2 στην Ελλάδα: Ποιοι εμπίπτουν στο πεδίο εφαρμογής ως βασικές και σημαντικές οντότητες

Τι ρυθμίζει ο Νόμος 5160/2024 και ποιος επιβλέπει

Ο Νόμος 5160/2024 ενσωματώνει στην ελληνική έννομη τάξη την Οδηγία (ΕΕ) 2022/2555 (NIS2). Σκοπός του είναι η ενίσχυση της κυβερνοασφάλειας σε κρίσιμους τομείς της οικονομίας και της δημόσιας διοίκησης.

Αρμόδια αρχή για την κυβερνοασφάλεια και για τα εποπτικά καθήκοντα ορίζεται η Εθνική Αρχή Κυβερνοασφάλειας (NCSA), η οποία λειτουργεί και ως ενιαίο σημείο επαφής της Ελλάδας (άρθρο 8). Η ίδια Αρχή ορίζεται και ως αρμόδια ομάδα απόκρισης για συμβάντα (CSIRT) για τις οντότητες που εντάσσονται στο πεδίο εφαρμογής (άρθρο 10).

Το πρώτο βήμα για κάθε ελληνική επιχείρηση ή οργανισμό είναι απλό αλλά καθοριστικό: να διαπιστώσει αν εμπίπτει στον νόμο και, αν ναι, αν χαρακτηρίζεται ως *βασική οντότητα* ή ως *σημαντική οντότητα*. Από αυτόν τον χαρακτηρισμό εξαρτώνται οι υποχρεώσεις και το ύψος των πιθανών κυρώσεων.

Το πεδίο εφαρμογής: τομείς και κριτήρια μεγέθους (άρθρο 3)

Σύμφωνα με το άρθρο 3 (πεδίο εφαρμογής), ο νόμος εφαρμόζεται σε δημόσιες ή ιδιωτικές οντότητες των τύπων που αναφέρονται στα Παραρτήματα Ι ή ΙΙ του νόμου, οι οποίες:

• χαρακτηρίζονται ως μεσαίες επιχειρήσεις σύμφωνα με την παρ. 1 του άρθρου 2 του Παραρτήματος της Σύστασης 2003/361/ΕΚ, ή
• υπερβαίνουν τα ανώτατα όρια για τις μεσαίες επιχειρήσεις,

και οι οποίες είναι εγκατεστημένες ή παρέχουν τις υπηρεσίες τους ή ασκούν τις δραστηριότητές τους εντός της ελληνικής επικράτειας.

Εφαρμογή ανεξαρτήτως μεγέθους

Ορισμένες οντότητες εμπίπτουν στον νόμο ανεξάρτητα από το μέγεθός τους (παρ. 2 του άρθρου 3), εφόσον, μεταξύ άλλων:

• παρέχουν υπηρεσίες ως πάροχοι δημόσιων δικτύων ή διαθέσιμων στο κοινό υπηρεσιών ηλεκτρονικών επικοινωνιών, πάροχοι υπηρεσιών εμπιστοσύνης, ή μητρώα ονομάτων τομέα ανωτάτου επιπέδου και πάροχοι υπηρεσιών DNS·
• είναι ο μοναδικός πάροχος στη χώρα υπηρεσίας ουσιώδους για κρίσιμες κοινωνικές ή οικονομικές δραστηριότητες·
• η διατάραξη της υπηρεσίας τους θα μπορούσε να έχει σημαντικό αντίκτυπο στη δημόσια ασφάλεια, τάξη ή υγεία·
• η διατάραξη θα μπορούσε να προκαλέσει σημαντικό συστημικό κίνδυνο, ακόμη και με διασυνοριακό αντίκτυπο·
• η οντότητα είναι κρίσιμη λόγω της ιδιαίτερης σημασίας της σε εθνικό ή περιφερειακό επίπεδο·
• η οντότητα είναι φορέας της κεντρικής κυβέρνησης ή Οργανισμός Τοπικής Αυτοδιοίκησης α' ή β' βαθμού.

Επιπλέον, ο νόμος εφαρμόζεται σε οντότητες που χαρακτηρίζονται ως κρίσιμες κατά την Οδηγία (ΕΕ) 2022/2557 και σε οντότητες που παρέχουν υπηρεσίες καταχώρισης ονομάτων τομέα, ανεξαρτήτως μεγέθους.

