(στ) Η Αρχή, ως ενιαίο σημείο επαφής, σε περίπτωση διασυνοριακού ή διατομεακού σημαντικού περιστατικού, διασφαλίζει ότι λαμβάνει εγκαίρως τις σχετικές πληροφορίες που κοινοποιούνται σύμφωνα με το εδάφιο (4) και, όποτε η Αρχή το κρίνει αναγκαίο, σε συνεννόηση με άλλες αρμόδιες αρχές. (ζ) Οι διαδικασίες και το περιεχόμενο της κοινοποίησης περιστατικού καθώς και οποιαδήποτε σχετικά στοιχεία, ρυθμίζονται με Απόφαση που εκδίδει η Αρχή, δυνάμει των διατάξεων του παρόντος Νόμου.
\n
(2)Κατά περίπτωση, οι βασικές και σημαντικές οντότητες κοινοποιούν αμελλητί στους αποδέκτες των υπηρεσιών τους, οι οποίοι ενδέχεται να επηρεαστούν από σημαντική κυβερνοαπειλή, τυχόν μέτρα ή διορθωτικές ενέργειες που μπορούν να λάβουν για την αντιμετώπιση της συγκεκριμένης απειλής και, κατά περίπτωση, οι εν λόγω οντότητες ενημερώνουν τους αποδέκτες των υπηρεσιών του για τη σημαντική κυβερνοαπειλή:
\n
Νοείται ότι, χωρίς επηρεασμό του εδαφίου (7), σε περίπτωση που υπάρχει σοβαρός λόγος μη ενημέρωσης των αποδεκτών, η οντότητα οφείλει να ενημερώνει, να διαβουλεύεται και να λαμβάνει έγκριση από την Αρχή.
\n
(3)Περιστατικό θεωρείται σημαντικό εάν- (α) έχει προκαλέσει ή μπορεί να προκαλέσει σοβαρή λειτουργική διατάραξη των υπηρεσιών ή οικονομική ζημία για την εν λόγω οντότητα· ή/και (β) έχει επηρεάσει ή μπορεί να επηρεάσει άλλα φυσικά ή νομικά πρόσωπα προκαλώντας σημαντική υλική ή μη υλική ζημία.
\n
(4)Για τους σκοπούς της κοινοποίησης δυνάμει του εδαφίου (1), οι βασικές και σημαντικές οντότητες υποβάλλουν στην Αρχή- (α) χωρίς αδικαιολόγητη καθυστέρηση και σε κάθε περίπτωση εντός έξι (6) ωρών από τη στιγμή που αντιλήφθηκαν το σημαντικό περιστατικό, ενημέρωση, η οποία, κατά περίπτωση, αναφέρει αν υπάρχει υποψία ότι το σημαντικό περιστατικό προκλήθηκε από παράνομες ή κακόβουλες ενέργειες ή δύναται να έχει διασυνοριακό αντίκτυπο· (β) χωρίς αδικαιολόγητη καθυστέρηση και σε κάθε περίπτωση εντός εβδομήντα δύο (72) ωρών από τη στιγμή που έγινε αντιληπτό το σημαντικό περιστατικό, κοινοποίηση περιστατικού, η οποία, κατά περίπτωση, επικαιροποιεί τις πληροφορίες που αναφέρονται στην παράγραφο (α) και αναφέρει μία αρχική αξιολόγηση του σημαντικού περιστατικού, μεταξύ άλλων της σοβαρότητας και των επιπτώσεών του καθώς και, εφόσον υπάρχουν, τις ενδείξεις της παραβίασης· (γ) κατόπιν αιτήματος της Αρχής, ενδιάμεση έκθεση σχετικά με τις σχετικές επικαιροποιήσεις της κατάστασης· (δ) τελική έκθεση το αργότερο μέσα σε ένα μήνα μετά από την υποβολή της κοινοποίησης περιστατικού σύμφωνα με την παράγραφο (β) ή (στ), η οποία περιλαμβάνει τα ακόλουθα: (i) Λεπτομερή περιγραφή του περιστατικού, μεταξύ άλλων της σοβαρότητάς του και των επιπτώσεών του· (ii) το είδος της απειλής ή τη βασική αιτία που ενδεχομένως προκάλεσε το περιστατικό· (iii) εφαρμοζόμενα και εν εξελίξει μέτρα μετριασμού· και (iv) κατά περίπτωση, το διασυνοριακό αντίκτυπο του περιστατικού· (ε) σε περίπτωση εν εξελίξει περιστατικού κατά τον χρόνο υποβολής της τελικής έκθεσης που αναφέρεται στην παράγραφο (δ), οι βασικές και σημαντικές οντότητες υποβάλλουν έκθεση προόδου κάθε δεκαπέντε (15) ημέρες, μετά την υποβολή της κοινοποίησης περιστατικού σύμφωνα με την παράγραφο (β) ή (στ), μέχρι την υποβολή της τελικής έκθεσης η οποία υποβάλλεται εντός δεκαπέντε (15) ημερών από την αποκατάσταση της λειτουργίας του δικτύου ή του πληροφοριακού συστήματος που επηρεάστηκε· και (στ) κατά παρέκκλιση από τα αναφερόμενα στην παράγραφο (β), ο παροχέας υπηρεσιών εμπιστοσύνης κοινοποιεί στην Αρχή, όσον αφορά σημαντικά περιστατικά που επηρεάζουν την παροχή των υπηρεσιών εμπιστοσύνης του, χωρίς αδικαιολόγητη καθυστέρηση και σε κάθε περίπτωση εντός είκοσι τεσσάρων (24) ωρών από τη στιγμή που έλαβε γνώση του σημαντικού περιστατικού.
\n
(5)(α) Η Αρχή παρέχει στην κοινοποιούσα οντότητα, αμελλητί και ει δυνατόν εντός είκοσι τεσσάρων (24) ωρών από τη λήψη της έγκαιρης προειδοποίησης που αναφέρεται στην παράγραφο (α) του εδαφίου (4), απάντηση που συμπεριλαμβάνει αρχική ανατροφοδότηση (feedback) σχετικά με το σημαντικό περιστατικό και, κατόπιν αιτήματος της οντότητας, καθοδήγηση ή επιχειρησιακές συμβουλές σχετικά με την εφαρμογή πιθανών μέτρων μετριασμού. (β) Το εθνικό CSIRT παρέχει πρόσθετη τεχνική υποστήριξη εφόσον το ζητήσει η κοινοποιούσα οντότητα ή εφόσον το κρίνει απαραίτητο η Αρχή. (γ) Σε περίπτωση κατά την οποία υπάρχουν υπόνοιες ότι το σημαντικό περιστατικό αφορά διάπραξη ποινικού αδικήματος, η Αρχή παρέχει επίσης καθοδήγηση σχετικά με την κοινοποίηση του σημαντικού περιστατικού στην Αστυνομία.
\n
(6)(α) Κατά περίπτωση, και ιδίως όταν το σημαντικό περιστατικό αφορά δύο ή περισσότερα κράτη μέλη, η Αρχή ενημερώνει αμελλητί τα άλλα επηρεαζόμενα κράτη μέλη και τον ENISA σχετικά με το σημαντικό περιστατικό. (β) Οι εν λόγω πληροφορίες περιλαμβάνουν το είδος των πληροφοριών που λαμβάνονται σύμφωνα με το εδάφιο (4). (γ) Στο πιο πάνω πλαίσιο η Αρχή διαφυλάσσει, σύμφωνα με το ενωσιακό δίκαιο ή την κείμενη νομοθεσία, την ασφάλεια και τα εμπορικά συμφέροντα της οντότητας καθώς και την εμπιστευτικότητα των παρεχόμενων πληροφοριών.
\n
(7)Σε περίπτωση κατά την οποία, η ευαισθητοποίηση του κοινού είναι αναγκαία για την πρόληψη σημαντικού περιστατικού ή για την αντιμετώπιση συνεχιζόμενου σημαντικού περιστατικού, ή σε περίπτωση που η γνωστοποίηση του σημαντικού περιστατικού είναι προς το δημόσιο συμφέρον, η Αρχή και κατά περίπτωση οι αρμόδιες αρχές ή οι CSIRTs άλλων ενδιαφερόμενων κρατών μελών, μπορούν, κατόπιν διαβούλευσης με την επηρεαζόμενη οντότητα, να ενημερώσουν το κοινό σχετικά με το σημαντικό περιστατικό ή να απαιτήσουν από την εν λόγω οντότητα να το πράξει.
\n
(8)Η Αρχή, ως ενιαίο σημείο επαφής διαβιβάζει κατά περίπτωση, τις κοινοποιήσεις που λαμβάνονται σύμφωνα με το εδάφιο (1) στα ενιαία σημεία επαφής άλλων επηρεαζόμενων κρατών μελών.
\n
(9)(α) Η Αρχή υποβάλλει στον ENISA ανά τρεις (3) μήνες συνοπτική έκθεση, η οποία περιλαμβάνει ανωνυμοποιημένα και συγκεντρωτικά δεδομένα σχετικά με σημαντικά περιστατικά, περιστατικά, κυβερνοαπειλές και παρ’ ολίγον περιστατικά που κοινοποιούνται δυνάμει των διατάξεων του εδαφίου (1) και των διτάξεων του άρθρου 42 του παρόντος Νόμου. (β) Η Αρχή λαμβάνει υπόψη τυχόν τεχνικές οδηγίες που εκδίδει ο ENISA σχετικά με τις παραμέτρους των πληροφοριών που πρέπει να περιλαμβάνονται στη συνοπτική έκθεση.
\n
(10)Η Αρχή παρέχει στην αρμόδια αρχή για την ανθεκτικότητα των κρίσιμων οντοτήτων πληροφορίες σχετικά με σημαντικά περιστατικά, περιστατικά, κυβερνοαπειλές και παρ’ ολίγον περιστατικά που κοινοποιούνται δυνάμει των διατάξεων του εδαφίου (1) και των διατάξεων του άρθρου 42 από οντότητες που προσδιορίζονται ως κρίσιμες οντότητες από την αρμόδια αρχή για την ανθεκτικότητα των κρίσιμων οντοτήτων.
\n
(11)Η Αρχή εφαρμόζει τις εκτελεστικές πράξεις που εκδίδει η Επιτροπή σύμφωνα με τις διατάξεις της παραγράφου (11) του άρθρου 23 της Οδηγίας (ΕΕ) 2022/2555.
\n
(12)(α) Σε περίπτωση κατά την οποία, οι διατάξεις τομεακής νομικής πράξης της Ένωσης απαιτούν από βασικές ή σημαντικές οντότητες να συμμορφωθούν με υποχρεώσεις κοινοποίησης οι οποίες τουλάχιστον ισοδύναμου αποτελέσματος με τις υποχρεώσεις κοινοποίησης που ορίζονται στον παρόντα Νόμο, διασφαλίζεται η συνοχή και η αποτελεσματικότητα του χειρισμού των κοινοποιήσεων περιστατικών. (β) Για τον σκοπό αυτό, οι διατάξεις της τομεακής νομικής πράξης της Ένωσης για την κοινοποίηση περιστατικών οφείλουν όπως παρέχουν στην Αρχή άμεση πρόσβαση στις κοινοποιήσεις περιστατικών που υποβάλλονται σύμφωνα με την τομεακή νομική πράξη της Ένωσης και ειδικότερα, η εν λόγω άμεση πρόσβαση μπορεί να διασφαλιστεί εάν οι κοινοποιήσεις περιστατικών διαβιβάζονται αμελλητί στην Αρχή. (γ) Κατά περίπτωση, η Αρχή οφείλει να θεσπίσει μηχανισμό αυτόματης και άμεσης αναφοράς που να διασφαλίζει τη συστηματική και άμεση ανταλλαγή πληροφοριών σχετικά με τον χειρισμό των εν λόγω κοινοποιήσεων περιστατικών. (δ) Για τους σκοπούς της απλούστευσης της κοινοποίησης και της εφαρμογής του μηχανισμού αυτόματης και άμεσης υποβολής αναφορών, η Αρχή δύναται, σύμφωνα με την τομεακή νομική πράξη της Ένωσης, να χρησιμοποιεί ενιαίο σημείο εισόδου.
\n
60(I)/2025 Εποπτεία και επιβολή 36.-(1) H Αρχή χρησιμοποιεί τα απαραίτητα μέσα για την άσκηση αποτελεσματικής εποπτείας των οντοτήτων που εμπίπτουν στο πεδίο εφαρμογής του παρόντος Νόμου και λαμβάνει τα αναγκαία μέτρα για να εξασφαλίσει τη συμμόρφωσή τους σύμφωνα με τον παρόντα Νόμο.
