Ταξινόμηση οντότητας
Ουσιώδης ή σημαντική; Ποιοι τομείς, ποια κατώφλια μεγέθους και τζίρου, ποιες εξαιρέσεις.
Ν. 5160/2024 σε ισχύ · Εγγραφή οντοτήτων σε εξέλιξη · Πρόστιμα έως 10 M€
Δείτε αν εμπίπτετε →
NIS2 · Οδηγία (ΕΕ) 2022/2555 · Ν. 5160/2024
NIS2: μάθετε αν είστε στο πεδίο, και τι σας ζητά.
Δεν είναι τεχνικό πρότυπο. Είναι νομική υποχρέωση με προθεσμίες, εποπτεία και προσωπική ευθύνη του διοικητικού οργάνου. Ξεκινάμε από τη γραπτή ταξινόμηση — ουσιώδης ή σημαντική οντότητα — και μετά από τα μέτρα, την αναφορά 24h, και το τι ζητά η αρχή.
Η NIS2 (Οδηγία (ΕΕ) 2022/2555, Ν. 5160/2024 στην Ελλάδα) είναι νομική υποχρέωση για βασικές και σημαντικές οντότητες, με πρόστιμα έως €10 εκ. ή 2% του κύκλου εργασιών και προσωπική ευθύνη του διοικητικού οργάνου (Άρθρο 20). Η KodeX GRC τεκμηριώνει γραπτά την ταξινόμησή σας, υλοποιεί τα μέτρα του Άρθρου 21 και στήνει τη ροή αναφοράς περιστατικών 24/72 ωρών, σε περίπου 8 εβδομάδες.
Τι καλύπτει
Η οδηγία οργανώνεται σε τρία επίπεδα: ποιος εμπίπτει, τι πρέπει να κάνει, και τι συμβαίνει αν δεν το κάνει. Κάθε ένα αντιστοιχίζεται σε συγκεκριμένο άρθρο και τεκμήριο.
Διακυβέρνηση & ευθύνη ΔΣ
Έγκριση μέτρων, εκπαίδευση διοίκησης, παρακολούθηση — και προσωπική ευθύνη του οργάνου.
Δέκα κατηγορίες μέτρων
Ανάλυση κινδύνου, περιστατικά, συνέχεια, εφοδιαστική αλυσίδα, κρυπτογράφηση, MFA, εκπαίδευση.
Αναφορά περιστατικών
Έγκαιρη προειδοποίηση εντός 24h, ειδοποίηση εντός 72h, τελική έκθεση εντός 1 μήνα.
Κυρώσεις
Έως 10 M€ ή 2% του παγκόσμιου τζίρου (ουσιώδεις), έως 7 M€ ή 1,4% (σημαντικές).
Εποπτεία & έλεγχοι
Τι ζητά η αρχή, πώς προετοιμάζεται ο οργανισμός, ποια τεκμήρια αποδεικνύουν συμμόρφωση.
Σε ποιους απευθύνεται
Απευθύνεται σε οργανισμούς που εμπίπτουν στους τομείς των Παραρτημάτων I ή II — και σε όσους δεν είναι σίγουροι. Η ταξινόμηση είναι το πρώτο και συχνά πιο δύσκολο βήμα.
Ο κανόνας ταξινόμησης: τομέας + μέγεθος. Αν δραστηριοποιείστε σε τομέα του Παραρτήματος I ή II, με 50+ εργαζομένους ή 10+ M€ ετήσιο τζίρο, πιθανότατα εμπίπτετε.
Υπάρχουν και εξαιρέσεις — πάροχοι ψηφιακών υπηρεσιών ανεξαρτήτως μεγέθους, μονοπρόσωπες οντότητες σε συγκεκριμένους τομείς, κρατικές υπηρεσίες. Η ταξινόμηση είναι γραπτή και αιτιολογημένη — την παραδίδουμε ως τεκμήριο.
