Η Εθνική Στρατηγική Ανθεκτικότητας Κρίσιμων Οντοτήτων 2026-2030 αποτελεί το ενιαίο κατευθυντήριο πλαίσιο της χώρας για την προστασία της συνέχειας των ουσιωδών υπηρεσιών των κρίσιμων οντοτήτων στους 12 τομείς που ορίζονται στο Παράρτημα του ν. 5236/2025 (Α’ 175) και την ενίσχυση της ανθεκτικότητας τους έναντι πάσης φύσεως κινδύνων και απειλών. Εδράζεται στο ν. 5236/2025 που ενσωματώνει τις απαιτήσεις της Οδηγίας CER στο ελληνικό δίκαιο, αλλά δεν εξαντλείται σε αυτές. Στόχος αποτελεί η μετάβαση της έννοιας της ανθεκτικότητας από κανονιστική υποχρέωση σε σταθερή λειτουργία του κράτους και κοινή «κουλτούρα».

Η επιτυχία της θα κριθεί στην εφαρμογή. Γι’ αυτό η Στρατηγική συνοδεύεται από σαφείς στόχους, μετρήσιμους δείκτες, χρονικά προσδιορισμένα ορόσημα και χωριστό Σχέδιο Υλοποίησης, που θα αποτυπώνει συγκεκριμένες δράσεις και παραδοτέα. Τίθεται σε διαβούλευση και αναθεωρείται τακτικά. Παραμένει ένα «δυναμικό κείμενο», το οποίο προσαρμόζεται, καθώς το εθνικό σύστημα ανθεκτικότητας ωριμάζει και το τοπίο των απειλών μεταβάλλεται.

Η ανθεκτικότητα οικοδομείται σταδιακά και απαιτεί διαρκή και συντονισμένη προσπάθεια.

10.1 Κριτήρια χαρακτηρισμού

Κατά το άρθρο 7 παρ. 2 του ν. 5236/2025, για τον χαρακτηρισμό μιας οντότητας ως κρίσιμης πρέπει να συντρέχουν σωρευτικά τα ακόλουθα τρία κριτήρια:

Η οντότητα παρέχει μία ή περισσότερες βασικές υπηρεσίες.

Δραστηριοποιείται στην ελληνική επικράτεια, όπου βρίσκεται και η υποδομή ζωτικής σημασίας που την παρέχει.

Τυχόν περιστατικό σε βάρος της θα προκαλούσε σημαντική διαταραχή στην παροχή της βασικής υπηρεσίας ή άλλων βασικών υπηρεσιών που εξαρτώνται από αυτήν.

10.2 Διαδικασία προσδιορισμού και κοινοποίηση

Η αξιολόγηση κάθε υποψήφιας οντότητας ακολουθεί τρία διαδοχικά στάδια, ώστε ο χαρακτηρισμός να στηρίζεται σε πλήρη, συγκρίσιμη και επαληθεύσιμη τεκμηρίωση:

Στάδιο 1, Έναρξη και συλλογή στοιχείων: η διαδικασία εκκινεί περιοδικά, κατόπιν εισήγησης της οικείας Τομεακής Αρχής/Φορέα/Υπηρεσίας, αυτεπάγγελτα από τη Γ.Γ.Π.Κ.Ο. ή όταν μεταβληθούν ουσιωδώς τα χαρακτηριστικά μιας οντότητας. Συγκεντρώνονται τα αναγκαία στοιχεία, όπως οι παρεχόμενες βασικές υπηρεσίες, υποδομές ζωτικής σημασίας, γεωγραφική εμβέλεια και εξυπηρετούμενοι χρήστες, αλληλεξαρτήσεις και βαθμός εξάρτησης άλλων υπηρεσιών, υφιστάμενα μέτρα ανθεκτικότητας και τυχόν προηγούμενα σοβαρά περιστατικά.

