Ο περί Ασφάλειας Δικτύων και Συστημάτων Πληροφοριών Νόμος του 2020 - 89(I)/2020

Ο περί Ασφάλειας Δικτύων και Συστημάτων Πληροφοριών Νόμος του 2020 - 89(I)/2020 ΠΑΓΚΥΠΡΙΟΣ ΔΙΚΗΓΟΡΙΚΟΣ ΣΥΛΛΟΓΟΣ CyLaw | Αναφορικά μ'εμάς | Επικοινωνία Κατάλογος Ενοποιημένης Νομοθεσίας Ο περί Ασφάλειας Δικτύων και Συστημάτων Πληροφοριών Νόμος του 2020 (89(I)/2020) Περιεχόμενα Πλήρες Κείμενο Εκτύπωση Ιστορικό Τροποποιήσεων 89(I)/2020 60(I)/2025 ΔΙΟΡΘ. Παρ. Ι(Ι), Ε.Ε. 5043, ημ. 25.6.2025 Προοίμιο (α)Για σκοπούς εναρμόνισης με την πράξη της Ευρωπαϊκής Ένωσης με τίτλο: “Οδηγία (ΕΕ) 2022/2555 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 14ης Δεκεμβρίου 2022 σχετικά με μέτρα για υψηλό κοινό επίπεδο κυβερνοασφάλειας σε ολόκληρη την Ένωση, την τροποποίηση του κανονισμού (ΕΕ) αριθ. 910/20214 και της οδηγίας (ΕΕ) 2018/1972, και για την κατάργηση της οδηγίας (ΕΕ) 2016/1148 (οδηγία NIS 2)”· και (β)για σκοπούς μερικής εναρμόνισης με την πράξη της Ευρωπαϊκής Ένωσης με τίτλο: “Οδηγία 2014/53/ΕΕ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 16ης Απριλίου 2014 σχετικά με την εναρμόνιση των νομοθεσιών των κρατών μελών σχετικά με τη διαθεσιμότητα ραδιοεξοπλισμού στην αγορά και την κατάργηση της οδηγίας 1999/5/ΕΚ”.

Συνοπτικός τίτλος

Άρθρο 1

89(I)/2020 ΜΕΡΟΣ ΠΡΩΤΟ ΓΕΝΙΚΕΣ – ΕΡΜΗΝΕΥΤΙΚΕΣ ΔΙΑΤΑΞΕΙΣ Εξαιρέσεις από το πεδίο εφαρμογής

Άρθρο 2

2.-(1) [Διαγράφηκε].

2(α) Ο παρών Νόμος εφαρμόζεται με την επιφύλαξη της ευθύνης της Δημοκρατίας για τη διαφύλαξη της εθνικής ασφάλειας και του κυριαρχικού της δικαιώματος να διαφυλάσσει άλλες ουσιώδεις λειτουργίες της Δημοκρατίας, συμπεριλαμβανομένων της διασφάλισης της εδαφικής της ακεραιότητας και της διατήρησης της δημόσιας τάξης. (β) Με την επιφύλαξη των διατάξεων του εδαφίου (4), ο παρών Νόμος δεν εφαρμόζεται σε οντότητες δημόσιας διοίκησης οι οποίες ασκούν τις δραστηριότητές τους στους τομείς της εθνικής ασφάλειας, της δημόσιας τάξης, της άμυνας ή της επιβολής του νόμου, συμπεριλαμβανομένων της πρόληψης, της διερεύνησης και της δίωξης ποινικών αδικημάτων.

89(I)/2020 60(I)/2025 Πεδίο εφαρμογής 2Α.-(1)(α) Ο παρών Νόμος εφαρμόζεται σε δημόσιες ή ιδιωτικές οντότητες ο τύπος των οποίων αναφέρεται στο Παράρτημα Ι ή ΙΙ, οι οποίες, δυνάμει του άρθρου 2 του Παραρτήματος της Σύστασης 2003/361/ΕΚ, χαρακτηρίζονται ως μεσαίες επιχειρήσεις ή υπερβαίνουν τα ανώτατα όρια για τις μεσαίες επιχειρήσεις που αναφέρονται στο εν λόγω άρθρο και οι οποίες παρέχουν τις υπηρεσίες τους ή ασκούν τις δραστηριότητές τους εντός της Ένωσης. (β) Η παράγραφος 4 του άρθρου 3 του Παραρτήματος της Σύστασης 2003/361/ΕΚ δεν εφαρμόζεται για τους σκοπούς του παρόντος Νόμου.

Νοείται ότι, η επεξεργασία δεδομένων προσωπικού χαρακτήρα δυνάμει του παρόντος Νόμου από παροχείς δημόσιων δικτύων ηλεκτρονικών επικοινωνιών ή παροχείς διαθέσιμων στο κοινό υπηρεσιών ηλεκτρονικών επικοινωνιών πραγματοποιείται σύμφωνα με τον Κανονισμό (ΕΕ) 2016/679 σχετικά με την προστασία των δεδομένων, τον περί της Προστασίας των Φυσικών Προσώπων Έναντι της Επεξεργασίας των Δεδομένων Προσωπικού Χαρακτήρα και της Ελεύθερης Κυκλοφορίας των Δεδομένων αυτών Νόμο και σχετικά με την προστασία της ιδιωτικότητας τον περί Ρυθμίσεως Ηλεκτρονικών Επικοινωνιών και Ταχυδρομικών Υπηρεσιών Νόμο και τον περί Ρυθμίσεως Ηλεκτρονικών Επικοινωνιών Νόμο.

60(I)/2025 Ερμηνεία

Άρθρο 3

3.-(1) Στον παρόντα Νόμο, εκτός εάν από το κείμενο προκύπτει διαφορετική έννοια- «Αρχή» σημαίνει την Αρχή Ψηφιακής Ασφάλειας∙ «ασφάλεια συστημάτων δικτύου και πληροφοριών» σημαίνει την ικανότητα των συστημάτων δικτύου και πληροφοριών να ανθίστανται, σε δεδομένο επίπεδο εμπιστοσύνης, σε κάθε συμβάν που ενδέχεται να θέσει σε κίνδυνο τη διαθεσιμότητα, την αυθεντικότητα, την ακεραιότητα ή την εμπιστευ-τικότητα των αποθηκευμένων, διαβιβαζόμενων ή επεξεργασμένων δεδο-μένων ή των υπηρεσιών που προσφέρονται από τα εν λόγω συστήματα δικτύου και πληροφοριών ή είναι προσβάσιμες μέσω αυτών· «Βοηθός Επίτροπος» σημαίνει τον Βοηθό Επίτροπο Επικοινωνιών, που διορίζεται δυνάμει των διατάξεων του εδαφίου (2) του άρθρου 5 του περί Ρυθμίσεως Ηλεκτρονικών Επικοινωνιών και Ταχυδρομικών Υπηρεσιών Νόμου και συμβουλεύει και βοηθά τον Επίτροπο στην άσκηση των αρμοδιοτήτων, εξουσιών και καθηκόντων του, που προβλέπονται στον παρόντα Νόμο, και εκτελεί οποιαδήποτε άλλα καθήκοντα του ανατίθενται δυνάμει του παρόντος Νόμου· «Γραφείο» ή «ΓΕΡΗΕΤ» σημαίνει το Γραφείο του Επιτρόπου Επικοινωνιών που έχει συσταθεί δυνάμει των διατάξεων του περί Ρυθμίσεως Ηλεκτρονικών Επικοινωνιών και Ταχυδρομικών Υπηρεσιών Νόμου∙ «Δημοκρατία» σημαίνει την Κυπριακή Δημοκρατία· «δημόσιο δίκτυο ηλεκτρονικών επικοινωνιών» έχει την έννοια που αποδίδεται στον όρο αυτό στο άρθρο 5 του περί Ρυθμίσεως Ηλεκτρονικών Επικοινωνιών Νόμου∙ «διαδικασία τεχνολογίας πληροφοριών και επικοινωνιών» ή «διαδικασία ΤΠΕ» του Κανονισμού (ΕΕ) 2019/881· «δίκτυο» σημαίνει το δίκτυο εθνικών κέντρων συντονισμού∙ «Δίκτυο CSIRT» σημαίνει το δίκτυο το οποίο συγκροτείται και λειτουργεί δυνάμει των διατάξεων του άρθρου 15 της Οδηγίας (ΕΕ) 2022/2555· «δίκτυο διανομής περιεχομένου» σημαίνει το δίκτυο γεωγραφικά κατανεμημένων εξυπηρετητών το οποίο αποσκοπεί στη διασφάλιση υψηλής διαθεσιμότητας και προσβασιμότητας ή ταχείας παράδοσης ψηφιακού περιεχομένου και ψηφιακών υπηρεσιών στους χρήστες του διαδικτύου για λογαριασμό παρόχων περιεχομένου και υπηρεσιών· «δικτυακό και πληροφοριακό σύστημα» σημαίνει: (α) ένα δίκτυο ηλεκτρονικών επικοινωνιών όπως αυτό ορίζεται στις διατάξεις του εδαφίου (1) του άρθρου 4 του περί Ρυθμίσεως Ηλεκτρονικών Επικοινωνιών και Ταχυδρομικών Υπηρεσιών Νόμου, ή (β) κάθε συσκευή ή ομάδα διασυνδεδεμένων ή σχετιζόμενων συσκευών από τις οποίες μία ή περισσότερες εκτελούν, βάσει προγράμματος, αυτόματη επεξεργασία ψηφιακών δεδομένων, ή (γ) ψηφιακά δεδομένα που αποθηκεύονται, υποβάλλονται σε επεξεργασία, ανακτώνται ή μεταδίδονται από στοιχεία που καλύπτονται στις διατάξεις των παραγράφων (α) και (β) για τους σκοπούς της λειτουργίας, χρήσης, προστασίας και συντήρησής τους·

«εγκεκριμένη υπηρεσία εμπιστοσύνης» έχει την έννοια που αποδίδει στον όρο αυτό στο σημείο (17) το άρθρο 3 του Κανονισμού (ΕΕ) αριθ. 910/2014· «εγκεκριμένος παροχέας υπηρεσιών εμπιστοσύνης» έχει την έννοια που αποδίδει στον όρο αυτό στο σημείο (20) του άρθρου 3 του Κανονισμού (ΕΕ) αριθ. 910/2014· «εθνική στρατηγική κυβερνοασφάλειας» σημαίνει το συνεκτικό πλαίσιο της Δημοκρατίας το οποίο παρέχει στρατηγικούς στόχους και προτεραιότητες στον τομέα της κυβερνοασφάλειας και της διακυβέρνησης για την επίτευξή τους στη Δημοκρατία· «εθνικό CSIRT» σημαίνει τον εθνικό φορέα άμεσης ανταπόκρισης σε συμβάντα που σχετίζονται με την ασφάλεια δικτύων και συστημάτων πληροφοριών· «εκπρόσωπος» σημαίνει φυσικό ή νομικό πρόσωπο εγκατεστημένο είτε στη Δημοκρατία είτε σε άλλα κράτη μέλη το οποίο έχει οριστεί ρητά να ενεργεί εξ ονόματος παρόχου υπηρεσιών DNS, μητρώου ονομάτων TLD, οντότητας που παρέχει υπηρεσίες καταχώρισης ονομάτων τομέα, παρόχου υπηρεσιών υπολογιστικού νέφους, παρόχου υπηρεσιών κέντρου δεδομένων, παρόχου δικτύου διανομής περιεχομένου, παρόχου διαχειριζομένων υπηρεσιών, παρόχου διαχειριζομένων υπηρεσιών ασφάλειας, παρόχου επιγραμμικής αγοράς, επιγραμμικής μηχανής αναζήτησης ή πλατφόρμας υπηρεσιών κοινωνικής δικτύωσης ο οποίος δεν είναι εγκατεστημένος στη Δημοκρατία ή σε άλλο κράτος μέλος, στον οποίο μπορεί να απευθύνεται η Αρχή ή το εθνικό CSIRT αντί της ίδιας της οντότητας όσον αφορά τις υποχρεώσεις της εν λόγω οντότητας δυνάμει του παρόντος Νόμου· «ενιαίο σημείο επαφής» έχει την έννοια που αποδίδεται στον όρο αυτό δυνάμει των διατάξεων της παραγράφου (γ) του άρθρου 17 του παρόντος Νόμου∙ «επιγραμμική αγορά» σημαίνει την υπηρεσία η οποία χρησιμοποιεί λογισμικό, συμπεριλαμβανομένου ιστότοπου, μέρους ιστοτόπου ή εφαρμογής, το οποίο διαχειρίζεται έμπορος ή άλλος εξ ονόματος του εμπόρου, και η οποία επιτρέπει στους καταναλωτές να συνάπτουν εξ αποστάσεως συμβάσεις με άλλους εμπόρους ή καταναλωτές χρησιμοποιώντας λογισμικό, συμπεριλαμβα-νομένου ιστότοπου, μέρους ιστότοπου ή εφαρμογής, το οποίο διαχειρίζεται έμπορος ή άλλος εξ ονόματος του εμπόρου· «επιγραμμική μηχανή αναζήτησης» έχει την έννοια που αποδίδεται στον όρο αυτό στο σημείο 5) του άρθρου 2 του Κανονισμού (ΕΕ) 2019/1150 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 20ης Ιουνίου 2019 για την προώθηση της δίκαιης μεταχείρισης και της διαφάνειας για τους επιχειρηματικούς χρήστες επιγραμμικών υπηρεσιών διαμεσολάβησης· «Επίτροπος» σημαίνει τον Επίτροπο Επικοινωνιών, που διορίζεται δυνάμει των διατάξεων του εδαφίου (1) του άρθρου 5 του περί Ρυθμίσεως Ηλεκτρονικών Επικοινωνιών και Ταχυδρομικών Υπηρεσιών Νόμου·

