Κυβερνοασφάλεια: Κύπρος (2026)
Η Κύπρος μετέφερε την οδηγία NIS2 της ΕΕ στο εθνικό δίκαιο μέσω του Νόμου 60(I)/2025, ο οποίος δημοσιεύθηκε στις 25 Απριλίου 2025, επεκτείνοντας τις υποχρεωτικές υποχρεώσεις διαχείρισης κινδύνων στον τομέα της κυβερνοασφάλειας και αναφοράς περιστατικών σε ένα σημαντικά ευρύτερο φάσμα βασικών και σημαντικών φορέων σε 18 τομείς. Η Αρχή Ψηφιακής Ασφάλειας (DSA) και το Εθνικό CSIRT (CSIRT-CY) λειτουργούν από κοινού ως αρμόδιες αρχές για την εφαρμογή και την επιβολή της νομοθεσίας. Η Ευρωπαϊκή Επιτροπή εξέδωσε αιτιολογημένη γνώμη στις 7 Μαΐου 2025 λόγω ελλιπούς κοινοποίησης της μεταφοράς, επισημαίνοντας ότι εκκρεμούν ακόμη μέτρα εφαρμογής.
Βασικό πλαίσιο
Νόμος περί ασφάλειας δικτύων και συστημάτων πληροφοριών (τροποποίηση) του 2025, Νόμος 60(I)/2025 (ο οποίος τροποποιεί τον Νόμο 89(I)/2020)· υπό την εποπτεία της Αρχής Ψηφιακής Ασφάλειας (DSA) και του CSIRT-CY σύμφωνα με την οδηγία NIS2 2022/2555 της ΕΕ
Βασικά σημεία
Μεταφορά νομοθεσίας
Ο Νόμος 60(I)/2025 (Ασφάλεια Δικτύων και Συστημάτων Πληροφοριών (Τροποποίηση) του 2025), ο οποίος ψηφίστηκε στις 10 Απριλίου 2025 και τέθηκε σε ισχύ στις 25 Απριλίου 2025, εναρμονίζει την εθνική νομοθεσία της Κύπρου με την οδηγία NIS2 2022/2555 της ΕΕ· τροποποιεί τον βασικό νόμο 89(I)/2020.
Αρμόδιες αρχές
Η Αρχή Ψηφιακής Ασφάλειας (DSA) είναι ο εθνικός φορέας εποπτείας και ρύθμισης στον τομέα της ασφάλειας των δικτύων και των πληροφοριών (NIS)· το Εθνικό CSIRT (CSIRT-CY), το οποίο λειτουργεί στο πλαίσιο της DSA, είναι αρμόδιο για τη διαχείριση, τον συντονισμό και την αντιμετώπιση περιστατικών για τους διαχειριστές κρίσιμων υποδομών. Η DSA ορίστηκε επίσης ως Αρχή Εποπτείας της Αγοράς της Κύπρου στο πλαίσιο του Νόμου για την Τεχνητή Νοημοσύνη τον Ιανουάριο του 2025.
Επέκταση του πεδίου εφαρμογής
Ο νόμος κατατάσσει τις υπόκεινται οντότητες ως «ουσιώδεις» ή «σημαντικές» με βάση έναν κανόνα ανώτατου ορίου μεγέθους (μεσαίες και μεγάλες επιχειρήσεις στους τομείς των Παραρτημάτων I/II: ενέργεια, μεταφορές, τραπεζικός τομέας, υποδομές χρηματοπιστωτικών αγορών, υγεία, ύδρευση, ψηφιακές υποδομές, δημόσια διοίκηση, διαστημική, κ.λπ.). Ο αριθμός των οργανισμών που εμπίπτουν στο πεδίο εφαρμογής είναι περίπου δέκα φορές μεγαλύτερος σε σύγκριση με τον κανονισμό NIS1, ο οποίος κάλυπτε μόνο 70 οντότητες· τα κριτήρια μεγέθους δεν ισχύουν για τους παρόχους υπηρεσιών εμπιστοσύνης, τις υπηρεσίες cloud και τα κέντρα δεδομένων.
Υποχρεώσεις αναφοράς περιστατικών
Οι φορείς πρέπει να υποβάλλουν προειδοποίηση έκτακτης ανάγκης στο DSA/CSIRT-CY εντός 6 ωρών από τη στιγμή που θα λάβουν γνώση ενός σημαντικού συμβάντος, πλήρη γνωστοποίηση του συμβάντος εντός 72 ωρών και τελική έκθεση εντός ενός μήνα. Ως σημαντικά συμβάντα ορίζονται εκείνα που προκαλούν ή ενδέχεται να προκαλέσουν σοβαρή διαταραχή της λειτουργίας ή οικονομική ζημία.
Ποινές
Τα διοικητικά πρόστιμα για τις «ουσιώδεις» οντότητες μπορούν να φθάσουν τα 10 εκατομμύρια ευρώ ή το 2% του συνολικού ετήσιου παγκόσμιου κύκλου εργασιών (όποιο από τα δύο είναι υψηλότερο)· για τις «σημαντικές» οντότητες, το ανώτατο όριο είναι τα 7 εκατομμύρια ευρώ ή το 1,4% του ετήσιου παγκόσμιου κύκλου εργασιών. Τα διοικητικά όργανα μπορούν να θεωρηθούν προσωπικά υπεύθυνα σε περίπτωση επίμονης μη συμμόρφωσης.
Επικάλυψη παραβίασης δεδομένων σύμφωνα με τον ΓΚΠΔ
Εκτός του πλαισίου του NIS2, ο Επίτροπος Προστασίας Δεδομένων Προσωπικού Χαρακτήρα της Κύπρου επιβάλλει την υποχρέωση γνωστοποίησης παραβιάσεων του ΓΚΠΔ (Κανονισμός 2016/679): οι παραβιάσεις δεδομένων προσωπικού χαρακτήρα πρέπει να γνωστοποιούνται στον Επίτροπο εντός 72 ωρών και στα επηρεαζόμενα άτομα χωρίς αδικαιολόγητη καθυστέρηση, όταν υπάρχει υψηλός κίνδυνος. Και τα δύο καθεστώτα εφαρμόζονται ταυτόχρονα για περιστατικά που αφορούν προσωπικά δεδομένα.
Η παρούσα σελίδα αποτελεί μετάφραση για λόγους ευκολίας· η αγγλική έκδοση είναι η επίσημη και δεν αποτελεί νομική συμβουλή.