Ο φάκελος συμμόρφωσής σας
με την NIS2 σε 5 ημέρες

Πολυπαραγοντική ταυτοποίηση (MFA)

« Για ποιες υπηρεσίες επιβάλλετε MFA; Ηλεκτρονικό ταχυδρομείο, VPN, RDP, διαχείριση δικτύου-cloud, λογαριασμοί με προνόμια. »

Ασφάλεια ηλεκτρονικού ταχυδρομείου

« Ποιους ελέγχους χρησιμοποιείτε κατά της πλαστοπροσωπίας μηνυμάτων (SPF, DKIM, DMARC); Έχετε απενεργοποιήσει τα παλαιά πρωτόκολλα (IMAP, POP3, μη ασφαλές SMTP); »

Σχέδιο απόκρισης σε περιστατικά

« Ποιο είναι το σχέδιο απόκρισης σε περιστατικά και εντός ποιας προθεσμίας θα μας ειδοποιούσατε για ένα περιστατικό κυβερνοασφάλειας; »

Υπεργολαβία και αλυσίδα εφοδιασμού

« Χρησιμοποιείτε υπεργολάβους 4ου επιπέδου; Θα αποδεχόσασταν συμβατικούς όρους που επιβάλλουν συμμόρφωση με την NIS2 (έλεγχοι, κοινοποίηση παραβίασης, δικαίωμα ελέγχου); »

Αντίγραφα ασφαλείας και συνέχεια

« Λαμβάνονται αντίγραφα ασφαλείας; Ελέγχονται η ακεραιότητα και οι διαδικασίες επαναφοράς τουλάχιστον μία φορά τον χρόνο; »

Διακυβέρνηση της ασφάλειας

« Βασίζεται η πολιτική ασφάλειας πληροφοριών σας σε αναγνωρισμένο πλαίσιο αναφοράς (NIST, ISO 27001); »

Ποιους αφορά;

Η οδηγία στοχεύει «μεσαίες» ή «μεγάλες» επιχειρήσεις (κατά την έννοια του ευρωπαϊκού δικαίου) που δραστηριοποιούνται σε κατάλογο τομέων που θεωρούνται κρίσιμοι: ενέργεια, μεταφορές, υγεία, τράπεζες, ύδατα, ψηφιακός τομέας, δημόσια διοίκηση από τη μία πλευρά· ταχυδρομεία, απόβλητα, χημικά, αγροδιατροφή, μεταποίηση, έρευνα από την άλλη. Ένα κράτος μπορεί επίσης να συμπεριλάβει μικρότερες δομές αν διαδραματίζουν καίριο ρόλο.

Τι σας επιβάλλει πραγματικά η NIS2

Με απλά λόγια: να θεσπίσετε «αναλογικά» μέτρα ασφάλειας, να γνωρίζετε να εντοπίζετε τους κινδύνους σας, να προστατεύετε τα δεδομένα σας, να ανιχνεύετε μια επίθεση, να αντιδράτε και να επανεκκινείτε μετά. Προστίθενται η φυσική ασφάλεια των χώρων, ο έλεγχος των προσβάσεων και των εξουσιοδοτήσεων, και η επαλήθευση της ασφάλειας των παρόχων και των προμηθευτών σας.

Σε περίπτωση προβλήματος, ένα ακριβές χρονοδιάγραμμα

Αν συμβεί ένα «σημαντικό» περιστατικό, πρέπει να ενημερώσετε την αρχή σε τρία στάδια: μια έγκαιρη προειδοποίηση εντός 24 ωρών, μια πιο λεπτομερή κοινοποίηση εντός 72 ωρών και, στη συνέχεια, μια τελική έκθεση εντός ενός μήνα. Οι θιγόμενοι αποδέκτες των υπηρεσιών πρέπει επίσης να ενημερώνονται χωρίς καθυστέρηση για τα μέτρα που πρέπει να λάβουν από την πλευρά τους.

Οι κυρώσεις, χωρίς δραματοποίηση

Το ανώτατο όριο των προστίμων καθορίζεται από την οδηγία: έως 10 M€ ή 2 % του παγκόσμιου κύκλου εργασιών (το υψηλότερο ποσό) για τις «βασικές» οντότητες· έως 7 M€ ή 1,4 % του παγκόσμιου κύκλου εργασιών για τις «σημαντικές» οντότητες. Πρόκειται για νόμιμα ανώτατα όρια, όχι για αυτόματο λογαριασμό, και το πρόστιμο έρχεται μόνο μετά από μια κλίμακα διορθωτικών μέτρων - δείτε την αναλυτική περιγραφή πιο κάτω.

