Reglyze
← Επιστροφή στο Reglyze
Εναρμονίστηκε και εφαρμόζεται

NIS 2: Κύπρος, άρθρο 35 του Ν. 89(Ι)/2020

Μέτρα διαχείρισης κινδύνων στον τομέα της κυβερνοασφάλειας: άρθρο 35 του Ν. 89(Ι)/2020. Το άρθρο 35 ορίζει δέκα μέτρα, τα οποία δύναται να καθοριστούν σε Απόφαση που εκδίδει η Αρχή (άρθρο 35(2)). Το Reglyze αξιολογεί τις οντότητες στην Κύπρο βάσει των απαιτήσεων της Οδηγίας NIS 2 και όχι μέτρο προς μέτρο έναντι κυπριακού καταλόγου.

Κατάσταση: σε ισχύ από τις 25 Απριλίου 2025, όπως αντικαταστάθηκε από τον Ν. 60(Ι)/2025· Απόφαση της Αρχής για τα μέτρα δυνάμει του νόμου όπως τροποποιήθηκε δεν εντοπίστηκε έως τις 30 Οκτωβρίου 2026

Τα βασικά με μια ματιά

Νόμος εναρμόνισης

Ο περί Ασφάλειας Δικτύων και Συστημάτων Πληροφοριών Νόμος του 2020 (Ν. 89(Ι)/2020), όπως τροποποιήθηκε από τον περί Ασφάλειας Δικτύων και Συστημάτων Πληροφοριών (Τροποποιητικό) Νόμο του 2025 (Ν. 60(Ι)/2025)

Σε ισχύ από: 2025-04-25

Αρμόδια αρχή

Αρχή Ψηφιακής Ασφάλειας (DSA)

https://dsa.cy/legislation/laws
Μέτρα διαχείρισης κινδύνων

άρθρο 35 του Ν. 89(Ι)/2020

Δέκα μέτρα (άρθρο 35(2)), από τις πολιτικές για την ανάλυση κινδύνου και την ασφάλεια των πληροφοριακών συστημάτων και την ασφάλεια της αλυσίδας εφοδιασμού έως τις βασικές πρακτικές κυβερνοϋγιεινής (cyber hygiene), την κατάρτιση στην κυβερνοασφάλεια και τη χρήση λύσεων πολυπαραγοντικής επαλήθευσης ταυτότητας (multi-factor authentication). Η Αρχή εφαρμόζει τυχόν εκτελεστικές πράξεις της Επιτροπής για τα μέτρα (άρθρο 35(5)). Δύο Αποφάσεις του νόμου του 2020 εξακολουθούν να ισχύουν μέχρι την κατάργηση ή αντικατάστασή τους (άρθρο 55(3)): η Κ.Δ.Π. 389/2020 και η Κ.Δ.Π. 245/2024.

Ποιους αφορά;

βασικές οντότητες

Οντότητες των τύπων του Παραρτήματος Ι που υπερβαίνουν τα ανώτατα όρια για τις μεσαίες επιχειρήσεις· εγκεκριμένοι παροχείς υπηρεσιών εμπιστοσύνης, μητρώα ονομάτων τομέα ανωτάτου επιπέδου και παροχείς υπηρεσιών DNS, ανεξάρτητα από το μέγεθός τους· παροχείς δημόσιων δικτύων ηλεκτρονικών επικοινωνιών ή διαθέσιμων στο κοινό υπηρεσιών ηλεκτρονικών επικοινωνιών που χαρακτηρίζονται ως μεσαίες επιχειρήσεις· οντότητες δημόσιας διοίκησης της κεντρικής κυβέρνησης· οντότητες που προσδιορίζει η Αρχή· κρίσιμες οντότητες· και οι οντότητες που η Αρχή όρισε, πριν από την 16η Ιανουαρίου 2023, ως φορείς εκμετάλλευσης βασικών υπηρεσιών ή ως φορείς κρίσιμων υποδομών πληροφοριών, ανεξαρτήτως μεγέθους (άρθρο 27(1)(α)). Κάθε οντότητα ορίζεται με Απόφαση που εκδίδει η Αρχή και η οποία επιδίδεται σε αυτήν (άρθρο 27(8)).

σημαντικές οντότητες

Οι οντότητες των τύπων που αναφέρονται στο Παράρτημα Ι ή ΙΙ, οι οποίες δεν θεωρούνται βασικές οντότητες (άρθρο 27(2)). Ο γενικός κανόνας είναι το μέγεθος: δημόσιες ή ιδιωτικές οντότητες που χαρακτηρίζονται ως μεσαίες επιχειρήσεις ή υπερβαίνουν τα ανώτατα όρια για τις μεσαίες επιχειρήσεις και παρέχουν τις υπηρεσίες τους ή ασκούν τις δραστηριότητές τους εντός της Ένωσης (άρθρο 2Α(1)(α)). Ανεξαρτήτως μεγέθους, ο νόμος εφαρμόζεται και στους παροχείς δημόσιων δικτύων ή υπηρεσιών ηλεκτρονικών επικοινωνιών, στους παροχείς υπηρεσιών εμπιστοσύνης, στα μητρώα ονομάτων TLD και στους παροχείς υπηρεσιών DNS (άρθρο 2Α(2)(α)) και στις κρίσιμες οντότητες (άρθρο 2Α(3)). Κάθε οντότητα ορίζεται με Απόφαση που εκδίδει η Αρχή και η οποία επιδίδεται σε αυτήν (άρθρο 27(8)).

