NIS2 στην Ελλάδα: οδικός χάρτης 7 βημάτων για τον κατασκευαστικό τομέα
Ο οδικός χάρτης περιγράφει σε επτά βήματα τι ορίζει ο Νόμος 5160/2024, που ενσωματώνει την Οδηγία (ΕΕ) 2022/2555, για τις επιχειρήσεις του κατασκευαστικού τομέα. Ο νόμος διακρίνει τις οντότητες σε «βασική οντότητα» και «σημαντική οντότητα», ενώ αρμόδια αρχή ορίζεται η Εθνική Αρχή Κυβερνοασφάλειας.
Ο δωρεάν έλεγχος εφαρμοσιμότητας διαρκεί περίπου τρία λεπτά. Το πλήρες πακέτο εγγράφων NIS2 είναι συνήθως έτοιμο εντός μίας ώρας από την πληρωμή — όχι σε ημέρες ή εβδομάδες.
Αυτός ο οδηγός περιγράφει τις απαιτήσεις του νόμου σε γενικό επίπεδο και δεν αποτελεί νομική συμβουλή. Η εφαρμογή εξαρτάται από το προφίλ της επιχείρησης (τομέας, μέγεθος, υπηρεσίες) — ο δωρεάν έλεγχος εφαρμογής δείχνει εάν και σε ποιο βαθμό ο νόμος ισχύει για την επιχείρησή σας.
1. Πεδίο εφαρμογής: πότε αφορά μια μεταποιητική επιχείρηση
Κατά το άρθρο 3 του ν. 5160/2024, ο νόμος καταλαμβάνει οντότητες των τύπων που απαριθμούν τα Παραρτήματα Ι και ΙΙ, εφόσον χαρακτηρίζονται μεσαίες επιχειρήσεις κατά τη Σύσταση 2003/361/ΕΚ ή υπερβαίνουν τα σχετικά ανώτατα όρια, και εφόσον είναι εγκατεστημένες ή δραστηριοποιούνται στην ελληνική επικράτεια. Ο κατασκευαστικός τομέας περιλαμβάνεται στο Παράρτημα ΙΙ, με υποτομείς όπως η κατασκευή ιατροτεχνολογικών προϊόντων και in vitro διαγνωστικών προϊόντων, προϊόντων υπολογιστών, ηλεκτρονικών και οπτικών προϊόντων, ηλεκτρολογικού εξοπλισμού, μηχανημάτων και εξοπλισμού, μηχανοκίνητων οχημάτων και λοιπού εξοπλισμού μεταφορών. Το άρθρο 4 παρ. 2 ορίζει ότι οι οντότητες των Παραρτημάτων που δεν εμπίπτουν στις περιπτώσεις της παρ. 1 λογίζονται ως «σημαντική οντότητα», ενώ ο χαρακτηρισμός «βασική οντότητα» συνδέεται κατά την παρ. 1 με τομείς του Παραρτήματος Ι και με ορισμένους παρόχους ανεξαρτήτως μεγέθους. Κατά το άρθρο 4 παρ. 3, η Εθνική Αρχή Κυβερνοασφάλειας καταρτίζει κατάλογο, για τον οποίο οι οντότητες υποβάλλουν στοιχεία εντός δυο (2) μηνών από την έναρξη ισχύος, ενώ οι μεταβολές γνωστοποιούνται εντός δύο (2) εβδομάδων κατά την παρ. 4.
NACE 26NACE 27NACE 28NACE 29NACE 30NACE 32.50
Δείτε επίσης τη σελίδα του τομέα: Μεταποίηση · Κατηγορίες οντοτήτων NIS2 — Ελλάδα
2. Ευθύνη του οργάνου διοίκησης και κατάρτιση
Το άρθρο 14 παρ. 1 του ν. 5160/2024 προβλέπει ότι τα όργανα διοίκησης των βασικών και σημαντικών οντοτήτων εγκρίνουν τα μέτρα διαχείρισης κινδύνων κυβερνοασφάλειας εντός τριών (3) μηνών από την έναρξη ισχύος του νόμου. Ο ίδιος κανόνας τους αναθέτει την επίβλεψη της εφαρμογής των μέτρων και τους αποδίδει ευθύνη για παραβίαση των υποχρεώσεων του άρθρου αυτού. Κατά την παρ. 2, τα μέλη των οργάνων διοίκησης παρακολουθούν εκπαίδευση και μεριμνούν ώστε αντίστοιχη κατάρτιση να παρέχεται στο προσωπικό τουλάχιστον μία φορά τον χρόνο. Σκοπός της ρύθμισης, όπως αυτή διατυπώνεται, είναι η απόκτηση γνώσεων για τον εντοπισμό κινδύνων και την αξιολόγηση των πρακτικών διαχείρισής τους.
