Ο προσδιορισμός των κρίσιμων οντοτήτων είναι το βήμα που μετατρέπει τη Στρατηγική από κείμενο πολιτικής σε συγκεκριμένες υποχρεώσεις, στήριξη και εποπτεία. Το πλαίσιο ενεργοποιείται για μια οντότητα μόνο από τη στιγμή που αυτή χαρακτηριστεί κρίσιμη. Τη διαδικασία συντονίζει η Γ.Γ.Π.Κ.Ο., σε συνεργασία με τις Τομεακές Αρμόδιες Αρχές/Φορείς/Υπηρεσίες, με βάση τα τρία σωρευτικά κριτήρια χαρακτηρισμού και τα κριτήρια σημαντικής διαταραχής των άρθρων 7 και 8 του ν. 5236/2025 (A’ 175).

Η προσέγγιση είναι τεκμηριωμένη, σταδιακή και βασισμένη στον κίνδυνο. Η Εθνική Εκτίμηση Κινδύνων δεν υποκαθιστά τα κριτήρια του νόμου, αλλά λειτουργεί ως πυξίδα ιεράρχησης, καθορίζοντας ποιοι τομείς και ποιες υπηρεσίες εξετάζονται πρώτοι και με ποιο βάθος τεκμηρίωσης. Κάθε υποψήφια οντότητα αξιολογείται με ενιαία και διαφανή μεθοδολογία, με μετρήσιμα κριτήρια αντικτύπου, κοινή κλίμακα βαθμολόγησης και πλήρη φάκελο τεκμηρίωσης, ώστε κάθε χαρακτηρισμός να είναι αντικειμενικός, συγκρίσιμος μεταξύ τομέων και ανθεκτικός σε πιθανές ενστάσεις. Η εξειδίκευση των δεικτών ανά τομέα αποτυπώνεται στο υπό εκπόνηση Σχέδιο Υλοποίησης.

10.1 Κριτήρια χαρακτηρισμού

Κατά το άρθρο 7 παρ. 2 του ν. 5236/2025, για τον χαρακτηρισμό μιας οντότητας ως κρίσιμης πρέπει να συντρέχουν σωρευτικά τα ακόλουθα τρία κριτήρια:

Η οντότητα παρέχει μία ή περισσότερες βασικές υπηρεσίες.

Δραστηριοποιείται στην ελληνική επικράτεια, όπου βρίσκεται και η υποδομή ζωτικής σημασίας που την παρέχει.

Τυχόν περιστατικό σε βάρος της θα προκαλούσε σημαντική διαταραχή στην παροχή της βασικής υπηρεσίας ή άλλων βασικών υπηρεσιών που εξαρτώνται από αυτήν.

10.2 Διαδικασία προσδιορισμού και κοινοποίηση

Η αξιολόγηση κάθε υποψήφιας οντότητας ακολουθεί τρία διαδοχικά στάδια, ώστε ο χαρακτηρισμός να στηρίζεται σε πλήρη, συγκρίσιμη και επαληθεύσιμη τεκμηρίωση:

Στάδιο 1, Έναρξη και συλλογή στοιχείων: η διαδικασία εκκινεί περιοδικά, κατόπιν εισήγησης της οικείας Τομεακής Αρχής/Φορέα/Υπηρεσίας, αυτεπάγγελτα από τη Γ.Γ.Π.Κ.Ο. ή όταν μεταβληθούν ουσιωδώς τα χαρακτηριστικά μιας οντότητας. Συγκεντρώνονται τα αναγκαία στοιχεία, όπως οι παρεχόμενες βασικές υπηρεσίες, υποδομές ζωτικής σημασίας, γεωγραφική εμβέλεια και εξυπηρετούμενοι χρήστες, αλληλεξαρτήσεις και βαθμός εξάρτησης άλλων υπηρεσιών, υφιστάμενα μέτρα ανθεκτικότητας και τυχόν προηγούμενα σοβαρά περιστατικά.

