NIS2 στην Κύπρο: πότε μια επιχείρηση είναι βασική ή σημαντική οντότητα

Περιεχόμενα

Ξεκινήστε από τον τροποποιημένο κυπριακό νόμο του 2025
Αντιστοιχίστε την πραγματική υπηρεσία στην ακριβή εγγραφή Παραρτήματος
Εφαρμόστε χωριστά το κριτήριο μεγέθους και τις εξαιρέσεις
Διακρίνετε βασική από σημαντική οντότητα
Ενημερώστε την Αρχή για νέα ή παραλειφθείσα οντότητα
Μετατρέψτε την κατάταξη σε πρόγραμμα με ευθύνη της διοίκησης
Οργανώστε την αρχική αναφορά με βάση το κυπριακό ρολόι
Κλείστε τον έλεγχο με τεκμηριωμένο φάκελο απόφασης
Πηγές

Το αν μια επιχείρηση υπάγεται στη NIS2 στην Κύπρο κρίνεται από τον περί Ασφάλειας Δικτύων και Συστημάτων Πληροφοριών Νόμο 89(I)/2020, όπως τροποποιήθηκε το 2025, και όχι από γενική ευρωπαϊκή λίστα. Προσδιορίστε το νομικό πρόσωπο και την υπηρεσία που παρέχει, αντιστοιχίστε την σε συγκεκριμένη εγγραφή του Παραρτήματος I ή II, εξετάστε το όριο μεγέθους και κάθε περίπτωση εφαρμογής ανεξαρτήτως μεγέθους και έπειτα αξιολογήστε αν πρόκειται για βασική ή σημαντική οντότητα κατά το άρθρο 27. Η διαδικασία αναγνώρισης και κοινοποίησης της Αρχής Ψηφιακής Ασφάλειας έχει πρακτική σημασία. Ο οδηγός αφορά αυτή την κατάταξη και τα πρώτα οργανωτικά βήματα, μαζί με την κυπριακή αρχική προειδοποίηση των έξι ωρών για σημαντικά περιστατικά. Οι υποχρεώσεις ΓΚΠΔ, DORA και ασφάλειας προϊόντων εξετάζονται χωριστά.

Ξεκινήστε από τον τροποποιημένο κυπριακό νόμο του 2025

Η Κύπρος μετέφερε τη NIS2 τροποποιώντας το 2025 τον Νόμο 89(I)/2020 για την ασφάλεια δικτύων και συστημάτων πληροφοριών. Η επιχείρηση πρέπει να χρησιμοποιήσει το ενοποιημένο εθνικό κείμενο, ιδίως τα άρθρα 2Α, 27, 35, 35Α και 35Β και τα Παραρτήματα I και II. Η ενωσιακή οδηγία εξηγεί το πλαίσιο, αλλά δεν απαντά μόνη της σε κάθε ζήτημα εθνικού πεδίου, επικοινωνίας με την Αρχή και προθεσμίας αναφοράς. Η Αρχή Ψηφιακής Ασφάλειας προσδιορίζει και χαρακτηρίζει βασικές και σημαντικές οντότητες. Φυλάξτε χρονολογημένη εκδοχή του νόμου, τα παραρτήματα που χρησιμοποιήσατε και κάθε σχετική επιστολή ή απόφαση στον φάκελο.

Το αρχικό ερώτημα δεν είναι αν η εταιρεία έχει τμήμα πληροφορικής ή τηρεί προσωπικά δεδομένα. Ελέγξτε πρώτα αν η πραγματική υπηρεσία ή δραστηριότητά της ανήκει σε αναφερόμενο είδος οντότητας, και μετά αν την καλύπτει το μέγεθος ή κάποια εξαίρεση από αυτό. Ένα κοινό κατάστημα που χρησιμοποιεί λογισμικό cloud δεν γίνεται εξ αυτού πάροχος υπηρεσιών υπολογιστικού νέφους. Αντίστροφα, πάροχος διαχείρισης συστημάτων πελατών δεν πρέπει να αποκλείσει τη NIS2 μόνο επειδή απασχολεί λίγους εργαζομένους. Περιγράψτε την υπηρεσία προς τρίτους, τη σύμβαση και ποιο νομικό πρόσωπο την παρέχει. Εξετάστε χωριστά διαφορετικές δραστηριότητες.