3. Θεμέλιο ανάλυσης και διαχείρισης κινδύνων
Το άρθρο 15 παρ. 1 του ν. 5160/2024 ορίζει ότι οι βασικές και σημαντικές οντότητες λαμβάνουν κατάλληλα και αναλογικά τεχνικά, επιχειρησιακά και οργανωτικά μέτρα για τους κινδύνους των δικτύων και των πληροφοριακών συστημάτων που χρησιμοποιούν. Η ίδια διάταξη συνδέει τα μέτρα με την πρόληψη ή τον περιορισμό των επιπτώσεων ενός περιστατικού στους αποδέκτες των υπηρεσιών και σε άλλες υπηρεσίες. Κατά την παρ. 2 περ. α), στη βάση αυτών των μέτρων τοποθετούνται πολιτικές και διαδικασίες ανάλυσης κινδύνου και ασφάλειας πληροφοριακών συστημάτων. Η προσέγγιση που περιγράφει η παρ. 2 είναι ολιστική και καλύπτει και το φυσικό περιβάλλον των συστημάτων.
Η πλατφόρμα δημιουργεί αυτό το έγγραφο αυτόματα — περιλαμβάνεται στο πακέτο εγγράφων. Υπηρεσίες
4. Ο κατάλογος των μέτρων κυβερνοασφάλειας
Το άρθρο 15 παρ. 2 του ν. 5160/2024 απαριθμεί ως ελάχιστο περιεχόμενο των μέτρων την ανάλυση κινδύνου, τη διαχείριση περιστατικών, την επιχειρησιακή συνέχεια με αντίγραφα ασφαλείας και διαχείριση κρίσεων, την ασφάλεια της αλυσίδας εφοδιασμού, την ασφάλεια κατά την απόκτηση, ανάπτυξη και συντήρηση συστημάτων, την αξιολόγηση της αποτελεσματικότητας των μέτρων, την κυβερνοϋγιεινή και την κατάρτιση, την κρυπτογραφία, την ασφάλεια ανθρώπινων πόρων με έλεγχο πρόσβασης και διαχείριση πάγιων στοιχείων, καθώς και λύσεις πολυπαραγοντικής ή συνεχούς επαλήθευσης ταυτότητας και ασφαλών επικοινωνιών. Ο νόμος δεν διαφοροποιεί τον κατάλογο αυτόν ανά τομέα, αλλά τον διατυπώνει ενιαία για όλες τις βασικές και σημαντικές οντότητες. Η παρ. 5 περ. α) προσθέτει τον ορισμό Υπευθύνου Ασφάλειας Συστημάτων Πληροφορικής και Επικοινωνιών, ο οποίος χειρίζεται την επικοινωνία με την Εθνική Αρχή Κυβερνοασφάλειας και τον εσωτερικό συντονισμό της συμμόρφωσης. Κατά την παρ. 5 περ. β), τηρείται ενιαία πολιτική κυβερνοασφάλειας που συγκεντρώνει τα επιμέρους μέτρα, η οποία για τις βασικές οντότητες υποβάλλεται προς έγκριση στην Αρχή τουλάχιστον ετησίως.
Μέτρα διαχείρισης κινδύνων της NIS2 έναντι ISO 27001, DORA και ΓΚΠΔ
5. Αναφορά σημαντικών περιστατικών και προθεσμίες
Το άρθρο 16 παρ. 1 του ν. 5160/2024 ορίζει ότι κάθε περιστατικό με σημαντικό αντίκτυπο στην παροχή των υπηρεσιών κοινοποιείται αμελλητί στην ομάδα απόκρισης (CSIRT) της Εθνικής Αρχής Κυβερνοασφάλειας. Κατά την παρ. 4 περ. α), υποβάλλεται προειδοποίηση εντός είκοσι τεσσάρων (24) ωρών από τη στιγμή που η οντότητα αντιλήφθηκε το σημαντικό περιστατικό. Κατά την περ. β), ακολουθεί κοινοποίηση περιστατικού με αρχική αξιολόγηση εντός εβδομήντα δύο (72) ωρών από το ίδιο χρονικό σημείο, ενώ η περ. γ) προβλέπει ενδιάμεση έκθεση κατόπιν αιτήματος της Αρχής. Η περ. δ) ορίζει τελική έκθεση το αργότερο εντός ενός (1) μηνός από την υποβολή της κοινοποίησης περιστατικού, ενώ η παρ. 3 περιγράφει πότε ένα περιστατικό θεωρείται σημαντικό.
