NIS2 στην Ελλάδα: οδικός χάρτης επτά βημάτων για τον τομέα τροφίμων
Ο οδικός χάρτης περιλαμβάνει επτά βήματα που απορρέουν από τον ν. 5160/2024, με τον οποίο ενσωματώθηκε η Οδηγία (ΕΕ) 2022/2555. Ο νόμος διακρίνει τις υπαγόμενες επιχειρήσεις σε βασική οντότητα και σημαντική οντότητα, ενώ ο τομέας παραγωγής, μεταποίησης και διανομής τροφίμων περιλαμβάνεται στο Παράρτημα ΙΙ. Αρμόδια αρχή και ενιαίο σημείο επαφής ορίζεται η Εθνική Αρχή Κυβερνοασφάλειας.
Ο δωρεάν έλεγχος εφαρμοσιμότητας διαρκεί περίπου τρία λεπτά. Το πλήρες πακέτο εγγράφων NIS2 είναι συνήθως έτοιμο εντός μίας ώρας από την πληρωμή — όχι σε ημέρες ή εβδομάδες.
Αυτός ο οδηγός περιγράφει τις απαιτήσεις του νόμου σε γενικό επίπεδο και δεν αποτελεί νομική συμβουλή. Η εφαρμογή εξαρτάται από το προφίλ της επιχείρησης (τομέας, μέγεθος, υπηρεσίες) — ο δωρεάν έλεγχος εφαρμογής δείχνει εάν και σε ποιο βαθμό ο νόμος ισχύει για την επιχείρησή σας.
1. Πεδίο εφαρμογής και κατάταξη της επιχείρησης
Κατά το άρθρο 3 του ν. 5160/2024, ο νόμος καταλαμβάνει οντότητες των τύπων των Παραρτημάτων Ι και ΙΙ που χαρακτηρίζονται μεσαίες επιχειρήσεις κατά τη Σύσταση 2003/361/ΕΚ ή υπερβαίνουν τα σχετικά ανώτατα όρια και δραστηριοποιούνται στην ελληνική επικράτεια. Το Παράρτημα ΙΙ αναφέρει στον τομέα «Παραγωγή, μεταποίηση και διανομή τροφίμων» τις επιχειρήσεις τροφίμων κατά την έννοια του Κανονισμού (ΕΚ) 178/2002, όσες δραστηριοποιούνται στη χονδρική διανομή και στη βιομηχανική παραγωγή ή μεταποίηση. Σύμφωνα με το άρθρο 4, βασική οντότητα θεωρείται οντότητα τομέα του Παραρτήματος Ι που υπερβαίνει τα όρια των μεσαίων επιχειρήσεων, ενώ οι λοιπές οντότητες των Παραρτημάτων Ι και ΙΙ θεωρούνται σημαντική οντότητα. Η παρ. 2 του άρθρου 3 προβλέπει υπαγωγή ανεξαρτήτως μεγέθους σε ορισμένες περιπτώσεις, μεταξύ άλλων όταν η διατάραξη της παρεχόμενης υπηρεσίας θα μπορούσε να επηρεάσει σοβαρά τη δημόσια υγεία ή την ασφάλεια.
NACE 10
Δείτε επίσης τη σελίδα του τομέα: Τρόφιμα · Κατηγορίες οντοτήτων NIS2 — Ελλάδα
2. Ευθύνη του οργάνου διοίκησης και κατάρτιση
Το άρθρο 14 του ν. 5160/2024 ορίζει ότι τα όργανα διοίκησης των βασικών και σημαντικών οντοτήτων εγκρίνουν τα μέτρα διαχείρισης κινδύνων του άρθρου 15 εντός τριών (3) μηνών από την έναρξη ισχύος του νόμου. Τα ίδια όργανα επιβλέπουν την εφαρμογή των μέτρων και φέρουν ευθύνη για παραβίαση των υποχρεώσεων του άρθρου αυτού. Τα μέλη τους παρακολουθούν εκπαίδευση σχετική με τους κινδύνους κυβερνοασφάλειας. Ο νόμος προβλέπει επίσης ότι οι οντότητες παρέχουν όμοια κατάρτιση στο προσωπικό τους τουλάχιστον σε ετήσια βάση.
3. Ανάλυση κινδύνου ως βάση της συμμόρφωσης
Η παρ. 1 του άρθρου 15 του ν. 5160/2024 απαιτεί κατάλληλα και αναλογικά τεχνικά, επιχειρησιακά και οργανωτικά μέτρα για τη διαχείριση των κινδύνων που αφορούν τα δίκτυα και τα πληροφοριακά συστήματα της οντότητας. Η παρ. 2 του ίδιου άρθρου προβλέπει ότι τα μέτρα στηρίζονται σε ολιστική προσέγγιση του κινδύνου, η οποία καλύπτει και το φυσικό περιβάλλον των συστημάτων. Στην περ. α) της παρ. 2 απαριθμούνται ρητά οι πολιτικές και διαδικασίες για την ανάλυση κινδύνου, μαζί με την ασφάλεια των πληροφοριακών συστημάτων. Έτσι ο νόμος τοποθετεί την αποτύπωση των κινδύνων στη βάση όλων των υπόλοιπων μέτρων.