Προηγούμενο καθεστώς: ο Ν. 89(Ι)/2020, ο οποίος κατάργησε τον περί Ασφάλειας Δικτύων και Συστημάτων Πληροφοριών Νόμο του 2018 (άρθρο 56) και τον οποίο ο Ν. 60(Ι)/2025 τροποποίησε χωρίς να τον αντικαταστήσει· οι Αποφάσεις και οι Κανονισμοί που έχουν εκδοθεί δυνάμει του νόμου του 2020 εξακολουθούν να ισχύουν μέχρι την κατάργηση ή αντικατάστασή τους (άρθρο 55(3)). Τα κριτήρια μεγέθους είναι της Σύστασης 2003/361/ΕΚ, χωρίς εθνικό όριο μεγέθους (άρθρο 2Α(1)(α)). Τα Παραρτήματα Ι και ΙΙ του νόμου ακολουθούν τους τομείς και τους τύπους οντοτήτων της Οδηγίας.

Βασικές προθεσμίες

2025-04-25

Ο Ν. 60(Ι)/2025 τίθεται σε ισχύ από την ημερομηνία της δημοσίευσής του στην Επίσημη Εφημερίδα της Δημοκρατίας (άρθρο 57(1) του Ν. 60(Ι)/2025). Μόνο το άρθρο 8 του Ν. 60(Ι)/2025, που διαγράφει το Συμβούλιο Επιλογής και Προαγωγών της Αρχής, τίθεται σε ισχύ σε ημερομηνία που καθορίζει το Υπουργικό Συμβούλιο (άρθρο 57(2) του Ν. 60(Ι)/2025, όπως διορθώθηκε στις 25 Ιουνίου 2025).

2025-10-08

Η Ευρωπαϊκή Επιτροπή κλείνει τη διαδικασία επί παραβάσει INFR(2024)0259 κατά της Κύπρου, μετά την προειδοποιητική επιστολή της 27ης Νοεμβρίου 2024 και την αιτιολογημένη γνώμη της 7ης Μαΐου 2025.

2026-07-03

Η Κ.Δ.Π. 281/2026, η Απόφαση της Αρχής για την κοινοποίηση περιστατικών, τίθεται σε ισχύ από την ημερομηνία δημοσίευσής της και καταργεί και αντικαθιστά την Απόφαση του 2022 (Κ.Δ.Π. 281/2026, άρθρα 13 και 14).

Έναρξη ισχύος της Απόφασης ή ορισμός + 20 εργάσιμες ημέρες

Οι οντότητες κοινοποιούν στην Αρχή τα στοιχεία των ατόμων που είναι αρμόδια για την υποβολή των κοινοποιήσεων, με τηλέφωνα μόνιμα διαθέσιμα (24/7), μέσα σε διάστημα είκοσι (20) εργάσιμων ημερών από την έναρξη ισχύος της Απόφασης ή από την ημερομηνία ορισμού τους ως βασική ή σημαντική οντότητα (Κ.Δ.Π. 281/2026, άρθρο 10(2)).

Αλλαγή στοιχείων + 2 εβδομάδες

Οι οντότητες του καταλόγου κοινοποιούν τυχόν αλλαγές στα στοιχεία τους αμελλητί και, σε κάθε περίπτωση, εντός δύο (2) εβδομάδων από την ημερομηνία της αλλαγής (άρθρο 27(4)).

Αλλαγή στοιχείων μητρώου + 3 μήνες

Οι οντότητες του μητρώου της Αρχής κοινοποιούν τυχόν αλλαγές αμελλητί και, σε κάθε περίπτωση, εντός τριών (3) μηνών από την ημερομηνία πραγματοποίησης της αλλαγής (άρθρο 37Α(3)).

Τελική έκθεση + 24 μήνες

Οι οντότητες οφείλουν να διατηρούν τις σχετικές πληροφορίες για είκοσι τέσσερις (24) μήνες από την ημερομηνία υποβολής της τελικής έκθεσης στην Αρχή (Κ.Δ.Π. 281/2026, άρθρο 9).

Κάθε σημαντικό περιστατικό κοινοποιείται αμελλητί στην Αρχή Ψηφιακής Ασφάλειας (άρθρο 35Β(1)(α)), η οποία διαβιβάζει την κοινοποίηση στο εθνικό CSIRT με την παραλαβή της (άρθρο 35Β(1)(ε)). Από τη στιγμή που η οντότητα αντιλήφθηκε το σημαντικό περιστατικό: ενημέρωση (έγκαιρη προειδοποίηση) χωρίς αδικαιολόγητη καθυστέρηση και σε κάθε περίπτωση εντός έξι (6) ωρών (άρθρο 35Β(4)(α)), και κοινοποίηση περιστατικού εντός εβδομήντα δύο (72) ωρών (άρθρο 35Β(4)(β)), για τον παροχέα υπηρεσιών εμπιστοσύνης εντός είκοσι τεσσάρων (24) ωρών (άρθρο 35Β(4)(στ)). Τελική έκθεση το αργότερο μέσα σε ένα μήνα μετά από την υποβολή της κοινοποίησης περιστατικού (άρθρο 35Β(4)(δ)). Σε περίπτωση εν εξελίξει περιστατικού κατά τον χρόνο υποβολής της τελικής έκθεσης, έκθεση προόδου κάθε δεκαπέντε (15) ημέρες και τελική έκθεση εντός δεκαπέντε (15) ημερών από την αποκατάσταση της λειτουργίας του δικτύου ή του πληροφοριακού συστήματος που επηρεάστηκε (άρθρο 35Β(4)(ε)).

