Προεδρικά Διατάγματα — ΦΕΚ A' 126/2025

Στρατηγική ασφάλειας εθνικών διαβαθμισμένων πληροφοριών και υλικών, βασικές αρχές και οργάνωση της προστασίας τους.

Ο ΠΡΟΕΔΡΟΣ

ΤΗΣ ΕΛΛΗΝΙΚΗΣ ΔΗΜΟΚΡΑΤΙΑΣ

Έχοντας υπόψη:

• α) Tου άρθρου 70 του ν. 5110/2024 «Ίδρυση Ελληνικού

Κέντρου Αμυντικής Καινοτομίας, εκσυγχρονισμός θεσμικού πλαισίου των Ανωτάτων Στρατιωτικών Εκπαιδευτικών Ιδρυμάτων, σύσταση Κοινού Σώματος Πληροφορικής στις Ένοπλες Δυνάμεις και λοιπές διατάξεις» (Α΄ 75),

• β) του ν. 3649/2008 «Εθνική Υπηρεσία Πληροφοριών

και άλλες διατάξεις» (Α΄ 39),

• γ) του άρθρου 90 του Κώδικα νομοθεσίας για την

Κυβέρνηση και τα κυβερνητικά όργανα (π.δ. 63/2005, Α΄ 98), το οποίο διατηρήθηκε σε ισχύ με την περ. 22 του άρθρου 119 του ν. 4622/2019 (Α΄ 133).

ΚΕΦΑΛΑΙΟ Α΄: Γενικές ρυθμίσεις

Άρθρο 1

Σκοπός Σκοπός του παρόντος διατάγματος είναι ο καθορισμός της στρατηγικής ασφάλειας Εθνικών Διαβαθμισμένων Πληροφοριών και Υλικών, των βασικών αρχών και των ελάχιστων προδιαγραφών ασφάλειας για την προστασία τους και για το προσωπικό που τις χειρίζεται, καθώς και της οργάνωσης και των αρμοδιοτήτων των Αρχών που τις προστατεύουν.

Άρθρο 2

Πεδίο εφαρμογής

Άρθρο 3

Ορισμοί Για την εφαρμογή του παρόντος ισχύουν οι παρακάτω ορισμοί:

• α) «Εθνικές Διαβαθμισμένες Πληροφορίες και Υλικό»

συμφέροντα,

• β) «Σύστημα Επικοινωνιών και Πληροφορικής» (ΣΕΠ)

είναι οποιοδήποτε σύστημα επιτρέπει τον χειρισμό πληροφοριών υπό ηλεκτρονική μορφή, με αυτόματα μέσα. Ένα ΣΕΠ περιλαμβάνει το σύνολο των στοιχείων που απαιτούνται για τη λειτουργία του, συμπεριλαμβανομένων της υποδομής, της οργάνωσης, του προσωπικού και των πληροφοριών,

• γ) «χαρακτηρισμός» είναι ο βαθμός ασφάλειας που

αποδίδεται σε ορισμένη πληροφορία ή υλικό,

• δ) «υποχαρακτηρισμός» είναι η μείωση του επιπέδου

της διαβάθμισης ασφάλειας,

• ε) «αποχαρακτηρισμός» είναι η κατάργηση οποιασδήποτε διαβάθμισης ασφάλειας,

• στ) «υλικό» είναι κάθε έγγραφο, φορέας δεδομένων ή

στοιχείο μηχανημάτων ή εξοπλισμού που έχει ήδη κατασκευαστεί ή βρίσκεται υπό κατασκευή,

• ζ) «αμυντικό υλικό» είναι εξοπλισμός ειδικά σχεδιασμένος ή προσαρμοσμένος για ειδικούς σκοπούς, ο οποίος

προορίζεται για χρήση ως όπλο, πυρομαχικό ή πολεμικό υλικό. Στα παραπάνω περιλαμβάνονται και όλα τα κύρια υποσυστήματα και απάρτια, από τα οποία ο εξοπλισμός αυτός αποτελείται,