Η πλατφόρμα δημιουργεί αυτό το έγγραφο αυτόματα — περιλαμβάνεται στο πακέτο εγγράφων. Υπηρεσίες
4. Κατάλογος μέτρων διαχείρισης κινδύνων
Η παρ. 2 του άρθρου 15 απαριθμεί, στις περ. α) έως ι), το ελάχιστο περιεχόμενο των μέτρων: ανάλυση κινδύνου, διαχείριση περιστατικών, επιχειρησιακή συνέχεια με αντίγραφα ασφαλείας και διαχείριση κρίσεων, ασφάλεια της αλυσίδας εφοδιασμού, ασφάλεια κατά την απόκτηση και συντήρηση συστημάτων, αξιολόγηση της αποτελεσματικότητας των μέτρων, κυβερνοϋγιεινή και κατάρτιση, κρυπτογραφία, ασφάλεια ανθρώπινων πόρων με έλεγχο πρόσβασης, καθώς και πολυπαραγοντική επαλήθευση ταυτότητας. Ο κατάλογος διατυπώνεται ενιαία για όλες τις υπαγόμενες οντότητες και δεν περιλαμβάνει ειδική διαφοροποίηση για τον τομέα τροφίμων. Η παρ. 5 προβλέπει τον ορισμό αρμόδιου στελέχους ως Υπευθύνου Ασφάλειας Συστημάτων Πληροφορικής και Επικοινωνιών, ο οποίος χειρίζεται την επικοινωνία με την Εθνική Αρχή Κυβερνοασφάλειας και τον εσωτερικό συντονισμό. Η ίδια παράγραφος απαιτεί ενιαία πολιτική κυβερνοασφάλειας, η οποία από τις βασικές οντότητες υποβάλλεται προς έγκριση στην ίδια αρχή τουλάχιστον ετησίως.
Μέτρα διαχείρισης κινδύνων της NIS2 έναντι ISO 27001, DORA και ΓΚΠΔ
5. Αναφορά σημαντικών περιστατικών
Κατά το άρθρο 16 του ν. 5160/2024, οι βασικές και σημαντικές οντότητες κοινοποιούν αμελλητί στην ομάδα απόκρισης (CSIRT) της Εθνικής Αρχής Κυβερνοασφάλειας κάθε περιστατικό με σημαντικό αντίκτυπο στην παροχή των υπηρεσιών τους. Περιστατικό θεωρείται σημαντικό όταν προκαλεί ή μπορεί να προκαλέσει σοβαρή λειτουργική διατάραξη ή οικονομική ζημία, ή όταν επηρεάζει άλλα πρόσωπα με σημαντική υλική ή μη υλική ζημία. Η αναφορά γίνεται σε στάδια: προειδοποίηση εντός είκοσι τεσσάρων (24) ωρών από τη γνώση του περιστατικού και, στη συνέχεια, κοινοποίηση περιστατικού με αρχική αξιολόγηση εντός εβδομήντα δύο (72) ωρών. Κατόπιν αιτήματος της αρχής υποβάλλεται ενδιάμεση έκθεση, ενώ η τελική έκθεση υποβάλλεται το αργότερο εντός ενός (1) μηνός μετά την κοινοποίηση του περιστατικού.
Προθεσμίες αναφοράς περιστατικών της NIS2 ανά χώρα της ΕΕ · Η πλατφόρμα δημιουργεί αυτό το έγγραφο αυτόματα — περιλαμβάνεται στο πακέτο εγγράφων. Υπηρεσίες
6. Γραπτή τεκμηρίωση και στοιχεία προς την αρχή
Οι περιπτώσεις της παρ. 2 του άρθρου 15 αναφέρονται σε πολιτικές και διαδικασίες, στοιχεία που κατά τη διατύπωση του νόμου έχουν γραπτή και επικαιροποιούμενη μορφή. Η παρ. 5 του ίδιου άρθρου προσθέτει την τήρηση ενιαίας πολιτικής κυβερνοασφάλειας που συγκεντρώνει το σύνολο των επιμέρους μέτρων και διαδικασιών. Το άρθρο 4 προβλέπει ότι η Εθνική Αρχή Κυβερνοασφάλειας καταρτίζει κατάλογο βασικών και σημαντικών οντοτήτων και ότι οι οντότητες υποβάλλουν επωνυμία, στοιχεία επικοινωνίας, ονόματα χώρου και τον σχετικό τομέα εντός δύο (2) μηνών από την έναρξη ισχύος. Μεταβολές των στοιχείων αυτών κοινοποιούνται αμελλητί και σε κάθε περίπτωση εντός δύο (2) εβδομάδων από την επέλευσή τους.
