Κάθε κρίσιμη οντότητα διενεργεί δική της εκτίμηση κινδύνων και καταρτίζει σχέδιο ανθεκτικότητας, που εγκρίνεται και επικαιροποιείται περιοδικά. Με βάση αυτό το σχέδιο, λαμβάνει τεχνικά, οργανωτικά και λειτουργικά μέτρα που καλύπτουν, πέραν των προβλεπομένων στο άρθρο 14 ν. 5236/2025, Α’ 175:

Πρόληψη και μετριασμό κινδύνων, φυσική προστασία εγκαταστάσεων και προστασία έναντι υβριδικών και εσωτερικών απειλών.

Επιχειρησιακή συνέχεια, διαχείριση εκτάκτων αναγκών και ταχεία αποκατάσταση λειτουργιών, διασφάλιση εναλλακτικού δικτύου παροχής βασικής υπηρεσίας.

Ασφάλεια και αξιοπιστία του προσωπικού σε ευαίσθητες θέσεις, σύμφωνα με το θεσμικό πλαίσιο ελέγχου καταλληλότητας (άρθρο 15 ν. 5236/2025).

Διαχείριση και έγκαιρη κοινοποίηση περιστατικών στη Γ.Γ.Π.Κ.Ο (αρχική εντός 24 ωρών και αναλυτική έκθεση εντός 1 μηνός).

Τα μέτρα εφαρμόζονται με βάση την αρχή της αναλογικότητας προς το επίπεδο κινδύνου και κρισιμότητας. Τα μέτρα αυτά αποτελούν τις ελάχιστες απαιτήσεις. Οι κρίσιμες οντότητες δύνανται να λαμβάνουν πρόσθετα μέτρα ανθεκτικότητας πέραν αυτών.

Τι σημαίνει η Στρατηγική για μια κρίσιμη οντότητα

11.1 Εκτίμηση κινδύνων της οντότητας

Κάθε κρίσιμη οντότητα διενεργεί εκτίμηση κινδύνων εντός εννέα (9) μηνών από την ενημέρωσή της (άρθρο 13 του ν. 5236/2025, Α’ 175), εντοπίζοντας, αναλύοντας και αξιολογώντας όλους τους συναφείς φυσικούς και ανθρωπογενείς κινδύνους που θα μπορούσαν να προκαλέσουν περιστατικό, ατυχήματα, φυσικές καταστροφές, καταστάσεις έκτακτης ανάγκης δημόσιας υγείας, υβριδικές και άλλες κακόβουλες απειλές, συμπεριλαμβανομένης της τρομοκρατίας, καθώς και κινδύνους διατομεακού ή διασυνοριακού χαρακτήρα. Τα αποτελέσματα θεμελιώνουν αναλογικά, στοχευμένα και κατάλληλα μέτρα, λαμβάνοντας υπόψη το μέγεθος, τον τομέα δραστηριότητας, το επίπεδο έκθεσης και τις ιδιαίτερες λειτουργικές απαιτήσεις κάθε οντότητας και επικαιροποιούνται περιοδικά και τουλάχιστον ανά τετραετία.

11.2 Οι έξι κατηγορίες μέτρων ανθεκτικότητας

Τα μέτρα που λαμβάνει κάθε κρίσιμη οντότητα οργανώνονται, σύμφωνα με το άρθρο 14 του ν. 5236/2025, σε έξι αλληλένδετες κατηγορίες. Ο ακόλουθος πίνακας αποσαφηνίζει, σε στρατηγικό επίπεδο, τι συνεπάγεται κάθε κατηγορία.

Οι έξι κατηγορίες είναι αλληλένδετες. Η πρόληψη και η φυσική προστασία μειώνουν την πιθανότητα εκδήλωσης και την έκταση των περιστατικών, η ανταπόκριση και η αποκατάσταση περιορίζουν τις συνέπειες, ενώ η ασφάλεια προσωπικού και η ευαισθητοποίηση αφορούν το σύνολο των ανωτέρω κατηγοριών μέτρων ανθεκτικότητας. Για τις μικρομεσαίες οντότητες, η εφαρμογή τους κλιμακώνεται αναλογικά.