• η) «πληροφορία» είναι κάθε είδους γνώση, η οποία

μπορεί να μεταδοθεί με οποιοδήποτε μέσο και μορφή,

• θ) «ασφάλεια εις βάθος» είναι η εφαρμογή σειράς μέτρων ασφάλειας, τα οποία οργανώνονται ως πολλαπλά

επίπεδα άμυνας,

• ι) «οικονομικός φορέας» είναι κάθε εργολήπτης, εργολάβος, υπεργολάβος, προμηθευτής, πάροχος υπηρεσιών, δηλαδή κάθε φυσικό ή νομικό πρόσωπο, ένωση

προσώπων ή φορέας του Δημοσίου ή κοινοπραξία των υπόψη προσώπων ή φορέων, που προσφέρει, αντίστοιχα, την εκτέλεση εργασιών ή έργων, την προμήθεια προϊόντων ή την παροχή υπηρεσιών στην αγορά,

• ια) «εργολάβος» είναι το φυσικό ή νομικό πρόσωπο

που συμβάλλεται με τον κύριο του έργου και αναλαμβάνει την εκτέλεση ολόκληρου του έργου ή τμήματός του, ανεξάρτητα από την ιδιότητα με την οποία φέρεται ασφαλισμένος σε ασφαλιστικό οργανισμό, και προκειμένου για δημόσια έργα ο ανάδοχος, δηλαδή η εργοληπτική επιχείρηση, στην οποία έχει ανατεθεί με σύμβαση η κατασκευή έργου,

• ιβ) «υπεργολάβος» είναι το φυσικό ή νομικό πρόσωπο

που συμβάλλεται με εργολάβο και αναλαμβάνει την εκτέλεση ολόκληρου του έργου ή τμήματός του, ανεξάρτητα από την ιδιότητα με την οποία φέρεται ασφαλισμένος σε ασφαλιστικό οργανισμό. Ως υπεργολάβος θεωρείται και το πρόσωπο που συμβάλλεται με τον υπεργολάβο και αναλαμβάνει σύμφωνα με τα παραπάνω την εκτέλεση του έργου ή τμήματος του,

• ιγ) «εξουσιοδότηση ασφάλειας προσωπικού για τον

χειρισμό ΕΔΠΥ» είναι το έγγραφο που εκδίδεται από το αρμόδιο διοικητικό όργανο, σύμφωνα με τις διατάξεις του παρόντος, με το οποίο πιστοποιείται η δυνατότητα ορισμένου προσώπου να λαμβάνει γνώση και να χειρίζεται ΕΔΠΥ μέχρι έναν συγκεκριμένο βαθμό ασφάλειας, για καθορισμένη ημερομηνία και θέση εργασίας,

• ιδ) «Πιστοποιητικό Ασφάλειας Εγκατάστασης» (ΠΑΕ)

είναι το έγγραφο που εκδίδεται από την Εθνική Αρχή Ασφάλειας (ΕΑΑ), με το οποίο πιστοποιείται ότι η εγκατάσταση ενός οικονομικού φορέα μπορεί να παρέχει ασφάλεια σε ΕΔΠΥ. Όπου χρησιμοποιείται ο όρος «Πιστοποιητικό Βιομηχανικής Ασφάλειας» νοούνται από κοινού το ΠΑΕ και οι πράξεις εξουσιοδότησης ασφάλειας προσωπικού του οικονομικού φορέα,

• ιε) «διασφάλιση των πληροφοριών στον τομέα των

συστημάτων επικοινωνίας και πληροφοριών» είναι η βεβαιότητα ότι τα εν λόγω συστήματα λειτουργούν απρόσκοπτα υπό τον έλεγχο των νόμιμων χρηστών, καθώς και ότι προστατεύονται οι πληροφορίες που αποτελούν αντικείμενο χειρισμού σε αυτά,