«Επιτροπή» σημαίνει την Επιτροπή της Ευρωπαϊκής Ένωσης· «ερευνητική δραστηριότητα» σημαίνει τη διεξαγωγή εφαρμοσμένης έρευνας ή πειραματικής ανάπτυξης, κατά τα προβλεπόμενα στο εγχειρίδιο Frascati 2015 του Οργανισμού Οικονομικής Συνεργασίας και Ανάπτυξης με τίτλο “Κατευθυντήριες γραμμές για τη συλλογή και την υποβολή δεδομένων σχετικά με την έρευνα και την πειραματική ανάπτυξη, με σκοπό την εκμετάλλευση των αποτελεσμάτων τους για εμπορικούς σκοπούς, όπως η κατασκευή ή η ανάπτυξη ενός προϊόντος ή μιας διαδικασίας ή παροχή μίας υπηρεσίας ή η εμπορία αυτών”∙ «ερευνητικός οργανισμός» σημαίνει το είδος της οντότητας που περιλαμβάνεται στο Παράρτημα ΙΙ η οποία έχει ως πρωταρχικό στόχο τη διεξαγωγή εφαρμοσμένης έρευνας ή πειραματικής ανάπτυξης με σκοπό την εκμετάλλευση των αποτελεσμάτων της εν λόγω έρευνας για εμπορικούς σκοπούς και δεν περιλαμβάνει εκπαιδευτικό ίδρυμα∙ «ευπάθεια» σημαίνει την αδυναμία, την ευαισθησία ή το ελάττωμα προϊόντων ΤΠΕ ή υπηρεσιών ΤΠΕ που δυνατόν να αποτελέσει αντικείμενο εκμετάλλευσης από κυβερνοαπειλή· «ευρύτερος δημόσιος τομέας» σημαίνει τις ανεξάρτητες υπηρεσίες που δεν περιλαμβάνονται στον προϋπολογισμό της Δημοκρατίας, τα νομικά πρόσωπα δημοσίου δικαίου και τις οντότητες δημοσίου δικαίου που δεν αποτελούν μέρος της κεντρικής κυβέρνησης∙ «ENISA» σημαίνει τον Οργανισμό της Ευρωπαϊκής Ένωσης για την Ασφάλεια Δικτύων και Πληροφοριών· «EU-CyCLONe» σημαίνει το Ευρωπαϊκό Δίκτυο Οργανώσεων Διασύνδεσης για κρίσεις στον κυβερνοχώρο∙ «ημέρα» σημαίνει ημερολογιακή ημέρα, εκτός εάν καθορίζεται διαφορετικά στον παρόντα Νόμο· «Κανονισμός (ΕΕ) αριθ. 1025/2012» σημαίνει τον Κανονισμό (ΕΕ) αριθ. 1025/2012 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 25ης Οκτωβρίου 2012 σχετικά με την ευρωπαϊκή τυποποίηση, την τροποποίηση των οδηγιών του Συμβουλίου 89/686/ΕΟΚ και 93/15/ΕΟΚ και των οδηγιών του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου 94/9/ΕΚ, 94/25/ΕΚ, 95/16/ΕΚ, 97/23/ΕΚ, 98/34/ΕΚ, 2004/22/ΕΚ, 2007/23/ΕΚ, 2009/23/ΕΚ και 2009/105/ΕΚ και την κατάργηση της απόφασης 87/95/ΕΟΚ του Συμβουλίου και της απόφασης αριθ. 1673/2006/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου· «Κανονισμός (ΕΕ)2016/679» σημαίνει τον Κανονισμό (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 27ης Απριλίου 2016 για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ· «Κανονισμός (ΕΕ) 2019/881» σημαίνει τον Κανονισμό (ΕΕ) 2019/881 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 17ης Απριλίου 2019 σχετικά με τον ENISA («Οργανισμός της Ευρωπαϊκής Ένωσης για την Κυβερνοασφάλεια») και με την πιστοποίηση της κυβερνοασφάλειας στον τομέα της τεχνολογίας πληροφοριών και επικοινωνιών και για την κατάργηση του κανονισμού (ΕΕ) αριθ. 526/2013 (πράξη για την κυβερνοασφάλεια), όπως αυτός εκάστοτε τροποποιείται ή αντικαθίσταται·

«Κανονισμός (ΕΕ) 2022/2554» σημαίνει τον Κανονισμό (ΕΕ) 2022/2554 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 14ης Δεκεμβρίου 2022 σχετικά με την ψηφιακή επιχειρησιακή ανθεκτικότητα του χρηματοοικονομικού τομέα και την τροποποίηση των κανονισμών (ΕΚ) αριθ. 1060/2009, (ΕΕ) αριθ. 648/2012, (ΕΕ) αριθ. 600/2014, (ΕΕ) αριθ. 909/2014 και (ΕΕ) 2016/1011, όπως αυτός εκάστοτε τροποποιείται ή αντικαθίσταται∙ «Κεντρική Τράπεζα» σημαίνει την Κεντρική Τράπεζα της Κύπρου· «κίνδυνος» σημαίνει την πιθανότητα απώλειας ή διατάραξης που προκαλείται από περιστατικό και εκφράζεται ως συνδυασμός του μεγέθους της εν λόγω απώλειας ή διατάραξης και της πιθανότητας επέλευσης του εν λόγω περιστατικού· «κλάση ραδιοεξοπλισμού» σημαίνει την κλάση η οποία προσδιορίζει συγκεκριμένες κατηγορίες ραδιοεξοπλισμού οι οποίες θεωρούνται παρόμοιες δυνάμει των διατάξεων του παρόντος Νόμου και τις ραδιοεπαφές εκείνες για τις οποίες έχει σχεδιαστεί ο ραδιοεξοπλισμός· «κρατικός φορέας» ή «κεντρική κυβέρνηση» σημαίνει τα Υπουργεία, τα Υφυπουργεία, τα τμήματα τους, τις υπηρεσίες τους, τις διευθύνσεις τους, τους φορείς συνταγματικών εξουσιών και υπηρεσιών, τις ανεξάρτητες υπηρεσίες και τις βασικές ή/και σημαντικές οντότητες που περιλαμβάνονται στον προϋπολογισμό της Δημοκρατίας∙ «κυβερνοασφάλεια» έχει την έννοια που αποδίδεται στον όρο αυτό στο σημείο (1) του άρθρου 2, του Κανονισμού (ΕΕ) 2019/881∙ «κυβερνοαπειλή» έχει την έννοια που αποδίδει στον όρο αυτό στο σημείο (8) του άρθρου 2 του Κανονισμού (ΕΕ) 2019/881· «Κυπριακή Υπηρεσία Πληροφοριών» σημαίνει την ανεξάρτητη αρχή η οποία θεσπίστηκε δυνάμει των διατάξεων του περί της Κυπριακής Υπηρεσίας Πληροφοριών (ΚΥΠ) Νόμου· «μητρώο ονομάτων τομέα ανωτάτου επιπέδου» ή «μητρώο ονομάτων TLD (Top-level domain)» ή «μητρώο ονομάτων TLD» σημαίνει οντότητα στην οποία έχει ανατεθεί συγκεκριμένος TLD και είναι υπεύθυνη για τη διαχείριση του TLD, περιλαμβανομένης της καταχώρισης ονομάτων τομέα στο πλαίσιο του TLD και της τεχνικής λειτουργίας του TLD, περιλαμβανομένης της λειτουργίας των εξυπηρετητών ονομάτων του, της συντήρησης των βάσεων δεδομένων του και της διανομής αρχείων ζώνης TLD σε διακομιστές ονομάτων, ανεξάρτητα από το αν οποιαδήποτε από τις εν λόγω πράξεις εκτελείται από την ίδια την οντότητα ή ανατίθεται εξωτερικά, αλλά εξαιρουμένων των περιπτώσεων στις οποίες τα ονόματα TLD χρησιμοποιούνται από μητρώο μόνο για δική της χρήση· «Οδηγία (ΕΕ) 2022/2555» σημαίνει την Οδηγία (ΕΕ) 2022/2555 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 14ης Δεκεμβρίου 2022 σχετικά με μέτρα για υψηλό κοινό επίπεδο κυβερνοασφάλειας σε ολόκληρη την Ένωση, την τροποποίηση του κανονισμού (ΕΕ) αριθ. 910/2014 και της Οδηγίας (ΕΕ) 2018/1972, και για την κατάργηση της Οδηγίας (ΕΕ) 2016/1148 (Οδηγία NIS 2), όπως αυτή εκάστοτε τροποποιείται ή αντικαθίσταται∙

«Οδηγία 2014/53/ΕΕ» σημαίνει την Οδηγία 2014/53/ΕΕ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 16ης Απριλίου 2014 σχετικά με την εναρμόνιση των νομοθεσιών των κρατών μελών σχετικά με τη διαθεσιμότητα ραδιοεξοπλισμού στην αγορά και την κατάργηση της οδηγίας 1999/5/ΕΚ», όπως αυτή εκάστοτε τροποποιείται ή αντικαθίσταται∙ «Ομάδα Συνεργασίας» σημαίνει την Ομάδα Συνεργασίας η οποία συστήνεται σύμφωνα με το άρθρο 14 της Οδηγίας (ΕΕ) 2022/2555∙ «οντότητα δημόσιας διοίκησης» σημαίνει οντότητα, μη συμπεριλαμβανομένων της δικαστικής εξουσίας, της Βουλής των Αντιπροσώπων ή της Κεντρικής Τράπεζας της Κύπρου, η οποία πληροί τα ακόλουθα κριτήρια: (α) Έχει συσταθεί με σκοπό την κάλυψη αναγκών γενικού συμφέροντος και δεν έχει βιομηχανικό ή εμπορικό χαρακτήρα· (β) έχει νομική προσωπικότητα ή δικαιούται εκ του νόμου να ενεργεί για λογαριασμό άλλης οντότητας με νομική προσωπικότητα· (γ) χρηματοδοτείται κατά το μεγαλύτερο μέρος από την κεντρική κυβέρνηση ή άλλους οργανισμούς δημοσίου δικαίου, υπόκειται σε έλεγχο διαχείρισης από τις εν λόγω αρχές ή οργανισμούς ή έχει διοικητικό, διευθυντικό ή εποπτικό συμβούλιο, του οποίου περισσότερα από τα μισά μέλη διορίζονται από το κράτος, τον ευρύτερο δημόσιο τομέα ή άλλους οργανισμούς δημοσίου δικαίου· και (δ) έχει την εξουσία να απευθύνει σε φυσικά ή νομικά πρόσωπα διοικητικές ή κανονιστικές αποφάσεις που επηρεάζουν τα δικαιώματά τους στη διασυνοριακή κυκλοφορία προσώπων, αγαθών, υπηρεσιών ή κεφαλαίων· «οντότητα που παρέχει υπηρεσίες καταχώρισης ονομάτων τομέα» σημαίνει τον καταχωρητή ή τον αντιπρόσωπο που ενεργεί για λογαριασμό καταχωρητών, όπως παροχέας υπηρεσιών καταχώρισης δεδομένων προσωπικού χαρακτήρα ή πληρεξούσιος ή μεταπωλητής· «οντότητα» σημαίνει το φυσικό ή το νομικό πρόσωπο που έχει συσταθεί και αναγνωρίζεται ως τέτοιο βάσει του εθνικού δικαίου του τόπου εγκατάστασής του, το οποίο μπορεί, ενεργώντας για ίδιο λογαριασμό, να ασκεί δικαιώματα και να υπόκειται σε υποχρεώσεις∙ «παρ’ ολίγον περιστατικό» σημαίνει το περιστατικό το οποίο δυνατόν να έχει θέσει σε κίνδυνο τη διαθεσιμότητα, την αυθεντικότητα, την ακεραιότητα ή την εμπιστευτικότητα των αποθηκευμένων, διαβιβαζόμενων ή υφιστάμενων επεξεργασμένων δεδομένων ή των υπηρεσιών που προσφέρονται ή είναι προσβάσιμες μέσω συστημάτων δικτύου και πληροφοριών, αλλά το οποίο εμποδίστηκε ή δεν υλοποιήθηκε επιτυχώς· «παροχέας» σημαίνει πρόσωπο που παρέχει ή είναι εξουσιοδοτημένο να παρέχει δίκτυο ή/και υπηρεσίες ηλεκτρονικών επικοινωνιών ή/και συναφείς διευκολύνσεις προς το κοινό· «παροχέας διαχειριζόμενων υπηρεσιών» σημαίνει οντότητα που παρέχει υπηρεσίες σχετικές με την εγκατάσταση, τη διαχείριση, τη λειτουργία ή τη συντήρηση προϊόντων, δικτύων, υποδομών, εφαρμογών ΤΠΕ ή οποιωνδήποτε άλλων συστημάτων δικτύου και πληροφοριών, μέσω συνδρομής ή ενεργού διαχείρισης που εκτελείται είτε στις εγκαταστάσεις των πελατών είτε εξ αποστάσεως·

