Η NIS2 έφτασε στην Ελλάδα αργά, κομματιαστά, και με λιγότερο θόρυβο από όσο της άξιζε. Το αποτέλεσμα είναι ένας μεγάλος αριθμός οργανισμών που εμπίπτουν στο πεδίο, έχουν υποχρεώσεις από το 2025, και ακόμη δεν είναι σίγουροι αν η οδηγία ισχύει γι' αυτούς. Το κείμενο αυτό είναι για εκείνους: πώς είναι χτισμένο το ελληνικό πλαίσιο, πώς αποφασίζεις αν είσαι μέσα, και πώς μοιάζει μια υπερασπίσιμη εφαρμογή.
Μέρος τρίτο της σειράς The Compliance Architect. Τα μέρη πρώτο και δεύτερο έχτισαν τη ραχοκοκαλιά του ISO 27001· αυτό προσαρτά πάνω της τον Έλληνα ρυθμιστή. Για την οπτική των ΜμΕ, δες και το προηγούμενο κείμενό μας για τις τροποποιήσεις του Ιανουαρίου 2026.
Πώς Φτάσαμε Εδώ
Η προθεσμία μεταφοράς της οδηγίας ήταν η 17η Οκτωβρίου 2024. Η Ελλάδα την έχασε κατά έξι εβδομάδες και μετά κινήθηκε γρήγορα: ο Ν. 5160/2024, που ψηφίστηκε στις 27 Νοεμβρίου 2024, μετέφερε τη NIS2 και σύστησε την Εθνική Αρχή Κυβερνοασφάλειας (ΕΑΚ), εντός του Υπουργείου Ψηφιακής Διακυβέρνησης, ως αρμόδια αρχή τόσο για τις βασικές όσο και για τις σημαντικές οντότητες. Ο νόμος όρισε πεδίο, ταξινόμηση, καθήκοντα διακυβέρνησης, αναφορά περιστατικών και το πλαίσιο κυρώσεων, και άφησε την τεχνική λεπτομέρεια στη δευτερογενή νομοθεσία.
Η λεπτομέρεια ήρθε τον Μάιο του 2025. Η ΚΥΑ 1689/2025 θέσπισε το Εθνικό Πλαίσιο Απαιτήσεων Κυβερνοασφάλειας: το συγκεκριμένο σύνολο μέτρων, ομαδοποιημένων σε δεκατέσσερις κατηγορίες απαιτήσεων, που κάθε εγγεγραμμένη οντότητα πρέπει να εφαρμόζει και να μπορεί να τεκμηριώσει. Μαζί με τον νόμο, είναι η ελληνική βάση συμμόρφωσης. Την ίδια περίοδο η Επιτροπή, εξετάζοντας τη μεταφορά σε όλη την Ένωση, έστειλε αιτιολογημένες γνώμες σε δεκαεννέα κράτη μέλη για ελλιπή μεταφορά, και η Ελλάδα ήταν στη λίστα παρά τον νόμο: η κοινοποίηση κρίθηκε ελλιπής μέχρι να υπάρξουν οι εκτελεστικές πράξεις. Αυτή είναι η «προειδοποίηση» του αρχικού τίτλου αυτού του άρθρου. Αφορούσε χαρτιά ανάμεσα σε Αθήνα και Βρυξέλλες, όχι αναστολή για όποιον βρίσκεται στο πεδίο.
Η εγγραφή στην ΕΑΚ επιβλήθηκε με προθεσμία που μετατέθηκε πάνω από μία φορά και τελικά προσγειώθηκε τον Σεπτέμβριο του 2025. Οι οντότητες έπρεπε να αυτοπροσδιοριστούν, να αυτοταξινομηθούν ως βασικές ή σημαντικές, και να δώσουν στοιχεία επικοινωνίας και τομέα. Αν δεν εγγράφηκες, δεν έφυγες από το πεδίο· πρόσθεσες μια παράλειψη εγγραφής στη λίστα των πραγμάτων για τα οποία μπορεί να ενεργήσει η αρχή.
