EnglishΓια μια εταιρεία που λειτουργεί στην Ελλάδα, η κυβερνοασφάλεια δεν είναι πλέον θέμα αν θα εφαρμοστεί το NIS2. Είναι ζήτημα του τι απαιτεί το ελληνικό δίκαιο από την συγκεκριμένη νομική οντότητα, ποιος φέρει την ευθύνη και ποια αποδεικτικά στοιχεία θα δείξουν τη συμμόρφωση αν η αρχή ζητήσει. Αυτό το άρθρο εξετάζει την ελληνική εφαρμογή της Οδηγίας (ΕΕ) 2022/2555 όπως ισχύει τώρα σύμφωνα με τον Νόμο 5160/2024 και τα μέτρα εφαρμογής που έχουν υιοθετηθεί βάσει αυτού, και εστιάζει στα σημεία όπου η νομική ανάλυση πρέπει να προηγείται της τεχνικής εργασίας.
Η ελληνική εφαρμογή υπερβαίνει την οδηγία.
Ένα ελληνικό έργο NIS2 δεν θα πρέπει να βασίζεται μόνο στην οδηγία. Ο Νόμος 5160/2024 (ΦΕΚ Α’ 195 της 27ης Νοεμβρίου 2024) ενσωμάτωσε την Οδηγία (ΕΕ) 2022/2555 και καθόρισε το εσωτερικό πλαίσιο. Τα μέτρα εφαρμογής έδωσαν στη συνέχεια ουσία στις υποχρεώσεις: ΚΥΑ 1381/2025 (ΦΕΚ Β’ 463 της 10ης Φεβρουαρίου 2025) δημιουργώντας την ψηφιακή πλατφόρμα καταχώρισης για τις ουσιώδεις και σημαντικές οντότητες, ΚΥΑ 1645/2025 (ΦΕΚ Β’ 1882 της 15ης Απριλίου 2025) τροποποιώντας την και παρατείνοντας τις προθεσμίες υποβολής, ΚΥΑ 1689/2025 (ΦΕΚ Β’ 2186 της 6ης Μαΐου 2025) θεσπίζοντας το Εθνικό Πλαίσιο Απαιτήσεων Κυβερνοασφάλειας για Ουσιαώδεις και Σημαντικές Οντότητες, ΚΥΑ 1990/2025 (ΦΕΚ Β’ 4241 της 4ης Αυγούστου 2025), και Υπουργική Απόφαση 1899/2025 (ΦΕΚ Β’ 4250 της 5ης Αυγούστου 2025) καθορίζοντας τα προσόντα, τα καθήκοντα, τις ασυμβατότητες και τις υποχρεώσεις του υπευθύνου ασφάλειας των συστημάτων πληροφορικής και επικοινωνιών. Η εφαρμοστέα θέση προκύπτει μόνο όταν αυτά τα εργαλεία διαβάζονται μαζί.
Το πεδίο εφαρμογής είναι ένα νομικό ζήτημα σε επίπεδο οντότητας.
Ο τομέας, οι υπηρεσίες, τα κριτήρια μεγέθους, οι ειδικές κατηγορίες και η συγκεκριμένη νομική οντότητα έχουν σημασία. Οι ομαδικές υποθέσεις μπορεί να είναι παραπλανητικές. Η αξιολόγηση θα πρέπει να χαρτογραφήσει ποιες οντότητες, ποιες υπηρεσίες, ποιες εδαφικές δραστηριότητες και ποιες διεπαφές δημιουργούν την υποχρέωση, διότι η καταχώριση και η έκταση των απαιτούμενων μέτρων προκύπτουν από αυτήν την καθοριστική διαδικασία.
Τα διοικητικά όργανα δεν μπορούν να μεταβιβάσουν ήσυχα την ευθύνη στην πληροφορική.
Το ελληνικό πλαίσιο τοποθετεί τα διοικητικά όργανα μέσα στο σύστημα διακυβέρνησης της κυβερνοασφάλειας. Η διοίκηση εγκρίνει και επιβλέπει τα μέτρα διαχείρισης κινδύνων, πρέπει να είναι επαρκώς ενημερωμένη για τους ουσιώδεις κινδύνους, τα σημαντικά περιστατικά, τις εξαρτήσεις από τρίτους και τις καθυστερημένες διορθώσεις, και υπόκειται σε υποχρεώσεις εκπαίδευσης. Η παρουσία ενός υπεύθυνου ασφαλείας ή ενός εξωτερικού παρόχου διαχειριζόμενων υπηρεσιών ασφαλείας δεν αφαιρεί την ανάγκη για ενημερωμένη, τεκμηριωμένη εποπτεία.
