Ο ν. 5160/2024 ορίζει ποιοι οργανισμοί στην Ελλάδα είναι βασικές ή σημαντικές οντότητες και έχουν υποχρεώσεις κυβερνοασφάλειας. Τα μέτρα που πρέπει να εφαρμόσουν τα εξειδικεύει η ΚΥΑ 1689/2025. Απάντησε στις πέντε ερωτήσεις για να δεις πού ανήκει ο οργανισμός σου. Δεν χρειάζεται εγγραφή και δεν ζητείται κανένα στοιχείο επικοινωνίας.
Έλεγχος υπαγωγής · ν. 5160/2024
Αποτέλεσμα
Ενδεικτικό αποτέλεσμα, όχι νομική συμβουλή. Την υπαγωγή την κρίνει το κείμενο του νόμου και η Εθνική Αρχή Κυβερνοασφάλειας. Η λογική του ελέγχου επαληθεύτηκε με το κείμενο του ν. 5160/2024 στις 11/10/2026.
Τι ακολουθεί
- Εγγραφή στο μητρώο οντοτήτων της Εθνικής Αρχής Κυβερνοασφάλειας, αν δεν έχει γίνει. Μητρώο Φορέων – Υπόχρεων
- Ορισμός Υπευθύνου Ασφάλειας Συστημάτων Πληροφορικής και Επικοινωνιών (ΥΑΣΠΕ). ν. 5160/2024 (ΦΕΚ Α΄ 195/2024)
- Εφαρμογή των μέτρων της ΚΥΑ 1689/2025 και διαδικασία αναφοράς περιστατικών. ΚΥΑ 1689/2025 (ΦΕΚ Β΄ 2186/2025) · Αναφορά συμβάντων
Από πού ξεκινάς αν έχεις Microsoft 365
| Απαίτηση ΚΥΑ 1689/2025 | Εργαλείο Microsoft |
|---|---|
| 13.ζ Πολυπαραγοντική αυθεντικοποίηση | Conditional Access στο Microsoft Entra ID |
| 20.γ Φιλτράρισμα email | Exchange Online Protection και Microsoft Defender for Office 365 |
| 11.α Κατάλογος αγαθών | Device inventory στο Microsoft Defender for Endpoint και στο Intune |
| 24.δ Τήρηση καταγραφών | Audit log retention στο Microsoft Purview Audit |
| 25.1.ε Αντίγραφα ασφαλείας | Microsoft 365 Backup |
| 21.α Εκπαίδευση προσωπικού | Attack simulation training (Microsoft Defender for Office 365 Plan 2) |
Το Microsoft 365 δεν καλύπτει όλες τις απαιτήσεις. Οι οργανωτικές απαιτήσεις (πολιτικές, ρόλοι, εκτίμηση κινδύνων) και τα συστήματα OT μένουν εκτός. Όλες οι απαιτήσεις, μία προς μία, είναι στον οδηγό της ΚΥΑ 1689/2025 με Microsoft 365.
Τι σημαίνει αυτό στην πράξη
Ο νόμος δεν σου επιβάλλει άμεσα υποχρεώσεις. Αν όμως είσαι προμηθευτής οντότητας που υπάγεται, είναι πιθανό να σου ζητήσει μέτρα ασφάλειας μέσω της σύμβασης. Η πολυπαραγοντική αυθεντικοποίηση, το φιλτράρισμα του email και τα αντίγραφα ασφαλείας είναι τα πρώτα που ζητούνται συνήθως.
Ο έλεγχος είναι ενδεικτικός και δεν αποτελεί νομική συμβουλή. Οι απαντήσεις σου δεν αποστέλλονται πουθενά: ο υπολογισμός γίνεται μέσα στον browser σου.
Πώς βγαίνει το αποτέλεσμα
Ο έλεγχος εφαρμόζει τα άρθρα 3 και 4 του ν. 5160/2024 με τρία βήματα.
Τομέας. Ο νόμος αφορά τους τομείς των Παραρτημάτων I και II. Αν η δραστηριότητά σου δεν είναι σε αυτούς, κατά κανόνα δεν υπάγεσαι.
Μέγεθος. Το μέγεθος κρίνεται με τη Σύσταση 2003/361/ΕΚ:
| Κατηγορία | Εργαζόμενοι | Οικονομικά στοιχεία |
|---|---|---|
| Μικρή ή πολύ μικρή | Λιγότεροι από 50 | Κύκλος εργασιών ή ισολογισμός έως 10 εκατ. € |
| Μεσαία | Λιγότεροι από 250 | Κύκλος εργασιών έως 50 εκατ. € ή ισολογισμός έως 43 εκατ. € |
| Μεγάλη | 250 ή περισσότεροι | Ή κύκλος εργασιών πάνω από 50 εκατ. € και ισολογισμός πάνω από 43 εκατ. € |
Οι μεσαίες και οι μεγάλες επιχειρήσεις των δύο Παραρτημάτων υπάγονται. Οι μεγάλες του Παραρτήματος I είναι βασικές οντότητες. Οι υπόλοιπες είναι σημαντικές.
Ειδικές περιπτώσεις. Για ορισμένες οντότητες ο νόμος δεν εξετάζει το μέγεθος: πάροχοι ηλεκτρονικών επικοινωνιών, πάροχοι υπηρεσιών εμπιστοσύνης, μητρώα TLD και πάροχοι DNS, φορείς της δημόσιας διοίκησης, κρίσιμες οντότητες, και όσες χαρακτηρίζει η Εθνική Αρχή Κυβερνοασφάλειας λόγω της σημασίας τους.
Τι δεν καλύπτει ο έλεγχος
- Όμιλοι. Ο έλεγχος δεν υπολογίζει συνδεδεμένες και συνεργαζόμενες επιχειρήσεις. Αν ανήκεις σε όμιλο, τα μεγέθη θέλουν ξεχωριστό υπολογισμό.
- Δραστηριότητα εκτός Ελλάδας. Αν παρέχεις υπηρεσίες και σε άλλα κράτη μέλη, μπορεί να ισχύουν και οι δικοί τους κανόνες.
- Ακριβής κατάταξη της δραστηριότητας. Τα Παραρτήματα περιγράφουν συγκεκριμένους τύπους οντοτήτων μέσα σε κάθε τομέα. Το ότι ανήκεις στον τομέα δεν σημαίνει πάντα ότι είσαι ο τύπος οντότητας που εννοεί ο νόμος.
- Εξαιρέσεις. Φορείς της εθνικής ασφάλειας, της άμυνας, της δημόσιας τάξης και της επιβολής του νόμου, καθώς και τα Ανώτατα Εκπαιδευτικά Ιδρύματα, εξαιρούνται.
Επίσημες πηγές
Το αποτέλεσμα είναι ενδεικτικό και δεν αποτελεί νομική συμβουλή. Για κάθε απόφαση συμμόρφωσης ισχύουν το κείμενο του ν. 5160/2024 (ΦΕΚ Α΄ 195/2024), η ΚΥΑ 1689/2025 και οι οδηγίες της Εθνικής Αρχής Κυβερνοασφάλειας στο cyber.gov.gr. Το thecybersec.gr είναι προσωπικό blog και δεν εκπροσωπεί την Αρχή ή τη Microsoft.
🛠️ Επόμενο βήμα: έλεγξε το email authentication του domain σου (SPF, DKIM, DMARC).