\n
(2)Η Αρχή δύναται να εκδώσει Απόφαση σχετικά με τον τρόπο αξιολόγησης της συμμόρφωσης των βασικών και σημαντικών οντοτήτων οι οποίες εμπίπτουν στο πεδίο εφαρμογής του παρόντος Νόμου σχετικά με τις υποχρεώσεις τους.
\n
(3)(α) Η Αρχή δύναται να ιεραρχεί τα εποπτικά καθήκοντα και η ιεράρχιση αυτή βασίζεται σε προσέγγιση βάσει κινδύνου. (β) Για τον σκοπό αυτό, κατά την άσκηση των εποπτικών της καθηκόντων, ως αυτά προβλέπονται στα άρθρα 36Α και 36Β, η Αρχή δύναται να θεσπίζει με Απόφασή της, μεθοδολογίες εποπτείας που επιτρέπουν την ιεράρχηση των εν λόγω καθηκόντων με μία προσέγγιση βάσει κινδύνου.
\n
(4)[Διαγράφηκε].
\n
(5)[Διαγράφηκε].
\n
(6)[Διαγράφηκε].
\n
(7)Κατά την αντιμετώπιση περιστατικών τα οποία οδηγούν σε παραβιάσεις προσωπικών δεδομένων, η Αρχή συνεργάζεται στενά με τον Επίτροπο Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, με την επιφύλαξη της απορρέουσας αρμοδιότητας και των καθηκόντων δυνάμει του Κανονισμού (ΕΕ) 2016/679.
\n
(8)(α) Με την επιφύλαξη του νομοθετικού και θεσμικού πλαισίου της Δημοκρατίας, η Αρχή, κατά την άσκηση των αρμοδιοτήτων της και ιδιαίτερα κατά την εποπτεία της συμμόρφωσης των οντοτήτων δημόσιας διοίκησης και την πρόβλεψη και εφαρμογή μέτρων επιβολής για παραβιάσεις του παρόντος Νόμου, είναι λειτουργικά ανεξάρτητη και ασκεί τις εξουσίες και τα καθήκοντά της με λειτουργική ανεξαρτησία έναντι των εποπτευόμενων οντοτήτων δημόσιας διοίκησης. (β) Η Αρχή δύναται να αποφασίσει την επιβολή κατάλληλων, αναλογικών και αποτελεσματικών μέτρων εποπτείας και επιβολής σε σχέση με τις εν λόγω οντότητες σύμφωνα με το εθνικό νομοθετικό και θεσμικό πλαίσιο.
\n
89(I)/2020 60(I)/2025 Μέτρα εποπτείας και επιβολής βασικών οντοτήτων 36Α.-(1) Τα μέτρα εποπτείας ή επιβολής που επιβάλλονται σε βασικές οντότητες, σε σχέση με τις υποχρεώσεις που ορίζονται στον παρόντα Νόμο για τις βασικές οντότητες, είναι αποτελεσματικά, αναλογικά και αποτρεπτικά, λαμβάνοντας υπόψη τις περιστάσεις κάθε μεμονωμένης περίπτωσης.
\n
(2)Η Αρχή, κατά την άσκηση των εποπτικών της καθηκόντων σε σχέση με βασικές οντότητες, έχει την εξουσία να υποβάλλει τις εν λόγω οντότητες τουλάχιστον σε- (α) επιτόπιες επιθεωρήσεις και εποπτεία εκτός των εγκαταστάσεων, συμπεριλαμβανομένων δειγματοληπτικών ελέγχων (random checks), που διεξάγονται από καταρτισμένους επαγγελματίες· (β) τακτικούς και στοχευμένους ελέγχους ασφάλειας (security audits) που διενεργούνται από την Αρχή ή από ειδικευμένο ανεξάρτητο όργανο που εξουσιοδοτείται από την Αρχή:
\n
Νοείται ότι, οι στοχευμένοι έλεγχοι ασφάλειας και η συχνότητά τους που αναφέρονται στην παρούσα παράγραφο, βασίζονται σε εκτιμήσεις κινδύνου που διενεργούνται από την Αρχή ή την ελεγχόμενη οντότητα ή σε άλλες σχετικές με κινδύνους διαθέσιμες πληροφορίες:
\n
Νοείται περαιτέρω ότι, τα αποτελέσματα κάθε στοχευμένου ελέγχου ασφάλειας τίθενται στη διάθεση της Αρχής και το κόστος του εν λόγω στοχευμένου ελέγχου ασφάλειας, ο οποίος διενεργείται από ανεξάρτητο όργανο, καλύπτεται από την ελεγχόμενη οντότητα, εκτός από δεόντως αιτιολογημένες περιπτώσεις για τις οποίες η Αρχή αποφασίζει διαφορετικά∙ (γ) έκτακτους ειδικούς ελέγχους, μεταξύ άλλων, όταν αυτό δικαιολογείται, λόγω σημαντικού περιστατικού ή παραβίαση των διατάξεων του παρόντος Νόμου από τη βασική οντότητα· (δ) σαρώσεις ασφαλείας βάσει αντικειμενικών, αμερόληπτων, δίκαιων και διαφανών κριτηρίων αξιολόγησης του κινδύνου, όπου απαιτείται με τη συνεργασία της βασικής οντότητας· (ε) αιτήματα παροχής πληροφοριών αναγκαίων για την αξιολόγηση των μέτρων διαχείρισης κινδύνων στον τομέα της κυβερνοασφάλειας που λαμβάνει η εν λόγω οντότητα, συμπεριλαμβανομένων τεκμηριωμένων πολιτικών κυβερνοασφάλειας καθώς και της συμμόρφωσης με την υποχρέωση διαβίβασης πληροφοριών στις αρμόδιες αρχές δυνάμει των διατάξεων του άρθρου 37Α· (στ) αιτήματα πρόσβασης σε δεδομένα, έγγραφα και πληροφορίες που απαιτούνται για την εκτέλεση των εποπτικών καθηκόντων τους· (ζ) αιτήματα για αποδεικτικά στοιχεία που αφορούν την εφαρμογή των πολιτικών κυβερνοασφάλειας, όπως τα αποτελέσματα των ελέγχων ασφάλειας που διενεργούνται από εξουσιοδοτημένο ελεγκτή όπως η εξουσιοδότηση αυτή δύναται να καθοριστεί σε Απόφαση της Αρχής ή/και ανεξάρτητο ελεγκτή, και τα αντίστοιχα υποκείμενα αποδεικτικά στοιχεία.
\n
(3)Η Αρχή κατά την άσκηση των εξουσιών της κατά τα προεβλεπόμενα στις παραγράφους (ε), (στ) ή (ζ) του εδαφίου (2), δηλώνει τον σκοπό του αιτήματος και προσδιορίζει τις ζητούμενες πληροφορίες.
\n
(4)Η Αρχή, κατά την άσκηση των εποπτικών καθηκόντων της σε σχέση με τις βασικές οντότητες, έχει την εξουσία τουλάχιστον να- (α) εκδίδει προειδοποιήσεις σχετικά με παραβιάσεις των διατάξεων του παρόντος Νόμου από τις βασικές οντότητες· (β) εκδίδει δεσμευτικές οδηγίες, μεταξύ άλλων όσον αφορά τα μέτρα τα οποία είναι αναγκαία για την πρόληψη ή την αποκατάσταση περιστατικού, καθώς και προθεσμίες για την εφαρμογή των εν λόγω μέτρων και για την υποβολή εκθέσεων σχετικά με την εφαρμογή τους ή Απόφαση με την οποία ζητείται από τις εν λόγω οντότητες να αποκαταστήσουν τις ελλείψεις που εντοπίστηκαν ή τις παραβιάσεις των διατάξεων του παρόντος Νόμου· (γ) απαιτεί από τις εν λόγω οντότητες να τερματίσουν συμπεριφορά που παραβιάζει τις διατάξεις του παρόντος Νόμου και να απέχουν από την επανάληψη της εν λόγω συμπεριφοράς· (δ) απαιτεί από τις εν λόγω οντότητες να διασφαλίσουν ότι τα μέτρα διαχείρισης κινδύνων στον τομέα της κυβερνοασφάλειας συμμορφώνονται με το άρθρο 35 ή να εκπληρώσουν τις υποχρεώσεις υποβολής εκθέσεων που προβλέπονται δυνάμει των διατάξεων του άρθρου 35Β, με συγκεκριμένο τρόπο και εντός καθορισμένου χρονικού διαστήματος· (ε) απαιτεί από τις εν λόγω οντότητες να ενημερώσουν τα φυσικά ή νομικά πρόσωπα σε σχέση με τα οποία παρέχουν υπηρεσίες ή ασκούν δραστηριότητες που ενδέχεται να επηρεαστούν από σημαντική κυβερνοαπειλή σχετικά με τη φύση της απειλής, καθώς και σχετικά με τυχόν μέτρα προστασίας ή αποκατάστασης που μπορούν να λάβουν τα εν λόγω φυσικά ή νομικά πρόσωπα για την αντιμετώπιση της εν λόγω απειλής· (στ) απαιτεί από τις εν λόγω οντότητες να εφαρμόσουν τις συστάσεις που διατυπώθηκαν ως αποτέλεσμα ελέγχου ασφάλειας εντός εύλογης προθεσμίας· (ζ) ορίζει υπεύθυνο παρακολούθησης με σαφώς καθορισμένα καθήκοντα για καθορισμένο χρονικό διάστημα, προκειμένου να επιβλέπει τη συμμόρφωση των εν λόγω οντοτήτων δυνάμει των διατάξεων των άρθρων 35 και 35Β· (η) απαιτεί από τις εν λόγω οντότητες να δημοσιοποιούν πτυχές των παραβιάσεων των διατάξεων του παρόντος Νόμου με συγκεκριμένο τρόπο· και (θ) επιβάλλει διοικητικό πρόστιμο δυνάμει των διατάξεων του άρθρου 43Α επιπρόσθετα από οποιαδήποτε από τα μέτρα που αναφέρονται στις παραγράφους (α) έως (η) του παρόντος εδαφίου.
\n
(5)Σε περίπτωση κατά την οποία τα μέτρα επιβολής που θεσπίζονται σύμφωνα με τις παραγράφους (α) έως (δ) και (στ) του εδαφίου (4) είναι αναποτελεσματικά, η Αρχή έχει την εξουσία να ορίζει προθεσμία εντός της οποίας η βασική οντότητα καλείται να λάβει τα αναγκαία μέτρα για την αποκατάσταση των ελλείψεων ή για τη συμμόρφωση με τις απαιτήσεις της Αρχής και εάν τα ζητούμενα μέτρα δεν ληφθούν εντός της καθορισμένης προθεσμίας, η Αρχή έχει την εξουσία να- (α) αναστείλει προσωρινά ή να ζητήσει από φορέα πιστοποίησης ή εξουσιοδότησης ή από δικαστήριο, σύμφωνα με την κείμενη νομοθεσία, την προσωρινή αναστολή πιστοποίησης ή εξουσιοδότησης που αφορά μέρος ή το σύνολο των σχετικών υπηρεσιών που παρέχονται ή των δραστηριοτήτων που εκτελούνται από τη βασική οντότητα· και (β) ζητά από τα αρμόδια όργανα, σύμφωνα με τη κείμενη νομοθεσία, να απαγορεύουν προσωρινά σε κάθε φυσικό πρόσωπο που είναι υπεύθυνο για την άσκηση διευθυντικών καθηκόντων σε επίπεδο διευθύνοντος συμβούλου ή νομικού εκπροσώπου στη βασική οντότητα να ασκεί διευθυντικά καθήκοντα στην εν λόγω οντότητα:
\n
Νοείται ότι, οι προσωρινές αναστολές ή απαγορεύσεις που επιβάλλονται σύμφωνα με το παρόν εδάφιο εφαρμόζονται μόνο έως ότου η εν λόγω οντότητα λάβει τα αναγκαία μέτρα για να διορθώσει τις ελλείψεις ή να συμμορφωθεί με τις απαιτήσεις της Αρχής για τις οποίες εφαρμόστηκαν τέτοια μέτρα επιβολής:
\n
Νοείται περαιτέρω ότι, η επιβολή τέτοιων προσωρινών αναστολών ή απαγορεύσεων υπόκειται σε κατάλληλες διαδικαστικές εγγυήσεις σύμφωνα με τις γενικές αρχές του ενωσιακού δικαίου και του Χάρτη Θεμελιωδών Δικαιωμάτων της Ε.Ε. όπου αυτός εφαρμόζεται, συμπεριλαμβανομένου του δικαιώματος αποτελεσματικής δικαστικής προστασίας και δίκαιης δίκης, του τεκμηρίου αθωότητας και των δικαιωμάτων υπεράσπισης:
\n
Νοείται έτι περαιτέρω ότι, τα μέτρα επιβολής που προβλέπονται στο παρόν εδάφιο δεν εφαρμόζονται σε φορείς δημόσιας διοίκησης που υπόκεινται στον παρόντα Νόμο.