«παροχέας διαχειριζόμενων υπηρεσιών ασφάλειας» σημαίνει πάροχο διαχειριζόμενων υπηρεσιών που εκτελεί ή παρέχει υποστήριξη για δραστηριότητες που σχετίζονται με τη διαχείριση κινδύνων κυβερνοασφάλειας· «παροχέας δικτύου ηλεκτρονικών επικοινωνιών» σημαίνει πρόσωπο που είναι εξουσιοδοτημένο από τον Επίτροπο να παρέχει δημόσιο δίκτυο ηλεκτρονικών επικοινωνιών με βάση τον περί Ρυθμίσεως Ηλεκτρονικών Επικοινωνιών και Ταχυδρομικών Υπηρεσιών Νόμο· «παροχέας υπηρεσιών εμπιστοσύνης» σημαίνει πάροχο υπηρεσιών εμπιστοσύνης όπως ορίζεται στο σημείο 19 του άρθρου 3 του Κανονισμού (ΕΕ) αριθ. 910/2014· «παροχέας υπηρεσιών ηλεκτρονικών επικοινωνιών» σημαίνει πρόσωπο που είναι εξουσιοδοτημένο από τον Επίτροπο να παρέχει διαθέσιμες στο κοινό υπηρεσίες ηλεκτρονικών επικοινωνιών με βάση τον περί Ρυθμίσεως Ηλεκτρονικών Επικοινωνιών και Ταχυδρομικών Υπηρεσιών Νόμο· «παροχέας υπηρεσιών συστήματος ονομάτων χώρου» σημαίνει την οντότητα που παρέχει υπηρεσίες συστήματος ονομάτων χώρου στο διαδίκτυο· «παροχέας υπηρεσιών DNS» σημαίνει οντότητα που παρέχει: (α) δημόσια διαθέσιμες υπηρεσίες αναδρομικής επίλυσης ονομάτων τομέα (publicly available recursive domain name resolution services) για τελικούς χρήστες του διαδικτύου· ή (β) έγκυρες υπηρεσίες επίλυσης ονομάτων τομέα για χρήση από τρίτους, με εξαίρεση τους εξυπηρετητές ονομάτων ρίζας (root name servers)· «περιστατικό» σημαίνει κάθε συμβάν που θέτει σε κίνδυνο τη διαθεσιμότητα, την αυθεντικότητα, την ακεραιότητα ή το απόρρητο των δεδομένων που αποθηκεύονται, μεταδίδονται ή υποβάλλονται σε επεξεργασία ή των υπηρεσιών που προσφέρονται ή είναι προσβάσιμες μέσω συστημάτων δικτύου και πληροφοριών· «περιστατικό μεγάλης κλίμακας στον τομέα της κυβερνοασφάλειας» σημαίνει περιστατικό το οποίο προκαλεί διατάραξη που υπερβαίνει την ικανότητα της Δημοκρατίας ή άλλου κράτους μέλους να ανταποκριθεί σε αυτή ή το οποίο έχει σημαντικό αντίκτυπο σε τουλάχιστον δύο κράτη μέλη∙ «πλατφόρμα υπηρεσιών κοινωνικής δικτύωσης» σημαίνει πλατφόρμα που επιτρέπει στους τελικούς χρήστες να συνδέονται, να ανταλλάσσουν, να ανακαλύπτουν και να επικοινωνούν μεταξύ τους μέσω πολλαπλών συσκευών, ιδίως μέσω συνομιλιών, αναρτήσεων, βίντεο και συστάσεων· «προϊόν ΤΠΕ» έχει την έννοια που αποδίδεται στον όρο αυτό στο σημείο (12) του άρθρου 2 του Κανονισμού (ΕΕ) 2019/881· «προϊστάμενος» σημαίνει το πρόσωπο που κατέχει την ιεραρχικά ανώτατη θέση στην Αρχή και ο οποίος είναι υφιστάμενος του Επιτρόπου· «πρόσωπο» σημαίνει βασική ή/και σημαντική οντότητα, και οποιαδήποτε άλλα νομικά ή φυσικά πρόσωπα ή οργανισμούς που εκάστοτε κρίνει η Αρχή ως πρόσωπο για σκοπούς του παρόντος Νόμου, βάσει των αρμοδιοτήτων της που απορρέουν από τον παρόντα Νόμο∙

«πρότυπο» σημαίνει πρότυπο κατά την έννοια του Άρθρου 2, σημείο 1 του Κανονισμού (ΕΕ) αριθ. 1025/2012· «ραδιοεξοπλισμός» σημαίνει ηλεκτρικό ή ηλεκτρονικό προϊόν που εκούσια εκπέμπει ή και λαμβάνει ραδιοκύματα για σκοπούς ραδιοεπικοινωνίας ή και ραδιοπροσδιορισμού ή ηλεκτρικό ή ηλεκτρονικό προϊόν που πρέπει να συμπληρωθεί με εξάρτημα, όπως κεραία, ώστε εκούσια να εκπέμπει ή και να λαμβάνει ραδιοκύματα για σκοπούς ραδιοεπικοινωνίας ή και ραδιοπροσδιορισμού∙ «σημαντική κυβερνοαπειλή» σημαίνει κυβερνοαπειλή η οποία, βάσει των τεχνικών χαρακτηριστικών της, μπορεί να θεωρηθεί ότι έχει τη δυνατότητα να επηρεάσει σοβαρά τα συστήματα δικτύου και πληροφοριών μιας οντότητας ή των χρηστών υπηρεσιών της οντότητας προκαλώντας σημαντική υλική ή μη υλική ζημία· «σημείο ανταλλαγής κίνησης διαδικτύου (Internet Exchange Point)» ή «IXP» σημαίνει τη δικτυακή διευκόλυνση που επιτρέπει τη διασύνδεση περισσότερων από δύο ανεξάρτητων δικτύων (αυτόνομων συστημάτων), κυρίως με σκοπό τη διευκόλυνση της ανταλλαγής κίνησης στο διαδίκτυο, η οποία παρέχει διασύνδεση μόνο για αυτόνομα συστήματα και η οποία ούτε απαιτεί κυκλοφορία στο διαδίκτυο που διέρχεται μεταξύ ζεύγους συμμετεχόντων αυτόνομων συστημάτων να διέρχεται μέσω οποιουδήποτε τρίτου αυτόνομου συστήματος ούτε μεταβάλλει ή επηρεάζει με άλλο τρόπο την εν λόγω κίνηση· «συμβάν» σημαίνει κάθε γεγονός που έχει μία πραγματική δυσμενή επίπτωση στην ασφάλεια δικτύων και συστημάτων πληροφοριών· «Συμβουλευτική Επιτροπή» έχει την έννοια που αποδίδουν στον όρο αυτό οι διατάξεις του άρθρου 32 του περί Ρυθμίσεως Ηλεκτρονικών Επικοινωνιών και Ταχυδρομικών Υπηρεσιών Νόμου· «Σύσταση 2003/361/ΕΚ» σημαίνει τη Σύσταση της Επιτροπής της 6ης Μαΐου 2003 σχετικά με τον ορισμό των πολύ µικρών, των µικρών και των µεσαίων επιχειρήσεων∙ «σύστημα ονομάτων χώρου (Domain Name System) ή «DNS» σημαίνει το ιεραρχικό κατανεμημένο σύστημα ονοματοδοσίας που επιτρέπει τον προσδιορισμό των διαδικτυακών υπηρεσιών και πόρων, επιτρέποντας στις συσκευές των τελικών χρηστών να χρησιμοποιούν υπηρεσίες δρομολόγησης και συνδεσιμότητας στο διαδίκτυο για την πρόσβαση στις εν λόγω υπηρεσίες και πόρους· «τεχνική προδιαγραφή» έχει την έννοια που αποδίδεται στον όρο αυτό στο σημείο 4) του άρθρου 2 του Κανονισμού (ΕΕ) αριθ. 1025/2012· «ΤΠΕ» σημαίνει τεχνολογία πληροφοριών και επικοινωνιών· «υπηρεσία εμπιστοσύνης» έχει την έννοια που αποδίδει στον όρο αυτό, το άρθρο 3 σημείο 16) του Κανονισμού (ΕΕ) αριθ. 910/2014∙ «υπηρεσία ηλεκτρονικών επικοινωνιών» σημαίνει υπηρεσία ηλεκτρονικών επικοινωνιών, όπως ορίζεται στο άρθρο 2 του περί Ρυθμίσεως Ηλεκτρονικών Επικοινωνιών Νόμου·

«υπηρεσία κέντρου δεδομένων» σημαίνει την υπηρεσία που περιλαμβάνει δομές ή ομάδες δομών, οι οποίες προορίζονται για την κεντρική φιλοξενία, διασύνδεση και λειτουργία εξοπλισμού ΤΠ (ΙΤ) και δικτύων και παρέχουν υπηρεσίες αποθήκευσης, επεξεργασίας και μεταφοράς δεδομένων, καθώς και όλες τις εγκαταστάσεις και υποδομές διανομής ισχύος και περιβαλλοντικού ελέγχου· «υπηρεσία ΤΠΕ» έχει την έννοια που αποδίδεται στον όρο αυτό, στο σημείο (13) του άρθρου 2 του Κανονισμού (ΕΕ) 2019/881· «υπηρεσία υπολογιστικού νέφους» σημαίνει ψηφιακή υπηρεσία που καθιστά δυνατή τη διαχείριση κατά παραγγελία και την ευρεία εξ αποστάσεως πρόσβαση σε κλιμακούμενη και ελαστική δεξαμενή κοινών υπολογιστικών πόρων, μεταξύ άλλων όταν οι πόροι αυτοί κατανέμονται σε διάφορα σημεία· «Υφυπουργός» σημαίνει τον Υφυπουργό Έρευνας, Καινοτομίας και Ψηφιακής Πολιτικής παρά τω Προέδρω· «φορέας εκμετάλλευσης βασικών υπηρεσιών» σημαίνει τη δημόσια ή ιδιωτική οντότητα είδους η οποία αναφέρεται σε Απόφαση που εκδίδει η Αρχή· «φορέας κρίσιμων υποδομών πληροφοριών» σημαίνει τον φορέα που διαχειρίζεται κρίσιμες υποδομές πληροφοριών ο οποίος αναφέρεται σε Απόφαση της Αρχής· «χειρισμός περιστατικών» σημαίνει κάθε ενέργεια και διαδικασία που αποσκοπεί στην πρόληψη, τη διαπίστωση, την ανάλυση και τον περιορισμό ή την αντίδραση σε περιστατικό και την ανάκαμψη από αυτό· «ψηφιακή υπηρεσία» σημαίνει την υπηρεσία κατά την έννοια του άρθρου 1 παράγραφος 1 στοιχείο β) της Οδηγίας (ΕΕ) 2015/1535 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 9ης Σεπτεμβρίου 2015 για την καθιέρωση μιας διαδικασίας πληροφόρησης στον τομέα των τεχνικών προδιαγραφών και των κανόνων σχετικά με τις υπηρεσίες της κοινωνίας των πληροφοριών και η οποία είναι είδος, το οποίο περιλαμβάνεται σε Απόφαση που εκδίδει η Αρχή·

89(I)/2020 60(I)/2025 ΜΕΡΟΣ ΔΕΥΤΕΡΟ ΔΙΟΡΙΣΜΟΣ ΚΑΙ ΠΑΥΣΗ ΕΠΙΤΡΟΠΟΥ ΚΑΙ ΒΟΗΘΟΥ ΕΠΙΤΡΟΠΟΥ ΕΠΙΚΟΙΝΩΝΙΩΝ Διορισμός και παύση Επιτρόπου και Βοηθού Επιτρόπου Επικοινωνιών

Άρθρο 4

89(I)/2020 Απολαβές και υποχρεώσεις του Επιτρόπου Επικοινωνιών και του Βοηθού Επιτρόπου Επικοινωνιών

Άρθρο 5

89(I)/2020 ΜΕΡΟΣ ΤΡΙΤΟ ΑΡΧΗ ΨΗΦΙΑΚΗΣ ΑΣΦΑΛΕΙΑΣ Αρμόδια εθνική αρχή για την ασφάλεια δικτύων και συστημάτων πληροφοριών και κυβερνοασφάλειας

Άρθρο 6

6.-(1) Ο Επίτροπος ο οποίος ορίστηκε ως ο επικεφαλής της Αρχής και ως εθνική αρχή για την ασφάλεια δικτύων και συστημάτων πληροφοριών και για τον συντονισμό της υλοποίησης της στρατηγικής κυβερνοασφάλειας, δυνάμει των διατάξεων του άρθρου 3 του περί Ασφάλειας Δικτύων και Συστημάτων Πληροφοριών Νόμου, συνεχίζει να είναι ο επικεφαλής της Αρχής και έχει τις αρμοδιότητες που προβλέπονται στις διατάξεις του παρόντος Νόμου.

