Στις 20 Ιανουαρίου 2026 η Ευρωπαϊκή Επιτροπή πρότεινε στοχευμένες τροποποιήσεις της Οδηγίας NIS2, ως μέρος ενός ευρύτερου πακέτου απλοποίησης της κυβερνοασφάλειας. Η πρόταση ήρθε μαζί με το Digital Omnibus Package, μια ξεχωριστή αλλά συναφή πρωτοβουλία για τον εξορθολογισμό των υποχρεώσεων αναφοράς σε πολλά πλαίσια της ΕΕ. Ο περισσότερος σχολιασμός έκτοτε εστίασε στις τεχνικές και διαδικαστικές αλλαγές σε επίπεδο ΕΕ. Χρήσιμο, αλλά ανεπαρκές για όποιον διευθύνει πραγματικά μια επιχείρηση στην Ελλάδα και προσπαθεί να καταλάβει τι πρέπει να κάνει διαφορετικά.

Το άρθρο αυτό εστιάζει στις πρακτικές συνέπειες, ειδικά για τις ελληνικές ΜμΕ που ήδη κινούνται στη συμμόρφωση με τον Ν. 5160/2024, την ελληνική ενσωμάτωση της NIS2, και τα εκτελεστικά μέτρα που ακολούθησαν. Οι τροποποιήσεις είναι γνήσια θετικές. Είναι επίσης προτάσεις, όχι νόμος. Η διάκριση έχει μεγαλύτερη σημασία από όση της αναγνωρίζουν οι περισσότερες αναλύσεις.

Τι Άλλαξε Πραγματικά

Η πρόταση του Ιανουαρίου 2026 εισάγει αρκετές ουσιαστικές προσαρμογές στο πεδίο εφαρμογής, στο μοντέλο εποπτείας και στις τεχνικές απαιτήσεις της NIS2. Κάποιες θα επηρεάσουν ουσιαστικά το πώς βιώνουν τη συμμόρφωση οι ελληνικοί οργανισμοί. Άλλες είναι μελλοντικές δεσμεύσεις που δεν θα παραγάγουν λειτουργικές αλλαγές για χρόνια.

Η πιο άμεσα σχετική αλλαγή είναι η εισαγωγή της κατηγορίας «small mid-cap». Οντότητες με λιγότερους από 750 εργαζομένους και ετήσιο κύκλο εργασιών που δεν υπερβαίνει τα 150 εκατομμύρια ευρώ θα κατατάσσονται ως «σημαντικές» αντί για «βασικές», ανεξάρτητα από τον κλάδο στον οποίο δραστηριοποιούνται. Αυτό έχει σημασία επειδή το καθεστώς εποπτείας των σημαντικών οντοτήτων είναι αντιδραστικό, οι αρχές ερευνούν μετά από περιστατικό ή αναφορά, αντί για τους προληπτικούς ελέγχους και επιθεωρήσεις που αντιμετωπίζουν οι βασικές οντότητες. Για μια μεσαία ελληνική εταιρεία που σήμερα εμπίπτει στην κατηγορία των βασικών αποκλειστικά λόγω κλάδου, αυτή η επανακατάταξη θα μπορούσε να μειώσει σημαντικά το κανονιστικό βάρος.

Οι προσαρμογές του πεδίου εφαρμογής είναι χειρουργικές και όχι σαρωτικές:

  • Οι πολύ μικροί και μικροί πάροχοι υπηρεσιών DNS εξαιρούνται εντελώς από το πεδίο εφαρμογής, αναγνώριση ότι η εφαρμογή ολόκληρου του πλαισίου NIS2 σε μια επιχείρηση DNS δύο ατόμων ήταν δυσανάλογη
  • Οι παραγωγοί ηλεκτρικής ενέργειας με ισχύ παραγωγής κάτω του 1 MW εξαιρούνται
  • Η διανομή χημικών, που προηγουμένως καλυπτόταν από τον κλάδο παραγωγής χημικών, αφαιρείται από το πεδίο
  • Οι διαχειριστές υποθαλάσσιων καλωδίων και οι πάροχοι του Ευρωπαϊκού Πορτοφολιού Ψηφιακής Ταυτότητας εισέρχονται στο πεδίο, με τους παρόχους πορτοφολιού να κατατάσσονται ως βασικοί ανεξαρτήτως μεγέθους