Στάδιο 2, Αξιολόγηση των κριτηρίων: εξετάζεται η σωρευτική πλήρωση των τριών κριτηρίων του άρθρου 7 του ν. 5236/2025. Για το τρίτο κριτήριο, τη σημαντική διαταραχή, ο δυνητικός αντίκτυπος βαθμολογείται σε πενταβάθμια κλίμακα, με ενιαία, μετρήσιμα κριτήρια που εξειδικεύουν τα κριτήρια του άρθρου 8 του ίδιου νόμου. Συγκεκριμένα, αξιολογούνται:

Ο αριθμός χρηστών που εξαρτώνται από τη βασική υπηρεσία που παρέχεται από την αξιολογούμενη οντότητα,

Η γεωγραφική έκταση που θα μπορούσε να επηρεαστεί από ένα περιστατικό στην οντότητα (συμπεριλαμβανομένου του διασυνοριακού αντικτύπου και της ευαλωτότητας γεωγραφικά απομονωμένων περιοχών: νησιωτικών, απομακρυσμένων, ορεινών),

Οι πιθανολογούμενες ανθρώπινες απώλειες από ένα περιστατικό στην οντότητα,

Ο οικονομικός, περιβαλλοντικός και κοινωνικοπολιτικός αντίκτυπος που θα προκαλούσε ένα περιστατικό στην οντότητα,

Ο αντίκτυπος στη δημόσια υγεία, ασφάλεια και προστασία του πληθυσμού από ένα περιστατικό στην οντότητα,

Ο βαθμός εξάρτησης άλλων τομέων και υποτομέων από τη βασική υπηρεσία που παρέχει η οντότητα,

Το μερίδιο αγοράς της οντότητας στην περιοχή της συγκεκριμένης βασικής υπηρεσίας ή των οικείων βασικών υπηρεσιών,

Η σημασία της οντότητας για τη διατήρηση επαρκούς επιπέδου της βασικής υπηρεσίας, λαμβανομένων υπόψη των διαθέσιμων εναλλακτικών μέσων για την παροχή της εν λόγω βασικής υπηρεσίας.

Συμπληρωματικά, δύνανται να συνεκτιμώνται η συνδεσιμότητα και ο τυχόν ρυθμιστικός ρόλος της οντότητας, ο εκτιμώμενος χρόνος αποκατάστασης της υπηρεσίας και η ύπαρξη στρατηγικών αποθεμάτων.

Από τη μέση βαθμολογία προκύπτει το επίπεδο της δυνητικής διαταραχής:

Χαμηλή,

Σημαντική,

Υψηλή

Στάδιο 3, Χαρακτηρισμός και φάκελος αξιολόγησης: εφόσον η δυνητική διαταραχή αξιολογηθεί ως σημαντική ή υψηλή, η οντότητα χαρακτηρίζεται κρίσιμη με απόφαση του Γενικού Γραμματέα Προστασίας Κρίσιμων Οντοτήτων. Για κάθε αξιολόγηση τηρείται στο Μητρώο πλήρης φάκελος:

Ταυτοποίηση της οντότητας,

Πίνακας βασικών υπηρεσιών,

Φύλλο βαθμολόγησης με τεκμηρίωση κάθε κρίσης,

Εισήγηση και τελική απόφαση.

Εντός ενός (1) μηνός από τον χαρακτηρισμό, η οντότητα ειδοποιείται για τις υποχρεώσεις που αναλαμβάνει, ενώ ο κατάλογος κοινοποιείται, ολικώς ή μερικώς και κατά περίπτωση, στα λοιπά εμπλεκόμενα μέρη. Η Γ.Γ.Π.Κ.Ο. υποβάλλει στην Ευρωπαϊκή Επιτροπή, όποτε απαιτείται και τουλάχιστον ανά τετραετία, τις προβλεπόμενες πληροφορίες, όπως τυχόν πρόσθετες βασικές υπηρεσίες, αριθμό κρίσιμων οντοτήτων ανά τομέα και υπηρεσία, εφαρμοζόμενα κατώτατα όρια (άρθρο 7 παρ. 9 του ν. 5236/2025 και άρθρο 7 παρ. 2 της CER). Η περαιτέρω εξειδίκευση, δείκτες ανά τομέα, όρια βαθμολόγησης, συμπληρωματικά τομεακά κριτήρια μέσω ομάδων εστίασης, αποτυπώνονται στο Σχέδιο Υλοποίησης και στις εκδοθείσες πράξεις σύμφωνα με το άρθρο 24 του ν. 5236/2025.