Οι κατηγορίες αυτές καλύπτουν τον πλήρη κύκλο διαχείρισης κινδύνου και επιχειρησιακής λειτουργίας. Τα μέτρα φυσικής ανθεκτικότητας προσδιορίζονται σε συνέργεια με τα μέτρα ψηφιακής ανθεκτικότητας, όπου απαιτείται, καθώς είναι αλληλένδετα.

11.3 Αξιοπιστία και καταλληλότητα προσωπικού

Οι κρίσιμες οντότητες δύνανται να υποβάλλουν αίτημα προς τις αρμόδιες Υπηρεσίες, σύμφωνα με τις προβλέψεις του ν. 5236/2025 και συναφή εθνικά θεσμικά κείμενα, για έλεγχο ιστορικού προσώπων που κατέχουν (ή πρόκειται να αναλάβουν) ευαίσθητες θέσεις ή διαθέτουν άμεση ή εξ αποστάσεως πρόσβαση σε εγκαταστάσεις, συστήματα και κρίσιμες πληροφορίες. Ο έλεγχος αποσκοπεί στη μείωση κινδύνων από εσωτερικές απειλές (δολιοφθορά, απάτη, μη εξουσιοδοτημένη πρόσβαση) και περιλαμβάνει κατ’ ελάχιστον την επιβεβαίωση της ταυτότητας και τον έλεγχο στοιχείων ποινικού μητρώου για αδικήματα συναφή με τη θέση. Για υπηκόους τρίτων χωρών δύναται να αξιοποιείται το Ευρωπαϊκό Σύστημα Πληροφοριών Ποινικού Μητρώου (ECRIS). Ο έλεγχος πραγματοποιείται από τους αρμόδιους Φορείς/Υπηρεσίες, σε συνεργασία με τη Γ.Γ.Π.Κ.Ο. Ο έλεγχος διενεργείται με πλήρη σεβασμό στο πλαίσιο εγγυήσεων της νομοθεσίας για την προστασία δεδομένων προσωπικού χαρακτήρα και της εργατικής νομοθεσίας.

11.4 Διαχείριση και κοινοποίηση περιστατικών

Κατά το άρθρο 16 του ελληνικού νόμου, (ν. 5236/2025, Α’ 175) οι κρίσιμες οντότητες κοινοποιούν στη Γ.Γ.Π.Κ.Ο., χωρίς αδικαιολόγητη καθυστέρηση, περιστατικά που έχουν προκαλέσει ή δύνανται να προκαλέσουν σημαντική διατάραξη στην παροχή των βασικών υπηρεσιών. Η κοινοποίηση είναι κλιμακωτή και εξελικτική:

Αρχική ειδοποίηση εντός είκοσι τεσσάρων (24) ωρών από τη στιγμή που η οντότητα λαμβάνει γνώση του περιστατικού,

Υποβολή λεπτομερούς έκθεσης εντός ενός (1) μηνός.

Η κοινοποίηση περιλαμβάνει κάθε διαθέσιμη πληροφορία αναγκαία για την κατανόηση της φύσης, των αιτίων και των πιθανών συνεπειών του περιστατικού, ιδίως τον αριθμό και το ποσοστό των χρηστών που επηρεάζονται, τη διάρκεια και τη γεωγραφική έκταση της διαταραχής. Με βάση την κοινοποίηση, η Γ.Γ.Π.Κ.Ο. ενημερώνει άλλες δυνητικά επηρεαζόμενες οντότητες, ιδίως σε περιπτώσεις αλυσιδωτής ή διατομεακής επίδρασης και παρέχει κατευθύνσεις και υποστηρικτικές πληροφορίες για την αποτελεσματική αντιμετώπιση. Εφόσον το επιβάλλει το δημόσιο συμφέρον, η Γ.Γ.Π.Κ.Ο. δύναται να ενημερώνει το κοινό για το περιστατικό, σε συνεννόηση με την οικεία οντότητα.