Πιο δομικά σημαντικό είναι το ανώτατο όριο εναρμόνισης. Μόλις η Ευρωπαϊκή Επιτροπή εκδώσει εκτελεστικές πράξεις που προσδιορίζουν τα μέτρα διαχείρισης κινδύνων κυβερνοασφάλειας για έναν κλάδο, τα κράτη μέλη θα απαγορεύεται να επιβάλλουν πρόσθετες εθνικές απαιτήσεις επιπλέον. Αυτό στοχεύει ρητά στην εξάλειψη του «gold-plating», της πρακτικής μεμονωμένων χωρών να προσθέτουν επιπλέον υποχρεώσεις πάνω στις βασικές απαιτήσεις της ΕΕ. Για οργανισμούς που λειτουργούν σε πολλές δικαιοδοσίες της ΕΕ, αυτό είναι ουσιώδες. Για όσους λειτουργούν αποκλειστικά στην Ελλάδα, παρέχει τη βεβαιότητα ότι η συμμόρφωση με τη βάση της ΕΕ θα είναι επαρκής, χωρίς τον κίνδυνο η Ελλάδα να εισαγάγει πρόσθετες επιταγές αργότερα.

Η πρόταση εισάγει επίσης ένα πιστοποιητικό κυβερνοστάσης της ΕΕ. Οντότητες που κατέχουν έγκυρη πιστοποίηση στο πλαίσιο του Ευρωπαϊκού Πλαισίου Πιστοποίησης Κυβερνοασφάλειας θα εξαιρούνται από πρόσθετους ελέγχους απαιτήσεων ασφάλειας NIS2 στα πεδία που καλύπτει το πιστοποιητικό. Η πρόθεση είναι σαφής: να μην υποβάλλονται οι οργανισμοί σε περιττές αξιολογήσεις όταν έχουν ήδη αποδείξει συμμόρφωση μέσω αναγνωρισμένου σχήματος πιστοποίησης. Η πρακτική αξία θα εξαρτηθεί εξ ολοκλήρου από το ποια σχήματα πιστοποίησης θα αναγνωρίσει η Επιτροπή και πόσο ευρέως θα αντιστοιχούν στις κατηγορίες απαιτήσεων της NIS2, λεπτομέρειες που μένουν να οριστούν.

Δύο μελλοντικές διατάξεις αξίζουν αναφορά, αν και ο λειτουργικός τους αντίκτυπος απέχει χρόνια. Πρώτον, οι τροποποιήσεις θεσπίζουν χρονοδιαγράμματα μετάβασης σε μετακβαντική κρυπτογραφία: 2030 για κρίσιμες περιπτώσεις χρήσης και 2035 για εφαρμογές μεσαίου και χαμηλού κινδύνου. Οι ημερομηνίες αυτές είναι επιδιωκόμενα σημεία αναφοράς και όχι άμεσοι εκκινητές συμμόρφωσης, αλλά σηματοδοτούν καθαρά ότι οι οργανισμοί πρέπει να εντάξουν την κβαντική ετοιμότητα στους τεχνολογικούς οδικούς χάρτες τους τώρα. Δεύτερον, η ασφάλεια εφοδιαστικής αλυσίδας αποκτά ενισχυμένη αντιμετώπιση μέσω συντονισμένων αξιολογήσεων κινδύνου κρίσιμων αλυσίδων ΤΠΕ σε επίπεδο ΕΕ, τυποποιημένων ερωτηματολογίων ασφάλειας προμηθευτών και, αξιοσημείωτα, εξουσίας των ρυθμιστικών αρχών να απαγορεύουν τη χρήση εξαρτημάτων από προμηθευτές που κρίνονται ότι θέτουν μη αποδεκτούς κινδύνους ασφάλειας.

Τέλος, η αναφορά περιστατικών ransomware τυποποιήθηκε. Οι αναφορές πρέπει πλέον να περιλαμβάνουν λεπτομέρειες του διανύσματος επίθεσης, τις απαιτήσεις λύτρων που ελήφθησαν και, αν συντρέχει, στοιχεία πληρωμής. Αυτό αφορά λιγότερο το τι κάνουν οι οργανισμοί κατά τη διάρκεια ενός περιστατικού και περισσότερο το να αποκτήσουν οι αρχές και ο ENISA ένα συνεπές σύνολο δεδομένων για την κατανόηση του τοπίου ransomware σε όλη την Ένωση.

Η Υπόσχεση «Αναφέρω Μία Φορά, Μοιράζομαι Πολλές»

Παράλληλα με τις τροποποιήσεις της NIS2, το Digital Omnibus Package προτείνει αυτό που η Επιτροπή ονομάζει «Ενιαίο Σημείο Εισόδου» (Single Entry Point) για την αναφορά περιστατικών. Λειτουργούμενη από τον ENISA, η πύλη αυτή θα επιτρέπει στους οργανισμούς να υποβάλλουν μία αναφορά περιστατικού που στη συνέχεια θα δρομολογείται αυτόματα σε όλες τις αρμόδιες εθνικές αρχές σε πολλά κανονιστικά πλαίσια: NIS2, GDPR, DORA, Οδηγία για την Ανθεκτικότητα Κρίσιμων Οντοτήτων και eIDAS.