Τέλος, στις 20 Ιανουαρίου 2026 η Επιτροπή πρότεινε στοχευμένες τροποποιήσεις της οδηγίας στο πλαίσιο πακέτου απλούστευσης. Η πιο σημαντική για την Ελλάδα είναι μια κατηγορία «μικρών εταιρειών μεσαίας κεφαλαιοποίησης»: οντότητες κάτω από 750 εργαζόμενους και 150 εκατομμύρια ευρώ κύκλο εργασιών θα ταξινομούνταν ως σημαντικές αντί για βασικές ανεξαρτήτως τομέα. Πρόκειται για προτάσεις, όχι νόμο, και αλλάζουν το καθεστώς εποπτείας, όχι τις υποχρεώσεις. Σχεδίαζε με βάση το ισχύον κείμενο.
Είσαι στο Πεδίο;
Τρεις ερωτήσεις, με τη σειρά. Η περισσότερη σύγχυση που συναντώ προέρχεται από το ότι απαντώνται με λάθος σειρά.
1. Τομέας
Το Παράρτημα Ι της οδηγίας απαριθμεί τους τομείς υψηλής κρισιμότητας: ενέργεια, μεταφορές, τράπεζες, υποδομές χρηματοπιστωτικών αγορών, υγεία, πόσιμο νερό, λύματα, ψηφιακές υποδομές, διαχείριση υπηρεσιών ΤΠΕ (B2B), δημόσια διοίκηση και διάστημα. Το Παράρτημα ΙΙ απαριθμεί τους άλλους κρίσιμους τομείς: ταχυδρομικές υπηρεσίες, διαχείριση αποβλήτων, χημικά, τρόφιμα, μεταποίηση ορισμένων προϊόντων (ιατροτεχνολογικά, υπολογιστές και ηλεκτρονικά, ηλεκτρολογικός εξοπλισμός, μηχανήματα, οχήματα), ψηφιακοί πάροχοι (αγορές, μηχανές αναζήτησης, κοινωνικά δίκτυα) και έρευνα. Ο Ν. 5160/2024 ακολουθεί τα παραρτήματα και προσθέτει με δικούς του όρους φορείς του ελληνικού δημόσιου τομέα. Αν η δραστηριότητά σου δεν είναι σε κανένα από τα δύο παραρτήματα, και δεν είσαι ορισμένος δημόσιος φορέας, είσαι εκτός, όποιο κι αν είναι το μέγεθός σου.
2. Μέγεθος
Μέσα σε έναν τομέα της λίστας, εφαρμόζεται το όριο μεγέθους: οι μεσαίες επιχειρήσεις και άνω είναι μέσα. Μεσαία σημαίνει τουλάχιστον 50 εργαζόμενους ή ετήσιο κύκλο εργασιών και ισολογισμό πάνω από 10 εκατομμύρια ευρώ. Κάτω από αυτό είσαι εκτός, με σημαντικές εξαιρέσεις: οι πάροχοι DNS, τα μητρώα TLD, οι υπηρεσίες εμπιστοσύνης, τα δημόσια δίκτυα ηλεκτρονικών επικοινωνιών, και οι οντότητες που ένα κράτος μέλος ορίζει λόγω της κρισιμότητάς τους είναι μέσα ανεξαρτήτως μεγέθους. Οι όμιλοι μετρούν σε επίπεδο ομίλου όπου η επιχείρηση δεν είναι αυτόνομη, κάτι που πιάνει πολλές ελληνικές θυγατρικές μεγαλύτερων οργανισμών.
3. Βασική ή σημαντική
Οι μεγάλες επιχειρήσεις (250 εργαζόμενοι και άνω, ή κύκλος εργασιών πάνω από 50 εκατομμύρια ευρώ και ισολογισμός πάνω από 43 εκατομμύρια) σε τομείς του Παραρτήματος Ι είναι βασικές. Όλοι οι άλλοι στο πεδίο είναι σημαντικοί, με τις ίδιες εξαιρέσεις ανεξαρτήτως μεγέθους. Η ταξινόμηση μετράει για δύο πράγματα: την εποπτεία (οι βασικές οντότητες αντιμετωπίζουν προληπτική, εκ των προτέρων εποπτεία με ελέγχους και επιθεωρήσεις με πρωτοβουλία της αρχής· οι σημαντικές εποπτεύονται εκ των υστέρων, μετά από περιστατικό ή καταγγελία) και τα πρόστιμα (έως 10 εκατομμύρια ευρώ ή 2 τοις εκατό του παγκόσμιου κύκλου εργασιών για τις βασικές, 7 εκατομμύρια ή 1,4 τοις εκατό για τις σημαντικές).