Η κατάταξη είναι νομική αξιολόγηση, όχι πιστοποίηση κυβερνοασφάλειας. Επιχείρηση εκτός NIS2 μπορεί να εξακολουθεί να έχει υποχρεώσεις από ΓΚΠΔ, ειδικό δίκαιο, συμβάσεις ή ασφάλεια προϊόντων. Επιχείρηση εντός NIS2 χρειάζεται πραγματική διαχείριση κινδύνων και διαδικασία περιστατικών, όχι απλώς σημείωμα που τη χαρακτηρίζει «βασική». Ο παρών οδηγός περιορίζεται στην κατάταξη και τις πρώτες ενέργειες. Για κατασκευαστή συνδεδεμένου λογισμικού πρέπει να εξεταστεί ξεχωριστά η Πράξη Κυβερνοανθεκτικότητας. Καταγράψτε ρητά τα όρια του ελέγχου ώστε η διοίκηση να μη θεωρήσει ότι μια απόφαση NIS2 καλύπτει κάθε άλλο καθεστώς.

Σχετικός οδηγός: οδηγό Πράξης Κυβερνοανθεκτικότητας.

Νομική βάση και οδηγίες: Ο περί Ασφάλειας Δικτύων και Συστημάτων Πληροφοριών Νόμος 89(I)/2020, ενοποιημένο ελληνικό κείμενο; Αρχή Ψηφιακής Ασφάλειας: ανακοίνωση μεταφοράς NIS2 στην Κύπρο; Οδηγία (ΕΕ) 2022/2555 (NIS2), άρθρα 2, 3, 21 και 23, Παραρτήματα I και II

Αντιστοιχίστε την πραγματική υπηρεσία στην ακριβή εγγραφή Παραρτήματος

Το Παράρτημα I καλύπτει τομείς υψηλής κρισιμότητας: ενέργεια, μεταφορές, τραπεζικές υπηρεσίες, υποδομές χρηματοπιστωτικών αγορών, υγεία, πόσιμο νερό και λύματα, ψηφιακές υποδομές, διαχείριση υπηρεσιών ΤΠΕ μεταξύ επιχειρήσεων, δημόσια διοίκηση και διάστημα. Το Παράρτημα II περιλαμβάνει άλλους κρίσιμους τομείς, όπως ταχυδρομικές και ταχυμεταφορικές υπηρεσίες, απόβλητα, χημικά, συγκεκριμένη παραγωγή ή χονδρική τροφίμων, μεταποίηση, ψηφιακούς παρόχους και έρευνα. Κάθε επικεφαλίδα συνοδεύεται από στενότερους ορισμούς. Στο σημείωμα αναφέρετε την ακριβή σειρά και τον συγκεκριμένο τύπο υπηρεσίας, όχι μόνο μια ευρεία λέξη όπως «τεχνολογία» ή «υγεία».

Στο Παράρτημα I περιλαμβάνονται, μεταξύ άλλων, πάροχοι υπολογιστικού νέφους και κέντρων δεδομένων, DNS, διαχειριζόμενων υπηρεσιών και διαχειριζόμενων υπηρεσιών ασφάλειας. Οι όροι αυτοί ελέγχονται με βάση τι πράγματι προσφέρει η οντότητα, ποια συστήματα χειρίζεται, τις συμβάσεις και τους πελάτες της. Εταιρεία που απλώς πουλά εφαρμογή δεν είναι αυτομάτως πάροχος διαχειριζόμενης ασφάλειας· εταιρεία που λειτουργεί δίκτυα πελατών ίσως είναι. Στον τομέα τροφίμων του Παραρτήματος II η κάλυψη αφορά συγκεκριμένη βιομηχανική παραγωγή, επεξεργασία και χονδρική διανομή, όχι κάθε καφετέρια. Οι περιορισμοί του ορισμού έχουν ίση σημασία με τον τίτλο του τομέα.