Στα χαρτιά, αυτό είναι ακριβώς ό,τι ζητούσαν οι ρυθμιζόμενοι οργανισμοί. Η πραγματικότητα μιας εταιρείας χρηματοοικονομικών υπηρεσιών που υφίσταται παραβίαση με προσωπικά δεδομένα και διακοπή υπηρεσίας είναι ότι σήμερα πρέπει να υποβάλει ξεχωριστές αναφορές στην αρχή NIS2, στην αρχή προστασίας δεδομένων και στον επόπτη DORA, καθεμία με διαφορετική μορφή, διαφορετικά χρονοδιαγράμματα και διαφορετικούς μηχανισμούς υποβολής. Μια ενιαία πύλη που δέχεται μία υποβολή και αναλαμβάνει τη δρομολόγηση είναι γνήσια βελτίωση.

Υπάρχουν όμως αρκετές επιφυλάξεις που οι τίτλοι τείνουν να παραλείπουν.

Οι υποκείμενες απαιτήσεις αναφοράς δεν εναρμονίζονται. Κάθε πλαίσιο διατηρεί τα δικά του χρονοδιαγράμματα και τις δικές του προσδοκίες περιεχομένου. Η NIS2 απαιτεί έγκαιρη προειδοποίηση εντός 24 ωρών. Η DORA ζητά αρχική αναφορά εντός 4 ωρών. Το παράθυρο γνωστοποίησης παραβίασης του GDPR, σήμερα 72 ώρες, προτείνεται να επεκταθεί στις 96 ώρες με τις τροποποιήσεις του Omnibus. Το Ενιαίο Σημείο Εισόδου απλοποιεί την υποβολή, όχι την ουσία. Εξακολουθείτε να χρειάζεται να καταλαβαίνετε ποια πλαίσια ισχύουν για τον οργανισμό σας, τι απαιτεί καθένα και πώς θα ανταποκριθείτε σε κάθε σύνολο υποχρεώσεων μέσα στο συγκεκριμένο χρονικό του πλαίσιο.

Το χρονοδιάγραμμα για να τεθεί σε λειτουργία το SEP αξίζει επίσης έντιμη εξέταση. Το Digital Omnibus Package είναι νομοθετική πρόταση. Απαιτεί διαπραγμάτευση και έγκριση μέσω της συνήθους νομοθετικής διαδικασίας, τριμερούς διαλόγου Επιτροπής, Κοινοβουλίου και Συμβουλίου. Οι αισιόδοξες εκτιμήσεις τοποθετούν την πολιτική συμφωνία στο δεύτερο μισό του 2027. Ο ENISA θα χρειαστεί στη συνέχεια να χτίσει, να δοκιμάσει και να θέσει σε λειτουργία την πύλη, με εκτιμώμενους 18 έως 24 μήνες τεχνικής υλοποίησης. Ρεαλιστική ημερομηνία λειτουργίας είναι τα τέλη του 2028 το νωρίτερο, με το 2029 πιθανότερο.

Τίποτα από αυτά δεν μειώνει την αξία της πρότασης. Είναι ουσιαστικό βήμα προς τη μείωση της τριβής αναφοράς για οντότητες με πολλαπλή ρύθμιση. Οι οργανισμοί όμως που παίρνουν αποφάσεις συμμόρφωσης σήμερα πρέπει να σχεδιάζουν με βάση τα τρέχοντα κανάλια και χρονοδιαγράμματα αναφοράς, όχι με βάση μια πύλη που βρίσκεται ακόμη σε στάδιο πρότασης.

Πού Βρίσκεται η Ελλάδα

Η Ελλάδα είναι από τα πιο προχωρημένα κράτη μέλη της ΕΕ ως προς την ενσωμάτωση της NIS2. Η αξιολόγηση ωριμότητας της Ευρωπαϊκής Επιτροπής τοποθετεί την Ελλάδα στο επίπεδο 4, μπροστά από αρκετά μεγαλύτερα κράτη μέλη που ακόμη οριστικοποιούν την εθνική τους νομοθεσία. Δεν είναι τυχαίο: η Ελλάδα κινήθηκε σχετικά γρήγορα στο νομοθετικό και ρυθμιστικό πλαίσιο, ακόμη κι αν η λειτουργική υλοποίηση σε όλη την οικονομία παραμένει άνιση.

