Stato di NIS2 in Grecia
Cosa richiede la direttiva, come la Grecia la traspone e dove si colloca l'Autorità nazionale per la sicurezza informatica nel quadro.
Panoramica
La direttiva NIS2 è il livello UE. Vincola ogni Stato membro, Grecia inclusa, con un unico livello minimo per le entità essenziali e importanti. La Grecia ha dovuto tradurre quel livello nel diritto greco e gestire un supervisore al di sotto.
La Grecia traspone NIS2 attraverso la legge 5160/2024, pubblicata nella Gazzetta ufficiale A' 195 il 27 novembre 2024. Il testo è arrivato dopo il termine UE del 17 ottobre 2024, motivo per cui la Grecia figura nell'elenco delle lettere di costituzione in mora della Commissione europea del novembre 2024. La procedura di infrazione è stata chiusa dopo l'entrata in vigore della legge.
L'Autorità nazionale per la sicurezza informatica (Εθνική Αρχή Κυβερνοασφάλειας), sotto la vigilanza del Ministero della governance digitale, è il punto di contatto unico, l'autorità competente e il CSIRT nazionale (EL-CSIRT). Per gli enti della pubblica amministrazione, funge da CSIRT il CERT nazionale del Servizio nazionale di intelligence (EYP).
Direttiva UE
Direttiva (UE) 2022/2555 (NIS2)
La direttiva sulla sicurezza informatica a livello UE. Stabilisce gli obblighi che ogni Stato membro deve recepire, compresa la verifica di dimensione e settore per le entità essenziali e importanti.
Atto di esecuzione UE
Regolamento di esecuzione (UE) 2024/2690
Requisiti tecnici e metodologici per i fornitori DNS, i registri TLD, i fornitori di cloud, data center e CDN, i fornitori di servizi gestiti (di sicurezza), i mercati online, i motori di ricerca, i social network e i prestatori di servizi fiduciari. Direttamente applicabile in Grecia senza recepimento nazionale.
Recepimento greco
Legge 5160/2024, Gazzetta ufficiale A' 195 del 27 novembre 2024
Il recepimento di NIS2 da parte della Grecia. Designa l'Autorità nazionale per la sicurezza informatica, definisce le entità essenziali e importanti, fissa i poteri di vigilanza, gli obblighi di segnalazione e le sanzioni. Atti secondari e orientamenti dell'autorità completano il dettaglio operativo.
Legge 5160/2024
Introduce gli obblighi di NIS2 nel diritto greco. Definisce le entità essenziali e importanti, i poteri di vigilanza dell'Autorità nazionale per la sicurezza informatica, gli obblighi di segnalazione degli incidenti e le sanzioni. Il dettaglio operativo è fissato da atti secondari e orientamenti dell'autorità.
L'Autorità nazionale per la sicurezza informatica come supervisore e punto di contatto
L'Εθνική Αρχή Κυβερνοασφάλειας, che si colloca presso il Ministero della governance digitale, è il punto di contatto unico, l'autorità nazionale competente e il destinatario della cooperazione con l'ENISA e gli altri Stati membri. Le autorità di regolamentazione settoriali mantengono il loro ruolo dove si applica la lex specialis, in particolare nel settore finanziario ai sensi di DORA.
Registrazione e segnalazione
I soggetti si registrano presso l'Autorità nazionale per la sicurezza informatica sulla sua piattaforma digitale tramite gov.gr (accesso taxisnet). Il termine di registrazione è stato prorogato due volte ed è scaduto il 30 settembre 2025; i soggetti che rientrano nell'ambito in seguito si registrano attraverso la stessa piattaforma. Gli incidenti significativi si segnalano al CSIRT dell'Autorità (incident@cyber.gov.gr); gli enti della pubblica amministrazione segnalano al CSIRT dell'EYP e informano l'Autorità. La segnalazione segue la direttiva: preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese.
In Grecia si applica il diritto greco
Le attività sul territorio greco seguono il recepimento greco. Un amministratore tedesco con una società figlia greca legge la legge 5160/2024 per quella società figlia, non il BSIG. Gli obblighi della direttiva sono identici. La procedura, il punto di contatto e le sanzioni risiedono nel diritto greco.
La Grecia non può scendere al di sotto della soglia minima UE
La direttiva è un'armonizzazione minima. La Grecia può essere più rigorosa. La Grecia non può scendere al di sotto della direttiva, né sugli obblighi per le entità essenziali e importanti, né sulle scadenze di segnalazione, né sulla responsabilità dell'organo di gestione.
