NIS2 στην Κύπρο και προμηθευτές λογισμικού: τι ζητά ο Ν. 89(Ι)/2020 και από τις δύο πλευρές

01Η NIS2 και ο κυπριακός νόμος, φθινόπωρο 2026

Η Οδηγία (ΕΕ) 2022/2555 (ανοίγει εξωτερικό ιστότοπο), η NIS2, δημοσιεύθηκε στην Επίσημη Εφημερίδα της ΕΕ στις 27 Δεκεμβρίου 2022 και ισχύει από τις 16 Ιανουαρίου 2023. Τα κράτη μέλη είχαν προθεσμία ως τις 17 Οκτωβρίου 2024 να ψηφίσουν και να δημοσιεύσουν τα εθνικά τους μέτρα, και έπρεπε να τα εφαρμόσουν από την επόμενη μέρα, οπότε καταργήθηκε η πρώτη οδηγία NIS.

Ως οδηγία, η NIS2 δεσμεύει τις επιχειρήσεις μόνο μέσα από τον εθνικό νόμο. Η μεταφορά στην Ένωση έγινε με διαφορετικούς ρυθμούς: κάποια κράτη τήρησαν την προθεσμία, άλλα νομοθέτησαν το 2025 ή το 2026, και η Επιτροπή κίνησε διαδικασίες επί παραβάσει για τις καθυστερήσεις. Στην Κύπρο, η NIS2 μεταφέρθηκε με τροποποίηση του υφιστάμενου νόμου: ο Ν. 60(Ι)/2025, που δημοσιεύθηκε στην Επίσημη Εφημερίδα της Δημοκρατίας στις 25 Απριλίου 2025, τροποποίησε τον περί Ασφάλειας Δικτύων και Συστημάτων Πληροφοριών Νόμο του 2020, Ν. 89(Ι)/2020. Αρμόδια αρχή είναι η Αρχή Ψηφιακής Ασφάλειας (ΑΨΑ), στην οποία ανήκει και το εθνικό CSIRT. Εγγραφές, πύλες αναφοράς και εποπτικές πρακτικές διαφέρουν από χώρα σε χώρα· για δραστηριότητες στην Κύπρο, ο οδηγός είναι ο κυπριακός νόμος και η ΑΨΑ.

02Βασικές και σημαντικές οντότητες

Ποιους αφορά η NIS2; Δημόσιους και ιδιωτικούς φορείς σε δύο σύνολα τομέων. Στο Παράρτημα I, υψηλής κρισιμότητας: ενέργεια, μεταφορές, τράπεζες, υποδομές χρηματοπιστωτικών αγορών, υγεία, πόσιμο νερό και λύματα, ψηφιακές υποδομές, διαχείριση υπηρεσιών ΤΠΕ, δημόσια διοίκηση, διάστημα. Στο Παράρτημα II, άλλοι κρίσιμοι τομείς: ταχυδρομεία και ταχυμεταφορές, απόβλητα, χημικά, τρόφιμα, μεταποίηση, ψηφιακοί πάροχοι, έρευνα. Ο κανόνας είναι μεσαίοι και μεγάλοι οργανισμοί· ορισμένοι εμπίπτουν όποιο κι αν είναι το μέγεθός τους, π.χ. πάροχοι υπηρεσιών εμπιστοσύνης, πάροχοι υπηρεσιών DNS, φορείς της κεντρικής κυβέρνησης. Στην Κύπρο, για παράδειγμα, ένας μεγάλος ιδιωτικός όμιλος υγείας ή μια μεσαία βιομηχανία τροφίμων μπορεί να εμπίπτουν.