Ο Ν. 5160/2024, που ψηφίστηκε στις 27 Νοεμβρίου 2024, ενσωμάτωσε τη NIS2 στο ελληνικό δίκαιο. Όρισε την Εθνική Αρχή Κυβερνοασφάλειας (ΕΑΚ), υπαγόμενη στο Υπουργείο Ψηφιακής Διακυβέρνησης, ως αρμόδια αρχή τόσο για τις βασικές όσο και για τις σημαντικές οντότητες. Ο νόμος ορίζει το πεδίο εφαρμογής, τα κριτήρια κατάταξης, τις υποχρεώσεις διακυβέρνησης, τις απαιτήσεις αναφοράς περιστατικών και το πλαίσιο κυρώσεων.

Τα εκτελεστικά μέτρα ακολούθησαν το 2025. Η ΚΥΑ 1689/2025, που δημοσιεύθηκε στις 6 Μαΐου 2025, θέσπισε το Εθνικό Πλαίσιο Απαιτήσεων Κυβερνοασφάλειας: ένα δομημένο σύνολο 14 βασικών κατηγοριών απαιτήσεων που καλύπτουν τεχνικά, οργανωτικά και λειτουργικά μέτρα ασφάλειας. Οι κατηγορίες αυτές εκτείνονται σε έλεγχο πρόσβασης, κρυπτογραφία, ασφάλεια δικτύου, διαχείριση ευπαθειών, χειρισμό περιστατικών, επιχειρησιακή συνέχεια, ασφάλεια εφοδιαστικής αλυσίδας και διακυβέρνηση, μεταξύ άλλων. Το πλαίσιο αυτό είναι ουσιαστικά η βάση συμμόρφωσης που πρέπει να ικανοποιούν οι ελληνικές οντότητες.

Η εγγραφή των οντοτήτων στην ΕΑΚ επιβλήθηκε με αρχικές προθεσμίες που στη συνέχεια παρατάθηκαν έως τον Σεπτέμβριο 2025. Οι οντότητες έπρεπε να αυτοκαταταγούν ως βασικές ή σημαντικές με βάση τα κριτήρια του Ν. 5160/2024 και να εγγραφούν αντίστοιχα. Όσες έχασαν την παραταθείσα προθεσμία αντιμετωπίζουν έναν απλό υπολογισμό: η εκπρόθεσμη εγγραφή είναι έλλειμμα συμμόρφωσης, αλλά η μη εγγραφή είναι εντελώς σοβαρότερο ζήτημα.

Ο ορισμός ΥΑΣΠΕ, Υπευθύνου Ασφάλειας Συστημάτων Πληροφορικής και Επικοινωνιών, είναι υποχρεωτικός για τις οντότητες στο πεδίο εφαρμογής. Ο ΥΑΣΠΕ είναι το ορισμένο σημείο επαφής με την ΕΑΚ και φέρει την ευθύνη εποπτείας της στάσης κυβερνοασφάλειας της οντότητας. Οι απαιτήσεις προσόντων εξειδικεύθηκαν περαιτέρω στην ΚΥΑ 1899/2025. Δεν είναι ρόλος που μπορεί να καλυφθεί αναδρομικά ή να αντιμετωπιστεί ως τυπική άσκηση· η ΕΑΚ περιμένει ένα ονομαστικά ορισμένο, καταρτισμένο άτομο με τεκμηριωμένη εξουσία εντός του οργανισμού.

Η αναφορά περιστατικών ακολουθεί το μοντέλο τριών σταδίων της NIS2:

  • Έγκαιρη προειδοποίηση εντός 24 ωρών προς την ΕΑΚ μόλις γίνει αντιληπτό σημαντικό περιστατικό
  • Αναλυτική γνωστοποίηση εντός 72 ωρών με αρχική αξιολόγηση, σοβαρότητα και αντίκτυπο
  • Τελική αναφορά εντός ενός μήνα με ανάλυση βασικής αιτίας, μέτρα μετριασμού και διασυνοριακό αντίκτυπο, αν συντρέχει

Το πλαίσιο κυρώσεων του Ν. 5160/2024 αντικατοπτρίζει τα ανώτατα όρια της NIS2: έως 10 εκατομμύρια ευρώ ή 2% του παγκόσμιου ετήσιου κύκλου εργασιών για βασικές οντότητες, και έως 7 εκατομμύρια ευρώ ή 1,4% του παγκόσμιου κύκλου εργασιών για σημαντικές, όποιο είναι υψηλότερο. Αυτό που ξεχωρίζει την ελληνική εφαρμογή, και που πρέπει να συγκεντρώσει την προσοχή κάθε μέλους διοικητικού συμβουλίου και διευθύνοντος συμβούλου, είναι η ρητή κωδικοποίηση προσωπικής ευθύνης για τα μέλη του διοικητικού οργάνου. Δεν είναι θεωρητικό. Ο Ν. 5160/2024 καθιστά σαφές ότι το διοικητικό όργανο είναι υπεύθυνο για την έγκριση και την εποπτεία της εφαρμογής των μέτρων διαχείρισης κινδύνων κυβερνοασφάλειας, και ότι φυσικά πρόσωπα μπορούν να θεωρηθούν προσωπικά υπεύθυνα για αποτυχίες σε αυτή την εποπτεία.

