Πόροι / Νομοθεσία
Ο ν. 5160/2024: η NIS2 στο ελληνικό δίκαιο
Ενημερώθηκε 24 Οκτωβρίου 2026
Ο ν. 5160/2024 (ΦΕΚ Α' 195/27.11.2024) ενσωματώνει την Οδηγία NIS2 στο ελληνικό δίκαιο[1]. Ορίζει ποιους αφορά, τι οφείλουν οι διοικήσεις τους, πώς αναφέρονται τα περιστατικά και ποια πρόστιμα επιβάλλει η Εθνική Αρχή Κυβερνοασφάλειας (ΕΑΚ). Τα μέτρα τα εξειδικεύει η ΚΥΑ 1689/2025.
Ποιους αφορά ο ν. 5160/2024;
- Τις δημόσιες ή ιδιωτικές οντότητες των τομέων των Παραρτημάτων Ι και ΙΙ που είναι μεσαίες ή μεγαλύτερες επιχειρήσεις κατά τη Σύσταση 2003/361/ΕΚ και είναι εγκατεστημένες ή δραστηριοποιούνται στην Ελλάδα (άρθρο 3 παρ. 1)[1][2].
- Ανεξάρτητα από το μέγεθος: τους παρόχους δημόσιων δικτύων και υπηρεσιών ηλεκτρονικών επικοινωνιών, τους παρόχους υπηρεσιών εμπιστοσύνης, τα μητρώα ονομάτων ανωτάτου επιπέδου και τους παρόχους DNS, τον μοναδικό πάροχο ουσιώδους υπηρεσίας και τις κρίσιμες οντότητες (άρθρο 3 παρ. 2 και 3)[1].
- Τους φορείς της κεντρικής κυβέρνησης και τους Οργανισμούς Τοπικής Αυτοδιοίκησης β' βαθμού, και τους ΟΤΑ α' βαθμού από τις 27 Νοεμβρίου 2026 (άρθρο 3 παρ. 2 στοιχείο στ)[1][3]. Δείτε τον νόμο στον δημόσιο τομέα.
Το άρθρο 4 χωρίζει τις οντότητες σε βασικές και σημαντικές. Μια μεσαία επιχείρηση μετρά τον όμιλό της: η Σύσταση προσθέτει τα στοιχεία των συνδεδεμένων επιχειρήσεων στο σύνολό τους και των συνεργαζόμενων κατά το ποσοστό συμμετοχής[2].
Για τι ευθύνεται η διοίκηση;
Τα όργανα διοίκησης εγκρίνουν τα μέτρα διαχείρισης κινδύνων, εποπτεύουν την εφαρμογή τους και είναι υπεύθυνα για παραβάσεις τους (άρθρο 14 παρ. 1). Τα μέλη τους εκπαιδεύονται, και η οντότητα εκπαιδεύει το προσωπικό της τουλάχιστον μία φορά τον χρόνο (άρθρο 14 παρ. 2)[1].
Ποια μέτρα και ποιες αναφορές απαιτεί;
Οι οντότητες λαμβάνουν τα μέτρα του άρθρου 15, που εξειδικεύει η ΚΥΑ 1689/2025[1][4]. Κοινοποιούν αμελλητί κάθε σημαντικό περιστατικό στην CSIRT της ΕΑΚ με τις προθεσμίες της Οδηγίας: έγκαιρη προειδοποίηση εντός 24 ωρών, κοινοποίηση εντός 72 ωρών και τελική έκθεση εντός ενός μήνα (άρθρο 16)[1][5]. Οι φορείς της κεντρικής κυβέρνησης και οι ΟΤΑ κοινοποιούν στο Εθνικό CERT της ΕΥΠ, με ταυτόχρονη ενημέρωση της ΕΑΚ (άρθρα 10 και 16)[1].
Τι κάνει το Vardion για κάθε άρθρο της ΚΥΑ
- Μετριέται συνεχώς: οι σαρώσεις και οι συνδεδεμένοι λογαριασμοί σας προσθέτουν τεκμήρια σε κάθε εκτέλεση.
