Κυβερνοασφάλεια: Ελλάδα (2026)
Η Ελλάδα θέσπισε τον Νόμο 5160/2024 στις 27 Νοεμβρίου 2024, με τον οποίο ενσωματώθηκε πλήρως η οδηγία NIS2 της ΕΕ στο εθνικό δίκαιο, θεσπίζοντας δεσμευτικές υποχρεώσεις στον τομέα της κυβερνοασφάλειας για βασικούς και σημαντικούς φορείς σε 18 τομείς. Η Εθνική Αρχή Κυβερνοασφάλειας (ΕΑΚ) είναι η μοναδική αρμόδια αρχή για την εποπτεία, την καταχώριση και την επιβολή της νομοθεσίας. Η δευτερογενής νομοθεσία, στις αρχές του 2025, θέσπισε το καθεστώς σε εφαρμογή με ένα υποχρεωτικό πλαίσιο ασφάλειας που περιλαμβάνει 22 μέτρα ελέγχου και ένα κλιμακωτό χρονοδιάγραμμα αναφοράς περιστατικών.
Βασικό πλαίσιο
Νόμος 5160/2024 (Εφημερίδα της Κυβερνήσεως Α΄/195/27-11-2024) για τη μεταφορά στην εθνική νομοθεσία της οδηγίας NIS2 της ΕΕ (2022/2555)· υπό την εποπτεία της Εθνικής Αρχής Κυβερνοασφάλειας (NCSA / cyber.gov.gr)
Βασικά σημεία
Πρωτογενής νομοθεσία
Ο νόμος 5160/2024 (Εφημερίδα της Κυβέρνησης Α'/195/27-11-2024) μεταφέρει στο εθνικό δίκαιο το NIS2 στο σύνολό του, καταργώντας το προηγούμενο πλαίσιο NIS1. Τέθηκε σε ισχύ στις 28 Νοεμβρίου 2024 και εφαρμόζεται τόσο σε κρίσιμους όσο και σε σημαντικούς φορείς σε διάφορους τομείς, όπως η ενέργεια, οι μεταφορές, ο τραπεζικός τομέας, η υγεία, η ψηφιακή υποδομή και η δημόσια διοίκηση.
Εθνικό πλαίσιο απαιτήσεων για την κυβερνοασφάλεια
Η Υπουργική Απόφαση 1689/2025 (6 Μαΐου 2025) θεσπίζει το δεσμευτικό Εθνικό Πλαίσιο Απαιτήσεων Κυβερνοασφάλειας βάσει του Νόμου 5160/2024, το οποίο επιβάλλει 22 συγκεκριμένους τεχνικούς και οργανωτικούς ελέγχους ασφάλειας. Οι φορείς πρέπει επίσης να εγγραφούν στην εθνική πύλη (σύμφωνα με την Υπουργική Απόφαση 1645/2025) και να ορίσουν έναν ειδικό υπεύθυνο ασφάλειας.
Υποχρεώσεις αναφοράς περιστατικών
Σύμφωνα με το άρθρο 16 του νόμου 5160/2024 (που αντιστοιχεί στο άρθρο 23 του NIS2), οι ουσιώδεις και σημαντικές οντότητες πρέπει να υποβάλλουν προειδοποίηση έκτακτης ανάγκης στην NCSA/CSIRT εντός 24 ωρών από τη στιγμή που θα λάβουν γνώση ενός σημαντικού συμβάντος, πλήρη γνωστοποίηση του συμβάντος εντός 72 ωρών και τελική έκθεση εντός ενός μήνα.
Ειδοποίηση για παραβίαση προσωπικών δεδομένων σύμφωνα με τον Γενικό Κανονισμό για την Προστασία Δεδομένων (GDPR)
Οι παραβιάσεις προσωπικών δεδομένων πρέπει να αναφέρονται στην Ελληνική Αρχή Προστασίας Δεδομένων (ΕΑΠΔ) εντός 72 ωρών, σύμφωνα με τον ΓΚΠΔ (Κανονισμός 2016/679), όπως εφαρμόζεται στην Ελλάδα. Τα περιστατικά που αφορούν προσωπικά δεδομένα σε ρυθμιζόμενους τομείς συνεπάγονται διπλή γνωστοποίηση τόσο στην ΕΚΑΑ (κανάλι NIS2) όσο και στην ΕΑΠΔ (κανάλι ΓΚΠΔ).
Εποπτική αρχή και κυρώσεις
Η NCSA (cyber.gov.gr) είναι η μοναδική αρμόδια αρχή για την εποπτεία, την καταχώριση και την επιβολή κυρώσεων στο πλαίσιο της οδηγίας NIS2. Τα πρόστιμα φτάνουν έως και 10 εκατομμύρια ευρώ ή το 2% του παγκόσμιου ετήσιου κύκλου εργασιών για τις οντότητες ζωτικής σημασίας, και έως και 7 εκατομμύρια ευρώ ή το 1,4% για τις σημαντικές οντότητες.
Εθνική Στρατηγική για την Κυβερνοασφάλεια 2026-2030
Η NCSA δημοσίευσε την Εθνική Στρατηγική για την Κυβερνοασφάλεια 2026-2030 τον Δεκέμβριο του 2025 (Υπουργική Απόφαση αριθ. 2563/16-12-2025), η οποία διαρθρώνεται γύρω από πέντε πυλώνες: ανθεκτικές κρίσιμες υπηρεσίες, σύγχρονη διακυβέρνηση, ανάπτυξη δεξιοτήτων, συνεργασία σε επίπεδο ΕΕ και διεθνές επίπεδο, καθώς και πρακτικές λύσεις, σε ευθυγράμμιση με τον κύκλο αναθεώρησης της ENISA.
Η παρούσα σελίδα αποτελεί μετάφραση για λόγους ευκολίας· η αγγλική έκδοση είναι η επίσημη και δεν αποτελεί νομική συμβουλή.