Το άρθρο 3 χωρίζει τους οργανισμούς αυτούς σε δύο κατηγορίες:

• Βασικές οντότητες: κυρίως μεγάλοι οργανισμοί στους τομείς του Παραρτήματος I, και όσοι είναι βασικοί ανεξαρτήτως μεγέθους, όπως οι εγκεκριμένοι πάροχοι υπηρεσιών εμπιστοσύνης, τα μητρώα ονομάτων τομέα ανωτάτου επιπέδου, οι πάροχοι υπηρεσιών DNS και οι φορείς της κεντρικής κυβέρνησης. Η εποπτεία τους είναι προληπτική και μπορεί να φτάσει σε ελέγχους και επιτόπιες επιθεωρήσεις.
• Σημαντικές οντότητες: οι υπόλοιποι οργανισμοί των Παραρτημάτων I και II. Η εποπτεία έρχεται εκ των υστέρων, όταν η αρχή έχει ενδείξεις μη συμμόρφωσης.

Τι διαφέρει ανάμεσα στις δύο κατηγορίες; Όχι οι βασικές υποχρεώσεις: και οι δύο λαμβάνουν μέτρα διαχείρισης κινδύνων (άρθρο 21), αναφέρουν περιστατικά (άρθρο 23) και έχουν διοίκηση που λογοδοτεί (άρθρο 20). Διαφέρει η ένταση της εποπτείας, και τα πρόστιμα. Η οδηγία θέλει ο εθνικός νόμος να προβλέπει για παραβάσεις των άρθρων 21 και 23 ανώτατο πρόστιμο που φτάνει τουλάχιστον τα 10 εκατ. ευρώ ή το 2 % του παγκόσμιου ετήσιου κύκλου εργασιών για μια βασική οντότητα, και τουλάχιστον τα 7 εκατ. ευρώ ή το 1,4 % για μια σημαντική, με κριτήριο το μεγαλύτερο ποσό. Για τη δημόσια διοίκηση, κάθε κράτος μέλος κρίνει μόνο του αν θα υπάρχουν πρόστιμα και πόσο μεγάλα.

Εμπίπτει ο ίδιος ο προμηθευτής σας;

Η NIS2 δεν έχει «τομέα λογισμικού». Ο προμηθευτής σας μπορεί όμως να εμπίπτει άμεσα μέσα από άλλη πόρτα: το Παράρτημα I περιλαμβάνει τους παρόχους διαχειριζόμενων υπηρεσιών, και ο ορισμός είναι πλατύς. Καλύπτει όποιον εγκαθιστά, διαχειρίζεται, λειτουργεί ή συντηρεί για λογαριασμό πελατών προϊόντα, δίκτυα, υποδομές ή εφαρμογές ΤΠΕ, είτε στον χώρο του πελάτη είτε από απόσταση. Μια εταιρεία λογισμικού μεσαίου ή μεγάλου μεγέθους που λειτουργεί ή συντηρεί εφαρμογές πελατών μπορεί λοιπόν να έχει δικές της υποχρεώσεις, όπως και οι πάροχοι cloud και κέντρων δεδομένων. Τις τεχνικές απαιτήσεις για αυτές τις κατηγορίες τις αναλύει ο εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 (ανοίγει εξωτερικό ιστότοπο).

Συνηθέστερα όμως η NIS2 φτάνει στον προμηθευτή από τον πελάτη, που μεταφέρει τη δική του ευθύνη για την αλυσίδα εφοδιασμού σε όρους σύμβασης, ερωτηματολόγια και ελέγχους. Το προϊόν λογισμικού αυτό καθαυτό έχει και δικό του κανόνα, τον Κανονισμό (ΕΕ) 2024/2847 για την κυβερνοανθεκτικότητα (ανοίγει εξωτερικό ιστότοπο). Από τις 11 Σεπτεμβρίου 2026 ο κατασκευαστής αναφέρει ευπάθειες που αξιοποιούνται ενεργά και σοβαρά περιστατικά· οι υπόλοιπες υποχρεώσεις έρχονται στις 11 Δεκεμβρίου 2027.

