Reglyze
← Επιστροφή στο Reglyze
Ενσωματώθηκε και εφαρμόζεται

NIS 2: Ελλάδα, Εθνικό Πλαίσιο Απαιτήσεων Κυβερνοασφάλειας, ΚΥΑ 1689/2025

Το εθνικό πλαίσιο που καθιστά μετρήσιμη την NIS 2 είναι: Εθνικό Πλαίσιο Απαιτήσεων Κυβερνοασφάλειας, ΚΥΑ 1689/2025. Η ΚΥΑ 1689/2025 (ΦΕΚ Β΄ 2186/06.05.2025) καθορίζει τα τεχνικά, επιχειρησιακά και οργανωτικά μέτρα του άρθρου 15 παρ. 2 του ν. 5160/2024 σε 22 άρθρα απαιτήσεων, που εφαρμόζουν οι βασικές και οι σημαντικές οντότητες, με πρόσθετα μέτρα για τις βασικές. Απαιτεί, μεταξύ άλλων, τουλάχιστον έντεκα θεματικές πολιτικές, εξωτερικούς ελέγχους παρείσδυσης τουλάχιστον μία φορά ετησίως και ετήσια αυτοαξιολόγηση, της οποίας τα αποτελέσματα αποστέλλονται στην Εθνική Αρχή Κυβερνοασφάλειας μαζί με πλάνο διορθωτικών ενεργειών (άρθρο 18).

Κατάσταση πλαισίου: σε ισχύ από τη δημοσίευσή της, στις 6 Μαΐου 2025 (άρθρο 26 της ΚΥΑ)

Τα βασικά με μια ματιά

Νόμος ενσωμάτωσης

Νόμος 5160/2024, «Ενσωμάτωση της Οδηγίας (ΕΕ) 2022/2555 … (Οδηγία NIS 2) και άλλες διατάξεις»

Σε ισχύ από: 2024-11-27

Αρμόδια αρχή

Εθνική Αρχή Κυβερνοασφάλειας (ΕΑΚ)

https://cyber.gov.gr
Εθνικό πλαίσιο

Εθνικό Πλαίσιο Απαιτήσεων Κυβερνοασφάλειας, ΚΥΑ 1689/2025

Άρθρα 4 έως 25: 22 άρθρα απαιτήσεων σε δύο επίπεδα, μέτρα για όλες τις οντότητες και πρόσθετα μέτρα για τις βασικές, χωρίς επίπεδα ωριμότητας

Κυρώσεις
  • βασικές οντότητες: έως 10 εκατ. ευρώ ή 2 % του παγκόσμιου ετήσιου κύκλου εργασιών
  • σημαντικές οντότητες: έως 7 εκατ. ευρώ ή 1,4 % του παγκόσμιου ετήσιου κύκλου εργασιών
  • φορείς του δημόσιου τομέα: έως 0,5 εκατ. ευρώ

Ποιους αφορά;

βασικές οντότητες

Οντότητες του Παραρτήματος Ι που υπερβαίνουν τα ανώτατα όρια για τις μεσαίες επιχειρήσεις της Σύστασης 2003/361/ΕΚ· εγκεκριμένοι πάροχοι υπηρεσιών εμπιστοσύνης, μητρώα ονομάτων τομέα ανωτάτου επιπέδου και πάροχοι υπηρεσιών συστήματος ονομάτων τομέα (DNS), ανεξάρτητα από το μέγεθός τους· πάροχοι δημόσιων δικτύων ή διαθέσιμων στο κοινό υπηρεσιών ηλεκτρονικών επικοινωνιών που χαρακτηρίζονται ως μεσαίες επιχειρήσεις· φορείς της κεντρικής κυβέρνησης· οντότητες που προσδιορίζονται ως βασικές· κρίσιμες οντότητες· οι φορείς εκμετάλλευσης βασικών υπηρεσιών που αναγνωρίστηκαν βάσει του ν. 4577/2018 πριν από τις 16 Ιανουαρίου 2023 (άρθρο 4 παρ. 1).

