- Η Γενική Γραμματεία Προστασίας Κρίσιμων Οντοτήτων (Γ.Γ.Π.Κ.Ο.) του Υπουργείου Προστασίας του Πολίτη προσδιορίζει, έως τη 17η Ιουλίου 2026, τις κρίσιμες οντότητες για τους τομείς και τους υποτομείς που αναφέρονται στο Παράρτημα.
- Για τον προσδιορισμό των κρίσιμων οντοτήτων η Γ.Γ.Π.Κ.Ο. λαμβάνει υπόψη την Εθνική Στρατηγική για την ενίσχυση της ανθεκτικότητας των κρίσιμων οντοτήτων του άρθρου 5 και την εκτίμηση κινδύνων του άρθρου 6 και εφαρμόζει συνολικώς τα ακόλουθα κριτήρια:
α) αν η οντότητα παρέχει μία ή περισσότερες βασικές υπηρεσίες,
β) αν η οντότητα δραστηριοποιείται και η υποδομή ζωτικής σημασίας που διαθέτει βρίσκεται στο έδαφος της χώρας και
γ) αν τυχόν περιστατικό θα προκαλούσε σημαντική διαταραχή, κατά την έννοια της παρ. 1 του άρθρου 8, στην παροχή από την οντότητα μίας ή περισσότερων βασικών υπηρεσιών ή στην παροχή άλλων βασικών υπηρεσιών στους τομείς που ορίζονται στο Παράρτημα, οι οποίοι εξαρτώνται από την εν λόγω ή τις εν λόγω βασικές υπηρεσίες.
- Μετά από τον προσδιορισμό των κρίσιμων οντοτήτων σύμφωνα με την παρ. 2, η Γ.Γ.Π.Κ.Ο. καταρτίζει κατάλογο κρίσιμων οντοτήτων. Εντός ενός (1) μηνός από τον εν λόγω προσδιορισμό οι εν λόγω κρίσιμες οντότητες ειδοποιούνται από τη Γ.Γ.Π.Κ.Ο. ότι έχουν προσδιοριστεί ως τέτοιες.
- Δημιουργείται και τηρείται πληροφοριακό σύστημα Εθνικής Βάσης Δεδομένων Κρίσιμων Οντοτήτων (Μητρώο Κρίσιμων Οντοτήτων) από τη Γ.Γ.Π.Κ.Ο., ως υπεύθυνη επεξεργασίας υπό την έννοια της περ. 7 του άρθρου 4 του Γενικού Κανονισμού (ΕΕ) 2016/679 για την προστασία δεδομένων προσωπικού χαρακτήρα, με σκοπό τη δημιουργία και τήρηση κεντρικής βάσης δεδομένων στη Γ.Γ.Π.Κ.Ο., στην οποία εντάσσονται οι κρίσιμες οντότητες και καταχωρίζονται όλα τα σχετικά στοιχεία και οι πληροφορίες για όσο διάστημα οι εν λόγω κρίσιμες οντότητες παραμένουν χαρακτηρισμένες ως κρίσιμες από τη Γ.Γ.Π.Κ.Ο.
- Η Γ.Γ.Π.Κ.Ο. ενημερώνει τις κρίσιμες οντότητες του παρόντος άρθρου για τις υποχρεώσεις τους σύμφωνα με τα Κεφάλαια Γ΄ και Δ΄ του παρόντος Μέρους και για την ημερομηνία κατά την οποία οι εν λόγω υποχρεώσεις αρχίζουν να εφαρμόζονται σε αυτές, με την επιφύλαξη του άρθρου 9. Οι κρίσιμες οντότητες στους τομείς που καθορίζονται στις περ. 3, 4 και 9 του πίνακα του Παραρτήματος ενημερώνονται ότι δεν υπέχουν υποχρεώσεις βάσει των Κεφαλαίων Γ΄ και Δ΄ του παρόντος Μέρους, με την επιφύλαξη ειδικών διατάξεων. Για τις οικείες κρίσιμες οντότητες, το Kεφάλαιο Γ΄ του παρόντος Μέρους αρχίζει να εφαρμόζεται δέκα (10) μήνες μετά από την ημερομηνία της ειδοποίησης του δεύτερου εδαφίου της παρ. 3.
- Η Γ.Γ.Π.Κ.Ο. κοινοποιεί στην Εθνική Αρχή Κυβερνοασφάλειας την ταυτότητα των κρίσιμων οντοτήτων που έχει προσδιορίσει βάσει του παρόντος άρθρου, εντός ενός (1) μηνός από τον εν λόγω προσδιορισμό. Με την κοινοποίηση αυτή, διευκρινίζεται, κατά περίπτωση, ότι οι οικείες κρίσιμες οντότητες αποτελούν οντότητες στους τομείς που καθορίζονται στις περ. 3, 4 και 9 του πίνακα του Παραρτήματος και δεν υπέχουν υποχρεώσεις σύμφωνα με τα Κεφάλαια Γ’ και Δ’ του παρόντος Μέρους.
- Ο κατάλογος των κρίσιμων οντοτήτων της παρ. 3 επανεξετάζεται όποτε κρίνεται απαραίτητο και κατ’ ελάχιστον ανά τετραετία και αν απαιτείται, επικαιροποιείται. Στην περίπτωση αυτή, ισχύουν για τις νέες οντότητες οι παρ. 3, 5 και 8 του παρόντος άρθρου. Oι οντότητες που δεν προσδιορίζονται πλέον ως κρίσιμες ειδοποιούνται εγκαίρως με κάθε πρόσφορο μέσο για το γεγονός αυτό και ενημερώνονται ότι δεν υπέχουν πλέον τις υποχρεώσεις του Κεφαλαίου Γ΄ του παρόντος Μέρους από την ημερομηνία παραλαβής της εν λόγω ειδοποίησης.