89(I)/2020 60(I)/2025 Εξουσίες της Αρχής σε σχέση με απόκτηση, διάθεση και επένδυση περιουσίας

Άρθρο 7

89(I)/2020 60(I)/2025 Ταμείο της Αρχής

Άρθρο 8

89(I)/2020 Προσωπικό της Αρχής 9. [Διαγράφηκε] Ιστορικό Τροποποιήσεων 89(I)/2020 60(I)/2025 Πειθαρχικός έλεγχος του προσωπικού της Αρχής 10.-(1) Τα θέματα πειθαρχικού ελέγχου των μελών του προσωπικού της Αρχής, τυγχάνουν διαχείρισης από το ΣΕΠΑ, το οποίο ιδρύεται δυνάμει των διατάξεων του εδαφίου (1) του άρθρου 9.

89(I)/2020 Χρηματοδότηση των δαπανών της Αρχής 11.-(1)(α) Η Αρχή χρηματοδοτείται από τους φορείς εκμετάλλευσης βασικών υπηρεσιών και τις βασικές και σημαντικές οντότητες, όπως καθορίζεται σε Κανονισμούς που εκδίδονται σύμφωνα με τις διατάξεις του άρθρου 45. (β) Μέχρις ότου η Αρχή εισπράξει επαρκή ποσά τελών και εσόδων, δυνάμει του παρόντος Νόμου, για πληρωμή των μισθών, απολαβών, ωφελημάτων και συντάξεων των μελών του προσωπικού της Αρχής ή οποιασδήποτε αμοιβής πληρωτέας δυνάμει συμβάσεων παροχής υπηρεσιών που συνάπτονται από την Αρχή δυνάμει των διατάξεων του άρθρου 14, η Δημοκρατία καταβάλλει στην Αρχή τα ποσά μισθών, απολαβών, ωφελημάτων, συντάξεων, αμοιβής και εκπαίδευσης που είναι πληρωτέα από αυτήν στα μέλη του προσωπικού της ή/και στους παροχείς υπηρεσιών προς αυτήν.

Νοείται ότι, η Δημοκρατία δεν προβαίνει σε οποιαδήποτε είσπραξη από την Αρχή οποιουδήποτε εκ των ως άνω από μέρους της καταβληθέντων ποσών, προτού η Αρχή εισπράξει επαρκή προς τούτο ποσά τελών και εσόδων δυνάμει των διατάξεων του παρόντος Νόμου.

89(I)/2020 60(I)/2025 Εκπροσώπηση της Αρχής 12.-(1) Η Αρχή δύναται να ενάγει και να ενάγεται και να είναι διάδικος σε οποιαδήποτε αστική διαδικασία.

89(I)/2020 Πληρωμές από το Ταμείο της Αρχής 13. Από το Ταμείο της Αρχής καταβάλλονται: (α) Στη Δημοκρατία όλα τα επιστρεπτέα σ’ αυτή, δυνάμει των διατάξεων του εδαφίου (2) του άρθρου 11, ποσά, (β) όλα τα τρέχοντα έξοδα λειτουργίας της Αρχής, (γ) όλα τα ποσά μισθών, απολαβών, ωφελημάτων και συντάξεων που είναι πληρωτέα στα μέλη του προσωπικού της Αρχής και όλα τα ποσά ωφελημάτων και συντάξεων που είναι πληρωτέα, σύμφωνα με τις διατάξεις της παραγράφου (β) του εδαφίου (4) του άρθρου 9, στα εξαρτώμενα πρόσωπα και τις οικογένειες αυτών των μελών, όπως και όλα τα ποσά αμοιβής που είναι πληρωτέα δυνάμει συμβάσεων παροχής υπηρεσιών, που έχουν συναφθεί από την Αρχή δυνάμει των διατάξεων του άρθρου 14, καθώς και όλα τα ποσά εισφορών τα οποία είναι καταβλητέα σε ταμεία τα οποία αναφέρονται στις διατάξεις της παραγράφου (γ) του εδαφίου (4) του άρθρου 9, όπως προβλέπεται σε Κανονισμούς που εκδίδονται δυνάμει του άρθρου 45, (δ)όλα τα έξοδα που συνεπάγεται κάθε διορισμός συμβουλευτικού σώματος δυνάμει των διατάξεων του άρθρου 25, (ε) το τοκοχρεολύσιο οποιουδήποτε δανείου το οποίο έχει συνάψει η Αρχή δυνάμει των διατάξεων της παραγράφου (ε) του άρθρου 7, (στ) οποιοδήποτε νομίμως οφειλόμενο ή πληρωτέο ποσό, δυνάμει οποιασδήποτε σύμβασης έχει συναφθεί από την Αρχή δυνάμει του παρόντος Νόμου ή δυνάμει Κανονισμών ή Αποφάσεων, που εκδίδονται δυνάμει του παρόντος Νόμου, (ζ) οποιαδήποτε νομίμως οφειλόμενα ή πληρωτέα ποσά δικηγορικών εξόδων ή αμοιβής σε σχέση με την εκπροσώπηση της Αρχής ή/και του Επιτρόπου ως επικεφαλής της Αρχής ενώπιον των δικαστηρίων ή οποιασδήποτε διοικητικής ή άλλης αρχής ή σε σχέση με την παροχή νομικών συμβουλών στην Αρχή, (η) οποιοδήποτε ποσό καθίσταται νομίμως πληρωτέο συνεπεία ασκήσεως οποιασδήποτε αρμοδιότητας, εξουσίας ή καθήκοντος της Αρχής, σύμφωνα με τις διατάξεις του παρόντος Νόμου ή των Κανονισμών, ή των Αποφάσεων που εκδίδονται δυνάμει αυτού, (θ) στο Πάγιο Ταμείο της Δημοκρατίας όλα τα χρηματικά ποσά που εισπράττονται από την Αρχή, ως διοικητικό πρόστιμο, δυνάμει των διατάξεων του παρόντος Νόμου, (ι) όλα τα χρηματικά ποσά που η Αρχή έχει υποχρέωση κατά την άσκηση των αρμοδιοτήτων της δυνάμει του παρόντος Νόμου να καταβάλλει ως αποζημιώσεις, δυνάμει οποιωνδήποτε δικαστικών αποφάσεων ή εξώδικων συμβιβασμών, στο Πάγιο Ταμείο της Δημοκρατίας.

89(I)/2020 Εξασφάλιση υπηρεσιών από την Αρχή 14. Ανεξάρτητα από τις διατάξεις οποιουδήποτε άλλου νόμου, Κανονισμών, Διαταγμάτων και Αποφάσεων που εκδίδονται δυνάμει οποιασδήποτε οικείας νομοθεσίας, η Αρχή δύναται να: (α) Εξασφαλίζει υπηρεσίες ή/και προμήθεια εξοπλισμού ή/και λογισμικού σε θέματα σχετιζόμενα με την άσκηση των δυνάμει του παρόντος Νόμου αρμοδιοτήτων και εξουσιών της και την εκτέλεση των καθηκόντων της ή με την προς τούτο εκπαίδευση του προσωπικού της Αρχής, σύμφωνα με τις διατάξεις του περί του Συντονισμού των Διαδικασιών Σύναψης Ορισμένων Συμβάσεων Έργων, Προμηθειών και Παροχής Υπηρεσιών που Συνάπτονται από Αναθέτουσες Αρχές ή Αναθέτοντες Φορείς στους Τομείς της Άμυνας, της Ασφάλειας και για Συναφή Θέματα Νόμου, (β) συνάπτει για τους πιο πάνω σκοπούς συμβάσεις παροχής υπηρεσιών σύμφωνα με τις διατάξεις του περί Συντονισμού των Διαδικασιών Σύναψης Ορισμένων Συμβάσεων Έργων, Προμηθειών και Παροχής Υπηρεσιών που Συνάπτονται από Αναθέτουσες Αρχές ή Αναθέτοντες Φορείς στους Τομείς της Άμυνας, της Ασφάλειας και για Συναφή Θέματα Νόμου, (γ) εξασφαλίζει μίσθωση υπηρεσιών για ορισμένο χρονικό διάστημα από φυσικά ή νομικά πρόσωπα σύμφωνα με τις διατάξεις του περί της Ρύθμισης των Διαδικασιών Σύναψης Δημοσίων Συμβάσεων και για Συναφή Θέματα Νόμου.

89(I)/2020 ΜΕΡΟΣ ΤΕΤΑΡΤΟ ΓΕΝΙΚΑ ΚΑΘΗΚΟΝΤΑ ΤΗΣ ΑΡΧΗΣ Υποχρέωση προαγωγής ορισμένων σκοπών της Αρχής 15.-(1) Κατά την άσκηση των αρμοδιοτήτων και εξουσιών της Αρχής, δυνάμει των διατάξεων του παρόντος Νόμου και κατά την εκτέλεση των καθηκόντων της, η Αρχή ενεργεί κατά τρόπο ο οποίος προάγει τη διατήρηση της ακεραιότητας και ασφάλειας των δικτύων ηλεκτρονικών επικοινωνιών, την επίτευξη επιπέδου ασφάλειας συστημάτων δικτύου και πληροφοριών, περιλαμβανομένης της προστασίας των οντοτήτων που υπάγονται στην αρμοδιότητα της Αρχής.

89(I)/2020 60(I)/2025 Εφαρμογή από την Αρχή του πλαισίου γενικής πολιτικής 16.-(1) Κατά την άσκηση των αρμοδιοτήτων και την εκτέλεση των εξουσιών της, η Αρχή ενεργεί αμερόληπτα και ανεξάρτητα, εφαρμόζοντας το εκάστοτε πλαίσιο γενικής πολιτικής σύμφωνα με τα όσα προβλέπονται στο εδάφιο (2).

89(I)/2020 60(I)/2025 ΜΕΡΟΣ ΠΕΜΠΤΟ ΑΡΜΟΔΙΟΤΗΤΕΣ, ΕΞΟΥΣΙΕΣ ΚΑΙ ΚΑΘΗΚΟΝΤΑ ΤΗΣ ΑΡΧΗΣ Αρμοδιότητες, εξουσίες και καθήκοντα της Αρχής 17. Αποτελεί αρμοδιότητα και εξουσία της Αρχής μεταξύ άλλων, όπως- (α) [Διαγράφηκε], (β) εφαρμόζει, σε θέματα ασφάλειας δικτύων και συστημάτων πληροφοριών, το εκάστοτε ακολουθητέο πλαίσιο γενικής πολιτικής σύμφωνα με τις διατάξεις του εδαφίου (2) του άρθρου 16, (γ) αποτελεί εθνικό ενιαίο σημείο επαφής για την ασφάλεια των δικτύων και συστημάτων πληροφοριών (εφεξής «ενιαίο κέντρο επαφής»), (δ) ασκεί, ως ενιαίο σημείο επαφής, καθήκοντα συνδέσμου για τη διασφάλιση της διασυνοριακής συνεργασίας με τις αρμόδιες αρχές των άλλων κρατών μελών, τις αρμόδιες αρχές της Δημοκρατίας, την ομάδα συνεργασίας το Δίκτυο CSIRT και το EU-CyCLONE,, όπως προβλέπεται στις διατάξεις του άρθρου 33, (ε) διαβουλεύεται και συνεργάζεται με τις αρμόδιες αρχές επιβολής του νόμου, την Κυπριακή Υπηρεσία Πληροφοριών, τον Επίτροπο Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, το Τμήμα Πολιτικής Αεροπορίας, το Τμήμα Ηλεκτρονικών Επικοινωνιών, τις αρμόδιες αρχές της Δημοκρατίας που έχουν οριστεί για την εφαρμογή του Κανονισμού (ΕΕ) 2022/2554, το ΓΕΡΗΕΤ και την αρμόδια αρχή της Δημοκρατίας για την ανθεκτικότητα των κρίσιμων οντοτήτων, καθώς και με τις αρμόδιες αρχές που έχουν οριστεί βάσει άλλων τομεακών νομικών πράξεων της Ένωσης∙ (στ) υποβάλλει ως ενιαίο σημείο επαφής στην ομάδα συνεργασίας ετήσια συνοπτική έκθεση, σε ημερομηνία που καθορίζεται από την Ομάδα Συνεργασίας ή/και την Ευρωπαϊκή Επιτροπή, σχετικά με τις κοινοποιήσεις που έχει παραλάβει, συμπεριλαμβανομένου του αριθμού των κοινοποιήσεων και της φύσης των κοινοποιημένων συμβάντων, καθώς και τα μέτρα που έχουν ληφθεί σύμφωνα με τις διατάξεις των εδαφίων (3) και (5) του άρθρου 35 και των διατάξεων των εδαφίων (4) και (6) του άρθρου 35Β, (ζ) διασφαλίζει,μέσω του Υπουργικού Συμβουλίου, ότι διαθέτει επαρκείς πόρους για την αποτελεσματική εκτέλεση των καθηκόντων της και για τα καθήκοντα του εθνικού CSIRT που περιγράφονται στις διατάξεις του εδαφίου (3) του άρθρου 31 και τις διατάξεις του εδαφίου (3) του άρθρου 31Α, (η) μεριμνά για την αποτελεσματική, αποδοτική και ασφαλή συνεργασία του εθνικού CSIRT, στο πλαίσιο του δικτύου CSIRT, που αναφέρεται στις διατάξεις του άρθρου 33, (θ) ζητά τη συνδρομή του ENISA ή και άλλων ευρωπαϊκών ή/και διεθνών οργανισμών ή/και άλλων διεθνών φορέων για την ανάπτυξη του εθνικού CSIRT, εάν το κρίνει απαραίτητο η Αρχή, (ι) λαμβάνει τις κοινοποιήσεις περιστατικών σε εθνικό επίπεδο και τις κοινοποιήσεις που διαβιβάζονται σε αυτήν από οποιεσδήποτε άλλες αρμόδιες αρχές κρατών μελών της Ευρωπαϊκής Ένωσης σύμφωνα με τις διατάξεις του παρόντος Νόμου,