- Καταγράφεται και τεκμηριώνεται στο Vardion: αξιολογείται στην ανάλυση κενών της ΕΑΚ ή συντάσσεται στο σύνολο πολιτικών, με τα αρχεία τεκμηρίων του.
| Μέτρο | Στο Vardion |
|---|---|
| Άρθρο 4Υποχρεώσεις και ευθύνη των ανωτάτων οργάνων διοίκησης | Καταγράφεται και τεκμηριώνεται στο VardionΑξιολογείται με 6 σημεία ελέγχου της ανάλυσης κενών της ΕΑΚΣχέδιο στο σύνολο πολιτικών: Πολιτική ασφάλειας πληροφοριών |
| Άρθρο 5Πλαίσιο διαχείρισης κινδύνων | Καταγράφεται και τεκμηριώνεται στο VardionΑξιολογείται με 6 σημεία ελέγχου της ανάλυσης κενών της ΕΑΚΣχέδιο στο σύνολο πολιτικών: Διαδικασία διαχείρισης κινδύνων |
| Άρθρο 6Πολιτικές και διαδικασίες ασφάλειας πληροφοριών | Καταγράφεται και τεκμηριώνεται στο VardionΑξιολογείται με 5 σημεία ελέγχου της ανάλυσης κενών της ΕΑΚΣχέδιο στο σύνολο πολιτικών: Πολιτική ασφάλειας πληροφοριών, Διαδικασία διαχείρισης εξαιρέσεων |
| Άρθρο 7Ρόλοι, αρμοδιότητες και εξουσίες | Καταγράφεται και τεκμηριώνεται στο VardionΑξιολογείται με 4 σημεία ελέγχου της ανάλυσης κενών της ΕΑΚΣχέδιο στο σύνολο πολιτικών: Πολιτική ασφάλειας πληροφοριών |
| Άρθρο 8Ανεξάρτητος έλεγχος ασφάλειας πληροφοριών | Καταγράφεται και τεκμηριώνεται στο VardionΑξιολογείται με 4 σημεία ελέγχου της ανάλυσης κενών της ΕΑΚ |
| Άρθρο 9Διαδικασίες παρακολούθησης της συμμόρφωσης | Καταγράφεται και τεκμηριώνεται στο VardionΑξιολογείται με 3 σημεία ελέγχου της ανάλυσης κενών της ΕΑΚΣχέδιο στο σύνολο πολιτικών: Διαδικασία διαχείρισης εξαιρέσεων |
| Άρθρο 10Ασφάλεια ανθρώπινου δυναμικού | Καταγράφεται και τεκμηριώνεται στο VardionΑξιολογείται με 5 σημεία ελέγχου της ανάλυσης κενών της ΕΑΚΣχέδιο στο σύνολο πολιτικών: Πολιτική αποδεκτής χρήσης |
| Άρθρο 11Διαχείριση υλικού και λογισμικού | Μετριέται συνεχώςΤο Vardion παρέχει τεκμήρια για τα ονόματα, τις διευθύνσεις και τις υπηρεσίες προς το διαδίκτυο που ανακάλυψε, τις εσωτερικές υπηρεσίες στα δηλωμένα εύρη και τους υπολογιστές που αναφέρουν το λογισμικό τους. Καταγράφεται και τεκμηριώνεται στο VardionΑξιολογείται με 10 σημεία ελέγχου της ανάλυσης κενών της ΕΑΚΣχέδιο στο σύνολο πολιτικών: Πολιτική διαχείρισης πόρων, Πολιτική αποδεκτής χρήσης, Πολιτική αφαιρούμενων μέσων |
| Άρθρο 12Διαχείριση κινδύνων από τις σχέσεις με προμηθευτές και παρόχους υπηρεσιών Τ.Π.Ε. | Μετριέται συνεχώςΤο Vardion παρέχει τεκμήρια για εγγραφές DNS που δείχνουν ακόμη σε πόρο παρόχου που δεν κατέχει κανείς, και καταγράφει στο Αναφορές, Προμηθευτές τους παρόχους που αναφέρουν οι εγγραφές του. Καταγράφεται και τεκμηριώνεται στο VardionΑξιολογείται με 10 σημεία ελέγχου της ανάλυσης κενών της ΕΑΚΣχέδιο στο σύνολο πολιτικών: Πολιτική ασφάλειας της εφοδιαστικής αλυσίδας |