03Τα δέκα ελάχιστα μέτρα του άρθρου 21

Το άρθρο 21 θέλει τεχνικά, επιχειρησιακά και οργανωτικά μέτρα κατάλληλα και αναλογικά, με προσέγγιση που λαμβάνει υπόψη όλους τους κινδύνους. Τα μέτρα ακολουθούν την τρέχουσα τεχνολογική εξέλιξη και τα ευρωπαϊκά και διεθνή πρότυπα, και κλιμακώνονται με την έκθεση στον κίνδυνο, το μέγεθος του οργανισμού και τη σοβαρότητα που θα είχε ένα περιστατικό. Ως ελάχιστο, καλύπτουν δέκα πεδία:

1. 01ανάλυση κινδύνων και πολιτικές ασφάλειας συστημάτων πληροφοριών·
2. 02χειρισμό περιστατικών·
3. 03επιχειρησιακή συνέχεια, με διαχείριση αντιγράφων ασφαλείας και αποκατάσταση μετά από καταστροφή, και διαχείριση κρίσεων·
4. 04ασφάλεια της αλυσίδας εφοδιασμού, μαζί με τις πτυχές ασφάλειας στη σχέση με κάθε άμεσο προμηθευτή και πάροχο υπηρεσιών·
5. 05ασφάλεια κατά την απόκτηση, την ανάπτυξη και τη συντήρηση δικτύων και συστημάτων πληροφοριών, με χειρισμό και γνωστοποίηση ευπαθειών·
6. 06πολιτικές και διαδικασίες που κρίνουν αν τα μέτρα αποδίδουν·
7. 07βασικές πρακτικές κυβερνοϋγιεινής και εκπαίδευση στην κυβερνοασφάλεια·
8. 08πολιτικές και διαδικασίες για την κρυπτογραφία και, όπου αρμόζει, την κρυπτογράφηση·
9. 09ασφάλεια ανθρώπινου δυναμικού, πολιτικές ελέγχου πρόσβασης και διαχείριση πόρων·
10. 10ταυτοποίηση πολλαπλών παραγόντων ή συνεχή ταυτοποίηση, και ασφαλείς επικοινωνίες φωνής, εικόνας, κειμένου και έκτακτης ανάγκης, όπου αρμόζει.

Στα σημεία 4 και 5 μπαίνει στο κάδρο ο προμηθευτής. Το άρθρο 21 παράγραφος 3 θέλει η οντότητα να σταθμίζει τις ευπάθειες κάθε άμεσου προμηθευτή της, την ποιότητα των προϊόντων και των πρακτικών κυβερνοασφάλειάς του, και το πώς αναπτύσσει με ασφάλεια. Ο πελάτης σας θα κοιτάξει λοιπόν τον τρόπο που χτίζετε, όχι μόνο το παραδοτέο.

04Η διοίκηση εγκρίνει, επιβλέπει, λογοδοτεί

Κατά το άρθρο 20, τα μέτρα κυβερνοασφάλειας τα εγκρίνει το διοικητικό όργανο της οντότητας, που επιβλέπει και την εφαρμογή τους και λογοδοτεί αν παραβιαστούν. Τα μέλη του περνούν από εκπαίδευση, και η οδηγία προτρέπει να εκπαιδεύεται τακτικά και το προσωπικό. Σε Υφυπουργεία, Τμήματα και άλλους δημόσιους φορείς ισχύουν παράλληλα οι εθνικοί κανόνες για την ευθύνη των δημόσιων οργάνων και των λειτουργών.

Η συζήτηση με τους προμηθευτές αλλάζει ριζικά. Ένα διοικητικό συμβούλιο που υπογράφει τα μέτρα θέλει στοιχεία που μπορεί να παρακολουθήσει: ποιοι προμηθευτές στηρίζουν ποιες υπηρεσίες, ποιοι κίνδυνοι παραμένουν ανοιχτοί, και τι έχει πράγματι δοκιμαστεί.

