NIS2 – Εφαρμογή στον τομέα ύδρευσης

Στην Ελλάδα, με τον νόμο 5160/2024 (ΦΕΚ Α’ 195/27.11.2024) ενσωματώθηκε πλήρως η Οδηγία NIS 2 (2022/2555) σε εθνικό επίπεδο.

• Στο Παράρτημα I του νόμου περιλαμβάνονται οι παροχείς υπηρεσιών πόσιμου νερού ως τομείς κρίσιμης σημασίας.
• Αυτό σημαίνει ότι, όποια εταιρεία ή οργανισμός (δημόσιος ή ιδιωτικός) παρέχει υπηρεσίες ύδρευσης εντός Ελλάδας εμπίπτει στο πεδίο εφαρμογής του νόμου, ειδικά εάν πρόκειται για μεσαία ή μεγάλη οντότητα.

Ποιες οντότητες υπάγονται

• Μεσαίες ή μεγάλες επιχειρήσεις, ανεξαρτήτως τομέα (π.χ. > 50 εργαζόμενοι & > 10 εκ. € κύκλο εργασιών), υπάγεται υποχρεωτικά επί βάσει NIS2.
• Κρίσιμες οντότητες (όπως ορίζονται στην Οδηγία 2022/2557) εμπίπτουν υποχρεωτικά σε NIS 2, ανεξάρτητα από το μέγεθος.
• Αν ο πάροχος είναι μοναδικός για μια υπηρεσία ζωτικής σημασίας (π.χ. κύριος διανομέας ύδρευσης σε μια περιοχή), μπορεί να υπάγεται ανεξάρτητα από το μέγεθος.
• Αναμένεται ότι πάνω από 7.000 οντότητες στην Ελλάδα εμπίπτουν στον νόμο, με αυστηρές κυρώσεις για μη συμμόρφωση.

Υποχρεώσεις βάσει NIS 2 / Ν. 5160/2024

1. Αξιολόγηση και διαχείριση κινδύνων – τακτικές αξιολογήσεις, πολιτικές ασφάλειας, διαδικασίες ελέγχου.
2. Αναφορά περιστατικών – υποχρέωση ενημέρωσης εντός 24 ωρών από γνωστοποίηση συμβάντος κυβερνοασφάλειας.
3. Έναρξη λογοδοσίας εκ μέρους της διοίκησης – εμπλοκή της διοίκησης στη διαχείριση κυβερνοκινδύνων.
4. Ορισμός υπευθύνου ασφάλειας πληροφοριών (CISO) και εκπαίδευση προσωπικού.
5. Συνεργασία με αρμόδιες αρχές, Εθνικής Αρχής Κυβερνοασφάλειας (ΕΑΚ) για ανταλλαγή πληροφοριών και διαχείριση κρίσεων.

Τι πρέπει να κάνει μια εταιρεία/οργανισμός ύδρευσης

1. 1. Να ελέγξει αν υπάγεται ως μεσαία/μεγάλη ή ως μοναδικός πάροχος σε κατηγορία “πόσιμο νερό”.
   2. Να ξεκινήσει αξιολόγηση κινδύνων και να εφαρμόσει ένα σύστημα διαχείρισης κυβερνοασφάλειας (π.χ. ISO 27001), μέσω του οποίου καλύπτονται όλες οι παραπάνω υποχρεώσεις.

Σχέση της δραστηριότητας με την υπαγωγή στη NIS 2

• Εάν η εταιρεία είναι μεσαία ή μεγάλη (π.χ. > 50 εργαζόμενοι ή > 10 εκ. € κύκλο εργασιών) και εμπλέκεται στην παραγωγή ή επεξεργασία πόσιμου νερού, τότε εμπίπτει υποχρεωτικά στο πεδίο εφαρμογής του νόμου.
• Αν λειτουργεί ως τμήμα κριτικής υποδομής (επιδρά συστημικά στη διανομή πόσιμου νερού ή καλύπτει μοναδικές ανάγκες περιοχής), τότε μπορεί να χαρακτηρίζεται ως Essential Entity, ανεξαρτήτως μεγέθους.
• Ενώ οι μικρότερες εταιρείες ή πάροχοι τρίτοι συνήθως δεν καλύπτονται άμεσα, οι υπόχρεες οντότητες έχουν την ευθύνη να απαιτήσουν από το δίκτυό τους (εφοδιαστική αλυσίδα) συμμόρφωση με μέτρα ασφάλειας, σύμφωνα με άρθρο 15 του νόμου Εθνική Αρχή Κυβερνοασφάλειας.

Επιχειρήσεις ανά φάση του κύκλου του πόσιμου νερού

1. Παράγωγη / Επεξεργασία νερού (Source → Πόσιμο)

• Τεχνικές εταιρείες και βιομηχανίες που κατασκευάζουν συστήματα επεξεργασίας νερού, όπως αφαλατωτήρια, διηθήσεις, αναβάθμιση υδάτων κ.λπ.

2. Διανομή, αποθήκευση, logistics

• Επιχειρήσεις που διαχειρίζονται συστήματα πρότζεκτ ή δίκτυα μεταφοράς νερού, που υποστηρίζουν την εφοδιαστική αλυσίδα των κριτικών παρόχων.
• Καθώς ο νόμος προβλέπει ότι οι προμηθευτές υπηρεσιών «critical» φορέων αποτελούν διασυνδεδεμένα σημεία ευθύνης, επιχειρήσεις logistics, διανομείς ή αποθηκευτές μπορούν να περιληφθούν βάσει άρθρου 15 ν. 5160/2024.

3. Υπηρεσίες επεξεργασίας / απολύμανσης πριν χρήση

• Εταιρείες παροχής επεξεργασιών νερού π.χ. με όζον για απολύμανση πριν χρήση πόσιμου νερού ή σε εφαρμογές άρδευσης/ευρώτητας.
• Παρόμοιες υπηρεσίες που καλύπτουν φάσεις πριν την τελική διανομή, και εάν εξυπηρετούν κρίσιμες υποδομές, υπάγονται ανάλογα.

• Άλλες εταιρείες τεχνολογίας νερού – μικρότερες τεχνικές επιχειρήσεις που κατασκευάζουν μονάδες ή που παρέχουν υπηρεσίες επεξεργασίας ή φίλτρασης για κρίσιμα έργα.