Η NIS2 και ο ν. 5160/2024: τι πρέπει να κάνουν οι οργανισμοί και οι προμηθευτές λογισμικού τους

01Πού βρίσκεται η NIS2 το φθινόπωρο του 2026

Η Οδηγία NIS2 (ανοίγει εξωτερικό ιστότοπο), Οδηγία (ΕΕ) 2022/2555, δημοσιεύθηκε στην Επίσημη Εφημερίδα στις 27 Δεκεμβρίου 2022 και τέθηκε σε ισχύ στις 16 Ιανουαρίου 2023. Τα κράτη μέλη έπρεπε να θεσπίσουν και να δημοσιεύσουν τα εθνικά τους μέτρα έως 17 Οκτωβρίου 2024 και να τα εφαρμόζουν από 18 Οκτωβρίου 2024, την ημέρα που καταργήθηκε η πρώτη Οδηγία NIS.

Επειδή η NIS2 είναι οδηγία, έναν οργανισμό τον δεσμεύει ο εθνικός νόμος που την ενσωματώνει. Η ενσωμάτωση προχώρησε με διαφορετικούς ρυθμούς: ορισμένα κράτη μέλη εφάρμοσαν τον νόμο τους εγκαίρως, άλλα μόλις το 2025 ή το 2026, και η Ευρωπαϊκή Επιτροπή κίνησε διαδικασίες επί παραβάσει κατά κρατών μελών που έχασαν την προθεσμία. Γι’ αυτό οι υποχρεώσεις εγγραφής, οι πύλες αναφοράς και οι εποπτικές αρχές διαφέρουν ανά χώρα.

Στην Ελλάδα η Οδηγία ενσωματώθηκε με τον ν. 5160/2024 (ΦΕΚ Α΄ 195/27.11.2024). Αρμόδια αρχή εποπτείας και CSIRT είναι η Εθνική Αρχή Κυβερνοασφάλειας (ΕΑΚ), νομικό πρόσωπο δημοσίου δικαίου που ιδρύθηκε με τον ν. 5086/2024 και εποπτεύεται από τον Υπουργό Ψηφιακής Διακυβέρνησης. Οι οντότητες που εμπίπτουν εγγράφονται στο μητρώο της ΕΑΚ και της αναφέρουν τα σημαντικά περιστατικά. Η ΚΥΑ 1689/2025 (ΦΕΚ Β΄ 2186/06.05.2025) θέσπισε το «Εθνικό Πλαίσιο Απαιτήσεων Κυβερνοασφάλειας Βασικών και Σημαντικών Οντοτήτων», με 22 απαιτήσεις.

02Βασικές και σημαντικές οντότητες

Η NIS2 εφαρμόζεται σε δημόσιες και ιδιωτικές οντότητες των τομέων του Παραρτήματος I (υψηλής κρισιμότητας: ενέργεια, μεταφορές, τράπεζες, υποδομές χρηματοπιστωτικών αγορών, υγεία, πόσιμο νερό, λύματα, ψηφιακές υποδομές, διαχείριση υπηρεσιών τεχνολογιών πληροφοριών και επικοινωνιών (ΤΠΕ), δημόσια διοίκηση και διάστημα) και του Παραρτήματος II (άλλοι κρίσιμοι τομείς: ταχυδρομικές υπηρεσίες και υπηρεσίες ταχυμεταφορών, διαχείριση αποβλήτων, χημικά, τρόφιμα, μεταποίηση, ψηφιακοί πάροχοι και έρευνα). Κατά κανόνα καλύπτει μεσαίους και μεγάλους οργανισμούς. Ορισμένοι καλύπτονται ανεξαρτήτως μεγέθους, όπως οι πάροχοι υπηρεσιών εμπιστοσύνης, οι πάροχοι υπηρεσιών DNS και οι οντότητες της κεντρικής κυβέρνησης. Στην Ελλάδα, στους τομείς του πλαισίου περιλαμβάνεται ρητά ο δημόσιος τομέας, τόσο η κεντρική διοίκηση όσο και η τοπική αυτοδιοίκηση.