Το εθνικό πλαίσιο απαιτήσεων χρειάζεται επιχειρησιακό χαρτογράφημα, όχι μια διαδικασία τσεκαρίσματος.
Το Εθνικό Πλαίσιο Απαιτήσεων Κυβερνοασφάλειας δεν πρέπει να περιορίζεται σε μια λίστα ελέγχου χωρίς συμφραζόμενα. Κάθε εφαρμοστέα απαίτηση χρειάζεται έναν υπεύθυνο, τα συγκεκριμένα περιουσιακά στοιχεία ή υπηρεσίες που αφορούν, έναν σχεδιασμό ελέγχου, μια διαδικασία, ένα αρχείο και αποδεικτικά στοιχεία. Υλικό διαχείρισης ασφάλειας πληροφοριών που υπάρχει μπορεί να επαναχρησιμοποιηθεί, αλλά η πιστοποίηση σύμφωνα με ένα πρότυπο δεν ισοδυναμεί αυτόματα με νομική συμμόρφωση με το ελληνικό πλαίσιο.
Διακυβέρνηση και ειδοποίηση περιστατικών
Η διαδικασία του περιστατικού θα πρέπει να συνδέει την τεχνική κλιμάκωση, την απόφαση της διοίκησης, την νομική αξιολόγηση, τη διεπαφή προστασίας δεδομένων, τον συντονισμό προμηθευτών και τη διατήρηση αποδεικτικών στοιχείων. Τα όρια σημαντικότητας, ο χρόνος και οι διαδικασίες ειδοποίησης προς την αρμόδια αρχή και την ομάδα αντίκτυπου του περιστατικού πρέπει να επαληθεύονται σύμφωνα με το ισχύον ελληνικό πλαίσιο πριν από την ενεργοποίηση οποιασδήποτε εσωτερικής διαδικασίας, και να επανεξετάζονται κάθε φορά που αυτό το πλαίσιο αλλάζει.
Εφοδιαστική αλυσίδα και τρίτοι φορείς
Οι υπηρεσίες cloud, οι διαχειριζόμενες υπηρεσίες και άλλοι πάροχοι ΤΠΕ δημιουργούν εξαρτήσεις που πρέπει να χαρτογραφηθούν. Η δέουσα επιμέλεια, οι συμβατικές απαιτήσεις ασφάλειας, τα δικαιώματα ειδοποίησης και συνεργασίας σε περίπτωση περιστατικού, η συνεχής παρακολούθηση του παρόχου και ο σχεδιασμός εξόδου θα πρέπει να αντικατοπτρίζουν την κρισιμότητα της υπηρεσίας αντί για ένα τυπικό συμβατικό παράρτημα.
Ο υπεύθυνος ασφάλειας των συστημάτων πληροφορικής και επικοινωνιών
Οι προσόντα, τα καθήκοντα, οι ασυμβατότητες και οι υποχρεώσεις που συνδέονται με αυτόν τον ρόλο καθορίζονται από την Υπουργική Απόφαση 1899/2025. Ο διορισμός ενός ατόμου δεν είναι μια διοικητική τυπικότητα: συνδέεται με την εσωτερική κατανομή ευθυνών, τη θέση του ρόλου στην οργάνωση, την ανεξαρτησία από συγκρουόμενες υποχρεώσεις και τη ροή πληροφοριών προς τη διοίκηση. Οι ασυμβατότητες που δεν έχουν εξεταστεί νομικά τείνουν να εμφανίζονται αργότερα, όταν η αρχή ζητάει αρχεία.