Η αρχή της αναλογικότητας διατρέχει το σύνολο: οι απαιτήσεις κλιμακώνονται ανάλογα με το μέγεθος της οντότητας, τη φύση και την πολυπλοκότητα των δραστηριοτήτων της και τον δυνητικό αντίκτυπο περιστατικών στις υπηρεσίες που παρέχει. Μια εταιρεία logistics 50 ατόμων δεν αναμένεται να εφαρμόσει τους ίδιους ελέγχους με έναν εθνικό πάροχο ενέργειας. Η αναλογικότητα όμως δεν είναι άλλοθι για αδράνεια: ορίζει την κλίμακα της απόκρισης, όχι το αν απαιτείται απόκριση.

Τι Σημαίνει Αυτό για τις Ελληνικές ΜμΕ στην Πράξη

Το πρώτο πρακτικό ερώτημα για κάθε ελληνική ΜμΕ είναι αν οι προτεινόμενες τροποποιήσεις θα αλλάξουν την κατάταξή της. Αν ο οργανισμός σας έχει λιγότερους από 750 εργαζομένους και ετήσιο κύκλο εργασιών κάτω από 150 εκατομμύρια ευρώ, η κατηγορία small mid-cap θα σας επανακατέτασσε ως «σημαντική» αντί για «βασική» οντότητα, εφόσον είχατε προηγουμένως καταταγεί ως βασική λόγω κλάδου. Η διαφορά είναι ουσιαστική: οι σημαντικές οντότητες αντιμετωπίζουν αντιδραστική εποπτεία αντί για προληπτική, που μεταφράζεται σε λιγότερους προγραμματισμένους ελέγχους και επιθεωρήσεις. Εξακολουθείτε να οφείλετε να ικανοποιείτε τα ίδια βασικά μέτρα ασφάλειας, αλλά ο μηχανισμός επιβολής είναι λιγότερο παρεμβατικός.

Το ανώτατο όριο εναρμόνισης παρέχει διαφορετικού είδους προστασία. Μόλις οι εκτελεστικές πράξεις της ΕΕ ορίσουν τα μέτρα κυβερνοασφάλειας για τον κλάδο σας, η Ελλάδα δεν μπορεί να επιβάλει πρόσθετες απαιτήσεις πέρα από αυτή τη βάση. Για οργανισμούς που ήταν αβέβαιοι αν οι τρέχουσες προσπάθειες συμμόρφωσής τους μπορεί να αποδειχθούν ανεπαρκείς αν η Ελλάδα αποφασίσει να προσθέσει επιπλέον υποχρεώσεις, το όριο αυτό προσφέρει βεβαιότητα σχεδιασμού. Μπορείτε να επενδύσετε στην κάλυψη ενός ορισμένου προτύπου με την εμπιστοσύνη ότι οι στόχοι δεν θα μετακινηθούν σε εθνικό επίπεδο.

Η οδός πιστοποίησης κυβερνοστάσης είναι δυνητικά πολύτιμη, αλλά παραμένει απροσδιόριστη στις λεπτομέρειές της. Αν ο οργανισμός σας κατέχει ήδη πιστοποίηση ISO 27001 ή εργάζεται προς αυτήν, αξίζει να παρακολουθείτε αν αυτή η πιστοποίηση θα αναγνωριστεί στο πλαίσιο της ΕΕ. Αν ναι, η εξαίρεση από πρόσθετους ελέγχους ασφάλειας NIS2 στα πιστοποιημένα πεδία θα εξάλειφε ουσιαστική επιβάρυνση συμμόρφωσης.

Ωστόσο, και αυτό είναι το σημείο που απαιτεί τη μεγαλύτερη έμφαση, όλα αυτά είναι προτάσεις. Οι τροποποιήσεις του Ιανουαρίου 2026 πρέπει να διανύσουν τη νομοθετική διαδικασία της ΕΕ. Πολιτική συμφωνία είναι απίθανη πριν από τις αρχές του 2027. Τα κράτη μέλη θα έχουν στη συνέχεια περίοδο ενσωμάτωσης, συνήθως 12 έως 18 μήνες, για να εντάξουν τις αλλαγές στο εθνικό δίκαιο. Η Ελλάδα θα χρειαστεί να τροποποιήσει τον Ν. 5160/2024 και ενδεχομένως να επικαιροποιήσει τις εκτελεστικές ΚΥΑ. Ρεαλιστικά, οι τροποποιήσεις δεν θα αλλάξουν τις ελληνικές υποχρεώσεις συμμόρφωσης πριν από το 2028 το νωρίτερο.