Φτιάξτε χάρτη υπηρεσιών ανά κυπριακό νομικό πρόσωπο: τι πωλείται, σε ποιους, από ποιον συμβαλλόμενο, με ποια υποδομή και εξωτερικούς συνεργάτες και σε ποια κράτη μέλη. Όμιλος δεν πρέπει να αντιμετωπίζει μια κοινή εμπορική επωνυμία σαν ένα μόνο νομικό πρόσωπο. Μια θυγατρική μπορεί να παρέχει καλυπτόμενη υπηρεσία, ενώ άλλη απλώς την αγοράζει. Μικρή γραμμή υπηρεσιών μπορεί να φέρει την εταιρεία εντός πεδίου παρότι το μεγαλύτερο μέρος εσόδων προέρχεται αλλού. Καταγράψτε και γιατί απορρίψατε άλλες εγγραφές, ώστε εξαγορά ή νέα υπηρεσία να πυροδοτεί στοχευμένη επανεξέταση.

Σχετικός οδηγός: οδηγό Data Act για cloud.

Νομική βάση και οδηγίες: Ο περί Ασφάλειας Δικτύων και Συστημάτων Πληροφοριών Νόμος 89(I)/2020, ενοποιημένο ελληνικό κείμενο; Οδηγία (ΕΕ) 2022/2555 (NIS2), άρθρα 2, 3, 21 και 23, Παραρτήματα I και II

Εφαρμόστε χωριστά το κριτήριο μεγέθους και τις εξαιρέσεις

Το άρθρο 2Α παράγραφος 1 καλύπτει κατά κανόνα είδη οντοτήτων των Παραρτημάτων I ή II που χαρακτηρίζονται μεσαίες επιχειρήσεις κατά τη Σύσταση 2003/361/ΕΚ ή υπερβαίνουν τα σχετικά ανώτατα όρια και δραστηριοποιούνται στην Ένωση. Η σύσταση χρησιμοποιεί αριθμό εργαζομένων και οικονομικά στοιχεία. Για συνδεδεμένες και συνεργαζόμενες επιχειρήσεις η μέτρηση μπορεί να απαιτεί συνυπολογισμό, επομένως μόνο ο αριθμός της κυπριακής μισθοδοσίας ίσως παραπλανεί. Συγκεντρώστε εργαζομένους, κύκλο εργασιών, σύνολο ισολογισμού και δομή ιδιοκτησίας, σημειώνοντας ακριβώς τη μέθοδο υπολογισμού. Ο κυπριακός νόμος προβλέπει ειδική μη εφαρμογή της παραγράφου 4 του άρθρου 3 του Παραρτήματος της σύστασης.

Το μικρό μέγεθος δεν είναι γενική εξαίρεση. Το άρθρο 2Α παράγραφος 2 περιλαμβάνει περιπτώσεις ανεξαρτήτως μεγέθους για ορισμένες δημόσιες ηλεκτρονικές επικοινωνίες, υπηρεσίες εμπιστοσύνης, μητρώα TLD και DNS. Μπορεί επίσης να καλύπτεται ο μοναδικός πάροχος ουσιώδους υπηρεσίας ή οντότητα της οποίας η διακοπή θα είχε σοβαρή επίπτωση στη δημόσια ασφάλεια, τάξη, υγεία ή σε συστημικούς και περιφερειακούς κινδύνους. Άλλες παράγραφοι καλύπτουν συγκεκριμένη δημόσια διοίκηση, κρίσιμες οντότητες και υπηρεσίες καταχώρισης ονομάτων τομέα. Ελέγξτε κάθε σχετική διαδρομή χωριστά. Μικρή εταιρεία που εξυπηρετεί κρίσιμους πελάτες δεν αρκεί να επικαλείται μόνο το προσωπικό της.

Αντίστροφα, κάθε προμηθευτής νοσοκομείου δεν γίνεται αυτομάτως βασική οντότητα υγείας. Η ίδια η υπηρεσία του προμηθευτή πρέπει να συγκριθεί με το Παράρτημα· ενδέχεται να καλύπτεται μέσω διαχείρισης ΤΠΕ ή άλλης εγγραφής. Μην εμπιστεύεστε διαφημιστική απάντηση «είμαστε μικροί, άρα εκτός NIS2» ή ξένο ηλεκτρονικό υπολογιστή χωρίς εθνική επαλήθευση. Αναθεωρείτε μέγεθος και εξαιρέσεις μετά από συγχώνευση, νέα υπηρεσία, νέα αγορά ή ουσιώδη ανάπτυξη. Χρονολογημένη απόφαση με στοιχεία και αιτίες απόρριψης κάθε διαδρομής βοηθά περισσότερο από σταθερό πεδίο ναι/όχι σε ένα CRM.

Σχετικός οδηγός: οδηγό DSA για πλατφόρμες.

