NIS2 βήμα προς βήμα για τον τομέα της ενέργειας στην Ελλάδα: οδικός χάρτης 7 βημάτων
Ο οδικός χάρτης περιγράφει σε επτά βήματα τι προβλέπει ο Νόμος 5160/2024, με τον οποίο ενσωματώθηκε η Οδηγία (ΕΕ) 2022/2555, για τις οντότητες του τομέα της ενέργειας. Ο τομέας περιλαμβάνεται στο Παράρτημα Ι του νόμου και οι υπαγόμενες οντότητες χαρακτηρίζονται, κατά το άρθρο 4, είτε ως βασική οντότητα είτε ως σημαντική οντότητα. Αρμόδια αρχή και ενιαίο σημείο επαφής είναι η Εθνική Αρχή Κυβερνοασφάλειας.
Ο δωρεάν έλεγχος εφαρμοσιμότητας διαρκεί περίπου τρία λεπτά. Το πλήρες πακέτο εγγράφων NIS2 είναι συνήθως έτοιμο εντός μίας ώρας από την πληρωμή — όχι σε ημέρες ή εβδομάδες.
Αυτός ο οδηγός περιγράφει τις απαιτήσεις του νόμου σε γενικό επίπεδο και δεν αποτελεί νομική συμβουλή. Η εφαρμογή εξαρτάται από το προφίλ της επιχείρησης (τομέας, μέγεθος, υπηρεσίες) — ο δωρεάν έλεγχος εφαρμογής δείχνει εάν και σε ποιο βαθμό ο νόμος ισχύει για την επιχείρησή σας.
1. Πεδίο εφαρμογής και χαρακτηρισμός της οντότητας
Κατά το άρθρο 3 του ν. 5160/2024, οι κανόνες καταλαμβάνουν δημόσιες και ιδιωτικές οντότητες των τύπων των Παραρτημάτων Ι και ΙΙ που χαρακτηρίζονται μεσαίες επιχειρήσεις κατά τη Σύσταση 2003/361/ΕΚ ή υπερβαίνουν τα ανώτατα όρια της κατηγορίας αυτής και είναι εγκατεστημένες ή δραστηριοποιούνται στην ελληνική επικράτεια. Η ενέργεια αποτελεί τομέα του Παραρτήματος Ι, με υποτομείς την ηλεκτρική ενέργεια, την τηλεθέρμανση και τηλεψύξη, το πετρέλαιο, το αέριο και το υδρογόνο, και καλύπτει μεταξύ άλλων τις επιχειρήσεις ηλεκτρικής ενέργειας που ασκούν προμήθεια, τους διαχειριστές συστημάτων διανομής και μεταφοράς, τους παραγωγούς και τους διαχειριστές σημείου επαναφόρτισης. Κατά το άρθρο 4, οντότητα του Παραρτήματος Ι που υπερβαίνει τα όρια της μεσαίας επιχείρησης θεωρείται βασική οντότητα, ενώ κάθε άλλη υπαγόμενη οντότητα των Παραρτημάτων Ι ή ΙΙ θεωρείται σημαντική οντότητα. Η παρ. 2 του άρθρου 3 προβλέπει υπαγωγή ανεξαρτήτως μεγέθους σε ορισμένες περιπτώσεις, όπως όταν η οντότητα είναι ο μοναδικός πάροχος στη χώρα υπηρεσίας ουσιώδους για κρίσιμες κοινωνικές ή οικονομικές δραστηριότητες.
NACE 35.1NACE 35.30NACE 35.2NACE 06NACE 19.20NACE 49.50
Δείτε επίσης τη σελίδα του τομέα: Ενέργεια · Κατηγορίες οντοτήτων NIS2 — Ελλάδα
2. Ευθύνη των οργάνων διοίκησης και κατάρτιση
Το άρθρο 14 του ν. 5160/2024 προβλέπει ότι τα όργανα διοίκησης των βασικών και σημαντικών οντοτήτων εγκρίνουν, εντός τριών (3) μηνών από την έναρξη ισχύος του νόμου, τα μέτρα διαχείρισης κινδύνων κυβερνοασφάλειας που λαμβάνονται για τη συμμόρφωση με το άρθρο 15. Ο νόμος ορίζει ότι τα ίδια όργανα επιβλέπουν την εφαρμογή των μέτρων και ευθύνονται για παραβίαση των υποχρεώσεων του άρθρου αυτού. Τα μέλη των οργάνων διοίκησης παρακολουθούν εκπαίδευση και διασφαλίζουν ότι όμοια κατάρτιση παρέχεται στους υπαλλήλους τουλάχιστον σε ετήσια βάση. Σκοπός της κατάρτισης, κατά τον νόμο, είναι η απόκτηση γνώσεων για τον εντοπισμό κινδύνων και την αξιολόγηση των πρακτικών διαχείρισής τους.