Ξεκινήστε με νομικό πεδίο, όχι με ένα πακέτο πολιτικής
Πριν από τη σύνταξη νέων πολιτικών ή την αγορά τεχνικών εργαλείων, ο οργανισμός χρειάζεται μια σαφή θέση σχετικά με το αν και πώς εμπλέκεται, ποιες εθνικές απαιτήσεις ενεργοποιούνται και ποια αποδεικτικά στοιχεία κατέχει ήδη. Ένα προγραμματισμένο πρόγραμμα αποκατάστασης ακολουθεί από αυτό, με διακριτές νομικές και επιχειρησιακές ροές εργασίας.
Μετατρέποντας την ανάλυση σε ελεγχόμενο εντολή
Σε μια ζωντανή εντολή, η εργασία δεν μπορεί να σταματήσει σε γλώσσα υψηλού επιπέδου συμβουλών. Η νομική σύμπερασμα θα πρέπει να γίνει ένα ελεγχόμενο σχέδιο εργασίας που καλύπτει το πεδίο εφαρμογής, την καταχώριση, την εποπτεία της διαχείρισης, την εθνική απαίτηση που καλύπτεται από τη σύνταξη που δημιουργεί ένα μεγαλύτερο πρόβλημα αργότερα.
Αποδείξεις, ποιοτικός έλεγχος και μετέπειτα ανασκόπηση
Ένα ισχυρό αρχείο επιτρέπει σε έναν ανεξάρτητο ανακριτή να ανιχνεύσει την πορεία από την υποχρέωση στην απόφαση και από την απόφαση στην υλοποίηση. Ανάλογα με το θέμα, θα πρέπει να περιλαμβάνει ένα μνημόνιο πεδίου, αρχεία καταχώρισης, έναν πίνακα απαιτήσεων και ελέγχου, αποδεικτικά στοιχεία προμηθευτών, έναν χάρτη αποφάσεων περιστατικών και αρχεία ανασκόπησης διαχείρισης. Τα αποδεικτικά στοιχεία δεν πρέπει να βρίσκονται σε έναν μη δομημένο φάκελο: θα πρέπει να συνδέονται με μια συγκεκριμένη απαίτηση ή ενέργεια και να φέρουν έναν υπεύθυνο, ημερομηνία, έκδοση και κατάσταση αναθεώρησης.
Διασυνοριακοί και επαγγελματικοί έλεγχοι
Η γλώσσα ενός παραδοτέου δεν καθορίζει το εφαρμοστέο δίκαιο. Η ελληνική ανάλυση δεν μπορεί να μεταφερθεί αμετάβλητη σε άλλο κράτος μέλος, διότι η NIS2 λειτουργεί μέσω εθνικής νομοθεσίας με ουσιαστικές διαφορές. Κάθε επέκταση σε χώρα περνά επομένως από μια ξεχωριστή πύλη δικαιοδοσίας, δικαιωμάτων πρακτικής και επαγγελματικής συμπεριφοράς. Η OIKONOMAKIS LAW μπορεί να λειτουργήσει ως συντονιστικός σύμβουλος, ενώ τα συμπεράσματα και η εκπροσώπηση σύμφωνα με την τοπική νομοθεσία ανατίθενται σε κατάλληλα εξειδικευμένους επαγγελματίες όπου απαιτείται.
Η ΚΥΑ 1689/2025 δημιουργεί μια εθνική επιχειρησιακή βάση.
Το Εθνικό Πλαίσιο Απαιτήσεων Κυβερνοασφάλειας μεταφέρει την ελληνική εφαρμογή από ευρύ αρχή σε ένα συγκεκριμένο σύνολο απαιτήσεων. Η Εθνική Αρχή Κυβερνοασφάλειας έχει επίσης θέσει σε λειτουργία ένα εργαλείο αξιολόγησης συμμόρφωσης που περιέχει 169 σημεία ελέγχου σε 24 θεματικές ενότητες, ευθυγραμμισμένο με τον Νόμο 5160/2024 και την ΚΥΑ 1689/2025. Το εργαλείο είναι ένα εξαιρετικό οργανωτικό σημείο εκκίνησης για ανάλυση κενών, αλλά δεν αντικαθιστά την νομική ανάλυση του πεδίου εφαρμογής, της ταξινόμησης των οντοτήτων ή των εξαιρέσεων. Η αξία του είναι ότι επιτρέπει τη σύνδεση νομικών απαιτήσεων, ελέγχου, αποδεικτικών στοιχείων και ωριμότητας σε ένα ενιαίο καταγεγραμμένο αρχείο ελέγχου.
