Estado de NIS 2 en Grecia
Lo que exige la directiva, cómo la transpone Grecia y dónde se sitúa la Autoridad Nacional de Ciberseguridad en el conjunto.
Visión general
La Directiva NIS 2 es la capa de la UE. Vincula a cada Estado miembro, Grecia incluida, con un único nivel mínimo para las entidades esenciales e importantes. Grecia tuvo que trasladar ese nivel al derecho griego y operar un supervisor por debajo.
Grecia transpone NIS 2 a través de la Ley 5160/2024, publicada en el Boletín Oficial A' 195 el 27 de noviembre de 2024. El texto llegó después del plazo de la UE del 17 de octubre de 2024, motivo por el cual Grecia aparece en la lista de cartas de emplazamiento de la Comisión Europea de noviembre de 2024. El procedimiento de infracción se cerró tras la entrada en vigor de la ley.
La Autoridad Nacional de Ciberseguridad (Εθνική Αρχή Κυβερνοασφάλειας), dependiente del Ministerio de Gobernanza Digital, es el punto de contacto único y la autoridad competente. El CSIRT helénico es el equipo nacional de respuesta a incidentes mencionado en la página de país de NIS 2 de la Comisión Europea.
Directiva de la UE
Directiva (UE) 2022/2555 (NIS 2)
La directiva de ciberseguridad a escala de la UE. Establece las obligaciones que cada Estado miembro debe transponer, incluida la prueba de tamaño y sector para las entidades esenciales e importantes.
Acto de ejecución de la UE
Reglamento de Ejecución (UE) 2024/2690
Medidas técnicas y metodológicas para los proveedores de infraestructura digital. Directamente aplicable en Grecia sin transposición nacional.
Transposición griega
Ley 5160/2024, Boletín Oficial A' 195 de 27 de noviembre de 2024
La transposición de NIS 2 de Grecia. Designa a la Autoridad Nacional de Ciberseguridad, define las entidades esenciales e importantes, fija los poderes de supervisión, los deberes de notificación y las sanciones. Los actos secundarios y la orientación de la autoridad completan el detalle operativo.
Ley 5160/2024
Incorpora las obligaciones de NIS 2 al derecho griego. Define las entidades esenciales e importantes, los poderes de supervisión de la Autoridad Nacional de Ciberseguridad, los deberes de notificación de incidentes y las sanciones. El detalle operativo lo fijan los actos secundarios y la orientación de la autoridad.
La Autoridad Nacional de Ciberseguridad como supervisor y punto de contacto
La Εθνική Αρχή Κυβερνοασφάλειας, dependiente del Ministerio de Gobernanza Digital, es el punto de contacto único, la autoridad nacional competente y la destinataria de la cooperación con ENISA y otros Estados miembros. Los reguladores sectoriales conservan su papel cuando se aplica la lex specialis, en particular en finanzas conforme a DORA.
Registro y notificación
La directiva exige que las entidades sean identificables para el Estado miembro, con la fecha de referencia a escala de la UE de 17 de abril de 2025. En Grecia, el canal de registro pasa por la Autoridad Nacional de Ciberseguridad. Los incidentes significativos siguen la directiva: alerta temprana en un plazo de 24 horas, notificación en un plazo de 72 horas, informe final en un plazo de un mes.
En Grecia, se aplica el derecho griego
Las actividades en territorio griego siguen la transposición griega. Un administrador alemán con una filial griega lee la Ley 5160/2024 para esa filial, no el BSIG. Las obligaciones de la directiva son idénticas. El procedimiento, el punto de contacto y las sanciones residen en el derecho griego.
Grecia no puede situarse por debajo del mínimo de la UE
La directiva es de armonización mínima. Grecia puede ir más estricta. Grecia no puede situarse por debajo de la directiva, ni en las obligaciones para las entidades esenciales e importantes, ni en los plazos de notificación, ni en la responsabilidad del órgano de dirección.
Autoridad Nacional de Ciberseguridad
Autoridad competente principal, punto de contacto único y supervisor dependiente del Ministerio de Gobernanza Digital. Gestiona el registro, la orientación, las auditorías y las propuestas de sanción. Lleva el canal de cooperación hacia ENISA y el Grupo de Cooperación NIS.
