Ν.5160/2024 και ΚΥΑ 1689/2025: τι πρέπει να ξέρει η Διοίκηση

Last verified: 11/11/2026. Όλες οι αναφορές σε άρθρα και ποσά ελέγχθηκαν στο ΦΕΚ του Ν.5160/2024 (Α’ 195/2024) και στη διόρθωση παροραμάτων του Ν.5256/2025 (Α’ 223/2025). Η πλήρης λίστα βρίσκεται στην ενότητα Πηγές και επαλήθευση.

Με λίγα λόγια

• Ο Ν.5160/2024 ενσωματώνει την Οδηγία NIS2 στην Ελλάδα. Ορίζει ποιος έχει υποχρεώσεις, ποιος ευθύνεται και ποιες είναι οι κυρώσεις.
• Η ΚΥΑ 1689/2025 ορίζει τι μέτρα πρέπει να εφαρμόσει ο οργανισμός σου. Είναι το κείμενο με το οποίο θα σε ελέγξουν.
• Η Διοίκηση εγκρίνει τα μέτρα κυβερνοασφάλειας, εποπτεύει την εφαρμογή τους και είναι υπεύθυνη για τις παραβάσεις (άρθρο 14).
• Τα μέλη της Διοίκησης εκπαιδεύονται και φροντίζουν να εκπαιδεύεται όλο το προσωπικό, τουλάχιστον μία φορά τον χρόνο.
• Τα πρόστιμα για τον οργανισμό φτάνουν τα 10 εκατ. € ή το 2% του παγκόσμιου κύκλου εργασιών για Βασικές Οντότητες και τα 7 εκατ. € ή το 1,4% για Σημαντικές, όποιο είναι υψηλότερο.
• Σε Βασική Οντότητα, η Εθνική Αρχή Κυβερνοασφάλειας μπορεί, σε ακραία περίπτωση, να απαγορεύσει προσωρινά στον διευθύνοντα σύμβουλο ή τον νόμιμο εκπρόσωπο να ασκεί διευθυντικά καθήκοντα.

Γιατί αυτό σε αφορά προσωπικά

Μέχρι σήμερα, η κυβερνοασφάλεια ήταν για πολλές επιχειρήσεις ένα θέμα του τμήματος IT. Ο Ν.5160/2024 το αλλάζει αυτό ρητά.

Το άρθρο 14 λέει ότι τα όργανα διοίκησης των Βασικών και Σημαντικών Οντοτήτων εγκρίνουν τα μέτρα διαχείρισης κινδύνων, επιβλέπουν την εφαρμογή τους και είναι υπεύθυνα για τις παραβάσεις. Δεν αρκεί πια να έχεις προσλάβει κάποιον για την ασφάλεια. Πρέπει να μπορείς να δείξεις ότι η Διοίκηση ενέκρινε, παρακολούθησε και ζήτησε λογαριασμό.

Το άρθρο 24 προσθέτει κάτι ακόμα: κάθε φυσικό πρόσωπο που εκπροσωπεί τον οργανισμό ή έχει την αρμοδιότητα να αποφασίζει για λογαριασμό του, έχει την ευθύνη να διασφαλίζει τη συμμόρφωση. Και θεωρείται υπεύθυνο για την παράβαση των υποχρεώσεών του. Η διάταξη αυτή ισχύει και για τις Σημαντικές Οντότητες, μέσω του άρθρου 25.

Με απλά λόγια: αν ο οργανισμός σου είναι Βασική ή Σημαντική Οντότητα, η κυβερνοασφάλεια είναι πλέον θέμα διακυβέρνησης. Όπως ο ισολογισμός ή η ασφάλεια των εργαζομένων.

🛠️ Δεν ξέρεις αν σε αφορά; Κάνε τον έλεγχο υπαγωγής στον ν. 5160/2024 σε πέντε ερωτήσεις.

Ο νόμος και η ΚΥΑ: ποια είναι η διαφορά

Συχνά τα δύο κείμενα μπερδεύονται. Η διάκριση είναι απλή και σου γλιτώνει χρόνο όταν μιλάς με συμβούλους.