3. Ανάλυση κινδύνου ως βάση των μέτρων
Το άρθρο 15 παρ. 1 του ν. 5160/2024 υποχρεώνει τις βασικές και σημαντικές οντότητες να λαμβάνουν κατάλληλα και αναλογικά τεχνικά, επιχειρησιακά και οργανωτικά μέτρα για τη διαχείριση των κινδύνων που αφορούν τα δίκτυα και τα πληροφοριακά συστήματα τα οποία χρησιμοποιούν για τις δραστηριότητες ή τις υπηρεσίες τους. Η παρ. 2 του ίδιου άρθρου θεμελιώνει τα μέτρα σε ολιστική προσέγγιση του κινδύνου και απαιτεί, ως πρώτη περίπτωση, πολιτικές και διαδικασίες για την ανάλυση κινδύνου και την ασφάλεια των πληροφοριακών συστημάτων. Ο σκοπός που περιγράφει ο νόμος περιλαμβάνει και την πρόληψη ή ελαχιστοποίηση των επιπτώσεων των περιστατικών στους αποδέκτες των υπηρεσιών και σε άλλες υπηρεσίες και οργανισμούς.
Η πλατφόρμα δημιουργεί αυτό το έγγραφο αυτόματα — περιλαμβάνεται στο πακέτο εγγράφων. Υπηρεσίες
4. Ο κατάλογος των μέτρων κυβερνοασφάλειας
Το άρθρο 15 παρ. 2 του ν. 5160/2024 απαριθμεί το ελάχιστο περιεχόμενο των μέτρων, δηλαδή ανάλυση κινδύνου και ασφάλεια των πληροφοριακών συστημάτων, διαχείριση περιστατικών, επιχειρησιακή συνέχεια με αντίγραφα ασφαλείας, αποκατάσταση και διαχείριση κρίσεων, καθώς και ασφάλεια της αλυσίδας εφοδιασμού στις σχέσεις με άμεσους προμηθευτές και παρόχους. Ο ίδιος κατάλογος καλύπτει την ασφάλεια κατά την απόκτηση, ανάπτυξη και συντήρηση συστημάτων μαζί με τον χειρισμό ευπαθειών, την αξιολόγηση της αποτελεσματικότητας των μέτρων, τις βασικές πρακτικές κυβερνοϋγιεινής και την κατάρτιση, τη χρήση κρυπτογραφίας, την ασφάλεια ανθρώπινων πόρων με έλεγχο πρόσβασης και διαχείριση πάγιων στοιχείων, καθώς και λύσεις πολυπαραγοντικής ή συνεχούς επαλήθευσης ταυτότητας και ασφαλών επικοινωνιών. Η παρ. 5 προσθέτει τον ορισμό Υπευθύνου Ασφάλειας Συστημάτων Πληροφορικής και Επικοινωνιών, ο οποίος διαχειρίζεται τις επαφές με την Εθνική Αρχή Κυβερνοασφάλειας και συντονίζει εσωτερικά τη συμμόρφωση. Ο νόμος διατυπώνει τον κατάλογο ενιαία για όλες τις βασικές και σημαντικές οντότητες, χωρίς χωριστό κατάλογο μέτρων ειδικά για τον τομέα της ενέργειας.
Μέτρα διαχείρισης κινδύνων της NIS2 έναντι ISO 27001, DORA και ΓΚΠΔ
5. Αναφορά σημαντικών περιστατικών
Κατά το άρθρο 16 παρ. 1 του ν. 5160/2024, οι βασικές και σημαντικές οντότητες κοινοποιούν αμελλητί στην ομάδα απόκρισης CSIRT της Εθνικής Αρχής Κυβερνοασφάλειας κάθε περιστατικό με σημαντικό αντίκτυπο στην παροχή των υπηρεσιών τους. Το άρθρο 16 παρ. 4 περ. α ορίζει προειδοποίηση χωρίς αδικαιολόγητη καθυστέρηση και σε κάθε περίπτωση εντός είκοσι τεσσάρων (24) ωρών από τη στιγμή που η οντότητα αντιλήφθηκε το σημαντικό περιστατικό. Η περ. β ορίζει κοινοποίηση περιστατικού με αρχική αξιολόγηση της σοβαρότητας και των επιπτώσεων εντός εβδομήντα δύο (72) ωρών από την ίδια χρονική αφετηρία, ενώ η περ. γ προβλέπει ενδιάμεση έκθεση κατόπιν αιτήματος της αρχής. Η περ. δ ορίζει τελική έκθεση το αργότερο εντός ενός (1) μηνός από την υποβολή της κοινοποίησης περιστατικού.
