Νόμοι — ΦΕΚ A' 199/2018

Ενσωμάτωση στην ελληνική νομοθεσία της Οδηγίας 2016/1148/ΕΕ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου σχετικά με μέτρα για υψηλό κοινό επίπεδο ασφάλειας συστημάτων δικτύου και πληροφοριών σε ολόκληρη την Ένωση και άλλες διατάξεις.

Ο ΠΡΟΕΔΡΟΣ

ΤΗΣ ΕΛΛΗΝΙΚΗΣ ΔΗΜΟΚΡΑΤΙΑΣ

Εκδίδομε τον ακόλουθο νόμο που ψήφισε η Βουλή:

ΚΕΦΑΛΑΙΟ Α΄

ΓΕΝΙΚΕΣ ΔΙΑΤΑΞΕΙΣ

Άρθρο 1

Αντικείμενο και πεδίο εφαρμογής (άρθρο 1 παράγραφοι 1, 3, 4, 5, 6, 7 της Οδηγίας 2016/1148/ΕΕ)

Άρθρο 2

(Άρθρο 2 της Οδηγίας 2016/1148/ΕΕ) Η επεξεργασία δεδομένων προσωπικού χαρακτήρα, που γίνεται κατά τον παρόντα νόμο, διενεργείται σύμφωνα με τον Κανονισμό (ΕΚ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 27ης Απριλίου 2016 (EE L 119) και το ν. 2472/1997 (Α΄ 50).

Άρθρο 3

Ορισμοί (Άρθρο 4 της Οδηγίας 2016/1148/ΕΕ) Για τους σκοπούς του παρόντος νόμου, ισχύουν οι εξής ορισμοί: 1) «σύστημα δικτύου και πληροφοριών»:

• α) ένα δίκτυο ηλεκτρονικών επικοινωνιών, σύμφωνα

με την περίπτωση ιζ΄ της Ενότητας Α΄ παράγραφος του άρθρου 2 του ν. 4070/2012,

• β) κάθε συσκευή ή ομάδα διασυνδεδεμένων ή σχετιζόμενων συσκευών από τις οποίες μία ή περισσότερες

• γ) ψηφιακά δεδομένα που αποθηκεύονται, υποβάλλονται σε επεξεργασία, ανακτώνται ή μεταδίδονται από