Οι ημερομηνίες που πρέπει να θυμάστε

Η οδηγία ισχύει από τις 16 Ιανουαρίου 2023. Κάθε κράτος μέλος όφειλε να έχει ενσωματώσει τις υποχρεώσεις στον εθνικό του νόμο το αργότερο έως τις 17 Οκτωβρίου 2024, για πραγματική εφαρμογή από τις 18 Οκτωβρίου 2024, ημερομηνία κατά την οποία καταργήθηκε το παλαιό κείμενο NIS1.

Στη Γαλλία, ποιος καθοδηγεί τον φάκελο

Η ANSSI είναι η αρχή που έχει οριστεί για να υποστηρίζει τη συμμόρφωση με την NIS2. Έχει δημοσιεύσει ένα «Référentiel Cyber France» (ReCyF, διαθέσιμο από τις 17 Μαρτίου 2026) και προσφέρει μια πλατφόρμα «MonEspaceNIS2» καθώς και ένα «ClubSSI» για να βοηθά τις επιχειρήσεις να προσανατολιστούν.

Τι συμβαίνει ήδη στους γείτονές μας

Στη Γερμανία, η αρχή BSI αναφέρει ότι η νόμιμη προθεσμία εγγραφής των οντοτήτων που αφορά έχει ήδη παρέλθει: όσες δεν το έχουν κάνει ακόμη πρέπει να το κάνουν χωρίς καθυστέρηση. Ένα συγκεκριμένο σημάδι ότι η ευρωπαϊκή κίνηση βρίσκεται ήδη σε εξέλιξη, πολύ πέρα από τα κείμενα.

Μια απλοποίηση βρίσκεται υπό εξέταση

Η Ευρωπαϊκή Επιτροπή παρουσίασε το 2026 μια πρόταση («δέσμη omnibus») για να ελαφρύνει τη συμμόρφωση με την NIS2, ιδίως για τις μικρότερες δομές: περίπου 28 700 επιχειρήσεις θα επηρεάζονταν από αυτή την ελάφρυνση, εκ των οποίων 6 200 πολύ μικρές και μικρές επιχειρήσεις.

Μια ιδιωτική κλινική ή ένα διαγνωστικό εργαστήριο

Εμπίπτει στον τομέα «Υγεία» του Παραρτήματος I εφόσον πρόκειται για μονάδα παροχής υγειονομικής περίθαλψης κατά την έννοια του ευρωπαϊκού δικαίου, αν υπερβαίνει το όριο μεσαίου μεγέθους.

Ένας υπεργολάβος αυτοκινητοβιομηχανίας ή ένας κατασκευαστής μηχανημάτων

Εντάσσεται στον τομέα «Μεταποιητική βιομηχανία» του Παραρτήματος II (οχήματα, ηλεκτρικός εξοπλισμός, μηχανήματα, ηλεκτρονικά) πάνω από το όριο μεγέθους.

Ένας πάροχος cloud ή μια εταιρεία διαχειριζόμενων υπηρεσιών (MSP/MSSP)

Ανήκει στη «Ψηφιακή υποδομή» ή στη «Διαχείριση υπηρεσιών ΤΠΕ» του Παραρτήματος I: αφορά από το μεσαίο μέγεθος (σημαντική οντότητα), βασική οντότητα αν είναι μεγάλη. Μοναδική εξαίρεση ως προς το μέγεθος: αν είναι επίσης εγκεκριμένος πάροχος υπηρεσιών εμπιστοσύνης, μητρώο ονομάτων τομέα ή πάροχος DNS.

Μια τοπική αρχή ή ένας περιφερειακός δημόσιος οργανισμός

Εμπίπτει στον τομέα «Δημόσια διοίκηση» του Παραρτήματος I αν το κράτος μέλος το ορίσει, ιδίως όταν η διακοπή των υπηρεσιών του θα είχε σημαντικό αντίκτυπο στις κρίσιμες κοινωνικές ή οικονομικές δραστηριότητες.

Μια μονάδα μεταποίησης τροφίμων ή ένας χονδρέμπορος

Ανήκει στην «Παραγωγή, μεταποίηση και διανομή τροφίμων» του Παραρτήματος II εφόσον ασκεί δραστηριότητα χονδρικής ή βιομηχανική παραγωγή/ μεταποίηση.

Μια επιχείρηση «εκτός των 18 τομέων», αλλά προμηθευτής οντότητας που αφορά η οδηγία

Δεν εμπίπτει άμεσα στο πεδίο εφαρμογής της NIS2, αλλά μπορεί να ωθηθεί σε αυτό μέσω σύμβασης: δείτε την ενότητα «Έμμεση επίδραση» παραπάνω σε αυτή τη σελίδα.

