NIS2 και Νόμος 5160/2024: πώς η ελληνική νομοθεσία ενσωματώνει την Οδηγία

Από την Οδηγία NIS2 στον ελληνικό νόμο

Η Οδηγία (ΕΕ) 2022/2555 (γνωστή ως NIS2) θέτει το ενωσιακό πλαίσιο για ένα υψηλό κοινό επίπεδο κυβερνοασφάλειας σε ολόκληρη την Ευρωπαϊκή Ένωση. Ωστόσο, μια οδηγία δεν εφαρμόζεται άμεσα: κάθε κράτος μέλος πρέπει να την ενσωματώσει στο εθνικό του δίκαιο.

Στην Ελλάδα, η ενσωμάτωση της Οδηγίας (ΕΕ) 2022/2555 έγινε με τον Νόμο 5160/2024. Αυτός είναι ο νόμος που θα διαβάσετε και θα εφαρμόσετε στην πράξη — και τα άρθρα του αντιστοιχούν συστηματικά στα άρθρα της Οδηγίας.

Για παράδειγμα:

Το πρακτικό συμπέρασμα για μια επιχείρηση: το κείμενο αναφοράς σας είναι ο Νόμος 5160/2024, ενώ η Οδηγία λειτουργεί ως το πλαίσιο ερμηνείας του.

Ποια είναι η αρμόδια αρχή στην Ελλάδα

Σύμφωνα με το άρθρο 8 του Νόμου 5160/2024, η Εθνική Αρχή Κυβερνοασφάλειας (NCSA) ορίζεται ως η αρμόδια αρχή που είναι υπεύθυνη για την κυβερνοασφάλεια και για τα εποπτικά καθήκοντα.

Ο ρόλος της περιλαμβάνει:

• Την παρακολούθηση της εφαρμογής του νόμου.
• Τη λειτουργία ως ενιαίο σημείο επαφής της Ελλάδας για τη διασυνοριακή συνεργασία.
• Τη συνεργασία με τις αρμόδιες αρχές άλλων κρατών μελών, την Ευρωπαϊκή Επιτροπή και τον Οργανισμό της Ευρωπαϊκής Ένωσης για την Κυβερνοασφάλεια (ENISA).

Επιπλέον, σύμφωνα με το άρθρο 10, η Εθνική Αρχή Κυβερνοασφάλειας ορίζεται ως αρμόδια ομάδα απόκρισης για συμβάντα (CSIRT) για τις οντότητες που εμπίπτουν στον νόμο. Ειδικά για ορισμένους δημόσιους φορείς, αρμόδια CSIRT ορίζεται η Ομάδα Αντιμετώπισης Ηλεκτρονικών Επιθέσεων (Εθνικό CERT) της Εθνικής Υπηρεσίας Πληροφοριών (Ε.Υ.Π.).

Για τις επιχειρήσεις αυτό σημαίνει ότι όλες οι επικοινωνίες, οι αναφορές περιστατικών και οι υποχρεώσεις εγγραφής κατευθύνονται προς την Εθνική Αρχή Κυβερνοασφάλειας.

Ποιον αφορά: βασικές και σημαντικές οντότητες

Το άρθρο 3 ορίζει το πεδίο εφαρμογής. Ο νόμος εφαρμόζεται σε δημόσιες ή ιδιωτικές οντότητες των τύπων που αναφέρονται στα Παραρτήματα Ι ή ΙΙ, οι οποίες χαρακτηρίζονται ως μεσαίες επιχειρήσεις ή υπερβαίνουν τα σχετικά ανώτατα όρια, εφόσον δραστηριοποιούνται εντός της ελληνικής επικράτειας.

Ορισμένες οντότητες εμπίπτουν στον νόμο ανεξαρτήτως μεγέθους, μεταξύ άλλων:

• πάροχοι δημόσιων δικτύων ή διαθέσιμων στο κοινό υπηρεσιών ηλεκτρονικών επικοινωνιών,
• πάροχοι υπηρεσιών εμπιστοσύνης,
• μητρώα ονομάτων τομέα ανωτάτου επιπέδου και πάροχοι υπηρεσιών DNS,
• ο μοναδικός πάροχος στη χώρα μιας ουσιώδους υπηρεσίας,
• φορείς της κεντρικής κυβέρνησης και Οργανισμοί Τοπικής Αυτοδιοίκησης α' και β' βαθμού.