στοιχεία που καλύπτονται στις περιπτώσεις α΄ και β΄ για τους σκοπούς της λειτουργίας, της χρήσης, της προστασίας και της συντήρησής τους, 2) «ασφάλεια συστημάτων δικτύου και πληροφοριών»: η ικανότητα συστημάτων δικτύου και πληροφοριών να ανθίστανται, με δεδομένο βαθμό αξιοπιστίας, σε ενέργειες που πλήττουν τη διαθεσιμότητα, την αυθεντικότητα, την ακεραιότητα ή το απόρρητο των δεδομένων που αποθηκεύονται, μεταδίδονται ή υποβάλλονται σε επεξεργασία ή των συναφών υπηρεσιών που προσφέρονται ή είναι προσβάσιμες μέσω των εν λόγω συστημάτων δικτύου και πληροφοριών, 3) «εθνική στρατηγική για την ασφάλεια συστημάτων δικτύου και πληροφοριών»: πλαίσιο το οποίο παρέχει στρατηγικούς στόχους και προτεραιότητες για την ασφάλεια συστημάτων δικτύου και πληροφοριών σε εθνικό επίπεδο, 4) «φορέας εκμετάλλευσης βασικών υπηρεσιών»: δημόσια ή ιδιωτική οντότητα είδους αναφερόμενου στο Παράρτημα Ι, η οποία πληροί τα κριτήρια που ορίζονται στην παράγραφο 2 του άρθρου 4, 5) «ψηφιακή υπηρεσία»: υπηρεσία σύμφωνα με την περίπτωση β΄ της παρ. 1 του άρθρου 2 του π.δ. 81/2018 (Α΄ 151), η οποία είναι είδος αναφερόμενο στο Παράρτημα II, 6) «πάροχος ψηφιακών υπηρεσιών»: νομικό πρόσωπο που παρέχει ψηφιακή υπηρεσία, 7) «συμβάν»: κάθε γεγονός που έχει στην πραγματικότητα μια δυσμενή επίπτωση στην ασφάλεια συστημάτων δικτύου και πληροφοριών, 8) «χειρισμός συμβάντων»: το σύνολο των διαδικασιών που υποστηρίζουν τον εντοπισμό, την ανάλυση και την ανάσχεση ενός συμβάντος, καθώς και την παρέμβαση για την αντιμετώπισή του, 9) «κίνδυνος»: κάθε εύλογα διαπιστώσιμη περίσταση ή γεγονός με ενδεχομένως δυσμενή επίπτωση στην ασφάλεια συστημάτων δικτύου και πληροφοριών, 10) «αντιπρόσωπος»: κάθε φυσικό ή νομικό πρόσωπο εγκατεστημένο στην Ευρωπαϊκή Ένωση, που ρητώς έχει οριστεί να ενεργεί εξ ονόματος παρόχου ψηφιακών υπηρεσιών μη εγκατεστημένου στην Ευρωπαϊκή Ένωση, στο οποίο μπορεί να απευθύνεται η εθνική αρμόδια αρχή ή η Αρμόδια Ομάδα Απόκρισης για συμβάντα που αφορούν την ασφάλεια υπολογιστών (Computer Security Incident Response Team - CSIRT) του άρθρου 8 παράγραφος 1 αντί του παρόχου ψηφιακών υπηρεσιών, όσον αφορά τις υποχρεώσεις αυτού σύμφωνα με τον παρόντα νόμο, 11) «πρότυπο»: πρότυπο σύμφωνα με το σημείο 1 του άρθρου 2 του Κανονισμού (ΕΕ) 1025/2012 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 25ης Οκτωβρίου 2012 (EE L 316), 12) «προδιαγραφή»: τεχνική προδιαγραφή σύμφωνα με το σημείο 4 του άρθρου 2 του Κανονισμού (ΕΕ) 1025/2012, 13) «σημείο ανταλλαγής κίνησης διαδικτύου (Internet Exchange Point - IXP)»: δικτυακή υποδομή που επιτρέπει τη διασύνδεση περισσότερων από δύο ανεξάρτητων αυτόνομων συστημάτων, κυρίως με σκοπό τη διευκόλυνση της ανταλλαγής κίνησης διαδικτύου, και η οποία διασυνδέει μόνον αυτόνομα συστήματα. Το IXP δεν αναγκάζει την κίνηση διαδικτύου που διέρχεται μεταξύ ζεύγους συμμετεχόντων αυτόνομων συστημάτων να διέλθει από τρίτο αυτόνομο σύστημα ούτε την τροποποιεί ούτε παρεμβαίνει με άλλον τρόπο σε αυτήν, 14) «σύστημα ονομάτων χώρου (Domain Name System  - DNS)»: ιεραρχικά κατανεμημένο σύστημα ονοματοδοσίας εντός ενός δικτύου, το οποίο εκτελεί παραπομπές αιτημάτων για ονόματα τομέων, 15) «πάροχος υπηρεσιών συστήματος ονομάτων χώρου»: οντότητα που παρέχει υπηρεσίες συστήματος ονομάτων χώρου στο διαδίκτυο, 16) «μητρώο ονομάτων χώρου ανώτατου επιπέδου» (top-level domain name registry): οντότητα που διαχειρίζεται και εκμεταλλεύεται την καταχώριση ονομάτων διαδικτυακών χώρων εντός συγκεκριμένου χώρου ανώτατου επιπέδου (TLD), 17) «επιγραμμική αγορά» (online marketplace): ψηφιακή υπηρεσία που επιτρέπει σε καταναλωτές ή και εμπόρους, όπως ορίζονται στις περιπτώσεις α΄ και β΄ της παρ. 1 του άρθρου 4 της 70330οικ./30.6.2015 κοινής απόφασης των Υπουργών Οικονομίας, Υποδομών, Ναυτιλίας και Τουρισμού και Δικαιοσύνης, Διαφάνειας και Ανθρώπινων Δικαιωμάτων (Β΄ 1421), να συνάπτουν επιγραμμικές συμβάσεις πώλησης ή παροχής υπηρεσιών με εμπόρους είτε στον ιστοχώρο της επιγραμμικής αγοράς είτε σε ιστοχώρο εμπόρου που χρησιμοποιεί υπηρεσίες υπολογιστικής παρεχόμενες από την επιγραμμική αγορά, 18) «επιγραμμική μηχανή αναζήτησης» (online search engine): ψηφιακή υπηρεσία που επιτρέπει στους χρήστες να εκτελούν αναζητήσεις καταρχήν σε όλους τους ιστοχώρους ή σε ιστοχώρους συγκεκριμένης γλώσσας βάσει ερωτήματος για οποιοδήποτε θέμα, με τη μορφή λέξης-κλειδιού, φράσης ή άλλων δεδομένων, και επιστρέφει ως αποτέλεσμα συνδέσμους όπου μπορεί κανείς να βρει πληροφορίες σχετικές με το περιεχόμενο που έχει ζητηθεί, 19) «υπηρεσία νεφοϋπολογιστικής»: ψηφιακή υπηρεσία που επιτρέπει την πρόσβαση σε κλιμακοθετήσιμο και ελαστικό σύνολο κοινόχρηστων υπολογιστικών πόρων.