Ο Ν.5160/2024 είναι ο νόμος. Ορίζει ποιες επιχειρήσεις είναι Βασικές ή Σημαντικές Οντότητες, τι ευθύνη έχει η Διοίκηση, πότε και πώς αναφέρεις ένα σοβαρό περιστατικό, τι ελέγχους μπορεί να κάνει η Εθνική Αρχή Κυβερνοασφάλειας και ποια πρόστιμα επιβάλλονται.

Η ΚΥΑ 1689/2025 είναι το Εθνικό Πλαίσιο Απαιτήσεων Κυβερνοασφάλειας. Περιγράφει τα συγκεκριμένα τεχνικά, επιχειρησιακά και οργανωτικά μέτρα που πρέπει να εφαρμόσεις, μεταξύ αυτών και τις υποχρεωτικές πολιτικές. Είναι αυτό που θα ανοίξει ο ελεγκτής.

Η σχέση τους είναι η εξής: ο νόμος σου λέει ότι πρέπει να εγκρίνεις μέτρα, ποιες είναι οι γενικές κατηγορίες τους (άρθρο 15) και ότι ευθύνεσαι αν λείπουν. Η ΚΥΑ εξειδικεύει ποια ακριβώς είναι αυτά τα μέτρα και πώς τα τεκμηριώνεις.

Οι τέσσερις υποχρεώσεις της Διοίκησης

1. Εγκρίνεις τα μέτρα

Η Διοίκηση εγκρίνει τα μέτρα διαχείρισης κινδύνων στον τομέα της κυβερνοασφάλειας. Στην πράξη αυτό σημαίνει ότι οι πολιτικές της ΚΥΑ 1689/2025 περνούν από απόφαση του αρμόδιου οργάνου, με ημερομηνία και πρακτικό.

Ένα έγγραφο που έγραψε το IT και μπήκε σε έναν φάκελο δεν είναι εγκεκριμένο μέτρο. Ο ελεγκτής θα ζητήσει να δει την απόφαση.

🛠️ Ποιες πολιτικές πρέπει να εγκρίνεις; Δες το Μητρώο υποχρεωτικών πολιτικών της ΚΥΑ 1689/2025 και τι σου λείπει.

2. Εποπτεύεις την εφαρμογή

Η έγκριση δεν τελειώνει την υποχρέωση. Ο νόμος ζητά και εποπτεία. Αυτό σημαίνει ότι η Διοίκηση ενημερώνεται τακτικά για το πού βρίσκεται η εφαρμογή, ποια είναι τα ανοιχτά ρίσκα και τι έχει αλλάξει.

Ένας πρακτικός τρόπος είναι η κυβερνοασφάλεια να είναι σταθερό θέμα στην ατζέντα της Διοίκησης, με σύντομη αναφορά από τον ΥΑΣΠΕ ή τον CISO. Το πρακτικό της συνεδρίασης γίνεται το τεκμήριο ότι η εποπτεία έγινε.

3. Εκπαιδεύεσαι εσύ και όλο το προσωπικό

Το άρθρο 14 παρ. 2 ορίζει ότι τα μέλη των οργάνων διοίκησης παρακολουθούν εκπαίδευση. Ορίζει επίσης ότι ο οργανισμός παρέχει όμοια κατάρτιση στους υπαλλήλους του τουλάχιστον σε ετήσια βάση.

Ο σκοπός δεν είναι να γίνεις τεχνικός. Είναι να μπορείς να αναγνωρίζεις τους κινδύνους και να αξιολογείς αν οι πρακτικές που σου παρουσιάζουν είναι επαρκείς. Κράτα βεβαίωση παρακολούθησης για κάθε μέλος.

🛠️ Χρειάζεσαι τεκμήριο εκπαίδευσης; Χρησιμοποίησε το εργαλείο τεκμηρίωσης εκπαίδευσης για Διοίκηση και προσωπικό.

4. Απαντάς για τις παραβάσεις

Η Διοίκηση είναι υπεύθυνη για την παραβίαση των υποχρεώσεων από τον οργανισμό. Αυτό είναι το σημείο που κάνει τις τρεις προηγούμενες υποχρεώσεις σοβαρές. Αν δεν εγκρίθηκαν μέτρα, αν δεν υπήρξε εποπτεία, αν δεν έγινε εκπαίδευση, η ευθύνη δεν μένει στο τμήμα IT.