σημαντικές οντότητες

Οι οντότητες των Παραρτημάτων Ι ή ΙΙ του πεδίου εφαρμογής που δεν είναι βασικές (άρθρο 4 παρ. 2). Το γενικό κριτήριο είναι το μέγεθος: μεσαίες επιχειρήσεις κατά τη Σύσταση 2003/361/ΕΚ ή μεγαλύτερες, εγκατεστημένες ή δραστηριοποιούμενες στην ελληνική επικράτεια (άρθρο 3 παρ. 1).

Προηγούμενο καθεστώς: ν. 4577/2018, με τον οποίο είχε ενσωματωθεί η Οδηγία 2016/1148/ΕΕ (NIS 1)· τα άρθρα 1 έως 16 καταργήθηκαν με το άρθρο 32 του ν. 5160/2024. Οι Οργανισμοί Τοπικής Αυτοδιοίκησης α΄ βαθμού εντάσσονται στο πεδίο εφαρμογής στις 27 Νοεμβρίου 2026 (ΚΥΑ 2267/2025).

Βασικές προθεσμίες

2024-11-27

Ο ν. 5160/2024 τέθηκε σε ισχύ με τη δημοσίευσή του στην Εφημερίδα της Κυβερνήσεως (άρθρο 45 παρ. 1). Από την ημέρα αυτή ισχύει και η υποχρέωση κοινοποίησης των σημαντικών περιστατικών.

2025-02-27

Έληξε το τρίμηνο από την έναρξη ισχύος του νόμου, εντός του οποίου τα όργανα διοίκησης εγκρίνουν τα μέτρα διαχείρισης κινδύνων κυβερνοασφάλειας (άρθρο 14 παρ. 1).

2025-05-06

Η ΚΥΑ 1689/2025, το Εθνικό Πλαίσιο Απαιτήσεων Κυβερνοασφάλειας, τέθηκε σε ισχύ με τη δημοσίευσή της στο ΦΕΚ Β΄ 2186 (άρθρο 26 της ΚΥΑ).

2025-09-30

Έληξε η προθεσμία εγγραφής στην ψηφιακή πλατφόρμα: η δίμηνη προθεσμία του άρθρου 4 παρ. 3 παρατάθηκε τρεις φορές, τελευταία με την ΚΥΑ 1990/2025.

2026-11-27

Οι Οργανισμοί Τοπικής Αυτοδιοίκησης α΄ βαθμού εντάσσονται στο πεδίο εφαρμογής του νόμου (ΚΥΑ 2267/2025).

Σε συνεχή βάση

Μεταβολές στα στοιχεία εγγραφής: αμελλητί και σε κάθε περίπτωση εντός δύο εβδομάδων (άρθρο 4 παρ. 4). Ενιαία πολιτική κυβερνοασφάλειας των βασικών οντοτήτων: προς έγκριση τουλάχιστον ετησίως (άρθρο 15 παρ. 5 περ. β)). Αυτοαξιολόγηση: σε ετήσια βάση (άρθρο 18 της ΚΥΑ 1689/2025).

Αναφορά περιστατικών: 24 ώρες (προειδοποίηση) / 72 ώρες (κοινοποίηση περιστατικού) / 1 μήνας μετά την κοινοποίηση (τελική έκθεση), προς: CSIRT της Εθνικής Αρχής Κυβερνοασφάλειας· για τους φορείς του άρθρου 3 παρ. 2 περ. στ), η CSIRT της Εθνικής Υπηρεσίας Πληροφοριών (Εθνικό CERT), με ταυτόχρονη ενημέρωση της Αρχής (άρθρα 10 παρ. 1 και 16 παρ. 1).