Αν είσαι προμηθευτής οντότητας στο πεδίο, δεν είσαι στο πεδίο μέσω αυτής. Θα λάβεις όμως τις απαιτήσεις εφοδιαστικής αλυσίδας της κατά το άρθρο 21(2)(δ), και στην πράξη αυτό σημαίνει ερωτηματολόγιο, συμβατικές ρήτρες και, όλο και συχνότερα, αίτημα για το πιστοποιητικό ISO 27001 σου. Το επόμενο κείμενο καλύπτει την ίδια δυναμική κάτω από τον DORA, όπου είναι πολύ πιο λεπτομερής.
Τι Απαιτεί Πραγματικά ο Νόμος
Απογύμνωσε το πλαίσιο σε ό,τι πρέπει να μπορεί να δείξει μια ελληνική οντότητα στην ΕΑΚ, και καταλήγει σε πέντε πράγματα.
Διακυβέρνηση και ευθύνη διοίκησης
Άρθρο 20 της οδηγίας, μεταφερμένο στον ελληνικό νόμο: το διοικητικό όργανο εγκρίνει τα μέτρα διαχείρισης κινδύνων κυβερνοασφάλειας, εποπτεύει την εφαρμογή τους, και μπορεί να θεωρηθεί υπεύθυνο για παραβάσεις. Τα μέλη πρέπει να παρακολουθούν εκπαίδευση, και η οντότητα πρέπει να προσφέρει ανάλογη εκπαίδευση στο προσωπικό. Στην πράξη: απόφαση ΔΣ που εγκρίνει τα μέτρα, πρακτικά που δείχνουν εποπτεία τουλάχιστον ετησίως, αρχείο εκπαίδευσης για κάθε μέλος ΔΣ, και ένα κατονομασμένο πρόσωπο υπεύθυνο για την ασφάλεια πληροφοριών του οποίου την ταυτότητα γνωρίζει η αρχή. Το ελληνικό πλαίσιο περιμένει αυτός ο ρόλος να υπάρχει και να δηλώνεται· αντιμετώπισέ τον ως τη λειτουργία CISO, είτε χρησιμοποιείς τον τίτλο είτε όχι.
Τα δέκα μέτρα του άρθρου 21(2)
Πολιτικές ανάλυσης κινδύνων και ασφάλειας πληροφοριακών συστημάτων· χειρισμός περιστατικών· επιχειρησιακή συνέχεια, αντίγραφα ασφαλείας και διαχείριση κρίσεων· ασφάλεια εφοδιαστικής αλυσίδας· ασφάλεια στην απόκτηση, ανάπτυξη και συντήρηση, συμπεριλαμβανομένου του χειρισμού ευπαθειών· πολιτικές αξιολόγησης της αποτελεσματικότητας των μέτρων· κυβερνοϋγιεινή και εκπαίδευση· κρυπτογραφία· ασφάλεια ανθρώπινου δυναμικού, έλεγχος πρόσβασης και διαχείριση παγίων· και πολυπαραγοντική ταυτοποίηση, ασφαλείς επικοινωνίες και ασφαλείς επικοινωνίες έκτακτης ανάγκης. Το ελληνικό πλαίσιο απαιτήσεων τα επαναδιατυπώνει σε δεκατέσσερις κατηγορίες με πιο συγκεκριμένες προσδοκίες. Αν τρέχεις ISO 27001:2022, ήδη εφαρμόζεις καθένα από αυτά· η δουλειά είναι η αντιστοίχιση και η κάλυψη των λίγων σημείων όπου το ελληνικό πλαίσιο είναι πιο συγκεκριμένο από το πρότυπο.