- Η Γ.Γ.Π.Κ.Ο., κατά τον προσδιορισμό των κρίσιμων οντοτήτων, αξιολογεί και λαμβάνει υπόψη της υποστηρικτικές συστάσεις και μη δεσμευτικές κατευθυντήριες γραμμές, τις οποίες έχει καταρτίσει η Ευρωπαϊκή Επιτροπή σε συνεργασία με τα κράτη μέλη της Ευρωπαϊκής Ένωσης.
- Η Γ.Γ.Π.Κ.Ο., μετά από τον προσδιορισμό των κρίσιμων οντοτήτων σύμφωνα με τις παρ. 1 και 2, υποβάλλει στην Ευρωπαϊκή Επιτροπή, όποτε είναι απαραίτητο, και τουλάχιστον ανά τετραετία τις ακόλουθες πληροφορίες:
α) κατάλογο των πρόσθετων βασικών υπηρεσιών όταν υπάρχουν τέτοιες σε σύγκριση με τον κατάλογο των βασικών υπηρεσιών της Ευρωπαϊκής Επιτροπής του δευτέρου εδαφίου της παρ. 1 του άρθρου 6,
Για τον προσδιορισμό των πρόσθετων βασικών υπηρεσιών λαμβάνονται υπόψη, ιδίως, τα ακόλουθα κριτήρια:
i. αν οι πρόσθετες υπηρεσίες αφορούν στους τομείς και τους υποτομείς του Παραρτήματος του παρόντος,
ii. οι εθνικές ιδιαιτερότητες ως προς την παροχή των βασικών υπηρεσιών του καταλόγου των βασικών υπηρεσιών της Ευρωπαϊκής Επιτροπής του δευτέρου εδαφίου της παρ. 1 του άρθρου 6,
iii. οι αλληλεξαρτήσεις με άλλες βασικές υπηρεσίες και οι επακόλουθοι κίνδυνοι που συνδέονται με ένα συμβάν,
iv. η αποφυγή αλληλοεπικαλύψεων και πλεονασμών με τον κατάλογο που παρατίθεται στον κατ’ εξουσιοδότηση Κανονισμό (ΕΕ) 2023/2450,
β) τον αριθμό των κρίσιμων οντοτήτων που έχουν προσδιοριστεί για κάθε τομέα και υποτομέα που καθορίζεται στο Παράρτημα και για κάθε βασική υπηρεσία και
γ) τα τυχόν κατώτατα όρια, ως έχουν ή σε συγκεντρωτική μορφή, που εφαρμόζονται για τον προσδιορισμό ενός ή περισσότερων από τα κριτήρια της παρ. 1 του άρθρου 8.
Το Άρθρο 7 προβλέπει τα κριτήρια και τη διαδικασία προσδιορισμού των κρίσιμων οντοτήτων, τα οποία αποτελούν τη βάση για την εφαρμογή των υποχρεώσεων ανθεκτικότητας. Ωστόσο, στο πλαίσιο των σύγχρονων υβριδικών απειλών, κρίνεται αναγκαίο να συμπεριληφθεί ρητά και η διάσταση της κυβερνοασφάλειας. Οι κρίσιμες οντότητες λειτουργούν σε περιβάλλον υψηλής ψηφιακής εξάρτησης, και η κυβερνοανθεκτικότητα αποτελεί αναπόσπαστο στοιχείο της συνολικής τους ανθεκτικότητας.
Προτείνεται, συνεπώς:
1. Στην παρ. 2, μετά το στοιχείο (γ), να προστεθεί νέο στοιχείο (δ) με το ακόλουθο περιεχόμενο:
«δ) τον βαθμό εξάρτησης της οντότητας από πληροφοριακά συστήματα και δίκτυα, καθώς και το επίπεδο κυβερνοανθεκτικότητάς της, σύμφωνα με τα ελάχιστα πρότυπα που καθορίζονται στο πλαίσιο της Οδηγίας (ΕΕ) 2022/2555 (NIS2).»
2. Στην παρ. 6, να προστεθεί δεύτερο εδάφιο ως εξής:
«Η κοινοποίηση συνοδεύεται από αξιολόγηση της ψηφιακής εξάρτησης και των απαιτήσεων κυβερνοασφάλειας των κρίσιμων οντοτήτων, σε συνεργασία με την Εθνική Αρχή Κυβερνοασφάλειας, ώστε να εξασφαλίζεται η διαλειτουργικότητα με τα μητρώα και τις υποχρεώσεις που απορρέουν από την Οδηγία NIS2.»
Με αυτόν τον τρόπο διασφαλίζεται ότι η Γ.Γ.Π.Κ.Ο. θα λαμβάνει υπόψη την κυβερνοανθεκτικότητα ως κρίσιμο κριτήριο προσδιορισμού, ενώ παράλληλα ενισχύεται ο θεσμικός συντονισμός με την Εθνική Αρχή Κυβερνοασφάλειας. Έτσι επιτυγχάνεται πλήρης ευθυγράμμιση με το ευρωπαϊκό πλαίσιο (CER & NIS2), αποφυγή επικαλύψεων και ουσιαστική θωράκιση των κρίσιμων οντοτήτων έναντι τόσο φυσικών όσο και ψηφιακών απειλών.