Πόροι / Νομοθεσία
Ο ν. 5160/2024: η NIS2 στο ελληνικό δίκαιο
Ενημερώθηκε 24 Οκτωβρίου 2026
Ο ν. 5160/2024 (ΦΕΚ Α' 195/27.11.2024) ενσωματώνει την Οδηγία NIS2 στο ελληνικό δίκαιο[1]. Ορίζει ποιους αφορά, τι οφείλουν οι διοικήσεις τους, πώς αναφέρονται τα περιστατικά και ποια πρόστιμα επιβάλλει η Εθνική Αρχή Κυβερνοασφάλειας (ΕΑΚ). Τα μέτρα τα εξειδικεύει η ΚΥΑ 1689/2025.
Ποιους αφορά ο ν. 5160/2024;
- Τις δημόσιες ή ιδιωτικές οντότητες των τομέων των Παραρτημάτων Ι και ΙΙ που είναι μεσαίες ή μεγαλύτερες επιχειρήσεις κατά τη Σύσταση 2003/361/ΕΚ και είναι εγκατεστημένες ή δραστηριοποιούνται στην Ελλάδα (άρθρο 3 παρ. 1)[1][2].
- Ανεξάρτητα από το μέγεθος: τους παρόχους δημόσιων δικτύων και υπηρεσιών ηλεκτρονικών επικοινωνιών, τους παρόχους υπηρεσιών εμπιστοσύνης, τα μητρώα ονομάτων ανωτάτου επιπέδου και τους παρόχους DNS, τον μοναδικό πάροχο ουσιώδους υπηρεσίας και τις κρίσιμες οντότητες (άρθρο 3 παρ. 2 και 3)[1].
- Τους φορείς της κεντρικής κυβέρνησης και τους Οργανισμούς Τοπικής Αυτοδιοίκησης α' και β' βαθμού (άρθρο 3 παρ. 2 στοιχείο στ)[1].
Το άρθρο 4 χωρίζει τις οντότητες σε βασικές και σημαντικές. Μια μεσαία επιχείρηση μετρά τον όμιλό της: η Σύσταση προσθέτει τα στοιχεία των συνδεδεμένων επιχειρήσεων στο σύνολό τους και των συνεργαζόμενων κατά το ποσοστό συμμετοχής[2].
Για τι ευθύνεται η διοίκηση;
Τα όργανα διοίκησης εγκρίνουν τα μέτρα διαχείρισης κινδύνων, εποπτεύουν την εφαρμογή τους και είναι υπεύθυνα για παραβάσεις τους (άρθρο 14 παρ. 1). Τα μέλη τους εκπαιδεύονται, και η οντότητα εκπαιδεύει το προσωπικό της τουλάχιστον μία φορά τον χρόνο (άρθρο 14 παρ. 2)[1].
Ποια μέτρα και ποιες αναφορές απαιτεί;
Οι οντότητες λαμβάνουν τα μέτρα του άρθρου 15, που εξειδικεύει η ΚΥΑ 1689/2025[1][3]. Κοινοποιούν αμελλητί κάθε σημαντικό περιστατικό στην CSIRT της ΕΑΚ με τις προθεσμίες της Οδηγίας: έγκαιρη προειδοποίηση εντός 24 ωρών, κοινοποίηση εντός 72 ωρών και τελική έκθεση εντός ενός μήνα (άρθρο 16)[1][4]. Οι φορείς της κεντρικής κυβέρνησης και οι ΟΤΑ κοινοποιούν στο Εθνικό CERT της Ε.Υ.Π. (άρθρο 10)[1]. Οι φορείς της κεντρικής κυβέρνησης και οι ΟΤΑ κοινοποιούν στην CSIRT της Εθνικής Υπηρεσίας Πληροφοριών, με ταυτόχρονη ενημέρωση της ΕΑΚ[1].
Πώς εγγράφεστε και ορίζετε ΥΑΣΠΕ;
Κάθε βασική και σημαντική οντότητα εγγράφεται στην ψηφιακή πλατφόρμα της ΕΑΚ (ν. 5160/2024, άρθρο 4 παρ. 3)[1], που λειτουργεί με την ΚΥΑ 1381/2025[5]. Η προθεσμία εγγραφής έληξε στις 30 Σεπτεμβρίου 2025[6]. Μια οντότητα που δεν έχει εγγραφεί υποβάλλει τα στοιχεία της αμελλητί, και κάθε αλλαγή τους εντός δύο εβδομάδων[7][6]. Στην πλατφόρμα δηλώνεται και ο ΥΑΣΠΕ[8].
Ο νόμος (άρθρο 34) και η ΥΑ 1899/2025 ορίζουν τον Υπεύθυνο Ασφάλειας Συστημάτων Πληροφορικής και Επικοινωνιών[1][8]. Δείτε ποιος μπορεί να είναι ΥΑΣΠΕ.
