Περιεχόμενα
ΥΑΣΠΕ στην Οδηγία NIS2
Στις 5 Αυγούστου 2025 δημοσιεύθηκε στο ΦΕΚ Β’ 4250 η Υπουργική Απόφαση με αριθμό 1899/2025, με την οποία εξειδικεύεται για πρώτη φορά με σαφή και δεσμευτικό τρόπο ο ρόλος του Υπεύθυνου Ασφαλείας Συστημάτων Πληροφορικής και Επικοινωνιών (Υ.Α.Σ.Π.Ε.) στο πλαίσιο εφαρμογής του ν. 5160/2024, δηλαδή της ελληνικής ενσωμάτωσης της Οδηγίας NIS2. Η απόφαση αυτή αποτελεί κομβικό σημείο για τις βασικές και σημαντικές οντότητες, καθώς μετατρέπει τον Υ.Α.Σ.Π.Ε. από έναν «τυπικό» ρόλο συμμόρφωσης σε κεντρικό πυλώνα διακυβέρνησης κυβερνοασφάλειας.
Ποιες εταιρείες αφορά
Το ΦΕΚ εφαρμόζεται υποχρεωτικά από την 1η Νοεμβρίου 2025 στις Βασικές Οντότητες και στις Σημαντικές Οντότητες όπως αυτές ορίζονται στο άρθρο 4 του ν. 5160/2024 (NIS2). Πρακτικά, αφορά οργανισμούς κρίσιμων και σημαντικών τομέων (ενέργεια, μεταφορές, υγεία, ψηφιακές υποδομές, ICT providers, cloud, managed services κ.λπ.), καθώς και επιλεγμένους φορείς της κεντρικής κυβέρνησης.
Ποιος μπορεί να οριστεί ως ΥΑΣΠΕ
Ο Υ.Α.Σ.Π.Ε. πρέπει να είναι στέλεχος της οντότητας (ή κατ’ εξαίρεση στέλεχος άλλης εταιρείας του ίδιου ομίλου) και να διαθέτει επαρκή γνώση των επιχειρησιακών διαδικασιών και αποδεδειγμένη εμπειρία ή/και εκπαίδευση στην ασφάλεια πληροφοριών και την κυβερνοασφάλεια.
Ελάχιστα προσόντα:
- πανεπιστημιακός ή μεταπτυχιακός τίτλος συναφούς αντικειμένου ή
- εμπειρία τουλάχιστον 5 ετών στην κυβερνοασφάλεια ή
- πιστοποιήσεις και εμπειρία τουλάχιστον 2 ετών.
Παράλληλα, προβλέπεται υποχρεωτικός έλεγχος ιστορικού, που περιλαμβάνει ποινικό μητρώο και αξιολόγηση της επαγγελματικής ηθικής και ακεραιότητας, εφαρμόζοντας αρχές αναλογικότητας και τηρώντας τις διατάξεις για την προστασία προσωπικών δεδομένων και τις δεοντολογικές υποχρεώσεις.
Ασυμβίβαστα ρόλων
Η απόφαση ξεκαθαρίζει ρητά ότι ο Υ.Α.Σ.Π.Ε. δεν μπορεί να είναι ταυτόχρονα:
- Υπεύθυνος Προστασίας Δεδομένων (DPO) και
- Επικεφαλής ΤΠΕ / IT
Η πρόβλεψη αυτή είναι ιδιαίτερα σημαντική, καθώς αποσκοπεί στη διασφάλιση ανεξαρτησίας, αποφυγής σύγκρουσης συμφερόντων και ουσιαστικής εποπτείας της ασφάλειας.
Κρίσιμα καθήκοντα και αρμοδιότητες του ΥΑΣΠΕ
Ο Στρατηγικός ρόλος του Υ.Α.Σ.Π.Ε. περιλαμβάνει:
- Εποπτεία risk management measures (άρθρο 15 ν. 5160/2024).
- Σημείο επαφής με Εθνική Αρχή Κυβερνοασφάλειας.
- Συντονισμός incident reporting και επικοινωνία με CSIRT.
- Ανάπτυξη και έγκριση ενιαίας πολιτικής κυβερνοασφάλειας.
- Συμμετοχή σε ελέγχους, επιθεωρήσεις.
- Διασφάλιση ασφάλειας supply chain ICT.
- Εκπαίδευση διοίκησης και προσωπικού.
- Άμεση αναφορά στο ανώτατο διοικητικό επίπεδο.
Επιπλέον, ο Υ.Α.Σ.Π.Ε. παρακολουθεί τεχνολογικές εξελίξεις και εργαλεία ασφάλειας, ώστε η οντότητα να παραμένει ανθεκτική απέναντι σε νέες απειλές.
Υποχρέωση δήλωσης και εποπτεία
Ο ορισμός του Υ.Α.Σ.Π.Ε. δηλώνεται υποχρεωτικά στην ειδική ψηφιακή πλατφόρμα του Υπουργείου Ψηφιακής Διακυβέρνησης.
Η Εθνική Αρχή Κυβερνοασφάλειας διατηρεί αυξημένες αρμοδιότητες εποπτείας, ελέγχου και αξιολόγησης της καταλληλότητας του ρόλου.
Τι σημαίνει πρακτικά για τις επιχειρήσεις
Η συμμόρφωση με το ΦΕΚ 4250/2025 απαιτεί:
- Ανασχεδιασμό οργανωτικής δομής.
- Σαφή διαχωρισμό IT – Security – Privacy.
- Τεκμηριωμένα μητρώα, διαδικασίες και policies.
- Συνεχή reporting προς διοίκηση και Αρχή.
Ο Υ.Α.Σ.Π.Ε. δεν είναι διακοσμητικός ρόλος. Η εταιρεία λογοδοτεί μέσω αυτού για την ασφάλεια κρίσιμων συστημάτων.
Πώς μπορούμε να σας βοηθήσουμε
Η απόφαση 1899/2025 έρχεται να καταστήσει σαφές ότι η κυβερνοασφάλεια δεν είναι πλέον επιλογή, είναι ρυθμιστική υποχρέωση με συγκεκριμένους ρόλους, ευθύνες και συνέπειες. Εμείς σας βοηθάμε να προετοιμαστείτε εγκαίρως.
Η έγκαιρη προετοιμασία περιλαμβάνει:
- Gap analysis σε σχέση με NIS2 και το Εθνικό Πλαίσιο Απαιτήσεων.
- Yποστήριξη στον ορισμό και την ενίσχυση του ρόλου Υ.Α.Σ.Π.Ε.
- Σχεδιασμό πολιτικών, διαδικασιών και μητρώων.
- Εκπαίδευση διοίκησης και στελεχών, για τη διασφάλιση συμμόρφωσης.
- Προετοιμασία για την εποπτική αρχή.
- Έλεγχοι ασφάλειας (IT Security Audit & Penetration Test).
Εφημερίδα της Κυβερνήσεων Β 4250/2025: https://search.et.gr/el/fek/?fekId=785302