10.3 Ελάχιστα βιώσιμα επίπεδα υπηρεσίας

Σε στρατηγικό επίπεδο υιοθετείται η αρχή των ελάχιστων βιώσιμων επιπέδων υπηρεσίας. Για κάθε ουσιώδη υπηρεσία προσδιορίζονται ανεκτά όρια διαταραχής και προτεραιότητες αποκατάστασης, ώστε ακόμη και υπό συνθήκες κρίσης να διατηρείται ένα ελάχιστο αποδεκτό επίπεδο λειτουργίας. Η ποσοτικοποίηση των ορίων αυτών ανά τομέα και ο καθορισμός κατώτατων ορίων για αποδεκτούς, ανεκτούς και μη αποδεκτούς κινδύνους εξειδικεύεται στο Σχέδιο Υλοποίησης.

10.4 Εθνικό Μητρώο Κρίσιμων Οντοτήτων

Οι χαρακτηρισμένες κρίσιμες οντότητες εγγράφονται στο Εθνικό Μητρώο Κρίσιμων Οντοτήτων, που τηρεί η Γ.Γ.Π.Κ.Ο. Πέρα από τη διοικητική καταγραφή, το Μητρώο λειτουργεί ως μηχανισμός εθνικής εποπτείας, εκτίμησης κινδύνου και επιχειρησιακού συντονισμού. Η πλήρης και αναλυτική λειτουργία του και τα τεχνικά χαρακτηριστικά του, εξειδικεύονται στο Σχέδιο Υλοποίησης και στην εκδοθησομένη Κ.Υ.Α. του άρθρου 24 παρ. 5 του ν. 5236/2025).

Το Μητρώο λειτουργεί ως κεντρικό πληροφοριακό σύστημα του εθνικού πλαισίου ανθεκτικότητας και ως μηχανισμός διαχείρισης γνώσης, χωρίς να θίγει τις αρμοδιότητες των Τομεακών Αρμόδιων Αρχών/Φορέων/Υπηρεσιών. Η συγκρότηση και η λειτουργία του διέπονται από τις αρχές της αναγκαιότητας, της αναλογικότητας, της ακρίβειας και επικαιρότητας των δεδομένων, της διαλειτουργικότητας, της προστασίας διαβαθμισμένων πληροφοριών, της λογοδοσίας και της ασφάλειας πληροφοριακών συστημάτων.

Κάθε κρίσιμη οντότητα καταχωρίζεται με μοναδικό αναγνωριστικό κωδικό, που επιτρέπει την ασφαλή αναγνώριση και διασύνδεση της εγγραφής σε όλα τα συναφή συστήματα (CER, NIS2, DORA, FDI) και την αποφυγή διπλής υποβολής στοιχείων. Η εγγραφή περιλαμβάνει, κατ’ ελάχιστον, τις παρεχόμενες βασικές υπηρεσίες, τους τομείς και υποτομείς, βασικά λειτουργικά χαρακτηριστικά, στοιχεία επικοινωνίας, γεωχωρικά στοιχεία, καθώς και πληροφορίες ανθεκτικότητας και διαχείρισης κινδύνων. Η Γ.Γ.Π.Κ.Ο. ασκεί κεντρική διακυβέρνηση δεδομένων, με πρότυπα ποιότητας (ακρίβεια, πληρότητα, συνέπεια, επικαιρότητα, ιχνηλασιμότητα), τήρηση ιστορικότητας των μεταβολών και ενσωμάτωση των αρχών «privacy by design» και «security by design».

