NIS2 στον τομέα των μεταφορών στην Ελλάδα: οδικός χάρτης σε 7 βήματα
Ο οδικός χάρτης αποτυπώνει σε επτά βήματα όσα προβλέπει ο Νόμος 5160/2024, με τον οποίο ενσωματώθηκε η Οδηγία (ΕΕ) 2022/2555. Ο τομέας των μεταφορών περιλαμβάνεται στο Παράρτημα Ι του νόμου, οπότε οι οντότητες κατατάσσονται είτε ως βασική οντότητα είτε ως σημαντική οντότητα κατά το άρθρο 4. Αρμόδια αρχή και φορέας υποδοχής των αναφορών είναι η Εθνική Αρχή Κυβερνοασφάλειας (άρθρα 8 και 16).
Ο δωρεάν έλεγχος εφαρμοσιμότητας διαρκεί περίπου τρία λεπτά. Το πλήρες πακέτο εγγράφων NIS2 είναι συνήθως έτοιμο εντός μίας ώρας από την πληρωμή — όχι σε ημέρες ή εβδομάδες.
Αυτός ο οδηγός περιγράφει τις απαιτήσεις του νόμου σε γενικό επίπεδο και δεν αποτελεί νομική συμβουλή. Η εφαρμογή εξαρτάται από το προφίλ της επιχείρησης (τομέας, μέγεθος, υπηρεσίες) — ο δωρεάν έλεγχος εφαρμογής δείχνει εάν και σε ποιο βαθμό ο νόμος ισχύει για την επιχείρησή σας.
1. Πεδίο εφαρμογής και κατάταξη της οντότητας
Κατά το άρθρο 3 του ν. 5160/2024 οι διατάξεις καταλαμβάνουν δημόσιες ή ιδιωτικές οντότητες των τύπων των Παραρτημάτων Ι ή ΙΙ που είναι μεσαίες επιχειρήσεις κατά τη Σύσταση 2003/361/ΕΚ ή υπερβαίνουν τα σχετικά ανώτατα όρια και δραστηριοποιούνται στην ελληνική επικράτεια. Ο τομέας των μεταφορών περιλαμβάνεται στο Παράρτημα Ι, με τους υποτομείς των εναέριων, σιδηροδρομικών, πλωτών και οδικών μεταφορών, όπου αναφέρονται μεταξύ άλλων οι αερομεταφορείς εμπορικών σκοπών και οι φορείς διαχείρισης αερολιμένα. Το άρθρο 4 ορίζει ως βασική οντότητα όσες οντότητες του Παραρτήματος Ι υπερβαίνουν τα όρια των μεσαίων επιχειρήσεων, ενώ οι λοιπές οντότητες των Παραρτημάτων Ι ή ΙΙ θεωρούνται σημαντική οντότητα. Ανεξαρτήτως μεγέθους εφαρμόζεται ο νόμος και στις περιπτώσεις της παρ. 2 του άρθρου 3, όπως όταν η διατάραξη της υπηρεσίας θα μπορούσε να έχει σημαντικό αντίκτυπο στη δημόσια ασφάλεια ή όταν η οντότητα είναι κρίσιμη λόγω της σημασίας της σε εθνικό ή περιφερειακό επίπεδο.
NACE 51NACE 52.23NACE 49.1NACE 49.2NACE 52.21NACE 50
Δείτε επίσης τη σελίδα του τομέα: Μεταφορές · Κατηγορίες οντοτήτων NIS2 — Ελλάδα
2. Ευθύνη του οργάνου διοίκησης και κατάρτιση
Το άρθρο 14 του ν. 5160/2024 αναθέτει στα όργανα διοίκησης των βασικών και σημαντικών οντοτήτων την έγκριση των μέτρων διαχείρισης κινδύνων του άρθρου 15, εντός τριών (3) μηνών από την έναρξη ισχύος του νόμου. Τα ίδια όργανα επιβλέπουν την εφαρμογή των μέτρων και φέρουν ευθύνη για παραβίαση των υποχρεώσεων του άρθρου αυτού. Τα μέλη τους παρακολουθούν εκπαίδευση σε θέματα κυβερνοασφάλειας. Ο νόμος προβλέπει επίσης ότι η οντότητα παρέχει αντίστοιχη κατάρτιση στο προσωπικό της τουλάχιστον σε ετήσια βάση, ώστε να αναγνωρίζονται οι κίνδυνοι και να αξιολογούνται οι σχετικές πρακτικές.