Η εγγραφή, οι ρόλοι ασφαλείας και η διακυβέρνηση σχηματίζουν ένα σύστημα.
Η εγγραφή στην ψηφιακή πλατφόρμα, ο διορισμός των απαιτούμενων υπευθύνων ρόλων, η εποπτεία της διοίκησης, η αρχιτεκτονική ειδοποίησης περιστατικών και τα τεχνικά και οργανωτικά μέτρα θα πρέπει να αντιμετωπίζονται ως ένα σύστημα. Η καταχώρηση χωρίς την ιδιοκτησία ελέγχου, ή οι έλεγχοι χωρίς έναν νομικό χάρτη ειδοποίησης, αφήνουν την οργάνωση κατακερματισμένη. Οι αλλαγές στα υποβληθέντα στοιχεία οντότητας και στους υπεύθυνους δεν πρέπει να παραμένουν στα εσωτερικά αρχεία χωρίς έναν κανονιστικό μηχανισμό που να ενημερώνει την αρχή.
Πιο βαθιά ανάλυση και εφαρμογή
Η Ελλάδα τώρα έχει μια συγκεκριμένη εθνική βάση.
Η εφαρμογή του ελληνικού NIS2 υπερβαίνει ουσιαστικά τον Νόμο 5160/2024. Η ΚΥΑ 1689/2025 καθορίζει το Εθνικό Πλαίσιο Απαιτήσεων Κυβερνοασφάλειας για τις ουσιώδεις και σημαντικές οντότητες, ενώ τα μέτρα του 2025 αφορούν την πλατφόρμα καταχώρισης και τον ρόλο του υπευθύνου ασφάλειας των συστημάτων πληροφοριών και επικοινωνιών. Μια αξιολόγηση ειδικά για την Ελλάδα θα πρέπει επομένως να χρησιμοποιεί το εθνικό ρυθμιστικό σύνολο αντί για γενικές λίστες ελέγχου.
Το ελληνικό νομοθετικό τοπίο παραμένει επίσης ενεργό. Το Άρθρο 33 του Νόμου 5305/2026 (ΦΕΚ Α’ 85 της 29ης Μαΐου 2026) εισήγαγε το Άρθρο 4Α στον Νόμο 5086/2024 σχετικά με τη Εθνική Μαύρη Λίστα Κακόβουλων Ιστοσελίδων, μια εξέλιξη που δείχνει ότι το πλαίσιο κυβερνοασφάλειας εξακολουθεί να επεκτείνεται και ότι κάθε εσωτερική αξιολόγηση χρειάζεται προγραμματισμένη ημερομηνία αναθεώρησης.
Λογοδοσία του διοικητικού σώματος
Η διοίκηση δεν μπορεί να μεταφέρει πλήρως την ευθύνη σε έναν υπεύθυνο ασφαλείας ή σε έναν εξωτερικό πάροχο. Το μοντέλο διακυβέρνησης θα πρέπει να καθορίζει ποια θέματα φτάνουν στη διοίκηση, ποια όρια ενεργοποιούν την κλιμάκωση, ποια εκπαίδευση απαιτείται και ποια αρχεία αποδεικνύουν την ανασκόπηση και την έγκριση. Ο στόχος είναι η ενημερωμένη εποπτεία, όχι η μετατροπή του διοικητικού συμβουλίου σε μια τεχνική ομάδα ασφαλείας.
Εθνικά και Ευρωπαϊκά επίπεδα
Οι πολυεθνικές ομάδες μπορεί να βασίζονται σε κοινά μέτρα ασφαλείας της ομάδας, αλλά η ελληνική οντότητα πρέπει να αποδείξει ότι αυτά τα μέτρα πληρούν τις ελληνικές απαιτήσεις και ότι υπάρχουν τοπικοί μηχανισμοί λήψης αποφάσεων και κλιμάκωσης. Η μετάφραση μιας πολιτικής ομάδας δεν αποτελεί, από μόνη της, εθνική εφαρμογή.