Η ενημέρωση του Μητρώου είναι συνεχής: οι κρίσιμες οντότητες υποχρεούνται να τηρούν ακριβή και επικαιροποιημένα στοιχεία και να συνεργάζονται με τη Γ.Γ.Π.Κ.Ο., η οποία διενεργεί ελέγχους πληρότητας και διασταυρώσεις. Η πρόσβαση είναι διαβαθμισμένη, με βάση τις αρχές της αναγκαιότητας γνώσης (need-to-know) και της ελάχιστης αναγκαίας πρόσβασης, μέσω ασφαλών και κρυπτογραφημένων διασυνδέσεων και με τήρηση αρχείων ελέγχου (audit logs). Το Μητρώο φιλοξενείται σε ελεγχόμενο κρατικό περιβάλλον με πρόβλεψη επιχειρησιακής συνέχειας και ανάκαμψης, ευθυγραμμίζεται με αναγνωρισμένα πρότυπα ασφάλειας πληροφοριών (σειρά ISO/IEC 27000) και είναι διαλειτουργικό με τα τομεακά μητρώα, το μητρώο του πλαισίου NIS2, λοιπές εθνικές βάσεις και συναφή ευρωπαϊκά συστήματα. Η επεξεργασία δεδομένων διέπεται από τον Γενικό Κανονισμό (ΕΕ) 2016/679 (G.D.P.R.) και το αντίστοιχο εθνικό πλαίσιο (ν .4624/2019, Α΄ 137), με τη Γ.Γ.Π.Κ.Ο. ως υπεύθυνη επεξεργασίας, με σεβασμό προς την προστασία της εθνικής ασφάλειας, των διαβαθμισμένων πληροφοριών και του εμπορικού και βιομηχανικού απορρήτου.

10.5 Κρίσιμες οντότητες ιδιαίτερου ευρωπαϊκού ενδιαφέροντος

Κατά το άρθρο 18 του ν. 5236/2025, ως κρίσιμη οντότητα ιδιαίτερου ευρωπαϊκού ενδιαφέροντος θεωρείται εκείνη που έχει προσδιορισθεί ως κρίσιμη και παρέχει τις ίδιες ή παρεμφερείς βασικές υπηρεσίες προς ή εντός έξι (6) ή περισσότερων κρατών μελών. Η οντότητα ενημερώνει αμελλητί τη Γ.Γ.Π.Κ.Ο. για τις υπηρεσίες και τα κράτη μέλη που αφορά και η Γ.Γ.Π.Κ.Ο. κοινοποιεί τα στοιχεία στην Ευρωπαϊκή Επιτροπή χωρίς αδικαιολόγητη καθυστέρηση. Αντιστρόφως, εφόσον η Επιτροπή ενημερώσει σχετικά, η Γ.Γ.Π.Κ.Ο. ειδοποιεί επισήμως την οντότητα για τον χαρακτηρισμό και τις πρόσθετες υποχρεώσεις που απορρέουν.

Για τις οντότητες ιδιαίτερου ευρωπαϊκού ενδιαφέροντος, η Ευρωπαϊκή Επιτροπή δύναται να διοργανώνει, κατόπιν αιτήματος της χώρας ή με δική της πρωτοβουλία και τη σύμφωνη γνώμη της χώρας, συμβουλευτικές αποστολές για την αξιολόγηση των μέτρων που έχουν ληφθεί.

10.6 Επαναξιολόγηση

Ο κατάλογος των κρίσιμων οντοτήτων επανεξετάζεται όποτε κρίνεται απαραίτητο και τουλάχιστον ανά τετραετία. Οι οντότητες που δεν προσδιορίζονται πλέον ως κρίσιμες ειδοποιούνται εγκαίρως και ενημερώνονται ότι παύουν να υπέχουν τις σχετικές υποχρεώσεις.