| Άρθρο 13Διαχείριση λογαριασμών και έλεγχος πρόσβασης | Μετριέται συνεχώςΤο Vardion παρέχει τεκμήρια για προεπιλεγμένα και διαρρεύσαντα διαπιστευτήρια, σελίδες διαχείρισης και σύνδεσης προσβάσιμες από το διαδίκτυο και, στους συνδεδεμένους λογαριασμούς cloud και ταυτότητας, για πολυπαραγοντική ταυτοποίηση, διαχειριστές και πρόσβαση επισκεπτών. Καταγράφεται και τεκμηριώνεται στο VardionΑξιολογείται με 13 σημεία ελέγχου της ανάλυσης κενών της ΕΑΚΣχέδιο στο σύνολο πολιτικών: Πολιτική ελέγχου πρόσβασης |
| Άρθρο 14Ασφαλής παραμετροποίηση υλικού, λογισμικού, υπηρεσιών και δικτύων | Μετριέται συνεχώςΤο Vardion παρέχει τεκμήρια για αδυναμίες ρυθμίσεων στις υπηρεσίες που σαρώθηκαν και τις ρυθμίσεις email και DNS των τομέων του εύρους. Καταγράφεται και τεκμηριώνεται στο VardionΑξιολογείται με 4 σημεία ελέγχου της ανάλυσης κενών της ΕΑΚΣχέδιο στο σύνολο πολιτικών: Πολιτική ασφάλειας δικτύου |
| Άρθρο 15Αρχές ασφαλούς ανάπτυξης εφαρμογών | Καταγράφεται και τεκμηριώνεται στο VardionΑξιολογείται με 5 σημεία ελέγχου της ανάλυσης κενών της ΕΑΚ |
| Άρθρο 16Διαχείριση αλλαγών | Καταγράφεται και τεκμηριώνεται στο VardionΑξιολογείται με 5 σημεία ελέγχου της ανάλυσης κενών της ΕΑΚ |
| Άρθρο 17Διαχείριση και γνωστοποίηση ευπαθειών | Μετριέται συνεχώςΤο Vardion εκτελεί τις περιοδικές σαρώσεις ευπαθειών που ορίζει το Άρθρο 17, και παρέχει τεκμήρια για ευπάθειες που βρέθηκαν, λογισμικό εκτός υποστήριξης και τις διορθώσεις που επιβεβαίωσαν μεταγενέστερες σαρώσεις. Καταγράφεται και τεκμηριώνεται στο VardionΑξιολογείται με 11 σημεία ελέγχου της ανάλυσης κενών της ΕΑΚΣχέδιο στο σύνολο πολιτικών: Πολιτική δοκιμών ασφάλειας |
| Άρθρο 18Αξιολόγηση της αποτελεσματικότητας των μέτρων διαχείρισης κινδύνων κυβερνοασφάλειας | Μετριέται συνεχώςΤο Vardion παρέχει τεκμήρια ότι έγιναν σαρώσεις στην περίοδο και ποιες αναφερθείσες διορθώσεις επιβεβαίωσε μια σάρωση. Καταγράφεται και τεκμηριώνεται στο VardionΑξιολογείται με 6 σημεία ελέγχου της ανάλυσης κενών της ΕΑΚΣχέδιο στο σύνολο πολιτικών: Πολιτική δοκιμών ασφάλειας |
| Άρθρο 19Ασφάλεια δικτύων | Μετριέται συνεχώςΤο Vardion παρέχει τεκμήρια για υπηρεσίες και σελίδες διαχείρισης προσβάσιμες από το διαδίκτυο και επικίνδυνες υπηρεσίες στα δηλωμένα εσωτερικά εύρη. Καταγράφεται και τεκμηριώνεται στο VardionΑξιολογείται με 21 σημεία ελέγχου της ανάλυσης κενών της ΕΑΚΣχέδιο στο σύνολο πολιτικών: Πολιτική ασφάλειας δικτύου |
| Άρθρο 20Προστασία από κακόβουλο λογισμικό | Καταγράφεται και τεκμηριώνεται στο VardionΑξιολογείται με 9 σημεία ελέγχου της ανάλυσης κενών της ΕΑΚ |
| Άρθρο 21Εκπαίδευση και ευαισθητοποίηση σε θέματα κυβερνοασφάλειας | Καταγράφεται και τεκμηριώνεται στο VardionΑξιολογείται με 4 σημεία ελέγχου της ανάλυσης κενών της ΕΑΚ |
| Άρθρο 22Χρήση κρυπτογραφίας | Μετριέται συνεχώςΤο Vardion παρέχει τεκμήρια για πιστοποιητικά, ρυθμίσεις TLS και SSH, εγγραφές CAA και DNSSEC στις υπηρεσίες και τους τομείς που σαρώθηκαν. Καταγράφεται και τεκμηριώνεται στο VardionΑξιολογείται με 5 σημεία ελέγχου της ανάλυσης κενών της ΕΑΚΣχέδιο στο σύνολο πολιτικών: Πολιτική αφαιρούμενων μέσων, Πολιτική κρυπτογραφίας |