Τομείς προτεραιότητας

Ηλεκτρονικές επικοινωνίες, υπηρεσίες εμπιστοσύνης, TLD, DNS και καταχώριση ονομάτων τομέα

Οι παροχείς δημόσιων δικτύων ή υπηρεσιών ηλεκτρονικών επικοινωνιών, οι παροχείς υπηρεσιών εμπιστοσύνης, τα μητρώα ονομάτων TLD και οι παροχείς υπηρεσιών DNS εμπίπτουν στον νόμο ανεξαρτήτως μεγέθους (άρθρο 2Α(2)(α)). Οι εγκεκριμένοι παροχείς υπηρεσιών εμπιστοσύνης, τα μητρώα ονομάτων TLD και οι παροχείς υπηρεσιών DNS είναι βασικές οντότητες ανεξάρτητα από το μέγεθός τους (άρθρο 27(1)(α)(ii)). Ο παροχέας υπηρεσιών εμπιστοσύνης υποβάλλει την κοινοποίηση περιστατικού εντός είκοσι τεσσάρων (24) ωρών, μετά την ίδια ενημέρωση των έξι (6) ωρών (άρθρο 35Β(4)(στ)). Οι οντότητες που παρέχουν υπηρεσίες καταχώρισης ονομάτων τομέα εμπίπτουν στον νόμο ανεξαρτήτως μεγέθους (άρθρο 2Α(4)), χωρίς να είναι τύπος του Παραρτήματος Ι ή ΙΙ: περιλαμβάνονται στον κατάλογο (άρθρο 27(3)) και στο μητρώο της Αρχής (άρθρο 37Α) και τηρούν βάση δεδομένων καταχώρισης (άρθρο 38Α), ενώ τα άρθρα 35 και 35Β δεσμεύουν τις βασικές και σημαντικές οντότητες.

Δημόσια διοίκηση: κεντρική κυβέρνηση, ευρύτερος δημόσιος τομέας και τοπικό επίπεδο

Οι οντότητες δημόσιας διοίκησης της κεντρικής κυβέρνησης είναι βασικές οντότητες (άρθρο 27(1)(α)(iv)). Ο νόμος δεν έχει περιφερειακό επίπεδο: στη θέση του βρίσκεται ο ευρύτερος δημόσιος τομέας, δηλαδή οι ανεξάρτητες υπηρεσίες που δεν περιλαμβάνονται στον προϋπολογισμό της Δημοκρατίας, τα νομικά πρόσωπα δημοσίου δικαίου και οι οντότητες δημοσίου δικαίου που δεν αποτελούν μέρος της κεντρικής κυβέρνησης (άρθρο 3(1)). Εμπίπτει στον νόμο όταν, μετά από αξιολόγηση κινδύνου, παρέχει υπηρεσίες των οποίων η διατάραξη δύναται να έχει σημαντικό αντίκτυπο σε κρίσιμες κοινωνικές ή οικονομικές δραστηριότητες (άρθρο 2Α(2)(στ)). Τηρουμένων των διατάξεων του εδαφίου (7) του άρθρου 27, ο νόμος εφαρμόζεται σε οντότητες δημόσιας διοίκησης σε τοπικό επίπεδο και δύναται να εφαρμόζεται σε εκπαιδευτικά ιδρύματα, ειδικότερα όταν διεξάγουν κρίσιμες ερευνητικές δραστηριότητες (άρθρο 2Α(5)). Ο ευρύτερος δημόσιος τομέας και το τοπικό επίπεδο είναι σημαντικές οντότητες, εκτός αν οριστούν βασικές (άρθρο 27(2)). Η δικαστική εξουσία, η Βουλή των Αντιπροσώπων και η Κεντρική Τράπεζα της Κύπρου δεν είναι οντότητες δημόσιας διοίκησης (άρθρο 3(1)). Με την επιφύλαξη των διατάξεων του εδαφίου (4) του άρθρου 2, ο νόμος δεν εφαρμόζεται σε οντότητες δημόσιας διοίκησης οι οποίες ασκούν τις δραστηριότητές τους στους τομείς της εθνικής ασφάλειας, της δημόσιας τάξης, της άμυνας ή της επιβολής του νόμου (άρθρο 2(2)(β)). Τα μέτρα επιβολής του άρθρου 36Α(5) δεν εφαρμόζονται σε φορείς δημόσιας διοίκησης.

Φορείς εκμετάλλευσης βασικών υπηρεσιών και φορείς κρίσιμων υποδομών πληροφοριών

Οι οντότητες που η Αρχή όρισε, πριν από την 16η Ιανουαρίου 2023, ως φορείς εκμετάλλευσης βασικών υπηρεσιών ή ως φορείς κρίσιμων υποδομών πληροφοριών, σύμφωνα με τις Αποφάσεις του Επιτρόπου ημερ. 17/08/2020 και 08/11/2021, είναι βασικές οντότητες ανεξαρτήτως μεγέθους (άρθρο 27(1)(α)(vii)). Η Οδηγία το επιτρέπει για τους φορείς εκμετάλλευσης βασικών υπηρεσιών, και ο κυπριακός νόμος προσθέτει τους φορείς κρίσιμων υποδομών πληροφοριών. Σε αυτούς απευθύνεται και η Κ.Δ.Π. 389/2020, το πλαίσιο των ελάχιστων μέτρων ασφάλειας δικτύων και συστημάτων πληροφοριών: αξιολόγηση κινδύνων σε ετήσια βάση (Κ.Δ.Π. 389/2020, άρθρο 6(1)), σχέδια επιχειρησιακής συνέχειας (Κ.Δ.Π. 389/2020, άρθρο 6(2)), υπεύθυνος για την ασφάλεια δικτύων και συστημάτων πληροφοριών (Κ.Δ.Π. 389/2020, άρθρο 12(2)) και τεκμηρίωση προς την Αρχή ετήσια ή και κατόπιν αιτήματος (Κ.Δ.Π. 389/2020, άρθρο 13(1)).

