Υποχρέωση εγγραφής οντοτήτων κατά τον NIS2 στην Ελλάδα: ποιος, πού και πότε

Τι είναι η υποχρέωση εγγραφής και γιατί αφορά την επιχείρησή σας

Η Ελλάδα ενσωμάτωσε την Οδηγία (ΕΕ) 2022/2555 (NIS2) με τον Νόμο 5160/2024. Ένα από τα πρώτα και πιο απτά βήματα συμμόρφωσης για κάθε επιχείρηση που εμπίπτει στο πεδίο εφαρμογής είναι η εγγραφή στον κατάλογο οντοτήτων που τηρεί η αρμόδια αρχή.

Με βάση το άρθρο 4 του νόμου, η Εθνική Αρχή Κυβερνοασφάλειας (NCSA) καταρτίζει κατάλογο βασικών και σημαντικών οντοτήτων, καθώς και οντοτήτων που παρέχουν υπηρεσίες καταχώρισης ονομάτων τομέα. Για να μπορέσει να καταρτιστεί αυτός ο κατάλογος, οι ίδιες οι οντότητες οφείλουν να υποβάλουν στοιχεία στην αρχή.

Η εγγραφή δεν είναι διαδικαστική λεπτομέρεια: αποτελεί την επίσημη αναγνώριση ότι η οντότητά σας υπόκειται στις υποχρεώσεις του νόμου, όπως τα μέτρα διαχείρισης κινδύνων του άρθρου 15 και οι υποχρεώσεις αναφοράς περιστατικών του άρθρου 16.

Ποιος πρέπει να εγγραφεί

Η υποχρέωση αφορά τις οντότητες που εμπίπτουν στο πεδίο εφαρμογής του νόμου. Σύμφωνα με το άρθρο 3, ο νόμος εφαρμόζεται σε δημόσιες ή ιδιωτικές οντότητες των τύπων των Παραρτημάτων Ι ή ΙΙ, οι οποίες χαρακτηρίζονται ως μεσαίες επιχειρήσεις (κατά τη Σύσταση 2003/361/ΕΚ) ή υπερβαίνουν τα σχετικά όρια, εφόσον είναι εγκατεστημένες ή παρέχουν υπηρεσίες ή ασκούν δραστηριότητες στην ελληνική επικράτεια.

Ο νόμος εφαρμόζεται επίσης σε ορισμένες οντότητες ανεξαρτήτως μεγέθους, μεταξύ άλλων:

• παρόχους δημόσιων δικτύων ηλεκτρονικών επικοινωνιών ή διαθέσιμων στο κοινό υπηρεσιών ηλεκτρονικών επικοινωνιών,
• παρόχους υπηρεσιών εμπιστοσύνης,
• μητρώα ονομάτων τομέα ανωτάτου επιπέδου και παρόχους υπηρεσιών συστήματος ονομάτων τομέα (DNS),
• μοναδικούς παρόχους στη χώρα ουσιώδους υπηρεσίας,
• φορείς της κεντρικής κυβέρνησης και Οργανισμούς Τοπικής Αυτοδιοίκησης α' και β' βαθμού,
• οντότητες που παρέχουν υπηρεσίες καταχώρισης ονομάτων τομέα (άρθρο 3 παρ. 4).

Πώς κατατάσσεται η οντότητά σας: κατά το άρθρο 4, «βασική οντότητα» θεωρείται, ενδεικτικά, οντότητα των τομέων του Παραρτήματος Ι που υπερβαίνει τα όρια μεσαίας επιχείρησης, οι εγκεκριμένοι πάροχοι υπηρεσιών εμπιστοσύνης, τα μητρώα TLD και οι πάροχοι DNS (ανεξαρτήτως μεγέθους), καθώς και οι μεσαίες επιχειρήσεις παρόχων δημόσιων δικτύων/υπηρεσιών ηλεκτρονικών επικοινωνιών. Όσες οντότητες των Παραρτημάτων Ι ή ΙΙ δεν είναι βασικές, θεωρούνται «σημαντική οντότητα».

Πού γίνεται η εγγραφή και ποια στοιχεία υποβάλλονται

Αρμόδια αρχή είναι η Εθνική Αρχή Κυβερνοασφάλειας (NCSA), η οποία ορίζεται ως αρμόδια αρχή για την κυβερνοασφάλεια και ως ενιαίο σημείο επαφής της Ελλάδας (άρθρο 8).

Σύμφωνα με το άρθρο 4 παρ. 3, οι οντότητες υποβάλλουν τα στοιχεία στην Εθνική Αρχή Κυβερνοασφάλειας μέσω της ψηφιακής πλατφόρμας ή με κάθε άλλο τρόπο. Τα στοιχεία που πρέπει να υποβληθούν είναι:

• α) η επωνυμία της οντότητας,
• β) η διεύθυνση και τα επικαιροποιημένα στοιχεία επικοινωνίας,
• γ) το σύνολο των ονομάτων χώρου (domain names) που χρησιμοποιεί η οντότητα,
• δ) κατά περίπτωση, ο σχετικός τομέας, υποτομέας και τύπος οντότητας που αναφέρεται στα Παραρτήματα Ι ή ΙΙ.

Ενημέρωση μεταβολών: κατά το άρθρο 4 παρ. 4, οι οντότητες κοινοποιούν στην Εθνική Αρχή Κυβερνοασφάλειας τις μεταβολές στα υποβληθέντα στοιχεία αμελλητί και σε κάθε περίπτωση εντός δύο (2) εβδομάδων από την ημερομηνία επέλευσης της μεταβολής.

Μέχρι πότε πρέπει να γίνει η εγγραφή

Η προθεσμία ορίζεται ρητά στο άρθρο 4 παρ. 3: οι οντότητες υποβάλλουν τις απαιτούμενες πληροφορίες στην Εθνική Αρχή Κυβερνοασφάλειας εντός προθεσμίας δύο (2) μηνών από την έναρξη ισχύος του νόμου.

Παράλληλα, καλό είναι να έχετε υπόψη και άλλες συναφείς προθεσμίες του νόμου:

Σημείωση: για τον ακριβή ηλεκτρονικό δίαυλο και τις τεχνικές λεπτομέρειες της πλατφόρμας εγγραφής/κοινοποίησης ισχύει ότι δεν προκύπτουν μονοσήμαντα από το κείμενο του νόμου [ΤΑΚΡΙΒΩΝΕΙ ΠΑΡΤΝΕΡ-ΝΟΜΙΚΟΣ].

Τι κινδυνεύετε αν δεν συμμορφωθείτε

Ο νόμος προβλέπει διοικητικά πρόστιμα για βασικές και σημαντικές οντότητες. Σύμφωνα με το άρθρο 26:

• Στις βασικές οντότητες επιβάλλεται διοικητικό πρόστιμο κατ' ανώτατο όριο δέκα εκατομμυρίων (10.000.000) ευρώ ή ποσού ίσου με το 2% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών της επιχείρησης, ανάλογα με το ποιο είναι υψηλότερο.
• Στις σημαντικές οντότητες επιβάλλεται διοικητικό πρόστιμο κατ' ανώτατο όριο επτά εκατομμυρίων (7.000.000) ευρώ ή ποσού ίσου με το 1,4% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών, ανάλογα με το ποιο είναι υψηλότερο.

Για να αξιολογήσετε γρήγορα αν εμπίπτετε στο πεδίο εφαρμογής και ποιες υποχρεώσεις σας αφορούν, χρησιμοποιήστε το δωρεάν εργαλείο scoping/gap μας και προετοιμαστείτε έγκαιρα για την εγγραφή σας.