• ιστ) «παραβίαση της ασφάλειας των ΕΔΠΥ» είναι κάθε

διαρροή, υποκλοπή, απώλεια και καταστροφή τους ή κάθε υποψία ενός τέτοιου συμβάντος, ανεξάρτητα από τους παράγοντες που την προκάλεσαν,

• ιζ) «TEMPEST» είναι η έρευνα, η μελέτη και ο έλεγχος

του κινδύνου διαρροής ΕΔΠΥ μέσω ηλεκτρομαγνητικών εκπομπών, καθώς και τα μέτρα εξάλειψης των εκπομπών αυτών,

• ιη) «κίνδυνος» είναι η πιθανότητα μία δεδομένη απειλή

να εκμεταλλευθεί τα εσωτερικά και εξωτερικά τρωτά σημεία ενός οργανισμού ή των συστημάτων που χρησιμοποιεί και να προκαλέσει βλάβη στον οργανισμό και στα υλικά ή άυλα στοιχεία του. Μετράται ως ο συνδυασμός της ενδεχόμενης υλοποίησης των απειλών και των συνεπειών τους,

• ιθ) «χώρος ΣΕΠ» είναι ο χώρος που περιέχει έναν ή

περισσότερους ηλεκτρονικούς υπολογιστές, τις τοπικές περιφερειακές μονάδες τους και τις μονάδες αποθήκευσης, τις μονάδες ελέγχου, τον εξοπλισμό δικτύου και επικοινωνιών, συμπεριλαμβανομένου του χώρου απομακρυσμένων τερματικών / σταθμών εργασίας που περιέχει εξοπλισμό ηλεκτρονικών υπολογιστών με τις τοπικές του συσκευές, τα τερματικά / σταθμούς εργασίας και οποιονδήποτε σχετικό εξοπλισμό επικοινωνιών,

• κ) «αρχή ανάγκης γνώσης» είναι η αρχή ασφάλειας,

σύμφωνα με την οποία ο χειρισμός και η γνώση ΕΔΠΥ δεν επεκτείνεται σε όλους όσους έχουν αντίστοιχη ή υψηλότερης βαθμίδας εξουσιοδότηση ασφάλειας, αλλά περιορίζεται στο προσωπικό που είναι απόλυτα αναγκαίο να λάβει γνώση,

• κα) «επίπεδο ασφάλειας λειτουργίας» είναι ο ορισμός

των προϋποθέσεων υπό τις οποίες λειτουργούν τα ΣΕΠ, βάσει της ταξινόμησης των πληροφοριών τις οποίες χειρίζονται και των επιπέδων διαβάθμισης, των τυπικών εγκρίσεων πρόσβασης και της ανάγκης γνώσης των χρηστών τους,

• κβ) «αρχή των δύο ατόμων» είναι η αρχή ασφάλειας,

σύμφωνα με την οποία για την τροποποίηση ή σκόπιμη υποβάθμιση του ΣΕΠ απαιτείται η συνεργασία μεταξύ δύο ή περισσότερων ατόμων, καθώς και η γνώση των κλείδων ασφάλειας και του λογισμικού από δύο οι περισσότερα άτομα. Εφαρμόζεται και σε χώρους διαφο αυτοί προσδιορίζονται στην οικεία Δήλωση Πολιτικής Ασφάλειας Συστήματος (ΔΠΑΣ),

• κγ) «βιομηχανική ασφάλεια», όπως προβλέπεται στον

Εθνικό Κανονισμό Βιομηχανικής Ασφάλειας (ΕΚΒΑ), είναι η εφαρμογή μέτρων διασφάλισης της προστασίας των ΕΔΠΥ από τους οικονομικούς φορείς κατά τις διαπραγματεύσεις πριν από την ανάθεση της σύμβασης και καθ’ όλη τη διάρκεια του κύκλου ζωής των διαβαθμισμένων συμβάσεων.