Τι ρίσκο αναλαμβάνεις αν δεν γίνουν

Πρόστιμα για τον οργανισμό

Το άρθρο 26 ορίζει δύο επίπεδα. Για παραβίαση των μέτρων ασφάλειας (άρθρο 15) ή της υποχρέωσης αναφοράς περιστατικών (άρθρο 16):

Υπάρχουν και πρόστιμα για συγκεκριμένες υποχρεώσεις, ανεξάρτητα από το μέγεθος:

Πρόσεξε ότι ο κύκλος εργασιών που μετρά είναι αυτός της επιχείρησης στην οποία ανήκει η οντότητα, σε παγκόσμιο επίπεδο. Σε όμιλο, ο αριθμός μπορεί να είναι πολύ μεγαλύτερος από τον τζίρο της Ελληνικής εταιρείας.

Δημοσιότητα

Οι αποφάσεις επιβολής προστίμων αναρτώνται στον επίσημο ιστότοπο της Εθνικής Αρχής Κυβερνοασφάλειας (άρθρο 26 παρ. 3). Επιπλέον, η Αρχή μπορεί να υποχρεώσει τον οργανισμό να δημοσιοποιήσει ο ίδιος στοιχεία της παράβασης. Για πολλές επιχειρήσεις, η ζημιά στη φήμη και στις σχέσεις με πελάτες είναι μεγαλύτερη από το ίδιο το πρόστιμο.

Προσωρινή απαγόρευση άσκησης καθηκόντων

Για τις Βασικές Οντότητες, το άρθρο 24 παρ. 5 προβλέπει ένα μέτρο που αφορά πρόσωπα. Αν η Αρχή έχει δώσει οδηγίες και προθεσμία και ο οργανισμός δεν συμμορφωθεί, ο Διοικητής της Αρχής μπορεί να απαγορεύσει προσωρινά σε κάθε φυσικό πρόσωπο που ασκεί διευθυντικά καθήκοντα σε επίπεδο διευθύνοντος συμβούλου ή νόμιμου εκπροσώπου να ασκεί τα καθήκοντα αυτά.

Είναι μέτρο έσχατης λύσης και ισχύει μόνο μέχρι να διορθωθούν οι ελλείψεις. Δείχνει όμως καθαρά πού τοποθετεί ο νομοθέτης την ευθύνη. Για τις Σημαντικές Οντότητες ο νόμος δεν προβλέπει αυτό το συγκεκριμένο μέτρο.

Τι μετρά ως σοβαρή παράβαση

Όταν η Αρχή αποφασίζει για το ύψος του προστίμου, λαμβάνει υπόψη μεταξύ άλλων (άρθρο 24 παρ. 7):

• τις επανειλημμένες παραβάσεις,
• τη μη κοινοποίηση σημαντικών περιστατικών,
• τη μη αποκατάσταση ελλείψεων μετά από δεσμευτική οδηγία,
• την παρεμπόδιση ελέγχων,
• την παροχή ψευδών ή κατάφωρα ανακριβών πληροφοριών.

Λαμβάνει όμως υπόψη και τα θετικά: τα μέτρα που πήρε ο οργανισμός για να περιορίσει τη ζημιά και τον βαθμό συνεργασίας με την Αρχή. Μια Διοίκηση που μπορεί να δείξει ότι ενέκρινε, εποπτεύει και διορθώνει, βρίσκεται σε πολύ καλύτερη θέση.

Όταν συμβεί περιστατικό: οι προθεσμίες που πρέπει να ξέρεις

Αυτό είναι το σημείο όπου η Διοίκηση συνήθως εμπλέκεται για πρώτη φορά, και συνήθως σε κρίση. Το άρθρο 16 ορίζει ότι για κάθε σημαντικό περιστατικό ο οργανισμός υποβάλλει στην Εθνική Αρχή Κυβερνοασφάλειας:

Ένα περιστατικό θεωρείται σημαντικό αν έχει προκαλέσει ή μπορεί να προκαλέσει σοβαρή λειτουργική διατάραξη ή οικονομική ζημία στον οργανισμό, ή αν έχει επηρεάσει ή μπορεί να επηρεάσει άλλους, προκαλώντας σημαντική ζημία.