Παροχείς διαχειριζόμενων υπηρεσιών και αλυσίδα εφοδιασμού

Οι παροχείς διαχειριζόμενων υπηρεσιών και οι παροχείς διαχειριζόμενων υπηρεσιών ασφαλείας είναι τύπος του Παραρτήματος Ι και κρίνονται με το μέγεθος: μικρή επιχείρηση μένει εκτός νόμου, εκτός αν η Αρχή την προσδιορίσει για λόγο του άρθρου 2Α(2)(β) έως (ε), όπως όταν είναι ο μοναδικός παροχέας στη Δημοκρατία υπηρεσίας η οποία είναι ουσιώδης για τη διατήρηση κρίσιμων κοινωνικών ή οικονομικών δραστηριοτήτων. Ακόμη και τότε η ασφάλειά της αφορά τους πελάτες της: οι βασικές και σημαντικές οντότητες λαμβάνουν υπόψη τις ευπάθειες που χαρακτηρίζουν κάθε άμεσο προμηθευτή και πάροχο υπηρεσιών (άρθρο 35(3)).

Συχνές ερωτήσεις

Ισχύει η NIS 2 στην Κύπρο;
Ναι, από τις 25 Απριλίου 2025. Ο Ν. 60(Ι)/2025 τροποποίησε τον περί Ασφάλειας Δικτύων και Συστημάτων Πληροφοριών Νόμο του 2020 (Ν. 89(Ι)/2020) και τίθεται σε ισχύ από την ημερομηνία της δημοσίευσής του στην Επίσημη Εφημερίδα της Δημοκρατίας (άρθρο 57(1) του Ν. 60(Ι)/2025). Μόνο το άρθρο 8 του Ν. 60(Ι)/2025, που διαγράφει το Συμβούλιο Επιλογής και Προαγωγών της Αρχής, τίθεται σε ισχύ σε ημερομηνία που καθορίζει το Υπουργικό Συμβούλιο (άρθρο 57(2) του Ν. 60(Ι)/2025, όπως διορθώθηκε στις 25 Ιουνίου 2025), και δεν αφορά τις οντότητες. Η Κ.Δ.Π. 281/2026 για την κοινοποίηση περιστατικών ισχύει από τις 3 Ιουλίου 2026. Η Ευρωπαϊκή Επιτροπή έκλεισε τη διαδικασία επί παραβάσει INFR(2024)0259 στις 8 Οκτωβρίου 2025. Ο νόμος είναι στα ελληνικά, και η αγγλική απόδοση της Αρχής παρέχεται μόνο για ενημέρωση: σε περίπτωση διαφοράς υπερισχύει το ελληνικό κείμενο.
Πώς μαθαίνει μια οντότητα αν είναι βασική ή σημαντική;
Από Απόφαση της Αρχής που της επιδίδεται. Η Αρχή καταρτίζει κατάλογο βασικών και σημαντικών οντοτήτων καθώς και οντοτήτων που παρέχουν υπηρεσίες καταχώρισης ονομάτων τομέα, τον οποίο επανεξετάζει τουλάχιστον ανά διετία (άρθρο 27(3)). Ο κατάλογος εγκρίνεται με Απόφαση του Υπουργικού Συμβουλίου, η οποία χαρακτηρίζεται ως απόρρητη και δεν δημοσιεύεται στην Επίσημη Εφημερίδα της Δημοκρατίας (άρθρο 27(7)), και κάθε οντότητα ορίζεται με Απόφαση που εκδίδει η Αρχή και η οποία επιδίδεται σε αυτήν (άρθρο 27(8)). Η Αρχή δύναται επίσης να προσδιορίζει οντότητες ως βασικές κατόπιν έργου αξιολόγησης κρισιμότητας (άρθρο 27(1)(β)): τα κριτήρια εγκρίνονται με Απόφαση του Υπουργικού Συμβουλίου και δεν εντοπίστηκαν δημοσιευμένα. Το Εργαλείο Αυτοαξιολόγησης NIS2 της Αρχής δεν απαντά στο ερώτημα: τα αποτελέσματά του, όπως αναφέρει η ίδια, «δεν υποκαθιστούν την επίσημη αξιολόγηση κρισιμότητας που θα διεξαχθεί από την Αρχή».
Δεσμεύεται μια οντότητα πριν της επιδοθεί η Απόφαση;
Ο νόμος δεν ορίζει ρητά αν οι υποχρεώσεις ισχύουν πριν από την επίδοση της Απόφασης, και το ζήτημα μένει ανοικτό. Ο νόμος εφαρμόζεται στις οντότητες που πληρούν τις προϋποθέσεις του άρθρου 2Α, όμως η οντότητα ορίζεται ως βασική ή σημαντική με Απόφαση που της επιδίδεται (άρθρο 27(8)). Δεν εντοπίστηκε τοποθέτηση της Αρχής για το αν τα μέτρα και η κοινοποίηση περιστατικών δεσμεύουν πριν από την επίδοση. Το Reglyze δεν αποφασίζει το ερώτημα για λογαριασμό σας: απευθυνθείτε στην Αρχή ή στον νομικό σας σύμβουλο.
Τι κάνει μια οντότητα που εμπίπτει στον νόμο και δεν περιλαμβάνεται στον κατάλογο;