ΚΕΦΑΛΑΙΟ Β΄: Οργάνωση ασφάλειας

Άρθρο 4

Εθνική Αρχή Ασφάλειας (ΕΑΑ) Το Υπουργείο Εθνικής Άμυνας (ΥΠΕΘΑ) είναι η Εθνική Αρχή Ασφάλειας (ΕΑΑ), με αρμόδια Διεύθυνση τη Διεύθυνση Ασφάλειας και Αντιπληροφοριών του Ε΄ Κλάδου του Γενικού Επιτελείου Εθνικής Άμυνας (ΓΕΕΘΑ/Ε΄ ΚΛΑΔΟΣ/Ε3). Στο πλαίσιο των αρμοδιοτήτων της, η ΕΑΑ:

• α) λαμβάνει κάθε απαραίτητο μέτρο και προβαίνει

στην έκδοση των απαραίτητων εθνικών νομοθετικών διατάξεων και κανονιστικών πράξεων για την ασφάλεια και την προστασία των ΕΔΠΥ,

• β) συντονίζει τις αρμόδιες για θέματα ασφάλειας υπηρεσίες των ΕΔ επί των μέτρων ασφάλειας, για την προστασία των ΕΔΠΥ, με την ΕΥΠ να παραμένει αρμόδια,

κατά τα οριζόμενα στον ν. 3649/2008, για τον συντονισμό των φορέων του Δημοσίου σε θέματα ασφάλειας, κοινοποιώντας στο ΓΕΕΘΑ/Ε΄ Κλάδο/Ε3,

• γ) εκδίδει το ΠΑΕ των οικονομικών φορέων, αφού λάβει υπόψη τη θετική εισήγηση της Διορισμένης Αρχής

Ασφάλειας (ΔΑΑ),

• δ) καθορίζει την οργάνωση, τους όρους και τις ελάχιστες διαδικασίες που απαιτούνται για την εξουσιοδότηση ασφάλειας προσωπικού, εκδίδοντας τις αναγκαίες

κανονιστικές πράξεις,

• ε) εξουσιοδοτεί το προσωπικό των οικονομικών φορέων για τον χειρισμό ΕΔΠΥ μέχρι έναν συγκεκριμένο

βαθμό ασφάλειας για καθορισμένη ημερομηνία και θέση εργασίας εντός του οικονομικού φορέα,

• στ) καθορίζει, σε συνεργασία με τη ΔΑΑ, τις προϋποθέσεις, τις αρχές ασφάλειας και τις ελάχιστες διαδικασίες

που πρέπει να τηρούνται προκειμένου να διασφαλιστεί ότι οι εργολάβοι και οι υπεργολάβοι που έχουν την έδρα τους στην ελληνική επικράτεια λαμβάνουν τα αναγκαία μέτρα για την προστασία των ΕΔΠΥ κατά τις διαπραγματεύσεις πριν από την ανάθεση της σύμβασης και κατά την εκτέλεση διαβαθμισμένης σύμβασης,

• ζ) εξασφαλίζει, σε συνεργασία με τη ΔΑΑ, ότι οι εργολάβοι ή υπεργολάβοι που έχουν την έδρα τους στην

ελληνική επικράτεια και συμμετέχουν σε διαβαθμισμένες συμβάσεις ή συμβάσεις υπεργολαβίας που απαιτούν πρόσβαση σε πληροφορίες με διαβάθμιση ΕΜΠΙΣΤΕΥΤΙΚΟ (ΕΠ) ή ΑΠΟΡΡΗΤΟ (ΑΠ) μέσα στις εγκαταστάσεις τους, είτε κατά την εκτέλεση των συμβάσεων αυτών είτε κατά το προσυμβατικό στάδιο, διαθέτουν εξουσιοδότηση ασφάλειας φορέα στο οικείο επίπεδο διαβάθμισης, σύμφωνα με την κείμενη νομοθεσία,

• η) συμμετέχει στην Επιτροπή Επιθεώρησης Οικονομικών Φορέων που συγκροτεί η Διεύθυνση Αμυντικών

Επενδύσεων και Τεχνολογικών Ερευνών της Γενικής Διεύθυνσης Αμυντικών Εξοπλισμών και Επενδύσεων του Υπουργείου Εθνικής Άμυνας (ΥΠΕΘΑ/ΓΔΑΕΕ/ΔΑΕΤΕ),

• θ) εκδίδει οδηγίες αναφορικά με τη διαδικασία μεταφοράς ΕΔΠΥ εντός και εκτός ελληνικής επικράτειας σε

συνεννόηση με την αρμόδια αρχή διανομής κρυπτογραφικών μεθόδων, και

• ι) εκπροσωπεί τη Χώρα σε διεθνείς οργανισμούς, όπου

απαιτείται στο πλαίσιο των αρμοδιοτήτων της.