Στο μεταξύ, ο Ν. 5160/2024 είναι σε πλήρη ισχύ. Η ΕΑΚ έχει την εξουσία να διεξάγει εποπτικές δραστηριότητες, να ζητά πληροφορίες και να επιβάλλει κυρώσεις. Η προθεσμία εγγραφής έχει παρέλθει. Η απαίτηση ορισμού ΥΑΣΠΕ είναι ενεργή. Οι 14 κατηγορίες απαιτήσεων της ΚΥΑ 1689/2025 ορίζουν τη βάση συμμόρφωσης που αναμένεται να ικανοποιείτε τώρα.

Οι απαιτήσεις εφοδιαστικής αλυσίδας αξίζουν ιδιαίτερη προσοχή επειδή είναι σημαντικές υπό το υφιστάμενο πλαίσιο, όχι μόνο υπό τις προτεινόμενες τροποποιήσεις. Ο Ν. 5160/2024 ήδη απαιτεί από τις οντότητες να αξιολογούν και να διαχειρίζονται τους κινδύνους κυβερνοασφάλειας στην αλυσίδα ΤΠΕ τους. Ανάμεσα στους οργανισμούς με τους οποίους συνεργαζόμαστε στην IWH, η αξιολόγηση εφοδιαστικής αλυσίδας είναι σταθερά ο τομέας όπου το χάσμα ανάμεσα σε υποχρέωση και πράξη είναι το μεγαλύτερο. Πολλές ΜμΕ δεν έχουν καμία τεκμηριωμένη διαδικασία αξιολόγησης της στάσης ασφάλειας των τεχνολογικών παρόχων τους, παρότι βασίζονται σε αυτούς για κρίσιμες υποδομές και υπηρεσίες.

Οι διατάξεις περί ευθύνης της διοίκησης δεν πρέπει να αντιμετωπίζονται ως αφηρημένος νομικός κίνδυνος. Ο ελληνικός νόμος απαιτεί ρητά από το διοικητικό όργανο να εγκρίνει τα μέτρα κυβερνοασφάλειας και να λαμβάνει κατάλληλη εκπαίδευση. Αν συμβεί περιστατικό και η έρευνα αποκαλύψει ότι το συμβούλιο δεν ενέκρινε ποτέ επίσημα πολιτική κυβερνοασφάλειας, δεν έλαβε ποτέ ενημέρωση για τη στάση κινδύνου του οργανισμού και δεν διέθεσε ποτέ προϋπολογισμό για μέτρα ασφάλειας, η έκθεση σε προσωπική ευθύνη είναι πραγματική και τεκμηριώσιμη.

Τι Πρέπει να Κάνετε Τώρα

Οι τροποποιήσεις θα κάνουν τελικά ελαφρύτερη τη συμμόρφωση για τους μεσαίους οργανισμούς. Αυτό είναι ευπρόσδεκτο. Οι υποχρεώσεις συμμόρφωσης όμως που είναι εκτελεστές σήμερα, υπό τον Ν. 5160/2024 και την ΚΥΑ 1689/2025, είναι αυτές που μετρούν για κάθε απόφαση που θα πάρετε τους επόμενους 12 έως 18 μήνες. Να πώς μοιάζει αυτό στην πράξη:

1. Επιβεβαιώστε την κατάσταση πεδίου εφαρμογής σας υπό τον Ν. 5160/2024. Προσδιορίστε αν ο οργανισμός σας κατατάσσεται ως βασική ή σημαντική οντότητα με βάση τα κλαδικά κριτήρια και τα όρια μεγέθους του νόμου. Αν πιστεύετε ότι η προτεινόμενη κατηγορία small mid-cap θα σας επανακατέτασσε, σημειώστε το για μελλοντικό σχεδιασμό, αλλά συμμορφωθείτε με την τρέχουσα κατάταξή σας τώρα.

2. Εγγραφείτε στην ΕΑΚ αν δεν το έχετε ήδη κάνει. Η προθεσμία έχει παρέλθει. Η εκπρόθεσμη εγγραφή είναι έλλειμμα συμμόρφωσης· η μη εγγραφή είναι σοβαρότερο ζήτημα που επιδεινώνεται με κάθε μήνα αδράνειας. Η διαδικασία εγγραφής είναι διοικητική, όχι τεχνικά σύνθετη. Δεν υπάρχει υπερασπίσιμος λόγος για περαιτέρω καθυστέρηση.