Οφείλει να ενημερώνει την Αρχή για σκοπούς αξιολόγησής της (άρθρο 27Β). Το ίδιο ισχύει για τις νεοσυσταθείσες οντότητες, και ο νόμος δεν ορίζει προθεσμία. Οι νεοσυσταθείσες οντότητες στη Δημοκρατία που δύναται να προσδιοριστούν ως βασικές ή σημαντικές ζητούν επίσης τη γνώμη ή/και καθοδήγηση της Αρχής για τα μέτρα ασφάλειας που πρέπει να λαμβάνουν από τον σχεδιασμό/δημιουργία (security by design) (άρθρο 27Α). Τρόπο ενημέρωσης η σελίδα αυτή δεν αναφέρει.
Ποια στοιχεία υποβάλλει μια οντότητα στην Αρχή, και μέχρι πότε;
Ο νόμος δεν ορίζει προθεσμία αυτοεγγραφής. Η Αρχή απαιτεί από τις οντότητες του καταλόγου να υποβάλλουν τουλάχιστον την επωνυμία, τη διεύθυνση και τα επικαιροποιημένα στοιχεία επικοινωνίας, συμπεριλαμβανομένων των ηλεκτρονικών διευθύνσεων, των πεδίων IP και των αριθμών τηλεφώνου, τον τομέα τους και, κατά περίπτωση, κατάλογο των κρατών μελών στα οποία παρέχουν υπηρεσίες (άρθρο 27(4)). Τυχόν αλλαγές κοινοποιούνται αμελλητί και, σε κάθε περίπτωση, εντός δύο (2) εβδομάδων από την ημερομηνία της αλλαγής (άρθρο 27(4)). Η Αρχή δύναται να θεσπίζει εθνικούς μηχανισμούς για να εγγράφονται οι ίδιες οι οντότητες (άρθρο 27(4)), όμως κανένας δεν εντοπίστηκε έως τις 30 Οκτωβρίου 2026. Οι παροχείς υπηρεσιών DNS, τα μητρώα ονομάτων TLD, οι οντότητες που παρέχουν υπηρεσίες καταχώρισης ονομάτων τομέα, οι παροχείς υπηρεσιών υπολογιστικού νέφους, υπηρεσιών κέντρου δεδομένων και δικτύων διανομής περιεχομένου, οι παροχείς διαχειριζόμενων υπηρεσιών και διαχειριζόμενων υπηρεσιών ασφαλείας, καθώς και οι παροχείς επιγραμμικών αγορών, επιγραμμικών μηχανών αναζήτησης και πλατφόρμας υπηρεσιών κοινωνικής δικτύωσης περιλαμβάνονται επιπλέον στο μητρώο που τηρεί η Αρχή (άρθρο 17(μα)), στο οποίο υποβάλλουν και το εύρος IPs (IP ranges) τους (άρθρο 37Α(2)), και κοινοποιούν τις αλλαγές εντός τριών (3) μηνών (άρθρο 37Α(3)). Χωριστά, οι οντότητες κοινοποιούν στην Αρχή τα στοιχεία των ατόμων που είναι αρμόδια για την υποβολή των κοινοποιήσεων, με τηλέφωνα μόνιμα διαθέσιμα (24/7), μέσα σε διάστημα είκοσι (20) εργάσιμων ημερών από την έναρξη ισχύος της Κ.Δ.Π. 281/2026 ή από την ημερομηνία ορισμού τους (Κ.Δ.Π. 281/2026, άρθρο 10(2)).
Σε ποιες προθεσμίες κοινοποιείται ένα σημαντικό περιστατικό;
Η πρώτη πράξη είναι η ενημέρωση (έγκαιρη προειδοποίηση), χωρίς αδικαιολόγητη καθυστέρηση και σε κάθε περίπτωση εντός έξι (6) ωρών από τη στιγμή που η οντότητα αντιλήφθηκε το σημαντικό περιστατικό (άρθρο 35Β(4)(α)), όχι 24 όπως στην Οδηγία. Η οντότητα που είναι σε θέση να το πράξει οφείλει να κοινοποιήσει το περιστατικό το συντομότερο δυνατό, χωρίς να αναμένει τη μέγιστη προθεσμία των έξι (6) ωρών (Κ.Δ.Π. 281/2026, άρθρο 4(6)(β)). Ακολουθούν η κοινοποίηση περιστατικού εντός εβδομήντα δύο (72) ωρών (άρθρο 35Β(4)(β)), για τον παροχέα υπηρεσιών εμπιστοσύνης εντός είκοσι τεσσάρων (24) ωρών (άρθρο 35Β(4)(στ)), η ενδιάμεση έκθεση κατόπιν αιτήματος της Αρχής (άρθρο 35Β(4)(γ)), καθώς και χωρίς αίτημα όταν τα στοιχεία που έχουν ήδη κοινοποιηθεί έχουν μεταβληθεί ουσιωδώς (Κ.Δ.Π. 281/2026, άρθρο 4(6)(στ)), και η τελική έκθεση το αργότερο μέσα σε ένα μήνα μετά από την υποβολή της κοινοποίησης περιστατικού (άρθρο 35Β(4)(δ)). Ο νόμος λέει ένα μήνα, όχι 30 ημέρες, παρότι το έντυπο του ΠΑΡΑΡΤΗΜΑΤΟΣ ΙΙ της Κ.Δ.