Estado da NIS 2 na Grécia
O que a diretiva exige, como a Grécia a transpõe, e onde se situa a Autoridade Nacional de Cibersegurança no quadro.
Panorâmica
A Diretiva NIS 2 é a camada da UE. Vincula todos os Estados-Membros, a Grécia incluída, com um único nível mínimo para entidades essenciais e importantes. A Grécia teve de traduzir esse nível para a lei grega e operar um supervisor por baixo.
A Grécia transpõe a NIS 2 através da Lei 5160/2024, publicada no Diário do Governo A' 195 em 27 de novembro de 2024. O texto chegou depois do prazo da UE de 17 de outubro de 2024, razão pela qual a Grécia consta da lista de notificações formais de incumprimento da Comissão Europeia de novembro de 2024. O processo de infração foi encerrado depois de a lei entrar em vigor.
A Autoridade Nacional de Cibersegurança (Εθνική Αρχή Κυβερνοασφάλειας), sob o Ministério da Governação Digital, é o ponto único de contacto e a autoridade competente. O CSIRT helénico é a equipa nacional de resposta a incidentes referida na página da Comissão Europeia sobre a NIS 2 para o país.
Diretiva da UE
Directive (EU) 2022/2555 (NIS 2)
A diretiva de cibersegurança à escala da UE. Fixa as obrigações que cada Estado-Membro tem de transpor, incluindo o teste de dimensão e de setor para entidades essenciais e importantes.
Ato de execução da UE
Implementing Regulation (EU) 2024/2690
Medidas técnicas e metodológicas para os prestadores de infraestrutura digital. Diretamente aplicável na Grécia sem transposição nacional.
Transposição grega
Law 5160/2024, Government Gazette A' 195 of 27 November 2024
A transposição grega da NIS 2. Designa a Autoridade Nacional de Cibersegurança, define entidades essenciais e importantes, fixa poderes de supervisão, deveres de notificação e sanções. Atos secundários e orientações da autoridade preenchem o detalhe operacional.
Lei 5160/2024
Traz as obrigações da NIS 2 para a lei grega. Define entidades essenciais e importantes, os poderes de supervisão da Autoridade Nacional de Cibersegurança, os deveres de notificação de incidentes e as sanções. O detalhe operacional é fixado por atos secundários e orientações da autoridade.
Autoridade Nacional de Cibersegurança como supervisor e ponto de contacto
A Εθνική Αρχή Κυβερνοασφάλειας, situada sob o Ministério da Governação Digital, é o ponto único de contacto, a autoridade nacional competente e o destinatário da cooperação com a ENISA e outros Estados-Membros. Os reguladores setoriais mantêm o seu papel onde se aplica a lex specialis, em particular no setor financeiro ao abrigo da DORA.
Registo e notificação
A diretiva exige que as entidades sejam identificáveis perante o Estado-Membro, com a data de referência ao nível da UE de 17 de abril de 2025. Na Grécia, o canal de registo corre através da Autoridade Nacional de Cibersegurança. Os incidentes significativos seguem a diretiva: alerta precoce em 24 horas, notificação em 72 horas, relatório final em um mês.
Na Grécia, aplica-se a lei grega
As atividades em território grego seguem a transposição grega. Um gerente alemão com uma filial grega lê a Lei 5160/2024 para essa filial, não o BSIG. As obrigações da diretiva são idênticas. O procedimento, o ponto de contacto e as sanções vivem na lei grega.
A Grécia não pode descer abaixo do piso da UE
A diretiva é de harmonização mínima. A Grécia pode ser mais rigorosa. A Grécia não pode descer abaixo da diretiva, nem nas obrigações para entidades essenciais e importantes, nem nos prazos de notificação, nem na responsabilização do órgão de direção.
Autoridade Nacional de Cibersegurança
Autoridade competente principal, ponto único de contacto e supervisor sob o Ministério da Governação Digital. Trata do registo, das orientações, das auditorias e das propostas de sanção. Conduz o canal de cooperação para a ENISA e para o Grupo de Cooperação NIS.