Αναφορά περιστατικών
Το άρθρο 23 ορίζει το χρονοδιάγραμμα τριών σταδίων για το οποίο είναι γνωστή η NIS2. Για σημαντικό περιστατικό: έγκαιρη προειδοποίηση προς την ΕΑΚ και το εθνικό CSIRT εντός 24 ωρών από τη στιγμή που λαμβάνεις γνώση, με δήλωση αν υπάρχει υποψία κακόβουλης ενέργειας και αν υπάρχει διασυνοριακός αντίκτυπος· κοινοποίηση περιστατικού εντός 72 ωρών που ενημερώνει την έγκαιρη προειδοποίηση με αρχική εκτίμηση σοβαρότητας και αντικτύπου και δείκτες παραβίασης· και τελική έκθεση εντός ενός μήνα, με βασική αιτία, μετριασμό και διασυνοριακό αντίκτυπο. Ενδιάμεσες εκθέσεις κατόπιν αιτήματος. «Σημαντικό» σημαίνει περιστατικό που προκάλεσε ή μπορεί να προκαλέσει σοβαρή λειτουργική διαταραχή ή οικονομική ζημία, ή σημαντική ζημία σε τρίτους. Το κατώφλι δεν είναι υψηλό, και το ρολόι των 24 ωρών ξεκινά από τη γνώση, όχι από την επιβεβαίωση.
Εγγραφή και υποχρεώσεις ενημέρωσης
Η εγγραφή που περιγράφηκε παραπάνω, επίκαιρη: αλλαγές σε στοιχεία επικοινωνίας, ταξινόμηση και τομέα πρέπει να κοινοποιούνται. Η αρχή μπορεί επίσης να ζητήσει πληροφορίες για να επαληθεύσει τη συμμόρφωση, και για βασικές οντότητες μπορεί να διατάξει ελέγχους με δικά σου έξοδα.
Τεκμήρια
Τίποτα από τα παραπάνω δεν μετράει αν δεν μπορεί να δειχθεί. Το ελληνικό πλαίσιο είναι γραμμένο με όρους μέτρων που εφαρμόζονται και τεκμηριώνονται· η εποπτεία, όταν έρθει, είναι αίτημα για τεκμήρια απέναντι στις δεκατέσσερις κατηγορίες. Ένας οργανισμός που μπορεί να παρουσιάσει την εκτίμηση κινδύνου, τα μέτρα, το αρχείο περιστατικών και τα αρχεία εκπαίδευσης μέσα σε μια μέρα βρίσκεται σε διαφορετική συζήτηση με την αρχή από έναν που χρειάζεται τρεις εβδομάδες.
Μια Υπερασπίσιμη Εφαρμογή
Αυτή είναι η ακολουθία που χρησιμοποιώ με Έλληνες πελάτες, και επαναχρησιμοποιεί σκόπιμα τη δομή ISO από το προηγούμενο κείμενο.
- Υπόμνημα πεδίου. Μία σελίδα, υπογεγραμμένη από τη διοίκηση, που καταγράφει την ανάλυση τομέα, μεγέθους και ταξινόμησης, τις νομικές οντότητες που περιλαμβάνονται, και την ημερομηνία εγγραφής στην ΕΑΚ. Αν κατέληξες ότι είσαι εκτός πεδίου, γράψε το υπόμνημα ούτως ή άλλως· είναι η υπεράσπισή σου αν η αρχή διαφωνήσει.
- Πακέτο διακυβέρνησης. Απόφαση ΔΣ που εγκρίνει τα μέτρα· ορισμός του υπεύθυνου προσώπου· σχέδιο εκπαίδευσης για το ΔΣ με ημερομηνίες και τεκμήρια· ετήσιο θέμα εποπτείας στο ημερολόγιο του ΔΣ.
- Εκτίμηση κινδύνου στην υπάρχουσα μεθοδολογία σου, με κάθε μέτρο αντιμετώπισης αντιστοιχισμένο στο μέτρο του άρθρου 21(2) και στην κατηγορία του ελληνικού πλαισίου που εξυπηρετεί. Ένα μητρώο, μία επιπλέον στήλη.