Νομική βάση και οδηγίες: Ο περί Ασφάλειας Δικτύων και Συστημάτων Πληροφοριών Νόμος 89(I)/2020, ενοποιημένο ελληνικό κείμενο; Σύσταση 2003/361/ΕΚ της Επιτροπής για τον ορισμό μικρομεσαίων επιχειρήσεων; Οδηγία (ΕΕ) 2022/2555 (NIS2), άρθρα 2, 3, 21 και 23, Παραρτήματα I και II

Διακρίνετε βασική από σημαντική οντότητα

Το άρθρο 27 χαρακτηρίζει βασικές ορισμένες οντότητες του Παραρτήματος I που υπερβαίνουν το όριο μεσαίας επιχείρησης. Περιλαμβάνει επίσης ειδικές κατηγορίες, όπως εγκεκριμένους παρόχους υπηρεσιών εμπιστοσύνης, μητρώα TLD και DNS ανεξαρτήτως μεγέθους, καθώς και ορισμένες ηλεκτρονικές επικοινωνίες, δημόσια διοίκηση και κρίσιμες οντότητες. Άλλες οντότητες εντός πεδίου των Παραρτημάτων I ή II, εφόσον δεν πληρούν κριτήριο βασικής οντότητας, είναι κατά κανόνα σημαντικές. Επομένως το «Παράρτημα I» δεν ταυτίζεται πάντα με το «βασική». Μεσαίος πάροχος cloud μπορεί να είναι σημαντικός αν δεν υπάρχει άλλη νομική βάση για βασικό χαρακτηρισμό.

Η Αρχή Ψηφιακής Ασφάλειας μπορεί να χαρακτηρίζει οντότητες μετά από αξιολόγηση κρισιμότητας βάσει εθνικών κριτηρίων. Σύμφωνα με το άρθρο 27, ο εθνικός κατάλογος εγκρίνεται με εμπιστευτική απόφαση Υπουργικού Συμβουλίου και η Αρχή επιδίδει την απόφαση χαρακτηρισμού στην οντότητα. Δεν πρόκειται για πλήρη δημόσιο κατάλογο αναζήτησης. Η απουσία ονόματος από μια ιστοσελίδα δεν αποδεικνύει ότι η εταιρεία είναι εκτός νόμου. Φυλάξτε κοινοποιήσεις και αλληλογραφία, ζητήστε καθοδήγηση σε αμφίβολη κατάταξη και μη δημοσιεύετε δήθεν επίσημη ιδιότητα χωρίς έγγραφο. Ξεχωρίστε το εσωτερικό συμπέρασμα από την πράξη της Αρχής.

Βασικές και σημαντικές οντότητες έχουν κοινές κεντρικές υποχρεώσεις διαχείρισης κινδύνων και αναφοράς σημαντικών περιστατικών, ενώ διαφέρει η εποπτεία. Η ίδια η Αρχή περιγράφει για τις βασικές εκ των προτέρων και εκ των υστέρων εποπτεία, και για τις σημαντικές κυρίως εκ των υστέρων. Η διοίκηση πρέπει συνεπώς να απαντήσει δύο διαφορετικά ερωτήματα: είναι η εταιρεία εντός πεδίου, και ποια είναι η νόμιμη ή κοινοποιημένη κατάταξή της; Αν το δεύτερο παραμένει αμφίβολο, μην καθυστερείτε βασικούς ελέγχους και ετοιμότητα περιστατικών. Δώστε στο σημείωμα υπεύθυνο, ημερομηνία, πηγές και γεγονότα επανεξέτασης.

Ενημερώστε την Αρχή για νέα ή παραλειφθείσα οντότητα

Ο ενοποιημένος νόμος προβλέπει ότι η Αρχή καταρτίζει και επικαιροποιεί κατάλογο βασικών και σημαντικών οντοτήτων και παρόχων υπηρεσιών καταχώρισης ονομάτων τομέα. Το άρθρο 27 παράγραφος 4 αφορά στοιχεία ονομασίας, διεύθυνσης και επικοινωνίας, τον σχετικό τομέα και υποτομέα Παραρτήματος και τα κράτη μέλη παροχής υπηρεσίας. Μεταβολή στοιχείων που έχουν υποβληθεί κοινοποιείται αμελλητί και πάντως εντός δύο εβδομάδων. Τηρήστε ελεγχόμενο μητρώο επαφών, ώστε αλλαγή email, νέος τόπος δραστηριότητας ή αναδιοργάνωση να φτάνει στον υπεύθυνο συμμόρφωσης. Παλιές πληροφορίες μπορούν να εμποδίσουν κρίσιμη κοινοποίηση.