Δύο πράγματα αξίζει να κρατήσεις ως Διοίκηση. Πρώτον, ο χρόνος μετρά από τη στιγμή που ο οργανισμός αντιλήφθηκε το περιστατικό, όχι από τη στιγμή που το έμαθε η Διοίκηση. Άρα πρέπει να υπάρχει διαδικασία κλιμάκωσης που φτάνει σε σένα γρήγορα. Δεύτερον, ο νόμος λέει ρητά ότι η απλή πράξη κοινοποίησης δεν συνεπάγεται ευθύνη για τον οργανισμό. Αντίθετα, η μη κοινοποίηση θεωρείται σοβαρή παράβαση.

🛠️ Θέλεις να είσαι έτοιμος πριν συμβεί; Δες το εργαλείο αναφοράς περιστατικού με τις φόρμες 24 και 72 ωρών της ΕΑΚ.

Πώς εγκρίνεις σωστά το budget της κυβερνοασφάλειας

Εδώ δεν θα βρεις ένα «σωστό ποσοστό» του τζίρου. Κανένα κείμενο δεν ορίζει τέτοιο ποσοστό, και κάθε αριθμός που θα σου δώσει κάποιος χωρίς να ξέρει τον οργανισμό σου είναι εικασία. Αυτό που ζητά ο νόμος είναι μέτρα αναλογικά με τον κίνδυνο. Άρα η σωστή ερώτηση δεν είναι «πόσα ξοδεύουν οι άλλοι», αλλά «για ποιον κίνδυνο πληρώνω αυτό».

Όταν σου παρουσιάζουν ένα αίτημα για budget, ζήτα να σου απαντήσουν σε πέντε ερωτήσεις:

1. Ποια απαίτηση της ΚΥΑ 1689/2025 καλύπτει; Κάθε έργο πρέπει να δένει με κάτι που θα ελεγχθεί.
2. Ποιον κίνδυνο μειώνει; Με αναφορά στην εκτίμηση κινδύνων του οργανισμού, όχι γενικά.
3. Τι έχουμε ήδη πληρώσει που το καλύπτει; Πολλές επιχειρήσεις έχουν ήδη άδειες με δυνατότητες ασφάλειας που δεν χρησιμοποιούν. Πριν αγοράσεις κάτι καινούργιο, μάθε τι σου δίνει αυτό που έχεις.
4. Ποιο είναι το τεκμήριο ότι δουλεύει; Μια αναφορά, ένας δείκτης, κάτι που θα μπορείς να δείξεις στον ελεγκτή και στο επόμενο Διοικητικό Συμβούλιο.
5. Τι μένει ακάλυπτο αν δεν το εγκρίνω; Και αν μένει, ποιος αποδέχεται τον κίνδυνο. Η αποδοχή κινδύνου είναι κι αυτή απόφαση της Διοίκησης και πρέπει να καταγράφεται.

Ένα αίτημα που απαντά καθαρά σε αυτές τις ερωτήσεις είναι εύκολο να εγκριθεί. Ένα αίτημα που δεν μπορεί, χρειάζεται δουλειά πριν φτάσει σε σένα.

🛠️ Θέλεις μια εικόνα από τα πραγματικά δεδομένα; Δες το εργαλείο «Από το Secure Score στη συμμόρφωση» για όσους δουλεύουν με Microsoft 365.

Δέκα ερωτήσεις για την επόμενη συνεδρίαση

Αν θέλεις να ξέρεις πού βρίσκεσαι, ρώτα τον ΥΑΣΠΕ ή τον CISO σου τα εξής. Δεν χρειάζεται τεχνική γνώση για να αξιολογήσεις τις απαντήσεις. Χρειάζεται μόνο να ζητήσεις να δεις το τεκμήριο.