3. Ορίστε τον ΥΑΣΠΕ σας με τεκμηριωμένα προσόντα κατά την ΚΥΑ 1899/2025. Το άτομο αυτό πρέπει να έχει την τεχνική επάρκεια, την οργανωτική εξουσία και την τεκμηριωμένη εντολή για να εκπληρώσει τον ρόλο. Αν ο τρέχων υπεύθυνος πληροφορικής σας στερείται τα τυπικά προσόντα που προσδιορίζει η ΚΥΑ, εξετάστε εξωτερικό ορισμό ή συμπληρωματική εκπαίδευση. Η ΕΑΚ περιμένει ένα ονομαστικά ορισμένο άτομο, όχι μια αόριστη οργανωτική δέσμευση.

4. Διεξαγάγετε αξιολόγηση κινδύνων κυβερνοασφάλειας ευθυγραμμισμένη με τις 14 κατηγορίες απαιτήσεων της ΚΥΑ 1689/2025. Δεν πρόκειται για γενική αξιολόγηση κινδύνων· πρέπει να καλύπτει τις συγκεκριμένες κατηγορίες που ορίζει το εθνικό πλαίσιο: διακυβέρνηση, διαχείριση κινδύνων, διαχείριση παγίων, έλεγχο πρόσβασης, κρυπτογραφία, ασφάλεια επικοινωνιών, ασφάλεια δικτύου, απόκτηση και ανάπτυξη πληροφοριακών συστημάτων, σχέσεις με προμηθευτές, διαχείριση περιστατικών, επιχειρησιακή συνέχεια, διαχείριση ευπαθειών, αξιολόγηση και δοκιμές ασφάλειας, και ασφάλεια ανθρώπινου δυναμικού. Εντοπίστε τα κενά σας σε κάθε κατηγορία και ιεραρχήστε με βάση κίνδυνο και αντίκτυπο.

5. Τεκμηριώστε τις διαδικασίες απόκρισης σε περιστατικά έναντι του χρονοδιαγράμματος τριών σταδίων της NIS2. Χρειάζεστε ορισμένη διαδικασία για την ανίχνευση σημαντικού περιστατικού, την υποβολή έγκαιρης προειδοποίησης εντός 24 ωρών στην ΕΑΚ, την προετοιμασία αναλυτικής γνωστοποίησης εντός 72 ωρών και την παράδοση τελικής αναφοράς εντός ενός μήνα. Η διαδικασία αυτή πρέπει να είναι τεκμηριωμένη, δοκιμασμένη και κατανοητή από τους ανθρώπους που θα την εκτελούσαν πραγματικά κατά τη διάρκεια περιστατικού. Ένα σχέδιο απόκρισης που υπάρχει μόνο ως PDF σε κοινόχρηστο δίσκο και δεν έχει ποτέ ασκηθεί δεν είναι σχέδιο· είναι ευθύνη.

6. Χαρτογραφήστε την κρίσιμη αλυσίδα ΤΠΕ σας και αξιολογήστε τη στάση ασφάλειάς της. Εντοπίστε κάθε πάροχο που παρέχει ή υποστηρίζει τεχνολογία κρίσιμη για τις λειτουργίες σας: υποδομή cloud, διαχειριζόμενες υπηρεσίες, πλατφόρμες λογισμικού, τηλεπικοινωνίες. Για καθέναν, προσδιορίστε ποια μέτρα ασφάλειας έχει, ποιες συμβατικές υποχρεώσεις διέπουν τις πρακτικές κυβερνοασφάλειάς του και ποια θα ήταν η έκθεσή σας αν υφίστατο σημαντικό περιστατικό. Οι προτεινόμενες τροποποιήσεις θα εισαγάγουν τυποποιημένα ερωτηματολόγια προμηθευτών, αλλά η υποχρέωση αξιολόγησης του κινδύνου εφοδιαστικής αλυσίδας υπάρχει τώρα υπό τον Ν. 5160/2024.

7. Εφαρμόστε αναλογικά τεχνικά μέτρα. Η λέξη «αναλογικά» δεν σημαίνει «ελάχιστα». Σημαίνει κλιμακωμένα στο μέγεθος, την πολυπλοκότητα και το προφίλ κινδύνου του οργανισμού σας. Κατ' ελάχιστο, αυτό περιλαμβάνει:

  • Διαχείριση ταυτότητας και πρόσβασης με την αρχή των ελάχιστων προνομίων
  • Κρυπτογράφηση δεδομένων σε μεταφορά και σε αποθήκευση, ιδίως για ευαίσθητα ή προσωπικά δεδομένα
  • Διαχείριση ευπαθειών: τακτικές σαρώσεις, τεκμηριωμένες διαδικασίες ενημερώσεων και ορισμένα χρονοδιαγράμματα αποκατάστασης
  • Ελέγχους ασφάλειας δικτύου: τμηματοποίηση, παρακολούθηση και τεκμηριωμένες πολιτικές firewall
  • Προστασία τερματικών και παρακολούθηση ασφάλειας κατάλληλη για το περιβάλλον σας
  • Διαδικασίες αντιγράφων ασφαλείας και ανάκαμψης που δοκιμάζονται, όχι απλώς τεκμηριώνονται