Το άρθρο 27Β ορίζει ειδικά ότι νεοσυσταθείσες ή προηγουμένως μη περιληφθείσες οντότητες που εμπίπτουν στο άρθρο 2Α ενημερώνουν την Αρχή για αξιολόγηση. Το άρθρο 27Α προβλέπει επίσης για νέες πιθανώς βασικές ή σημαντικές οντότητες πρώιμη επικοινωνία και αίτημα γνώμης ή καθοδήγησης για μέτρα ασφάλειας κατά τον σχεδιασμό της υποδομής τους. Μια νεοφυής επιχείρηση που προσφέρει καλυπτόμενη υπηρεσία δεν πρέπει να περιμένει αιφνιδιαστική επιστολή μετά την έναρξη λειτουργίας της. Βρείτε τον τρέχοντα επίσημο τρόπο επικοινωνίας και κρατήστε αντίγραφο υποβολής, στοιχείων που δώσατε και απάντησης.

Μη δημιουργείτε αυθαίρετη ενιαία προθεσμία εγγραφής ούτε χρησιμοποιείτε πύλη άλλου κράτους μέλους. Ελέγξτε τρέχουσες ανακοινώσεις και αποφάσεις της Αρχής κατά τον χρόνο επικοινωνίας. Η σελίδα της Επιτροπής ονομάζει την κυπριακή Αρχή ως σημείο επαφής, αλλά ο γενικός πίνακας προόδου της δεν υπερισχύει του μεταγενέστερου ενοποιημένου εθνικού νόμου. Είναι ιδιαίτερα σημαντικό να μην ερμηνεύεται παλαιότερη ένδειξη διαδικασίας επί παραβάσει σαν ακύρωση ισχύοντος νόμου. Τεκμηριώστε ποιο ερώτημα υποβλήθηκε, μέσω ποιου καναλιού και ποια ήταν η ανταπόκριση. Εν τω μεταξύ συνεχίστε αναλογικά μέτρα ασφάλειας.

Νομική βάση και οδηγίες: Ο περί Ασφάλειας Δικτύων και Συστημάτων Πληροφοριών Νόμος 89(I)/2020, ενοποιημένο ελληνικό κείμενο; Αρχή Ψηφιακής Ασφάλειας: ανακοίνωση μεταφοράς NIS2 στην Κύπρο; Ευρωπαϊκή Επιτροπή: εφαρμογή NIS2 στην Κύπρο και στοιχεία Αρχής

Μετατρέψτε την κατάταξη σε πρόγραμμα με ευθύνη της διοίκησης

Το άρθρο 35 απαιτεί από καλυπτόμενες οντότητες κατάλληλα και αναλογικά τεχνικά, επιχειρησιακά και οργανωτικά μέτρα για κινδύνους των συστημάτων και επίπτωση στους αποδέκτες υπηρεσιών. Αναφέρει πολιτικές ανάλυσης κινδύνων, χειρισμό περιστατικών, επιχειρησιακή συνέχεια και ανάκαμψη, ασφάλεια αλυσίδας εφοδιασμού, ασφαλή αγορά και ανάπτυξη, διαχείριση ευπαθειών, έλεγχο αποτελεσματικότητας, κυβερνοϋγιεινή και εκπαίδευση, κρυπτογραφία, διαχείριση πρόσβασης και περιουσιακών στοιχείων, πολυπαραγοντική ή συνεχή ταυτοποίηση. Πρώτα καταγράψτε τη συγκεκριμένη υπηρεσία, τα συστήματα, τους προμηθευτές και τα σημεία αστοχίας. Ένα γενικό πακέτο με ετικέτα «NIS2 compliant» δεν αποδεικνύει την πραγματική εφαρμογή.