05Αναφορά περιστατικών: έξι ώρες στην Κύπρο, 72 ώρες, ένας μήνας

Τα σημαντικά περιστατικά αναφέρονται στο CSIRT ή στην αρμόδια αρχή (άρθρο 23). Ως σημαντικό ορίζεται το περιστατικό που προκάλεσε ή μπορεί να προκαλέσει σοβαρή διατάραξη λειτουργίας ή οικονομική ζημία στην ίδια την οντότητα, ή αξιόλογη υλική ή μη υλική βλάβη σε άλλους. Η οδηγία προβλέπει τέσσερα στάδια:

Ο κυπριακός νόμος είναι εδώ αυστηρότερος από την οδηγία. Κατά το άρθρο 35Β(4) του Ν. 89(Ι)/2020, όπως τροποποιήθηκε, οι βασικές και σημαντικές οντότητες υποβάλλουν στην ΑΨΑ ενημέρωση εντός έξι ωρών αφότου αντιληφθούν το σημαντικό περιστατικό, και κοινοποίηση περιστατικού εντός 72 ωρών. Όπου χρειάζεται, ενημερώνουν επίσης χωρίς αδικαιολόγητη καθυστέρηση τους αποδέκτες των υπηρεσιών τους για σημαντικά περιστατικά που μπορεί να τους επηρεάσουν.

Ο χρόνος μετρά από τη στιγμή που η οντότητα αντιλαμβάνεται το περιστατικό. Όταν αυτό αρχίζει σε σύστημα του προμηθευτή, το εξάωρο της ΑΨΑ είναι εφικτό μόνο αν ο προμηθευτής το εντοπίσει, το αναγνωρίσει και ειδοποιήσει τον πελάτη μέσα στην πρώτη ώρα ή τις δύο πρώτες ώρες. Ανίχνευση, καταγραφή και συμφωνημένο κανάλι ειδοποίησης γίνονται λοιπόν όροι της σύμβασης, όχι απλώς τεχνικές λεπτομέρειες.

06Τι θα ζητήσει από τον προμηθευτή λογισμικού ένας πελάτης υπό NIS2

Στην πράξη, το άρθρο 21 γίνεται μια σειρά από τεχνικά μέτρα και τεκμήρια που ένας σοβαρός προμηθευτής πρέπει να μπορεί να δείξει χωρίς να ανοίξει νέο έργο. Αυτά που συναντούμε πιο συχνά:

• Ασφαλής κύκλος ανάπτυξης. Μοντελοποίηση απειλών για τις σημαντικές αλλαγές, έλεγχος κώδικα από δεύτερο μάτι, αυτόματοι έλεγχοι ασφάλειας και σάρωση εξαρτήσεων στη γραμμή παραγωγής, υπογεγραμμένα builds και κατάλογος στοιχείων λογισμικού (SBOM) για κάθε έκδοση.
• Χειρισμός και γνωστοποίηση ευπαθειών. Δημόσιος τρόπος να αναφέρει κανείς μια ευπάθεια, χρόνοι απόκρισης ανά σοβαρότητα, και ειδοποίηση του πελάτη όταν μια ευπάθεια αγγίζει το δικό του περιβάλλον.
• Έλεγχος πρόσβασης για το προσωπικό του προμηθευτή. Ονομαστικοί λογαριασμοί, ταυτοποίηση πολλαπλών παραγόντων, ελάχιστα δικαιώματα, αυξημένη πρόσβαση μόνο για περιορισμένο χρόνο, και αρχείο για κάθε διαχειριστική ενέργεια στο περιβάλλον του πελάτη.
• Καταγραφή και τεκμήρια περιστατικών. Γεγονότα ασφάλειας με αξιόπιστη ώρα, φυλαγμένα για το συμφωνημένο διάστημα και εξαγώγιμα, ώστε ο πελάτης να απαντήσει στα ερωτήματα της πρώτης ενημέρωσης και της τελικής έκθεσης.
• Συνεργασία στα περιστατικά. Ονομαστικός υπεύθυνος και κανάλι, χρόνος ειδοποίησης που χωρά άνετα στο εξάωρο του πελάτη, και βοήθεια στην ανάλυση της βασικής αιτίας.
• Συνέχεια και ανάκαμψη. Αντίγραφα ασφαλείας που έχουν αποδειχθεί με πραγματική επαναφορά, στόχοι ανάκαμψης ευθυγραμμισμένοι με του πελάτη, και διαδικασία που έχει δοκιμαστεί.
• Τεκμηρίωση της αλυσίδας εφοδιασμού. Τρέχων κατάλογος υπεργολάβων και τόπων φιλοξενίας, και των βασικών στοιχείων και υπηρεσιών τρίτων από τα οποία εξαρτάται η λύση.
• Σχέδιο εξόδου. Εξαγωγή δεδομένων σε αξιοποιήσιμη μορφή, τεκμηρίωση και στήριξη στη μετάβαση, ώστε ο πελάτης να αλλάξει προμηθευτή χωρίς να χάσει τον έλεγχο της υπηρεσίας.