Βασική ή σημαντική οντότητα; Ο χαρακτηρισμός (άρθρο 4)

Το άρθρο 4 καθορίζει τη διάκριση που έχει τη μεγαλύτερη πρακτική σημασία.

Βασικές οντότητες θεωρούνται:

• οντότητες στους τομείς και υποτομείς του Παραρτήματος Ι που υπερβαίνουν τα ανώτατα όρια για τις μεσαίες επιχειρήσεις (Σύσταση 2003/361/ΕΚ)·
• εγκεκριμένοι πάροχοι υπηρεσιών εμπιστοσύνης και μητρώα ονομάτων τομέα ανωτάτου επιπέδου, καθώς και πάροχοι υπηρεσιών DNS, ανεξάρτητα από το μέγεθός τους·
• πάροχοι δημόσιων δικτύων ή διαθέσιμων στο κοινό υπηρεσιών ηλεκτρονικών επικοινωνιών που χαρακτηρίζονται ως μεσαίες επιχειρήσεις.

Σημαντικές οντότητες θεωρούνται οι οντότητες των τομέων και υποτομέων των Παραρτημάτων Ι ή ΙΙ που δεν θεωρούνται βασικές οντότητες σύμφωνα με τα παραπάνω.

Κατάλογος και υποχρέωση εγγραφής

Η Εθνική Αρχή Κυβερνοασφάλειας καταρτίζει κατάλογο βασικών και σημαντικών οντοτήτων, καθώς και οντοτήτων που παρέχουν υπηρεσίες καταχώρισης ονομάτων τομέα. Οι οντότητες υποβάλλουν στην Αρχή, μέσω της ψηφιακής πλατφόρμας ή με κάθε άλλο τρόπο, εντός δύο (2) μηνών από την έναρξη ισχύος του νόμου:

• την επωνυμία τους·
• τη διεύθυνση και τα επικαιροποιημένα στοιχεία επικοινωνίας·
• το σύνολο των ονομάτων χώρου (domain names) που χρησιμοποιούν·
• κατά περίπτωση, τον σχετικό τομέα, υποτομέα και τύπο οντότητας των Παραρτημάτων Ι ή ΙΙ.

Κάθε μεταβολή των στοιχείων κοινοποιείται στην Αρχή αμελλητί και σε κάθε περίπτωση εντός δύο (2) εβδομάδων.

Πώς θα καταλάβετε αν εμπίπτετε: πρακτικός οδηγός αυτοαξιολόγησης

Για να διαπιστώσετε αν ο οργανισμός σας εμπίπτει στον Ν. 5160/2024, ακολουθήστε τα εξής βήματα:

1. Τομέας — Ελέγξτε αν η δραστηριότητά σας περιλαμβάνεται στους τομείς/υποτομείς των Παραρτημάτων Ι ή ΙΙ του νόμου. 2. Μέγεθος — Εξετάστε αν χαρακτηρίζεστε ως μεσαία επιχείρηση ή υπερβαίνετε τα σχετικά όρια, βάσει της Σύστασης 2003/361/ΕΚ. 3. Εξαιρέσεις ανεξαρτήτως μεγέθους — Δείτε αν εμπίπτετε σε κάποια από τις περιπτώσεις της παρ. 2 του άρθρου 3 (π.χ. πάροχοι επικοινωνιών, DNS, μοναδικός πάροχος, φορείς δημόσιας διοίκησης). 4. Χαρακτηρισμός — Αν εμπίπτετε, προσδιορίστε αν είστε *βασική οντότητα* ή *σημαντική οντότητα* βάσει του άρθρου 4.

Γιατί έχει σημασία ο χαρακτηρισμός: το άρθρο 26 προβλέπει ότι στις βασικές οντότητες επιβάλλεται διοικητικό πρόστιμο κατ' ανώτατο όριο δέκα εκατομμυρίων (10.000.000) ευρώ ή 2% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών (όποιο είναι υψηλότερο), ενώ στις σημαντικές οντότητες κατ' ανώτατο όριο επτά εκατομμυρίων (7.000.000) ευρώ ή 1,4%.

Είτε βασική είτε σημαντική, η οντότητα υπόκειται στα μέτρα διαχείρισης κινδύνων του άρθρου 15 και στις υποχρεώσεις αναφοράς περιστατικών του άρθρου 16. Χρησιμοποιήστε το δωρεάν εργαλείο αυτοαξιολόγησης (scoping/gap) για να χαρτογραφήσετε γρήγορα τη θέση σας.