Το άρθρο 35Α αναθέτει στο όργανο διοίκησης έγκριση και επίβλεψη των μέτρων, προβλέποντας εκπαίδευση της διοίκησης και τακτική εκπαίδευση εργαζομένων. Βάλτε τον κυβερνοκίνδυνο στην ημερήσια διάταξη με υπεύθυνο, προϋπολογισμό, αποφάσεις και μετρήσιμες ημερομηνίες διόρθωσης. Ελέγξτε αν έγινε πραγματική επαναφορά αντιγράφων, αν κρίσιμος προμηθευτής ειδοποιεί για περιστατικά, αν προνομιακοί λογαριασμοί έχουν ισχυρή ταυτοποίηση και αν εφημερεύει ομάδα που μπορεί να κρίνει νομική υποχρέωση αναφοράς. Φάκελος πολιτικών χωρίς ασκήσεις λειτουργίας έχει μικρότερη αποδεικτική αξία. Προσαρμόστε μέτρα στον κίνδυνο και στις εφαρμοστέες αποφάσεις της Αρχής.

Για οντότητα με άλλη τομεακή νομοθεσία, αντιστοιχίστε απαιτήσεις αντί να θεωρήσετε ότι ένα καθεστώς καταργεί τα άλλα. Χρηματοοικονομική εταιρεία μπορεί να έχει DORA, υπεύθυνος επεξεργασίας μπορεί να χρειάζεται γνωστοποίηση παραβίασης ΓΚΠΔ και κατασκευαστής συνδεδεμένων προϊόντων μπορεί να έχει κανόνες ασφάλειας προϊόντος. Το άρθρο 2Α έχει ειδική ρύθμιση για ισοδύναμες ως προς το αποτέλεσμα τομεακές ενωσιακές πράξεις, που απαιτεί συγκεκριμένη εξέταση. Ένα περιστατικό μπορεί να ενεργοποιεί περισσότερα νομικά ρολόγια. Ορίστε νομικό υπεύθυνο ανά καθεστώς και συνδέστε τις αξιολογήσεις με κοινό τεχνικό αρχείο γεγονότων, ώστε να μη χαθεί προθεσμία σε παράλληλες ομάδες.

Σχετικός οδηγός: οδηγό ΓΚΠΔ για περιστατικά.

Οργανώστε την αρχική αναφορά με βάση το κυπριακό ρολόι

Το άρθρο 35Β θεωρεί σημαντικό, μεταξύ άλλων, περιστατικό που προκάλεσε ή μπορεί να προκαλέσει σοβαρή επιχειρησιακή διατάραξη ή οικονομική ζημιά ή σημαντική υλική ή μη υλική ζημιά σε τρίτους. Βασικές και σημαντικές οντότητες υποβάλλουν αρχική ενημέρωση στην Αρχή χωρίς αδικαιολόγητη καθυστέρηση και πάντως εντός έξι ωρών από τη στιγμή που αντιλήφθηκαν σημαντικό περιστατικό. Ακολουθεί κοινοποίηση εντός 72 ωρών με αρχική αξιολόγηση και τελική αναφορά κατά κανόνα εντός μηνός από εκείνη την κοινοποίηση. Για ορισμένα περιστατικά παρόχων υπηρεσιών εμπιστοσύνης ισχύει ειδικός κανόνας 24 ωρών. Ελέγξτε τρέχουσες οδηγίες μορφής και καναλιού.

Το κυπριακό εξάωρο χάνεται εύκολα αν η ομάδα διαβάσει μόνο ευρωπαϊκές περιλήψεις που μιλούν για 24 ώρες. Το σχέδιο αντιμετώπισης για κυπριακή οντότητα πρέπει να ακολουθεί τον ισχύοντα εθνικό νόμο και τυχόν ειδικές αποφάσεις. Ορίστε εφημερία τεχνικής και νομικής ομάδας, εναλλακτικούς τρόπους επικοινωνίας, κριτήρια σοβαρότητας και πρόσωπο που εγκρίνει την υποβολή. Καταγράψτε ώρα γνώσης, επηρεαζόμενη υπηρεσία, γνωστές επιπτώσεις και ανοιχτά στοιχεία. Πλήρης δικανική ανάλυση αιτίας δεν χρειάζεται για την αρχική ενημέρωση. Αναμονή βεβαιότητας μπορεί να εξαντλήσει τη νόμιμη προθεσμία.