Ενέργεια, μεταφορές, υγεία, ύδρευση — συνήθως ουσιώδεις οντότητες
Μεταποίηση, τρόφιμα, χημικά, ψηφιακές υπηρεσίες — συνήθως σημαντικές
Πάροχοι υπηρεσιών ΤΠΕ — ανεξαρτήτως μεγέθους σε πολλές περιπτώσεις
Προμηθευτές ουσιωδών οντοτήτων με πρόσβαση σε συστήματα
Εταιρείες που δεν ξέρουν αν εμπίπτουν — ας το ξεκαθαρίσουμε γραπτά
Πώς δουλεύουμε
Τέσσερις φάσεις. Η σειρά δεν είναι τυχαία — η ταξινόμηση προηγείται των μέτρων, και η διαδικασία αναφοράς 24h προηγείται της εσωτερικής επιθεώρησης, γιατί είναι η πιο επείγουσα υποχρέωση.
Ταξινόμηση
Ουσιώδης ή σημαντική
Χαρτογράφηση τομέα, μεγέθους, τζίρου και σχέσης με προμηθευτές. Γραπτή αιτιολογημένη απόφαση με νομική βάση.
1 εβδομάδαΑνάλυση χάσματος Άρθρου 21
Τα δέκα μέτρα, ένα-ένα
Έλεγχος κάθε υπο-απαίτησης του Άρθρου 21.2.a–j. Μητρώο κενών με προτεραιότητα κατά νομική έκθεση, όχι κατά ευκολία.
2 εβδομάδεςΥλοποίηση & τεκμηρίωση
Και ευθύνη ΔΣ
Μέτρα, πολιτικές, πρακτικά έγκρισης διοίκησης, αρχείο εκπαίδευσης οργάνου. Χωρίς αυτά, η συμμόρφωση είναι δήλωση.
4 εβδομάδεςΔιαδικασία αναφοράς 24h
Το πιο επείγον κομμάτι
Ροή κλιμάκωσης, υπεύθυνος, υποδείγματα, δοκιμή με tabletop exercise. Χωρίς αυτό, το πρόστιμο είναι αναπόφευκτο σε συμβάν.
2 εβδομάδεςΟι υποχρεώσεις σας
Τα δέκα μέτρα του Άρθρου 21.2, με το επίπεδο προτεραιότητας όπως προκύπτει από τη νομική έκθεση που δημιουργεί το καθένα.
Μέτρο
Τι σημαίνει στην πράξη
Προτεραιότητα
21.2.a · Ανάλυση κινδύνου
Μεθοδολογία, μητρώο, κριτήρια αποδοχής, περιοδική επαναξιολόγηση.
Κρίσιμο
21.2.b · Περιστατικά
Διαδικασία απόκρισης, ρόλοι, κλιμάκωση, τεκμηρίωση, μάθηση.
Κρίσιμο
21.2.c · Συνέχεια επιχειρήσεων
BCP/DR, backup, κρίσιμες λειτουργίες, δοκιμές, RTO/RPO.
Κρίσιμο
21.2.d · Εφοδιαστική αλυσίδα
Μητρώο προμηθευτών, αξιολόγηση, ρήτρες, διαχείριση σχέσης.
Κρίσιμο
21.2.e · Προμήθεια & ανάπτυξη
Ασφάλεια στην απόκτηση, ανάπτυξη, συντήρηση — SDLC, code review, vulnerabilities.
Υψηλό
21.2.f · Αξιολόγηση αποτελεσματικότητας
Μετρήσεις, KPIs, εσωτερικός έλεγχος, ανασκόπηση διοίκησης.
Υψηλό
21.2.g · Κυβερνοϋγιεινή & εκπαίδευση
Εκπαίδευση προσωπικού, phishing, αρχείο ολοκλήρωσης, ευαισθητοποίηση.