Μια ώριμη ομάδα ανάπτυξης τα κάνει ήδη όλα αυτά. Αυτό που φέρνει η NIS2 είναι η απόδειξη: ο πελάτης πρέπει να μπορεί να τα τεκμηριώσει, και για μια κυπριακή οντότητα ο αποδέκτης είναι η ΑΨΑ. Πώς δουλεύουμε εμείς ως προμηθευτής, μαζί με την πιστοποίηση ISO/IEC 27001 του συστήματος διαχείρισης ασφάλειας πληροφοριών μας, περιγράφεται στη σελίδα Εμπιστοσύνη και συμμόρφωση.

07Λίστα ελέγχου για συμβάσεις και διαγωνισμούς

1. 01Αντιστοιχίστε προμηθευτές και υπηρεσίες. Ποιοι προμηθευτές στηρίζουν ποιες υπηρεσίες που εμπίπτουν στον νόμο, και ποιοι έχουν πρόσβαση στα συστήματα ή στα δεδομένα σας.
2. 02Ταξινομήστε κατά κρισιμότητα. Οι αυστηρότερες απαιτήσεις πάνε σε όσους λειτουργούν ή μπορούν να αλλάξουν κρίσιμα συστήματα.
3. 03Γράψτε τα μέτρα στη σύμβαση. Απαιτήσεις ασφάλειας, χρόνος και κανάλι ειδοποίησης που ταιριάζουν με το εξάωρο της ΑΨΑ, χειρισμός ευπαθειών, καταγραφή και χρόνος τήρησης, δικαίωμα ελέγχου ή τεκμηρίων, κανόνες υπεργολαβίας και τόποι. Για δημόσιους φορείς, οι όροι αυτοί μπαίνουν ήδη στα έγγραφα του διαγωνισμού στο e-PPS.
4. 04Ζητήστε τεκμήρια, όχι δηλώσεις. Πιστοποιητικά με το πεδίο εφαρμογής τους, αποτελέσματα δοκιμών, SBOM, ημερομηνία της τελευταίας δοκιμής επαναφοράς.
5. 05Συμφωνήστε την έξοδο από την αρχή. Επιστροφή δεδομένων, στήριξη στη μετάβαση, και για πόσο καιρό ο προμηθευτής κρατά την υπηρεσία σε λειτουργία.
6. 06Κάντε ασκήσεις μαζί. Μια άσκηση περιστατικού με τους κρίσιμους προμηθευτές, που να περιλαμβάνει και την ενημέρωση της ΑΨΑ μέσα σε έξι ώρες.
7. 07Μην το αφήνετε στο συρτάρι. Οι προμηθευτές αλλάζουν, οι υπηρεσίες επίσης, και οι απειλές ακόμη πιο γρήγορα. Ένα μητρώο προμηθευτών που ανανεώνεται μία φορά τον χρόνο είναι παλιό για έντεκα μήνες.