(ια) [Διαγράφηκε], (ιβ) εποπτεύει το εθνικό CSIRT και άλλα τομεακά CSIRT στη Δημοκρατία:

Νοείται ότι, από τον όρο «τομεακά CSIRT» εξαιρείται η λειτουργία στρατιωτικού CSIRT, το οποίο διασφαλίζει ουσιαστική συνεργασία σε θέματα κυβερνοασφάλειας με την Αρχή, καθώς και την ανταλλαγή επιλεγμένων πληροφοριών με το εθνικό CSIRT, (ιγ) διασφαλίζει ότι το εθνικό CSIRT έχει πρόσβαση σε μια κατάλληλη, ασφαλή και ανθεκτική υποδομή επικοινωνιών και πληροφοριών σε εθνικό επίπεδο σύμφωνα με τις διατάξεις του παρόντος Νόμου, (ιδ) ορίζει, με Απόφαση της, τις βασικές και σημαντικές οντότητες οι οποίες είναι εγκατεστημένες στη Δημοκρατία για κάθε τομέα και υποτομέα που αναφέρονται στο Παράρτημα Ι ή ΙΙ του παρόντος Νόμου καθώς και τις οντότητες που παρέχουν υπηρεσίες καταχώρισης ονομάτων τομέα στη Δημοκρατία, (ιε) επανεξετάζει και, κατά περίπτωση, επικαιροποιεί τον κατάλογο των προσδιορισμένων βασικών και σημαντικών οντοτήτων και των οντοτήτων που παρέχουν υπηρεσίες καταχώρισης ονομάτων τομέα σε τακτική βάση και τουλάχιστον ανά διετία, (ιστ) συνεργάζεται στενά με τον Επίτροπο Προστασίας Δεδομένων Προσωπικού Χαρακτήρα για την αντιμετώπιση συμβάντων που οδηγούν σε παραβιάσεις προσωπικών δεδομένων, (ιζ) αξιολογεί τη συμμόρφωση των βασικών ή/και σημαντικών οντοτήτων με τις υποχρεώσεις τους δυνάμει των διατάξεων του άρθρου 35 και των επιπτώσεών τους στην ασφάλεια των δικτύων και συστημάτων πληροφοριών τους, (ιη) εξασφαλίζει ότι οι βασικές ή/και σημαντικές οντότητες λαμβάνουν κατάλληλα και αναλογικά τεχνικά, επιχειρησιακά και οργανωτικά μέτρα για τη διαχείριση των κινδύνων όσον αφορά την ασφάλεια των δικτύων και συστημάτων πληροφοριών που χρησιμοποιούν στις δραστηριότητές τους, (ιθ) εξασφαλίζει ότι οι βασικές ή/και σημαντικές οντότητες λαμβάνουν κατάλληλα μέτρα για την ολιστική προσέγγιση του κινδύνου που αποσκοπεί στην προστασία των συστημάτων δικτύου και πληροφοριών και του φυσικού περιβάλλοντος των εν λόγω συστημάτων από περιστατικά, (κ) εξασφαλίζει ότι οι βασικές ή/και σημαντικές οντότητες κοινοποιούν αμελλητί στην Αρχή κάθε περιστατικό που έχει σημαντικό αντίκτυπο στην παροχή των υπηρεσιών τους, όπως αναφέρεται στο εδάφιο (3) του άρθρου 35Β (σημαντικό περιστατικό), (κα) [Διαγράφηκε], (κβ) [Διαγράφηκε], (κγ) [Διαγράφηκε], (κδ) [Διαγράφηκε], (κε) εκδίδει οποιαδήποτε Απόφαση, συμπεριλαμβανομένων προσωρινών μέτρων, αναφορικά με ζητήματα που εμπίπτουν στις αρμοδιότητές της, (κστ) επιβάλλει διοικητικό πρόστιμο, σύμφωνα με τις διατάξεις των άρθρων 43 και 43Α, σε οποιοδήποτε πρόσωπο παραβιάζει τις διατάξεις του παρόντος Νόμου ή τις πρόνοιες των Κανονισμών ή των Αποφάσεων που εκδίδονται δυνάμει αυτού,

(κζ) είναι μέλος και να συμμετέχει σε συναντήσεις τέτοιων ευρωπαϊκών ή διεθνών οργανισμών ως προς το συμφέρον της Δημοκρατίας, (κη) αιτείται, στο πλαίσιο συγκεκριμένων δραστηριοτήτων της, της παροχής, από τις βασικές ή/και τις σημαντικές οντότητες ή/και τις οντότητες που παρέχουν υπηρεσίες καταχώρισης ονομάτων τομέα, κάθε σχετικών τεχνικών, οικονομικών και άλλων πληροφοριών, συμπεριλαμβανομένων των αρχείων καταγραφής (logs), για περίοδο τουλάχιστον έξι (6) μηνών καθώς και πληροφορίες για σκοπούς δημοσίας τάξεως και εθνικής ασφάλειας, τηρουμένης της αρχής της αναλογικότητας, (κθ) ασκεί οποιεσδήποτε άλλες αρμοδιότητες, εξουσίες και καθήκοντα, της παρέχονται δυνάμει των διατάξεων του παρόντος Νόμου ή δυνάμει των προνοιών των Κανονισμών και Αποφάσεων που εκδίδονται δυνάμει αυτού, (λ) επεξεργάζεται δεδομένα προσωπικού χαρακτήρα, δυνάμει των διατάξεων του παρόντος Νόμου, σύμφωνα με τον περί της Προστασίας των Φυσικών Προσώπων Έναντι της Επεξεργασίας των Δεδομένων Προσωπικού Χαρακτήρα και της Ελεύθερης Κυκλοφορίας των Δεδομένων αυτών Νόμο και τον Κανονισμό (ΕΕ) αριθ. 2016/679, (λα) θεσπίζει ή/και να διατηρεί διατάξεις, με στόχο την επίτευξη υψηλότερου επιπέδου ασφάλειας των δικτύων και συστημάτων πληροφοριών με την επιφύλαξη των υποχρεώσεων της Δημοκρατίας που απορρέουν από το ενωσιακό δίκαιο, (λβ) τηρουμένων των διατάξεων του εδαφίου (3) του άρθρου 19, προβαίνει στη δημοσίευση πληροφοριών και εγγράφων που αναφέρονται στις διατάξεις του άρθρου 19 όπως κρίνει σκόπιμο, για σκοπούς προαγωγής της ενημέρωσης και κατανόησης από το κοινό επί θεμάτων ασφάλειας δικτύων και συστημάτων πληροφοριών, ψηφιακής ασφάλειας και κυβερνο-ασφάλειας, (λγ) παρακολουθεί την εφαρμογή των διατάξεων του παρόντος Νόμου στη Δημοκρατία και, κατά την άσκηση της αρμοδιότητάς της αυτής, δύναται να ζητά και λαμβάνει συνδρομή από πρόσωπα τα οποία υπόκεινται σε καθεστώς εποπτείας, δυνάμει οποιασδήποτε οικείας νομοθεσίας, και από τις αντίστοιχες εποπτικές αρχές ή από τις εθνικές αρχές που συνεισφέρουν στην εποπτεία, όταν αυτή ασκείται από υπερεθνικές αρχές:

Νοείται ότι, οι εξουσίες που χορηγούνται στην Αρχή, δυνάμει των διατάξεων του παρόντος Νόμου, απαιτείται να ασκούνται κατά τρόπο που να μη θίγουν τις αρμοδιότητες, τα καθήκοντα και τις εξουσίες των εποπτικών, εθνικών ή υπερεθνικών αρχών που αναφέρονται στις διατάξεις της παρούσας παραγράφου, (λδ) συνάπτει μνημόνια συνεργασίας με φορείς που διέπονται από τον παρόντα Νόμο ή άλλες αρχές ή οργανισμούς ή εταιρείες που συνεργάζονται με την Αρχή:

Νοείται ότι, η Αρχή δύναται να συνάπτει μνημόνια συνεργασίας με τις εθνικές ομάδες αντιμετώπισης περιστατικών ασφάλειας σε υπολογιστές, τρίτης χώρας και στο πλαίσιο αυτό, η Αρχή διευκολύνει την αποτελεσματική, αποδοτική και ασφαλή ανταλλαγή πληροφοριών με τις εν λόγω εθνικές ομάδες αντιμετώπισης περιστατικών ασφαλείας σε υπολογιστές τρίτης χώρας, χρησιμοποιώντας σχετικά πρωτόκολλα ανταλλαγής πληροφοριών, συμπεριλαμβανομένου του πρωτοκόλλου φωτεινού σηματοδότη (Traffic Light Protocol – TLP):

Νοείται περαιτέρω ότι, η Αρχή δύναται να ανταλλάσσει σχετικές πληροφορίες με εθνικές ομάδες αντιμετώπισης περιστατικών ασφαλείας σε υπολογιστές τρίτης χώρας, συμπεριλαμβανομένων δεδομένων προσωπικού χαρακτήρα δυνάμει των διατάξεων του περί Προστασίας των Φυσικών Προσώπων Έναντι της Επεξεργασίας των Δεδομένων Προσωπικού Χαρακτήρα και της Ελεύθερης Κυκλοφορίας των Δεδομένων αυτών Νόμο και του Κανονισμού (ΕΕ) 2016/679, (λε) συνάπτει, τηρουμένων των διατάξεων οποιωνδήποτε άλλων νομικών πράξεων εκδίδει η Ευρωπαϊκή Ένωση, μνημόνια συνεργασίας ή/και συμφωνίες, όπου κρίνεται απαραίτητο, με εποπτικές αρχές οι οποίες εποπτεύουν αδειοδοτημένα ιδρύματα για τα οποία εφαρμόζονται οι διατάξεις του παρόντος Νόμου και στα εν λόγω μνημόνια συνεργασίας ή/και συμφωνίες, δύναται να προσδιορίζεται ο τρόπος εφαρμογής των διατάξεων που ενεργοποιούνται με τον καθορισμό των αδειοδοτημένων ιδρυμάτων βασικών ή σημαντικών οντοτήτων ή άλλως πως, (λστ) εκδίδει, στο πλαίσιο της αποτελεσματικής άσκησης των αρμοδιοτήτων και εξουσιών της, Αποφάσεις για την εφαρμογή ενωσιακών Κανονισμών, την εναρμόνιση με ενωσιακή Οδηγία, Απόφαση, Εκτελεστικό Κανονισμό, κατ’ εξουσιοδότηση Κανονισμό, Σύσταση και κάθε άλλη σχετική πράξη της Ευρωπαϊκής Ένωσης ή/και για την αποσαφήνιση διατάξεων του παρόντος Νόμου∙ (λζ) ενεργεί ως η αρμόδια αρχή για τη διαχείριση περιστατικών και κρίσεων μεγάλης κλίμακας στον τομέα της κυβερνοασφάλειας ως η αρχή διαχείρισης κυβερνοκρίσεων∙ (λη) λαμβάνει κοινοποιήσεις σοβαρών περιστατικών δυνάμει των διατάξεων του άρθρου 35Β καθώς και περιστατικών κυβερνοαπειλών και παρ’ ολίγον περιστατικών δυνάμει των διατάξεων του άρθρου 42 ∙ (λθ) συμμετέχει σε αξιολογήσεις από ομότιμους δυνάμει των διατάξεων του άρθρου 34Α∙ (μ) χρησιμοποιεί τα απαραίτητα μέσα για την άσκηση αποτελεσματικής εποπτείας των οντοτήτων οι οποίες εμπίπτουν στο πεδίο εφαρμογής του παρόντος Νόμου και λαμβάνει τα αναγκαία μέτρα για να εξασφαλίσει τη συμμόρφωσή τους δυνάμει των διατάξεων του παρόντος Νόμου∙ και (μα) δημιουργεί και τηρεί μητρώο με παροχείς υπηρεσιών DNS, μητρώα ονομάτων TLD, οντότητες που παρέχουν υπηρεσίες καταχώρισης ονομάτων τομέα, παροχείς υπηρεσιών υπολογιστικού νέφους, παροχείς υπηρεσιών κέντρων δεδομένων, παροχείς δικτύων διανομής περιεχομένου, παροχείς διαχειριζομένων υπηρεσιών, παροχείς διαχειριζομένων υπηρεσιών ασφάλειας καθώς και παροχείς επιγραμμικών αγορών, παροχείς επιγραμμικών μηχανών αναζήτησης ή παροχείς πλατφορμών υπηρεσιών κοινωνικής δικτύωσης, τηρουμένων των διατάξεων του άρθρου 37Α.