3. Βάση ανάλυσης και διαχείρισης κινδύνου
Το άρθρο 15 παρ. 1 του ν. 5160/2024 υποχρεώνει τις βασικές και σημαντικές οντότητες να λαμβάνουν κατάλληλα και αναλογικά τεχνικά, επιχειρησιακά και οργανωτικά μέτρα για τους κινδύνους των δικτύων και των πληροφοριακών συστημάτων που χρησιμοποιούν στις δραστηριότητες ή στις υπηρεσίες τους. Σκοπός των μέτρων είναι επίσης η πρόληψη ή ο περιορισμός των επιπτώσεων ενός περιστατικού στους αποδέκτες των υπηρεσιών και σε άλλες υπηρεσίες ή οργανισμούς. Κατά την παρ. 2 του ίδιου άρθρου τα μέτρα στηρίζονται σε ολιστική προσέγγιση του κινδύνου, που καλύπτει και το φυσικό περιβάλλον των συστημάτων. Πρώτο στοιχείο του καταλόγου είναι οι πολιτικές και διαδικασίες για την ανάλυση κινδύνου και την ασφάλεια των πληροφοριακών συστημάτων.
Η πλατφόρμα δημιουργεί αυτό το έγγραφο αυτόματα — περιλαμβάνεται στο πακέτο εγγράφων. Υπηρεσίες
4. Κατάλογος μέτρων διαχείρισης κινδύνων
Το άρθρο 15 παρ. 2 του ν. 5160/2024 απαριθμεί ως ελάχιστο περιεχόμενο τη διαχείριση περιστατικών, την επιχειρησιακή συνέχεια με αντίγραφα ασφαλείας, αποκατάσταση και διαχείριση κρίσεων, την ασφάλεια της αλυσίδας εφοδιασμού ως προς τους άμεσους προμηθευτές και παρόχους, καθώς και την ασφάλεια κατά την απόκτηση, ανάπτυξη και συντήρηση των συστημάτων μαζί με τον χειρισμό ευπαθειών. Προβλέπονται ακόμη η αξιολόγηση της αποτελεσματικότητας των μέτρων, οι βασικές πρακτικές κυβερνοϋγιεινής και η κατάρτιση, η χρήση κρυπτογραφίας, η ασφάλεια ανθρώπινων πόρων με πολιτικές ελέγχου πρόσβασης και διαχείριση πάγιων στοιχείων, καθώς και λύσεις πολυπαραγοντικής ή συνεχούς επαλήθευσης ταυτότητας και ασφαλών επικοινωνιών, κατά περίπτωση. Ο νόμος διατυπώνει τον κατάλογο ενιαία για όλες τις βασικές και σημαντικές οντότητες, χωρίς ειδικότερη διαφοροποίηση για τους υποτομείς των μεταφορών. Κατά την παρ. 5 του άρθρου 15 ορίζεται Υπεύθυνος Ασφάλειας Συστημάτων Πληροφορικής και Επικοινωνιών (Υ.Α.Σ.Π.Ε.), που χειρίζεται την επικοινωνία με την Εθνική Αρχή Κυβερνοασφάλειας και τον εσωτερικό συντονισμό της συμμόρφωσης.
Μέτρα διαχείρισης κινδύνων της NIS2 έναντι ISO 27001, DORA και ΓΚΠΔ
5. Αναφορά σημαντικών περιστατικών
Κατά το άρθρο 16 του ν. 5160/2024 οι βασικές και σημαντικές οντότητες κοινοποιούν αμελλητί στην ομάδα απόκρισης (CSIRT) της Εθνικής Αρχής Κυβερνοασφάλειας κάθε περιστατικό με σημαντικό αντίκτυπο στην παροχή των υπηρεσιών τους. Η προειδοποίηση υποβάλλεται χωρίς αδικαιολόγητη καθυστέρηση και σε κάθε περίπτωση εντός είκοσι τεσσάρων (24) ωρών από τη στιγμή που έγινε αντιληπτό το σημαντικό περιστατικό. Η κοινοποίηση περιστατικού, με αρχική αξιολόγηση της σοβαρότητας και των επιπτώσεων, υποβάλλεται εντός εβδομήντα δύο (72) ωρών από το ίδιο χρονικό σημείο. Ενδιάμεση έκθεση υποβάλλεται κατόπιν αιτήματος της Αρχής, ενώ η τελική έκθεση υποβάλλεται το αργότερο εντός ενός (1) μηνός από την κοινοποίηση περιστατικού.