\n
(6)Κάθε φυσικό πρόσωπο το οποίο είναι υπεύθυνο ή ενεργεί ως νόμιμος εκπρόσωπος βασικής οντότητας με βάση την εξουσία εκπροσώπησής της, την αρμοδιότητα να λαμβάνει αποφάσεις εξ ονόματός της ή να ασκεί τον έλεγχό της, έχει την εξουσία να διασφαλίζει τη συμμόρφωσή της με τις διατάξεις του παρόντος Νόμου και το εν λόγω φυσικό πρόσωπο δύναται να θεωρηθεί υπεύθυνο για παράβαση των υποχρεώσεών του, ώστε να εξασφαλίζεται η συμμόρφωση με τον παρόντα Νόμο:
\n
Νοείται ότι, η εφαρμογή του παρόντος εδαφίου, δεν θίγει την κείμενη νομοθεσία, όσον αφορά τους κανόνες περί ευθύνης που ισχύουν για τους δημόσιους οργανισμούς καθώς και την ευθύνη δημοσίων υπαλλήλων και αιρετών ή διορισμένων αξιωματούχων.
\n
(7)Σε περίπτωση κατά την οποία, η Αρχή λαμβάνει οποιοδήποτε από τα μέτρα επιβολής που αναφέρονται στα εδάφια (4) ή (5), σέβεται τα δικαιώματα υπεράσπισης και λαμβάνει υπόψη τις περιστάσεις κάθε μεμονωμένης περίπτωσης και, τουλάχιστον, λαμβάνει δεόντως υπόψη- (α) τη σοβαρότητα της παράβασης και τη σημασία των διατάξεων που παραβιάζονται, ενώ σε κάθε περίπτωση τα ακόλουθα, μεταξύ άλλων, θεωρούνται σοβαρές παραβάσεις: (i) Η ύπαρξη επανειλημμένων παραβάσεων· (ii) η μη κοινοποίηση ή η μη αποκατάσταση σημαντικών περιστατικών· (iii) η μη αποκατάσταση ελλείψεων σύμφωνα με δεσμευτικές οδηγίες της Αρχής· (iv) η παρεμπόδιση των ελέγχων ή των δραστηριοτήτων παρακολούθησης που διατάσσονται από την Αρχή μετά τη διαπίστωση παράβασης· και (v) η παροχή ψευδών ή κατάφωρα ανακριβών πληροφοριών σε σχέση με τα μέτρα διαχείρισης κινδύνου ή τις υποχρεώσεις υποβολής κοινοποιήσεων που ορίζονται στις διατάξεις των άρθρων 35 και 35Β· (β) τη διάρκεια της παράβασης· (γ) τυχόν σχετικές προηγούμενες παραβάσεις από την εν λόγω οντότητα· (δ) οποιαδήποτε υλική ή μη υλική ζημία που προκλήθηκε, συμπεριλαμβανομένης της χρηματοοικονομικής ή οικονομικής ζημίας, τις επιπτώσεις σε άλλες υπηρεσίες και τον αριθμό των θιγόμενων χρηστών· (ε) οποιαδήποτε πρόθεση ή αμέλεια εκ μέρους του δράστη της παράβασης· (στ) οποιαδήποτε μέτρα που λαμβάνει η οντότητα για την πρόληψη ή τον μετριασμό της υλικής ή μη υλικής ζημίας· (ζ) οποιαδήποτε τήρηση εγκεκριμένων κωδίκων δεοντολογίας ή εγκεκριμένων μηχανισμών πιστοποίησης· και (η) τον βαθμό συνεργασίας των υπαίτιων φυσικών ή νομικών προσώπων με την Αρχή.
\n
(8)(α) Η Αρχή αιτιολογεί λεπτομερώς τα μέτρα επιβολής της και πριν από τη λήψη των μέτρων αυτών, κοινοποιεί στις ενδιαφερόμενες οντότητες τα προκαταρκτικά πορίσματά της, με την επιφύλαξη των διατάξεων του άρθρου 21. (β) Η Αρχή παρέχει επίσης εύλογο χρονικό διάστημα στις ενδιαφερόμενες οντότητες για να υποβάλουν παρατηρήσεις, εκτός από δεόντως αιτιολογημένες περιπτώσεις όπου διαφορετικά θα παρεμποδιζόταν η ανάληψη άμεσης δράσης για την πρόληψη ή την αντιμετώπιση περιστατικών.
\n
(9)Η Αρχή δυνάμει του παρόντος Νόμου ενημερώνει τη σχετική αρμόδια αρχή στη Δημοκρατία για την ανθεκτικότητα των κρίσιμων οντοτήτων κατά την άσκηση των εποπτικών και εκτελεστικών εξουσιών της με στόχο τη διασφάλιση της συμμόρφωσης μίας οντότητας που προσδιορίζεται ως κρίσιμη οντότητα από την αρμοδια αρχή για την ανθεκτικότητα των κρίσιμων οντοτήτων με τις υποχρεώσεις του παρόντος Νόμου, και κατά περίπτωση, η αρμόδια αρχή στη Δημοκρατία δύναται να ζητεί από την Αρχή να ασκεί τις εποπτικές και εκτελεστικές εξουσίες της σε σχέση με οντότητα η οποία προσδιορίζεται ως κρίσιμη οντότητα δυνάμει της Οδηγίας (ΕΕ) 2022/2557.
\n
(10)Η Αρχή συνεργάζεται με τις αρμόδιες αρχές της Δημοκρατίας δυνάμει του Κανονισμού (ΕΕ) 2022/2554 και ειδικότερα, ενημερώνει το φόρουμ εποπτείας που συστάθηκε σύμφωνα με το άρθρο 32 παράγραφος 1 του Κανονισμού (ΕΕ) 2022/2554 κατά την άσκηση των εποπτικών και εκτελεστικών εξουσιών της που αποσκοπούν στη διασφάλιση της συμμόρφωσης βασικής οντότητας που έχει οριστεί ως κρίσιμος τρίτος παροχέας υπηρεσιών ΤΠΕ σύμφωνα με το άρθρο 31 του Κανονισμού (ΕΕ) 2022/2554 με τις υποχρεώσεις των διατάξεων του παρόντος Νόμου:
\n
Νοείται ότι, η Αρχή δύναται να ενημερώνεται για τον ορισμό των κρίσιμων τρίτων παροχέων υπηρεσιών ΤΠΕ που ορίζονται στη Δημοκρατία δυνάμει της παραγράφου 9 του άρθρου 31 του Κανονισμού (ΕΕ) 2022/2554.
\n
60(I)/2025 Μέτρα εποπτείας και επιβολής σημαντικών οντοτήτων 36Β.-(1) Η Αρχή λαμβάνει μέτρα, εφόσον απαιτείται, μέσω κατασταλτικών εποπτικών μέτρων (ex post supervisory measures) σε περίπτωση που της παρέχονται αποδεικτικά στοιχεία, ενδείξεις ή πληροφορίες ότι μια σημαντική οντότητα εικάζεται ότι δεν συμμορφώνεται με τις υποχρεώσεις που ορίζονται στον παρόντα Νόμο για τις σημαντικές οντότητες, ιδίως με τις διατάξεις των άρθρων 35 και 35Β του παρόντος Νόμου και τα μέτρα αυτά είναι αποτελεσματικά, αναλογικά και αποτρεπτικά, λαμβάνοντας υπόψη τις περιστάσεις κάθε μεμονωμένης περίπτωσης.
\n
(2)Η Αρχή, κατά την άσκηση των εξουσιών επιβολής σε σχέση με σημαντικές οντότητες, έχει την εξουσία να υποβάλλει τις εν λόγω οντότητες τουλάχιστον σε- (α) επιτόπιες επιθεωρήσεις και κατασταλτική εποπτεία (ex post supervision) εκτός των εγκαταστάσεων, που διενεργούνται από καταρτισμένους επαγγελματίες· (β) στοχευμένους ελέγχους ασφάλειας (security audits) που διενεργούνται από ανεξάρτητο όργανο ή αρμόδια αρχή:
\n
Νοείται ότι, οι στοχευμένοι έλεγχοι ασφάλειας που αναφέρονται στην παράγραφο (β), βασίζονται σε εκτιμήσεις κινδύνου που διενεργούνται από την Αρχή ή την ελεγχόμενη οντότητα ή σε άλλες διαθέσιμες πληροφορίες σχετικά με κινδύνους:
\n
Νοείται περαιτέρω ότι, τα αποτελέσματα κάθε στοχευμένου ελέγχου ασφάλειας τίθενται στη διάθεση της Αρχής και το κόστος του εν λόγω στοχευμένου ελέγχου ασφάλειας, ο οποίος διενεργείται από ανεξάρτητο όργανο καλύπτεται από την ελεγχόμενη οντότητα, εκτός από δεόντως αιτιολογημένες περιπτώσεις για τις οποίες η Αρχή αποφασίζει διαφορετικά∙ (γ) σαρώσεις ασφαλείας βάσει αντικειμενικών, αμερόληπτων, δίκαιων και διαφανών κριτηρίων αξιολόγησης του κινδύνου, όπου απαιτείται με τη συνεργασία της εν λόγω οντότητας· (δ) αιτήματα παροχής πληροφοριών αναγκαίων για την εκ των υστερών αξιολόγηση (ex post) των μέτρων διαχείρισης κινδύνων στον τομέα της κυβερνοασφάλειας που λαμβάνει η εν λόγω οντότητα, συμπεριλαμβανομένων τεκμηριωμένων πολιτικών κυβερνοασφάλειας καθώς και της συμμόρφωσης με την υποχρέωση διαβίβασης πληροφοριών στην Αρχή δυνάμει των διατάξεων του άρθρου 37Α· (ε) αιτήματα για πρόσβαση σε δεδομένα, έγγραφα ή πληροφορίες που είναι αναγκαία για την εκτέλεση των εποπτικών της καθηκόντων· (στ) αιτήματα για αποδεικτικά στοιχεία που αφορούν την εφαρμογή των πολιτικών κυβερνοασφάλειας, όπως τα αποτελέσματα των ελέγχων ασφάλειας που διενεργούνται από εξουσιοδοτημένο ελεγκτή και τα αντίστοιχα υποκείμενα αποδεικτικά στοιχεία.
\n
(3)Η Αρχή κατά την άσκηση των εξουσιών της σύμφωνα κατά τα προβλεπόμενα στις παραγράφους (δ), (ε) ή (στ) του εδάφιου (2), δηλώνει τον σκοπό του αιτήματος και προσδιορίζει τις ζητούμενες πληροφορίες.
\n
(4)Η Αρχή, κατά την άσκηση των εποπτικών καθηκόντων της σε σχέση με σημαντικές οντότητες, έχει την εξουσία τουλάχιστον να- (α) εκδίδει προειδοποιήσεις σχετικά με τις παραβιάσεις των διατάξεων του παρόντος Νόμου από τις εν λόγω οντότητες· (β) εκδίδει δεσμευτικές οδηγίες ή Απόφαση προς τις εν λόγω οντότητες για να αποκαταστήσουν τις διαπιστωθείσες ελλείψεις ή την παράβαση των υποχρεώσεων του παρόντος Νόμου· (γ) απαιτεί από τις εν λόγω οντότητες να παύσουν συμπεριφορά που παραβιάζει τις διατάξεις του παρόντος Νόμου και να απέχουν από επανάληψη της εν λόγω συμπεριφοράς παραβίασης· (δ) απαιτεί από τις εν λόγω οντότητες να διασφαλίσουν ότι τα μέτρα διαχείρισης κινδύνων στον τομέα της κυβερνοασφάλειας συμμορφώνονται με τις διατάξεις του άρθρου 35 ή να εκπληρώσουν τις υποχρεώσεις υποβολής κοινοποιήσεων που ορίζονται στις διατάξεις του άρθρου 35Β, με συγκεκριμένο τρόπο και εντός καθορισμένου χρονικού διαστήματος· (ε) απαιτεί από τις εν λόγω οντότητες να ενημερώσουν τα φυσικά ή νομικά πρόσωπα σε σχέση με τα οποία παρέχουν υπηρεσίες ή ασκούν δραστηριότητες τα οποία ενδέχεται να επηρεαστούν από σημαντική κυβερνοαπειλή σχετικά με τη φύση της απειλής, καθώς και σχετικά με τυχόν μέτρα προστασίας ή αποκατάστασης που μπορούν να λάβουν τα εν λόγω φυσικά ή νομικά πρόσωπα για την αντιμετώπιση της εν λόγω απειλής· (στ) απαιτεί από τις εν λόγω οντότητες να εφαρμόσουν τις συστάσεις που διατυπώθηκαν ως αποτέλεσμα ελέγχου ασφάλειας εντός εύλογης προθεσμίας· (ζ) απαιτεί από τις εν λόγω οντότητες να δημοσιοποιούν πτυχές των παραβιάσεων των διατάξεων του παρόντος Νόμου με συγκεκριμένο τρόπο· (η) επιβάλλει διοικητικό πρόστιμο δυνάμει των διατάξεων του άρθρου 43Α επιπρόσθετα από οποιαδήποτε από τα μέτρα που αναφέρονται στις παραγράφους (α) έως (ζ) του παρόντος εδαφίου.
