Οδηγία NIS2: Διασφάλιση συστημάτων δικτύου και πληροφοριών

Η ασφάλεια στον κυβερνοχώρο περιλαμβάνει την προστασία των συστημάτων δικτύου και πληροφοριών (NIS), των χρηστών τους και άλλων επηρεαζόμενων ατόμων από κυβερνοπεριστατικά και απειλές. Για την αντιμετώπιση της αυξημένης έκθεσης της Ευρώπης σε κυβερνοαπειλές, η οδηγία 2022/2555, γνωστή και ως NIS2, αντικατέστησε την προκάτοχό της, την οδηγία 2016/1148 ή NIS1. Η NIS2 αυξάνει το κοινό επίπεδο φιλοδοξίας της ΕΕ όσον αφορά την ασφάλεια στον κυβερνοχώρο, μέσω ευρύτερου πεδίου εφαρμογής, σαφέστερων κανόνων και ισχυρότερων εργαλείων εποπτείας. Απαιτεί από τα κράτη μέλη να ενισχύσουν τις ικανότητές τους στον τομέα της κυβερνοασφάλειας, θεσπίζοντας παράλληλα μέτρα διαχείρισης κινδύνων και απαιτήσεις υποβολής εκθέσεων σε οντότητες από περισσότερους τομείς και θεσπίζοντας κανόνες για τη συνεργασία, την ανταλλαγή πληροφοριών, την εποπτεία και την επιβολή των μέτρων κυβερνοασφάλειας.

Η οδηγία απαιτεί από κάθε κράτος μέλος να εγκρίνει εθνική στρατηγική κυβερνοασφάλειας, η οποία περιλαμβάνει πολιτικές για την ασφάλεια της αλυσίδας εφοδιασμού, τη διαχείριση τρωτών σημείων και την εκπαίδευση και ευαισθητοποίηση στον τομέα της κυβερνοασφάλειας. Τα κράτη μέλη πρέπει επίσης να καταρτίζουν και να επικαιροποιούν τακτικά κατάλογο των φορέων εκμετάλλευσης βασικών υπηρεσιών, διασφαλίζοντας ότι οι εν λόγω οντότητες συμμορφώνονται με τις απαιτήσεις της οδηγίας.

Εκτός από τους τομείς που καλύπτονται ήδη από την NIS 1 —ενέργεια, μεταφορές, υγειονομική περίθαλψη, οικονομικά, διαχείριση των υδάτων και ψηφιακές υποδομές— οι νέοι κανόνες ισχύουν επίσης για τους παρόχους δημόσιων ηλεκτρονικών επικοινωνιών, περισσότερων ψηφιακών υπηρεσιών (όπως οι κοινωνικές πλατφόρμες), διαχείρισης αποβλήτων και λυμάτων, παραγωγής κρίσιμων προϊόντων, ταχυδρομικών υπηρεσιών και υπηρεσιών ταχυμεταφοράς, και δημόσιας διοίκησης τόσο σε κεντρικό όσο και σε περιφερειακό επίπεδο, καθώς και στον διαστημικό τομέα. Κατά κανόνα, οι μεσαίες και μεγάλες οντότητες σε αυτούς τους κρίσιμους τομείς θα πρέπει να λαμβάνουν κατάλληλα μέτρα διαχείρισης κινδύνων κυβερνοασφάλειας και να ενημερώνουν τις αρμόδιες εθνικές αρχές για σημαντικά περιστατικά. Πρόκειται για περιστατικά που θα μπορούσαν να προκαλέσουν σημαντική διαταραχή ή βλάβη.

