NIS2 στην Κύπρο: τι σημαίνει για τον πάροχο φιλοξενίας και τους πελάτες;

Πρακτικός οδηγός για επιχειρήσεις στην Κύπρο που φιλοξενούν ιστοσελίδα, ηλεκτρονικό κατάστημα ή εφαρμογή SaaS και θέλουν να καταλάβουν τι άλλαξε με το NIS2 και τι μένει στη δική τους ευθύνη.

Σύντομη απάντηση

  1. 1Η οδηγία NIS2 ενσωματώθηκε στην Κύπρο με τον Ν. 60(Ι)/2025, που τροποποιεί τον νόμο του 2020 για την ασφάλεια δικτύων και συστημάτων πληροφοριών και δημοσιεύθηκε στην Επίσημη Εφημερίδα στις 25.4.2025.
  2. 2Το μητρώο οντοτήτων του νόμου αναφέρει ρητά τους παρόχους υπηρεσιών κέντρων δεδομένων και υπολογιστικού νέφους. Το αν μια συγκεκριμένη εταιρεία εμπίπτει στο πεδίο εφαρμογής κρίνεται από τα Παραρτήματα του νόμου και ελέγχεται μαζί με την Αρχή Ψηφιακής Ασφάλειας.
  3. 3Η κοινοποίηση σημαντικού περιστατικού ξεκινά με αρχική ενημέρωση εντός 6 ωρών, ακολουθεί κοινοποίηση εντός 72 ωρών και τελική έκθεση το αργότερο μέσα σε ένα μήνα.
  4. 4Η ανώτατη διοίκηση εγκρίνει τα μέτρα κυβερνοασφάλειας, επιβλέπει την εφαρμογή τους και παρακολουθεί εκπαιδεύσεις. Η ευθύνη δεν μεταβιβάζεται στον πάροχο φιλοξενίας.

Τι ορίζει ο Ν. 60(Ι)/2025

Ο Ν. 60(Ι)/2025 τέθηκε σε ισχύ με τη δημοσίευσή του στην Επίσημη Εφημερίδα (άρθρο 57(1)), δηλαδή στις 25.4.2025. Ενσωματώνει την οδηγία (ΕΕ) 2022/2555 και τροποποιεί τον Ν. 89(Ι)/2020. Αρμόδια αρχή είναι η Αρχή Ψηφιακής Ασφάλειας (dsa.cy).

Με το νέο άρθρο 37Α, η Αρχή απαιτεί από παρόχους υπηρεσιών DNS, μητρώα TLD, παρόχους υπολογιστικού νέφους, παρόχους κέντρων δεδομένων και άλλες κατηγορίες να υποβάλουν στοιχεία: επωνυμία, τομέα, διεύθυνση, στοιχεία επικοινωνίας, κράτη μέλη στα οποία παρέχουν υπηρεσίες και εύρος IP. Οι αλλαγές δηλώνονται αμελλητί και το αργότερο εντός τριών μηνών.

Το άρθρο 35 απαιτεί μέτρα διαχείρισης κινδύνων που περιλαμβάνουν τουλάχιστον:

  • ανάλυση κινδύνου και πολιτικές ασφάλειας των πληροφοριακών συστημάτων·
  • χειρισμός περιστατικών·
  • επιχειρησιακή συνέχεια, όπως αντίγραφα ασφαλείας, αποκατάσταση έπειτα από καταστροφή και διαχείριση κρίσεων·
  • ασφάλεια της αλυσίδας εφοδιασμού, συμπεριλαμβανομένων των σχέσεων με τους άμεσους προμηθευτές ή παρόχους υπηρεσιών σας·
  • ασφαλής απόκτηση, ανάπτυξη και συντήρηση συστημάτων και διαχείριση ευπαθειών·
  • πολιτικές για την αξιολόγηση της αποτελεσματικότητας των μέτρων και βασικές πρακτικές κυβερνοϋγιεινής.

Ευθύνη της διοίκησης και αναφορά περιστατικών

Σύμφωνα με το άρθρο 35Α, η ανώτατη διοίκηση εγκρίνει τα μέτρα, επιβλέπει την εφαρμογή τους και μπορεί να λογοδοτεί για παραβάσεις. Τα μέλη της υποχρεούνται να παρακολουθούν εκπαιδεύσεις και να προσφέρουν κατάρτιση στο προσωπικό σε τακτική βάση.

Το άρθρο 35Β ορίζει ότι τα σημαντικά περιστατικά κοινοποιούνται στην Αρχή αμελλητί: αρχική ενημέρωση εντός 6 ωρών από τη στιγμή που έγιναν αντιληπτά, κοινοποίηση εντός 72 ωρών, ενδιάμεση έκθεση κατόπιν αιτήματος και τελική έκθεση το αργότερο μέσα σε ένα μήνα. Προσοχή: οι 6 ώρες είναι ο κυπριακός κανόνας. Μην υποθέτετε ότι ισχύει το γενικό «24 ώρες» που αναφέρεται συχνά για την οδηγία.

