Estado da NIS 2 na Grécia
O que a diretiva exige, como a Grécia a transpõe, e onde se situa a Autoridade Nacional de Cibersegurança no quadro.
Panorâmica
A Diretiva NIS 2 é a camada da UE. Vincula todos os Estados-Membros, a Grécia incluída, com um único nível mínimo para entidades essenciais e importantes. A Grécia teve de traduzir esse nível para a lei grega e operar um supervisor por baixo.
A Grécia transpõe a NIS 2 através da Lei 5160/2024, publicada no Diário do Governo A' 195 em 27 de novembro de 2024. O texto chegou depois do prazo da UE de 17 de outubro de 2024, razão pela qual a Grécia consta da lista de notificações formais de incumprimento da Comissão Europeia de novembro de 2024. O processo de infração foi encerrado depois de a lei entrar em vigor.
A Autoridade Nacional de Cibersegurança (Εθνική Αρχή Κυβερνοασφάλειας), sob a supervisão do Ministério da Governação Digital, é o ponto de contacto único, a autoridade competente e o CSIRT nacional (EL-CSIRT). Para as entidades da administração pública, o CERT Nacional do Serviço Nacional de Informações (EYP) atua como CSIRT.
Diretiva da UE
Directive (EU) 2022/2555 (NIS 2)
A diretiva de cibersegurança à escala da UE. Fixa as obrigações que cada Estado-Membro tem de transpor, incluindo o teste de dimensão e de setor para entidades essenciais e importantes.
Ato de execução da UE
Implementing Regulation (EU) 2024/2690
Requisitos técnicos e metodológicos para os prestadores de DNS, os registos de TLD, os prestadores de serviços de cloud, de centros de dados e de CDN, os prestadores de serviços (de segurança) geridos, os mercados em linha, os motores de pesquisa, as redes sociais e os prestadores de serviços de confiança. Diretamente aplicável na Grécia sem transposição nacional.
Transposição grega
Law 5160/2024, Government Gazette A' 195 of 27 November 2024
A transposição grega da NIS 2. Designa a Autoridade Nacional de Cibersegurança, define entidades essenciais e importantes, fixa poderes de supervisão, deveres de notificação e sanções. Atos secundários e orientações da autoridade preenchem o detalhe operacional.
Lei 5160/2024
Traz as obrigações da NIS 2 para a lei grega. Define entidades essenciais e importantes, os poderes de supervisão da Autoridade Nacional de Cibersegurança, os deveres de notificação de incidentes e as sanções. O detalhe operacional é fixado por atos secundários e orientações da autoridade.
Autoridade Nacional de Cibersegurança como supervisor e ponto de contacto
A Εθνική Αρχή Κυβερνοασφάλειας, situada sob o Ministério da Governação Digital, é o ponto único de contacto, a autoridade nacional competente e o destinatário da cooperação com a ENISA e outros Estados-Membros. Os reguladores setoriais mantêm o seu papel onde se aplica a lex specialis, em particular no setor financeiro ao abrigo da DORA.
Registo e notificação
As entidades registam-se na Autoridade Nacional de Cibersegurança na sua plataforma digital via gov.gr (início de sessão taxisnet). O prazo de registo foi prorrogado duas vezes e terminou a 30 de setembro de 2025; as entidades que passem a estar abrangidas mais tarde registam-se na mesma plataforma. Os incidentes significativos são notificados ao CSIRT da Autoridade (incident@cyber.gov.gr); as entidades da administração pública notificam o CSIRT da EYP e informam a Autoridade. A notificação segue a diretiva: alerta precoce em 24 horas, notificação em 72 horas, relatório final em um mês.
Na Grécia, aplica-se a lei grega
As atividades em território grego seguem a transposição grega. Um gerente alemão com uma filial grega lê a Lei 5160/2024 para essa filial, não o BSIG. As obrigações da diretiva são idênticas. O procedimento, o ponto de contacto e as sanções vivem na lei grega.
A Grécia não pode descer abaixo do piso da UE
A diretiva é de harmonização mínima. A Grécia pode ser mais rigorosa. A Grécia não pode descer abaixo da diretiva, nem nas obrigações para entidades essenciais e importantes, nem nos prazos de notificação, nem na responsabilização do órgão de direção.