\n
(5)Τα εδάφια (6), (7) και (8) του άρθρου 36Α εφαρμόζονται κατ’ αναλογία στα μέτρα εποπτείας και επιβολής που προβλέπονται στο παρόν άρθρο για τις σημαντικές οντότητες.
\n
(6)Η Αρχή συνεργάζεται με τις αρμόδιες αρχές της Δημοκρατίας δυνάμει του Κανονισμού (ΕΕ) 2022/2554 και ειδικότερα ενημερώνει το φόρουμ εποπτείας που συστάθηκε δυνάμει των διατάξεων της παραγράφου 1 του άρθρου 32 του Κανονισμού (ΕΕ) 2022/2554 κατά την άσκηση των εποπτικών και εκτελεστικών εξουσιών της που αποσκοπούν στη διασφάλιση της συμμόρφωσης σημαντικής οντότητας που έχει οριστεί ως κρίσιμος τρίτος παροχέας υπηρεσιών ΤΠΕ, δυνάμει των διατάξεων του άρθρου 31 του Κανονισμού (ΕΕ) 2022/2554 με τις υποχρεώσεις των διατάξεων του παρόντος Νόμου:
\n
Νοείται ότι, η Αρχή δύναται να ενημερώνεται για τον ορισμό των κρίσιμων τρίτων παροχέων υπηρεσιών ΤΠΕ που ορίζονται στη Δημοκρατία δυνάμει των διατάξεων του άρθρου 31 της παραγράφου 9) του Κανονισμού (ΕΕ) 2022/2554.
\n
60(I)/2025 ΜΕΡΟΣ ΕΝΔΕΚΑΤΟ ΜΗΤΡΩΟ ΟΝΤΟΤΗΤΩΝ ΚΑΙ ΒΑΣΗ ΔΕΔΟΜΕΝΩΝ ΚΑΤΑΧΩΡΙΣΗΣ ΟΝΟΜΑΤΩΝ ΤΟΜΕΑ Απαιτήσεις ασφάλειας 37. [Διαγράφηκε] Ιστορικό Τροποποιήσεων 89(I)/2020 60(I)/2025 Μητρώο Οντοτήτων 37Α.-(1) Η Αρχή δύναται να υποβάλει αίτημα στον ENISA για πρόσβαση στο μητρώο που διατηρεί ο ENISA δυνάμει των διατάξεων της παραγράφου 1 του άρθρου 27 της Οδηγίας (ΕΕ) 2022/2555.
\n
(2)Η Αρχή, στα πλαίσια εφαρμογής του εδαφίου (4), απαιτεί από τους παροχείς υπηρεσιών DNS, τα μητρώα ονομάτων TLD, τις οντότητες που παρέχουν υπηρεσίες καταχώρισης ονομάτων τομέα, τους παροχείς υπηρεσιών υπολογιστικού νέφους, τους παροχείς υπηρεσιών κέντρων δεδομένων, τους παροχείς δικτύων διανομής περιεχομένου, τους παροχείς διαχειριζομένων υπηρεσιών, τους παροχείς διαχειριζομένων υπηρεσιών ασφάλειας, καθώς και τους παροχείς επιγραμμικών αγορών, τους παροχείς επιγραμμικών μηχανών αναζήτησης ή πλατφορμών υπηρεσιών κοινωνικής δικτύωσης, να υποβάλουν τις ακόλουθες πληροφορίες: (α) Την επωνυμία της οντότητας· (β) τον σχετικό τομέα, υποτομέα και τύπο οντότητας που αναφέρεται στα Παραρτήματα I και II, κατά περίπτωση· (γ) τη διεύθυνση της κύριας εγκατάστασης της οντότητας και των άλλων νομικών εγκαταστάσεών της στη Δημοκρατία ή σε άλλο κράτος μέλος της Ε.Ε ή, εάν δεν είναι εγκατεστημένη εντός της επικρατείας της Ε.Ε., της διεύθυνσης του εκπροσώπου της που έχει οριστεί δυνάμει των διατάξεων του εδαφίου (3) του άρθρου 39· (δ) επικαιροποιημένα στοιχεία επικοινωνίας, συμπεριλαμβανομένων των διευθύνσεων ηλεκτρονικού ταχυδρομείου και των αριθμών τηλεφώνου της οντότητας και, κατά περίπτωση, του εκπροσώπου της ο οποίος έχει οριστεί σύμφωνα με το εδάφιο (3) του άρθρου 39· (ε) τα άλλα κράτη μέλη στα οποία η οντότητα παρέχει υπηρεσίες· και (στ) το εύρος IPs (IP ranges) της οντότητας.
\n
(3)Οι οντότητες που αναφέρονται στις διατάξεις του εδαφίου (2) κοινοποιούν στην Αρχή τυχόν αλλαγές στις πληροφορίες που υπέβαλαν δυνάμει του εδαφίου (2) αμελλητί και, σε κάθε περίπτωση, εντός τριών (3) μηνών από την ημερομηνία πραγματοποίησης της αλλαγής.
\n
(4)Με την παραλαβή των πληροφοριών που αναφέρονται στα εδάφια (2) και (3), εκτός από τις πληροφορίες που αναφέρονται στην παράγραφο (στ) του εδαφίου (2), η Αρχή ως ενιαίο σημείο επαφής τις διαβιβάζει στον ENISA χωρίς αδικαιολόγητη καθυστέρηση.
\n
(5)Κατά περίπτωση, οι πληροφορίες που αναφέρονται στα εδάφια (2) και (3) υποβάλλονται μέσω του εθνικού μηχανισμού που αναφέρεται στο εδάφιο (4) του άρθρου 27.
\n
60(I)/2025 Εφαρμογή και επιβολή σε παροχέα ψηφιακών υπηρεσιών 38. [Διαγράφηκε] Ιστορικό Τροποποιήσεων 89(I)/2020 60(I)/2025 Βάση δεδομένων καταχώρισης ονομάτων τομέα 38Α.-(1) Για τους σκοπούς της συμβολής στην ασφάλεια, τη σταθερότητα και την ανθεκτικότητα του DNS, η Αρχή απαιτεί από τα μητρώα ονομάτων TLD και τις οντότητες που παρέχουν υπηρεσίες καταχώρισης ονομάτων τομέα να συλλέγουν και να διατηρούν ακριβή και πλήρη δεδομένα καταχώρισης ονομάτων τομέα σε ειδική βάση δεδομένων με τη δέουσα επιμέλεια, σύμφωνα με τον περί Προστασίας των Φυσικών Προσώπων Έναντι της Επεξεργασίας των Δεδομένων Προσωπικού Χαρακτήρα και της Ελεύθερης Κυκλοφορίας των Δεδομένων αυτών Νόμο και τον Κανονισμό (ΕΕ) 2016/679.
\n
(2)(α) Για τους σκοπούς του εδαφίου (1) η Αρχή απαιτεί η βάση δεδομένων καταχώρισης ονομάτων τομέα να περιέχει τις αναγκαίες πληροφορίες για την ταυτοποίηση και την επικοινωνία με τους κατόχους των ονομάτων τομέα και τα σημεία επαφής που διαχειρίζονται τα ονόματα τομέα στο πλαίσιο των TLD. (β) Οι πληροφορίες αυτές περιλαμβάνουν- (α)το όνομα τομέα· (β)την ημερομηνία καταχώρισης· (γ)το όνομα, την ηλεκτρονική διεύθυνση επικοινωνίας και τον αριθμό τηλεφώνου του καταχωρίζοντος· και (δ)τη διεύθυνση ηλεκτρονικού ταχυδρομείου επικοινωνίας και τον αριθμό τηλεφώνου του σημείου επαφής που διαχειρίζεται το όνομα τομέα σε περίπτωση που διαφέρουν από εκείνα του καταχωρίζοντος.
\n
(3)(α) Η Αρχή απαιτεί από τα μητρώα ονομάτων TLD και τις οντότητες που παρέχουν υπηρεσίες καταχώρισης ονομάτων τομέα να διαθέτουν πολιτικές και διαδικασίες, συμπεριλαμβανομένων διαδικασιών επαλήθευσης, ώστε να διασφαλίζεται ότι οι βάσεις δεδομένων που αναφέρονται στις διατάξεις του εδαφίου (1) περιλαμβάνουν ακριβείς και πλήρεις πληροφορίες. (β) Η Αρχή απαιτεί να δημοσιοποιούνται οι εν λόγω πολιτικές και διαδικασίες.
\n
(4)Η Αρχή απαιτεί από τα μητρώα ονομάτων TLD και από τις οντότητες που παρέχουν υπηρεσίες καταχώρισης ονομάτων τομέα να δημοσιοποιούν αμελλητί, μετά από την καταχώριση ονόματος τομέα, τα δεδομένα καταχώρισης ονομάτων τομέα που δεν είναι δεδομένα προσωπικού χαρακτήρα.
\n
(5)(α) Η Αρχή απαιτεί από τα μητρώα ονομάτων TLD και τις οντότητες που παρέχουν υπηρεσίες καταχώρισης ονομάτων τομέα να παρέχουν πρόσβαση σε συγκεκριμένα δεδομένα καταχώρισης ονομάτων τομέα κατόπιν νόμιμων και δεόντως αιτιολογημένων αιτημάτων από νόμιμους αιτούντες πρόσβαση, σύμφωνα με τον περί Προστασίας των Φυσικών Προσώπων Έναντι της Επεξεργασίας των Δεδομένων Προσωπικού Χαρακτήρα και της Ελεύθερης Κυκλοφορίας των Δεδομένων αυτών Νόμο και τον Κανονισμό (ΕΕ) 2016/679. (β) Η Αρχή απαιτεί από τα μητρώα ονομάτων TLD και τις οντότητες που παρέχουν υπηρεσίες καταχώρισης ονομάτων τομέα να απαντούν χωρίς αδικαιολόγητη καθυστέρηση και σε κάθε περίπτωση εντός εβδομήντα δύο (72) ωρών από την παραλαβή τυχόν αιτημάτων πρόσβασης.(γ) Η Αρχή απαιτεί να δημοσιοποιούνται οι πολιτικές και οι διαδικασίες γνωστοποίησης των εν λόγω δεδομένων.
\n
(6)Η συμμόρφωση με τις υποχρεώσεις που ορίζονται στα εδάφια (1) έως (5) δεν οδηγεί σε επικάλυψη της συλλογής δεδομένων καταχώρισης ονομάτων τομέα και για τον σκοπό αυτό, τα μητρώα ονομάτων TLD και οι οντότητες που παρέχουν υπηρεσίες καταχώρισης ονομάτων τομέα συνεργάζονται μεταξύ τους.