Στάδιο 2, Αξιολόγηση των κριτηρίων: εξετάζεται η σωρευτική πλήρωση των τριών κριτηρίων του άρθρου 7 του ν. 5236/2025. Για το τρίτο κριτήριο, τη σημαντική διαταραχή, ο δυνητικός αντίκτυπος βαθμολογείται σε πενταβάθμια κλίμακα, με ενιαία, μετρήσιμα κριτήρια που εξειδικεύουν τα κριτήρια του άρθρου 8 του ίδιου νόμου. Συγκεκριμένα, αξιολογούνται:

Ο αριθμός χρηστών που εξαρτώνται από τη βασική υπηρεσία που παρέχεται από την αξιολογούμενη οντότητα,

Η γεωγραφική έκταση που θα μπορούσε να επηρεαστεί από ένα περιστατικό στην οντότητα (συμπεριλαμβανομένου του διασυνοριακού αντικτύπου και της ευαλωτότητας γεωγραφικά απομονωμένων περιοχών: νησιωτικών, απομακρυσμένων, ορεινών),

Οι πιθανολογούμενες ανθρώπινες απώλειες από ένα περιστατικό στην οντότητα,

Ο οικονομικός, περιβαλλοντικός και κοινωνικοπολιτικός αντίκτυπος που θα προκαλούσε ένα περιστατικό στην οντότητα,

Ο αντίκτυπος στη δημόσια υγεία, ασφάλεια και προστασία του πληθυσμού από ένα περιστατικό στην οντότητα,

Ο βαθμός εξάρτησης άλλων τομέων και υποτομέων από τη βασική υπηρεσία που παρέχει η οντότητα,

Το μερίδιο αγοράς της οντότητας στην περιοχή της συγκεκριμένης βασικής υπηρεσίας ή των οικείων βασικών υπηρεσιών,

Η σημασία της οντότητας για τη διατήρηση επαρκούς επιπέδου της βασικής υπηρεσίας, λαμβανομένων υπόψη των διαθέσιμων εναλλακτικών μέσων για την παροχή της εν λόγω βασικής υπηρεσίας.

Συμπληρωματικά, δύνανται να συνεκτιμώνται η συνδεσιμότητα και ο τυχόν ρυθμιστικός ρόλος της οντότητας, ο εκτιμώμενος χρόνος αποκατάστασης της υπηρεσίας και η ύπαρξη στρατηγικών αποθεμάτων.

Από τη μέση βαθμολογία προκύπτει το επίπεδο της δυνητικής διαταραχής:

Χαμηλή,

Σημαντική,

Υψηλή

Στάδιο 3, Χαρακτηρισμός και φάκελος αξιολόγησης: εφόσον η δυνητική διαταραχή αξιολογηθεί ως σημαντική ή υψηλή, η οντότητα χαρακτηρίζεται κρίσιμη με απόφαση του Γενικού Γραμματέα Προστασίας Κρίσιμων Οντοτήτων. Για κάθε αξιολόγηση τηρείται στο Μητρώο πλήρης φάκελος:

Ταυτοποίηση της οντότητας,

Πίνακας βασικών υπηρεσιών,

Φύλλο βαθμολόγησης με τεκμηρίωση κάθε κρίσης,

Εισήγηση και τελική απόφαση.

Εντός ενός (1) μηνός από τον χαρακτηρισμό, η οντότητα ειδοποιείται για τις υποχρεώσεις που αναλαμβάνει, ενώ ο κατάλογος κοινοποιείται, ολικώς ή μερικώς και κατά περίπτωση, στα λοιπά εμπλεκόμενα μέρη. Η Γ.Γ.Π.Κ.Ο. υποβάλλει στην Ευρωπαϊκή Επιτροπή, όποτε απαιτείται και τουλάχιστον ανά τετραετία, τις προβλεπόμενες πληροφορίες, όπως τυχόν πρόσθετες βασικές υπηρεσίες, αριθμό κρίσιμων οντοτήτων ανά τομέα και υπηρεσία, εφαρμοζόμενα κατώτατα όρια (άρθρο 7 παρ. 9 του ν. 5236/2025 και άρθρο 7 παρ. 2 της CER). Η περαιτέρω εξειδίκευση, δείκτες ανά τομέα, όρια βαθμολόγησης, συμπληρωματικά τομεακά κριτήρια μέσω ομάδων εστίασης, αποτυπώνονται στο Σχέδιο Υλοποίησης και στις εκδοθείσες πράξεις σύμφωνα με το άρθρο 24 του ν. 5236/2025.

