NIS 2 Status in Griechenland
Was die Richtlinie fordert, wie Griechenland sie umsetzt, und wo die Nationale Cybersicherheitsbehörde im Bild steht.
Überblick
Die NIS 2 Richtlinie ist die EU-Ebene. Sie bindet jeden Mitgliedstaat, auch Griechenland, mit einem einheitlichen Mindestniveau für wesentliche und wichtige Einrichtungen. Griechenland muss dieses Niveau in griechisches Recht überführen und eine Aufsicht darunter führen.
Griechenland setzt NIS 2 über das Gesetz 5160/2024 um, veröffentlicht im Staatsanzeiger (ΦΕΚ) A' 195 am 27. November 2024. Der Text kam nach der EU-Frist vom 17. Oktober 2024. Deshalb steht Griechenland auf der Liste der Aufforderungsschreiben der Europäischen Kommission vom November 2024. Das Vertragsverletzungsverfahren wurde nach Inkrafttreten des Gesetzes beendet.
Die Nationale Cybersicherheitsbehörde (Εθνική Αρχή Κυβερνοασφάλειας), beaufsichtigt vom Ministerium für Digitale Verwaltung, ist zentrale Anlaufstelle, zuständige Behörde und nationales CSIRT (EL-CSIRT). Für Einrichtungen der öffentlichen Verwaltung ist das Nationale CERT des Nachrichtendienstes EYP das CSIRT.
EU Richtlinie
Richtlinie (EU) 2022/2555 (NIS 2)
Die EU-weite Cybersicherheitsrichtlinie. Sie legt die Pflichten fest, die jeder Mitgliedstaat umzusetzen hat, einschließlich der Größen- und Sektorprüfung für wesentliche und wichtige Einrichtungen.
EU Durchführung
Durchführungsverordnung (EU) 2024/2690
Technische und methodische Anforderungen für DNS Anbieter, TLD Registries, Cloud, Rechenzentrums und CDN Anbieter, Managed (Security) Service Provider, Online Marktplätze, Suchmaschinen, soziale Netzwerke und Vertrauensdiensteanbieter. In Griechenland unmittelbar anwendbar, ohne nationale Umsetzung.
Griechische Umsetzung
Gesetz 5160/2024, Staatsanzeiger A' 195 vom 27. November 2024
Die griechische NIS 2 Umsetzung. Bestimmt die Nationale Cybersicherheitsbehörde, definiert wesentliche und wichtige Einrichtungen, regelt Aufsichtsbefugnisse, Meldepflichten und Sanktionen. Untergesetzliche Akte und Leitlinien der Behörde füllen den operativen Detailrahmen.
Gesetz 5160/2024
Bringt die NIS 2 Pflichten in griechisches Recht. Definiert wesentliche und wichtige Einrichtungen, die Aufsichtsbefugnisse der Nationalen Cybersicherheitsbehörde, Meldepflichten und Sanktionen. Der operative Detail wird über nachgelagerte Rechtsakte und Leitlinien der Behörde geregelt.
Nationale Cybersicherheitsbehörde als Aufsicht und Anlaufstelle
Die Εθνική Αρχή Κυβερνοασφάλειας, angesiedelt beim Ministerium für Digitale Verwaltung, ist zentrale Anlaufstelle, nationale zuständige Behörde und Adressat der Zusammenarbeit mit ENISA und den anderen Mitgliedstaaten. Sektorregulatoren behalten ihre Zuständigkeit dort, wo Lex specialis gilt, vor allem im Finanzsektor unter DORA.
Registrierung und Meldung
Einrichtungen registrieren sich bei der Nationalen Cybersicherheitsbehörde über deren digitale Plattform auf gov.gr (Anmeldung mit taxisnet). Die Registrierungsfrist wurde zweimal verlängert und endete am 30. September 2025, wer später erfasst wird, registriert sich über dieselbe Plattform. Erhebliche Sicherheitsvorfälle gehen an das CSIRT der Behörde (incident@cyber.gov.gr), Einrichtungen der öffentlichen Verwaltung melden an das CSIRT des EYP und informieren die Behörde. Der Takt folgt der Richtlinie: Frühwarnung in 24 Stunden, Meldung in 72 Stunden, Abschlussbericht in einem Monat.
In Griechenland gilt griechisches Recht
Aktivitäten auf griechischem Staatsgebiet folgen der griechischen Umsetzung. Ein deutscher Geschäftsführer mit griechischer Tochter liest für diese Tochter das Gesetz 5160/2024, nicht das BSIG. Die Richtlinienpflichten sind identisch. Verfahren, Anlaufstelle und Sanktionen stehen aber im griechischen Recht.
Griechenland darf nicht unter das EU Niveau fallen
Die Richtlinie ist eine Mindestharmonisierung. Griechenland darf strenger werden. Griechenland darf aber nicht unter die Richtlinie fallen, weder bei den Pflichten für wesentliche und wichtige Einrichtungen, noch bei Meldefristen, noch bei der Verantwortung des Leitungsorgans.