\n
60(I)/2025 Δικαιοδοσία και εδαφικότητα 39.-(1) Οι οντότητες οι οποίες εμπίπτουν στο πεδίο εφαρμογής του παρόντος Νόμου θεωρούνται ότι εμπίπτουν στη δικαιοδοσία της Δημοκρατίας, εκτός εάν πρόκειται για: (α) παροχείς δημόσιων δικτύων ηλεκτρονικών επικοινωνιών ή παροχείς διαθέσιμων στο κοινό υπηρεσιών ηλεκτρονικών επικοινωνιών, οι οποίοι θεωρείται ότι εμπίπτουν στη δικαιοδοσία του κράτους μέλους στο οποίο παρέχουν τις υπηρεσίες τους· (β) παροχείς υπηρεσιών DNS, μητρώα ονομάτων TLD, οντότητες που παρέχουν υπηρεσίες καταχώρισης ονομάτων τομέα, παροχείς υπηρεσιών υπολογιστικού νέφους, παροχείς υπηρεσιών κέντρων δεδομένων, παροχείς δικτύων διανομής περιεχομένου, παροχείς διαχειριζομένων υπηρεσιών, παροχείς διαχειριζομένων υπηρεσιών ασφάλειας, καθώς και παροχείς επιγραμμικών αγορών, επιγραμμικών μηχανών αναζήτησης ή πλατφορμών υπηρεσιών κοινωνικής δικτύωσης, που θεωρείται ότι εμπίπτουν στη δικαιοδοσία του κράτους μέλους στο οποίο έχουν την κύρια εγκατάστασή τους στην Ένωση σύμφωνα με το εδάφιο (2)· (γ) οντότητες δημόσιας διοίκησης, που θεωρείται ότι υπάγονται στη δικαιοδοσία του κράτους μέλους που τις έχει συστήσει.
\n
(2)(α) Για τους σκοπούς του παρόντος Νόμου, οντότητα που αναφέρεται στην παράγραφο (β) του εδαφίου (1) θεωρείται ότι έχει την κύρια εγκατάστασή της στην Ένωση στο κράτος μέλος στο οποίο λαμβάνονται κυρίως οι αποφάσεις που σχετίζονται με τα μέτρα διαχείρισης κινδύνων στον τομέα της κυβερνοασφάλειας. (β) Σε περίπτωση που το εν λόγω κράτος μέλος δεν μπορεί να προσδιοριστεί ή σε περίπτωση που οι αποφάσεις αυτές δεν λαμβάνονται στην Ένωση, η κύρια εγκατάσταση θεωρείται ότι βρίσκεται στο κράτος μέλος στο οποίο διεξάγονται οι επιχειρήσεις κυβερνοασφάλειας. (γ) Σε περίπτωση που το εν λόγω κράτος μέλος δεν μπορεί να προσδιοριστεί, η κύρια εγκατάσταση οφείλει να θεωρείται ότι βρίσκεται στο κράτος μέλος στο οποίο η εν λόγω οντότητα έχει την εγκατάσταση με τον μεγαλύτερο αριθμό εργαζομένων στην Ένωση.
\n
(3)(α) Σε περίπτωση που μια οντότητα η οποία αναφέρεται στην παράγραφο (β) του εδαφίου (1) δεν είναι εγκατεστημένη στη Δημοκρατία ή σε άλλο κράτος μέλος, αλλά προσφέρει υπηρεσίες εντός της Ένωσης, ορίζει εκπρόσωπο στην Ένωση, ο οποίος είναι εγκατεστημένος σε ένα από τα κράτη μέλη στα οποία προσφέρονται οι υπηρεσίες. (β) Μια τέτοια οντότητα θεωρείται ότι υπόκειται στη δικαιοδοσία του κράτους μέλους στο οποίο είναι εγκατεστημένος ο εκπρόσωπος. (γ) Ελλείψει εκπροσώπου στην Ένωση που ορίζεται σύμφωνα με το παρόν εδάφιο, η Δημοκρατία και κάθε άλλο κράτος μέλος στο οποίο η οντότητα παρέχει υπηρεσίες μπορεί να κινήσει νομικές διαδικασίες κατά της οντότητας για παραβίαση των υποχρεώσεων των διατάξεων του παρόντος Νόμου.
\n
(4)Ο ορισμός εκπροσώπου από οντότητα που αναφέρεται στην παράγραφο (β) του εδαφίου (1) δεν θίγει τις νομικές διαδικασίες, οι οποίες δύνανται να κινηθούν κατά της ίδιας της οντότητας.
\n
(5)Όταν η Αρχή λάβει αίτημα αμοιβαίας συνδρομής σε σχέση με οντότητα που αναφέρεται στο εδάφιο (1) μπορεί, εντός των ορίων του εν λόγω αιτήματος, να λαμβάνει κατάλληλα μέτρα εποπτείας και επιβολής σε σχέση με την οικεία οντότητα η οποία παρέχει υπηρεσίες ή διαθέτει το σύστημα δικτύου και πληροφοριών στην επικράτειά της Δημοκρατίας.
\n
89(I)/2020 60(I)/2025 ΜΕΡΟΣ ΔΩΔΕΚΑΤΟ ΠΑΡΟΧΕΙΣ ΔΙΚΤΥΩΝ Ή/ΚΑΙ ΥΠΗΡΕΣΙΩΝ ΗΛΕΚΤΡΟΝΙΚΩΝ ΕΠΙΚΟΙΝΩΝΙΩΝ Παροχείς δικτύων ή/και υπηρεσιών ηλεκτρονικών επικοινωνιών 40.-(1)[Διαγράφηκε].
\n
(2)[Διαγράφηκε].
\n
(3)[Διαγράφηκε].
\n
(4)[Διαγράφηκε].
\n
(5)[Διαγράφηκε].
\n
(6)Οι διατάξεις του παρόντος άρθρου ισχύουν με την επιφύλαξη του Κανονισμού (ΕΕ) αριθ. 2016/679 και του περί της Προστασίας των Φυσικών Προσώπων Έναντι της Επεξεργασίας των Δεδομένων Προσωπικού Χαρακτήρα και της Ελεύθερης Κυκλοφορίας των Δεδομένων αυτών Νόμου.
\n
(7)[Διαγράφηκε].
\n
(8)[Διαγράφηκε].
\n
(9)[Διαγράφηκε].
\n
(10)[Διαγράφηκε].
\n
(11)Σε περίπτωση που διαπιστωθεί ότι υπάρχει κίνδυνος παραβίασης της ασφάλειας του δικτύου ή/και υπηρεσιών ηλεκτρονικών επικοινωνιών λόγω χρήσης της υπηρεσίας ή/και σε περίπτωση που διαπιστωθεί ότι υπάρχει κίνδυνος παραβίασης της ασφάλειας του δικτύου βασικής ή/και σημαντικής οντότητας, η Αρχή δύναται να ζητήσει από τους παροχείς δικτύων ή/και υπηρεσιών ηλεκτρονικών επικοινωνιών τη λήψη μέτρων, συμπεριλαμβανομένων προσωρινών ή/και αναγκαίων μέτρων, όπως τη διακοπή της υπηρεσίας ή/και τη διακοπή πρόσβασης των διαδικτυακών ονομάτων χώρου (Domain name) ή/και τη διακοπή πρόσβασης διευθύνσεων IP (Internet Protocol addresses) σε περίπτωση που χρησιμοποιούνται για σκοπούς κυβερνοεπίθεσης:
\n
Νοείται ότι, η Αρχή, σε περίπτωση κατά την οποία ο κίνδυνος που αναφέρεται στο παρόν εδάφιο παύσει να υφίσταται ή διαφοροποιηθεί, δύναται όπως αποφασίσει, ανάλογα με την περίπτωση, την άρση των προσωρινών ή/και αναγκαίων μέτρων ή την τροποποίηση των μέτρων αυτών.
\n
(12)[Διαγράφηκε].
\n
(13)[Διαγράφηκε].
\n
89(I)/2020 60(I)/2025 ΜΕΡΟΣ ΔΕΚΑΤΟ ΤΡΙΤΟ ΤΥΠΟΠΟΙΗΣΗ, ΕΘΕΛΟΥΣΙΑ ΚΟΙΝΟΠΟΙΗΣΗ ΚΑΙ ΡΑΔΙΟΕΞΟΠΛΙΣΜΟΣ Τυποποίηση 41.-(1)Η Αρχή, προκειμένου να προωθηθεί η συγκλίνουσα εφαρμογή των εδαφίων (1) και (2) του άρθρου 35, χωρίς να επιβάλλει ή να ευνοεί τη χρήση συγκεκριμένου είδους τεχνολογίας, ενθαρρύνει τη χρήση ευρωπαϊκών και αποδεκτών προτύπων και προδιαγραφών σχετικών με την ασφάλεια συστημάτων δικτύου και πληροφοριών.
\n
(2)Η Αρχή, στα πλαίσια υλοποίησης του εδαφίου (1), λαμβάνει υπόψη τυχόν συμβουλές και κατευθυντήριες γραμμές που εκδίδονται από τον ENISA δυνάμει των διατάξεων της παραγράφου 2 του άρθρου 25 της Οδηγίας (ΕΕ) 2022/2555.
\n
89(I)/2020 60(I)/2025 Χρήση των ευρωπαϊκών συστημάτων πιστοποίησης της κυβερνοασφάλειας 41Α.-(1)(α) Προκειμένου να αποδειχθεί η συμμόρφωση με τις ειδικές απαιτήσεις του άρθρου 35, η Αρχή δύναται να απαιτεί από βασικές και σημαντικές οντότητες να χρησιμοποιούν συγκεκριμένα προϊόντα ΤΠΕ, υπηρεσίες ΤΠΕ και διαδικασίες ΤΠΕ, που αναπτύσσονται από τη βασική ή σημαντική οντότητα ή που προμηθεύονται από τρίτους, και πιστοποιούνται στο πλαίσιο ευρωπαϊκών συστημάτων πιστοποίησης κυβερνοασφάλειας που θεσπίζονται σύμφωνα με το άρθρο 49 του Κανονισμού (ΕΕ) 2019/881. (β) Επιπλέον, η Αρχή ενθαρρύνει τις βασικές και σημαντικές οντότητες να χρησιμοποιούν εγκεκριμένες υπηρεσίες εμπιστοσύνης.
\n
(2)Η Αρχή εφαρμόζει τις κατ’ εξουσιοδότηση πράξεις που εκδίδει η Επιτροπή δυνάμει της παραγράφου 2 του άρθρου 24 της Οδηγίας (ΕΕ) 2022/2555.
\n
60(I)/2025 Εθελούσια κοινοποίηση 42.-(1) Η Αρχή διασφαλίζει ότι, επιπλέον της υποχρέωσης κοινοποίησης που προβλέπεται στο άρθρο 35Β, οι κοινοποιήσεις μπορούν να υποβάλλονται στην Αρχή, σε εθελοντική βάση, από- (α) βασικές και σημαντικές οντότητες όσον αφορά περιστατικά, κυβερνοαπειλές (cyber threats) και παρ’ ολίγον περιστατικά· και (β) οντότητες διαφορετικές από εκείνες που αναφέρονται στην παράγραφο (α), ανεξαρτήτως του αν εμπίπτουν στο πεδίο εφαρμογής του παρόντος Νόμου, όσον αφορά σημαντικά περιστατικά, κυβερνοαπειλές (cyber threats) και παρ’ ολίγον περιστατικά.
\n
(2)Η Αρχή επεξεργάζεται τις κοινοποιήσεις που αναφέρονται στο εδάφιο (1) σύμφωνα με τη διαδικασία που προβλέπεται στις διατάξεις του άρθρου 35Β, μόνο εφόσον η επεξεργασία αυτή δεν συνιστά δυσανάλογη ή περιττή επιβάρυνση για την Αρχή.
\n
(3)Η Αρχή δύναται να ιεραρχεί, την επεξεργασία των υποχρεωτικών, έναντι των εθελούσιων κοινοποιήσεων.
\n
(4)Όπου είναι αναγκαίο, η Αρχή ως ενιαίο σημείο επαφής, παρέχει πληροφορίες σχετικά με τις κοινοποιήσεις που λαμβάνει σύμφωνα με το παρόν άρθρο, διασφαλίζοντας παράλληλα την εμπιστευτικότητα και την κατάλληλη προστασία των πληροφοριών που παρέχονται από την κοινοποιούσα οντότητα.
\n
(5)Με την επιφύλαξη της πρόληψης, της διερεύνησης και της δίωξης ποινικών αδικημάτων, η εθελούσια κοινοποίηση δεν δημιουργεί την επιβολή πρόσθετων υποχρεώσεων στην κοινοποιούσα οντότητα, τις οποίες δεν θα υπείχε αν δεν είχε υποβάλει την κοινοποίηση.