Autoridade Nacional de Cibersegurança
Autoridade competente principal, ponto único de contacto e supervisor sob o Ministério da Governação Digital. Trata do registo, das orientações, das auditorias e das propostas de sanção. Conduz o canal de cooperação para a ENISA e para o Grupo de Cooperação NIS.
EL-CSIRT (Autoridade Nacional de Cibersegurança)
Ao abrigo da Lei 5160/2024, a Autoridade Nacional de Cibersegurança é ela própria o CSIRT nacional e recebe as notificações de incidentes em incident@cyber.gov.gr. As entidades da administração pública notificam, em vez disso, o CERT Nacional do Serviço Nacional de Informações (EYP). A página da Comissão sobre a Grécia continua a indicar o anterior CSIRT das forças armadas do período da NIS 1.
ENISA
A agência de cibersegurança da UE. Publica orientações, gere a base de dados europeia de vulnerabilidades e coordena além-fronteiras. Não é supervisor das entidades gregas. Esse papel cabe à Autoridade Nacional de Cibersegurança.
A nossa empresa-mãe alemã está em conformidade ao abrigo do BSIG, por isso a filial grega está coberta.
A filial grega segue a Lei 5160/2024, regista-se junto da autoridade grega e notifica incidentes ao ponto de contacto grego. As obrigações da diretiva coincidem. O procedimento, o portal e as sanções vivem na lei grega. A documentação ao nível do grupo ajuda mas não substitui o canal local de registo e notificação.
A Grécia atrasou-se, por isso o registo ainda não se aplica.
A Lei 5160/2024 entrou em vigor em 27 de novembro de 2024. O atraso na transposição não suspende as obrigações substantivas da diretiva. Assim que uma entidade cumpre o teste de dimensão e de setor, o registo, a notificação de incidentes, os deveres de cadeia de abastecimento e a responsabilização do órgão de direção correm no relógio da diretiva.
Só os setores listados no antigo regime NIS 1 estão no âmbito.
A NIS 2 alarga a lista de setores para além da NIS 1. Águas residuais, produção de alimentos, fabrico de dispositivos médicos, serviços postais e de correio, administração pública e vários subsetores digitais entram de novo. Cada entidade na Grécia tem de aplicar o novo teste de setor e de dimensão, não a lista da NIS 1.
A maioria dos operadores gregos do mercado intermédio que conhecemos ainda lê a NIS 2 como uma continuação da NIS 1. O supervisor situa-se no mesmo ministério, mas o âmbito é mais amplo e o órgão de direção fica pessoalmente exposto. O gerente grego, o διαχειριστής ou νόμιμος εκπρόσωπος, aprova a gestão de risco e a sua própria formação.
O passo prático é o mesmo que em todo o lado na UE: aplicar a aplicabilidade contra a diretiva, registar-se junto da autoridade nacional, configurar os quatro deveres contínuos (manter os dados de registo atualizados, notificação de incidentes, risco da cadeia de abastecimento, supervisão do órgão de direção) e documentar o mínimo. A transposição tardia não altera essa ordenação.
- Diretiva (UE) 2022/2555 (NIS 2), EUR-Lex
- Regulamento de Execução (UE) 2024/2690, EUR-Lex
- Lei 5160/2024, Diário do Governo A' 195 de 27 de novembro de 2024
- Autoridade Nacional de Cibersegurança (Εθνική Αρχή Κυβερνοασφάλειας), Ministério da Governação Digital
- Comissão Europeia, página do país sobre a Diretiva NIS 2 para a Grécia (digital-strategy.ec.europa.eu)
- Comissão Europeia, notificação formal de incumprimento de novembro de 2024 sobre a transposição da NIS 2
- Decisão 1990/2025 da Autoridade Nacional de Cibersegurança (ΦΕΚ Β' 4241/04.08.2025), prazo de registo
Na prática
O que a lei nacional muda, e o que não muda
A lei nacional determina, entre outras coisas, onde se regista e a quem notifica os incidentes. As medidas partem da mesma lista mínima em todos os Estados-Membros (art. 21.º NIS 2). O percurso guiado leva-o por elas passo a passo:
O percurso em si está em alemão e em inglês.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Tem de tratar da NIS2?
Acompanhamos passo a passo. Preenche, nós explicamos cada ponto em palavras simples e, no fim, a direção assina.