Το άρθρο 3 κατατάσσει στη συνέχεια αυτούς τους οργανισμούς σε δύο κατηγορίες:

• Βασικές οντότητες: κυρίως μεγάλοι οργανισμοί των τομέων του Παραρτήματος I, καθώς και οντότητες που είναι βασικές ανεξαρτήτως μεγέθους, όπως οι εγκεκριμένοι πάροχοι υπηρεσιών εμπιστοσύνης, τα μητρώα ονομάτων τομέα ανώτατου επιπέδου, οι πάροχοι υπηρεσιών DNS και οι οντότητες της κεντρικής κυβέρνησης. Εποπτεύονται προληπτικά, κάτι που μπορεί να περιλαμβάνει ελέγχους και επιτόπιες επιθεωρήσεις.
• Σημαντικές οντότητες: οι υπόλοιποι οργανισμοί των Παραρτημάτων I και II. Η εποπτεία είναι εκ των υστέρων: η αρχή παρεμβαίνει όταν υπάρχουν ενδείξεις ότι η οντότητα δεν συμμορφώνεται.

Και οι δύο κατηγορίες έχουν τις ίδιες βασικές υποχρεώσεις: μέτρα διαχείρισης κινδύνων (άρθρο 21), αναφορά περιστατικών (άρθρο 23) και λογοδοσία της διοίκησης (άρθρο 20). Η διαφορά βρίσκεται στην εποπτεία και στα πρόστιμα. Για παραβάσεις των άρθρων 21 ή 23, η Οδηγία ζητά από το εθνικό δίκαιο ανώτατα πρόστιμα τουλάχιστον 10 εκατ. ευρώ ή 2% του παγκόσμιου ετήσιου κύκλου εργασιών για τις βασικές οντότητες, και τουλάχιστον 7 εκατ. ευρώ ή 1,4% για τις σημαντικές, όποιο είναι υψηλότερο. Τα κράτη μέλη αποφασίζουν αν, και σε ποιον βαθμό, επιβάλλονται πρόστιμα σε οντότητες της δημόσιας διοίκησης.

Εμπίπτει και ο ίδιος ο προμηθευτής λογισμικού σας;

Η ανάπτυξη λογισμικού δεν είναι, αυτή καθαυτή, τομέας της NIS2. Ένας προμηθευτής μπορεί όμως να εμπίπτει άμεσα. Το Παράρτημα I καλύπτει τους παρόχους διαχειριζόμενων υπηρεσιών, και η NIS2 τους ορίζει ευρέως: οντότητες που εγκαθιστούν, διαχειρίζονται, λειτουργούν ή συντηρούν προϊόντα, δίκτυα, υποδομές ή εφαρμογές ΤΠΕ για πελάτες, επιτόπου ή εξ αποστάσεως. Ένας μεσαίος ή μεγαλύτερος προμηθευτής που λειτουργεί ή συντηρεί εφαρμογές για τους πελάτες του μπορεί λοιπόν να εμπίπτει στη NIS2 αυτοτελώς, όπως και οι πάροχοι υπηρεσιών υπολογιστικού νέφους και κέντρων δεδομένων. Για αυτούς τους παρόχους, ο εκτελεστικός Κανονισμός (ΕΕ) 2024/2690 (ανοίγει εξωτερικό ιστότοπο) εξειδικεύει αναλυτικά τις τεχνικές απαιτήσεις.

Οι περισσότεροι προμηθευτές λογισμικού, ωστόσο, συναντούν τη NIS2 μέσω των πελατών τους, που μετατρέπουν τη δική τους υποχρέωση για την αλυσίδα εφοδιασμού σε συμβατικές ρήτρες, ερωτηματολόγια και ελέγχους. Τα προϊόντα λογισμικού καλύπτονται επίσης από τον Κανονισμό για την κυβερνοανθεκτικότητα (ανοίγει εξωτερικό ιστότοπο), Κανονισμό (ΕΕ) 2024/2847: οι υποχρεώσεις αναφοράς για ευπάθειες που αξιοποιούνται ενεργά και για σοβαρά περιστατικά ισχύουν από 11 Σεπτεμβρίου 2026 και οι υπόλοιπες υποχρεώσεις από 11 Δεκεμβρίου 2027.