\n
89(I)/2020 60(I)/2025 Ραδιοεξοπλισμός 42Α.-(1) Η Αρχή διασφαλίζει ότι ο ραδιοεξοπλισμός ορισμένων κατηγοριών ή κλάσεων κατασκευάζεται κατά τρόπο, ώστε να πληροί, τις ουσιώδεις απαιτήσεις που εκάστοτε καθορίζονται από την Επιτροπή, και ιδιαίτερα ότι- (α)δεν βλάπτει το δίκτυο, ούτε η λειτουργία του κάνει κατάχρηση των πόρων του δικτύου με αποτέλεσμα τη μη αποδεκτή υποβάθμιση της υπηρεσίας· (β)ενσωματώνει διασφαλίσεις για την εξασφάλιση της προστασίας των δεδομένων προσωπικού χαρακτήρα και της ιδιωτικότητας των χρηστών και του συνδρομητή· (γ)υποστηρίζει ορισμένες λειτουργίες που εξασφαλίζουν την προστασία από απάτη· (δ)υποστηρίζει ορισμένες λειτουργίες για να εξασφαλίζεται ότι η εγκατάσταση του λογισμικού στο ραδιοεξοπλισμό, είναι δυνατή μόνο όταν έχει αποδειχθεί η συμμόρφωση του συνδυασμού του ραδιοεξοπλισμού και του λογισμικού.
\n
(2)(α) Η Αρχή καθορίζει με σχετική Απόφασή της, τις απαιτήσεις που πρέπει να πληροί ο ραδιοεξοπλισμός, για να μπορεί να διατεθεί στην Κυπριακή αγορά, να τεθεί σε λειτουργία και χρήση, λοιπές παραμέτρους και διαδικασίες αξιολόγησης της συμμόρφωσής του, καθώς και τα κριτήρια και διαδικασία έγκρισης κοινοποιημένων οργανισμών και επιτήρησης της αγοράς, περιλαμβανομένης της εξουσίας κατάσχεσης· (β) Η Αρχή εκδίδει οποιεσδήποτε Αποφάσεις, είναι αναγκαίες για τη διασφάλιση του ραδιοεξοπλισμού και την εξασφάλιση συμμόρφωσης με τις διατάξεις του παρόντος Νόμου.
\n
(3)(α) Στην περίπτωση που ραδιοεξοπλισμός παρουσιάζει κίνδυνο για την υγεία, ασφάλεια προσώπων, ασφάλεια δικτύων, πληροφοριών και συστημάτων πληροφοριών ή για άλλα ζητήματα προστασίας του δημοσίου συμφέροντος, διενεργείται αξιολόγηση και λαμβάνονται όλα τα αναγκαία μέτρα προς συμμόρφωση του εξοπλισμού ή και εξάλειψη του κινδύνου και η Αρχή καθορίζει σε σχετική Απόφασή της, τη διαδικασία αξιολόγησης καθώς και τα μέτρα που δύναται να ληφθούν. (β) Η Αρχή κοινοποιεί στην Επιτροπή οποιαδήποτε απόφασή της, σχετικά με ραδιοεξοπλισμό που δεν συμμορφώνεται, με τις σχετικές πρόνοιες της κείμενης νομοθεσίας.
\n
60(I)/2025 ΜΕΡΟΣ ΔΕΚΑΤΟ ΤΕΤΑΡΤΟ ΚΥΡΩΣΕΙΣ Διοικητικό πρόστιμο 43.-(1) Με την επιφύλαξη του άρθρου 43Α, σε περίπτωση που η Αρχή διαπιστώσει ότι πρόσωπο διενεργεί πράξη ή τελεί σε παράλειψη κατά παράβαση των διατάξεων του παρόντος Νόμου δύναται να επιβάλει σε αυτό διοικητικό πρόστιμο που δεν υπερβαίνει τις διακόσιες χιλιάδες ευρώ (€200.000), ανάλογα με τη βαρύτητα της παράβασης, και, σε περίπτωση επανάληψης της παράβασης, χρηματική ποινή που δεν υπερβαίνει τις δέκα χιλιάδες ευρώ (€10.000) για κάθε ημέρα συνέχισης της παράβασης:
\n
Νοείται ότι, η διαδικασία επιβολής του διοικητικού προστίμου καθορίζεται με Απόφαση της Αρχής.
\n
(2)Η Αρχή δύναται να επιβάλει διοικητικό πρόστιμο σε οποιοδήποτε πρόσωπο διενεργεί πράξη ή τελεί σε παράλειψη, κατά παράβαση των διατάξεων οποιωνδήποτε Αποφάσεων και/ή Κανονισμών της Ευρωπαϊκής Ένωσης το οποίο δεν υπερβαίνει τις τριακόσιες χιλιάδες τετρακόσια ευρώ (€300.400) και, σε περίπτωση επανάληψης της παράβασης, διοικητικό πρόστιμο που δεν υπερβαίνει τις διακόσιες χιλιάδες ευρώ (€200.000).
\n
(3)Η Αρχή δύναται να εκδίδει Αποφάσεις, για τη διαδικασία επιβολής διοικητικού προστίμου ή/και άλλων διοικητικών κυρώσεων σε σχέση με τη μη συμμόρφωση προς τις διατάξεις του παρόντος Νόμου ή/και Αποφάσεων της ή/και Κανονισμών της Ευρωπαϊκής Ένωσης, κατά την έννοια που αποδίδει στους όρους ο περί Εφαρμογής των Κοινοτικών Κανονισμών και Κοινοτικών Αποφάσεων Νόμος του 2007 και να καθορίζει με Απόφασή της το ύψος αυτών των προστίμων και κυρώσεων και τη διαδικασία επιβολής τους.
\n
(4)Προτού η Αρχή επιβάλει διοικητικό πρόστιμο, η Αρχή ειδοποιεί το επηρεαζόμενο πρόσωπο για την πρόθεσή της να επιβάλει διοικητικό πρόστιμο, ενημερώνοντάς το για τους λόγους για τους οποίους προτίθεται να ενεργήσει τοιουτοτρόπως και παρέχοντας σε αυτό το δικαίωμα υποβολής παραστάσεων, εντός δέκα (10) εργάσιμων ημερών από την ημέρα της ειδοποίησης.
\n
(5)Η Αρχή επιβάλλει διοικητικό πρόστιμο δυνάμει των διατάξεων του εδαφίου (1) με γραπτή και αιτιολογημένη Απόφασή της, την οποία διαβιβάζει στο επηρεαζόμενο πρόσωπο με συστημένη επιστολή ή/και ηλεκτρονικά, με τρόπο που καθορίζει η Αρχή, η οποία καθορίζει την παράβαση και πληροφορεί το επηρεαζόμενο πρόσωπο- (α) περί του δικαιώματός του να προσβάλει την απόφαση με προσφυγή στο Διοικητικό Δικαστήριο, σύμφωνα με τις διατάξεις του άρθρου 146 του Συντάγματος και του περί της Ίδρυσης και Λειτουργίας Διοικητικού Δικαστηρίου Νόμου του 2015, και (β) περί της προθεσμίας εντός της οποίας δύναται να ασκηθεί το προαναφερόμενο δικαίωμα.
\n
(6)Σε περίπτωση άρνησης ή παράλειψης προσώπου στο οποίο υποβλήθηκε διοικητικό πρόστιμο δυνάμει των διατάξεων του παρόντος Νόμου να καταβάλει στην Αρχή τέτοιο πρόστιμο, η Αρχή λαμβάνει δικαστικά μέτρα και εισπράττει τα οφειλόμενα ποσά ως αστικό χρέος οφειλόμενο στη Δημοκρατία.
\n
89(I)/2020 60(I)/2025 Επιβολή διοικητικών προστίμων σε βασικές και σημαντικές οντότητες 43Α.-(1) Τα διοικητικά πρόστιμα που επιβάλλονται δυνάμει του παρόντος άρθρου, σε βασικές και σημαντικές οντότητες σε σχέση με την παράβαση των διατάξεων του παρόντος Νόμου, είναι αποτελεσματικά, αναλογικά και αποτρεπτικά, λαμβάνοντας υπόψη τις περιστάσεις κάθε μεμονωμένης περίπτωσης.
\n
(2)Διοικητικά πρόστιμα επιβάλλονται επιπρόσθετα από οποιαδήποτε από τα μέτρα που αναφέρονται στις παραγράφους (α) έως (η) του εδαφίου (4) του άρθρου 36Α, στο εδάφιο (5) του άρθρου 36Α και στις παραγράφους (α) έως (ζ) του εδαφίου (4) του άρθρου 36Β.
\n
(3)Η Αρχή κατά τη λήψη απόφασης σχετικά με την επιβολή διοικητικού προστίμου και τη λήψη απόφασης σχετικά με το ύψος του σε κάθε μεμονωμένη περίπτωση, λαμβάνει δεόντως υπόψη, κατ’ ελάχιστον, τις πρόνοιες του εδαφίου (7) του άρθρου 36Α.
\n
(4)Σε περίπτωση παραβίασης των άρθρων 35 και 35Β του παρόντος Νόμου, οι βασικές οντότητες υπόκεινται, σύμφωνα με τα εδάφια (2) και (3), σε διοικητικά πρόστιμα ύψους κατ’ ανώτατο όριο τουλάχιστον δέκα εκατομμύριων ευρώ (€10.000.000) ή κατ’ ανώτατο όριο τουλάχιστον 2% του κατά το προηγούμενο οικονομικό έτος συνολικού παγκόσμιου ετήσιου κύκλου εργασιών της επιχείρησης στην οποία ανήκει η βασική οντότητα, ανάλογα με το ποιο είναι υψηλότερο.
\n
(5)Σε περίπτωση παραβίασης των άρθρων 35 και 35Β του παρόντος Νόμου, οι σημαντικές οντότητες υπόκεινται, σύμφωνα με τα εδάφια (2) και (3), σε διοικητικά πρόστιμα ύψους κατ’ ανώτατο όριο τουλάχιστον επτά εκατομμύριων ευρώ (€7.000.000) ή κατ’ ανώτατο όριο τουλάχιστον 1,4% του κατά το προηγούμενο οικονομικό έτος συνολικού παγκόσμιου ετήσιου κύκλου εργασιών της επιχείρησης στην οποία ανήκει η σημαντική οντότητα, ανάλογα με το ποιο είναι υψηλότερο.
\n
(6)Η Αρχή, δύναται με Απόφασή της, να προβλέψει, την επιβολή άλλων διοικητικών κυρώσεων, προκειμένου να υποχρεώσει βασική ή σημαντική οντότητα να παύσει μια παράβαση των διατάξεων του παρόντος Νόμου σύμφωνα με προηγούμενη Απόφασή της.
\n
60(I)/2025 Ποινικά αδικήματα 44.-(1) Βασική ή/και σημαντική οντότητα η οποία δεν κοινοποιεί, χωρίς αδικαιολόγητη καθυστέρηση, στην Αρχή συμβάν με σοβαρό αντίκτυπο στη συνέχεια των βασικών υπηρεσιών της είναι ένοχη αδικήματος και, σε περίπτωση καταδίκης της, υπόκειται σε ποινή φυλάκισης που δεν υπερβαίνει τα δύο (2) έτη ή σε χρηματική ποινή που δεν υπερβαίνει τις δέκα χιλιάδες ευρώ (€10.000) ή και στις δύο αυτές ποινές.
\n
(2)[Διαγράφηκε].
\n
(3)Βασική ή/και σημαντική οντότητα η οποία δεν λαμβάνει κατάλληλα και αναλογικά τεχνικά και οργανωτικά μέτρα για τη διαχείριση των κινδύνων όσον αφορά την ασφάλεια των δικτύων και συστημάτων πληροφοριών που χρησιμοποιεί στις δραστηριότητές της είναι ένοχη αδικήματος και, σε περίπτωση καταδίκης της, υπόκειται σε ποινή φυλάκισης που δεν υπερβαίνει τα τρία (3) έτη ή σε χρηματική ποινή που δεν υπερβαίνει δεκαπέντε χιλιάδες ευρώ (€15.000) ή και στις δύο αυτές ποινές.
\n
(4)[Διαγράφηκε].
\n
(5)Πρόσωπο το οποίο δεν παρέχει οποιαδήποτε πληροφορία του ζητηθεί από την Αρχή, σύμφωνα με τις διατάξεις της παραγράφου (β) του εδαφίου (1) του άρθρου 20, εντός δεκαπέντε (15) ημερών από την ημερομηνία της απαίτησης είναι ένοχο αδικήματος και, σε περίπτωση καταδίκης του, υπόκειται σε ποινή φυλάκισης που δεν υπερβαίνει τα τρία (3) έτη ή σε χρηματική ποινή που δεν υπερβαίνει τις τρεις χιλιάδες τετρακόσια ευρώ (€3.400).