Συμπέρασμα
Η πιο αποτελεσματική ακολουθία είναι διφασική: πρώτα μια αξιολόγηση νομικού πεδίου και καταχώρισης, και στη συνέχεια μια ανασκόπηση κενών και αποδεικτικών στοιχείων σε σχέση με το Εθνικό Πλαίσιο Απαιτήσεων Κυβερνοασφάλειας. Αυτό αποτρέπει τις δαπάνες σε ελέγχους που δεν έχουν συνδεθεί με την πραγματική νομική θέση του οργανισμού και παράγει ένα αρχείο που αντέχει σε μελλοντική εξέταση.
Συχνές ερωτήσεις
Ποιος νόμος ενσωματώνει το NIS2 στην Ελλάδα;
Νόμος 5160/2024 (ΦΕΚ Α’ 195 της 27ης Νοεμβρίου 2024), ο οποίος ενσωματώνει την Οδηγία (ΕΕ) 2022/2555 και συμπληρώνεται από τα μέτρα εφαρμογής που υιοθετήθηκαν βάσει αυτής.
Τι ρυθμίζει η ΚΥΑ 1689/2025;
Εγκαθιδρύει το Εθνικό Πλαίσιο Απαιτήσεων Κυβερνοασφάλειας για Ουσιαστικές και Σημαντικές Οντότητες (ΦΕΚ Β’ 2186 της 6ης Μαΐου 2025), δηλαδή το σύνολο των απαιτήσεων με βάση τις οποίες αξιολογείται η συμμόρφωση.
Είναι μια πιστοποίηση ασφάλειας πληροφοριών αρκετή για τη συμμόρφωση;
Όχι. Το υπάρχον υλικό μπορεί να επαναχρησιμοποιηθεί, αλλά η πιστοποίηση δεν απαντά στο νομικό ερώτημα του πεδίου εφαρμογής και δεν ικανοποιεί αυτόματα τις εθνικές απαιτήσεις.
Ποιος φέρει την ευθύνη μέσα στον οργανισμό και πρέπει να είναι επαρκώς ενημερωμένος. Ο διορισμός ενός υπευθύνου ασφάλειας πληροφοριακών και επικοινωνιακών συστημάτων, με τα προσόντα και τις ασυμβατότητες που ορίζονται από την Υπουργική Απόφαση 1899/2025, δεν μεταθέτει αυτή την ευθύνη.
Πού πρέπει να ξεκινήσει μια εταιρεία αν δεν ξέρει αν έχει πιαστεί;
Με μια νομική αξιολόγηση πεδίου ανά νομική οντότητα και υπηρεσία, πριν από οποιαδήποτε δαπάνη σε πολιτικές ή τεχνικά εργαλεία.
Επικοινωνία
Η OIKONOMAKIS LAW παρέχει συμβουλές σχετικά με τις εκτιμήσεις πεδίου και καταχώρισης σύμφωνα με τον Νόμο 5160/2024, την ανάλυση κενών σε σχέση με το Εθνικό Πλαίσιο Απαιτήσεων Κυβερνοασφάλειας, τον σχεδιασμό διακυβέρνησης περιστατικών, τη νομική ανασκόπηση των συμβολαίων προμηθευτών ΤΠΕ και την υποστήριξη της διοίκησης στην εκπλήρωση της εποπτικής της ευθύνης.
Email: leads@oikonomakislaw.com
Τηλέφωνο γραφείου Αθηνών: +30 123456784
Σελίδα υπηρεσιών: oikonomakislaw.com/services/nis2-digital-governance/ · Επικοινωνία: oikonomakislaw.com/contact-us/
Αποποίηση Ευθύνης
Αυτό το άρθρο παρέχεται για ενημερωτικούς σκοπούς, αντικατοπτρίζει το ισχύον πλαίσιο κατά την ημερομηνία νομικής ανασκόπησης που αναφέρεται παραπάνω και δεν συνιστά νομική συμβουλή για οποιοδήποτε συγκεκριμένο θέμα. Το πεδίο εφαρμογής και οι υποχρεώσεις κάθε οντότητας εξαρτώνται από τις δικές της πραγματικές περιστάσεις.