Το άρθρο 4 διακρίνει δύο κατηγορίες:

• βασική οντότητα — π.χ. οντότητες των τομέων του Παραρτήματος Ι που υπερβαίνουν τα όρια μεσαίας επιχείρησης, καθώς και εγκεκριμένοι πάροχοι υπηρεσιών εμπιστοσύνης και πάροχοι DNS ανεξαρτήτως μεγέθους·
• σημαντική οντότητα — οι λοιπές οντότητες των Παραρτημάτων Ι ή ΙΙ που δεν θεωρούνται βασικές.

Η Εθνική Αρχή Κυβερνοασφάλειας καταρτίζει κατάλογο των βασικών και σημαντικών οντοτήτων. Οι οντότητες υποβάλλουν τα στοιχεία τους (επωνυμία, στοιχεία επικοινωνίας, ονόματα χώρου, τομέα/υποτομέα) εντός δύο (2) μηνών από την έναρξη ισχύος του νόμου και κοινοποιούν κάθε μεταβολή εντός δύο (2) εβδομάδων.

Τι προσθέτει ο εθνικός νόμος πάνω από την Οδηγία

Πέρα από την πιστή αντιστοίχιση με την Οδηγία, ο Νόμος 5160/2024 εισάγει και ελληνικές εθνικές λεπτομέρειες που δεν προβλέπονται ρητά στο κείμενο της NIS2:

• Υπεύθυνος Ασφάλειας (Υ.Α.Σ.Π.Ε.) — Το άρθρο 15 απαιτεί από τις βασικές και σημαντικές οντότητες να ορίσουν αρμόδιο στέλεχος ως Υπεύθυνο Ασφάλειας Συστημάτων Πληροφορικής και Επικοινωνιών, ο οποίος διαχειρίζεται τις επαφές με την Εθνική Αρχή Κυβερνοασφάλειας και τον εσωτερικό συντονισμό συμμόρφωσης.
• Ενιαία πολιτική κυβερνοασφάλειας — Επίσης κατά το άρθρο 15, οι οντότητες τηρούν ενιαία πολιτική κυβερνοασφάλειας. Οι βασικές οντότητες την υποβάλλουν προς έγκριση στην Εθνική Αρχή Κυβερνοασφάλειας τουλάχιστον ετησίως.
• Προθεσμία διακυβέρνησης — Κατά το άρθρο 14, τα όργανα διοίκησης εγκρίνουν τα μέτρα διαχείρισης κινδύνων εντός τριών (3) μηνών από την έναρξη ισχύος του νόμου, επιβλέπουν την εφαρμογή τους και ευθύνονται για παραβάσεις. Τα μέλη παρακολουθούν εκπαίδευση και διασφαλίζουν ετήσια κατάρτιση των υπαλλήλων.

Τα δέκα ελάχιστα μέτρα του άρθρου 15 αντιστοιχούν στο άρθρο 21(2) της Οδηγίας και περιλαμβάνουν, μεταξύ άλλων, ανάλυση κινδύνου, διαχείριση περιστατικών, επιχειρησιακή συνέχεια, ασφάλεια της αλυσίδας εφοδιασμού, κρυπτογραφία, βασική κυβερνοϋγιεινή και πολυπαραγοντική επαλήθευση ταυτότητας.

Αναφορά περιστατικών και κυρώσεις

Το άρθρο 16 ορίζει τις προθεσμίες αναφοράς σημαντικών περιστατικών προς την CSIRT της Εθνικής Αρχής Κυβερνοασφάλειας:

• Προειδοποίηση (early warning): εντός 24 ωρών από τη στιγμή που η οντότητα αντιλήφθηκε το περιστατικό.
• Κοινοποίηση περιστατικού: εντός 72 ωρών, με αρχική αξιολόγηση σοβαρότητας και επιπτώσεων.
• Ενδιάμεση έκθεση: κατόπιν αιτήματος της Αρχής.
• Τελική έκθεση: το αργότερο εντός ενός (1) μηνός από την κοινοποίηση περιστατικού.

Ένα περιστατικό θεωρείται σημαντικό αν έχει προκαλέσει ή μπορεί να προκαλέσει σοβαρή λειτουργική διατάραξη ή οικονομική ζημία, ή αν επηρεάζει άλλα πρόσωπα προκαλώντας σημαντική ζημία.

Ως προς τις κυρώσεις, το άρθρο 26 προβλέπει διοικητικά πρόστιμα:

Για να ελέγξετε γρήγορα αν η επιχείρησή σας εμπίπτει στον Νόμο 5160/2024 και σε ποια κατηγορία, χρησιμοποιήστε το δωρεάν εργαλείο scoping και ανάλυσης κενών (gap).