89(I)/2020 60(I)/2025 Γενική υποχρέωση 18. Η Αρχή υποχρεούται να διασφαλίζει ότι, κατά την ως άνω άσκηση των αρμοδιοτήτων της, τηρούνται οι αρχές της ίσης μεταχείρισης, της αντικειμενικότητας και της αναλογικότητας.

89(I)/2020 ΜΕΡΟΣ ΕΚΤΟ ΕΞΑΣΦΑΛΙΣΗ ΠΛΗΡΟΦΟΡΙΩΝ ΚΑΙ ΑΛΛΕΣ ΕΞΟΥΣΙΕΣ, ΔΙΑΤΑΓΜΑΤΑ, ΑΠΟΦΑΣΕΙΣ, ΕΡΕΥΝΕΣ ΚΑΙ ΣΥΜΒΟΥΛΕΥΤΙΚΑ ΣΩΜΑΤΑ Εξασφάλιση πληροφοριών 19.-(1) Για τη διασφάλιση της καλύτερης ενάσκησης των αρμοδιοτήτων και εξουσιών της, η Αρχή, συμμορφούμενη με την αρχή της αναλογικότητας, με αιτιολογημένο αίτημα, έχει την εξουσία να απαιτεί από- (α1) τις βασικές ή/και σημαντικές οντότητες ή/και από τους παροχείς σταθερών και κινητών επικοινωνιών, όπως, τηρουμένων των διατάξεων των εδαφίων (2) και (3) του άρθρου 2 και εφόσον η Αρχή κρίνει σκόπιμο κατόπιν αιτήματος της Αστυνομίας ή/και της Κυπριακής Υπηρεσίας Πληροφοριών, παρέχουν στην Αρχή ή/και στην Αστυνομία ή/και στην Κυπριακή Υπηρεσία Πληροφοριών τις απαραίτητες πληροφορίες για σκοπούς δημόσιας τάξης και εθνικής ασφάλειας, (β) τις βασικές ή/και σημαντικές οντότητες να παρέχουν τις απαιτούμενες πληροφορίες για την εκτίμηση της ασφάλειας των δικτύων και συστημάτων πληροφοριών, συμπεριλαμβανομένων, να αποκαθιστούν οποιαδήποτε παράλειψη συμμόρφωσης ή/και να παρέχουν στοιχεία που να αποδεικνύουν την ουσιαστική εφαρμογή πολιτικών ασφάλειας, όπως αποτελέσματα επιθεώρησης ασφάλειας που να έχει διενεργηθεί είτε από την ίδια είτε από εξουσιοδοτημένο επιθεωρητή και στη δεύτερη αυτή περίπτωση να θέτουν τα αποτελέσματά τους, καθώς και τα σχετικά στοιχεία στη διάθεσή της και οι ζητούμενες πληροφορίες χρησιμοποιούνται και διατηρούνται από την ίδια για τη διασφάλιση της συμμόρφωσης των βασικών ή/και σημαντικών οντοτήτων με τις υποχρεώσεις τους που απορρέουν από τις διατάξεις του παρόντος Νόμου, τις πρόνοιες των Κανονισμών που εκδίδονται δυνάμει του παρόντος Νόμου και τις διατάξεις των Αποφάσεων της Αρχής που εκδίδονται για εφαρμογή των διατάξεων του παρόντος Νόμου:

Νοείται ότι, πληροφορίες που εξασφαλίζονται από την Αρχή, σύμφωνα με τις διατάξεις του παρόντος εδαφίου, αφορούν την προαγωγή των σκοπών που αναφέρονται στις διατάξεις των άρθρων 15 και 16 και στην εκτέλεση των αρμοδιοτήτων, εξουσιών και καθηκόντων της Αρχής που αναφέρονται στις διατάξεις του άρθρου 17 και δεν δύναται να χρησιμοποιηθούν για οποιοδήποτε σκοπό άλλον από εκείνον για τον οποίο είχαν ζητηθεί.

Νοείται ότι, σε μια τέτοια περίπτωση, οποιαδήποτε αποκάλυψη είναι αναλογική και λαμβάνει υπόψη τα νόμιμα συμφέροντα των προσώπων προς διασφάλιση των επιχειρηματικών τους μυστικών.

89(I)/2020 60(I)/2025 Άλλες εξουσίες 20.-(1) Η Αρχή έχει εξουσία να: (α) Επιτηρεί τη συμμόρφωση με τις υποχρεώσεις που επιβάλλουν οι διατάξεις του παρόντος Νόμου και/ή οι διατάξεις των Αποφάσεων που εκδίδονται δυνάμει των διατάξεων του παρόντος Νόμου, στις βασικές ή/και σημαντικές οντότητες, (β) απαιτεί από οποιαδήποτε βασική ή/και σημαντική οντότητα ή άλλο πρόσωπο, οποιαδήποτε πληροφορία, την οποία δυνατό να κρίνει ευλόγως ως αναγκαία, για σκοπούς άσκησης των αρμοδιοτήτων και εξουσιών της και εκτέλεσης των καθηκόντων της, συμπεριλαμβανομένων πληροφοριών που πηγάζουν από την τοποθέτηση αισθητήρων, με σκοπό τον εντοπισμό κακόβουλων λογισμικών, σε εσωτερικά δίκτυα ή/και σε εξωτερικά δίκτυα, χωρίς επηρεασμό των διατάξεων των εδαφίων (4) και (5) του άρθρου 31Α:

Νοείται ότι, η τοποθέτηση αισθητήρων από την Αρχή σε εσωτερικά δίκτυα μπορεί να γίνει μόνο κατόπιν αιτήματος της βασικής ή/και σημαντικής οντότητας ή συναίνεσής της ή/και για λόγους εθνικής ασφάλειας, τηρουμένων των διατάξεων του εδαφίου (3) του άρθρου 15, (γ) καθορίζει με Απόφασή της τα μέτρα διαχείρισης κινδύνων στον τομέα της κυβερνοασφάλειας και τις διαδικασίες κοινοποίησης περιστατικών ψηφιακής ασφάλειας και επιτηρεί τη συμμόρφωση με αυτά και, όπου αυτό είναι αναγκαίο, διατάσσει τη λήψη διορθωτικών μέτρων, (δ) εκδίδει οποιεσδήποτε Αποφάσεις είναι αναγκαίες για εξασφάλιση συμμόρφωσης με τις διατάξεις του παρόντος Νόμου, (ε) επιβάλλει διοικητικά πρόστιμα στις βασικές ή/και σημαντικές οντότητες για παράβαση των διατάξεων του παρόντος Νόμου ή των Αποφάσεων που εκδίδονται δυνάμει αυτού, (στ) κλητεύει και εξαναγκάζει, κατά τον καθορισμένο σε Απόφαση τρόπο, την παρουσία μαρτύρων σε έρευνες.

89(I)/2020 60(I)/2025 Έκδοση αποφάσεων 21.-(1) Πριν από την έκδοση Απόφασης δυνάμει των διατάξεων της παραγράφου (δ) του εδαφίου (1) του άρθρου 20, ειδοποιείται οποιοδήποτε πρόσωπο το οποίο κατά τη γνώμη της Αρχής επηρεάζεται ή είναι δυνατό να επηρεαστεί από την Απόφαση και παρέχεται σε αυτό η ευκαιρία να ακουστεί εντός δέκα (10) εργάσιμων ημερών από την ειδοποίηση περί της έκδοσης Απόφασης:

Νοείται ότι, η Αρχή δεν υποχρεούται να δώσει ειδοποίηση προ της έκδοσης Απόφασης σε περίπτωση επείγουσας φύσεως κατ’ απόλυτη κρίση της Αρχής, αλλά σε τέτοιες περιπτώσεις η Αρχή καλεί τον επηρεαζόμενο να εκφράσει απόψεις, εντός δέκα (10) εργάσιμων ημερών από την έκδοση της απόφασης, ως προς το γιατί η Απόφαση πρέπει να ανακληθεί ή τροποποιηθεί.

89(I)/2020 Ποινικό αδίκημα 22. Πρόσωπο, το οποίο χωρίς εύλογη αιτία παραλείπει να συμμορφωθεί με τις διατάξεις του άρθρου 21 διαπράττει ποινικό αδίκημα και, σε περίπτωση καταδίκης, τιμωρείται με ποινή φυλάκισης που δεν υπερβαίνει το ένα έτος ή με χρηματική ποινή που δεν υπερβαίνει τις πέντε χιλιάδες ευρώ (€5.000) ή και στις δύο αυτές ποινές.

89(I)/2020 Διεξαγωγή έρευνας 23.-(1) Η Αρχή δύναται αυτεπάγγελτα, να διεξαγάγει έρευνα για τις δραστηριότητες και λειτουργίες οποιασδήποτε βασικής ή/και σημαντικής οντότητας οι οποίες κρίνεται ότι δεν συνάδουν με τις διατάξεις και με την εφαρμογή του παρόντος Νόμου και κατ’ ακολουθία να προβαίνει σε συστάσεις και να εκδίδει Αποφάσεις, όπως κατά τη γνώμη της, είναι πρόσφορο.

Νοείται ότι εν πάση περιπτώσει ουδείς είναι υπόχρεος να απαντήσει, εάν η απάντηση δυνατό να τον ενοχοποιεί σε σχέση με ποινικό αδίκημα ή εάν συνιστά παραβίαση του απορρήτου της επικοινωνίας δικηγόρου-πελάτη ή/και παρεμποδίζει ή διακόπτει την ενώπιον της Αρχής διαδικασία.

89(I)/2020 60(I)/2025 Διαβουλεύσεις/Ακροάσεις 24.-(α) Η Αρχή δύναται να έχει διαβουλεύσεις με εκπροσώπους της Δημοκρατίας, με βασικές ή/και σημαντικές οντότητες και με οποιαδήποτε άλλα πρόσωπα ή οργανισμούς, όπως η Αρχή εκάστοτε κρίνει σκόπιμο. (β) Η διαδικασία διενέργειας διαβουλεύσεων δύναται να ρυθμιστεί με σχετική Απόφαση της Αρχής. (γ) Η Αρχή σε σχέση με την εφαρμογή των αρμοδιοτήτων και εξουσιών της δύναται, όταν κρίνει σκόπιμο, να διεξαγάγει δημόσιες ακροάσεις και η διαδικασία διενέργειας δημόσιων ακροάσεων δύναται να ρυθμιστεί με σχετική Απόφαση της Αρχής. (δ) Η Αρχή δύναται να εκδώσει Απόφαση με την οποία να καθορίζει τη διαδικασία ακρόασης προσώπων, ιδίως σε περιπτώσεις επιβολής διοικητικών προστίμων ή/και άλλων διοικητικών κυρώσεων.

89(I)/2020 60(I)/2025 Διορισμός συμβουλευτικών σωμάτων 25. Η Αρχή δύναται να εγκαθιδρύσει συμβουλευτικά σώματα για να τη συμβουλεύσουν επί τοιούτων ζητημάτων, όπως θέλει εκάστοτε κρίνει σκόπιμο, να διορίζει τα μέλη αυτών και να καταβάλλει τα συνεπαγόμενα έξοδα από το Ταμείο της Αρχής.

89(I)/2020 Έκδοση προσωρινών μέτρων 26.-(α) Η Αρχή δύναται, δυνάμει των εξουσιών της και ιδίως κατόπιν αιτήματος από ενδιαφερόμενη βασική ή/και σημαντική οντότητα ή οργανισμό, να λαμβάνει προσωρινά μέτρα, συμπεριλαμβανομένης της έκδοσης προσωρινής Απόφασης, ιδίως σε περιπτώσεις που υπάρχει ενδεχόμενο κινδύνου για την ασφάλεια δικτύων και συστημάτων πληροφοριών. (β) Σε αυτές τις περιπτώσεις η Αρχή ζητά από τα επηρεαζόμενα μέρη να διατυπώσουν τις απόψεις τους, εντός δέκα (10) εργάσιμων ημερών από την έκδοση Απόφασης, αναφορικά με το αν η Απόφαση πρέπει να ανακληθεί η τροποποιηθεί. (γ) Μετά από ακρόαση η Αρχή εκδίδει και κοινοποιεί το ταχύτερο δυνατό την τελική της Απόφαση.

