Πόροι / Οδηγός
Η NIS2: τι ζητά και από ποιους
Ενημερώθηκε 2 Νοεμβρίου 2026
Η Οδηγία (ΕΕ) 2022/2555 (NIS2) υποχρεώνει τις μεσαίες και μεγάλες επιχειρήσεις 18 τομέων να διαχειρίζονται τον κίνδυνο κυβερνοασφάλειας και να αναφέρουν τα σημαντικά περιστατικά[1]. Στην Ελλάδα εφαρμόζεται με τον ν. 5160/2024 και την ΚΥΑ 1689/2025.
Γιατί έχει σημασία τώρα;
Από τις εισβολές που ανέλυσε ο ENISA, το 60% ξεκίνησε με ηλεκτρονικό ψάρεμα και το 21,3% με εκμετάλλευση ευπάθειας[2].
Ποιους αφορά η NIS2;
Τις δημόσιες ή ιδιωτικές οντότητες των τομέων των Παραρτημάτων Ι και ΙΙ που είναι τουλάχιστον μεσαίες επιχειρήσεις: 50 ή περισσότεροι εργαζόμενοι, ή κύκλος εργασιών και ισολογισμός άνω των 10 εκατ. €[1][3]. Ορισμένες οντότητες υπάγονται ανεξάρτητα από το μέγεθός τους, όπως οι πάροχοι υπηρεσιών εμπιστοσύνης, τα μητρώα ονομάτων ανωτάτου επιπέδου και οι πάροχοι DNS[1].
Μια οντότητα υπάγεται στη χώρα όπου είναι εγκατεστημένη (άρθρο 26)[1]. Οι μεγάλες επιχειρήσεις των τομέων υψηλής κρισιμότητας είναι κατά κανόνα βασικές οντότητες και οι υπόλοιπες σημαντικές· η διαφορά αλλάζει την εποπτεία και τα πρόστιμα.
Στην Ελλάδα ορισμένες οντότητες είναι βασικές ανεξάρτητα από το μέγεθός τους (ν. 5160/2024, άρθρο 4 παρ. 1)[4]:
- οι εγκεκριμένοι πάροχοι υπηρεσιών εμπιστοσύνης, τα μητρώα ονομάτων τομέα ανωτάτου επιπέδου και οι πάροχοι υπηρεσιών DNS (στοιχείο β)·
- οι πάροχοι δημόσιων δικτύων ή υπηρεσιών ηλεκτρονικών επικοινωνιών που είναι μεσαίες επιχειρήσεις (στοιχείο γ)·
- οι φορείς της κεντρικής κυβέρνησης (στοιχείο δ)·
- όσες προσδιορίζει ως βασικές η ΕΑΚ, όπως ο μοναδικός πάροχος μιας ουσιώδους υπηρεσίας (στοιχείο ε και παρ. 3)·
- οι κρίσιμες οντότητες της Οδηγίας (ΕΕ) 2022/2557 (στοιχείο στ)·
- οι φορείς εκμετάλλευσης βασικών υπηρεσιών που είχαν αναγνωριστεί πριν από τις 16 Ιανουαρίου 2023 (στοιχείο ζ).
Τι απαιτεί η NIS2;
Κάθε οντότητα λαμβάνει κατάλληλα και αναλογικά μέτρα που καλύπτουν τουλάχιστον τα ακόλουθα.