Δεν είναι κάθε συναγερμός κακόβουλου λογισμικού σημαντικό περιστατικό. Συμβάν προσωπικών δεδομένων μπορεί επιπλέον να αναφέρεται βάσει ΓΚΠΔ ή σύμβασης, ακόμη κι αν δεν φτάνει στο όριο του άρθρου 35Β. Η αρχική εκτίμηση πρέπει να καταγράφει υπηρεσία, υφιστάμενη και πιθανή διατάραξη, πελάτες ή τρίτους, διασυνοριακό αντίκτυπο, χρόνο γνώσης και αιτιολόγηση. Το άρθρο 35Β προβλέπει επίσης κατά περίπτωση ενημέρωση αποδεκτών της υπηρεσίας. Κάντε άσκηση νυχτερινού περιστατικού: μπορεί η ομάδα να ταξινομήσει, εγκρίνει και στείλει αναφορά μέσω σωστού καναλιού χωρίς αναμονή μέχρι την επόμενη εργάσιμη; Η νομική κατάταξη μόνη της δεν αρκεί.

Κλείστε τον έλεγχο με τεκμηριωμένο φάκελο απόφασης

Ένα αξιόπιστο σημείωμα πεδίου NIS2 έχει πέντε παραρτήματα: ακριβή εγγραφή Παραρτήματος και περιγραφή υπηρεσίας, υπολογισμό μεγέθους με δομή ιδιοκτησίας, έλεγχο κάθε εφαρμογής ανεξαρτήτως μεγέθους, αλληλογραφία ή χαρακτηρισμό της Αρχής και εγκεκριμένο από τη διοίκηση σχέδιο ενεργειών. Χρονολογήστε τις πηγές και την έκδοση του κυπριακού νόμου. Αν καταλήγετε εκτός πεδίου, δηλώστε ποια γεγονότα θα άλλαζαν το συμπέρασμα: για παράδειγμα παροχή διαχειριζόμενων υπηρεσιών, υπέρβαση ορίου μεγέθους ή εθνικός χαρακτηρισμός κρισιμότητας. Αυτό κάνει την επόμενη επανεξέταση ταχύτερη και δεν εξαρτάται από τη μνήμη ενός στελέχους.

Δοκιμάστε οριακά παραδείγματα πάνω στις πραγματικές συμβάσεις. Εταιρεία που μόνο αδειοδοτεί λογισμικό λογιστικής διαφέρει από εταιρεία που διαχειρίζεται τα δίκτυα πελατών. Η ιδιωτική κλινική μπορεί να εμπίπτει στο Παράρτημα I λόγω της δικής της υπηρεσίας υγείας· ο εξωτερικός πάροχος cloud ελέγχεται χωριστά για τη δική του υπηρεσία, μέγεθος και εξαίρεση. Χονδρέμπορος τροφίμων μπορεί να εμπίπτει στο Παράρτημα II, ενώ μικρό καφέ δεν εμπίπτει αυτομάτως. Πρόκειται για παραδείγματα ελέγχου, όχι τελεσίδικες απαντήσεις. Οι νόμιμοι ορισμοί, το επιχειρηματικό μοντέλο, τα δεδομένα ομίλου και τυχόν απόφαση Αρχής καθορίζουν το αποτέλεσμα.

Πριν εγκριθεί το συμπέρασμα, ζητήστε από νομικό, ασφάλεια, λειτουργία και υπεύθυνη επιχειρηματική μονάδα να αμφισβητήσουν την περιγραφή υπηρεσίας και τις εξαιρέσεις. Επικοινωνήστε με την Αρχή όπου η αναγνώριση ή η υποχρέωση ενημέρωσης παραμένει αβέβαιη. Ορίστε ετήσια και έκτακτη επανεξέταση με υπεύθυνο διοίκησης αν η εταιρεία είναι εντός πεδίου. Μην ισχυρίζεστε δημόσια ότι η επιχείρηση είναι «πιστοποιημένη NIS2»: ο νόμος δημιουργεί υποχρεώσεις και εποπτεία, όχι ενιαίο καθολικό πιστοποιητικό. Στην πράξη μετρά αν εντοπίστηκε η σωστή οντότητα, ενημερώθηκε όπου απαιτείται η Αρχή και αποδεικνύεται η λειτουργία των μέτρων.

Σχετικός οδηγός: οδηγό αλλαγής παρόχου cloud.

