NIS2 en Grèce
Guide de mise en œuvre et de conformité NIS2 en Grèce.
La Grèce renforce son régime national de cybersécurité afin de s'aligner sur les obligations renforcées introduites par la directive NIS2. Le cadre mis à jour étend la couverture sectorielle, formalise la responsabilité de la direction et renforce les mécanismes de notification et d'exécution. Ce guide propose une vue d'ensemble structurée des exigences de conformité à la NIS2 en Grèce pour les PME opérant dans des secteurs réglementés.
1. Aperçu rapide de l'applicabilité aux PME en Grèce
La NIS2 s'applique-t-elle aux PME en 1. Aperçu rapide de l'applicabilité aux PME en Grèce ?
Oui — selon le secteur et la taille.
- Applicabilité automatique aux entités de taille moyenne (≥50 employés et ≥€10 million de chiffre d'affaires ou de total de bilan) exerçant des activités dans les secteurs couverts.
- Les petites ou microentités ne sont incluses que si elles sont formellement désignées ou si elles exercent des activités dans des secteurs à haute criticité.
- S'applique aux entités établies en Grèce et, dans certains cas, aux prestataires numériques étrangers desservant le marché grec.
Les PME doivent évaluer leur qualification au regard du cadre national de cybersécurité de la Grèce, sur la base de la classification sectorielle et des seuils fixés par la loi.
2. Aperçu de la mise en œuvre de la NIS2 en Grèce
La Grèce met en œuvre la directive au moyen d'amendements à la loi relative à la cybersécurité et à la sécurité des réseaux et des systèmes d'information, qui constitue la base du cadre national de cybersécurité.
La législation révisée aligne le régime grec sur la Directive (EU) 2022/2555 et renforce les obligations relatives à la gouvernance, à la gestion des risques, à la notification des incidents et aux pouvoirs des autorités de supervision.
Le cadre intègre les normes de la directive dans le modèle grec existant de supervision de la cybersécurité.
3. Champ d'application en Grèce
Entités essentielles
Entités exerçant des activités dans des secteurs hautement critiques :
Entités importantes
Entités exerçant des activités dans d'autres secteurs listés :
Le champ d'application de la Grèce reflète les catégories sectorielles minimales de la Directive, sans expansion structurelle confirmée.
4. Seuils de taille et applicabilité aux PME en Grèce
Les seuils de base s'appliquent :
- ≥50 employés, et
- ≥€10 million de chiffre d'affaires annuel ou de total de bilan.
Les entités qui remplissent les deux critères dans les secteurs couverts relèvent automatiquement du champ d'application.
Les petites et microentreprises peuvent être désignées lorsqu'elles sont considérées comme critiques pour la sécurité publique, la stabilité économique ou le fonctionnement de la société.
Les autorités grecques conservent des pouvoirs formels de désignation lorsque le risque systémique justifie l'inclusion.
5. Cadre de classification des entités en Grèce
Les entités sont classées comme suit :
- Entités essentielles — Soumises à une supervision proactive, y compris des audits et un suivi structuré de la conformité.
- Entités importantes — Principalement soumises à une supervision réactive déclenchée par des incidents significatifs ou des préoccupations de conformité.
La classification est déterminée par le secteur et la taille. Les autorités peuvent reclassifier des entités lorsque l’impact opérationnel ou l’exposition aux risques justifie un renforcement de la supervision.
La Grèce applique le modèle de supervision à deux niveaux de la Directive.
6. Exigences de gestion des risques de cybersécurité en Grèce
Le régime national de la Grèce s’aligne sur le socle de la Directive en matière de gestion des risques de cybersécurité. Les entités concernées doivent mettre en œuvre des mesures techniques et organisationnelles proportionnées couvrant :
- Analyse des risques et protection des systèmes
- Détection et réponse aux incidents
- Continuité d’activité et gestion de crise
- Contrôles des risques de la chaîne d’approvisionnement NIS2 en Grèce
- Acquisition et développement sécurisés des systèmes TIC
- Contrôle d’accès et gestion des identités
- Chiffrement et protections cryptographiques
- Procédures de gestion des vulnérabilités
- Formation du personnel à la cybersécurité
Les mesures doivent refléter l’état de l’art et l’exposition aux risques de l’organisation. L’alignement sur ISO/IEC 27001 et les orientations nationales en matière de cybersécurité est encouragé.