- Πολιτικές ανάλυσης κινδύνου και ασφάλειας των συστημάτων πληροφοριώνΣτο Vardion: μητρώο κινδύνων, σχέδια πολιτικών και τα αρχεία του ΣΔΑΠ
- Διαχείριση περιστατικώνΣτο Vardion: μητρώο περιστατικών με αξιολόγηση σημαντικότητας, σχέδια αναφορών και τις προθεσμίες του άρθρου 23
- Επιχειρησιακή συνέχεια, όπως διαχείριση αντιγράφων ασφαλείας και αποκατάσταση μετά από καταστροφή, και διαχείριση κρίσεωνΣτο Vardion: ανάλυση επιχειρησιακών επιπτώσεων, σχέδια αντιμετώπισης, ασκήσεις και η ομάδα κρίσης
- Ασφάλεια της αλυσίδας εφοδιασμού, μαζί με τις πτυχές ασφάλειας των σχέσεων με τους άμεσους προμηθευτές ή παρόχους υπηρεσιώνΣτο Vardion: μητρώο προμηθευτών με παθητικό έλεγχο του domain τους και ερωτηματολόγια
- Ασφάλεια στην απόκτηση, ανάπτυξη και συντήρηση συστημάτων, μαζί με τον χειρισμό και τη γνωστοποίηση ευπαθειώνΣτο Vardion: προγραμματισμένη σάρωση ευπαθειών με σχέδιο διόρθωσης
- Πολιτικές και διαδικασίες για την αξιολόγηση της αποτελεσματικότητας των μέτρωνΣτο Vardion: αξιολογήσεις ωριμότητας, εσωτερικοί έλεγχοι και ο φάκελος τεκμηρίων
- Βασικές πρακτικές κυβερνοϋγιεινής και κατάρτιση στην κυβερνοασφάλειαΣτο Vardion: αποτελέσματα προσομοιώσεων ηλεκτρονικού ψαρέματος και εκπαιδεύσεων
- Πολιτικές και διαδικασίες για τη χρήση κρυπτογραφίας και, όπου ενδείκνυται, κρυπτογράφησηςΣτο Vardion: έλεγχοι TLS, πιστοποιητικών και SSH σε κάθε υπηρεσία που σαρώνεται, με DNSSEC για κάθε domain
- Ασφάλεια ανθρώπινου δυναμικού, πολιτικές ελέγχου πρόσβασης και διαχείριση περιουσιακών στοιχείωνΣτο Vardion: μητρώο συστημάτων, υπεύθυνοι και έλεγχοι ρυθμίσεων ταυτότητας
- Πολυπαραγοντικός ή συνεχής έλεγχος ταυτότητας, ασφαλείς επικοινωνίες και ασφαλή συστήματα επικοινωνίας έκτακτης ανάγκηςΣτο Vardion: έλεγχος εφαρμογής του MFA στο Microsoft 365 και στο Google Workspace
Τι κάνει το Vardion για κάθε μέτρο της NIS2
- Μετριέται συνεχώς: οι σαρώσεις και οι συνδεδεμένοι λογαριασμοί σας προσθέτουν τεκμήρια σε κάθε εκτέλεση.
- Καταγράφεται και τεκμηριώνεται στο Vardion: αξιολογείται στην ανάλυση κενών της ΕΑΚ ή συντάσσεται στο σύνολο πολιτικών, με τα αρχεία τεκμηρίων του.
| Μέτρο | Στο Vardion |
|---|---|
| 21(2)(α)Πολιτικές για την ανάλυση κινδύνου και την ασφάλεια των πληροφοριακών συστημάτων | Καταγράφεται και τεκμηριώνεται στο VardionΑξιολογείται με 20 σημεία ελέγχου της ανάλυσης κενών της ΕΑΚ |
| 21(2)(β)Χειρισμός περιστατικών | Μετριέται συνεχώςΤο Vardion παρέχει τεκμήρια για το αν οι συνδεδεμένοι λογαριασμοί cloud τηρούν αρχείο δραστηριότητας ή ελέγχου. Καταγράφεται και τεκμηριώνεται στο VardionΑξιολογείται με 5 σημεία ελέγχου της ανάλυσης κενών της ΕΑΚ |
| 21(2)(γ)Επιχειρησιακή συνέχεια, όπως διαχείριση αντιγράφων ασφαλείας και αποκατάσταση έπειτα από καταστροφή, και διαχείριση των κρίσεων | Μετριέται συνεχώςΤο Vardion παρέχει τεκμήρια για αντίγραφα ασφαλείας που σερβίρονται στο διαδίκτυο, τον πλεονασμό διακομιστών ονομάτων και τις καταχωρίσεις τομέων που λήγουν. Καταγράφεται και τεκμηριώνεται στο VardionΑξιολογείται με 13 σημεία ελέγχου της ανάλυσης κενών της ΕΑΚ |