Νομική βάση και οδηγίες: Ο περί Ασφάλειας Δικτύων και Συστημάτων Πληροφοριών Νόμος 89(I)/2020, ενοποιημένο ελληνικό κείμενο; Σύσταση 2003/361/ΕΚ της Επιτροπής για τον ορισμό μικρομεσαίων επιχειρήσεων; Ευρωπαϊκή Επιτροπή: εφαρμογή NIS2 στην Κύπρο και στοιχεία Αρχής

Πρωτογενείς πηγές και πεδίο εφαρμογής

Έλεγχος πηγών: 8 Οκτωβρίου 2026. Ο οδηγός αφορά την Κυπριακή Δημοκρατία. Τα παραδείγματα είναι υποθετικά και δεν αποτελούν υποθέσεις πελατών. Ελέγξτε τις ισχύουσες επίσημες απαιτήσεις πριν από κάθε υποβολή.

Πρακτικοί οδηγοί για το θέμα

Συμβάσεις με παρόχους ΤΠΕ βάσει DORA στην Κύπρο: έλεγχος του άρθρου 30
Πρακτικός έλεγχος του άρθρου 30 DORA για κυπριακές χρηματοοικονομικές οντότητες: βασικές ρήτρες, κρίσιμες λειτουργίες, υπεργολαβία, έξοδος και μητρώο CySEC.

Συχνές ερωτήσεις

Ισχύει η NIS2 για κάθε κυπριακή εταιρεία με δεδομένα πελατών;

Όχι. Ελέγξτε υπηρεσία και νομικό πρόσωπο με τα Παραρτήματα I ή II, το μέγεθος και τις περιπτώσεις του άρθρου 2Α ανεξαρτήτως μεγέθους. Η τήρηση προσωπικών δεδομένων μόνη της δεν αρκεί.

Μπορεί μικρή κυπριακή εταιρεία να εμπίπτει στη NIS2;

Ναι. Το άρθρο 2Α περιλαμβάνει συγκεκριμένους παρόχους και περιπτώσεις κρισιμότητας ανεξαρτήτως μεγέθους. Το «κάτω από 50 εργαζομένους» δεν είναι πλήρης απάντηση.

Είναι κάθε οντότητα Παραρτήματος I βασική;

Όχι. Το άρθρο 27 συνδυάζει όρια μεγέθους, ειδικές κατηγορίες και χαρακτηρισμό. Οντότητα Παραρτήματος I μπορεί να είναι σημαντική αν δεν πληροί όρο βασικής.

Δημοσιεύεται πλήρης κατάλογος από την Αρχή;

Ο νόμος περιγράφει ως εμπιστευτικό τον κατάλογο που εγκρίνεται από το Υπουργικό Συμβούλιο, ενώ ο χαρακτηρισμός κοινοποιείται στην οντότητα. Η απουσία από δημόσια αναζήτηση δεν αποδεικνύει εξαίρεση.

Πότε απαιτείται αρχική ενημέρωση για σημαντικό περιστατικό;

Το άρθρο 35Β(4)(α) απαιτεί ενημέρωση χωρίς αδικαιολόγητη καθυστέρηση και πάντως εντός έξι ωρών από τη γνώση σημαντικού περιστατικού. Ελέγξτε ισχύουσες οδηγίες της Αρχής.

Τι πρέπει να κάνει νεοσύστατη πιθανώς καλυπτόμενη οντότητα;

Το άρθρο 27Β απαιτεί να ενημερώσει την Αρχή για αξιολόγηση αν εμπίπτει στο άρθρο 2Α και δεν είναι στον κατάλογο. Το άρθρο 27Α αφορά επίσης έγκαιρη καθοδήγηση ασφάλειας.

Συντάχθηκε με υποστήριξη τεχνητής νοημοσύνης βάσει των συνδεδεμένων πρωτογενών πηγών. Δεν δηλώνεται ατομικός έλεγχος από επαγγελματία. Γενικές πληροφορίες, όχι νομική ή φορολογική συμβουλή. Συντακτική πολιτική

Χρειάζεστε εξατομικευμένη καθοδήγηση;

Κλείστε δωρεάν συνάντηση 30 λεπτών. Η Zeno συντονίζει ανεξάρτητους δικηγόρους με άδεια στην Κύπρο και λογιστές με άδεια ΣΕΛΚ και αποστέλλει γραπτή περιγραφή εργασιών εντός 24 ωρών.

Κλείστε δωρεάν συνάντηση