7. Responsabilité de la direction et gouvernance en Grèce
Les organes de direction doivent approuver formellement les mesures de gestion des risques en cybersécurité et en superviser la mise en œuvre.
Dans le cadre réglementaire de la Grèce :
- Les conseils d'administration sont responsables de la supervision de la conformité.
- La haute direction doit garantir des compétences suffisantes en cybersécurité.
- Des sanctions administratives peuvent viser les manquements de gouvernance.
- La suspension temporaire des fonctions de direction peut être prévue dans le cadre de mécanismes d'application alignés sur la directive.
Les attentes de la Grèce en matière de responsabilité de la direction au titre de NIS2 élèvent la gouvernance de la cybersécurité au rang de responsabilité de niveau exécutif.
8. Obligations de notification des incidents en Grèce
Définition d'un incident significatif
Un incident est considéré comme significatif s'il entraîne :
- Perturbation opérationnelle grave
- Perte financière significative
- Impact sociétal substantiel
- Effets transfrontaliers
Calendrier de notification
| Phase de notification | Délai | Autorité |
|---|---|---|
| Alerte précoce | 24 heures | Autorité nationale de cybersécurité (NCSA) |
| Notification d'incident | 72 heures | Autorité nationale de cybersécurité (NCSA) |
| Rapport final | 1 mois | Autorité nationale de cybersécurité (NCSA) |
9. Autorités de surveillance et modèle d'application en Grèce
Autorité principale : Autorité nationale de cybersécurité (NCSA).
La Grèce applique un modèle de supervision centralisé coordonné par la NCSA, avec l’intervention des régulateurs sectoriels lorsque nécessaire.
Les pouvoirs de supervision comprennent :
- Demandes de documentation et d’informations
- Audits de sécurité
- Inspections sur site
- Instructions contraignantes en matière de conformité
- Participation aux mécanismes de coordination de la cybersécurité de l’UE
La structure d’application est alignée sur les exigences de coopération au niveau de la directive.
10. Amendes et sanctions NIS2 en Grèce
La Grèce applique des sanctions administratives alignées sur la directive.
Entités essentielles
Jusqu'à €10 million ou 2% du chiffre d'affaires annuel mondial total (le plus élevé des deux)
Entités importantes
Jusqu'à €7 million ou 1.4% du chiffre d'affaires annuel mondial total (le plus élevé des deux)
L’application des amendes NIS2 en Grèce peut également inclure :
- Ordres de remédiation contraignants
- Identification publique des entités non conformes
- Suspension des autorisations ou des certifications
- Pouvoirs de suspension des dirigeants
La responsabilité pénale ne s'applique que lorsqu'elle est explicitement prévue par la législation grecque.
11. NIS2 - Sécurité de la chaîne d'approvisionnement et des fournisseurs en Grèce
Les entités doivent gérer l'exposition aux risques de cybersécurité des tiers au moyen de :
- Évaluations des risques liés aux fournisseurs
- Clauses contractuelles de transmission des exigences de sécurité
- Surveillance continue des fournisseurs TIC
- Analyse du risque de concentration
- Atténuation de la propagation des incidents
L'approche de la Grèce est alignée sur les attentes minimales de la Directive en matière de gestion des risques fournisseurs.
12. Obligations d'enregistrement et d'auto-identification en Grèce
Les entités entrant dans le champ d'application doivent :
- S'enregistrer auprès des autorités compétentes
- Fournir les informations d'identification de l'entreprise
- Indiquer la classification sectorielle
- Maintenir à jour les contacts de notification
Les délais procéduraux se conforment au cadre de mise en œuvre grec. À l'état actuel de la transposition, la Grèce suit le cadre de référence de la directive NIS2. Des modalités nationales de mise en œuvre peuvent affiner des obligations spécifiques.