| 21(2)(δ)Ασφάλεια της αλυσίδας εφοδιασμού, συμπεριλαμβανομένων των σχετικών με την ασφάλεια πτυχών που αφορούν τις σχέσεις μεταξύ κάθε οντότητας και των άμεσων προμηθευτών ή παρόχων υπηρεσιών της | Μετριέται συνεχώςΤο Vardion παρέχει τεκμήρια για εγγραφές DNS που δείχνουν ακόμη σε πόρο παρόχου που δεν κατέχει κανείς. Καταγράφεται και τεκμηριώνεται στο VardionΑξιολογείται με 8 σημεία ελέγχου της ανάλυσης κενών της ΕΑΚ |
| 21(2)(ε)Ασφάλεια στην απόκτηση, ανάπτυξη και συντήρηση συστημάτων δικτύου και πληροφοριών, συμπεριλαμβανομένου του χειρισμού και της γνωστοποίησης ευπαθειών | Μετριέται συνεχώςΤο Vardion παρέχει τεκμήρια για αδυναμίες σε εγκεκριμένες διευθύνσεις, τις διορθώσεις που επιβεβαίωσαν μεταγενέστερες σαρώσεις και το αν κάθε ιστότοπος δημοσιεύει επαφή για αναφορά ευπαθειών. Καταγράφεται και τεκμηριώνεται στο VardionΑξιολογείται με 44 σημεία ελέγχου της ανάλυσης κενών της ΕΑΚ |
| 21(2)(στ)Πολιτικές και διαδικασίες για την αξιολόγηση της αποτελεσματικότητας των μέτρων διαχείρισης κινδύνων στον τομέα της κυβερνοασφάλειας | Μετριέται συνεχώςΤο Vardion παρέχει τεκμήρια ότι έγιναν σαρώσεις στην περίοδο και ποιες αναφερθείσες διορθώσεις επιβεβαίωσε μια σάρωση. Καταγράφεται και τεκμηριώνεται στο VardionΑξιολογείται με 18 σημεία ελέγχου της ανάλυσης κενών της ΕΑΚ |
| 21(2)(ζ)Βασικές πρακτικές κυβερνοϋγιεινής και κατάρτιση στην κυβερνοασφάλεια | Καταγράφεται και τεκμηριώνεται στο VardionΑξιολογείται με 22 σημεία ελέγχου της ανάλυσης κενών της ΕΑΚ |
| 21(2)(η)Πολιτικές και διαδικασίες σχετικά με τη χρήση κρυπτογραφίας και, κατά περίπτωση, κρυπτογράφησης | Μετριέται συνεχώςΤο Vardion παρέχει τεκμήρια για πιστοποιητικά, ρυθμίσεις TLS και εγγραφές CAA στις υπηρεσίες που σαρώθηκαν. Καταγράφεται και τεκμηριώνεται στο VardionΑξιολογείται με 3 σημεία ελέγχου της ανάλυσης κενών της ΕΑΚ |
| 21(2)(θ)Ασφάλεια ανθρώπινων πόρων, πολιτικές ελέγχου πρόσβασης και διαχείριση πάγιων στοιχείων | Μετριέται συνεχώςΤο Vardion παρέχει τεκμήρια για εκτεθειμένες σελίδες σύνδεσης, προεπιλεγμένα και διαρρεύσαντα διαπιστευτήρια, ξεχασμένα στοιχεία και, στους συνδεδεμένους λογαριασμούς cloud και ταυτότητας, για διαχειριστές, πρόσβαση επισκεπτών και δημόσια κοινή χρήση. Καταγράφεται και τεκμηριώνεται στο VardionΑξιολογείται με 17 σημεία ελέγχου της ανάλυσης κενών της ΕΑΚ |
| 21(2)(ι)Χρήση λύσεων πολυπαραγοντικής επαλήθευσης ταυτότητας ή συνεχούς επαλήθευσης ταυτότητας, ασφαλών φωνητικών επικοινωνιών, επικοινωνιών βίντεο και κειμένου και ασφαλών συστημάτων επικοινωνιών έκτακτης ανάγκης εντός της οντότητας, κατά περίπτωση | Μετριέται συνεχώςΤο Vardion παρέχει τεκμήρια για σελίδες σύνδεσης προσβάσιμες από το διαδίκτυο και διαρρεύσαντα διαπιστευτήρια, και για το αν η πολυπαραγοντική ταυτοποίηση είναι καταχωρισμένη και επιβάλλεται σε συνδεδεμένο μισθωτή Microsoft 365 ή τομέα Google Workspace. Καταγράφεται και τεκμηριώνεται στο VardionΑξιολογείται με 5 σημεία ελέγχου της ανάλυσης κενών της ΕΑΚ |
Για τι ευθύνεται η διοίκηση;
Τα όργανα διοίκησης εγκρίνουν τα μέτρα, εποπτεύουν την εφαρμογή τους και μπορούν να θεωρηθούν υπεύθυνα για παραβάσεις (άρθρο 20 παρ. 1). Τα μέλη τους παρακολουθούν εκπαίδευση (άρθρο 20 παρ. 2)[1].