- Αντιστοίχιση μέτρων. Πάρε τις δεκατέσσερις κατηγορίες του ελληνικού πλαισίου, απαρίθμησε τους ελέγχους ISO 27001 που υλοποιούν καθεμία, και κατέγραψε πού η ελληνική απαίτηση είναι πιο συγκεκριμένη. Από την εμπειρία μου οι συγκεκριμένες προσθήκες συγκεντρώνονται στην αναφορά περιστατικών, τον υπεύθυνο ρόλο, την κάλυψη MFA και τους συμβατικούς όρους εφοδιαστικής αλυσίδας. Αυτά είναι τα μόνα νέα έγγραφα που χρειάζεσαι.
- Διαδικασία περιστατικών με ενσωματωμένο το ρολόι της NIS2. Το βήμα ταξινόμησης πρέπει να παράγει ναι ή όχι στο «σημαντικό» μέσα σε ώρες, και το υπόδειγμα έγκαιρης προειδοποίησης 24 ωρών πρέπει να είναι προσυμπληρωμένο με όλα όσα ζητά η ΕΑΚ. Κάνε πρόβα. Η πρώτη φορά που θα συμπληρώσεις τη φόρμα δεν πρέπει να είναι κατά τη διάρκεια περιστατικού.
- Εφοδιαστική αλυσίδα. Εντόπισε τους προμηθευτές των οποίων η αποτυχία θα προκαλούσε σημαντικό περιστατικό, απαίτησε όρους ασφάλειας στις συμβάσεις τους, και αξιολόγησέ τους. Αυτό είναι ISO 5.19 έως 5.22 με ετικέτα NIS2.
- Πακέτο τεκμηρίων. Ένας φάκελος, ή καλύτερα ένα σύστημα, που κρατά τα αποτελέσματα των παραπάνω με ημερομηνίες. Αυτό είναι που παραδίδεις στην αρχή.
Χρόνος: για οργανισμό με λειτουργικό ΣΔΑΠ ISO 27001, τέσσερις με οκτώ εβδομάδες. Για έναν που ξεκινά από το μηδέν, έξι με εννέα μήνες, και το περισσότερο από αυτό είναι το ΣΔΑΠ, όχι το στρώμα NIS2.
Τι θα Κοιτάξει Πρώτα η ΕΑΚ
Η εποπτεία στην Ελλάδα είναι νέα, και η ικανότητα της αρχής πεπερασμένη. Η ρεαλιστική προσδοκία για το 2026 και το 2027 είναι ότι η προσοχή πηγαίνει πρώτα σε βασικές οντότητες, σε τομείς με ορατά περιστατικά, και σε οντότητες που παρέλειψαν να εγγραφούν. Όταν έρθει, τα πρώτα αιτήματα θα αφορούν όσα είναι φθηνό να ελεγχθούν: στοιχεία εγγραφής, την έγκριση της διοίκησης, το υπεύθυνο πρόσωπο, το αρχείο εκπαίδευσης, το αρχείο περιστατικών, και αν τα σημαντικά περιστατικά αναφέρθηκαν εγκαίρως. Αυτά είναι ακριβώς τα στοιχεία του πακέτου διακυβέρνησης παραπάνω. Κάν' τα σωστά και η τεχνική συζήτηση ξεκινά σε καλύτερη βάση.
Κλείσιμο
Η NIS2 στην Ελλάδα δεν είναι νέος κλάδος. Είναι ISO 27001 με ρυθμιστή, φόρμα εγγραφής, ρολόι 24 ωρών και πίνακα προστίμων. Οι οργανισμοί που ήδη τρέχουν πραγματικό πρόγραμμα ασφάλειας θα έπρεπε να ξοδεύουν την προσπάθειά τους στην αντιστοίχιση και τα τεκμήρια, όχι σε ανακατασκευή. Οι οργανισμοί που δεν τρέχουν θα πρέπει να καταλάβουν ότι η οδηγία είναι σε ισχύ εδώ από το 2025, ότι η αρχή ξέρει ποιος εγγράφηκε και ποιος όχι, και ότι το «δεν ήμασταν σίγουροι αν ίσχυε για εμάς» είναι μια πρόταση χωρίς καμία απολύτως νομική βαρύτητα.