\n
(6)Πρόσωπο από το οποίο η Αρχή απαιτεί να παράσχει οποιαδήποτε πληροφορία, σύμφωνα με τις σχετικές διατάξεις Κανονισμών που εκδίδει η Ευρωπαϊκή Ένωση, και παραλείπει να το πράξει εντός της καθορισμένης ημερομηνίας των δεκαπέντε (15) ημερών από την ημερομηνία της απαίτησης είναι ένοχο αδικήματος και, σε περίπτωση καταδίκης του υπόκειται σε ποινή φυλάκισης που δεν υπερβαίνει τους έξι (6) μήνες ή σε χρηματική ποινή που δεν υπερβαίνει τις τρεις χιλιάδες τετρακόσια ευρώ (€3.400) ή και στις δύο αυτές ποινές.
\n
(7)Πρόσωπο το οποίο παραβιάζει οποιαδήποτε διάταξη των Αποφάσεων και/ή Κανονισμών της Ευρωπαϊκής Ένωσης αναφορικά με την ασφάλεια δικτύων και συστημάτων πληροφοριών είναι ένοχο αδικήματος και, σε περίπτωση καταδίκης του, υπόκειται σε ποινή φυλάκισης που δεν υπερβαίνει τα τρία (3) έτη ή σε χρηματική ποινή που δεν υπερβαίνει τις δεκαπέντε χιλιάδες ευρώ (€15.000) ή και στις δύο αυτές ποινές.
\n
89(I)/2020 60(I)/2025 Παραβάσεις που συνεπάγονται παραβίαση δεδομένων προσωπικού χαρακτήρα 44Α.-(1) Σε περίπτωση κατά την οποία, η Αρχή αντιληφθεί, στο πλαίσιο της εποπτείας ή της επιβολής, ότι η παράβαση από βασική ή σημαντική οντότητα των υποχρεώσεων που ορίζονται στις διατάξεις των άρθρων 35 και 35Β δύναται να συνεπάγεται σε παραβίαση δεδομένων προσωπικού χαρακτήρα, όπως ορίζεται στο σημείο 12 του άρθρου 4 του Κανονισμού (ΕΕ) 2016/679, η οποία πρέπει να κοινοποιείται σύμφωνα με το άρθρο 33 του εν λόγω Κανονισμού, ενημερώνουν χωρίς αδικαιολόγητη καθυστέρηση τις εποπτικές αρχές που αναφέρονται στο άρθρο 55 ή 56 του εν λόγω Κανονισμού.
\n
(2)(α) Σε περίπτωση που οι εποπτικές αρχές οι οποίες αναφέρονται στο άρθρο 55 ή 56 του Κανονισμού (ΕΕ) 2016/679 επιβάλλουν διοικητικό πρόστιμο σύμφωνα με το άρθρο 58 παράγραφος 2 στοιχείο θ) του εν λόγω Κανονισμού, η Αρχή δεν επιβάλλει διοικητικό πρόστιμο σύμφωνα με τις διατάξεις του άρθρου 43Α για την παράβαση που αναφέρεται στο εδάφιο (1) και η οποία απορρέει από την ίδια συμπεριφορά που αποτέλεσε το αντικείμενο του διοικητικού προστίμου σύμφωνα με το άρθρο 58 παράγραφος 2 στοιχείο θ) του Κανονισμού (ΕΕ) 2016/679. (β) Η Αρχή δύναται, ωστόσο, να εφαρμόσει τα μέτρα επιβολής που αναφέρονται στις παραγράφους (α) έως (η) του εδαφίου (4) του άρθρου 36Α, στο εδάφιο (5) του άρθρου 36Α και στις παραγράφους (α) έως (ζ) του εδαφίου (4) του άρθρου 36Β.
\n
(3)Σε περίπτωση κατά την οποία, η εποπτική αρχή που είναι αρμόδια δυνάμει του Κανονισμού (ΕΕ) 2016/679 είναι εγκατεστημένη σε κράτος μέλος διαφορετικό από την Αρχή, η Αρχή ενημερώνει τον Επίτροπο Προστασίας Δεδομένων Προσωπικού Χαρακτήρα για την ενδεχόμενη παραβίαση των στοιχείων που αναφέρονται στο εδάφιο (1).
\n
60(I)/2025 ΜΕΡΟΣ ΔΕΚΑΤΟ ΠΕΜΠΤΟ ΚΑΝΟΝΙΣΜΟΙ, ΑΠΟΦΑΣΕΙΣ, ΔΗΜΟΣΙΟΝΟΜΙΚΕΣ ΔΙΑΤΑΞΕΙΣ, ΕΚΘΕΣΕΙΣ, ΚΑΙ ΔΙΑΦΟΡΑ ΑΛΛΑ ΘΕΜΑΤΑ Έκδοση Κανονισμών 45.-(1) Για σκοπούς καλύτερης εφαρμογής των διατάξεων του παρόντος Νόμου, το Υπουργικό Συμβούλιο εκδίδει Κανονισμούς, οι οποίοι κατατίθενται στη Βουλή των Αντιπροσώπων για έγκριση και δημοσιεύονται στην Εφημερίδα της Δημοκρατίας, εκτός εάν προβλέπεται διαφορετικά σε αυτούς.
\n
(2)Χωρίς επηρεασμό της γενικότητας των διατάξεων του εδαφίου (1), οι Κανονισμοί αυτοί δύναται να προβλέπουν μεταξύ άλλων για τα ακόλουθα: (α) Τη μεθοδολογία υπολογισμού τελών για τη χρηματοδότηση των δαπανών της Αρχής· (β) τη διαδικασία διορισμού, είτε μόνιμα είτε με σύμβαση για ορισμένο χρονικό διάστημα, προαγωγής, τους όρους υπηρεσίας, τις κατηγορίες θέσεων, την αφυπηρέτηση και τα ωφελήματα αφυπηρέτησης των μελών του προσωπικού της Αρχής, καθώς και τον πειθαρχικό κώδικα και την άσκηση πειθαρχικού ελέγχου· (γ) τα σχέδια υπηρεσίας για τα καθήκοντα, τις ευθύνες και τα προσόντα των μελών του μόνιμου προσωπικού της Αρχής· (δ) το Ταμείο Ιατροφαρμακευτικής Περίθαλψης για την κάλυψη των μελών του προσωπικού της Αρχής κατά και μετά τη διάρκεια της υπηρεσίας τους στην Αρχή κατ’ εφαρμογή των προνοιών των περί του Επιτρόπου Ρυθμίσεως Ηλεκτρονικών Επικοινωνιών και Ταχυδρομείων (Ταμείο Ιατροφαρμακευτικής Περίθαλψης) Κανονισμών και των διατάξεων του Γενικού Συστήματος Υγείας Νόμου · (ε) το Ταμείο Προνοίας για τους υπαλλήλους της Αρχής κατά τη διάρκεια της υπηρεσίας τους στην Αρχή· (στ) το Ταμείο Προνοίας Ωρομίσθιου Προσωπικού για τα ωρομίσθια μέλη του προσωπικού της Αρχής.
\n
89(I)/2020 Έκδοση Αποφάσεων από την Αρχή 46.-(1) Για την καλύτερη εφαρμογή των διατάξεων του παρόντος Νόμου, η Αρχή εκδίδει Αποφάσεις κατά την άσκηση των αρμοδιοτήτων της βάσει των διατάξεων του παρόντος Νόμου.
\n
(2)Χωρίς επηρεασμό της γενικότητας των διατάξεων του εδαφίου (1), η Αρχή δύναται να εκδίδει Αποφάσεις που αποσκοπούν πρωτίστως στην αποσαφήνιση και ρύθμιση των διαδικασιών, των μεθόδων, των χρονοδιαγραμμάτων και ιδίως της διαδικασίας και του τρόπου είσπραξης όλων των πληρωτέων δυνάμει των διατάξεων του παρόντος Νόμου και των Αποφάσεων που εκδίδονται δυνάμει αυτού ποσών, τελών και δικαιωμάτων, της διαδικασίας και του τρόπου είσπραξης όλων των πληρωτέων ποσών διοικητικών προστίμων και οποιωνδήποτε άλλων πληρωτέων εσόδων ή ποσών που εισπράττονται δυνάμει των διατάξεων του παρόντος Νόμου και των Αποφάσεων που εκδίδονται δυνάμει αυτού, του καθορισμού τελών και δικαιωμάτων που είναι πληρωτέα σε σχέση με την εφαρμογή των διατάξεων του παρόντος Νόμου και των Αποφάσεων που εκδίδονται δυνάμει αυτού και του καθορισμού διαδικασίας επιβολής διοικητικού προστίμου.
\n
(3)Η Αρχή δύναται να εκδίδει Αποφάσεις αναφορικά με την εφαρμογή των βέλτιστων πρακτικών ή των κατευθυντήριων γραμμών που εκδίδονται από την Επιτροπή σχετικά με την εφαρμογή του ενωσιακού δικαίου.
\n
(4)Η Αρχή δύναται να εκδίδει Αποφάσεις αναφορικά με οποιοδήποτε άλλο ζήτημα προβλέπουν οι διατάξεις του παρόντος Νόμου ή χρήζει ή είναι δεκτικό καθορισμού.
\n
(5)Αποφάσεις της Αρχής που εκδίδονται δυνάμει του παρόντος Νόμου δημοσιεύονται στην Επίσημη Εφημερίδα της Δημοκρατίας και τίθενται σε ισχύ σε καθορισμένο στη σχετική Απόφαση χρόνο ή, σε περίπτωση μη καθορισμού χρόνου έναρξης ισχύος, από την ημερομηνία της εν λόγω δημοσίευσης της σχετικής Απόφασης:
\n
Νοείται ότι, δεν δημοσιεύονται στην Επίσημη Εφημερίδα της Δημοκρατίας Αποφάσεις που αφορούν ευαίσθητες ή/και εμπιστευτικές πληροφορίες ή/και διαβαθμισμένα έγγραφα.
\n
(6)Η Αρχή έχει εξουσία να εφαρμόζει με Απόφαση, Κανονισμούς της Ευρωπαϊκής Ένωσης που αφορούν θέματα ασφάλειας δικτύων και συστημάτων πληροφοριών και κυβερνοασφάλειας.
\n
89(I)/2020 Προϋπολογισμός 47.-(1) Η Αρχή καταρτίζει για κάθε οικονομικό έτος, το οποίο αρχίζει την 1η Ιανουαρίου και λήγει την 31η Δεκεμβρίου, προϋπολογισμό εσόδων και δαπανών.
\n
(2)(α) Ο προϋπολογισμός υποβάλλεται από τον Επίτροπο, μέσω του Υφυπουργού, για έγκριση στον Υπουργό Οικονομικών, ο οποίος τον καταθέτει στο Υπουργικό Συμβούλιο. (β) Μετά από την έγκριση του προϋπολογισμού από το Υπουργικό Συμβούλιο, αυτός κατατίθεται στη Βουλή των Αντιπροσώπων για έγκριση σύμφωνα με τις διατάξεις του άρθρου 104 του περί Δημοσιονομικής Ευθύνης και Δημοσιονομικού Πλαισίου Νόμου.
\n
(3)Ο προϋπολογισμός, μετά τις τυχόν τροποποιήσεις του από το Υπουργικό Συμβούλιο, κατατίθεται ενώπιον της Βουλής των Αντιπροσώπων προ της 30ής Σεπτεμβρίου εκάστου έτους.
\n
(4)Ο προϋπολογισμός καλύπτει το οικονομικό πρόγραμμα της Αρχής για κάθε οικονομικό έτος, το οποίο αρχίζει την 1η Ιανουαρίου και λήγει την 31η Δεκεμβρίου:
\n
Νοείται ότι, το πρώτο οικονομικό πρόγραμμα της Αρχής αρχίζει από την ημερομηνία λειτουργίας της Αρχής και λήγει την 31η Δεκεμβρίου του ίδιου έτους.
\n
(5)Ο τρόπος με τον οποίο καταρτίζεται ο προϋπολογισμός και εμφανίζεται η ανάλυση των κονδυλίων στον πίνακα εσόδων και εξόδων είναι όμοιος με τον τρόπο καταρτισμού του κρατικού προϋπολογισμού.
\n
(6)Η Αρχή μεριμνά για την αναφερόμενη στις διατάξεις του εδαφίου (1) κατάρτιση προϋπολογισμού και για την κατάρτιση του αναφερόμενου στις διατάξεις του εδαφίου (4) οικονομικού προγράμματος.
\n
(7)Σε περίπτωση μη έγκαιρης ψήφισης του προϋπολογισμού, η Αρχή λειτουργεί κατ’ ανάλογη εφαρμογή των περί δωδεκατημορίων διατάξεων της παραγράφου 3 του Άρθρου 168 του Συντάγματος για τον κρατικό προϋπολογισμό.
