NIS2 στην Ελλάδα (Ν. 5160/2024): τι σημαίνει για τη φιλοξενία και τους παρόχους σας

Πρακτικός οδηγός για επιχειρήσεις στην Ελλάδα που φιλοξενούν ιστοσελίδα, ηλεκτρονικό κατάστημα ή εφαρμογή SaaS και θέλουν να καταλάβουν τι προβλέπει το NIS2 και τι μένει στη δική τους ευθύνη. Ισχύει κατάσταση στις 30.09.2026.

Σύντομη απάντηση

  1. 1Η οδηγία NIS2 ενσωματώθηκε στην Ελλάδα με τον Ν. 5160/2024, που δημοσιεύθηκε στο ΦΕΚ Α΄ 195 στις 27.11.2024. Αρμόδια αρχή εποπτείας είναι η Εθνική Αρχή Κυβερνοασφάλειας (ΕΑΚ).
  2. 2Οι πάροχοι υπηρεσιών υπολογιστικού νέφους, οι πάροχοι υπηρεσιών κέντρου δεδομένων και οι πάροχοι διαχειριζόμενων υπηρεσιών αναφέρονται ρητά στους τομείς του νόμου. Το αν μια συγκεκριμένη εταιρεία εμπίπτει στο πεδίο εφαρμογής κρίνεται με βάση τον νόμο και το εργαλείο ελέγχου υπαγωγής της ΕΑΚ.
  3. 3Κάθε σημαντικό περιστατικό κοινοποιείται στην ΕΑΚ με έγκαιρη προειδοποίηση εντός 24 ωρών, κοινοποίηση εντός 72 ωρών και τελική έκθεση το αργότερο εντός ενός μήνα.
  4. 4Η ανώτατη διοίκηση της οντότητας εγκρίνει τα μέτρα διαχείρισης κινδύνων, επιβλέπει την εφαρμογή τους και λογοδοτεί για παραβιάσεις. Η ευθύνη αυτή δεν μεταβιβάζεται στον πάροχο φιλοξενίας.

Τι προβλέπει ο Ν. 5160/2024

Ο νόμος ενσωματώνει την οδηγία (ΕΕ) 2022/2555 και αντικαθιστά το πλαίσιο της προηγούμενης οδηγίας NIS. Η ΕΑΚ είναι η αρμόδια αρχή εποπτείας και ελέγχου και λειτουργεί ως εθνική ομάδα απόκρισης σε περιστατικά (CSIRT). Σύμφωνα με τον οδηγό της ΕΑΚ, στον τομέα «Διαχείριση υπηρεσιών ΤΠΕ» και στις ψηφιακές υποδομές περιλαμβάνονται πάροχοι υπολογιστικού νέφους, πάροχοι κέντρου δεδομένων και πάροχοι διαχειριζόμενων υπηρεσιών.

Οι οντότητες που υπάγονται στον νόμο υποχρεούνται να εγγραφούν στην πλατφόρμα αυτοδήλωσης της ΕΑΚ (nis2register.cyber.gov.gr) αμελλητί και να επικαιροποιούν τα στοιχεία τους, σύμφωνα με την παράγραφο 3 του άρθρου 4. Ζητούνται, μεταξύ άλλων, τα βασικά στοιχεία της οντότητας, ο νόμιμος εκπρόσωπος, το είδος υπηρεσιών, τα εύρη διευθύνσεων IP και τα ονόματα χώρου (domain names).

Τα ελάχιστα μέτρα περιλαμβάνουν, ενδεικτικά, ανάλυση κινδύνου, διαχείριση περιστατικών, επιχειρησιακή συνέχεια και ανάκαμψη από καταστροφές, και ασφάλεια της αλυσίδας εφοδιασμού, δηλαδή τη σχέση με τους άμεσους προμηθευτές και παρόχους υπηρεσιών σας. Ο οδηγός της ΕΑΚ αναφέρει επίσης ορισμό υπευθύνου ασφάλειας συστημάτων πληροφορικής και επικοινωνιών (Υ.Α.Σ.Π.Ε.) και ενιαία πολιτική κυβερνοασφάλειας.

Ευθύνη της διοίκησης και κοινοποίηση περιστατικών

Σύμφωνα με τον οδηγό της ΕΑΚ, η ανώτατη διοίκηση εγκρίνει τα μέτρα διαχείρισης κινδύνων, επιβλέπει την εφαρμογή τους και λογοδοτεί για την παραβίαση των υποχρεώσεων. Τα μέλη της οφείλουν να παρακολουθούν εκπαίδευση και να φροντίζουν για παρόμοια κατάρτιση του προσωπικού. Σε περίπτωση που τα μέτρα επιβολής δεν αποδώσουν, ο Διοικητής της ΕΑΚ μπορεί, με ειδικά αιτιολογημένη απόφαση, να απαγορεύσει προσωρινά σε διευθύνοντα σύμβουλο ή νόμιμο εκπρόσωπο βασικής οντότητας να ασκεί διευθυντικά καθήκοντα.