Άρθρο 5

Διορισμένη Αρχή Ασφάλειας (ΔΑΑ) Η ΥΠΕΘΑ/ΓΔΑΕΕ/ΔΑΕΤΕ είναι η ΔΑΑ, με αρμοδιότητες:

• α) την παροχή οδηγιών προς τους οργανισμούς, τους

οικονομικούς φορείς και τους εμπλεκόμενους με το αμυντικό υλικό, ή γενικότερα τον χειρισμό ΕΔΠΥ,

• β) τον έλεγχο για την εφαρμογή του παρόντος από

φυσικά και νομικά πρόσωπα ή ενώσεις προσώπων που υλοποιούν ερευνητικά και αναπτυξιακά προγράμματα, ειδικές μελέτες επ’ ωφελεία των ΕΔ, καθώς και προγράμματα ή συμβάσεις που περιέχουν ΕΔΠΥ,

• γ) την τήρηση μητρώου των εξουσιοδοτημένων οικονομικών φορέων και του προσωπικού τους, και

• δ) τη συγκρότηση Επιτροπής Επιθεωρήσεων Βιομηχανικής Ασφάλειας, στην οποία συμμετέχουν από κοινού η

ΓΕΕΘΑ/Ε΄Κλάδος/Ε3 και η ΕΥΠ, καθώς και τη διαβίβαση του ΠΑΕ στον οικονομικό φορέα που ελέγχθηκε.

Άρθρο 6

Αρχή Διασφάλισης Πληροφοριών Η ΕΥΠ ορίζεται ως Αρχή Διασφάλισης Πληροφοριών και είναι αρμόδια για:

• α) τη χάραξη πολιτικών ασφάλειας και κατευθυντήριων γραμμών για τη λήψη μέτρων διασφάλισης των

πληροφοριών και την παρακολούθηση της αποτελεσματικότητας και της συνάφειάς τους,

• β) τη διαφύλαξη και τη διαχείριση τεχνικών πληροφοριών που αφορούν κρυπτογραφικά προϊόντα,

• γ) την εξασφάλιση ότι τα μέτρα διασφάλισης των πληροφοριών που επιλέγονται για την προστασία των ΕΔΠΥ,

καθώς και τα κρυπτογραφικά προϊόντα, τηρούν τις σχετικές πολιτικές ως προς την επιλογή τους,

• δ) τον συντονισμό της εκπαίδευσης και της ευαισθητοποίησης ως προς τα ισχύοντα μέτρα διασφάλισης των

πληροφοριών,

• ε) τη στελέχωση της υποομάδας εμπειρογνωμόνων

της Επιτροπής Ασφάλειας της Ευρωπαϊκής Ένωσης (ΕΕ) για ζητήματα διασφάλισης των πληροφοριών, προτείνοντας κατάλληλα καταρτισμένο προσωπικό,

• στ) την εκπροσώπηση της Χώρας σε διεθνείς οργανισμούς, όπου απαιτείται στο πλαίσιο των αρμοδιοτήτων

της,

• ζ) την αντιμετώπιση κυβερνοπεριστατικών σε φορείς

αρμοδιότητάς της και την κοινοποίηση των αποτελεσμάτων στη ΓΕΕΘΑ/Ε΄ Κλάδο/Ε3. Η ΕΥΠ ορίζεται ως Αρχή TEMPEST και είναι αρμόδια για την εξασφάλιση της συμμόρφωσης των ΣΕΠ με τις πολιτικές και τις κατευθυντήριες γραμμές του TEMPEST, καθώς και για την εκπροσώπηση της χώρας στους διεθνείς οργανισμούς επί θεμάτων TEMPEST. Εγκρίνει αντίμετρα TEMPEST και αντίμετρα τεχνικής επιτήρησης για εγκαταστάσεις και προϊόντα που προορίζονται για την προστασία των ΕΔΠΥ μέχρι ένα ορισμένο επίπεδο διαβάθμισης στο επιχειρησιακό τους περιβάλλον.