Τομείς προτεραιότητας

Υπηρεσίες εμπιστοσύνης, μητρώα TLD, DNS και ηλεκτρονικές επικοινωνίες

Οι πάροχοι υπηρεσιών εμπιστοσύνης, τα μητρώα ονομάτων τομέα ανωτάτου επιπέδου και οι πάροχοι υπηρεσιών DNS εμπίπτουν στο πεδίο εφαρμογής ανεξάρτητα από το μέγεθός τους (άρθρο 3 παρ. 2 περ. α)), και οι εγκεκριμένοι πάροχοι υπηρεσιών εμπιστοσύνης, τα μητρώα TLD και οι πάροχοι DNS είναι βασικές οντότητες ανεξάρτητα από το μέγεθός τους (άρθρο 4 παρ. 1 περ. β)). Οι πάροχοι δημόσιων δικτύων ή υπηρεσιών ηλεκτρονικών επικοινωνιών που χαρακτηρίζονται ως μεσαίες επιχειρήσεις είναι βασικές οντότητες (άρθρο 4 παρ. 1 περ. γ)). Ο πάροχος υπηρεσιών εμπιστοσύνης ενημερώνει την Αρχή για σημαντικό περιστατικό εντός 24 ωρών, αντί για 72 (άρθρο 16 παρ. 4).

Δημόσια διοίκηση: κεντρική κυβέρνηση και Οργανισμοί Τοπικής Αυτοδιοίκησης

Οι φορείς της κεντρικής κυβέρνησης είναι βασικές οντότητες (άρθρο 4 παρ. 1 περ. δ)). Οι Οργανισμοί Τοπικής Αυτοδιοίκησης β΄ βαθμού εμπίπτουν στο πεδίο εφαρμογής ανεξάρτητα από το μέγεθός τους και οι Οργανισμοί α΄ βαθμού από τις 27 Νοεμβρίου 2026 (άρθρο 3 παρ. 2 περ. στ), ΚΥΑ 2267/2025). Οι φορείς αυτοί κοινοποιούν τα περιστατικά στην CSIRT της Εθνικής Υπηρεσίας Πληροφοριών με ταυτόχρονη ενημέρωση της Αρχής (άρθρο 16 παρ. 1), εξαιρούνται από το παράβολο εποπτείας και το τέλος ελέγχου (άρθρο 23 παρ. 1) και τα πρόστιμά τους κυμαίνονται από 20.000 έως 500.000 ευρώ (άρθρο 26 παρ. 8). Η εγκύκλιος 20718/08-06-2026 της Αρχής ορίζει ενέργειες προτεραιότητας για τους φορείς του δημόσιου τομέα που είναι βασικές οντότητες: εγγραφή στο Μητρώο, αυθεντικοποίηση πολλαπλών παραγόντων (MFA) και, όπου δεν είναι εφικτή η υποστήριξη και συντήρηση, μετάπτωση του ηλεκτρονικού ταχυδρομείου σε πάροχο υπηρεσιών νεφοϋπολογιστικής.

Πρώην φορείς εκμετάλλευσης βασικών υπηρεσιών και μεγάλες οντότητες του Παραρτήματος Ι

Οι φορείς εκμετάλλευσης βασικών υπηρεσιών που αναγνωρίστηκαν βάσει του ν. 4577/2018 πριν από τις 16 Ιανουαρίου 2023 είναι βασικές οντότητες (άρθρο 4 παρ. 1 περ. ζ)), όπως και οι κρίσιμες οντότητες και οι οντότητες του Παραρτήματος Ι που υπερβαίνουν τα ανώτατα όρια της μεσαίας επιχείρησης. Οι βασικές οντότητες εφαρμόζουν τα πρόσθετα μέτρα της ΚΥΑ 1689/2025, όπως τον ανεξάρτητο έλεγχο ασφάλειας πληροφοριών του άρθρου 8, και υποβάλλουν την ενιαία πολιτική κυβερνοασφάλειας τουλάχιστον ετησίως. Η εγκύκλιος 28427/30-07-2026 της Αρχής απευθύνεται σε αυτές για τη διαχείριση ευπαθειών και συνιστά μέγιστα χρονοδιαγράμματα αποκατάστασης 3, 14 ή 60 ημερών, ή την επόμενη αναβάθμιση του συστήματος, ανάλογα με τέσσερα κριτήρια επικινδυνότητας.