1. Είμαστε Βασική ή Σημαντική Οντότητα, και είμαστε εγγεγραμμένοι στο Μητρώο της Εθνικής Αρχής Κυβερνοασφάλειας;
2. Έχουμε ορίσει ΥΑΣΠΕ, έχει τα προσόντα που απαιτούνται και δεν έχει ασυμβίβαστα καθήκοντα;
3. Ποιες από τις υποχρεωτικές πολιτικές της ΚΥΑ 1689/2025 έχουν εγκριθεί από τη Διοίκηση, και με ποια απόφαση;
4. Πότε έγινε η τελευταία εκτίμηση κινδύνων, και ποιοι είναι οι πέντε μεγαλύτεροι κίνδυνοι σήμερα;
5. Ποιος αποφάσισε να αποδεχτούμε τους κινδύνους που δεν αντιμετωπίζουμε;
6. Αν αύριο το πρωί έχουμε ransomware, ποιος με ειδοποιεί, σε πόση ώρα, και ποιος υποβάλλει την αναφορά των 24 ωρών;
7. Πότε δοκιμάσαμε τελευταία φορά ότι μπορούμε να επαναφέρουμε τα δεδομένα μας από backup;
8. Ποιοι προμηθευτές έχουν πρόσβαση στα συστήματά μας, και πώς ελέγχουμε την ασφάλειά τους;
9. Έχει παρακολουθήσει κάθε μέλος της Διοίκησης εκπαίδευση φέτος, και πού είναι η βεβαίωση;
10. Αν έρθει έλεγχος από την Αρχή τον επόμενο μήνα, ποια τρία πράγματα θα μας έβρισκε ελλιπή;

Η τελευταία ερώτηση είναι συχνά η πιο χρήσιμη. Μια ειλικρινής απάντηση σου δίνει τη λίστα προτεραιοτήτων για τους επόμενους μήνες.

Αντιστοίχιση με τα τέσσερα πλαίσια

Οι υποχρεώσεις της Διοίκησης δεν είναι κάτι νέο μόνο για την Ελλάδα. Εμφανίζονται με παρόμοιο τρόπο σε όλα τα πλαίσια που πιθανόν σε αφορούν:

Αν ο οργανισμός σου έχει ήδη ΣΔΑΠ κατά ISO/IEC 27001, η ανασκόπηση από τη Διοίκηση (ρήτρα 9.3) είναι ήδη ένα έτοιμο σημείο για να καλύψεις την εποπτεία που ζητά ο νόμος. Δεν χρειάζεσαι δεύτερη διαδικασία.

🔗 Χρειάζεσαι τεκμηρίωση συμμόρφωσης; Οι υποχρεώσεις της Διοίκησης αντιστοιχούν στις απαιτήσεις 4.α, 4.β, 21.α και 24.α, όπως τις αναλύει ο οδηγός της ΚΥΑ 1689/2025. Στον οδηγό για την Οδηγία NIS2 αντιστοιχούν στα 20.1, 20.2, 23.4.α, 23.4.β και 23.4.δ, στο ISO/IEC 27001 στα A.5.1, A.5.4, A.5.24, A.5.31 και A.6.3, και στον GDPR στα 24.1, 32.4 και 33.1. Ο καθένας έχει checklist σε Excel: ΚΥΑ 1689/2025, NIS2, ISO 27001, GDPR.

Αυτό που μένει

Ο νόμος δεν ζητά από τη Διοίκηση να ξέρει πώς ρυθμίζεται ένα firewall. Ζητά να αποφασίζει, να παρακολουθεί και να ζητά λογαριασμό, και να μπορεί να το αποδείξει.

Αν κρατήσεις ένα πράγμα από αυτόν τον οδηγό, ας είναι αυτό: ό,τι αποφασίζεις για την κυβερνοασφάλεια, γράψ’ το στα πρακτικά. Η έγκριση των πολιτικών, η ενημέρωση για τους κινδύνους, η αποδοχή ενός ρίσκου, η εκπαίδευση. Αυτά είναι τα τεκμήρια που θα σε προστατέψουν σε έναν έλεγχο.

Και αν είσαι ο ΥΑΣΠΕ ή ο CISO που διαβάζει αυτό το άρθρο, στείλ’ το στη Διοίκησή σου. Γι’ αυτό γράφτηκε.

Τι δεν είναι

Ο οδηγός αυτός δεν είναι νομική συμβουλή και δεν αντικαθιστά τον νομικό σου σύμβουλο ή τα επίσημα κείμενα. Συνοψίζει τις διατάξεις όπως ισχύουν στην ημερομηνία επαλήθευσης. Για το πώς εφαρμόζονται στον δικό σου οργανισμό, και ιδίως για θέματα προσωπικής ευθύνης, μίλησε με νομικό.

Πηγές και επαλήθευση