Ποιους αφορά η ΚΥΑ 1689/2025;

Κάθε βασική και σημαντική οντότητα του ν. 5160/2024: οι μεσαίες και μεγάλες επιχειρήσεις των τομέων των Παραρτημάτων Ι και ΙΙ που είναι εγκατεστημένες ή δραστηριοποιούνται στην Ελλάδα, ορισμένες οντότητες ανεξάρτητα από το μέγεθός τους και οι φορείς του δημόσιου τομέα του άρθρου 3 παρ. 2^[2]. Το τεστ υπαγωγής της ΕΑΚ δίνει ενδεικτική απάντηση^[3].

Τι απαιτεί η ΚΥΑ;

Τα άρθρα 4 έως 25 ορίζουν τις απαιτήσεις^[1]. Η απόφαση ακολουθεί το Παράρτημα του Εκτελεστικού Κανονισμού (ΕΕ) 2024/2690 ενότητα προς ενότητα.

1. Υποχρεώσεις και ευθύνη των ανωτάτων οργάνων διοίκησης
2. Πλαίσιο διαχείρισης κινδύνων
3. Πολιτικές και διαδικασίες ασφάλειας πληροφοριώνΤο Vardion δίνει σχέδια των 12 πολιτικών που ορίζει η ΚΥΑ, καθώς και 3 διαδικασιών και μιας πολιτικής απορρήτου (16 σχέδια), στα ελληνικά και στα αγγλικά, με τα μέτρα της ΕΑΚ που καλύπτει κάθε δήλωσή τους.
4. Ρόλοι, αρμοδιότητες και εξουσίεςΤο Vardion καταγράφει τον ορισμό του ΥΑΣΠΕ, σε ποιον αναφέρεται και πού φυλάσσεται η απόφαση.
5. Ανεξάρτητος έλεγχος ασφάλειας πληροφοριών
6. Διαδικασίες παρακολούθησης της συμμόρφωσης
7. Ασφάλεια ανθρώπινου δυναμικού
8. Διαχείριση υλικού και λογισμικούΤο μητρώο συστημάτων συνδυάζει σαρώσεις, πράκτορες και λογαριασμούς νέφους.
9. Διαχείριση κινδύνων από τις σχέσεις με προμηθευτές και παρόχους υπηρεσιών Τ.Π.Ε.Μητρώο προμηθευτών με παθητικό έλεγχο του domain κάθε προμηθευτή.
10. Διαχείριση λογαριασμών και έλεγχος πρόσβασης
11. Ασφαλής παραμετροποίηση υλικού, λογισμικού, υπηρεσιών και δικτύων
12. Αρχές ασφαλούς ανάπτυξης εφαρμογών
13. Διαχείριση αλλαγών
14. Διαχείριση και γνωστοποίηση ευπαθειώνΤο άρθρο 17 προβλέπει σάρωση ευπαθειών· το Vardion την εκτελεί κατ' απαίτηση ή με πρόγραμμα.
15. Αξιολόγηση της αποτελεσματικότητας των μέτρων διαχείρισης κινδύνων κυβερνοασφάλειαςΕξωτερική δοκιμή διείσδυσης τουλάχιστον ετησίως, εσωτερική για τις βασικές οντότητες και ετήσια αυτοαξιολόγηση προς την ΕΑΚ. Το Vardion καταγράφει τις δοκιμές, εισάγει τα ευρήματα του ελεγκτή και βοηθά στη συμπλήρωση της αυτοαξιολόγησης.
16. Ασφάλεια δικτύων
17. Προστασία από κακόβουλο λογισμικό
18. Εκπαίδευση και ευαισθητοποίηση σε θέματα κυβερνοασφάλειας
19. Χρήση κρυπτογραφίας
20. Φυσική και περιβαλλοντική ασφάλεια
21. Διαχείριση περιστατικών κυβερνοασφάλειαςΜητρώο περιστατικών με την αξιολόγηση σημαντικότητας, τα σχέδια αναφορών και κάθε προθεσμία.
22. Επιχειρησιακή συνέχεια και διαχείριση κρίσεωνΑνάλυση επιχειρησιακών επιπτώσεων, σχέδια αντιμετώπισης και ασκήσεις.

Τι κάνει το Vardion για κάθε άρθρο της ΚΥΑ

• Μετριέται συνεχώς: οι σαρώσεις και οι συνδεδεμένοι λογαριασμοί σας προσθέτουν τεκμήρια σε κάθε εκτέλεση.
• Καταγράφεται και τεκμηριώνεται στο Vardion: αξιολογείται στην ανάλυση κενών της ΕΑΚ ή συντάσσεται στο σύνολο πολιτικών, με τα αρχεία τεκμηρίων του.

Πώς εγγράφεστε στην πλατφόρμα;

Κάθε βασική και σημαντική οντότητα εγγράφεται στην ψηφιακή πλατφόρμα της ΕΑΚ (ν. 5160/2024, άρθρο 4 παρ. 3)^[2], που λειτουργεί με την ΚΥΑ 1381/2025^[4]. Η προθεσμία εγγραφής έληξε στις 30 Σεπτεμβρίου 2025^[5]. Μια οντότητα που δεν έχει εγγραφεί υποβάλλει τα στοιχεία της αμελλητί, και κάθε αλλαγή τους εντός δύο εβδομάδων^[6][5]. Στην πλατφόρμα δηλώνεται και ο ΥΑΣΠΕ^[7].