Ε. Τι είναι η οδηγία NIS2, σε μία πρόταση;

Είναι το ευρωπαϊκό κείμενο που αντικατέστησε, από τις 18 Οκτωβρίου 2024, τον παλαιό νόμο του 2016 για την κυβερνοασφάλεια: η Ευρωπαϊκή Επιτροπή το περιγράφει ως κείμενο που «ανεβάζει το κοινό επίπεδο φιλοδοξίας της ΕΕ στην κυβερνοασφάλεια, μέσω ευρύτερου πεδίου εφαρμογής, σαφέστερων κανόνων και ενισχυμένων εργαλείων ελέγχου».

Ε. Είμαι ΜΜΕ, με αφορούν πραγματικά τα όρια μεγέθους;

Το κείμενο στοχεύει πρωτίστως τις «μεσαίες» ή «μεγάλες» επιχειρήσεις κατά την ευρωπαϊκή έννοια, ένα ακριβές νομικό κριτήριο που παραπέμπει στη Σύσταση 2003/361/ΕΚ (στην πράξη: από 50 εργαζόμενους, ή από ταυτόχρονα άνω των 10 M EUR κύκλου εργασιών και ισολογισμού), με δραστηριότητα σε έναν από τους 18 τομείς που απαριθμούνται. Κάτω από αυτά, δεν υπόκεισθε καταρχήν άμεσα, εκτός αν το κράτος σας συμπεριλάβει μικρότερες δομές που κρίνονται ουσιώδεις, ή αν παρέχετε υπηρεσίες σε οντότητα που είναι βασική (έμμεση επίδραση, δείτε παραπάνω σε αυτή τη σελίδα).

Ε. Ως διευθυντής, μπορώ να θεωρηθώ προσωπικά υπεύθυνος;

Ναι, και είναι το λιγότερο γνωστό σημείο του κειμένου: η επίσημη νομική σύνοψη της οδηγίας διευκρινίζει ότι το όργανο διοίκησης πρέπει να εγκρίνει τα μέτρα διαχείρισης κινδύνων και να εποπτεύει την εφαρμογή τους, και ότι μπορεί να θεωρηθεί υπεύθυνο σε περίπτωση παράβασης. Η κυβερνοασφάλεια δεν είναι επομένως απλώς θέμα πληροφορικής: είναι ζήτημα διακυβέρνησης που φτάνει έως τον διευθυντή.

Ε. Πώς να μάθω συγκεκριμένα αν η επιχείρησή μου πρέπει να εγγραφεί;

Κάθε κράτος μέλος πρέπει να τηρεί επικαιροποιημένο έναν επίσημο κατάλογο των βασικών και σημαντικών οντοτήτων, που αναθεωρείται κάθε δύο χρόνια (πρώτη ευρωπαϊκή προθεσμία: 17 Απριλίου 2025). Στη Γαλλία, η ANSSI διαθέτει ένα δωρεάν εργαλείο διαδικτυακής αυτοαξιολόγησης, το «MonEspaceNIS2», που απαντά άμεσα στην ερώτηση «με αφορά;».

Ε. Καθυστερεί η Γαλλία; Τι αλλάζει για μένα σήμερα;

Ναι: ο γαλλικός νόμος ενσωμάτωσης εξακολουθεί να μην έχει δημοσιευθεί, πολύ πέρα από την ευρωπαϊκή προθεσμία. Τον Ιούλιο του 2026, η Ευρωπαϊκή Επιτροπή παρέπεμψε μάλιστα τη Γαλλία στο Δικαστήριο της ΕΕ επειδή δεν κοινοποίησε τα μέτρα ενσωμάτωσής της (δείτε το αναλυτικό χρονοδιάγραμμα παραπάνω). Στην πράξη: καμία «γαλλική κύρωση NIS2» δεν είναι ακόμη δυνατή όσο δεν έχει εκδοθεί το διάταγμα, αλλά τη μέρα που θα εκδοθεί, οι επιχειρήσεις που είναι ήδη έτοιμες δεν θα έχουν τίποτα να αναπληρώσουν.

Ε. Τι αλλάζει πραγματικά σε σχέση με τον παλαιό νόμο NIS1;

Η NIS1 (2016) περιοριζόταν στην ενέργεια, στις μεταφορές, στην υγεία, στα χρηματοοικονομικά, στο νερό και στον ψηφιακό τομέα. Η NIS2 διευρύνει σημαντικά αυτό το πεδίο: προστίθενται πλέον οι ηλεκτρονικές επικοινωνίες για το ευρύ κοινό, τα κοινωνικά δίκτυα και οι ψηφιακές πλατφόρμες, η διαχείριση αποβλήτων, η κατασκευή κρίσιμων προϊόντων, οι ταχυδρομικές υπηρεσίες και η δημόσια διοίκηση. Πολλές επιχειρήσεις που έως τώρα βρίσκονταν εκτός ραντάρ εντάσσονται πλέον στο πεδίο εφαρμογής.