Πώς αναφέρετε ένα περιστατικό;
| Αναφορά | Προθεσμία (άρθρο 23 παρ. 4) |
|---|---|
| Έγκαιρη προειδοποίηση | Εντός 24 ωρών αφότου λάβετε γνώση σημαντικού περιστατικού |
| Κοινοποίηση περιστατικού | Εντός 72 ωρών αφότου λάβετε γνώση, με αρχική αξιολόγηση |
| Ενδιάμεση αναφορά | Κατόπιν αιτήματος της CSIRT ή της αρμόδιας αρχής |
| Τελική έκθεση | Εντός ενός μήνα από την κοινοποίηση· αν το περιστατικό συνεχίζεται, έκθεση προόδου και τελική έκθεση εντός ενός μήνα από τον χειρισμό του |
Ποια είναι τα πρόστιμα;
Η Οδηγία ορίζει το ελάχιστο ανώτατο όριο που πρέπει να προβλέπει κάθε κράτος μέλος: 10.000.000 € ή 2% του παγκόσμιου ετήσιου κύκλου εργασιών για βασική οντότητα και 7.000.000 € ή 1,4% για σημαντική, όποιο είναι υψηλότερο (άρθρο 34)[1]. Ο ν. 5160/2024 προσθέτει πρόστιμα για τις υποχρεώσεις της διοίκησης· δείτε τη σελίδα του νόμου.
Τι αλλάζει με την πρόταση της Επιτροπής του 2026;
Στις 20 Ιανουαρίου 2026 η Ευρωπαϊκή Επιτροπή πρότεινε στοχευμένες τροποποιήσεις της NIS2, μαζί με την αναθεώρηση της Πράξης για την Κυβερνοασφάλεια[5]. Πρόκειται για πρόταση: μέχρι να την εγκρίνουν το Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο και να ενσωματωθεί, οι υποχρεώσεις του ν. 5160/2024 και της ΚΥΑ 1689/2025 ισχύουν όπως είναι.
Τι να κάνετε τώρα
- Ελέγξτε αν σας αφορά ο νόμος, με το τεστ υπαγωγής της ΕΑΚ ή με τον έλεγχο εφαρμογής του Vardion, που αθροίζει τον όμιλο.
- Αν δεν έχετε εγγραφεί στην πλατφόρμα της ΕΑΚ, εγγραφείτε τώρα.
- Ορίστε ΥΑΣΠΕ από τα στελέχη σας και δηλώστε τον στην πλατφόρμα. Δείτε ποιος μπορεί να είναι ΥΑΣΠΕ.
- Ξεκινήστε την αυτοαξιολόγηση της ΕΑΚ, που στέλνεται κάθε χρόνο με πλάνο διορθωτικών ενεργειών.
- Φέρτε τα μέτρα για έγκριση στο ανώτατο όργανο διοίκησης και καταγράψτε την έγκριση.
Συχνές ερωτήσεις
Με αφορά η NIS2;
Αφορά τις μεσαίες και μεγάλες επιχειρήσεις των 18 τομέων των Παραρτημάτων Ι και ΙΙ, και ορισμένες οντότητες ανεξάρτητα από το μέγεθος. Το βρίσκετε με τον έλεγχο εφαρμογής του Vardion, που αθροίζει και τον όμιλό σας.
Ποια μέτρα του άρθρου 21 μετρά το Vardion;
Κάθε σημείο που φαίνεται από σάρωση ή από συνδεδεμένο λογαριασμό, με την ένδειξη Μετριέται συνεχώς στον πίνακα παραπάνω. Τα υπόλοιπα αξιολογούνται και τεκμηριώνονται στο Vardion.
Πού ορίζει η Ελλάδα τις λεπτομέρειες;
Στην ΚΥΑ 1689/2025, της οποίας τα άρθρα 4 έως 25 ορίζουν τα μέτρα, κατ' εφαρμογή του ν. 5160/2024.
Πηγές
- Οδηγία (ΕΕ) 2022/2555 (NIS2), ελέγχθηκε στις 24 Οκτωβρίου 2026
- ENISA Threat Landscape 2025, ελέγχθηκε στις 24 Οκτωβρίου 2026
- Σύσταση 2003/361/ΕΚ για τις πολύ μικρές, μικρές και μεσαίες επιχειρήσεις, ελέγχθηκε στις 24 Οκτωβρίου 2026
- Ν. 5160/2024 (ΦΕΚ Α' 195/27.11.2024), αντίγραφο της ΕΑΚ, ελέγχθηκε στις 24 Οκτωβρίου 2026
- Ευρωπαϊκή Επιτροπή, πρόταση οδηγίας COM(2026) 13, 20 Ιανουαρίου 2026, ελέγχθηκε στις 24 Οκτωβρίου 2026
Κάντε την ετήσια αυτοαξιολόγηση της ΕΑΚ στο Vardion
Οι 234 ερωτήσεις στα ελληνικά της Αρχής, με τη βαθμολογία του εργαλείου της.