Συχνές ερωτήσεις

Ισχύει η NIS 2 στην Ελλάδα;
Ναι. Ο ν. 5160/2024 δημοσιεύθηκε στο ΦΕΚ Α΄ 195 στις 27 Νοεμβρίου 2024 και ισχύει από τη δημοσίευσή του (άρθρο 45 παρ. 1). Η ΚΥΑ 1689/2025, το Εθνικό Πλαίσιο Απαιτήσεων Κυβερνοασφάλειας, ισχύει από τις 6 Μαΐου 2025. Μόνο οι Οργανισμοί Τοπικής Αυτοδιοίκησης α΄ βαθμού εντάσσονται αργότερα, στις 27 Νοεμβρίου 2026 (ΚΥΑ 2267/2025).
Ποιος εποπτεύει και πού κοινοποιούνται τα περιστατικά;
Η Εθνική Αρχή Κυβερνοασφάλειας είναι η αρμόδια αρχή εποπτείας και ελέγχου (άρθρο 23 παρ. 1) και η αρμόδια CSIRT για τις οντότητες του πεδίου εφαρμογής (άρθρο 10 παρ. 1). Τα σημαντικά περιστατικά κοινοποιούνται στην CSIRT της Αρχής· η σελίδα αναφοράς περιστατικών της Αρχής ζητά τις δύο φόρμες με email στο [email protected]. Οι φορείς του άρθρου 3 παρ. 2 περ. στ) κοινοποιούν στην CSIRT της Εθνικής Υπηρεσίας Πληροφοριών, με ταυτόχρονη ενημέρωση της Αρχής (άρθρο 16 παρ. 1).
Ποιες είναι οι προθεσμίες για ένα σημαντικό περιστατικό;
Από τη στιγμή που η οντότητα αντιλήφθηκε το σημαντικό περιστατικό: προειδοποίηση εντός 24 ωρών και κοινοποίηση περιστατικού εντός 72 ωρών· ενδιάμεση έκθεση, κατόπιν αιτήματος της Αρχής· τελική έκθεση το αργότερο εντός ενός μηνός μετά την υποβολή της κοινοποίησης περιστατικού. Αν το περιστατικό είναι ακόμη σε εξέλιξη, υποβάλλεται έκθεση προόδου και η τελική έκθεση εντός ενός μηνός από τον χειρισμό του (άρθρο 16 παρ. 4). Ο πάροχος υπηρεσιών εμπιστοσύνης ενημερώνει την Αρχή εντός 24 ωρών. Σημαντικό είναι το περιστατικό που έχει προκαλέσει ή μπορεί να προκαλέσει σοβαρή λειτουργική διατάραξη ή οικονομική ζημία στην οντότητα, ή σημαντική υλική ή μη υλική ζημία σε άλλα πρόσωπα (άρθρο 16 παρ. 3)· στις 29 Οκτωβρίου 2026 η Αρχή δεν είχε αναρτήσει εθνικά κατώτατα όρια (άρθρο 30 παρ. 16).
Πώς και έως πότε έπρεπε να γίνει η εγγραφή;
Στην ψηφιακή πλατφόρμα nis2register.cyber.gov.gr, μέσω του gov.gr με τους κωδικούς taxisnet της οντότητας (ΚΥΑ 1381/2025)· η ίδια ΚΥΑ προβλέπει και αποστολή με email στο [email protected]. Ο νόμος έδωσε προθεσμία δύο μηνών από την έναρξη ισχύος (άρθρο 4 παρ. 3), που παρατάθηκε τρεις φορές, τελευταία έως τις 30/09/2025 (ΚΥΑ 1990/2025). Η φόρμα ζητά τον Υ.Α.Σ.Π.Ε. της οντότητας και τις συνδεδεμένες ή συνεργαζόμενες επιχειρήσεις της, και οι μεταβολές κοινοποιούνται εντός δύο εβδομάδων (άρθρο 4 παρ. 4).
Τι είναι ο Υ.Α.Σ.Π.Ε. και ποιος μπορεί να οριστεί;