Ποιος εποπτεύει και ποια είναι τα πρόστιμα;
Η ΕΑΚ εποπτεύει τις βασικές οντότητες και προληπτικά και κατασταλτικά, τις σημαντικές κατασταλτικά (άρθρα 24 και 25)[1].
| Παράβαση | Πρόστιμο | Άρθρο ν. 5160/2024 |
|---|---|---|
| Βασική οντότητα, για τα μέτρα (άρθρο 15) ή την αναφορά περιστατικών (άρθρο 16) | Έως 10.000.000 € ή 2% του παγκόσμιου ετήσιου κύκλου εργασιών, όποιο είναι υψηλότερο | 26 παρ. 4 |
| Σημαντική οντότητα, για τα ίδια | Έως 7.000.000 € ή 1,4% του παγκόσμιου ετήσιου κύκλου εργασιών, όποιο είναι υψηλότερο | 26 παρ. 5 |
| Έγκριση και εποπτεία των μέτρων από τα όργανα διοίκησης (άρθρο 14 παρ. 1) | Έως 200.000 € | 26 παρ. 9 στοιχείο α |
| Εκπαίδευση των μελών των οργάνων διοίκησης και του προσωπικού (άρθρο 14 παρ. 2) | Έως 100.000 € | 26 παρ. 9 στοιχείο β |
| Φορείς του δημόσιου τομέα του άρθρου 3 παρ. 2 στοιχείο στ | Από 20.000 € έως 500.000 € | 26 παρ. 8 |
Η Αρχή επιβάλλει τα πρόστιμα με αιτιολογημένη απόφαση μετά από ακρόαση, και η διάρκεια μιας παράβασης είναι ένα από τα στοιχεία που σταθμίζει[1].
Τι αλλάζει με την πρόταση της Επιτροπής του 2026;
Στις 20 Ιανουαρίου 2026 η Ευρωπαϊκή Επιτροπή πρότεινε στοχευμένες τροποποιήσεις της NIS2, μαζί με την αναθεώρηση της Πράξης για την Κυβερνοασφάλεια[9]. Πρόκειται για πρόταση: μέχρι να την εγκρίνουν το Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο και να ενσωματωθεί, οι υποχρεώσεις του ν. 5160/2024 και της ΚΥΑ 1689/2025 ισχύουν όπως είναι.
Τι να κάνετε τώρα
- Ελέγξτε αν σας αφορά ο νόμος, με το τεστ υπαγωγής της ΕΑΚ ή με τον έλεγχο εφαρμογής του Vardion, που αθροίζει τον όμιλο.
- Αν δεν έχετε εγγραφεί στην πλατφόρμα της ΕΑΚ, εγγραφείτε τώρα.
- Ορίστε ΥΑΣΠΕ από τα στελέχη σας και δηλώστε τον στην πλατφόρμα. Δείτε ποιος μπορεί να είναι ΥΑΣΠΕ.
- Ξεκινήστε την αυτοαξιολόγηση της ΕΑΚ, που στέλνεται κάθε χρόνο με πλάνο διορθωτικών ενεργειών.
- Φέρτε τα μέτρα για έγκριση στο ανώτατο όργανο διοίκησης και καταγράψτε την έγκριση.
Πηγές
- Ν. 5160/2024 (ΦΕΚ Α' 195/27.11.2024), αντίγραφο της ΕΑΚ, ελέγχθηκε στις 24 Οκτωβρίου 2026
- Σύσταση 2003/361/ΕΚ για τις πολύ μικρές, μικρές και μεσαίες επιχειρήσεις, ελέγχθηκε στις 24 Οκτωβρίου 2026
- ΚΥΑ 1689/2025 (ΦΕΚ Β' 2186/2025), αντίγραφο της ΕΑΚ, ελέγχθηκε στις 24 Οκτωβρίου 2026
- Οδηγία (ΕΕ) 2022/2555 (NIS2), ελέγχθηκε στις 24 Οκτωβρίου 2026
- ΚΥΑ 1381/2025 (ΦΕΚ Β' 463/2025) για την πλατφόρμα εγγραφής, ελέγχθηκε στις 24 Οκτωβρίου 2026
- ΕΑΚ, εγκύκλιος οικ. 28211/10.9.2025 για την εγγραφή στην πλατφόρμα, ελέγχθηκε στις 24 Οκτωβρίου 2026
- ΕΑΚ, συχνές ερωτήσεις για την πλατφόρμα εγγραφής, ελέγχθηκε στις 24 Οκτωβρίου 2026
- ΥΑ 1899/2025 (ΦΕΚ Β' 4250/5.8.2025) για τον ΥΑΣΠΕ, αντίγραφο της ΕΑΚ, ελέγχθηκε στις 24 Οκτωβρίου 2026
- Ευρωπαϊκή Επιτροπή, πρόταση οδηγίας COM(2026) 13, 20 Ιανουαρίου 2026, ελέγχθηκε στις 24 Οκτωβρίου 2026
Δείτε αν σας αφορά ο νόμος
Ο έλεγχος εφαρμογής του Vardion αθροίζει τον όμιλο και κρατά το υπόμνημα πεδίου εφαρμογής που υπογράφει η διοίκηση.