CSIRT helénico
El equipo nacional de respuesta a incidentes mencionado en la página de Grecia de NIS 2 de la Comisión Europea. Recibe las notificaciones técnicas de incidentes conforme al calendario de notificación de la directiva. Su ubicación operativa está documentada en el portal oficial griego de ciberseguridad en lugar de reproducirse aquí.
ENISA
La agencia de ciberseguridad de la UE. Publica orientación, opera la base de datos europea de vulnerabilidades y coordina a través de las fronteras. No es supervisor de las entidades griegas. Ese papel recae en la Autoridad Nacional de Ciberseguridad.
Nuestra matriz alemana cumple conforme al BSIG, así que la filial griega está cubierta.
La filial griega sigue la Ley 5160/2024, se registra ante la autoridad griega y notifica los incidentes al punto de contacto griego. Las obligaciones de la directiva coinciden. El procedimiento, el portal y las sanciones residen en el derecho griego. La documentación a escala de grupo ayuda, pero no sustituye el canal local de registro y notificación.
Grecia fue tardía, así que el registro no se aplica todavía.
La Ley 5160/2024 entró en vigor el 27 de noviembre de 2024. El retraso en la transposición no suspende las obligaciones sustantivas de la directiva. Una vez que una entidad cumple la prueba de tamaño y sector, el registro, la notificación de incidentes, los deberes de cadena de suministro y la responsabilidad del órgano de dirección corren según el reloj de la directiva.
Solo los sectores enumerados en el antiguo régimen NIS 1 están sujetos al ámbito.
NIS 2 amplía la lista de sectores más allá de NIS 1. Las aguas residuales, la producción de alimentos, la fabricación de productos sanitarios, los servicios postales y de mensajería, la administración pública y varios subsectores digitales entran de nuevo. Cada entidad en Grecia tiene que ejecutar la nueva prueba de sector y tamaño, no la lista de NIS 1.
La mayoría de los operadores griegos del mercado medio que conocemos siguen leyendo NIS 2 como una continuación de NIS 1. El supervisor reside en el mismo ministerio, pero el ámbito es más amplio y el órgano de dirección queda personalmente comprometido. El administrador griego, el διαχειριστής o νόμιμος εκπρόσωπος, aprueba la gestión de riesgos y su propia formación.
El paso práctico es el mismo que en toda la UE: ejecutar la aplicabilidad frente a la directiva, registrarse ante la autoridad nacional, configurar los cuatro deberes continuos (mantener actualizados los datos de registro, notificación de incidentes, riesgo de cadena de suministro, supervisión del órgano de dirección) y documentar el mínimo. La transposición tardía no cambia ese orden.
Construimos el registro de obligaciones de NIS 2 sobre la capa de la UE, no sobre una única transposición nacional. La misma lista de comprobación encaja para una filial griega conforme a la Ley 5160/2024, una matriz alemana conforme al BSIG y una empresa hermana francesa conforme a la Ordonnance n° 2024-1093. Las referencias de los artículos cambian según el país, las obligaciones en su fondo no.
Para el ámbito griego, empiece con la comprobación de aplicabilidad, luego la cadencia de notificación, las cláusulas de cadena de suministro y la aprobación del órgano de dirección. Cuando la Autoridad Nacional de Ciberseguridad publica orientación sectorial, la enlazamos. No la copiamos.
- Directiva (UE) 2022/2555 (NIS 2), EUR-Lex
- Reglamento de Ejecución (UE) 2024/2690, EUR-Lex
- Ley 5160/2024, Boletín Oficial A' 195 de 27 de noviembre de 2024
- Autoridad Nacional de Ciberseguridad (Εθνική Αρχή Κυβερνοασφάλειας), Ministerio de Gobernanza Digital
- Comisión Europea, página de país de la Directiva NIS 2 para Grecia (digital-strategy.ec.europa.eu)
- Comisión Europea, carta de emplazamiento de noviembre de 2024 sobre la transposición de NIS 2