89(I)/2020 60(I)/2025 ΜΕΡΟΣ ΕΒΔΟΜΟ ΒΑΣΙΚΕΣ ΚΑΙ ΣΗΜΑΝΤΙΚΕΣ ΟΝΤΟΤΗΤΕΣ Βασικές και Σημαντικές Οντότητες

Νοείται ότι, οι Αποφάσεις του Επιτρόπου ημερομηνίας 17/8/2020 και 8/11/2021 συνεχίζουν να είναι σε ισχύ, μέχρι να αντικατασταθούν, κατόπιν έργου αξιολόγησης κρισιμότητας, κατά τα προβλεπόμενα στην παράγραφο (β) του εδαφίου (1) του άρθρου 27· και (β) Για σκοπούς εφαρμογής των διατάξεων της παραγράφου (α) του εδαφίου (1), και εκτός εάν προβλέπεται διαφορετικά στον παρόντα Νόμο, η Αρχή δύναται να προσδιορίζει οντότητες ως βασικές οντότητες κατόπιν έργου αξιολόγησης κρισιμότητας, βάσει κριτηρίων που καθορίζει η Αρχή μετά από διαβούλευση με τον Υφυπουργό, τηρουμένων των διατάξεων του εδαφίου (7) του παρόντος άρθρου:

Νοείται ότι, τα κριτήρια του έργου αξιολόγησης κρισιμότητας καθορίζονται από την Αρχή και εγκρίνονται με Απόφαση του Υπουργικού Συμβουλίου πριν την εφαρμογή τους και ισχύουν μέχρι να τροποποιηθούν με νέα Απόφαση του Υπουργικού Συμβουλίου.

Νοείται ότι, οντότητες που αναφέρονται στο εδάφιο (3) κοινοποιούν τυχόν αλλαγές στα στοιχεία που υποβάλλονται σύμφωνα με το παρόν εδάφιο, αμελλητί και, σε κάθε περίπτωση, εντός δύο (2) εβδομάδων από την ημερομηνία της αλλαγής:

Νοείται περαιτέρω ότι, η Αρχή δύναται να θεσπίζει εθνικούς μηχανισμούς για να εγγράφονται οι ίδιες οι οντότητες:

Νοείται έτι περαιτέρω ότι, η Αρχή λαμβάνει υπόψη κατευθυντήριες γραμμές και υποδείγματα, τα οποία θεσπίζονται από την Επιτροπή, σχετικά με τις υποχρεώσεις που καθορίζονται στο εδάφιο (3).

Νοείται ότι, τα αποτελέσματα του έργου αξιολόγησης και ο κατάλογος των βασικών και σημαντικών οντοτήτων καθώς και οντοτήτων που παρέχουν υπηρεσίες καταχώρισης ονομάτων τομέα που εγκρίνονται με την Απόφαση του Υπουργικού Συμβουλίου είναι απόρρητα και δεν δημοσιεύονται στην Επίσημη Εφημερίδα της Δημοκρατίας.

89(I)/2020 60(I)/2025 Ασφάλεια από τον σχεδιασμό (security by design) 27Α. Οι νεοσυσταθείσες οντότητες στη Δημοκρατία, οι οποίες εμπίπτουν στο πεδίο εφαρμογής του παρόντος Νόμου και δύναται να προσδιοριστούν ως βασικές ή σημαντικές οντότητες, δυνάμει των διατάξεων του άρθρου 27, ενημερώνουν και να ζητούν τη γνώμη ή/και καθοδήγηση της Αρχής για τα μέτρα ασφάλειας που πρέπει να λαμβάνουν από τον σχεδιασμό/δημιουργία (security by design) των μηχανογραφικών υποδομών τους καθώς και τις υποχρεώσεις στις οποίες υπόκεινται από την ημέρα έναρξης παροχής των υπηρεσιών τους, τηρουμένων των διατάξεων του άρθρου 39.

60(I)/2025 Υποχρέωση ενημέρωσης της Αρχής 27Β. Χωρίς επηρεασμό των διατάξεων του άρθρου 27, νεοσυστα-θείσες οντότητες ή/και οντότητες που εμπίπτουν στο πεδίο εφαρμογής του άρθρου 2Α του παρόντος Νόμου και δεν συμπεριλήφθηκαν στον κατάλογο των βασικών και σημαντικών οντότητων που καταρτίζει η Αρχή σύμφωνα με το έδαφιο (3) του άρθρου 27, οφείλουν να ενημερώνουν την Αρχή για σκοπούς αξιολόγησής τους.

60(I)/2025 Σοβαρή διατάραξη 28. [Διαγράφηκε] Ιστορικό Τροποποιήσεων 89(I)/2020 60(I)/2025 ΜΕΡΟΣ ΟΓΔΟΟ ΠΛΑΙΣΙΟ ΓΙΑ ΤΗΝ ΑΣΦΑΛΕΙΑ ΔΙΚΤΥΩΝ ΚΑΙ ΣΥΣΤΗΜΑΤΩΝ ΠΛΗΡΟΦΟΡΙΩΝ Εθνική στρατηγική κυβερνοασφάλειας

Νοείται ότι, η ενεργή κυβερνοπροστασία, χωρίς περιορισμό, συνίσταται στην πρόληψη, τον εντοπισμό, την παρακολούθηση, την ανάλυση και τον μετριασμό των παραβιάσεων της ασφάλειας των δικτύων με ενεργό τρόπο, σε συνδυασμό με τη χρήση ικανοτήτων που αναπτύσσονται εντός και εκτός του δικτύου των οντοτήτων:

Νοείται περαιτέρω ότι, οι υπηρεσίες της Αρχής, λαμβάνοντας υπόψη μεταξύ άλλων, τη διαθεσιμότητα πόρων της Αρχής ή/και την κρισιμότητα, δύναται να περιλαμβάνουν κατά την κρίση της, την παροχή δωρεάν υπηρεσιών ή εργαλείων σε ορισμένες οντότητες και για συγκεκριμένη χρονική περίοδο, συμπεριλαμβανομένων των ελέγχων αυτοεξυπηρέτησης, των εργαλείων ανίχνευσης, των υπηρεσιών απόσυρσης (takedown services) και εγκατάστασης αισθητήρων δυνάμει των διατάξεων της παραγράφου (β) του εδαφίου (1) του άρθρου 20.

89(I)/2020 60(I)/2025 Αρμόδια εθνική αρχή και ενιαίο σημείο επαφής 30.-(1) Η Αρχή η οποία ορίστηκε ως αρμόδια εθνική αρχή για την ασφάλεια των δικτύων και συστημάτων πληροφοριών, σύμφωνα με τις διατάξεις του περί Ασφάλειας Δικτύων και Συστημάτων Πληροφοριών Νόμου του 2018, συνεχίζει να είναι η αρμόδια αρχή για την κυβερνοασφάλεια, υπέχει τα καθήκοντα εποπτείας και επιβολής ως προνοούνται στις διατάξεις του παρόντος Νόμου και υπέχει τα καθήκοντα της αρχής διαχείρισης κυβερνοκρίσεων δυνάμει των διατάξεων του άρθρου 32Α.

89(I)/2020 60(I)/2025 Ομάδα αντιμετώπισης περιστατικών ασφάλειας σε υπολογιστές (εθνικό CSIRT) 31.-(1) Το εθνικό CSIRT συμμορφώνεται με τις απαιτήσεις που ορίζονται στο εδάφιο (1) του άρθρου 31Α, καλύπτει τουλάχιστον τους τομείς, τους υποτομείς και τους τύπους οντοτήτων που αναφέρονται στα Παραρτήματα Ι και ΙΙ και είναι υπεύθυνο για τον χειρισμό περιστατικών σύμφωνα με σαφώς καθορισμένη διαδικασία.

Νοείται ότι, η εν λόγω συνεργασία καθώς και η ανταλλαγή των σχετικών πληροφοριών με Εθνικές Ομάδες Αντιμετώπισης Περιστατικών Ασφάλειας σε Υπολογιστές (CSIRTs) τρίτης χώρας, συμπεριλαμβανομένων των δεδομένων προσωπικού χαρακτήρα, διενεργείται σύμφωνα με τον περί Προστασίας των Φυσικών Προσώπων Έναντι της Επεξεργασίας των Δεδομένων Προσωπικού Χαρακτήρα και της Ελεύθερης Κυκλοφορίας των Δεδομένων αυτών Νόμο και τον Κανονισμό (ΕΕ) 2016/679.

89(I)/2020 60(I)/2025 Απαιτήσεις, τεχνικές ικανότητες και καθήκοντα του εθνικού CSIRT 31Α.-(1) Το εθνικό CSIRT συμμορφώνεται με τις ακόλουθες απαιτήσεις: (α) εξασφαλίζει υψηλό επίπεδο διαθεσιμότητας των διαύλων επικοινωνίας του, αποφεύγοντας μοναδικά σημεία αστοχίας και διαθέτει διάφορους τρόπους για εισερχόμενη και εξερχόμενη επικοινωνία με τρίτους ανά πάσα στιγμή, προσδιορίζει σαφώς τους διαύλους επικοινωνίας και τους γνωστοποιεί στις οντότητες που εποπτεύει η Αρχή και στους συνεργαζόμενους εταίρους· (β) οι εγκαταστάσεις του εθνικού CSIRT και τα υποστηρικτικά πληροφοριακά συστήματα βρίσκονται σε ασφαλείς χώρους· (γ) είναι εφοδιασμένο με κατάλληλο σύστημα διαχείρισης και δρομολόγησης αιτημάτων, ιδίως προκειμένου να διευκολύνεται η αποτελεσματική και αποδοτική παράδοση καθηκόντων· (δ) διασφαλίζει την εμπιστευτικότητα και την αξιοπιστία των δραστηριοτήτων του· (ε) είναι επαρκώς στελεχωμένο ώστε να διασφαλίζει τη διαθεσιμότητα των υπηρεσιών του ανά πάσα στιγμή και διασφαλίζει ότι το προσωπικό του είναι κατάλληλα καταρτισμένο· (στ) είναι εξοπλισμένο με πλεονάζοντα συστήματα και εφεδρικό χώρο εργασίας για τη διασφάλιση της συνέχειας των υπηρεσιών του.

Νοείται ότι, κατά την εκτέλεση των καθηκόντων που αναφέρονται στο παρόν εδάφιο, το εθνικό CSIRT μπορεί να δίνει προτεραιότητα σε συγκεκριμένα καθήκοντα στο πλαίσιο προσέγγισης βάσει κινδύνου.

60(I)/2025 Συντονισμένη γνωστοποίηση ευπαθειών και Ευρωπαϊκή βάση δεδομένων ευπαθειών 31Β.-(1) Για σκοπούς της συντονισμένης γνωστοποίησης ευπαθειών, το εθνικό CSIRT ενεργεί ως συντονιστής, και, κατ’ εφαρμογή των συντονιστικών του καθηκόντων, ενεργεί ως αξιόπιστος διαμεσολαβητής, διευκολύνοντας, όπου απαιτείται, την αλληλεπίδραση μεταξύ του φυσικού ή νομικού προσώπου που αναφέρει την ευπάθεια και του κατασκευαστή ή του παροχέα των δυνητικά ευπαθών προϊόντων ΤΠΕ ή υπηρεσιών ΤΠΕ, κατόπιν αιτήματος ενός εκ των μερών.

60(I)/2025 Συνεργασία σε εθνικό επίπεδο 32.-(1) Η Αρχή, ως αρμόδια αρχή και ως ενιαίο σημείο επαφής και ως το εθνικό CSIRT, συνεργάζεται με τα τομεακά CSIRT και άλλες αρμόδιες αρχές για σκοπούς της τήρησης των υποχρεώσεων που προβλέπονται στις διατάξεις του παρόντος Νόμου.

89(I)/2020 60(I)/2025 Εθνικό πλαίσιο διαχείρισης κυβερνοκρίσεων 32Α.-(1) Η Αρχή ως η αρμόδια αρχή για τη διαχείριση περιστατικών και κρίσεων μεγάλης κλίμακας στον τομέα της κυβερνοασφάλειας (αρχή διαχείρισης κυβερνοκρίσεων), διασφαλίζει ότι διαθέτει επαρκείς πόρους για την αποτελεσματική και αποδοτική εκτέλεση των καθηκόντων της δυνάμει του παρόντος Νόμου και ότι υπάρχει συνοχή με τα υφιστάμενα πλαίσια για τη γενική εθνική διαχείριση κρίσεων στον τομέα της κυβερνοασφάλειας.

Νοείται ότι, στις περιπτώσεις που εμπλέκεται ο χρηματοοικονομικός τομέας, η Αρχή λειτουργεί ως συντονιστής σε συνεργασία με την Κεντρική Τράπεζα της Κύπρου ως η Εθνική μακροπροληπτική αρχή.