Όπου ενδείκνυται, ενημερώνονται οι αποδέκτες της παρεχόμενης υπηρεσίας (της επηρεαζόμενης κρίσιμης οντότητας), για περιστατικά που ενδέχεται να τους επηρεάσουν, ενώ σε περιστατικά με διασυνοριακό αντίκτυπο, ειδοποιούνται, μέσω της Γ.Γ.Π.Κ.Ο., τα αντίστοιχα σημεία επαφής των επηρεαζόμενων κρατών μελών και η Ευρωπαϊκή Επιτροπή.

11.5 Σχέδιο Ανθεκτικότητας, πρότυπα και σημείο επαφής

Κάθε κρίσιμη οντότητα διαθέτει και εφαρμόζει Σχέδιο Ανθεκτικότητας ή ισοδύναμο έγγραφο που αποτυπώνει το σύνολο των μέτρων, αξιοποιώντας υφιστάμενα έγγραφα, εφόσον καλύπτουν τις απαιτήσεις, που έχουν καταρτιστεί στο πλαίσιο άλλων νομικών υποχρεώσεων, υπό την αξιολόγηση και εποπτεία της Γ.Γ.Π.Κ.Ο. Οι οντότητες ενθαρρύνονται να υιοθετούν εθνικά, ευρωπαϊκά και διεθνώς αναγνωρισμένα πρότυπα και πλαίσια αναφοράς, προσαρμοσμένα στο προφίλ κινδύνου τους, ενώ οι διαδικασίες πιστοποίησης και περιοδικής αξιολόγησης λειτουργούν ως εργαλεία επαλήθευσης της επάρκειας και αποτελεσματικότητας των μέτρων. Τέλος, κάθε οντότητα ορίζει Υπεύθυνο Ανθεκτικότητας ως σημείο επαφής με τη Γ.Γ.Π.Κ.Ο., για το συντονισμό της επικοινωνίας, την υποστήριξη της συμμόρφωσης και τη διαχείριση των αναφορών περιστατικών. Η Γ.Γ.Π.Κ.Ο. δύναται να εκδίδει, ανά τομέα και υποτομέα, ελάχιστες απαιτήσεις τεχνικών και οργανωτικών μέτρων ασφάλειας, καθώς και οδηγίες για την εκπόνηση των σχεδίων ανθεκτικότητας.

Η Στρατηγική προωθεί τη χρήση διεθνών και ευρωπαϊκών προτύπων ως κοινή βάση. Οι τεχνικές προδιαγραφές και οι μηχανισμοί διασφάλισης συμμόρφωσης εξειδικεύονται σε τομεακό επίπεδο, με στόχο τη συγκρισιμότητα και την αποφυγή περιττής επιβάρυνσης.

11.6 Ειδική μέριμνα για μικρομεσαίες επιχειρήσεις (ΜμΕ)

Ορισμένες κρίσιμες οντότητες, πιθανά να είναι μικρομεσαίες επιχειρήσεις (Small and Medium Enterprises/SME) με περιορισμένους πόρους. Για αυτές, η Στρατηγική προβλέπει στοχευμένη στήριξη, όπως απλοποιημένα υποδείγματα και οδηγούς, τεχνική καθοδήγηση από τη Γ.Γ.Π.Κ.Ο., προτεραιότητα στα προγράμματα εκπαίδευσης και προνομιακή πρόσβαση σε χρηματοδοτικά εργαλεία.

Η εφαρμογή των απαιτήσεων λαμβάνει υπόψη τα ιδιαίτερα χαρακτηριστικά, το μέγεθος, τους διαθέσιμους πόρους και τις οργανωτικές δυνατότητες των μικρών και μεσαίων επιχειρήσεων (ΜμΕ) που έχουν χαρακτηρισθεί ως κρίσιμες οντότητες. Ως ΜμΕ νοούνται οι επιχειρήσεις κατά τη Σύσταση της Επιτροπής 2003/361/ΕΚ της 6ης Μαΐου 2003 σχετικά με τον ορισμό των πολύ μικρών, των μικρών και των μεσαίων επιχειρήσεων (L 124/36, 20.5.2003):

Μεσαίες (κάτω των 250 εργαζομένων και κύκλος εργασιών έως 50 εκατ. ευρώ ή ισολογισμός έως 43 εκατ. ευρώ),

Μικρές (κάτω των 50 εργαζομένων και έως 10 εκατ. ευρώ) και πολύ μικρές (κάτω των 10 εργαζομένων και έως 2 εκατ. ευρώ).