Τι είναι η ετήσια αυτοαξιολόγηση;

Κάθε βασική και σημαντική οντότητα διενεργεί αυτοαξιολόγηση της ασφάλειας των συστημάτων της κάθε χρόνο, και μετά από κάθε σοβαρό περιστατικό, με τον Οδηγό που εκδίδει η ΕΑΚ. Στέλνει τα αποτελέσματα στην ΕΑΚ μαζί με πλάνο διορθωτικών ενεργειών (ΚΥΑ 1689/2025, άρθρο 18 παρ. 1 στοιχείο δ)^[1].

Η απόφαση δεν ορίζει ημερομηνία ή τρόπο αποστολής. Η ΕΑΚ δημοσιεύει το διαδικτυακό εργαλείο της αυτοαξιολόγησης^[8]. Για την ημερομηνία και τον τρόπο αποστολής, επιβεβαιώστε με την Αρχή. Δείτε τη σελίδα για την αυτοαξιολόγηση.

Χρειάζεστε δοκιμές διείσδυσης;

Το ίδιο άρθρο ζητά εξωτερική δοκιμή διείσδυσης τουλάχιστον μία φορά τον χρόνο ή μετά από σοβαρό περιστατικό από κάθε βασική και σημαντική οντότητα. Οι βασικές οντότητες οφείλουν και εσωτερική δοκιμή με την ίδια συχνότητα (άρθρο 18 παρ. 1 στοιχείο β και παρ. 2 στοιχείο α)^[1].

Χρειάζεστε υπεύθυνο ασφάλειας (ΥΑΣΠΕ);

Κάθε οντότητα ορίζει Υπεύθυνο Ασφάλειας Συστημάτων Πληροφορικής και Επικοινωνιών από τα στελέχη της, που αναφέρεται απευθείας στο ανώτατο όργανο διοίκησης (άρθρο 7)^[1]. Τα προσόντα και τα ασυμβίβαστα ορίζει η ΥΑ 1899/2025^[7]· δείτε ποιος μπορεί να είναι ΥΑΣΠΕ.

Ποια είναι τα πρόστιμα;

Τα πρόστιμα ορίζει το άρθρο 26 του ν. 5160/2024.

Η Αρχή επιβάλλει τα πρόστιμα με αιτιολογημένη απόφαση μετά από ακρόαση, και η διάρκεια μιας παράβασης είναι ένα από τα στοιχεία που σταθμίζει^[2].

Ποια αξιολόγηση της ΕΑΚ χρειάζεστε;

Τι αλλάζει με την πρόταση της Επιτροπής του 2026;

Στις 20 Ιανουαρίου 2026 η Ευρωπαϊκή Επιτροπή πρότεινε στοχευμένες τροποποιήσεις της NIS2, μαζί με την αναθεώρηση της Πράξης για την Κυβερνοασφάλεια^[9]. Πρόκειται για πρόταση: μέχρι να την εγκρίνουν το Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο και να ενσωματωθεί, οι υποχρεώσεις του ν. 5160/2024 και της ΚΥΑ 1689/2025 ισχύουν όπως είναι.

Τι να κάνετε τώρα

• Ελέγξτε αν σας αφορά ο νόμος, με το τεστ υπαγωγής της ΕΑΚ ή με τον έλεγχο εφαρμογής του Vardion, που αθροίζει τον όμιλο.
• Αν δεν έχετε εγγραφεί στην πλατφόρμα της ΕΑΚ, εγγραφείτε τώρα.
• Ορίστε ΥΑΣΠΕ από τα στελέχη σας και δηλώστε τον στην πλατφόρμα. Δείτε ποιος μπορεί να είναι ΥΑΣΠΕ.
• Ξεκινήστε την αυτοαξιολόγηση της ΕΑΚ, που στέλνεται κάθε χρόνο με πλάνο διορθωτικών ενεργειών.
• Φέρτε τα μέτρα για έγκριση στο ανώτατο όργανο διοίκησης και καταγράψτε την έγκριση.

Συχνές ερωτήσεις

Πηγές

1. ΚΥΑ 1689/2025 (ΦΕΚ Β' 2186/2025), αντίγραφο της ΕΑΚ, ελέγχθηκε στις 24 Οκτωβρίου 2026
2. Ν. 5160/2024 (ΦΕΚ Α' 195/27.11.2024), αντίγραφο της ΕΑΚ, ελέγχθηκε στις 24 Οκτωβρίου 2026
3. ΕΑΚ, τεστ υπαγωγής στο πεδίο εφαρμογής, ελέγχθηκε στις 24 Οκτωβρίου 2026
4. ΚΥΑ 1381/2025 (ΦΕΚ Β' 463/2025) για την πλατφόρμα εγγραφής, ελέγχθηκε στις 24 Οκτωβρίου 2026
5. ΕΑΚ, εγκύκλιος οικ. 28211/10.9.2025 για την εγγραφή στην πλατφόρμα, ελέγχθηκε στις 24 Οκτωβρίου 2026
6. ΕΑΚ, συχνές ερωτήσεις για την πλατφόρμα εγγραφής, ελέγχθηκε στις 24 Οκτωβρίου 2026
7. ΥΑ 1899/2025 (ΦΕΚ Β' 4250/5.8.2025) για τον ΥΑΣΠΕ, αντίγραφο της ΕΑΚ, ελέγχθηκε στις 2 Νοεμβρίου 2026
8. ΕΑΚ, Εργαλείο Αυτοαξιολόγησης, ελέγχθηκε στις 24 Οκτωβρίου 2026
9. Ευρωπαϊκή Επιτροπή, πρόταση οδηγίας COM(2026) 13, 20 Ιανουαρίου 2026, ελέγχθηκε στις 24 Οκτωβρίου 2026