60(I)/2025 ΜΕΡΟΣ ΕΝΝΑΤΟ ΣΥΝΕΡΓΑΣΙΑ ΚΑΙ ΑΞΙΟΛΟΓΗΣΕΙΣ ΑΠΟ ΟΜΟΤΙΜΟΥΣ Ομάδα Συνεργασίας, Δίκτυο CSIRT και Ευρωπαϊκό δίκτυο οργανώσεων διασύνδεσης για κρίσεις στον κυβερνοχώρο (EU-CyCLONe) 33.-(1) Εκπρόσωποι της Αρχής, και κατ’ εφαρμογή της παραγράφου (2) του άρθρου 8 της Οδηγίας (ΕΕ) 2022/2555, συμμετέχουν στην ομάδα Συνεργασίας, η οποία έχει συγκροτηθεί και λειτουργεί δυνάμει των διατάξεων του άρθρου 14 της Οδηγίας (ΕΕ) 2022/2555 και συμβάλλουν στις σχετικές εργασίες της Ομάδας Συνεργασίας, συμπεριλαμβανομένων, μεταξύ άλλων, των άρθρων 14 και του άρθρου 22 της Οδηγίας (ΕΕ) 2022/2555.

89(I)/2020 60(I)/2025 Συνεργασία με εθνικούς και διεθνείς φορείς 34. Η Αρχή δύναται- (α) να συνεργάζεται με φορείς του ιδιωτικού και δημόσιου τομέα, σε εθνικό επίπεδο, (β) να συνεργάζεται με φορείς του ιδιωτικού και δημόσιου τομέα σε διεθνές επίπεδο και να εκπροσωπεί την Δημοκρατία σε διεθνείς οργανισμούς σε θέματα που άπτονται των αρμοδιοτήτων της, με την επιφύλαξη όσων ορίζονται διαφορετικά σε διεθνείς συμφωνίες. (γ) να συμμετέχει αποτελεσματικά σε προγράμματα ανταλλαγής λειτουργών από άλλα κράτη μέλη, εντός ειδικού πλαισίου και, κατά περίπτωση, λαμβάνοντας την απαιτούμενη εξουσιοδότηση ασφαλείας των λειτουργών που συμμετέχουν στα εν λόγω προγράμματα ανταλλαγής, με σκοπό τη βελτίωση της συνεργασίας και ενίσχυση της εμπιστοσύνης των κρατών μελών.

89(I)/2020 60(I)/2025 Αξιολογήσεις από ομότιμους 34Α.-(1)(α) Η Αρχή συμμετέχει σε αξιολογήσεις από ομότιμους και η συμμετοχή της σε αυτές είναι προαιρετική. (β) Οι αξιολογήσεις από ομότιμους διενεργούνται δυνάμει των διατάξεων του άρθρου 19 της Οδηγίας (ΕΕ) 2022/2555, από εμπειρογνώμονες στον τομέα της κυβερνοασφάλειας. (γ) Οι εμπειρογνώμονες στον τομέα της κυβερνοασφάλειας ορίζονται από τουλάχιστον δύο (2) κράτη μέλη, διαφορετικά από το κράτος μέλος που εξετάζεται.

Νοείται ότι, οι ορισθέντες από την Αρχή εμπειρογνώμονες στον τομέα της κυβερνοασφάλειας λαμβάνουν υπόψη τους κώδικες δεοντολογίας που εκδίδονται από την Ομάδα Συνεργασίας σε συνεργασία με την Επιτροπή και τον ENISA.

60(I)/2025 Ρυθμίσεις για την ανταλλαγή πληροφοριών στον τομέα της κυβερνοασφάλειας 34Β.-(1) Οι βασικές και σημαντικές οντότητες που εμπίπτουν στο πεδίο εφαρμογής του παρόντος Νόμου και, κατά περίπτωση, άλλες οντότητες που δεν εμπίπτουν στο πεδίο εφαρμογής του παρόντος Νόμου δύναται να ανταλλάσσουν μεταξύ τους, σε εθελοντική βάση, πληροφορίες σχετικές με την κυβερνοασφάλεια, συμπεριλαμβανομένων πληροφοριών που αφορούν κυβερνοαπειλές, παρ’ ολίγον περιστατικά, ευπάθειες, τεχνικές και διαδικασίες, ενδείξεις της παραβίασης (indicators of compromise), εχθρικές τακτικές, πληροφορίες που αφορούν συγκεκριμένους παράγοντες απειλής (threat actor specific information), προειδοποιήσεις για την κυβερνοασφάλεια και συστάσεις σχετικά με την παραμετροποίηση εργαλείων κυβερνοασφάλειας για τον εντοπισμό κυβερνοεπιθέσεων, στον βαθμό που η εν λόγω ανταλλαγή πληροφοριών- (α) αποσκοπεί στην πρόληψη, τον εντοπισμό, την αντιμετώπιση ή την ανάκαμψη από περιστατικά ή στον μετριασμό των επιπτώσεών τους· (β) ενισχύει το επίπεδο της κυβερνοασφάλειας, ιδίως μέσω της ευαισθητοποίησης σχετικά με τις κυβερνοαπειλές, του περιορισμού ή της παρεμπόδισης της ικανότητας διάδοσης των εν λόγω απειλών, της στήριξης μιας σειράς αμυντικών ικανοτήτων, της αποκατάστασης και της γνωστοποίησης ευπαθειών, της ανίχνευσης απειλών, των τεχνικών περιορισμού και πρόληψης, των στρατηγικών μετριασμού ή των σταδίων αντίδρασης και ανάκαμψης ή της προώθησης της συνεργατικής έρευνας για τις κυβερνοαπειλές μεταξύ δημόσιων και ιδιωτικών φορέων.

60(I)/2025 Αμοιβαία συνδρομή 34Γ.-(1)(α) Όταν μια οντότητα παρέχει υπηρεσίες σε περισσότερα του ενός κράτη μέλη ή παρέχει υπηρεσίες σε ένα ή περισσότερα κράτη μέλη και τα συστήματα δικτύου και πληροφοριών της βρίσκονται σε ένα ή περισσότερα άλλα κράτη μέλη, η Αρχή συνεργάζεται με τις αρμόδιες αρχές των ενδιαφερόμενων κρατών μελών και παρέχει αμοιβαία συνδρομή, ανάλογα με τις ανάγκες. (β) Η συνεργασία αυτή συνεπάγεται, τουλάχιστον, ότι: (i) Σε περίπτωση που η Αρχή εφαρμόζει μέτρα εποπτείας ή επιβολής στη Δημοκρατία ενημερώνει και διαβουλεύεται με τις αρμόδιες αρχές των άλλων ενδιαφερόμενων κρατών μελών σχετικά με τα μέτρα εποπτείας και επιβολής που λαμβάνει και το αντίστροφο· (ii) η Αρχή δύναται να ζητήσει από άλλη αρμόδια αρχή να λάβει τα μέτρα εποπτείας ή επιβολής και το αντίστροφο· (iii) η Αρχή, μόλις λάβει τεκμηριωμένο αίτημα από άλλη αρμόδια αρχή, παρέχει στην άλλη αρμόδια αρχή αμοιβαία συνδρομή ανάλογη προς τους πόρους που διαθέτει η ίδια, ώστε τα μέτρα εποπτείας ή επιβολής να μπορούν να εφαρμοστούν με αποτελεσματικό, αποδοτικό και συνεπή τρόπο και το αντίστροφο:

Νοείται ότι, η αμοιβαία συνδρομή που αναφέρεται στην υποπαράγραφο (iii) δύναται να καλύπτει αιτήματα παροχής πληροφοριών και εποπτικά μέτρα, συμπεριλαμβανομένων αιτημάτων για τη διενέργεια επιτόπιων επιθεωρήσεων ή μη επιτόπιας εποπτείας ή στοχευμένων ελέγχων ασφάλειας:

Νοείται περαιτέρω ότι, η Αρχή όταν λαμβάνει αίτημα συνδρομής δεν απορρίπτει την αίτηση αυτή, εκτός εάν διαπιστωθεί ότι δεν είναι αρμόδια να παράσχει τη ζητούμενη συνδρομή, ότι η ζητούμενη συνδρομή δεν είναι ανάλογη προς τα εποπτικά της καθήκοντα ή ότι η αίτηση αφορά πληροφορίες ή συνεπάγεται δραστηριότητες οι οποίες, εάν κοινοποιηθούν ή εκτελεστούν, αντιτίθενται προς τα βασικά συμφέροντα εθνικής ασφάλειας, δημόσιας ασφάλειας ή άμυνας της Δημοκρατίας:

Νοείται έτι περαιτέρω ότι, η Αρχή πριν απορρίψει το εν λόγω αίτημα, διαβουλεύεται με τις άλλες οικείες αρμόδιες αρχές, καθώς και, κατόπιν αιτήματος ενός από τα ενδιαφερόμενα κράτη μέλη, με την Επιτροπή και τον ENISA.

60(I)/2025 ΜΕΡΟΣ ΔΕΚΑΤΟ ΜΕΤΡΑ ΔΙΑΧΕΙΡΙΣΗΣ ΚΙΝΔΥΝΩΝ ΣΤΟΝ ΤΟΜΕΑ ΤΗΣ ΚΥΒΕΡΝΟΑΣΦΑΛΕΙΑΣ, ΥΠΟΧΡΕΩΣΕΙΣ ΚΟΙΝΟΠΟΙΗΣΗΣ ΠΕΡΙΣΤΑΤΙΚΩΝ, ΕΠΟΠΤΕΙΑ ΚΑΙ ΕΠΙΒΟΛΗ Μέτρα διαχείρισης κινδύνων στον τομέα της κυβερνοασφάλειας 35.-(1)(α) Οι βασικές και σημαντικές οντότητες λαμβάνουν κατάλληλα και αναλογικά τεχνικά, επιχειρησιακά και οργανωτικά μέτρα για τη διαχείριση των κινδύνων όσον αφορά την ασφάλεια συστημάτων δικτύου και πληροφοριών που χρησιμοποιούν για τις δραστηριότητές τους ή για την παροχή των υπηρεσιών τους και για την πρόληψη ή ελαχιστοποίηση των επιπτώσεων των περιστατικών στους αποδέκτες των υπηρεσιών τους ή σε άλλες υπηρεσίες. (β) Λαμβάνοντας υπόψη τις πλέον πρόσφατες τεχνικές δυνατότητες (state-of-the-art) και, κατά περίπτωση, τα σχετικά ευρωπαϊκά και διεθνή πρότυπα καθώς και το κόστος εφαρμογής, τα μέτρα που αναφέρονται στην παράγραφο (α) του εδαφίου (1), οι βασικές και σημαντικές οντότητες εξασφαλίζουν ότι το επίπεδο ασφάλειας των συστημάτων δικτύου και πληροφοριών είναι ανάλογο προς τον εκάστοτε κίνδυνο. (γ) Κατά την αξιολόγηση της αναλογικότητας των εν λόγω μέτρων, λαμβάνονται δεόντως υπόψη ο βαθμός έκθεσης της οντότητας σε κινδύνους, το μέγεθος της οντότητας και η πιθανότητα εμφάνισης περιστατικών και η σοβαρότητά τους, συμπεριλαμβανομένων των κοινωνικών και οικονομικών επιπτώσεών τους.

89(I)/2020 60(I)/2025 Διακυβέρνηση (Governance) 35Α.-(1) H ανώτατη διοίκηση των βασικών και σημαντικών οντοτήτων υποχρεούται να εγκρίνει τα μέτρα διαχείρισης κινδύνων στον τομέα της κυβερνοασφάλειας που λαμβάνουν οι εν λόγω οντότητες προκειμένου να συμμορφώνονται με τις διατάξεις του άρθρου 35, να επιβλέπει την εφαρμογή τους και είναι δυνατό να λογοδοτεί για την εκ μέρους των οντοτήτων παράβαση των υποχρεώσεων βάσει του εν λόγω άρθρου.

60(I)/2025 Υποχρεώσεις κοινοποίησης περιστατικών 35Β.-(1)(α) Οι βασικές και σημαντικές οντότητες κοινοποιούν αμελλητί στην Αρχή, τηρουμένων των διατάξεων του εδαφίου (4), κάθε περιστατικό που έχει σημαντικό αντίκτυπο στην παροχή των υπηρεσιών τους, όπως αναφέρεται στο εδάφιο (3) (σημαντικό περιστατικό). (β) Κατά περίπτωση, οι εν λόγω οντότητες κοινοποιούν, χωρίς αδικαιολόγητη καθυστέρηση, στους αποδέκτες των υπηρεσιών τους σημαντικά περιστατικά που ενδέχεται να επηρεάσουν αρνητικά την παροχή των υπηρεσιών τους. (γ) Οι εν λόγω οντότητες αναφέρουν, μεταξύ άλλων, κάθε πληροφορία που επιτρέπει στην Αρχή να προσδιορίσει τυχόν διασυνοριακές επιπτώσεις του περιστατικού. (δ) Η πράξη κοινοποίησης δεν συνεπάγεται αυξημένη ευθύνη στην κοινοποιούσα οντότητα. (ε) Σε περίπτωση κατά την οποία, οι εν λόγω οντότητες κοινοποιούν στην Αρχή σημαντικό περιστατικό σύμφωνα με τις παραγράφους (α) έως (δ) του εδαφίου (1), η Αρχή διαβιβάζει την κοινοποίηση στο εθνικό CSIRT με την παραλαβή της.