Π. 281/2026 γράφει «Τελική (30 ημέρες)». Σε περίπτωση εν εξελίξει περιστατικού κατά τον χρόνο υποβολής της τελικής έκθεσης, οι οντότητες υποβάλλουν έκθεση προόδου κάθε δεκαπέντε (15) ημέρες μετά την υποβολή της κοινοποίησης περιστατικού, και την τελική έκθεση εντός δεκαπέντε (15) ημερών από την αποκατάσταση της λειτουργίας του δικτύου ή του πληροφοριακού συστήματος που επηρεάστηκε (άρθρο 35Β(4)(ε)). Ο νόμος δεν ορίζει αν η πρώτη έκθεση προόδου οφείλεται κατά την ημερομηνία της τελικής έκθεσης ή στο επόμενο δεκαπενθήμερο. Οι ημέρες είναι ημερολογιακές (άρθρο 3(1)). Για περιστατικό που κοινοποιείται μόνο λόγω κάλυψης από τα μέσα μαζικής ενημέρωσης, οι έξι (6) ώρες εφαρμόζονται από τον εντοπισμό του, από τη δημοσίευσή του ή όπως υποδεικνύεται από την Αρχή (Κ.Δ.Π. 281/2026, ΠΑΡΑΡΤΗΜΑ Ι).
Πού υποβάλλεται η κοινοποίηση;
Στην Αρχή Ψηφιακής Ασφάλειας, όχι απευθείας στο CSIRT-CY: η Αρχή διαβιβάζει την κοινοποίηση στο εθνικό CSIRT με την παραλαβή της (άρθρο 35Β(1)(ε)), το οποίο αποτελεί μέρος της Αρχής (άρθρο 6(9)). Η Κ.Δ.Π. 281/2026 προβλέπει υποβολή ηλεκτρονικά, σε συγκεκριμένη πλατφόρμα που θα θέσει σε λειτουργία η Αρχή (Κ.Δ.Π. 281/2026, άρθρο 8(3)). Ανακοίνωση πλατφόρμας δεν εντοπίστηκε στους ιστότοπους της Αρχής και του CSIRT-CY έως τις 30 Οκτωβρίου 2026. Όταν η ηλεκτρονική υποβολή δεν είναι εφικτή, οι οντότητες υποχρεούνται να ενημερώνουν τηλεφωνικά την Αρχή για την εξεύρεση εναλλακτικού τρόπου υποβολής της κοινοποίησης, και το έντυπο υποβάλλεται κατόπιν συνεννόησης με την Αρχή (Κ.Δ.Π. 281/2026, άρθρο 8(3) και (4)). Το ίδιο έντυπο, του ΠΑΡΑΡΤΗΜΑΤΟΣ ΙΙ, χρησιμοποιείται για όλα τα είδη αναφοράς. Οι διευθύνσεις που δημοσιεύει το CSIRT-CY είναι προγενέστερες της Απόφασης και διαφέρουν μεταξύ τους, γι’ αυτό η σελίδα αυτή δεν αναφέρει καμία. Η πράξη κοινοποίησης δεν συνεπάγεται αυξημένη ευθύνη στην κοινοποιούσα οντότητα (άρθρο 35Β(1)(δ)).
Ενημερώνονται οι αποδέκτες των υπηρεσιών;
Κατά περίπτωση, οι οντότητες κοινοποιούν, χωρίς αδικαιολόγητη καθυστέρηση, στους αποδέκτες των υπηρεσιών τους σημαντικά περιστατικά που ενδέχεται να επηρεάσουν αρνητικά την παροχή των υπηρεσιών τους (άρθρο 35Β(1)(β)). Για σημαντική κυβερνοαπειλή κοινοποιούν αμελλητί στους αποδέκτες που ενδέχεται να επηρεαστούν τυχόν μέτρα ή διορθωτικές ενέργειες, και σε περίπτωση που υπάρχει σοβαρός λόγος μη ενημέρωσης των αποδεκτών, η οντότητα οφείλει να ενημερώνει, να διαβουλεύεται και να λαμβάνει έγκριση από την Αρχή (άρθρο 35Β(2)). Η Αρχή μπορεί, κατόπιν διαβούλευσης με την επηρεαζόμενη οντότητα, να ενημερώσει το κοινό σχετικά με το σημαντικό περιστατικό ή να απαιτήσει από την εν λόγω οντότητα να το πράξει (άρθρο 35Β(7)).
Πότε ένα περιστατικό είναι σημαντικό;
Όταν έχει προκαλέσει ή μπορεί να προκαλέσει σοβαρή λειτουργική διατάραξη των υπηρεσιών ή οικονομική ζημία για την οντότητα, ή/και έχει επηρεάσει ή μπορεί να επηρεάσει άλλα φυσικά ή νομικά πρόσωπα προκαλώντας σημαντική υλική ή μη υλική ζημία (άρθρο 35Β(3)). Το ΠΑΡΑΡΤΗΜΑ Ι της Κ.Δ.