Υψηλό
21.2.h · Κρυπτογράφηση
Κρυπτογράφηση δεδομένων σε ανάπαυση και κίνηση, διαχείριση κλειδιών.
Μεσαίο
21.2.i · Ανθρώπινοι πόροι & πρόσβαση
Έλεγχος ταυτότητας, MFA, privileged access, αποχώρηση, ασφάλεια HR.
Κρίσιμο
21.2.j · MFA & ασφαλής επικοινωνία
Πολυπαραγοντική ταυτοποίηση, ασφαλείς διαύλοι, emergency communication.
Κρίσιμο
Τι παραδίδεται
Έξι τεκμήρια που αποδεικνύουν τη συμμόρφωση — όχι την διακηρύσσουν. Καθένα αντιστοιχεί σε συγκεκριμένο άρθρο που θα ελεγχθεί.
Γραπτή ταξινόμησηΑιτιολογημένη απόφαση ουσιώδης / σημαντική, με νομική βάση και Παράρτημα.
Μητρώο συμμόρφωσης Άρθρου 21Κάθε υπο-απαίτηση με κατάσταση, ιδιοκτήτη, τεκμήριο, ημερομηνία επαλήθευσης.
Πολιτική αναφοράς περιστατικώνΡοή 24h / 72h / 1 μήνα, υπεύθυνος, υποδείγματα, δίαυλοι επικοινωνίας με αρχή.
Πρακτικά έγκρισης διοίκησηςΑπόδειξη ότι το διοικητικό όργανο ενέκρινε τα μέτρα — απαιτείται ρητά από Άρθρο 20.1.
Αρχείο εκπαίδευσης διοίκησηςΆρθρο 20.3 — υποχρεωτική εκπαίδευση του οργάνου. Συχνά παραλείπεται· εύρημα σε έλεγχο.
Σχέδιο εποπτικής ανταπόκρισηςΤι ζητά η αρχή, ποιος απαντά, με ποια τεκμήρια, σε ποιο χρόνο.
Χρονοδιάγραμμα 8 εβδομάδων
Το NIS2 είναι πιο γρήγορο από το ISO 27001 γιατί δεν απαιτεί πιστοποίηση — απαιτεί τεκμηριωμένη συμμόρφωση που αντέχει σε έλεγχο.
ΕΒΔ. 01
Ταξινόμηση
Γραπτή απόφαση ουσιώδης / σημαντική, με νομική βάση και τομέα Παραρτήματος.
ΕΒΔ. 02–03
Ανάλυση χάσματος
Έλεγχος Άρθρου 21.2.a–j, μητρώο κενών, προτεραιοποίηση κατά νομική έκθεση.
ΕΒΔ. 04–07
Υλοποίηση & τεκμηρίωση
Μέτρα, πολιτικές, έγκριση διοίκησης, εκπαίδευση οργάνου, σχέδιο αναφοράς.
ΕΒΔ. 08
Δοκιμή αναφοράς 24h
Tabletop exercise, τεκμηρίωση, διορθώσεις, τελική παράδοση.
Συχνές ερωτήσεις
Οι ερωτήσεις που ακούμε πριν αναλάβουμε έργο NIS2 — και οι απαντήσεις που συνήθως δεν δίνονται.
Είμαι σίγουρα στο πεδίο εφαρμογής του NIS2;
Αν δραστηριοποιείστε σε τομέα του Παραρτήματος I ή II, με 50+ εργαζομένους ή 10+ M€ ετήσιο τζίρο, πιθανότατα ναι. Οι πάροχοι ψηφιακών υπηρεσιών εμπίπτουν ανεξαρτήτως μεγέθους σε πολλές περιπτώσεις. Η ταξινόμηση είναι γραπτή και αιτιολογημένη — την παραδίδουμε ως τεκμήριο, ώστε να μπορείτε να την υπερασπιστείτε σε έλεγχο.