CSIRT helénico
A equipa nacional de resposta a incidentes referida na página da Comissão Europeia sobre a NIS 2 para a Grécia. Recebe as notificações técnicas de incidentes ao abrigo dos prazos de notificação da diretiva. A localização operacional está documentada no portal oficial de cibersegurança grego, e não reproduzida aqui.
ENISA
A agência de cibersegurança da UE. Publica orientações, gere a base de dados europeia de vulnerabilidades e coordena além-fronteiras. Não é supervisor das entidades gregas. Esse papel cabe à Autoridade Nacional de Cibersegurança.
A nossa empresa-mãe alemã está em conformidade ao abrigo do BSIG, por isso a filial grega está coberta.
A filial grega segue a Lei 5160/2024, regista-se junto da autoridade grega e notifica incidentes ao ponto de contacto grego. As obrigações da diretiva coincidem. O procedimento, o portal e as sanções vivem na lei grega. A documentação ao nível do grupo ajuda mas não substitui o canal local de registo e notificação.
A Grécia atrasou-se, por isso o registo ainda não se aplica.
A Lei 5160/2024 entrou em vigor em 27 de novembro de 2024. O atraso na transposição não suspende as obrigações substantivas da diretiva. Assim que uma entidade cumpre o teste de dimensão e de setor, o registo, a notificação de incidentes, os deveres de cadeia de abastecimento e a responsabilização do órgão de direção correm no relógio da diretiva.
Só os setores listados no antigo regime NIS 1 estão no âmbito.
A NIS 2 alarga a lista de setores para além da NIS 1. Águas residuais, produção de alimentos, fabrico de dispositivos médicos, serviços postais e de correio, administração pública e vários subsetores digitais entram de novo. Cada entidade na Grécia tem de aplicar o novo teste de setor e de dimensão, não a lista da NIS 1.
A maioria dos operadores gregos do mercado intermédio que conhecemos ainda lê a NIS 2 como uma continuação da NIS 1. O supervisor situa-se no mesmo ministério, mas o âmbito é mais amplo e o órgão de direção fica pessoalmente exposto. O gerente grego, o διαχειριστής ou νόμιμος εκπρόσωπος, aprova a gestão de risco e a sua própria formação.
O passo prático é o mesmo que em todo o lado na UE: aplicar a aplicabilidade contra a diretiva, registar-se junto da autoridade nacional, configurar os quatro deveres contínuos (manter os dados de registo atualizados, notificação de incidentes, risco da cadeia de abastecimento, supervisão do órgão de direção) e documentar o mínimo. A transposição tardia não altera essa ordenação.
Construímos o registo de obrigações da NIS 2 sobre a camada da UE, não sobre uma única transposição nacional. A mesma lista de verificação serve uma filial grega ao abrigo da Lei 5160/2024, uma empresa-mãe alemã ao abrigo do BSIG e uma irmã francesa ao abrigo da Ordonnance n° 2024-1093. As referências aos artigos mudam por país, as obrigações em substância não.
Para o âmbito grego, comece pela verificação de aplicabilidade, depois a cadência de notificação, as cláusulas de cadeia de abastecimento e a aprovação do órgão de direção. Onde a Autoridade Nacional de Cibersegurança publica orientações setoriais, ligamo-las. Não as copiamos.
- Diretiva (UE) 2022/2555 (NIS 2), EUR-Lex
- Regulamento de Execução (UE) 2024/2690, EUR-Lex
- Lei 5160/2024, Diário do Governo A' 195 de 27 de novembro de 2024
- Autoridade Nacional de Cibersegurança (Εθνική Αρχή Κυβερνοασφάλειας), Ministério da Governação Digital
- Comissão Europeia, página do país sobre a Diretiva NIS 2 para a Grécia (digital-strategy.ec.europa.eu)
- Comissão Europeia, notificação formal de incumprimento de novembro de 2024 sobre a transposição da NIS 2