Άρθρο 8

Αρχή Έγκρισης Κρυπτογραφικών Μεθόδων Η ΕΥΠ ορίζεται ως Αρχή Έγκρισης Κρυπτογραφικών Μεθόδων και είναι αρμόδια για την αξιολόγηση των κρυπτογραφικών μεθόδων και τη διασφάλιση της συμβατότητας των κρυπτογραφικών προϊόντων με την εθνική κρυπτογραφική πολιτική. Εγκρίνει κρυπτογραφικά προϊόντα για την προστασία των ΕΔΠΥ μέχρι ένα ορισμένο επίπεδο διαβάθμισης στο επιχειρησιακό τους περιβάλλον.

Άρθρο 9

Αρχή Διανομής Κρυπτογραφικών Μεθόδων

• α) τη διαχείριση και καταμέτρηση του κρυπτογραφικού υλικού,

• β) την εξασφάλιση της εφαρμογής των κατάλληλων

διαδικασιών και της δημιουργίας διαύλων για την καταμέτρηση, τον ασφαλή χειρισμό, την αποθήκευση και τη διανομή του κρυπτογραφικού υλικού, και

• γ) τη θέσπιση κανόνων για τη μεταφορά κρυπτογραφικού υλικού από και προς φυσικά πρόσωπα ή υπηρεσίες

που κάνουν χρήση τους.

Άρθρο 10

Αρχή Πιστοποίησης της Ασφάλειας (ΑΠΑ)

• α) τη μέριμνα ώστε τα ΣΕΠ να είναι σύμφωνα με τις

οικείες πολιτικές και κατευθυντήριες γραμμές ασφάλειας, καθώς και την παροχή δήλωσης έγκρισης των ΣΕΠ για τον χειρισμό ΕΔΠΥ μέχρι ένα ορισμένο επίπεδο διαβάθμισης εντός του επιχειρησιακού τους περιβάλλοντος. Στην ως άνω δήλωση περιέχεται μνεία των όρων της διαπίστευσης και των κριτηρίων, βάσει των οποίων απαιτείται νέα έγκριση,

• β) τη θέσπιση διαδικασίας πιστοποίησης ασφάλειας,

σύμφωνα με τις σχετικές πολιτικές, στις οποίες αναφέρονται οι προϋποθέσεις έγκρισης για το σύνολο των ΣΕΠ,

• γ) τη χάραξη στρατηγικής πιστοποίησης ασφάλειας,

στην οποία ορίζεται ο βαθμός λεπτομέρειας για τη διαδικασία πιστοποίησης, ανάλογα με το απαιτούμενο επίπεδο βεβαιότητας,

• δ) την εξέταση και έγκριση τεκμηρίωσης που αφορά

στην ασφάλεια, περιλαμβανομένων των δηλώσεων διαχείρισης κινδύνου και υπολειπόμενου κινδύνου, των ΔΠΑΣ, της τεκμηρίωσης σχετικά με τον έλεγχο εφαρμογής της ασφάλειας και των Διαδικασιών Ασφαλούς Λειτουργίας (ΔΑΛ),

• ε) τον έλεγχο της εφαρμογής των μέτρων ασφάλειας

αναφορικά με τα ΣΕΠ μέσω της ανάληψης ή ανάθεσης αξιολογήσεων, επιθεωρήσεων ή ελέγχων ασφάλειας,

• στ) την έκδοση οδηγιών και την πραγματοποίηση των