8. Ενημερώστε το διοικητικό σας όργανο για τις υποχρεώσεις διακυβέρνησης NIS2 και την έκθεση σε προσωπική ευθύνη. Δεν είναι προαιρετικό και δεν μεταβιβάζεται. Το συμβούλιο ή το διοικητικό όργανο πρέπει να εγκρίνει επίσημα τα μέτρα διαχείρισης κινδύνων κυβερνοασφάλειας του οργανισμού, να λαμβάνει τακτικές αναφορές για τη στάση κυβερνοασφάλειας και τα περιστατικά, και να παρακολουθεί κατάλληλη εκπαίδευση. Τεκμηριώστε κάθε ενημέρωση, κάθε απόφαση και κάθε διάθεση προϋπολογισμού. Αν συμβεί περιστατικό, η ποιότητα της τεκμηρίωσης διακυβέρνησής σας θα είναι εξίσου σημαντική με την ποιότητα των τεχνικών ελέγχων σας.

9. Μην περιμένετε να τεθούν σε ισχύ οι τροποποιήσεις για να δράσετε. Η λογική είναι απλή: αν συμμορφώνεστε με το τρέχον, απαιτητικότερο πλαίσιο, θα ικανοποιείτε αυτόματα τις ελαφρύτερες απαιτήσεις που εισάγουν οι τροποποιήσεις. Οι οργανισμοί που καθυστερούν τη συμμόρφωση εν αναμονή ευνοϊκών αλλαγών στοιχηματίζουν ότι η ΕΑΚ δεν θα ασκήσει την εξουσία επιβολής της στο μεταξύ. Δεδομένου ότι η Ελλάδα έχει επενδύσει σημαντικό πολιτικό κεφάλαιο στο να είναι από τους πρωτοπόρους της ενσωμάτωσης NIS2, δεν είναι στοίχημα με ευνοϊκές πιθανότητες.

Η Ουσία

Οι τροποποιήσεις του Ιανουαρίου 2026 είναι γνήσια καλά νέα για τις ελληνικές ΜμΕ. Ελαφρύτερη κατάταξη για τις μεσαίες εταιρείες, όριο στο εθνικό gold-plating, εξαιρέσεις ελέγχων βάσει πιστοποίησης και, τελικά, ενιαία πύλη αναφοράς: ουσιαστικές βελτιώσεις που θα μειώσουν την τριβή συμμόρφωσης μόλις γίνουν νόμος.

Το «μόλις γίνουν νόμος» όμως σηκώνει μεγάλο βάρος σε αυτή την πρόταση. Η νομοθετική διαδικασία της ΕΕ θα πάρει τουλάχιστον 18 μήνες. Η εθνική ενσωμάτωση άλλους 12 έως 18 μήνες μετά. Το Ενιαίο Σημείο Εισόδου είναι ακόμη πιο μακριά. Καμία από αυτές τις προτάσεις δεν αλλάζει το τι είναι εκτελεστό σήμερα.

Ο Ν. 5160/2024 είναι σε ισχύ. Η ΚΥΑ 1689/2025 ορίζει τη βάση συμμόρφωσης. Η ΕΑΚ λειτουργεί. Οι κυρώσεις, έως 10 εκατομμύρια ευρώ ή 2% του παγκόσμιου κύκλου εργασιών, είναι πραγματικές. Η προσωπική ευθύνη των μελών του διοικητικού οργάνου είναι ρητά κωδικοποιημένη. Και για τις περισσότερες ελληνικές ΜμΕ στο πεδίο εφαρμογής, το ρολόι της συμμόρφωσης ξεκίνησε στα τέλη του 2024.

Οι τροποποιήσεις θα κάνουν το ταξίδι ομαλότερο. Δεν θα κάνουν τον προορισμό προαιρετικό.

Αποποίηση ευθύνης: Το άρθρο αυτό παρέχει γενικές πληροφορίες για την Οδηγία NIS2 και τις προτεινόμενες τροποποιήσεις της. Δεν αποτελεί νομική συμβουλή. Οι οργανισμοί πρέπει να συμβουλεύονται εξειδικευμένους νομικούς και επαγγελματίες κυβερνοασφάλειας για καθοδήγηση ειδική για τις περιστάσεις και τις κανονιστικές υποχρεώσεις τους.