Ε. Προβλέπεται ελάφρυνση για τις μικρές δομές;

Ναι, υπό εξέταση: η Ευρωπαϊκή Επιτροπή παρουσίασε το 2026 μια δέσμη απλοποίησης για τη μείωση του διοικητικού βάρους που συνδέεται με την NIS2, ιδίως για τις μικρότερες οντότητες. Περίπου 28 700 επιχειρήσεις θα επηρεάζονταν από την ελάφρυνση αυτή, εκ των οποίων 6 200 πολύ μικρές και μικρές επιχειρήσεις. Το κείμενο δεν έχει ακόμη εγκριθεί οριστικά: προς παρακολούθηση, χωρίς να περιμένετε για να προετοιμαστείτε.

Ανώτατο διοικητικό πρόστιμο: τουλάχιστον 10 000 000 EUR Ή τουλάχιστον 2 % του παγκόσμιου κύκλου εργασιών του προηγούμενου οικονομικού έτους - εφαρμόζεται το υψηλότερο από τα δύο ποσά.

Ανώτατο διοικητικό πρόστιμο: τουλάχιστον 7 000 000 EUR Ή τουλάχιστον 1,4 % του παγκόσμιου κύκλου εργασιών του προηγούμενου οικονομικού έτους - ίδια λογική, επιλέγεται το υψηλότερο ποσό.

Ποιος επιβάλλει κυρώσεις;

Κάθε κράτος μέλος ορίζει μία ή περισσότερες «αρμόδιες αρχές» επιφορτισμένες με την εποπτεία και την εφαρμογή της οδηγίας. Στη Γαλλία, ο ρόλος αυτός ανατίθεται στην ANSSI.

Το έσχατο μέσο - μόνο για τις βασικές οντότητες

Αν τα προηγούμενα μέτρα μείνουν χωρίς αποτέλεσμα, η αρχή μπορεί να ζητήσει από δικαστήριο την προσωρινή αναστολή μιας πιστοποίησης ή μιας άδειας, ακόμη και την προσωρινή απομάκρυνση ενός διευθυντή (γενικού διευθυντή ή νόμιμου εκπροσώπου) από τα καθήκοντά του, μέχρι να επιτευχθεί συμμόρφωση. Αυτή η ακραία κλιμάκωση αφορά ΜΟΝΟ τις βασικές οντότητες, όχι τις σημαντικές οντότητες.

Το ποσό δεν είναι αυτόματο

Ο νόμος επιβάλλει να λαμβάνονται υπόψη, κατά περίπτωση: η σοβαρότητα και η διάρκεια της παράβασης, η υποτροπή, η προκληθείσα ζημία, ο δόλος ή η αμέλεια, τα μέτρα που ελήφθησαν για τον περιορισμό της ζημίας, η τήρηση κωδίκων δεοντολογίας ή πιστοποιήσεων, το επίπεδο συνεργασίας με την αρχή. Δύο επιχειρήσεις στην ίδια κατάσταση δεν λαμβάνουν αυτόματα το ίδιο πρόστιμο.

Οι διευθυντές, προσωπικά υπεύθυνοι

Το κείμενο προβλέπει ρητά ότι τα φυσικά πρόσωπα που διευθύνουν την οντότητα (γενικός διευθυντής, νόμιμος εκπρόσωπος) μπορούν να θεωρηθούν υπεύθυνα σε περίπτωση παράβασης των υποχρεώσεών τους συμμόρφωσης - τόσο για τις βασικές οντότητες όσο και για τις σημαντικές οντότητες.

Κι αν πρόκειται επίσης για διαρροή δεδομένων;

Αν το περιστατικό συνιστά επίσης παραβίαση δεδομένων προσωπικού χαρακτήρα, η αρχή NIS2 οφείλει να ενημερώσει αμελλητί την αρμόδια αρχή του ΓΚΠΔ (η CNIL στη Γαλλία). Τα δύο καθεστώτα συντονίζονται - δεν πρόκειται για αυτόματη σώρευση κυρώσεων, αλλά για αμοιβαία ενημέρωση μεταξύ αρχών.

Παραδείγματα με αριθμούς; Όχι ακόμη, ειλικρινά

Κατά την ημερομηνία αυτής της παρακολούθησης, δεν βρέθηκε σε επίσημη πηγή καμία δημοσιοποιημένη απόφαση επιβολής κύρωσης NIS2. Το σύστημα εξαρτάται από τον νόμο ενσωμάτωσης κάθε κράτους μέλους, που βρίσκεται στη φάση οριστικοποίησης. Ένδειξη ότι η κίνηση έχει ξεκινήσει: στη Γερμανία, η αρχή BSI αναφέρει ότι η νόμιμη προθεσμία εγγραφής των οντοτήτων που αφορά έχει ήδη παρέλθει.