Προθεσμίες αναφοράς περιστατικών της NIS2 ανά χώρα της ΕΕ · Η πλατφόρμα δημιουργεί αυτό το έγγραφο αυτόματα — περιλαμβάνεται στο πακέτο εγγράφων. Υπηρεσίες
6. Γραπτή τεκμηρίωση που προκύπτει από τον νόμο
Οι υποχρεώσεις του άρθρου 15 παρ. 2 διατυπώνονται ως πολιτικές και διαδικασίες, στοιχεία που κατά τη φύση τους αποτυπώνονται εγγράφως και επικαιροποιούνται. Η παρ. 5 περ. β) του ίδιου άρθρου αναφέρεται ρητά σε ενιαία πολιτική κυβερνοασφάλειας που συγκεντρώνει το σύνολο των μέτρων, πολιτικών και διαδικασιών, με ετήσια υποβολή προς έγκριση για τις βασικές οντότητες. Το άρθρο 16 παρ. 4 συνδέει την αναφορά περιστατικών με γραπτά στάδια, δηλαδή προειδοποίηση, κοινοποίηση, ενδιάμεση έκθεση κατόπιν αιτήματος και τελική έκθεση. Το άρθρο 4 παρ. 3 και 4 προσθέτει τα στοιχεία που υποβάλλονται για τον κατάλογο της Εθνικής Αρχής Κυβερνοασφάλειας και τη γνωστοποίηση των μεταβολών τους.
Το πακέτο περιλαμβάνει:
- Πολιτική διαχείρισης κινδύνων κυβερνοασφάλειας
- Σχέδιο αντιμετώπισης συμβάντων
- Σχέδιο επιχειρησιακής συνέχειας
- Πολιτική ασφάλειας της αλυσίδας εφοδιασμού
- Δήλωση ευθύνης της διοίκησης και σχέδιο κατάρτισης
- Οδηγός συμπλήρωσης στην πύλη
Συντήρηση (μηνιαία) — re-sign των εγγράφων κατά το ισχύον δίκαιο — 290 EUR/μήνα — Υπηρεσίες
7. Ανώτατα διοικητικά πρόστιμα
Το άρθρο 26 του ν. 5160/2024 καθορίζει τα ανώτατα όρια των διοικητικών προστίμων ανά κατηγορία οντότητας. Για μια βασική οντότητα το ανώτατο όριο ανέρχεται σε δέκα εκατομμυρίων (10.000.000) ευρώ ή σε ποσό ίσο με το δύο τοις εκατό (2%) του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών της επιχείρησης κατά το προηγούμενο οικονομικό έτος, με εφαρμογή του υψηλότερου. Για μια σημαντική οντότητα το αντίστοιχο όριο είναι επτά εκατομμυρίων (7.000.000) ευρώ ή ποσό ίσο με το ένα κόμμα τέσσερα τοις εκατό (1,4%) του ίδιου μεγέθους, επίσης με εφαρμογή του υψηλότερου. Οι μεταποιητικές επιχειρήσεις του Παραρτήματος ΙΙ εντάσσονται, κατά το άρθρο 4 παρ. 2, στη δεύτερη αυτή κατηγορία.
Συχνές ερωτήσεις
Κατατάσσεται μια μεταποιητική επιχείρηση ως βασική ή ως σημαντική οντότητα;
Ο κατασκευαστικός τομέας περιλαμβάνεται στο Παράρτημα ΙΙ του ν. 5160/2024. Κατά το άρθρο 4 παρ. 2, οι οντότητες των Παραρτημάτων Ι ή ΙΙ που δεν εμπίπτουν στις περιπτώσεις της παρ. 1 θεωρούνται σημαντική οντότητα, ενώ η παρ. 1 συνδέει τον χαρακτηρισμό βασική οντότητα με τομείς του Παραρτήματος Ι και με ορισμένους παρόχους ανεξαρτήτως μεγέθους.
Ποιες προθεσμίες προβλέπει ο νόμος για την αναφορά ενός σημαντικού περιστατικού;
Κατά το άρθρο 16 παρ. 4, η προειδοποίηση υποβάλλεται εντός είκοσι τεσσάρων (24) ωρών από τη στιγμή που η οντότητα αντιλήφθηκε το περιστατικό. Η κοινοποίηση περιστατικού υποβάλλεται εντός εβδομήντα δύο (72) ωρών από το ίδιο σημείο, ενώ η τελική έκθεση το αργότερο εντός ενός (1) μηνός από την υποβολή της κοινοποίησης. Κατόπιν αιτήματος της Εθνικής Αρχής Κυβερνοασφάλειας υποβάλλεται και ενδιάμεση έκθεση.
Ποια αρχή είναι αρμόδια στην Ελλάδα;
Κατά το άρθρο 8 του ν. 5160/2024, η Εθνική Αρχή Κυβερνοασφάλειας ορίζεται ως αρμόδια αρχή για την κυβερνοασφάλεια και ως ενιαίο σημείο επαφής της χώρας, με εποπτικά καθήκοντα. Το άρθρο 10 ορίζει την ίδια Αρχή ως αρμόδια ομάδα απόκρισης για συμβάντα (CSIRT) για τις οντότητες που εμπίπτουν στο πεδίο εφαρμογής.
Το περιεχόμενο βασίζεται στην έκδοση του Νόμος 5160/2024 που ισχύει από 2024-11-27 (άθροισμα ελέγχου d3abd34021de).