| Άρθρο 23Φυσική και περιβαλλοντική ασφάλεια | Καταγράφεται και τεκμηριώνεται στο VardionΑξιολογείται με 7 σημεία ελέγχου της ανάλυσης κενών της ΕΑΚΣχέδιο στο σύνολο πολιτικών: Πολιτική φυσικής και περιβαλλοντικής ασφάλειας |
| Άρθρο 24Διαχείριση περιστατικών κυβερνοασφάλειας | Μετριέται συνεχώςΤο Vardion παρέχει τεκμήρια για το αν οι συνδεδεμένοι λογαριασμοί cloud τηρούν αρχείο δραστηριότητας ή ελέγχου. Καταγράφεται και τεκμηριώνεται στο VardionΑξιολογείται με 13 σημεία ελέγχου της ανάλυσης κενών της ΕΑΚΣχέδιο στο σύνολο πολιτικών: Πολιτική διαχείρισης περιστατικών, Διαδικασία διαχείρισης περιστατικών |
| Άρθρο 25Επιχειρησιακή συνέχεια και διαχείριση κρίσεων | Μετριέται συνεχώςΤο Vardion παρέχει τεκμήρια για αντίγραφα ασφαλείας που σερβίρονται στο διαδίκτυο, τον πλεονασμό διακομιστών ονομάτων και τις καταχωρίσεις τομέων που λήγουν. Καταγράφεται και τεκμηριώνεται στο VardionΑξιολογείται με 13 σημεία ελέγχου της ανάλυσης κενών της ΕΑΚΣχέδιο στο σύνολο πολιτικών: Πολιτική αντιγράφων ασφαλείας |
Πώς εγγράφεστε και ορίζετε ΥΑΣΠΕ;
Κάθε βασική και σημαντική οντότητα εγγράφεται στην ψηφιακή πλατφόρμα της ΕΑΚ (ν. 5160/2024, άρθρο 4 παρ. 3)[1], που λειτουργεί με την ΚΥΑ 1381/2025[6]. Η προθεσμία εγγραφής έληξε στις 30 Σεπτεμβρίου 2025[7]. Μια οντότητα που δεν έχει εγγραφεί υποβάλλει τα στοιχεία της αμελλητί, και κάθε αλλαγή τους εντός δύο εβδομάδων[8][7]. Στην πλατφόρμα δηλώνεται και ο ΥΑΣΠΕ[9].
Ο νόμος (άρθρο 34) και η ΥΑ 1899/2025 ορίζουν τον Υπεύθυνο Ασφάλειας Συστημάτων Πληροφορικής και Επικοινωνιών[1][9]. Δείτε ποιος μπορεί να είναι ΥΑΣΠΕ.
Ποιος εποπτεύει και ποια είναι τα πρόστιμα;
Η ΕΑΚ εποπτεύει τις βασικές οντότητες και προληπτικά και κατασταλτικά, τις σημαντικές κατασταλτικά (άρθρα 24 και 25)[1].
| Παράβαση | Πρόστιμο | Άρθρο ν. 5160/2024 |
|---|---|---|
| Βασική οντότητα, για τα μέτρα (άρθρο 15) ή την αναφορά περιστατικών (άρθρο 16) | Έως 10.000.000 € ή 2% του παγκόσμιου ετήσιου κύκλου εργασιών, όποιο είναι υψηλότερο | 26 παρ. 4 |
| Σημαντική οντότητα, για τα ίδια | Έως 7.000.000 € ή 1,4% του παγκόσμιου ετήσιου κύκλου εργασιών, όποιο είναι υψηλότερο | 26 παρ. 5 |
| Έγκριση και εποπτεία των μέτρων από τα όργανα διοίκησης (άρθρο 14 παρ. 1) | Έως 200.000 € | 26 παρ. 9 στοιχείο α |
| Εκπαίδευση των μελών των οργάνων διοίκησης και του προσωπικού (άρθρο 14 παρ. 2) | Έως 100.000 € | 26 παρ. 9 στοιχείο β |
| Φορείς του δημόσιου τομέα του άρθρου 3 παρ. 2 στοιχείο στ | Από 20.000 € έως 500.000 € | 26 παρ. 8 |
Η Αρχή επιβάλλει τα πρόστιμα με αιτιολογημένη απόφαση μετά από ακρόαση, και η διάρκεια μιας παράβασης είναι ένα από τα στοιχεία που σταθμίζει[1].