Π. 281/2026 ορίζει εθνικά κριτήρια: η συνέχεια της υπηρεσίας επηρεάζεται για πάνω από 5.000 χρηστοώρες, ή 20.000 για τους παροχείς ηλεκτρονικών επικοινωνιών· το περιστατικό επηρεάζει μια ή περισσότερες δημοτικές αρχές ή κοινότητες στην ολότητά τους· έχουν τραυματιστεί σοβαρά ή επηρεαστεί μόνιμα τουλάχιστον 5 άτομα· σε περίπτωση θανάτου το περιστατικό κρίνεται αυτομάτως κοινοποιήσιμο· επηρεάζεται τουλάχιστον ένας στόχος ασφάλειας, όταν δεν μπορεί να μετρηθεί κάτι άλλο· ή υπάρχουν άλλες σοβαρές επιπτώσεις, όπως ανακοίνωση σε μέσα μαζικής ενημέρωσης. Οι χρηστοώρες είναι ο αριθμός των επηρεαζόμενων χρηστών επί τη διάρκεια σε ώρες. Οι σχετικές οντότητες, δηλαδή οι παροχείς υπηρεσιών DNS, τα μητρώα TLD, οι παροχείς υπολογιστικού νέφους, κέντρου δεδομένων, δικτύων διανομής περιεχομένου, διαχειριζόμενων υπηρεσιών, διαχειριζόμενων υπηρεσιών ασφαλείας, επιγραμμικών αγορών, επιγραμμικών μηχανών αναζήτησης, κοινωνικής δικτύωσης και υπηρεσιών εμπιστοσύνης (Κ.Δ.Π. 281/2026, άρθρο 2(1)), εφαρμόζουν τα κριτήρια του ΠΑΡΑΡΤΗΜΑΤΟΣ ΙΙΙ, το οποίο επαναλαμβάνει τον Εκτελεστικό Κανονισμό (ΕΕ) 2024/2690 (Κ.Δ.Π. 281/2026, άρθρο 6(1)): για παράδειγμα, υπηρεσία DNS πλήρως μη διαθέσιμη για πάνω από 30 λεπτά. Περιστατικά που έχουν εκδηλωθεί τουλάχιστον δύο φορές εντός έξι (6) μηνών με την ίδια προφανή βαθύτερη αιτία μετρούν μαζί (Κ.Δ.Π. 281/2026, άρθρο 4(4)(α)). Οι προγραμματισμένες διακοπές της υπηρεσίας δεν θεωρούνται σημαντικά περιστατικά, όμως η οντότητα έχει υποχρέωση να ενημερώσει τους αποδέκτες των υπηρεσιών της (Κ.Δ.Π. 281/2026, άρθρο 4(4)(β)).
Ποια μέτρα διαχείρισης κινδύνων λαμβάνει μια οντότητα;
Οι βασικές και σημαντικές οντότητες λαμβάνουν κατάλληλα και αναλογικά τεχνικά, επιχειρησιακά και οργανωτικά μέτρα (άρθρο 35(1)(α)), και για την αναλογικότητα λαμβάνονται υπόψη ο βαθμός έκθεσης της οντότητας σε κινδύνους, το μέγεθός της και η πιθανότητα εμφάνισης περιστατικών και η σοβαρότητά τους (άρθρο 35(1)(γ)). Τα δέκα μέτρα του άρθρου 35(2) δύναται να καθοριστούν σε Απόφαση της Αρχής, όμως Απόφαση δυνάμει του νόμου όπως τροποποιήθηκε δεν εντοπίστηκε έως τις 30 Οκτωβρίου 2026. Οντότητα η οποία διαπιστώνει ότι δεν συμμορφώνεται υποχρεούται να λαμβάνει αμελλητί όλα τα αναγκαία, κατάλληλα και αναλογικά διορθωτικά μέτρα (άρθρο 35(4)). Η Κ.Δ.Π. 389/2020 απευθύνεται στους φορείς εκμετάλλευσης βασικών υπηρεσιών και στους φορείς κρίσιμων υποδομών πληροφοριών, οι οποίοι υποχρεούνται να εφαρμόζουν κατ’ ελάχιστον το Πλαίσιο Μέτρων Ασφάλειας που δημοσιεύεται από την Αρχή (Κ.Δ.Π. 389/2020, άρθρο 11(1)), και το Reglyze δεν αξιολογεί έναντι αυτού του Πλαισίου. Η Κ.Δ.Π. 245/2024 αφορά ελέγχους ωριμότητας κυβερνοασφάλειας από εγγεγραμμένους ελεγκτές για τους «Φορείς» που ορίζει: τους φορείς αυτούς, τους παροχείς δικτύων ή/και υπηρεσιών ηλεκτρονικών επικοινωνιών, τους παροχείς ψηφιακών υπηρεσιών και οποιαδήποτε άλλη οντότητα οριστεί βάσει του νόμου (Κ.Δ.Π. 245/2024, άρθρο 2(1)). Το κόστος επιβαρύνει τους Φορείς (Κ.Δ.Π. 245/2024, άρθρο 10(3)) και η έκθεση είναι γραμμένη στην ελληνική γλώσσα (Κ.Δ.Π. 245/2024, άρθρο 14(δ)). Η Αρχή δεν έχει διευκρινίσει αν η Απόφαση αυτή καταλαμβάνει τις βασικές και σημαντικές οντότητες που ορίζονται από το 2025. Η Αρχή δύναται να ζητά πληροφορίες, συμπεριλαμβανομένων των αρχείων καταγραφής (logs), για περίοδο τουλάχιστον έξι (6) μηνών (άρθρο 17(κη)): ο νόμος δεν ορίζει ρητά διάρκεια διατήρησης, όμως οντότητα που διατηρεί λιγότερα δεν μπορεί να ανταποκριθεί σε τέτοιο αίτημα.
Τι οφείλει η ανώτατη διοίκηση;