10.3 Ελάχιστα βιώσιμα επίπεδα υπηρεσίας

Σε στρατηγικό επίπεδο υιοθετείται η αρχή των ελάχιστων βιώσιμων επιπέδων υπηρεσίας. Για κάθε ουσιώδη υπηρεσία προσδιορίζονται ανεκτά όρια διαταραχής και προτεραιότητες αποκατάστασης, ώστε ακόμη και υπό συνθήκες κρίσης να διατηρείται ένα ελάχιστο αποδεκτό επίπεδο λειτουργίας. Η ποσοτικοποίηση των ορίων αυτών ανά τομέα και ο καθορισμός κατώτατων ορίων για αποδεκτούς, ανεκτούς και μη αποδεκτούς κινδύνους εξειδικεύεται στο Σχέδιο Υλοποίησης.

10.4 Εθνικό Μητρώο Κρίσιμων Οντοτήτων

Οι χαρακτηρισμένες κρίσιμες οντότητες εγγράφονται στο Εθνικό Μητρώο Κρίσιμων Οντοτήτων, που τηρεί η Γ.Γ.Π.Κ.Ο. Πέρα από τη διοικητική καταγραφή, το Μητρώο λειτουργεί ως μηχανισμός εθνικής εποπτείας, εκτίμησης κινδύνου και επιχειρησιακού συντονισμού. Η πλήρης και αναλυτική λειτουργία του και τα τεχνικά χαρακτηριστικά του, εξειδικεύονται στο Σχέδιο Υλοποίησης και στην εκδοθησομένη Κ.Υ.Α. του άρθρου 24 παρ. 5 του ν. 5236/2025).

Το Μητρώο λειτουργεί ως κεντρικό πληροφοριακό σύστημα του εθνικού πλαισίου ανθεκτικότητας και ως μηχανισμός διαχείρισης γνώσης, χωρίς να θίγει τις αρμοδιότητες των Τομεακών Αρμόδιων Αρχών/Φορέων/Υπηρεσιών. Η συγκρότηση και η λειτουργία του διέπονται από τις αρχές της αναγκαιότητας, της αναλογικότητας, της ακρίβειας και επικαιρότητας των δεδομένων, της διαλειτουργικότητας, της προστασίας διαβαθμισμένων πληροφοριών, της λογοδοσίας και της ασφάλειας πληροφοριακών συστημάτων.

Κάθε κρίσιμη οντότητα καταχωρίζεται με μοναδικό αναγνωριστικό κωδικό, που επιτρέπει την ασφαλή αναγνώριση και διασύνδεση της εγγραφής σε όλα τα συναφή συστήματα (CER, NIS2, DORA, FDI) και την αποφυγή διπλής υποβολής στοιχείων. Η εγγραφή περιλαμβάνει, κατ’ ελάχιστον, τις παρεχόμενες βασικές υπηρεσίες, τους τομείς και υποτομείς, βασικά λειτουργικά χαρακτηριστικά, στοιχεία επικοινωνίας, γεωχωρικά στοιχεία, καθώς και πληροφορίες ανθεκτικότητας και διαχείρισης κινδύνων. Η Γ.Γ.Π.Κ.Ο. ασκεί κεντρική διακυβέρνηση δεδομένων, με πρότυπα ποιότητας (ακρίβεια, πληρότητα, συνέπεια, επικαιρότητα, ιχνηλασιμότητα), τήρηση ιστορικότητας των μεταβολών και ενσωμάτωση των αρχών «privacy by design» και «security by design».