Με βάση την αρχή της αναλογικότητας, η συμμόρφωση επιδιώκεται χωρίς δυσανάλογη διοικητική, οργανωτική ή οικονομική επιβάρυνση σε σχέση με το μέγεθος, το επίπεδο κινδύνου και τη φύση των παρεχόμενων υπηρεσιών, μέσω:

Κατευθυντήριων οδηγιών, υποδειγμάτων και απλοποιημένων μεθοδολογικών εργαλείων προσαρμοσμένων στις ανάγκες και τις δυνατότητες των ΜμΕ.

Τεχνικής καθοδήγησης, συστάσεων και υποστηρικτικών πληροφοριών από τη Γ.Γ.Π.Κ.Ο. και άλλους εμπλεκόμενους Φορείς/Υπηρεσίες.

Δράσεων ενημέρωσης, κατάρτισης και ευαισθητοποίησης, καθώς και ανταλλαγής εμπειρίας και βέλτιστων πρακτικών.

Διευκόλυνσης της πρόσβασης σε εθνικά και ευρωπαϊκά χρηματοδοτικά εργαλεία και κλιμακούμενων, εύλογων προθεσμιών συμμόρφωσης.

Στην πράξη, η αναλογική εφαρμογή σημαίνει ότι μια μικρομεσαία κρίσιμη οντότητα δεν αντιμετωπίζεται όπως, π.χ. ένας μεγάλος διαχειριστής δικτύου. Το Σχέδιο Ανθεκτικότητάς της μπορεί να ακολουθεί απλοποιημένο υπόδειγμα, τα μέτρα κλιμακώνονται με βάση το πραγματικό προφίλ κινδύνου και τις υπηρεσίες που παρέχει, ενώ οι προθεσμίες συμμόρφωσης ορίζονται με ρεαλισμό, σε συνεννόηση με την οικεία Τομεακή Αρμόδια Αρχή/Φορέα/Υπηρεσία.

Κεντρικό εργαλείο στήριξης αποτελεί το Μητρώο Κ.Ο., το οποίο θα λειτουργεί ως ψηφιακή πύλη, μέσω της οποίας οι ΜμΕ αποκτούν πρόσβαση σε εργαλεία αυτοαξιολόγησης, απλοποιημένα υποδείγματα, τομεακούς οδηγούς και απαντήσεις σε συχνά ερωτήματα. Η Γ.Γ.Π.Κ.Ο. λειτουργεί ως σημείο επαφής για την καθοδήγησή τους, ενώ τα προγράμματα εκπαίδευσης του Παραρτήματος Ε΄ δύνανται να προσφέρονται σε αυτές με χαμηλό κόστος ή επιδοτούμενα, με προτεραιότητα στην κατάρτιση των Υπευθύνων Ανθεκτικότητας.

Ως προς τη χρηματοδότηση, οι ΜμΕ έχουν προνομιακή πρόσβαση στα εθνικά και ευρωπαϊκά χρηματοδοτικά εργαλεία (π.χ. Ταμείο Εσωτερικής Ασφάλειας, προγράμματα ΕΣΠΑ) και αποτελούν κατηγορία προτεραιότητας του προτεινόμενου Ε.Τ.Α.Κ.Ο. Παράλληλα, η Γ.Γ.Π.Κ.Ο. παρακολουθεί το διοικητικό βάρος της συμμόρφωσης και εισηγείται απλουστεύσεις, ώστε η ένταξη στο εθνικό πλαίσιο ανθεκτικότητας να λειτουργεί ως υποστηριζόμενη μετάβαση και όχι ως δυσανάλογη επιβάρυνση.