Πρώτες και επίσημες πηγές
Οδηγία (ΕΕ) 2022/2555 (NIS2) — https://eur-lex.europa.eu/eli/dir/2022/2555/oj/eng
Εθνική Αρχή Κυβερνοασφάλειας — Ελληνική νομοθεσία για την κυβερνοασφάλεια (Νόμος 5160/2024 και εκτελεστικές πράξεις) — https://cyber.gov.gr/nomothesia/elliniki-nomothesia-gia-tin-kyvernoasfaleia/
Νόμος 5160/2024 (ΦΕΚ Α’ 195 της 27.11.2024) — https://cyber.gov.gr/wp-content/uploads/2024/12/ENOTHTA_5_ΝΟΜΟΘΕΣΙΑ_fek_a_195_2024-5160-2024-1.pdf
ΚΥΑ 1689/2025 (ΦΕΚ Β’ 2186 της 06.05.2025) — Πλαίσιο Απαιτήσεων Εθνικής Κυβερνοασφάλειας — https://cyber.gov.gr/wp-content/uploads/2025/05/20250202186.pdf
Υπουργική Απόφαση 1899/2025 (ΦΕΚ Β’ 4250 της 05.08.2025) — αξιωματικοί ασφαλείας — https://cyber.gov.gr/wp-content/uploads/2025/08/ΑΠΟΦΑΣΗ_ΥΠΟΥΡΓΟΥ_1899_20250204250.pdf
ΚΥΑ 1990/2025 (ΦΕΚ Β’ 4241 της 04.08.2025) — πλατφόρμα εγγραφής — https://cyber.gov.gr/wp-content/uploads/2025/08/Β-4241.pdf
ΚΥΑ 1645/2025 (ΦΕΚ Β’ 1882 της 15.04.2025) — τροποποίηση και παράταση προθεσμιών υποβολής — https://cyber.gov.gr/wp-content/uploads/2025/04/FEK_KYA_1645_2025_paratasi_ypvolis_stoixeiwn_ontotitwn.pdf
ΚΥΑ 1381/2025 (ΦΕΚ Β’ 463 της 10.02.2025) — δημιουργία της πλατφόρμας καταχώρισης — https://cyber.gov.gr/wp-content/uploads/2025/03/KYA_APOFASI_10-Feb-2025_FEK-463_DEFTERO-TEFHOS.pdf
Νόμος 5086/2024 (ΦΕΚ Α’ 23/2024) — Εθνική Αρχή Κυβερνοασφάλειας — https://cyber.gov.gr/wp-content/uploads/2024/12/ΝΟΜΟΣ-5086_ΦΕΚ.pdf
Άρθρο 33 του Νόμου 5305/2026 (ΦΕΚ Α’ 85 της 29.05.2026) — https://cyber.gov.gr/wp-content/uploads/2026/08/FEK_85_A_29-5-2026_NOMOS-5305_2026.pdf
Εθνική Αρχή Κυβερνοασφάλειας — εργαλείο αξιολόγησης συμμόρφωσης (169 σημεία ελέγχου / 24 θεματικές ενότητες) — https://cyber.gov.gr/se-ischy-to-neo-ergaleio-axiologisis-symmorfosis-ontotiton-me-ton-n-5160-2024-m-mpletsas-thespizoyme-to-kanonistiko-plaisio-enischysis-tis-kyvernoanthektikotitas/
Εθνική Αρχή Κυβερνοασφάλειας — Εργαλείο καθοδήγησης πεδίου εφαρμογής NIS2 — https://cyber.gov.gr/nomothesia/ergaleio-kathodigisis-test-ypagogis-sto-pedio-efarmogis/
Ετοιμάστηκε από τον Χρήστο Οικονομάκη, Πρόεδρο, H ΟΙΚΟΝΟΜΑKIS LAW
ΕΜΠΙΣΤΕΥΤΙΚΟ – ΕΣΩΤΕΡΙΚΟ ΕΓΓΡΑΦΟ ΑΝΑΠΤΥΞΗΣ | OIKONOMAKIS LAW × F SOCIETY | Άρθρο 10 | Ημερομηνία δημοσίευσης: 15 Σεπτεμβρίου 2026 | Ελλάδα οργανικά καθαρισμένο / πληρωμένο σε NT | OIKONOMAKIS LAW × F SOCIETY | Άρθρο 10 | Ημερομηνία δημοσίευσης: 15 Σεπτεμβρίου 2026 | Ελλάδα οργανικά καθαρισμένο / πληρωμένο σε αναμονή