Η ανώτατη διοίκηση υποχρεούται να εγκρίνει τα μέτρα διαχείρισης κινδύνων στον τομέα της κυβερνοασφάλειας, να επιβλέπει την εφαρμογή τους και είναι δυνατό να λογοδοτεί για την εκ μέρους των οντοτήτων παράβαση των υποχρεώσεων αυτών (άρθρο 35Α(1)). Τα μέλη της υποχρεούνται να παρακολουθούν εκπαιδεύσεις και να προσφέρουν παρόμοια κατάρτιση στους υπαλλήλους τους σε τακτική βάση (άρθρο 35Α(3)), χωρίς ο νόμος να ορίζει συχνότητα. Η Οδηγία προβλέπει μόνο ότι τα κράτη μέλη ενθαρρύνουν τις οντότητες να προσφέρουν την κατάρτιση αυτή: ο κυπριακός νόμος την καθιστά υποχρέωση των μελών της ανώτατης διοίκησης.
Ποιος εποπτεύει;
Η Αρχή Ψηφιακής Ασφάλειας, ανεξάρτητη αρχή με χωριστή νομική προσωπικότητα με επικεφαλής τον Επίτροπο Επικοινωνιών (άρθρο 6). Είναι η αρμόδια αρχή για την κυβερνοασφάλεια, με τα καθήκοντα εποπτείας και επιβολής και τα καθήκοντα της αρχής διαχείρισης κυβερνοκρίσεων (άρθρο 30(1)), και το εθνικό ενιαίο σημείο επαφής (άρθρο 30(4)). Στις βασικές οντότητες η εποπτεία περιλαμβάνει επιτόπιες επιθεωρήσεις και εποπτεία εκτός των εγκαταστάσεων, με δειγματοληπτικούς ελέγχους (random checks), και τακτικούς και στοχευμένους ελέγχους ασφάλειας (security audits) από την Αρχή ή από ειδικευμένο ανεξάρτητο όργανο που εξουσιοδοτείται από την Αρχή (άρθρο 36Α(2)). Στις σημαντικές οντότητες η Αρχή ενεργεί σε περίπτωση που της παρέχονται αποδεικτικά στοιχεία, ενδείξεις ή πληροφορίες ότι μια οντότητα εικάζεται ότι δεν συμμορφώνεται (άρθρο 36Β(1)). Οποιαδήποτε Απόφαση της Αρχής υπόκειται σε δικαστικό έλεγχο με προσφυγή στο Διοικητικό Δικαστήριο (άρθρο 52(1)).
Τι ισχύει για τις χρηματοπιστωτικές οντότητες;
Ο Κανονισμός (ΕΕ) 2022/2554 θεωρείται τομεακή νομική πράξη της Ένωσης σε σχέση με τον νόμο (άρθρο 31(10)(α)). Οι διατάξεις του νόμου για τις υποχρεώσεις διαχείρισης κινδύνων και αναφοράς περιστατικών, την εποπτεία και την επιβολή δεν εφαρμόζονται για τις χρηματοπιστωτικές οντότητες που καλύπτονται από τον Κανονισμό (άρθρο 31(10)(γ)). Η παράγραφος αυτή δεν αναφέρεται στον κατάλογο ούτε στο μητρώο της Αρχής.
Πώς βοηθά το Reglyze μια οντότητα στην Κύπρο;
Το Reglyze αξιολογεί τις οντότητες στην Κύπρο βάσει των απαιτήσεων της Οδηγίας NIS 2 και ετοιμάζει έγγραφα που αναφέρουν τον Ν. 89(Ι)/2020, τις προθεσμίες του και την Αρχή Ψηφιακής Ασφάλειας ως αποδέκτη των κοινοποιήσεων. Αξιολόγηση μέτρο προς μέτρο έναντι κυπριακού καταλόγου δεν προσφέρει. Για ένα περιστατικό υπολογίζει την ενημέρωση των έξι (6) ωρών, την κοινοποίηση των 72 ωρών και την τελική έκθεση του ενός μήνα· οι εκθέσεις προόδου αναφέρονται χωρίς υπολογισμό, επειδή το Reglyze δεν καταγράφει τη στιγμή της αποκατάστασης. Τις κοινοποιήσεις τις υποβάλλετε εσείς στην Αρχή. Ο έλεγχος πεδίου εφαρμογής του Reglyze ακολουθεί τα κριτήρια της Οδηγίας και τους κανόνες του νόμου για τη δημόσια διοίκηση: η κεντρική κυβέρνηση κατατάσσεται ως βασική οντότητα, ενώ ο ευρύτερος δημόσιος τομέας, που ο έλεγχος διαβάζει στη θέση του περιφερειακού επιπέδου, και το τοπικό επίπεδο ως σημαντικές οντότητες, εκτός αν οριστούν βασικές. Το αποτέλεσμα δεν αντικαθιστά την Απόφαση της Αρχής που επιδίδεται στην οντότητα (άρθρο 27(8)).

Επίσημες πηγές

Τελευταίος έλεγχος: 2026-10-30 · επόμενος έλεγχος μετά τις 2027-01-30.

Έτοιμοι για συμμόρφωση με την NIS 2;

Το Reglyze σας καθοδηγεί βήμα προς βήμα, με τη βοήθεια τεχνητής νοημοσύνης, στις απαιτήσεις της NIS 2: προσδιορισμός πεδίου εφαρμογής και ανάλυση κενών βάσει των απαιτήσεων της Οδηγίας, και στη συνέχεια έγγραφα που αναφέρουν τον κυπριακό νόμο, τις προθεσμίες του και την Αρχή Ψηφιακής Ασφάλειας ως αποδέκτη των κοινοποιήσεων.