Η ενημέρωση του Μητρώου είναι συνεχής: οι κρίσιμες οντότητες υποχρεούνται να τηρούν ακριβή και επικαιροποιημένα στοιχεία και να συνεργάζονται με τη Γ.Γ.Π.Κ.Ο., η οποία διενεργεί ελέγχους πληρότητας και διασταυρώσεις. Η πρόσβαση είναι διαβαθμισμένη, με βάση τις αρχές της αναγκαιότητας γνώσης (need-to-know) και της ελάχιστης αναγκαίας πρόσβασης, μέσω ασφαλών και κρυπτογραφημένων διασυνδέσεων και με τήρηση αρχείων ελέγχου (audit logs). Το Μητρώο φιλοξενείται σε ελεγχόμενο κρατικό περιβάλλον με πρόβλεψη επιχειρησιακής συνέχειας και ανάκαμψης, ευθυγραμμίζεται με αναγνωρισμένα πρότυπα ασφάλειας πληροφοριών (σειρά ISO/IEC 27000) και είναι διαλειτουργικό με τα τομεακά μητρώα, το μητρώο του πλαισίου NIS2, λοιπές εθνικές βάσεις και συναφή ευρωπαϊκά συστήματα. Η επεξεργασία δεδομένων διέπεται από τον Γενικό Κανονισμό (ΕΕ) 2016/679 (G.D.P.R.) και το αντίστοιχο εθνικό πλαίσιο (ν .4624/2019, Α΄ 137), με τη Γ.Γ.Π.Κ.Ο. ως υπεύθυνη επεξεργασίας, με σεβασμό προς την προστασία της εθνικής ασφάλειας, των διαβαθμισμένων πληροφοριών και του εμπορικού και βιομηχανικού απορρήτου.

10.5 Κρίσιμες οντότητες ιδιαίτερου ευρωπαϊκού ενδιαφέροντος

Κατά το άρθρο 18 του ν. 5236/2025, ως κρίσιμη οντότητα ιδιαίτερου ευρωπαϊκού ενδιαφέροντος θεωρείται εκείνη που έχει προσδιορισθεί ως κρίσιμη και παρέχει τις ίδιες ή παρεμφερείς βασικές υπηρεσίες προς ή εντός έξι (6) ή περισσότερων κρατών μελών. Η οντότητα ενημερώνει αμελλητί τη Γ.Γ.Π.Κ.Ο. για τις υπηρεσίες και τα κράτη μέλη που αφορά και η Γ.Γ.Π.Κ.Ο. κοινοποιεί τα στοιχεία στην Ευρωπαϊκή Επιτροπή χωρίς αδικαιολόγητη καθυστέρηση. Αντιστρόφως, εφόσον η Επιτροπή ενημερώσει σχετικά, η Γ.Γ.Π.Κ.Ο. ειδοποιεί επισήμως την οντότητα για τον χαρακτηρισμό και τις πρόσθετες υποχρεώσεις που απορρέουν.

Για τις οντότητες ιδιαίτερου ευρωπαϊκού ενδιαφέροντος, η Ευρωπαϊκή Επιτροπή δύναται να διοργανώνει, κατόπιν αιτήματος της χώρας ή με δική της πρωτοβουλία και τη σύμφωνη γνώμη της χώρας, συμβουλευτικές αποστολές για την αξιολόγηση των μέτρων που έχουν ληφθεί.

10.6 Επαναξιολόγηση

Ο κατάλογος των κρίσιμων οντοτήτων επανεξετάζεται όποτε κρίνεται απαραίτητο και τουλάχιστον ανά τετραετία. Οι οντότητες που δεν προσδιορίζονται πλέον ως κρίσιμες ειδοποιούνται εγκαίρως και ενημερώνονται ότι παύουν να υπέχουν τις σχετικές υποχρεώσεις.