Ο Υπεύθυνος Ασφάλειας Συστημάτων Πληροφορικής και Επικοινωνιών είναι στέλεχος της οντότητας που αναλαμβάνει τη διαχείριση κάθε επικοινωνίας και επαφής με την Εθνική Αρχή Κυβερνοασφάλειας (άρθρο 15 παρ. 5 περ. α)). Κατά την ΥΑ 1899/2025 μπορεί, κατ' εξαίρεση, να είναι στέλεχος άλλης οντότητας του ίδιου ομίλου· απαιτείται προπτυχιακός ή μεταπτυχιακός τίτλος σε συναφές γνωστικό αντικείμενο, ή εμπειρογνωσία τουλάχιστον 5 ετών, ή πιστοποιημένη γνώση με εμπειρογνωσία τουλάχιστον 2 ετών, καθώς και αντίγραφο ποινικού μητρώου και έλεγχος ιστορικού. Τα καθήκοντά του είναι ασυμβίβαστα με αυτά του Υπευθύνου Προστασίας Δεδομένων και του υπευθύνου Τ.Π.Ε. της οντότητας, και λογοδοτεί απευθείας στο ανώτατο διοικητικό επίπεδο.
Πόσο υψηλά είναι τα πρόστιμα;
Για παραβίαση των άρθρων 15 ή 16, έως 10.000.000 ευρώ ή έως 2 % του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών για τις βασικές οντότητες και έως 7.000.000 ευρώ ή έως 1,4 % για τις σημαντικές, ανάλογα με το ποιο είναι υψηλότερο (άρθρο 26 παρ. 4 και 5). Ο νόμος ορίζει και πρόστιμα ανά υποχρέωση, όπως έως 200.000 ευρώ για την έγκριση των μέτρων από τα όργανα διοίκησης και έως 100.000 ευρώ για την εκπαίδευση (άρθρο 26 παρ. 9). Για τους φορείς του δημόσιου τομέα, από 20.000 έως 500.000 ευρώ (άρθρο 26 παρ. 8). Τα πρόστιμα επιβάλλονται με απόφαση του Διοικητή της Αρχής, μετά από ακρόαση, και αναρτώνται στον ιστότοπό της (άρθρο 26 παρ. 2 και 3).
Τι ζητούν η ΚΥΑ 1689/2025 και η ενιαία πολιτική κυβερνοασφάλειας;
Η ΚΥΑ 1689/2025 καθορίζει τα μέτρα σε 22 άρθρα απαιτήσεων για όλες τις οντότητες, με πρόσθετα μέτρα για τις βασικές και χωρίς επίπεδα ωριμότητας. Η ετήσια αυτοαξιολόγηση γίνεται με Οδηγό που εκδίδει η Αρχή (άρθρο 18 παρ. 1 περ. δ)): στις 29 Οκτωβρίου 2026 κανένα από τα εργαλεία αυτοαξιολόγησης του ιστότοπού της δεν παρουσιαζόταν ως ο Οδηγός αυτός. Οι βασικές οντότητες υποβάλλουν επίσης την ενιαία πολιτική κυβερνοασφάλειας προς έγκριση τουλάχιστον ετησίως (άρθρο 15 παρ. 5 περ. β)), σύμφωνα με το προτυποποιημένο υπόδειγμα του άρθρου 30 παρ. 14, το οποίο δεν εμφανιζόταν στον ιστότοπο της Αρχής στις 29 Οκτωβρίου 2026.

Επίσημες πηγές

Τελευταίος έλεγχος: 2026-10-29 · επόμενος έλεγχος μετά τις 2026-11-27.

Έτοιμοι για συμμόρφωση με την NIS 2;

Το Reglyze χρησιμοποιεί τεχνητή νοημοσύνη για να σας οδηγήσει απλά και γρήγορα στη συμμόρφωση: καθορισμός πεδίου, ανάλυση κενών και πολιτικές ευθυγραμμισμένες με το εθνικό πλαίσιο (Εθνικό Πλαίσιο Απαιτήσεων Κυβερνοασφάλειας, ΚΥΑ 1689/2025).