Nationale Cybersicherheitsbehörde
Federführende zuständige Behörde, zentrale Anlaufstelle und Aufsicht unter dem Ministerium für Digitale Verwaltung. Übernimmt Registrierung, Leitlinien, Audits und Sanktionsvorschläge. Trägt den Kooperationskanal zu ENISA und zur NIS Kooperationsgruppe.
EL-CSIRT (Nationale Cybersicherheitsbehörde)
Nach Gesetz 5160/2024 ist die Nationale Cybersicherheitsbehörde selbst das nationale CSIRT und nimmt Vorfallmeldungen unter incident@cyber.gov.gr an. Einrichtungen der öffentlichen Verwaltung melden stattdessen an das Nationale CERT des Nachrichtendienstes EYP. Die Griechenlandseite der Kommission führt noch das frühere CSIRT der Streitkräfte aus der NIS 1 Zeit.
ENISA
Die EU Cybersicherheitsagentur. Veröffentlicht Leitlinien, betreibt die europäische Schwachstellendatenbank und koordiniert grenzüberschreitend. Keine Aufsicht für griechische Einrichtungen. Die liegt bei der Nationalen Cybersicherheitsbehörde.
Die deutsche Mutter ist nach BSIG aufgestellt, also ist die griechische Tochter abgedeckt.
Die griechische Tochter folgt dem Gesetz 5160/2024, registriert sich bei der griechischen Behörde und meldet Vorfälle an die griechische Anlaufstelle. Die Richtlinienpflichten decken sich. Verfahren, Portal und Sanktionen stehen aber im griechischen Recht. Konzernweite Dokumentation hilft, ersetzt aber den lokalen Registrierungs- und Meldekanal nicht.
Griechenland war zu spät, also gilt die Registrierung noch nicht.
Das Gesetz 5160/2024 ist am 27. November 2024 in Kraft getreten. Die verspätete Umsetzung setzt die materiellen Pflichten der Richtlinie nicht aus. Sobald eine Einrichtung die Größen- und Sektorprüfung trifft, laufen Registrierung, Vorfallmeldung, Lieferkettenpflichten und Verantwortung des Leitungsorgans im Takt der Richtlinie.
Nur die Sektoren der alten NIS 1 Regelung sind im Scope.
NIS 2 weitet die Sektorliste über NIS 1 hinaus aus. Abwasser, Lebensmittelproduktion, Herstellung von Medizinprodukten, Post- und Kurierdienste, öffentliche Verwaltung und mehrere digitale Teilsektoren kommen neu hinein. Jede Einrichtung in Griechenland muss die neue Sektor- und Größenprüfung führen, nicht die NIS 1 Liste.
Die meisten griechischen Mittelstandsbetreiber, die uns begegnen, lesen NIS 2 noch als Fortsetzung von NIS 1. Die Aufsicht sitzt im selben Ministerium, der Scope ist aber breiter und das Leitungsorgan haftet persönlich. Der griechische Geschäftsführer, der διαχειριστής oder νόμιμος εκπρόσωπος, gibt das Risikomanagement und die eigene Schulung frei.
Der praktische Schritt ist der gleiche wie überall in der EU: Anwendbarkeit gegen die Richtlinie prüfen, bei der nationalen Behörde registrieren, die vier Dauerpflichten aufsetzen (Registrierungsdaten pflegen, Vorfallmeldung, Lieferkettenrisiko, Aufsicht durch das Leitungsorgan) und das Minimum dokumentieren. Die verspätete Umsetzung verändert diese Reihenfolge nicht.
- Richtlinie (EU) 2022/2555 (NIS 2), EUR-Lex
- Durchführungsverordnung (EU) 2024/2690, EUR-Lex
- Gesetz 5160/2024, Staatsanzeiger A' 195 vom 27. November 2024
- Nationale Cybersicherheitsbehörde (Εθνική Αρχή Κυβερνοασφάλειας), Ministerium für Digitale Verwaltung
- Europäische Kommission, NIS 2 Länderseite Griechenland (digital-strategy.ec.europa.eu)
- Europäische Kommission, Aufforderungsschreiben zur NIS 2 Umsetzung vom November 2024
- Entscheidung 1990/2025 der Nationalen Cybersicherheitsbehörde (ΦΕΚ Β' 4241/04.08.2025), Registrierungsfrist
In der Praxis
Was das nationale Gesetz ändert und was nicht
Das nationale Gesetz regelt unter anderem, wo Sie sich registrieren und wem Sie Vorfälle melden. Die Maßnahmen selbst gehen in jedem Mitgliedstaat von derselben Mindestliste aus (Art. 21 NIS 2). Der Durchgang führt Sie Schritt für Schritt hindurch:
Risikomanagement
Aufschreiben, was Ihr Unternehmen hat
Eine Liste der Abläufe, Programme und Geräte, mit denen Sie arbeiten.
Vorfallbehandlung
Planen, was bei einem Vorfall passiert
Wer entscheidet, wen Sie anrufen, wie Sie sich erreichen.
Wirksamkeitsbewertung
Die Managementbewertung festhalten
Die Geschäftsführung prüft, ob die Maßnahmen wirken, und gibt Ihre Dokumente frei.
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.