Προθεσμίες αναφοράς περιστατικών της NIS2 ανά χώρα της ΕΕ · Η πλατφόρμα δημιουργεί αυτό το έγγραφο αυτόματα — περιλαμβάνεται στο πακέτο εγγράφων. Υπηρεσίες
6. Γραπτή τεκμηρίωση και ενιαία πολιτική
Οι απαιτήσεις του άρθρου 15 του ν. 5160/2024 διατυπώνονται ως πολιτικές και διαδικασίες, στοιχεία που κατά τη φύση τους αποτυπώνονται και τηρούνται εγγράφως, από την ανάλυση κινδύνου έως την αξιολόγηση της αποτελεσματικότητας των μέτρων. Η παρ. 5 του άρθρου 15 προβλέπει την τήρηση ενιαίας πολιτικής κυβερνοασφάλειας, η οποία συγκεντρώνει το σύνολο των μέτρων, πολιτικών και διαδικασιών της παρ. 2. Η πολιτική αυτή υποβάλλεται από τις βασικές οντότητες προς έγκριση στην Εθνική Αρχή Κυβερνοασφάλειας τουλάχιστον ετησίως. Τεκμηρίωση προϋποθέτουν και οι αναφορές του άρθρου 16, καθώς και τα στοιχεία του άρθρου 4 που υποβάλλονται για τον κατάλογο οντοτήτων εντός δύο (2) μηνών, με γνωστοποίηση των μεταβολών εντός δύο (2) εβδομάδων.
Το πακέτο περιλαμβάνει:
- Πολιτική διαχείρισης κινδύνων κυβερνοασφάλειας
- Σχέδιο αντιμετώπισης συμβάντων
- Σχέδιο επιχειρησιακής συνέχειας
- Πολιτική ασφάλειας της αλυσίδας εφοδιασμού
- Δήλωση ευθύνης της διοίκησης και σχέδιο κατάρτισης
- Οδηγός συμπλήρωσης στην πύλη
Συντήρηση (μηνιαία) — re-sign των εγγράφων κατά το ισχύον δίκαιο — 290 EUR/μήνα — Υπηρεσίες
7. Ανώτατα όρια διοικητικών προστίμων
Το άρθρο 26 του ν. 5160/2024 καθορίζει τα ανώτατα όρια των διοικητικών προστίμων. Για μια βασική οντότητα το ανώτατο όριο ανέρχεται σε δέκα εκατομμύρια (10.000.000) ευρώ ή σε ποσό ίσο με το δύο τοις εκατό (2%) του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών της επιχείρησης στην οποία ανήκει, κατά το προηγούμενο οικονομικό έτος, ανάλογα με το ποιο ποσό είναι υψηλότερο. Για μια σημαντική οντότητα το αντίστοιχο ανώτατο όριο είναι επτά εκατομμύρια (7.000.000) ευρώ ή ποσό ίσο με το ένα κόμμα τέσσερα τοις εκατό (1,4%) του ίδιου κύκλου εργασιών, επίσης με βάση το υψηλότερο ποσό. Τα όρια αυτά αποτελούν ανώτατα πλαίσια και όχι προκαθορισμένα ποσά.
Συχνές ερωτήσεις
Ποιες μεταφορικές οντότητες θεωρούνται βασικές και ποιες σημαντικές;
Ο τομέας των μεταφορών περιλαμβάνεται στο Παράρτημα Ι του ν. 5160/2024, με υποτομείς τις εναέριες, σιδηροδρομικές, πλωτές και οδικές μεταφορές. Κατά το άρθρο 4, οι οντότητες του Παραρτήματος Ι που υπερβαίνουν τα ανώτατα όρια των μεσαίων επιχειρήσεων της Σύστασης 2003/361/ΕΚ θεωρούνται βασική οντότητα, ενώ οι υπόλοιπες οντότητες των Παραρτημάτων Ι ή ΙΙ θεωρούνται σημαντική οντότητα.
Πού απευθύνεται η αναφορά ενός σημαντικού περιστατικού;
Αρμόδια αρχή για την κυβερνοασφάλεια και ενιαίο σημείο επαφής ορίζεται η Εθνική Αρχή Κυβερνοασφάλειας κατά το άρθρο 8 του ν. 5160/2024. Η κοινοποίηση του σημαντικού περιστατικού γίνεται αμελλητί προς την ομάδα απόκρισης (CSIRT) της Αρχής, σύμφωνα με το άρθρο 16.
Τι ρόλο έχει το όργανο διοίκησης;
Σύμφωνα με το άρθρο 14 του ν. 5160/2024, το όργανο διοίκησης εγκρίνει τα μέτρα διαχείρισης κινδύνων εντός τριών (3) μηνών από την έναρξη ισχύος του νόμου και επιβλέπει την εφαρμογή τους. Φέρει επίσης ευθύνη για παραβίαση των υποχρεώσεων του άρθρου αυτού, ενώ τα μέλη του παρακολουθούν εκπαίδευση και η οντότητα παρέχει αντίστοιχη κατάρτιση στο προσωπικό τουλάχιστον ετησίως.
Το περιεχόμενο βασίζεται στην έκδοση του Νόμος 5160/2024 που ισχύει από 2024-11-27 (άθροισμα ελέγχου a333937d554b).