03Τα δέκα ελάχιστα μέτρα του άρθρου 21

Το άρθρο 21 απαιτεί κατάλληλα και αναλογικά τεχνικά, επιχειρησιακά και οργανωτικά μέτρα, με προσέγγιση που καλύπτει όλους τους κινδύνους. Πρέπει να αντανακλούν την τελευταία λέξη της τεχνολογίας και τα σχετικά ευρωπαϊκά και διεθνή πρότυπα, και να είναι αναλογικά με την έκθεση της οντότητας στον κίνδυνο, το μέγεθός της και την πιθανή σοβαρότητα των περιστατικών. Καλύπτουν τουλάχιστον:

1. 01πολιτικές ανάλυσης κινδύνων και ασφάλειας των συστημάτων πληροφοριών·
2. 02διαχείριση περιστατικών·
3. 03επιχειρησιακή συνέχεια, όπως διαχείριση αντιγράφων ασφαλείας και αποκατάσταση μετά από καταστροφή, και διαχείριση κρίσεων·
4. 04ασφάλεια της αλυσίδας εφοδιασμού, μαζί με τις πτυχές ασφάλειας των σχέσεων με τους άμεσους προμηθευτές και παρόχους υπηρεσιών·
5. 05ασφάλεια στην απόκτηση, την ανάπτυξη και τη συντήρηση συστημάτων δικτύου και πληροφοριών, μαζί με τον χειρισμό και τη γνωστοποίηση ευπαθειών·
6. 06πολιτικές και διαδικασίες για την αξιολόγηση της αποτελεσματικότητας αυτών των μέτρων·
7. 07βασικές πρακτικές κυβερνοϋγιεινής και εκπαίδευση στην κυβερνοασφάλεια·
8. 08πολιτικές και διαδικασίες για την κρυπτογραφία και, όπου ενδείκνυται, την κρυπτογράφηση·
9. 09ασφάλεια ανθρώπινου δυναμικού, πολιτικές ελέγχου πρόσβασης και διαχείριση πάγιων στοιχείων·
10. 10πολυπαραγοντική ή συνεχή επαλήθευση ταυτότητας και ασφαλείς επικοινωνίες φωνής, βίντεο και κειμένου, καθώς και ασφαλείς επικοινωνίες έκτακτης ανάγκης, όπου ενδείκνυται.

Τα σημεία 4 και 5 είναι εκεί όπου μπαίνουν οι προμηθευτές. Το άρθρο 21 παράγραφος 3 ζητά από τις οντότητες να λαμβάνουν υπόψη τις ευπάθειες που αφορούν κάθε άμεσο προμηθευτή, τη συνολική ποιότητα των προϊόντων και των πρακτικών κυβερνοασφάλειάς του και τις διαδικασίες ασφαλούς ανάπτυξής του. Οι πελάτες σας αναμένεται να εξετάζουν πώς αναπτύσσετε λογισμικό, όχι μόνο τι παραδίδετε. Στην Ελλάδα, οι 22 απαιτήσεις της ΚΥΑ 1689/2025 είναι το πλαίσιο μέσα στο οποίο οι βασικές και σημαντικές οντότητες οργανώνουν αυτά τα μέτρα διαχείρισης κινδύνων.

04Η διοίκηση εγκρίνει, εποπτεύει και λογοδοτεί

Σύμφωνα με το άρθρο 20, τα διοικητικά όργανα των βασικών και σημαντικών οντοτήτων εγκρίνουν τα μέτρα διαχείρισης κινδύνων κυβερνοασφάλειας, εποπτεύουν την εφαρμογή τους και μπορούν να λογοδοτήσουν για παραβάσεις. Τα μέλη τους οφείλουν να εκπαιδεύονται, και οι οντότητες ενθαρρύνονται να εκπαιδεύουν τακτικά και το προσωπικό τους. Για τους δημόσιους φορείς εξακολουθούν να ισχύουν οι εθνικοί κανόνες για την ευθύνη των δημόσιων οργάνων και υπαλλήλων.