L'auto-identification est obligatoire lorsque les entités atteignent les seuils légaux.
13. Interaction avec le RGPD et d'autres lois en Grèce
Le Règlement général sur la protection des données continue de s'appliquer en parallèle.
Les chevauchements à prendre en compte comprennent :
- Notification d'une violation de données à caractère personnel dans les 72 heures
- Coordination avec l'autorité de contrôle
- Enquêtes parallèles en matière de cybersécurité et de protection des données
- Législation grecque de cybersécurité spécifique à certains secteurs
Un seul incident de cybersécurité peut déclencher des obligations de notification au titre des deux régimes.
14. Applicabilité transfrontalière
Les entités dont l’établissement principal se trouve en Grèce sont supervisées par les autorités grecques pour les services transfrontaliers.
Les fournisseurs numériques étrangers offrant des services en Grèce peuvent être soumis à des obligations nationales selon leur structure d’établissement.
Les exigences en matière de représentation suivent les normes de la Directive pour les fournisseurs non établis dans l’UE desservant le marché grec.
15. Calendrier de mise en œuvre en Grèce
- Adoption de la Directive : 2022
- Modifications législatives nationales : 2024–2025
- Entrée en vigueur : À la publication nationale
- Notification à la Commission : Conformément aux procédures de l’UE
- Jalon de conformité : Échéances alignées sur la Directive
Le calendrier de transposition de la Grèce est aligné sur les exigences de mise en œuvre de l’UE.
16. Points clés pour les PME en Grèce
- Les entités de taille moyenne dans les secteurs couverts sont automatiquement dans le champ d'application.
- Les petites entités peuvent être désignées si elles sont critiques pour la stabilité nationale ou économique.
- La supervision de la gouvernance au niveau du conseil d'administration est obligatoire.
- La notification des incidents respecte des délais de 24 h / 72 h / 1 mois.
- Les sanctions financières peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial.
- La gestion des risques liés aux fournisseurs est requise.
- Une planification précoce de la conformité réduit l'exposition aux mesures d'application.
FAQ : Guide NIS2 pour les PME en Grèce
La NIS2 s'applique-t-elle aux petites entreprises en Grèce ?
Les petites entreprises sont généralement exclues, sauf si elles sont désignées ou si elles opèrent dans des secteurs hautement critiques. Les entités de taille moyenne qui atteignent les seuils sont automatiquement couvertes.
Quelles sont les sanctions prévues par la NIS2 en Grèce ?
Les entités essentielles s'exposent à des sanctions pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial. Les entités importantes s'exposent jusqu'à 7 millions d'euros ou 1,4 % du chiffre d'affaires annuel mondial.
Quand la NIS2 entre-t-elle en vigueur en Grèce ?
La Grèce met à jour sa législation nationale en cybersécurité pour s'aligner sur la Directive. L'entrée en vigueur intervient après la publication de la législation nationale.
Qui fait appliquer la NIS2 en Grèce ?
L'Autorité nationale de cybersécurité (NCSA) fait office d'autorité de contrôle principale, en coordination avec les régulateurs sectoriels, le cas échéant.
Les administrateurs peuvent-ils être tenus personnellement responsables au titre de la NIS2 en Grèce ?
Les organes de gestion doivent approuver et superviser les mesures de cybersécurité. Les outils d'exécution administrative peuvent inclure des pouvoirs de suspension des dirigeants dans les cas graves.
En quoi la NIS2 diffère-t-elle du RGPD en Grèce ?
La NIS2 régit la résilience en cybersécurité et la gestion des risques opérationnels, tandis que le RGPD encadre la protection des données personnelles. Les deux cadres peuvent s'appliquer à la suite d'un incident de cybersécurité.
Qu'est-ce qui constitue un incident significatif au titre de la NIS2 en Grèce ?
Un incident entraînant une perturbation grave, des pertes financières significatives, un impact sociétal ou des conséquences transfrontalières atteint généralement le seuil de notification.