Η οδηγία περιλαμβάνει επίσης διατάξεις για την εποπτεία, την επιβολή και τις εθελοντικές αξιολογήσεις από ομοτίμους με σκοπό την ενίσχυση της αμοιβαίας εμπιστοσύνης και των ικανοτήτων κυβερνοασφάλειας σε ολόκληρη την ΕΕ. Εισάγει επίσης τη λογοδοσία της ανώτατης διοίκησης για τη μη συμμόρφωση με τα μέτρα διαχείρισης κινδύνων στον τομέα της κυβερνοασφάλειας, θέτοντας έτσι την κυβερνοασφάλεια υπόψη του διοικητικού συμβουλίου.

Η οδηγία δημιουργεί ένα δίκτυο Ομάδων Αντιμετώπισης Περιστατικών Ασφάλειας Υπολογιστών (CSIRT) για την ανταλλαγή πληροφοριών σχετικά με κυβερνοαπειλές και την αντιμετώπιση περιστατικών. Οι ομάδες αυτές είναι ζωτικής σημασίας για τη διατήρηση της επίγνωσης της κατάστασης και την παροχή βοήθειας. Για τη διαχείριση περιστατικών ή κρίσεων μεγάλης κλίμακας στον κυβερνοχώρο, η οδηγία δημιουργεί το ευρωπαϊκό δίκτυο οργανισμών διασύνδεσης για κρίσεις στον κυβερνοχώρο (EU-CyCLONe). Το δίκτυο αυτό υποστηρίζει τη συντονισμένη διαχείριση και διασφαλίζει την τακτική ανταλλαγή πληροφοριών μεταξύ των κρατών μελών και των θεσμικών οργάνων της ΕΕ σε περίπτωση περιστατικών και κρίσεων μεγάλης κλίμακας. 

Παράλληλα, η ομάδα συνεργασίας NIS είναι μια πλατφόρμα που δημιουργήθηκε με την οδηγία NIS για τη διευκόλυνση της στρατηγικής συνεργασίας και της ανταλλαγής πληροφοριών μεταξύ των κρατών μελών της ΕΕ, της Ευρωπαϊκής Επιτροπής και του Οργανισμού της ΕΕ για την Κυβερνοασφάλεια (ENISA). Η ομάδα δημοσιεύει μη δεσμευτικές κατευθυντήριες γραμμές και συστάσεις για τη στήριξη της εφαρμογής της οδηγίας NIS.

Στις 20 Ιανουαρίου 2026, στο πλαίσιο νέας δέσμης μέτρων για την κυβερνοασφάλεια, η Επιτροπή πρότεινε στοχευμένες τροποποιήσεις της οδηγίας NIS2 για την αύξηση της νομικής σαφήνειας. Οι τροποποιήσεις θα απλουστεύσουν τη συμμόρφωση με τους κανόνες της ΕΕ για την κυβερνοασφάλεια και τις απαιτήσεις διαχείρισης κινδύνων για τις εταιρείες που δραστηριοποιούνται στην ΕΕ. Θα διευκολύνουν τη συμμόρφωση για 28.700 εταιρείες, συμπεριλαμβανομένων 6.200 πολύ μικρών και μικρών επιχειρήσεων.  

Ιστορικό

Η οδηγία NIS 1 (οδηγία 2016/1148) ήταν η πρώτη ολοκληρωμένη νομοθεσία της ΕΕ που αποσκοπούσε στην ενίσχυση της κυβερνοασφάλειας των συστημάτων δικτύου και πληροφοριών για τη διασφάλιση ζωτικών υπηρεσιών για την οικονομία και την κοινωνία της ΕΕ. Τον Δεκέμβριο του 2020 η Επιτροπή πρότεινε την αναθεώρηση της οδηγίας NIS 1, με αποτέλεσμα την έγκριση της οδηγίας NIS 2, η οποία τέθηκε σε ισχύ τον Ιανουάριο του 2023. Τα κράτη μέλη είχαν προθεσμία έως τις 17 Οκτωβρίου 2024 για να μεταφέρουν την οδηγία NIS2 στο εθνικό τους δίκαιο. Η NIS 2 κατάργησε την NIS1 από τις 18 Οκτωβρίου 2024.