08Ο εθνικός νόμος ορίζει τις λεπτομέρειες

Τα πρακτικά, δηλαδή πού εγγράφεται μια οντότητα, πού και με ποιο έντυπο αναφέρει, ποια αρχή την εποπτεύει και αν υπάρχουν πρόσθετες απαιτήσεις, τα καθορίζει ο εθνικός νόμος. Στην Κύπρο, αυτό είναι ο Ν. 89(Ι)/2020 και η ΑΨΑ· αλλού, μερικά κράτη έδεσαν τα μέτρα του άρθρου 21 με δικό τους πλαίσιο ή σχήμα πιστοποίησης. Ποιο κράτος είναι αρμόδιο; Συνήθως εκείνο όπου είναι εγκατεστημένη η οντότητα, με τις εξαιρέσεις του άρθρου 26. Ο πάροχος δημόσιων ηλεκτρονικών επικοινωνιών υπάγεται σε κάθε κράτος όπου προσφέρει υπηρεσίες. Cloud, κέντρα δεδομένων, διαχειριζόμενες υπηρεσίες και ορισμένοι άλλοι ψηφιακοί πάροχοι ακολουθούν την κύρια εγκατάστασή τους. Οι φορείς δημόσιας διοίκησης ανήκουν στο κράτος που τους ίδρυσε. Ένας κυπριακός όμιλος με θυγατρικές στο εξωτερικό ελέγχει επομένως, εταιρεία προς εταιρεία, ποιος νόμος ισχύει.

09Τι να παρακολουθείτε τους επόμενους μήνες

• Τις ανακοινώσεις και τις οδηγίες της ΑΨΑ για την εφαρμογή του Ν. 89(Ι)/2020, και τον νόμο κάθε άλλου κράτους όπου δραστηριοποιείστε.
• Την πρόταση COM(2025) 837 (ανοίγει εξωτερικό ιστότοπο), το Digital Omnibus που κατέθεσε η Επιτροπή στις 19 Νοεμβρίου 2025: προβλέπει ένα ενιαίο σημείο εισόδου, υπό τον ENISA, για αναφορές βάσει NIS2, GDPR, DORA και άλλων πράξεων. Τον Οκτώβριο του 2026 ο φάκελος βρισκόταν ακόμη στο Ευρωπαϊκό Κοινοβούλιο (ανοίγει εξωτερικό ιστότοπο)). Ώσπου να εγκριθεί και να εφαρμοστεί, ισχύουν τα σημερινά κανάλια και οι σημερινές προθεσμίες, άρα και το εξάωρο της ΑΨΑ.
• Τις συντονισμένες εκτιμήσεις κινδύνου της ΕΕ για κρίσιμες αλυσίδες εφοδιασμού ΤΠΕ (άρθρο 22), που οι οντότητες λαμβάνουν υπόψη όταν επιλέγουν μέτρα για τους προμηθευτές τους.
• Το χρονοδιάγραμμα του Κανονισμού για την κυβερνοανθεκτικότητα για τα προϊόντα λογισμικού, με πλήρη εφαρμογή από τις 11 Δεκεμβρίου 2027.

Αν ο πελάτης σας είναι τράπεζα, ΚΕΠΕΥ ή ασφαλιστής, ο οδηγός είναι ο DORA, που στη διαχείριση κινδύνων ΤΠΕ, στην αναφορά περιστατικών και στην εποπτεία παραμερίζει τη NIS2· τον εξετάζουμε στο άρθρο DORA για παρόχους υπηρεσιών ΤΠΕ. Για την οδηγία και τις εκτελεστικές της πράξεις, η Επιτροπή διατηρεί σελίδα πολιτικής για τη NIS2 (ανοίγει εξωτερικό ιστότοπο).