Προθεσμίες αναφοράς περιστατικών της NIS2 ανά χώρα της ΕΕ · Η πλατφόρμα δημιουργεί αυτό το έγγραφο αυτόματα — περιλαμβάνεται στο πακέτο εγγράφων. Υπηρεσίες
6. Γραπτές πολιτικές, διαδικασίες και στοιχεία
Επειδή το άρθρο 15 παρ. 2 του ν. 5160/2024 απαιτεί πολιτικές και διαδικασίες για την ανάλυση κινδύνου, για την αξιολόγηση της αποτελεσματικότητας των μέτρων και για τη χρήση κρυπτογραφίας, οι υποχρεώσεις αυτές προϋποθέτουν τεκμηρίωση που καταρτίζεται και επικαιροποιείται. Η παρ. 5 περ. β του ίδιου άρθρου προβλέπει ενιαία πολιτική κυβερνοασφάλειας που περιλαμβάνει το σύνολο των επιμέρους μέτρων, πολιτικών και διαδικασιών, και η οποία υποβάλλεται από τις βασικές οντότητες προς έγκριση στην Εθνική Αρχή Κυβερνοασφάλειας τουλάχιστον ετησίως. Το άρθρο 4 παρ. 3 προβλέπει την υποβολή στοιχείων για τον κατάλογο των οντοτήτων εντός προθεσμίας δυο (2) μηνών από την έναρξη ισχύος του νόμου, ενώ η παρ. 4 προβλέπει γνωστοποίηση μεταβολών αμελλητί και σε κάθε περίπτωση εντός δύο (2) εβδομάδων από τη μεταβολή. Οι αναφορές του άρθρου 16 συμπληρώνουν αυτό το γραπτό υλικό.
Το πακέτο περιλαμβάνει:
- Πολιτική διαχείρισης κινδύνων κυβερνοασφάλειας
- Σχέδιο αντιμετώπισης συμβάντων
- Σχέδιο επιχειρησιακής συνέχειας
- Πολιτική ασφάλειας της αλυσίδας εφοδιασμού
- Δήλωση ευθύνης της διοίκησης και σχέδιο κατάρτισης
- Οδηγός συμπλήρωσης στην πύλη
Συντήρηση (μηνιαία) — re-sign των εγγράφων κατά το ισχύον δίκαιο — 290 EUR/μήνα — Υπηρεσίες
7. Ανώτατα διοικητικά πρόστιμα
Το άρθρο 26 του ν. 5160/2024 καθορίζει τα ανώτατα όρια των διοικητικών προστίμων ανά κατηγορία οντότητας. Για τις βασικές οντότητες το ανώτατο όριο ανέρχεται σε δέκα εκατομμύρια (10.000.000) ευρώ ή σε ποσό ίσο με το δύο τοις εκατό (2%) του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών της επιχείρησης στην οποία ανήκουν κατά το προηγούμενο οικονομικό έτος, ανάλογα με το ποιο ποσό είναι υψηλότερο. Για τις σημαντικές οντότητες το αντίστοιχο όριο είναι επτά εκατομμύρια (7.000.000) ευρώ ή ποσό ίσο με το ένα κόμμα τέσσερα τοις εκατό (1,4%) του ίδιου μεγέθους, επίσης με εφαρμογή του υψηλότερου ποσού.
Συχνές ερωτήσεις
Ποιες επιχειρήσεις ενέργειας καλύπτει ο ν. 5160/2024;
Το άρθρο 3 καλύπτει τις οντότητες των τύπων των Παραρτημάτων Ι και ΙΙ που είναι μεσαίες επιχειρήσεις κατά τη Σύσταση 2003/361/ΕΚ ή υπερβαίνουν τα όρια αυτά και δραστηριοποιούνται στην ελληνική επικράτεια. Στο Παράρτημα Ι ο τομέας της ενέργειας περιλαμβάνει την ηλεκτρική ενέργεια, την τηλεθέρμανση και τηλεψύξη, το πετρέλαιο, το αέριο και το υδρογόνο. Η παρ. 2 του άρθρου 3 προβλέπει υπαγωγή ανεξαρτήτως μεγέθους σε ειδικές περιπτώσεις.
Πού και σε πόσο χρόνο αναφέρεται ένα σημαντικό περιστατικό;
Κατά το άρθρο 16, η κοινοποίηση γίνεται αμελλητί στην ομάδα απόκρισης CSIRT της Εθνικής Αρχής Κυβερνοασφάλειας. Ακολουθούν προειδοποίηση εντός είκοσι τεσσάρων (24) ωρών, κοινοποίηση περιστατικού εντός εβδομήντα δύο (72) ωρών και τελική έκθεση το αργότερο εντός ενός (1) μηνός από την κοινοποίηση του περιστατικού. Ενδιάμεση έκθεση υποβάλλεται κατόπιν αιτήματος της αρχής.
Ποια είναι η διαφορά βασικής και σημαντικής οντότητας ως προς τα πρόστιμα;
Κατά το άρθρο 4, οντότητα του Παραρτήματος Ι που υπερβαίνει τα όρια της μεσαίας επιχείρησης θεωρείται βασική οντότητα, ενώ οι λοιπές υπαγόμενες οντότητες θεωρούνται σημαντική οντότητα. Κατά το άρθρο 26, το ανώτατο πρόστιμο για τις βασικές οντότητες είναι δέκα εκατομμύρια (10.000.000) ευρώ ή το δύο τοις εκατό (2%) του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών. Για τις σημαντικές οντότητες τα αντίστοιχα μεγέθη είναι επτά εκατομμύρια (7.000.000) ευρώ ή το ένα κόμμα τέσσερα τοις εκατό (1,4%).
Το περιεχόμενο βασίζεται στην έκδοση του Νόμος 5160/2024 που ισχύει από 2024-11-27 (άθροισμα ελέγχου c427d528a74e).