Τι αλλάζει με την πρόταση της Επιτροπής του 2026;
Στις 20 Ιανουαρίου 2026 η Ευρωπαϊκή Επιτροπή πρότεινε στοχευμένες τροποποιήσεις της NIS2, μαζί με την αναθεώρηση της Πράξης για την Κυβερνοασφάλεια[10]. Πρόκειται για πρόταση: μέχρι να την εγκρίνουν το Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο και να ενσωματωθεί, οι υποχρεώσεις του ν. 5160/2024 και της ΚΥΑ 1689/2025 ισχύουν όπως είναι.
Τι να κάνετε τώρα
- Ελέγξτε αν σας αφορά ο νόμος, με το τεστ υπαγωγής της ΕΑΚ ή με τον έλεγχο εφαρμογής του Vardion, που αθροίζει τον όμιλο.
- Αν δεν έχετε εγγραφεί στην πλατφόρμα της ΕΑΚ, εγγραφείτε τώρα.
- Ορίστε ΥΑΣΠΕ από τα στελέχη σας και δηλώστε τον στην πλατφόρμα. Δείτε ποιος μπορεί να είναι ΥΑΣΠΕ.
- Ξεκινήστε την αυτοαξιολόγηση της ΕΑΚ, που στέλνεται κάθε χρόνο με πλάνο διορθωτικών ενεργειών.
- Φέρτε τα μέτρα για έγκριση στο ανώτατο όργανο διοίκησης και καταγράψτε την έγκριση.
Συχνές ερωτήσεις
Είναι ο ν. 5160/2024 το ίδιο με τη NIS2;
Ενσωματώνει την Οδηγία NIS2 στο ελληνικό δίκαιο, και η ΚΥΑ 1689/2025 ορίζει τα μέτρα του.
Ποιος εποπτεύει;
Η ΕΑΚ: τις βασικές οντότητες προληπτικά και κατασταλτικά, τις σημαντικές κατασταλτικά.
Πώς ξέρουμε αν μας αφορά ο νόμος;
Με τον έλεγχο εφαρμογής του Vardion, που αθροίζει τον όμιλο και κρατά το υπόμνημα πεδίου εφαρμογής που υπογράφει η διοίκηση.
Πηγές
- Ν. 5160/2024 (ΦΕΚ Α' 195/27.11.2024), αντίγραφο της ΕΑΚ, ελέγχθηκε στις 24 Οκτωβρίου 2026
- Σύσταση 2003/361/ΕΚ για τις πολύ μικρές, μικρές και μεσαίες επιχειρήσεις, ελέγχθηκε στις 24 Οκτωβρίου 2026
- ΚΥΑ 2267/2025 (ΦΕΚ Β' 5472/14.10.2025) για την έναρξη ισχύος για τους ΟΤΑ α' βαθμού, ελέγχθηκε στις 25 Οκτωβρίου 2026
- ΚΥΑ 1689/2025 (ΦΕΚ Β' 2186/2025), αντίγραφο της ΕΑΚ, ελέγχθηκε στις 24 Οκτωβρίου 2026
- Οδηγία (ΕΕ) 2022/2555 (NIS2), ελέγχθηκε στις 24 Οκτωβρίου 2026
- ΚΥΑ 1381/2025 (ΦΕΚ Β' 463/2025) για την πλατφόρμα εγγραφής, ελέγχθηκε στις 24 Οκτωβρίου 2026
- ΕΑΚ, εγκύκλιος οικ. 28211/10.9.2025 για την εγγραφή στην πλατφόρμα, ελέγχθηκε στις 24 Οκτωβρίου 2026
- ΕΑΚ, συχνές ερωτήσεις για την πλατφόρμα εγγραφής, ελέγχθηκε στις 24 Οκτωβρίου 2026
- ΥΑ 1899/2025 (ΦΕΚ Β' 4250/5.8.2025) για τον ΥΑΣΠΕ, αντίγραφο της ΕΑΚ, ελέγχθηκε στις 2 Νοεμβρίου 2026
- Ευρωπαϊκή Επιτροπή, πρόταση οδηγίας COM(2026) 13, 20 Ιανουαρίου 2026, ελέγχθηκε στις 24 Οκτωβρίου 2026
Κάντε την ετήσια αυτοαξιολόγηση της ΕΑΚ στο Vardion
Οι 234 ερωτήσεις στα ελληνικά της Αρχής, με τη βαθμολογία του εργαλείου της.