Νόμοι — ΦΕΚ A' 146/2022

Οι φορείς του δημόσιου τομέα κατά την έννοια της περ. α’ της παρ. 1 του άρθρου 14 του ν. 4270/2014 (Α’ 143) δύνανται, κατά την άσκηση των αρμοδιοτήτων τους, να χρησιμοποιούν συστήματα τεχνητής νοημοσύνης για τη διαδικασία λήψης ή την υποστήριξη της διαδικασίας λήψης μιας απόφασης ή την έκδοση πράξης, οι οποίες επηρεάζουν τα δικαιώματα ενός φυσικού ή νομικού προσώπου, μόνον εφόσον η χρήση αυτή προβλέπεται ρητά σε ειδική διάταξη νόμου που περιλαμβάνει κατάλληλες εγγυήσεις για την προστασία των δικαιωμάτων αυτών.

Από το πεδίο εφαρμογής του παρόντος κεφαλαίου εξαιρούνται τα Υπουργεία Εθνικής Άμυνας και Προστασίας του Πολίτη, οι εποπτευόμενοι φορείς αυτών, καθώς και η Εθνική Υπηρεσία Πληροφοριών (Ε.Υ.Π.).

Κάθε φορέας του δημόσιου τομέα που χρησιμοποιεί σύστημα τεχνητής νοημοσύνης της παρ. 1 του άρθρου 4, πριν από την έναρξη λειτουργίας του συστήματος, εκπονεί αλγοριθμική εκτίμηση αντικτύπου.

Κατά την εκπόνηση της αλγοριθμικής εκτίμησης αντικτύπου λαμβάνονται υπόψη, ιδίως, οι ακόλουθες πληροφορίες:

Η υποχρέωση εκπόνησης αλγοριθμικής εκτίμησης αντικτύπου, σύμφωνα με το παρόν, δεν υποκαθιστά την υποχρέωση εκπόνησης εκτίμησης αντικτύπου σχετικά με την προστασία δεδομένων, σύμφωνα με το άρθρο 35 του Γ.Κ.Π.Δ..

Με την επιφύλαξη των άρθρων 12 έως 14 του Γ.Κ.Π.Δ. για την άσκηση των δικαιωμάτων ενημέρωσης των φυσικών προσώπων, κάθε φορέας του δημόσιου τομέα που χρησιμοποιεί σύστημα τεχνητής νοημοσύνης της παρ. 1 του άρθρου 4 παρέχει, δημόσια, πληροφορίες σχετικά με:

Κάθε φορέας του δημόσιου τομέα που χρησιμοποιεί σύστημα τεχνητής νοημοσύνης της παρ. 1 του άρθρου 4, διασφαλίζει ότι το φυσικό ή νομικό πρόσωπο στο οποίο αφορά η λήψη της απόφασης ή η έκδοση της πράξης, λαμβάνει γνώση των παραμέτρων στις οποίες στηρίχθηκε η λήψη της απόφασης ή η έκδοση της πράξης σε κατανοητή και εύκολα προσβάσιμη μορφή, συμπεριλαμβανομένων των μορφών που διευκολύνουν την ενημέρωση των ατόμων με αναπηρία.

Η Εθνική Αρχή Διαφάνειας (Ε.Α.Δ.), με σκοπό την ενίσχυση της διαφάνειας, της ακεραιότητας και της λογοδοσίας, είναι αρμόδια για την υποδοχή, επεξεργασία, αξιολόγηση και την κατά περίπτωση διερεύνηση ή αρ

Με την επιφύλαξη των διατάξεων για την προστασία του στρατιωτικού, του εμπορικού και του βιομηχανικού απορρήτου, σε κάθε προκήρυξη ή πρόσκληση εκδήλωσης ενδιαφέροντος με τις οποίες εκκινεί διαγωνιστική ή άλλη διαδικασία ανάθεσης δημόσιας σύμβασης με αντικείμενο τον σχεδιασμό ή την ανάπτυξη συστήματος τεχνητής νοημοσύνης, περιλαμβάνεται όρος για την υποχρέωση του αναδόχου να παρέχει προς τον φορέα του δημόσιου τομέα τις πληροφορίες των περ. β’ και γ’ της παρ. 1 και της παρ. 2 του άρθρου 6, συμπεριλαμβανομένης της υποχρέωσης παραίτησής του από την άσκηση αξιώσεων που ενδέχεται να θέσουν σε κίνδυνο το δικαίωμα των φυσικών ή νομικών προσώπων για παροχή πληροφοριών, σύμφωνα με την παρ. 1 του άρθρου 6.

Στη σύμβαση προμήθειας ή παροχής υπηρεσιών που συνάπτεται σύμφωνα με την παρ. 1, περιλαμβάνεται υποχρεωτικά όρος, ότι το σύστημα τεχνητής νοημοσύνης που σχεδιάζεται ή αναπτύσσεται παραδίδεται στον φορέα του δημόσιου τομέα με όρους, ώστε ο φορέας να δύναται να μελετά τον τρόπο λειτουργίας του συστήματος και τις παραμέτρους που, ενόψει του επιδιωκόμενου σκοπού, λαμβάνονται υπόψη για τη λήψη ή την υποστήριξη αποφάσεων ή την έκδοση πράξεων, να βελτιώνει το σύστημα και να δημοσιεύει ή να διαθέτει με οποιονδήποτε τρόπο τις βελτιώσεις αυτές.