Αυτό αλλάζει τη συζήτηση με τους προμηθευτές. Ένα διοικητικό συμβούλιο, ή η διοίκηση μιας Περιφέρειας ή ενός δήμου, που πρέπει να εγκρίνει τα μέτρα θέλει τεκμήρια που μπορεί να παρακολουθήσει: ποιοι προμηθευτές υποστηρίζουν ποιες υπηρεσίες, ποιοι κίνδυνοι παραμένουν και τι έχει πραγματικά δοκιμαστεί.

05Αναφορά περιστατικών: 24 ώρες, 72 ώρες, ένας μήνας

Το άρθρο 23 υποχρεώνει τις οντότητες να αναφέρουν τα σημαντικά περιστατικά στη CSIRT ή στην αρμόδια αρχή τους, που στην Ελλάδα είναι η ΕΑΚ. Ένα περιστατικό είναι σημαντικό αν έχει προκαλέσει ή μπορεί να προκαλέσει σοβαρή διατάραξη της λειτουργίας ή οικονομική ζημία για την οντότητα, ή σημαντική υλική ή μη υλική ζημία σε άλλους. Η αναφορά γίνεται σε στάδια:

Όπου ενδείκνυται, οι οντότητες ενημερώνουν επίσης χωρίς αδικαιολόγητη καθυστέρηση τους αποδέκτες των υπηρεσιών τους για σημαντικά περιστατικά που ενδέχεται να επηρεάσουν αυτές τις υπηρεσίες. Οι εθνικοί νόμοι προσθέτουν δικά τους έντυπα και πύλες. Στην Ελλάδα, η αναφορά γίνεται στην ΕΑΚ σύμφωνα με τις οδηγίες της.

Το χρονόμετρο ξεκινά όταν η οντότητα λάβει γνώση του περιστατικού. Αν το περιστατικό ξεκινά στο σύστημα ενός προμηθευτή, ο πελάτης μπορεί να τηρήσει την προθεσμία των 24 ωρών μόνο αν ο προμηθευτής το εντοπίσει, το αναγνωρίσει και το μεταφέρει μέσα σε λίγες ώρες. Η ανίχνευση, η καταγραφή και ένα συμφωνημένο κανάλι ειδοποίησης είναι λοιπόν συμβατικοί όροι, όχι απλώς τεχνικές λεπτομέρειες.

06Τι θα ζητήσει από τον προμηθευτή λογισμικού ένας πελάτης που υπάγεται στη NIS2

Στην πράξη, το άρθρο 21 μετατρέπεται σε τεχνικά μέτρα και τεκμήρια που ένας προμηθευτής πρέπει να μπορεί να δείξει χωρίς να ξεκινήσει νέο έργο. Αυτά που βλέπουμε συχνότερα:

• Ασφαλής κύκλος ανάπτυξης λογισμικού. Μοντελοποίηση απειλών για σημαντικές αλλαγές, έλεγχος κώδικα από συναδέλφους, αυτόματες δοκιμές ασφάλειας και σάρωση εξαρτήσεων στη ροή κατασκευής, υπογεγραμμένα builds και κατάλογος υλικών λογισμικού (SBOM) για κάθε έκδοση.
• Χειρισμός και γνωστοποίηση ευπαθειών. Δημοσιευμένος τρόπος αναφοράς ευπαθειών, χρόνοι απόκρισης ανά σοβαρότητα και ειδοποίηση του πελάτη όταν μια ευπάθεια αφορά το περιβάλλον του.
• Έλεγχος πρόσβασης για το προσωπικό του προμηθευτή. Ονομαστικοί λογαριασμοί, πολυπαραγοντική επαλήθευση ταυτότητας, ελάχιστα δικαιώματα, αυξημένη πρόσβαση για περιορισμένο χρόνο και καταγραφή κάθε διαχειριστικής ενέργειας στο περιβάλλον του πελάτη.
• Καταγραφή και τεκμήρια περιστατικών. Τα γεγονότα που αφορούν την ασφάλεια καταγράφονται με αξιόπιστες χρονοσφραγίδες, διατηρούνται για συμφωνημένο διάστημα και εξάγονται, ώστε ο πελάτης να απαντά στα ερωτήματα της έγκαιρης προειδοποίησης και της τελικής έκθεσης.
• Συνεργασία σε περιστατικά. Ορισμένο πρόσωπο επαφής και κανάλι, χρόνος ειδοποίησης άνετα μέσα στις 24 ώρες του πελάτη, και υποστήριξη στην ανάλυση της βασικής αιτίας.
• Συνέχεια και ανάκαμψη. Αντίγραφα ασφαλείας που έχουν αποδειχθεί με επαναφορά, στόχοι ανάκαμψης ευθυγραμμισμένοι με εκείνους του πελάτη και διαδικασία που έχει δοκιμαστεί.
• Τεκμηρίωση της αλυσίδας εφοδιασμού. Επικαιροποιημένη λίστα υπεργολάβων και τοποθεσιών φιλοξενίας, καθώς και των κύριων στοιχείων και υπηρεσιών τρίτων από τα οποία εξαρτάται η λύση.
• Σχέδιο εξόδου. Εξαγωγή δεδομένων σε αξιοποιήσιμες μορφές, τεκμηρίωση και υποστήριξη παράδοσης, ώστε ο πελάτης να αλλάξει προμηθευτή χωρίς να χάσει τον έλεγχο της υπηρεσίας.

Τίποτα από αυτά δεν είναι καινούργιο για ώριμες ομάδες μηχανικών. Αυτό που αλλάζει με τη NIS2 είναι ότι ο πελάτης πρέπει να μπορεί να το αποδείξει. Η σελίδα Εμπιστοσύνη και συμμόρφωση περιγράφει πώς εργαζόμαστε ως προμηθευτής, μαζί με το σύστημα διαχείρισης ασφάλειας πληροφοριών μας με πιστοποίηση ISO/IEC 27001.

07Λίστα ελέγχου για συμβάσεις και προμήθειες

1. 01Αντιστοιχίστε προμηθευτές και υπηρεσίες. Καταγράψτε ποιοι προμηθευτές υποστηρίζουν ποιες υπηρεσίες του πεδίου εφαρμογής και ποιοι έχουν πρόσβαση στα συστήματα ή στα δεδομένα σας.
2. 02Κατατάξτε ανάλογα με την κρισιμότητα. Εφαρμόστε τις αυστηρότερες απαιτήσεις στους προμηθευτές που λειτουργούν ή μπορούν να αλλάξουν κρίσιμα συστήματα.
3. 03Γράψτε τα μέτρα στη σύμβαση. Απαιτήσεις ασφάλειας, χρόνος και κανάλι ειδοποίησης περιστατικών, χειρισμός ευπαθειών, καταγραφή και διατήρηση, δικαιώματα ελέγχου ή τεκμηρίωσης, κανόνες υπεργολαβίας και τοποθεσίες. Για έναν δημόσιο φορέα, οι όροι αυτοί μπαίνουν ήδη στη διακήρυξη του διαγωνισμού.
4. 04Ζητήστε τεκμήρια, όχι δηλώσεις. Πιστοποιητικά με το πεδίο τους, αποτελέσματα δοκιμών, ένα SBOM, την ημερομηνία της τελευταίας δοκιμής επαναφοράς.
5. 05Συμφωνήστε την έξοδο από την αρχή. Επιστροφή δεδομένων, υποστήριξη μετάβασης και το διάστημα κατά το οποίο ο προμηθευτής συνεχίζει να λειτουργεί την υπηρεσία.
6. 06Κάντε άσκηση μαζί. Οργανώστε άσκηση περιστατικού με τους κρίσιμους προμηθευτές σας, που να περιλαμβάνει την έγκαιρη προειδοποίηση των 24 ωρών.
7. 07Επανεξετάζετε τακτικά. Οι προμηθευτές, οι υπηρεσίες και οι απειλές αλλάζουν. Ένα μητρώο προμηθευτών που ενημερώνεται μία φορά τον χρόνο είναι ξεπερασμένο τον περισσότερο καιρό.