Άρθρο 4

Φορείς εκμετάλλευσης βασικών υπηρεσιών (Άρθρο 5 της Οδηγίας 2016/1148/ΕΕ)

• α) ο φορέας να παρέχει υπηρεσία ουσιώδη για τη διατήρηση κρίσιμων κοινωνικών ή και οικονομικών δραστηριοτήτων,

• β) η παροχή της υπηρεσίας αυτής να στηρίζεται σε

συστήματα δικτύου και πληροφοριών και

• γ) η πρόκληση σοβαρής διατάραξης της παροχής της

εν λόγω υπηρεσίας, κατά τα οριζόμενα στο άρθρο 5, από τυχόν συμβάν.

• α) τα εθνικά κριτήρια βάσει των οποίων προσδιορίζονται οι φορείς εκμετάλλευσης βασικών υπηρεσιών,

• β) ο κατάλογος των υπηρεσιών που αναφέρεται στην

παράγραφο 3,

• γ) ο αριθμός των φορέων εκμετάλλευσης βασικών

υπηρεσιών που έχουν προσδιοριστεί για κάθε τομέα του Παραρτήματος Ι και αναφορά της σημασίας τους σε σχέση με τον εν λόγω τομέα,

• δ) τα κατώτατα όρια, εφόσον υπάρχουν, για τον προσδιορισμό του σχετικού επιπέδου παροχής υπηρεσιών με

αναφορά στον αριθμό των χρηστών που εξαρτώνται από την υπηρεσία αυτή, όπως αναφέρεται στην περίπτωση α΄ της παραγράφου 2 του άρθρου 5, ή της σημασίας του συγκεκριμένου φορέα εκμετάλλευσης βασικών υπηρεσιών, όπως αναφέρεται στην περίπτωση στ΄ της παραγράφου 2 του άρθρου 5.

Άρθρο 5

Σοβαρή διατάραξη (Άρθρο 6 της Οδηγίας 2016/1148/ΕΕ)

• α) ο αριθμός των χρηστών που εξαρτώνται από την

υπηρεσία, η οποία παρέχεται από τον οικείο φορέα εκμετάλλευσης,

• β) η εξάρτηση άλλων τομέων που αναφέρονται στο

Παράρτημα I από την υπηρεσία που παρέχεται από τον εν λόγω φορέα εκμετάλλευσης,

• γ) ο αντίκτυπος που θα μπορούσαν να έχουν τα συγκεκριμένα περιστατικά διατάραξης, από άποψη βαθμού

και διάρκειας, σε οικονομικές και κοινωνικές δραστηριότητες ή στη δημόσια ασφάλεια,

• δ) το μερίδιο αγοράς του οικείου φορέα εκμετάλλευσης,

• ε) το γεωγραφικό εύρος της περιοχής που θα μπορούσε να επηρεαστεί από ένα περιστατικό,

• στ) η σημασία του εν λόγω φορέα για τη διατήρηση

επαρκούς επιπέδου της υπηρεσίας, λαμβανομένων υπόψη των διαθέσιμων εναλλακτικών μέσων για την παροχή της εν λόγω υπηρεσίας,

• ζ) οι ειδικότεροι παράγοντες που αφορούν το συγκεκριμένο τομέα.

ΚΕΦΑΛΑΙΟ Β΄

ΕΘΝΙΚΟ ΠΛΑΙΣΙΟ ΓΙΑ ΤΗΝ ΑΣΦΑΛΕΙΑ ΤΩΝ ΣΥΣΤΗΜΑΤΩΝ ΔΙΚΤΥΩΝ ΚΑΙ ΠΛΗΡΟΦΟΡΙΩΝ

Άρθρο 6

Εθνική Στρατηγική Κυβερνοασφάλειας (Άρθρο 7 της Οδηγίας 2016/1148/ΕΕ)

• α) τους στόχους και τις προτεραιότητες της εθνικής

στρατηγικής για την ασφάλεια συστημάτων δικτύου και πληροφοριών,

• β) το πλαίσιο διακυβέρνησης για την επίτευξη των στόχων και των προτεραιοτήτων της εθνικής στρατηγικής