\n
89(I)/2020 60(I)/2025 Τήρηση βιβλίων 48.-(1) Η Αρχή τηρεί κατάλληλα βιβλία και λογαριασμούς για τις δραστηριότητές της, όπως ορίζει εκάστοτε ο Γενικός Ελεγκτής της Δημοκρατίας.
\n
(2)Σχετικά με την οικονομική διαχείριση κάθε οικονομικού έτους, συντάσσεται, με μέριμνα της Αρχής, απολογισμός κατά τρόπο που ορίζει εκάστοτε ο Γενικός Ελεγκτής της Δημοκρατίας.
\n
(3)Οι λογαριασμοί της Αρχής ελέγχονται από τον Γενικό Ελεγκτή της Δημοκρατίας.
\n
(4)Μέσα σε έναν μήνα από τον έλεγχο των λογαριασμών η Αρχή υποβάλλει στο Υπουργικό Συμβούλιο και στη Βουλή των Αντιπροσώπων για ενημέρωση τον απολογισμό οικονομικής διαχείρισης.
\n
(5)Η Αρχή μεριμνά για την αναφερόμενη στις διατάξεις του εδαφίου (1), (2) και (4) τήρηση βιβλίων και λογαριασμών και σύνταξη απολογισμού.
\n
89(I)/2020 Έκθεση 49.-(1) Η Αρχή υποβάλλει στον Πρόεδρο της Δημοκρατίας ετησίως, εντός έξι (6) μηνών από την ημερομηνία λήξης εκάστου οικονομικού έτους, έκθεση για τις δραστηριότητές της.
\n
(2)Η Αρχή κοινοποιεί την έκθεσή της, στο Υπουργικό Συμβούλιο και στη Βουλή των Αντιπροσώπων και δύναται να τη δημοσιεύει.
\n
89(I)/2020 Εργοδότηση προσωπικού, σε περίπτωση που παύει να υφίσταται η Αρχή 50. Σε περίπτωση που η Αρχή παύει για οποιονδήποτε λόγο να υφίσταται, οι θέσεις του μόνιμου προσωπικού και οι κάτοχοί τους, καθώς και οι κενές θέσεις μεταφέρονται σε κατάλληλο υπουργείο, τμήμα ή υπηρεσία της κυβέρνησης, σε περίπτωση δε που οι δυνάμει των διατάξεων του παρόντος Νόμου αρμοδιότητες, εξουσίες και καθήκοντα της Αρχής περιέρχονται για οποιονδήποτε λόγο σε άλλο νομικό πρόσωπο, αρχή, ή οργανισμό, το προσωπικό της Αρχής παρέχει υπηρεσίες στο εν λόγω νομικό πρόσωπο, αρχή ή οργανισμό χωρίς οποιαδήποτε αλλαγή του καθεστώτος ή των όρων υπηρεσίας του.
\n
89(I)/2020 Περιουσιακά στοιχεία της Αρχής, σε περίπτωση που παύει να υφίσταται 51. Σε περίπτωση που παύει για οποιονδήποτε λόγο να υφίσταται η Αρχή, όλα τα περιουσιακά στοιχεία της Αρχής, περιέρχονται στη Δημοκρατία.
\n
89(I)/2020 Προσφυγή στο Διοικητικό Δικαστήριο κατά Αποφάσεων της Αρχής 52.-(1) Οποιαδήποτε Απόφαση της Αρχής υπόκειται σε δικαστικό έλεγχο με προσφυγή στο Διοικητικό Δικαστήριο σύμφωνα με το Άρθρο 146 του Συντάγματος και του περί της Ίδρυσης και Λειτουργίας Διοικητικού Δικαστηρίου Νόμου.
\n
(2)Η Αρχή διατηρεί αρχείο σχετικά με τις προσφυγές, τη διάρκεια των διαδικασιών προσφυγής και τον αριθμό των αποφάσεων για λήψη προσωρινών μέτρων και παρέχει τις πληροφορίες αυτές στην Επιτροπή ή άλλο θεσμικό όργανο της Ευρωπαϊκής Ένωσης κατόπιν αιτιολογημένου αιτήματος.
\n
89(I)/2020 Ευθύνη Επιτρόπου, Βοηθού Επιτρόπου και προσωπικού της Αρχής 53. Τηρουμένων των διατάξεων του παρόντος Νόμου, και των δυνάμει αυτού εκδιδομένων Κανονισμών και Αποφάσεων, ο Επίτροπος, Βοηθός Επίτροπος και τα μέλη του προσωπικού της Αρχής δεν υπέχουν ευθύνη για οτιδήποτε έγινε ή παραλείφθηκε ή λέχθηκε ή για οποιαδήποτε γνώμη εξέφρασαν ή έκθεση ή άλλο έγγραφο ετοίμασαν κατά την καλόπιστη άσκηση των αντίστοιχων καθηκόντων τους και των αρμοδιοτήτων και εξουσιών τους δυνάμει των διατάξεων του παρόντος Νόμου.
\n
89(I)/2020 Ευθύνη νομικών προσώπων 54.-(1) Νομικό πρόσωπο είναι ένοχο για τη διάπραξη αδικήματος που προβλέπεται στις διατάξεις των άρθρων 22 και 43, όταν το αδίκημα διαπράττεται προς όφελος του νομικού προσώπου από οποιοδήποτε πρόσωπο ενεργεί είτε ατομικά, είτε ως μέλος οργάνου του νομικού αυτού προσώπου και κατέχει στο νομικό αυτό πρόσωπο ιθύνουσα θέση υπό την ιδιότητα- (α) εντολοδόχου εκπροσώπησης του νομικού προσώπου, (β) πληρεξούσιου λήψης αποφάσεων εξ ονόματος του νομικού προσώπου, ή (γ) πληρεξούσιου άσκησης ελέγχου εντός του νομικού προσώπου.
\n
(2)Νομικό πρόσωπο είναι ένοχο για τη διάπραξη αδικήματος που προβλέπεται στις διατάξεις των άρθρων 22 και 43, όταν η έλλειψη εποπτείας ή ελέγχου από πρόσωπο που καθορίζεται στις διατάξεις του εδαφίου (1) έχει καταστήσει δυνατή τη διάπραξη του εν λόγω αδικήματος προς όφελος του νομικού προσώπου από πρόσωπο το οποίο τελεί υπό την εξουσία του προσώπου που καθορίζεται στις διατάξεις του εδαφίου (1).
\n
(3)Άνευ επηρεασμού των όσων αναφέρονται στις διατάξεις των εδαφίων (1) και (2), η ευθύνη του νομικού προσώπου δεν αποκλείει την άσκηση ποινικής δίωξης εναντίον των φυσικών προσώπων που διαπράττουν τα αδικήματα και ή των προσώπων που συμμετέχουν στη διάπραξη των αδικημάτων που προβλέπονται στις διατάξεις των άρθρων 22 και 43.
\n
(4)Άνευ επηρεασμού των διατάξεων των εδαφίων (1) και (2), πρόσωπο το οποίο συμβουλεύει, προάγει ή παρακινεί άλλο πρόσωπο να συμμετέχει στη διάπραξη ή απόπειρα διάπραξης αδικήματος που προβλέπεται στις διατάξεις των άρθρων 22 και 43 είναι ένοχο αδικήματος του ίδιου είδους υπόκειται στην ίδια ποινή και δύναται να διωχτεί, ως εάν είχε διενεργήσει ο ίδιος τέτοια πράξη.
\n
(5)Σε περίπτωση κατά την οποία πράξη ή παράλειψη νομικού προσώπου που επιφέρει κατά τα οριζόμενα στον παρόντα Νόμο ή/και Αποφάσεων που εκδίδονται δυνάμει του παρόντος Νόμου επιβολή διοικητικού προστίμου ή άλλου χρηματικού προστίμου από την Αρχή, την ευθύνη για την πράξη ή παράλειψη για την καταβολή του διοικητικού προστίμου φέρουν τα νομικά πρόσωπα, καθώς και τα φυσικά πρόσωπα που αναφέρονται στις διατάξεις του εδαφίου (1).
\n
89(I)/2020 ΜΕΡΟΣ ΔΕΚΑΤΟ ΕΚΤΟ ΜΕΤΑΒΑΤΙΚΕΣ ΚΑΙ ΤΕΛΙΚΕΣ ΔΙΑΤΑΞΕΙΣ Μεταβατική διάταξη 55.-(1) Αποφάσεις ή Κανονισμοί που εκδόθηκαν δυνάμει του περί Ασφάλειας Δικτύων και Συστημάτων Πληροφοριών Νόμου του 2018, ο οποίος καταργείται με τον παρόντα Νόμο καθώς και οι κοινοποιήσεις που έγιναν στην Επιτροπή λογίζεται ότι έχουν γίνει δυνάμει των διατάξεων του παρόντος Νόμου και θα εξακολουθήσουν να ισχύουν μέχρι την κατάργηση ή αντικατάστασή αυτών από Αποφάσεις, Κανονισμούς ή κοινοποιήσεις στην Επιτροπή, ανάλογα με την περίπτωση, που θα εκδοθούν δυνάμει των διατάξεων του παρόντος Νόμου.
\n
(2)Αναφορά σε οικεία νομοθεσία ή Κανονισμούς ή Διατάγματα που εκδίδονται δυνάμει αυτής ή σε συναφή δημόσια έγγραφα τα οποία αφορούν θέματα ασφάλειας δικτύων και συστημάτων πληροφοριών σε «ΓΕΡΗΕΤ», αυτή λογίζεται ως αναφορά σε «Αρχή».
\n
(3)Αποφάσεις ή Κανονισμοί που έχουν εκδοθεί δυνάμει του περί Ασφάλειας Δικτύων και Συστημάτων Πληροφοριών Νόμου του 2020 εξακολουθούν να ισχύουν μέχρι την κατάργηση ή αντικατάσταση αυτών από Αποφάσεις, Κανονισμούς οι οποίοι εκδίδονται δυνάμει των διατάξεων του παρόντος Νόμου ή στο πλαίσιο εκπλήρωσης ενωσιακών υποχρεώσεων, ανάλογα με την περίπτωση.
\n
(4)Με την έναρξη ισχύος νόμου, σύμφωνα με τις διατάξεις του οποίου, η δομή, η διοίκηση, η λειτουργία, τα θέματα προσωπικού, η οικονομική διαχείριση και ο προϋπολογισμός της Αρχής θα τροποποιηθούν με την ενοποίηση της Αρχής με το ΓΕΡΗΕΤ, και συγκεκριμένα τα άρθρα 4 έως 14, οι παράγραφοι (β) μέχρι (στ) του εδαφίου (2) του άρθρου 45, το άρθρο 47, το άρθρο 50 και το άρθρο 53 του περί Ασφάλειας Δικτύων και Συστημάτων Πληροφοριών Νόμου αναμένεται ότι θα τροποποιηθούν ή καταργηθούν αναλόγως.
\n
89(I)/2020 60(I)/2025 Κατάργηση 56. Από την ημερομηνία δημοσίευσης στην Επίσημη Εφημερίδα της Δημοκρατίας του παρόντος Νόμου, ο περί Ασφάλειας Δικτύων και Συστημάτων Πληροφοριών Νόμος του 2018 καταργείται.
\n
89(I)/2020 ΠΑΡΑΡΤΗΜΑΤΑ ΠΑΡΑΡΤΗΜΑ Ι Πατήστε εδώ για το ΠΑΡΑΡΤΗΜΑ Ι.
\n
ΠΑΡΑΡΤΗΜΑ ΙΙ Πατήστε εδώ για το ΠΑΡΑΡΤΗΜΑ ΙΙ.
\n
Σημείωση 57 του Ν. 60(Ι)/2025Έναρξη της ισχύος του Ν. 60(Ι)/2025 57.-(1) Με την επιφύλαξη του εδαφίου (2), ο παρών Νόμος [Σ.Σ.: δηλαδή ο Ν. 60(Ι)/2025], τίθεται σε ισχύ, από την ημερομηνία της δημοσίευσής του στην Επίσημη Εφημερίδα της Δημοκρατίας.
\n
(2)Οι διατάξεις του άρθρου 8 του παρόντος Νόμου [Σ.Σ.: δηλαδή του Ν. 60(Ι)/2025] τίθενται σε ισχύ, σε ημερομηνία που καθορίζεται από το Υπουργικό Συμβούλιο με γνωστοποίησή του, η οποία δημοσιεύεται στην Επίσημη Εφημερίδα της Δημοκρατίας.
\n
Εκτύπωση Cylaw.org: Από το ΚΙΝOΠ/CyLii και τη ConvertPLC για τον Παγκύπριο Δικηγορικό Σύλλογο