08Ο ν. 5160/2024 και οι λεπτομέρειες του εθνικού δικαίου

Η εγγραφή, οι πύλες αναφοράς, τα έντυπα, η αρμόδια αρχή και τυχόν πρόσθετες απαιτήσεις προέρχονται όλα από το εθνικό δίκαιο. Ορισμένα κράτη μέλη συνδέουν τα μέτρα του άρθρου 21 με εθνικό πλαίσιο ή πιστοποίηση, και η Ελλάδα το έκανε με την ΚΥΑ 1689/2025. Κατά κανόνα, μια οντότητα υπάγεται στο κράτος μέλος όπου είναι εγκατεστημένη. Το άρθρο 26 προβλέπει εξαιρέσεις: οι πάροχοι δημόσιων υπηρεσιών ηλεκτρονικών επικοινωνιών υπάγονται σε κάθε χώρα όπου παρέχουν υπηρεσίες, οι πάροχοι υπολογιστικού νέφους, κέντρων δεδομένων και διαχειριζόμενων υπηρεσιών και αρκετοί άλλοι ψηφιακοί πάροχοι στη χώρα της κύριας εγκατάστασής τους, και οι οντότητες της δημόσιας διοίκησης στο κράτος που τις ίδρυσε.

Για έναν προμηθευτή από άλλο κράτος μέλος που εξυπηρετεί ελληνικούς πελάτες, αυτό σημαίνει συνήθως ότι οι απαιτήσεις του ν. 5160/2024 τον φτάνουν μέσα από τη σύμβαση και τα ερωτηματολόγια του πελάτη, όχι μέσα από δική του εγγραφή στην ΕΑΚ.

09Τι να παρακολουθείτε τους επόμενους μήνες

• Τις επόμενες πράξεις και οδηγίες για τον ν. 5160/2024, καθώς η ΚΥΑ 1689/2025 είναι η πρώτη από μια σειρά πράξεων εφαρμογής.
• Την πρόταση Digital Omnibus (ανοίγει εξωτερικό ιστότοπο) της Επιτροπής της 19ης Νοεμβρίου 2025, COM(2025) 837, με την οποία οι αναφορές περιστατικών βάσει της NIS2, του Γενικού Κανονισμού για την Προστασία Δεδομένων (ΓΚΠΔ), του DORA και άλλων νόμων θα περνούν από ενιαίο σημείο εισόδου που θα διαχειρίζεται ο ENISA. Τον Οκτώβριο του 2026 βρισκόταν ακόμη ενώπιον του Ευρωπαϊκού Κοινοβουλίου (ανοίγει εξωτερικό ιστότοπο)). Μέχρι να εκδοθεί και να εφαρμοστεί, ισχύουν τα σημερινά κανάλια και οι σημερινές προθεσμίες.
• Τις συντονισμένες ενωσιακές εκτιμήσεις κινδύνου για κρίσιμες αλυσίδες εφοδιασμού ΤΠΕ κατά το άρθρο 22, που οι οντότητες πρέπει να λαμβάνουν υπόψη όταν επιλέγουν μέτρα για τους προμηθευτές.
• Το χρονοδιάγραμμα του Κανονισμού για την κυβερνοανθεκτικότητα για τα προϊόντα λογισμικού, με πλήρη εφαρμογή από 11 Δεκεμβρίου 2027.

Για τις χρηματοοικονομικές οντότητες, ο DORA αντικαθιστά τους κανόνες της NIS2 για τη διαχείριση κινδύνων ΤΠΕ, την αναφορά περιστατικών και την εποπτεία. Δείτε το άρθρο μας για τον DORA και τους τρίτους παρόχους υπηρεσιών ΤΠΕ. Η Επιτροπή διατηρεί επισκόπηση της NIS2 και των εκτελεστικών πράξεών της στη σελίδα πολιτικής για τη NIS2 (ανοίγει εξωτερικό ιστότοπο), και η ΕΑΚ παρουσιάζει το ελληνικό πλαίσιο στον ιστότοπό της cyber.gov.gr.