Το πακέτο περιλαμβάνει:
- Πολιτική διαχείρισης κινδύνων κυβερνοασφάλειας
- Σχέδιο αντιμετώπισης συμβάντων
- Σχέδιο επιχειρησιακής συνέχειας
- Πολιτική ασφάλειας της αλυσίδας εφοδιασμού
- Δήλωση ευθύνης της διοίκησης και σχέδιο κατάρτισης
- Οδηγός συμπλήρωσης στην πύλη
Συντήρηση (μηνιαία) — re-sign των εγγράφων κατά το ισχύον δίκαιο — 290 EUR/μήνα — Υπηρεσίες
7. Ανώτατα διοικητικά πρόστιμα
Το άρθρο 26 του ν. 5160/2024 ορίζει τα ανώτατα όρια των διοικητικών προστίμων. Για τη βασική οντότητα το ανώτατο όριο ανέρχεται σε δέκα εκατομμύρια (10.000.000) ευρώ ή στο δύο τοις εκατό (2%) του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών της επιχείρησης στην οποία ανήκει, κατά το προηγούμενο οικονομικό έτος, ανάλογα με το ποιο ποσό είναι υψηλότερο. Για τη σημαντική οντότητα τα αντίστοιχα όρια είναι επτά εκατομμύρια (7.000.000) ευρώ ή ένα κόμμα τέσσερα τοις εκατό (1,4%) του ίδιου κύκλου εργασιών, επίσης με εφαρμογή του υψηλότερου ποσού.
Συχνές ερωτήσεις
Πότε μια επιχείρηση τροφίμων εμπίπτει στον ν. 5160/2024;
Το άρθρο 3 θέτει ως βασικό κριτήριο το μέγεθος: υπάγονται οντότητες των Παραρτημάτων Ι και ΙΙ που είναι μεσαίες επιχειρήσεις κατά τη Σύσταση 2003/361/ΕΚ ή υπερβαίνουν τα όριά τους. Στο Παράρτημα ΙΙ ο τομέας τροφίμων καλύπτει τις επιχειρήσεις τροφίμων του Κανονισμού (ΕΚ) 178/2002 που ασχολούνται με χονδρική διανομή και βιομηχανική παραγωγή ή μεταποίηση. Η παρ. 2 του άρθρου 3 προβλέπει και υπαγωγή ανεξαρτήτως μεγέθους σε συγκεκριμένες περιπτώσεις.
Βασική ή σημαντική οντότητα θεωρείται μια επιχείρηση του τομέα τροφίμων;
Κατά την παρ. 1 του άρθρου 4, βασική οντότητα θεωρείται κυρίως οντότητα τομέα του Παραρτήματος Ι που υπερβαίνει τα όρια των μεσαίων επιχειρήσεων, καθώς και ορισμένοι πάροχοι ψηφιακών και ηλεκτρονικών υπηρεσιών ανεξαρτήτως μεγέθους. Η παρ. 2 ορίζει ότι οι οντότητες των Παραρτημάτων Ι ή ΙΙ που δεν εμπίπτουν στην παρ. 1 θεωρούνται σημαντική οντότητα. Ο τομέας παραγωγής, μεταποίησης και διανομής τροφίμων περιλαμβάνεται στο Παράρτημα ΙΙ.
Ποιες προθεσμίες ισχύουν για την αναφορά ενός σημαντικού περιστατικού;
Το άρθρο 16 προβλέπει προειδοποίηση χωρίς αδικαιολόγητη καθυστέρηση και σε κάθε περίπτωση εντός είκοσι τεσσάρων (24) ωρών από τη στιγμή που η οντότητα αντιλήφθηκε το περιστατικό. Ακολουθεί η κοινοποίηση περιστατικού εντός εβδομήντα δύο (72) ωρών, με αρχική αξιολόγηση της σοβαρότητας και των επιπτώσεων. Η τελική έκθεση υποβάλλεται το αργότερο εντός ενός (1) μηνός μετά την κοινοποίηση περιστατικού, ενώ ενδιάμεση έκθεση ζητείται από την Εθνική Αρχή Κυβερνοασφάλειας κατά περίπτωση.
Το περιεχόμενο βασίζεται στην έκδοση του Νόμος 5160/2024 που ισχύει από 2024-11-27 (άθροισμα ελέγχου c948f1144b2c).