Ένα περιστατικό θεωρείται σημαντικό όταν προκάλεσε ή μπορεί να προκαλέσει σοβαρή λειτουργική διατάραξη ή οικονομική ζημία στην οντότητα, ή όταν επηρέασε ή μπορεί να επηρεάσει άλλα πρόσωπα προκαλώντας σημαντική υλική ή μη υλική ζημία. Η κοινοποίηση προς την ΕΑΚ γίνεται σε τρία στάδια:

  • έγκαιρη προειδοποίηση, χωρίς αδικαιολόγητη καθυστέρηση και εντός 24 ωρών από τη στιγμή που αντιληφθήκατε το περιστατικό·
  • κοινοποίηση περιστατικού με αρχική αξιολόγηση της σοβαρότητας και των επιπτώσεων, εντός 72 ωρών·
  • τελική έκθεση, το αργότερο εντός ενός μήνα από την υποβολή της κοινοποίησης.

Για ενδιάμεση έκθεση με επικαιροποίηση της κατάστασης μπορεί να ζητήσει η ΕΑΚ. Ο νόμος προβλέπει και διοικητικά πρόστιμα· τα ποσά και οι προϋποθέσεις επιβολής περιγράφονται στον οδηγό της ΕΑΚ και στο κείμενο του νόμου.

Τρία ενδεικτικά σενάρια

Ηλεκτρονικό κατάστημα στη Θεσσαλονίκη

Το κατάστημα τρέχει σε VPS. Ο ιδιοκτήτης ρωτά αν πρέπει να κάνει κάτι για το NIS2. Το πρώτο βήμα είναι το εργαλείο ελέγχου υπαγωγής της ΕΑΚ: αν η εταιρεία δεν ανήκει σε τομέα του νόμου, δεν υπάρχει υποχρέωση εγγραφής, αλλά τα αντίγραφα ασφαλείας, οι ενημερώσεις και το WAF παραμένουν καλή πρακτική.

Εταιρεία λογισμικού που εμπίπτει στο πεδίο εφαρμογής

Αν η εταιρεία είναι βασική ή σημαντική οντότητα, εγγράφεται στην πλατφόρμα αυτοδήλωσης της ΕΑΚ και τεκμηριώνει τους προμηθευτές της. Ο πάροχος φιλοξενίας μπαίνει στον κατάλογο προμηθευτών: ζητάτε σύμβαση επεξεργασίας δεδομένων, περιγραφή των αντιγράφων ασφαλείας και επαφές για περιστατικά.

Περιστατικό σε παραγωγικό διακομιστή

Όταν εντοπιστεί σημαντικό περιστατικό, τα 24 και τα 72 ώρες τρέχουν για την οντότητα που υπάγεται στον νόμο, όχι για τον πάροχο υποδομής. Γι' αυτό χρειάζεστε από πριν ένα runbook: ποιος αποφασίζει, ποιος στέλνει την κοινοποίηση και ποια logs διατηρούνται.

Συνηθισμένα λάθη

  • Να θεωρείτε ότι «φιλοξενούμαστε σε πάροχο της ΕΕ, άρα καλυπτόμαστε». Οι υποχρεώσεις ανήκουν στην οντότητα που υπάγεται στον νόμο.
  • Να μη ελέγχετε ποτέ αν εμπίπτετε στο πεδίο εφαρμογής και να μη γνωρίζετε αν πρέπει να εγγραφείτε στην πλατφόρμα της ΕΑΚ.
  • Να μην έχετε έτοιμη διαδικασία κοινοποίησης: σε 24 ώρες δεν προλαβαίνετε να ξεκινήσετε από το μηδέν.
  • Να μην τεκμηριώνετε τον πάροχο ως προμηθευτή (σύμβαση, αντίγραφα ασφαλείας, επαφές για περιστατικά).

Πώς σας βοηθά η 4hosting

  • Υποδομή σε κέντρο δεδομένων της ΕΕ (Φρανκφούρτη), όχι στην Ελλάδα, με προστασία DDoS L3/L4 έως 1,5 Tbps.
  • Σύμβαση επεξεργασίας δεδομένων (DPA) κατά το άρθρο 28 του GDPR και ευθυγράμμιση με το ISO 27001. Δεν πρόκειται για πιστοποιητικό ISO 27001.
  • Υπηρεσίες DevOps και κυβερνοασφάλειας στις ώρες του πλάνου σας: Hardening & Compliance, WAF & DDoS, SIEM & Incident Response, CI/CD & Monitoring.
  • Η 4hosting δεν διαθέτει πιστοποίηση NIS2, ISO ή SOC 2, δεν πιστοποιεί τη συμμόρφωσή σας και δεν υπογράφει νομική συμμόρφωση για λογαριασμό σας.

Η υποστήριξη παρέχεται στα αγγλικά και στα ρουμανικά.

Συχνές ερωτήσεις

Ισχύει το NIS2 για κάθε ιστοσελίδα στην Ελλάδα;

Όχι αυτόματα. Ο Ν. 5160/2024 αφορά βασικές και σημαντικές οντότητες συγκεκριμένων τομέων και μεγεθών. Ελέγξτε το με το εργαλείο ελέγχου υπαγωγής της ΕΑΚ (cyber.gov.gr) ή με νομικό σύμβουλο.

Πιστοποιεί η 4hosting τη συμμόρφωσή μου με το NIS2;

Όχι. Η 4hosting παρέχει υποδομή, σύμβαση επεξεργασίας δεδομένων και υπηρεσίες DevOps και κυβερνοασφάλειας. Η συμμόρφωση της επιχείρησής σας παραμένει δική σας ευθύνη.

Πού βρίσκονται οι διακομιστές;

Στην ΕΕ, στη Φρανκφούρτη. Δεν υπάρχει κέντρο δεδομένων στην Ελλάδα.

Δείτε επίσης

Οδηγοί για επιχειρήσεις στην Ελλάδα