Τρία ενδεικτικά σενάρια

Ηλεκτρονικό κατάστημα στη Λεμεσό

Το κατάστημα τρέχει σε VPS. Ο ιδιοκτήτης ρωτά αν χρειάζεται να κάνει κάτι με το NIS2. Το πρώτο βήμα είναι να ελέγξει, με το εργαλείο αυτοαξιολόγησης της Αρχής Ψηφιακής Ασφάλειας, αν η εταιρεία ανήκει σε τομέα των Παραρτημάτων. Αν όχι, η καλή πρακτική (αντίγραφα, ενημερώσεις, WAF) παραμένει χρήσιμη αλλά δεν είναι νομική υποχρέωση από αυτόν τον νόμο.

Εταιρεία λογισμικού στη Λευκωσία που εμπίπτει στο πεδίο

Αν η εταιρεία είναι βασική ή σημαντική οντότητα, ο νόμος ζητά έγκριση των μέτρων από την ανώτατη διοίκηση και ασφάλεια της αλυσίδας εφοδιασμού. Στην πράξη, ο πάροχος φιλοξενίας μπαίνει στον κατάλογο των προμηθευτών: ζητάτε σύμβαση επεξεργασίας δεδομένων, περιγραφή αντιγράφων ασφαλείας και διαδικασία αναφοράς περιστατικών.

Ένα περιστατικό σε παραγωγικό διακομιστή

Αν ένα σημαντικό περιστατικό γίνει αντιληπτό, το ρολόι των 6 και των 72 ωρών τρέχει για την οντότητα, όχι για τον πάροχο. Γι' αυτό ο πελάτης χρειάζεται από πριν ένα runbook: ποιος αποφασίζει, ποιος στέλνει την ενημέρωση και ποια logs υπάρχουν.

Συνηθισμένα λάθη

  • Να θεωρείτε ότι «φιλοξενούμαστε σε πάροχο της ΕΕ, άρα καλυπτόμαστε». Οι υποχρεώσεις του νόμου ανήκουν στην οντότητα, όχι στον πάροχο.
  • Να μη ελέγχετε ποτέ αν εμπίπτετε στο πεδίο εφαρμογής, ούτε μέσω του εργαλείου αυτοαξιολόγησης της Αρχής.
  • Να μην έχετε έτοιμη διαδικασία αναφοράς: οι 6 ώρες δεν επαρκούν για να ξεκινήσετε από το μηδέν.
  • Να μην τεκμηριώνετε τον πάροχο ως προμηθευτή (σύμβαση, αντίγραφα ασφαλείας, επαφές για περιστατικά).

Πώς σας βοηθά η 4hosting

  • Υποδομή σε κέντρο δεδομένων της ΕΕ (Φρανκφούρτη), όχι στην Κύπρο, με προστασία DDoS L3/L4 έως 1,5 Tbps.
  • Σύμβαση επεξεργασίας δεδομένων (DPA) κατά το άρθρο 28 του GDPR και ευθυγράμμιση με το ISO 27001. Δεν πρόκειται για πιστοποιητικό ISO 27001.
  • Υπηρεσίες DevOps και κυβερνοασφάλειας στις ώρες του πλάνου σας: Hardening & Compliance, WAF & DDoS, SIEM & Incident Response, CI/CD & Monitoring.
  • Ο πάροχος δεν πιστοποιεί τη συμμόρφωσή σας με τον νόμο και δεν υπογράφει νομική συμμόρφωση για λογαριασμό σας.

Η υποστήριξη παρέχεται στα αγγλικά και στα ρουμανικά.

Συχνές ερωτήσεις

Ισχύει το NIS2 για κάθε ιστοσελίδα στην Κύπρο;

Όχι αυτόματα. Ο νόμος αφορά βασικές και σημαντικές οντότητες συγκεκριμένων τομέων. Ελέγξτε το με το εργαλείο αυτοαξιολόγησης της Αρχής Ψηφιακής Ασφάλειας (dsa.cy) ή με νομικό σύμβουλο.

Πιστοποιεί η 4hosting τη συμμόρφωσή μου με το NIS2;

Όχι. Η 4hosting παρέχει υποδομή, σύμβαση επεξεργασίας δεδομένων και υπηρεσίες DevOps και κυβερνοασφάλειας. Η συμμόρφωση της επιχείρησής σας παραμένει δική σας ευθύνη.

Πού βρίσκονται οι διακομιστές;

Στην ΕΕ, στη Φρανκφούρτη. Δεν υπάρχει κέντρο δεδομένων στην Κύπρο.

Δείτε επίσης

Οδηγοί για επιχειρήσεις στην Κύπρο