για την ασφάλεια συστημάτων δικτύων και πληροφοριών, συμπεριλαμβανομένων του ρόλου και των αρμοδιοτήτων των κυβερνητικών οργάνων και των λοιπών αρμόδιων φορέων,

• γ) τον προσδιορισμό των μέτρων ετοιμότητας, απόκρισης και αποκατάστασης, συμπεριλαμβανομένης της

συνεργασίας ανάμεσα στο δημόσιο και ιδιωτικό τομέα,

• ε) αναφορά των σχεδίων έρευνας και ανάπτυξης σχετικά με την εθνική στρατηγική ασφάλειας συστημάτων

δικτύου και πληροφοριών,

• στ) σχέδιο εκτίμησης κινδύνου για τον προσδιορισμό

κινδύνων,

• ζ) κατάλογο των διαφόρων φορέων που εμπλέκονται

στην υλοποίηση της εθνικής στρατηγικής ασφάλειας συστημάτων δικτύου και πληροφοριών.

Άρθρο 7

Εθνική Αρχή Κυβερνοασφάλειας (Άρθρο 8 της Οδηγίας 2016/1148/ΕΕ)

• α) παρακολουθεί την εφαρμογή του παρόντος,

• β) ορίζεται ως το εθνικό ενιαίο κέντρο επαφής, εφεξής

«Ενιαίο Κέντρο Επαφής», για την ασφάλεια των συστημάτων δικτύου και πληροφοριών, ασκώντας καθήκοντα συνδέσμου για τη διασφάλιση της διασυνοριακής συνεργασίας των αρχών των κρατών-μελών, καθώς και με τις Αρμόδιες Αρχές άλλων κρατών-μελών στο πλαίσιο των μηχανισμών συνεργασίας, όπως αυτοί προσδιορίζονται στα άρθρα 11 και 12 της Οδηγίας που ενσωματώνεται με τον παρόντα,

• γ) ως ενιαίο κέντρο επαφής υποβάλλει ετησίως στην

ομάδα συνεργασίας του άρθρου 11 της ανωτέρω Οδηγίας, συνοπτική έκθεση σχετικά με τις κοινοποιήσεις που έχει παραλάβει, συμπεριλαμβανομένου του αριθμού των κοινοποιήσεων και της φύσης των κοινοποιημένων συμβάντων, καθώς και τα μέτρα που έχουν ληφθεί σύμφωνα με τα άρθρα 9 και 11,

• δ) συνεργάζεται με την αρμόδια CSIRT της παραγράφου 1 του άρθρου 8, με σκοπό την αμοιβαία και από

κοινού τήρηση των υποχρεώσεων της χώρας στο πλαίσιο του παρόντος νόμου,

• ε) διαβουλεύεται και συνεργάζεται με τις Αρμόδιες

Εθνικές Αρχές επιβολής του νόμου, την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ), καθώς και τις λοιπές αρμόδιες ρυθμιστικές ή εποπτικές αρχές και τους λοιπούς εμπλεκόμενους εθνικούς φορείς αναφορικά με τα θέματα που άπτονται της εφαρμογής του παρόντος,

• στ) συνεργάζεται με τις Αρμόδιες Αρχές των λοιπών

κρατών-μελών, στο πλαίσιο των μηχανισμών συνεργασίας, όπως αυτοί προσδιορίζονται στα άρθρα 11 και 12

• ζ) συμμετέχει στην ομάδα συνεργασίας του άρθρου

11 της ως άνω Οδηγίας, ορίζει τους εθνικούς αντιπροσώπους της χώρας σ΄ αυτήν και ενημερώνει τους λοιπούς εμπλεκόμενους εθνικούς φορείς αναφορικά με τις εργασίες και τις αποφάσεις που λαμβάνονται στο πλαίσιο αυτής,

• η) συνεργάζεται με σχετικούς με θέματα κυβερνοασφάλειας και προστασίας κρίσιμων υποδομών διεθνείς

οργανισμούς και όργανα ή υπηρεσίες της Ευρωπαϊκής Ένωσης ή άλλων κρατών και συμμετέχει στις αντίστοιχες συναντήσεις συναφών με τα ανωτέρω, επιτροπών και ομάδων εργασίας.

Άρθρο 8

Ομάδα απόκρισης για συμβάντα που αφορούν την ασφάλεια υπολογιστών (CSIRT) (Άρθρο 9 της Οδηγίας 2016/1148/ΕΕ)

• α) εξασφαλίζει υψηλό επίπεδο διαθεσιμότητας των