Autorità nazionale per la sicurezza informatica
Autorità competente principale, punto di contatto unico e supervisore presso il Ministero della governance digitale. Gestisce registrazione, orientamenti, audit e proposte di sanzione. Tiene il canale di cooperazione verso l'ENISA e il gruppo di cooperazione NIS.
EL-CSIRT (Autorità nazionale per la sicurezza informatica)
Ai sensi della legge 5160/2024 l'Autorità nazionale per la sicurezza informatica è essa stessa il CSIRT nazionale e riceve le notifiche di incidenti a incident@cyber.gov.gr. Gli enti della pubblica amministrazione notificano invece al CERT nazionale del Servizio nazionale di intelligence (EYP). La pagina sulla Grecia della Commissione elenca ancora il precedente CSIRT delle forze armate del periodo NIS 1.
ENISA
L'agenzia dell'UE per la sicurezza informatica. Pubblica orientamenti, gestisce la banca dati europea delle vulnerabilità e coordina a livello transfrontaliero. Nessun ruolo di supervisore per le entità greche. Tale ruolo spetta all'Autorità nazionale per la sicurezza informatica.
La nostra società madre tedesca è conforme ai sensi del BSIG, quindi la società figlia greca è coperta.
La società figlia greca segue la legge 5160/2024, si registra presso l'autorità greca e segnala gli incidenti al punto di contatto greco. Gli obblighi della direttiva coincidono. La procedura, il portale e le sanzioni risiedono nel diritto greco. La documentazione a livello di gruppo aiuta ma non sostituisce il canale locale di registrazione e segnalazione.
La Grecia era in ritardo, quindi la registrazione non si applica ancora.
La legge 5160/2024 è entrata in vigore il 27 novembre 2024. Il ritardo nel recepimento non sospende gli obblighi sostanziali della direttiva. Una volta che un'entità soddisfa la verifica di dimensione e settore, la registrazione, la segnalazione degli incidenti, gli obblighi sulla catena di approvvigionamento e la responsabilità dell'organo di gestione decorrono secondo i tempi della direttiva.
Rientrano nell'ambito di applicazione solo i settori elencati nel vecchio regime NIS 1.
NIS2 amplia l'elenco dei settori oltre NIS 1. Acque reflue, produzione di alimenti, fabbricazione di dispositivi medici, servizi postali e di corriere, pubblica amministrazione e diversi sottosettori digitali entrano ex novo. Ogni entità in Grecia deve effettuare la nuova verifica di settore e dimensione, non l'elenco di NIS 1.
La maggior parte degli operatori greci del mercato medio che incontriamo legge ancora NIS2 come una continuazione di NIS 1. Il supervisore si colloca nello stesso ministero, ma l'ambito di applicazione è più ampio e l'organo di gestione è esposto personalmente. L'amministratore greco, il διαχειριστής o νόμιμος εκπρόσωπος, approva la gestione del rischio e la propria formazione.
Il passo pratico è lo stesso di ovunque nell'UE: effettuate l'applicabilità rispetto alla direttiva, registratevi presso l'autorità nazionale, impostate i quattro obblighi continuativi (mantenere aggiornati i dati di registrazione, segnalazione degli incidenti, rischio della catena di approvvigionamento, vigilanza dell'organo di gestione) e documentate il minimo. Il recepimento tardivo non cambia questa sequenza.
- Direttiva (UE) 2022/2555 (NIS2), EUR-Lex
- Regolamento di esecuzione (UE) 2024/2690, EUR-Lex
- Legge 5160/2024, Gazzetta ufficiale A' 195 del 27 novembre 2024
- Autorità nazionale per la sicurezza informatica (Εθνική Αρχή Κυβερνοασφάλειας), Ministero della governance digitale
- Commissione europea, pagina nazionale della direttiva NIS2 per la Grecia (digital-strategy.ec.europa.eu)
- Commissione europea, lettera di costituzione in mora del novembre 2024 sul recepimento di NIS2
- Decisione 1990/2025 dell'Autorità nazionale per la sicurezza informatica (ΦΕΚ Β' 4241/04.08.2025), termine di registrazione
In pratica
Cosa cambia la legge nazionale, e cosa no
La legge nazionale stabilisce, tra l'altro, dove ti registri e a chi notifichi gli incidenti. Le misure partono dallo stesso elenco minimo in ogni Stato membro (art. 21 NIS 2). Il percorso guidato te le fa affrontare un passo alla volta:
Il percorso è in tedesco e in inglese.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Ti hanno affidato NIS2?
Ti guidiamo passo dopo passo. Tu compili, noi spieghiamo ogni punto con parole semplici, e alla fine firma la direzione.