Ποια είναι η διαφορά NIS2 και GDPR;
Διαφορετικό πεδίο και διαφορετική αρχή. Ο GDPR αφορά προσωπικά δεδομένα και εποπτεύεται από την ΑΠΔΠΧ. Το NIS2 αφορά ασφάλεια δικτύων και πληροφοριακών συστημάτων και εποπτεύεται από την Εθνική Αρχή Κυβερνοασφάλειας. Μία παραβίαση μπορεί να ενεργοποιήσει και τους δύο — με διαφορετικές προθεσμίες (72h για GDPR, 24h για NIS2) και διαφορετικές αναφορές.
Τι γίνεται αν δεν συμμορφωθώ με το NIS2;
Πρόστιμα έως 10 M€ ή 2% του παγκόσμιου ετήσιου τζίρου για ουσιώδεις οντότητες (7 M€ ή 1,4% για σημαντικές), εποπτικοί έλεγχοι, διοικητικές κυρώσεις — και το σημαντικότερο: προσωπική ευθύνη του διοικητικού οργάνου κατά Άρθρο 20. Αυτό σημαίνει ότι μέλη ΔΣ μπορούν να κληθούν προσωπικά να απαντήσουν για παράλειψη έγκρισης ή παρακολούθησης μέτρων.
Πόσο γρήγορα πρέπει να κινηθώ για NIS2;
Χθες. Ο Ν. 5160/2024 είναι σε ισχύ και οι αρχές έχουν ξεκινήσει εγγραφές οντοτήτων. Αν δεν έχετε κάνει γραπτή ταξινόμηση, δεν ξέρετε αν είστε στο πεδίο — και αυτό είναι το πρώτο εύρημα σε οποιονδήποτε έλεγχο. Η ταξινόμηση είναι 1 εβδομάδα δουλειάς.
Χρειάζομαι και ISO 27001 για NIS2;
Όχι υποχρεωτικά, αλλά βοηθά σημαντικά. Περίπου το 85% των μέτρων του Άρθρου 21.2 αντιστοιχίζεται σε ελέγχους του ISO 27001. Αν σκοπεύετε να πάρετε και τα δύο, το NIS2 πρώτα — είναι πιο επείγον — και το ISO 27001 ακολουθεί με μειωμένο έργο, γιατί τα τεκμήρια είναι ήδη έτοιμα.
Σχετικές υπηρεσίες
Το NIS2 σπάνια στέκεται μόνο του. Συνήθως συνδυάζεται με τα παρακάτω, γιατί μοιράζονται τεκμήρια, τεχνικά μέτρα και ευθύνη διοίκησης.
01 · ISO 27001
Το πλαίσιο που καλύπτει
Το 85% των μέτρων του Άρθρου 21 αντιστοιχίζεται σε ελέγχους ISO 27001. Ένα σύστημα, δύο συμμορφώσεις.
08 · vCISOΔιακυβέρνηση & ΔΣ
Για τη συνεχή ευθύνη του διοικητικού οργάνου, τις εποπτικές επικοινωνίες και το board reporting.
02 · ISO 42001Αν χρησιμοποιείτε ΤΝ
Το NIS2 δεν εξαιρεί συστήματα ΤΝ από τα μέτρα ασφάλειας. Η διακυβέρνηση ΤΝ προσθέτει τεκμήρια που ζητούνται και στο Άρθρο 21.
Ξεκινήστε
Δωρεάν ανάλυση χάσματος σε δύο εβδομάδες.
Ένα μητρώο κενών με προτεραιότητες κατά νομική έκθεση, ένας κοστολογημένος οδικός χάρτης 8 εβδομάδων, και μια εκτελεστική σύνοψη για το διοικητικό συμβούλιο. Χωρίς δέσμευση — μπορείτε να το δώσετε και σε άλλον σύμβουλο.
Χωρίς δέσμευση
Εμπιστευτικά
Ελληνικά ή Αγγλικά