Σε κάθε προκήρυξη ή πρόσκληση εκδήλωσης ενδιαφέροντος με την οποία εκκινεί διαγωνιστική ή άλλη διαδικασία ανάθεσης δημόσιας σύμβασης με αντικείμενο τον σχεδιασμό ή την ανάπτυξη συστήματος τεχνητής νοημοσύνης, περιλαμβάνεται όρος για την υποχρέωση του αναδόχου να λαμβάνει, κατά τον σχεδιασμό, την ανάπτυξη και την παραγωγική λειτουργία του συστήματος, τα κατάλληλα μέτρα, προκειμένου να διασφαλίζει τη συμβατότητα αυτού με το νομικό πλαίσιο, ιδίως, αναφορικά με την προστασία της ανθρώπινης αξιοπρέπειας, τον σεβασμό της ιδιωτικής ζωής και την προστασία των δεδομένων προσωπικού χαρακτήρα, την απαγόρευση των διακρίσεων, την ισότητα γυναικών και ανδρών, την ελευθερία της έκφρασης, την καθολική πρόσβαση των ατόμων με αναπηρία, τα δικαιώματα των εργαζομένων και την αρχή της χρηστής διοίκησης.

Κάθε φορέας του δημόσιου τομέα υποχρεούται να τηρεί μητρώο με τα συστήματα τεχνητής νοημοσύνης της παρ. 1 του άρθρου 4 που χρησιμοποιεί, το οποίο επικαιροποιεί μέχρι την 1η Μαρτίου κάθε έτους, και, σε κάθε περίπτωση, όταν θέτει σε λειτουργία νέο σύστημα.

Στο μητρώο της παρ. 1 περιλαμβάνονται πληροφορίες σχετικά με:

Κάθε φορέας του δημόσιου τομέα θέτει το μητρώο της παρ. 1 στη διάθεση της Ε.Α.Δ., όταν του ζητηθεί.

Κάθε επιχείρηση του ιδιωτικού τομέα, εφόσον χρησιμοποιεί σύστημα τεχνητής νοημοσύνης, το οποίο επηρεάζει οποιαδήποτε διαδικασία λήψης αποφάσεων σχετικά με τους εργαζομένους ή τους υποψήφιους εργαζομένους και έχει αντίκτυπο στις συνθήκες εργασίας, την επιλογή, την πρόσληψη ή την αξιολόγησή τους, σε κάθε περίπτωση πριν την πρώτη χρήση του, παρέχει επαρκή και σαφή πληροφόρηση σε κάθε εργαζόμενο ή υποψήφιο εργαζόμενο, η οποία περιλαμβάνει κατ’ ελάχιστον τις παραμέτρους στις οποίες στηρίζεται η λήψη της απόφασης, με την επιφύλαξη των περιπτώσεων που προϋποθέτουν προηγούμενη ενημέρωση και διαβούλευση και διασφαλίζει την τήρηση της αρχής της ίσης μεταχείρισης και της καταπολέμησης των διακρίσεων στην απασχόληση και την εργασία λόγω φύλου, φυλής, χρώματος, εθνικής ή εθνοτικής καταγωγής γενεαλογικών καταβολών, θρησκευτικών ή άλλων πεποιθήσεων, αναπηρίας ή χρόνιας πάθησης, ηλικίας, οικογενειακής ή κοινωνικής κατάστασης, σεξουαλικού προσανατολισμού, ταυτότητας ή χαρακτηριστικών φύλου.

Η υποχρέωση της παρ. 1 καταλαμβάνει και τις ψηφιακές πλατφόρμες κατά την έννοια του άρθρου 68 του ν. 4808/2021 (Α’ 101), ως προς τα φυσικά πρόσωπα που συνδέονται μαζί τους με συμβάσεις εξαρτημένης εργασίας ή ανεξάρτητων υπηρεσιών ή έργου.

Στην επιχείρηση που παραβιάζει την υποχρέωση της παρ. 1 επιβάλλονται οι διοικητικές και ποινικές κυρώσεις των άρθρων 24 και 28, αντίστοιχα, του ν. 3996/2011 (Α’ 170). Αρμόδια αρχή για την επιβολή των διοικητικών κυρώσεων του πρώτου εδαφίου είναι το Σώμα Επιθεώρησης Εργασίας (Σ.Ε.Π.Ε.).

Οι υποχρεώσεις που τίθενται με το παρόν άρθρο δεν θίγουν σε καμία περίπτωση τις υποχρεώσεις που θέτει το άρθρο 22 του Γ.Κ.Π.Δ. για την αυτοματοποιημένη ατομική λήψη αποφάσεων, περιλαμβανομένης της κατάρτισης προφίλ.

Κάθε επιχείρηση του ιδιωτικού τομέα, η οποία συνιστά μεσαία ή μεγάλη οντότητα κατά την έννοια των είτε στο πλαίσιο κατάρτισης προφίλ καταναλωτών είτε στο πλαίσιο αξιολόγησης των πάσης φύσεως εργαζομένων της ή συνεργαζόμενων με αυτήν φυσικών προσώπων. Στο μητρώο περιλαμβάνονται για κάθε σύστημα, κατ’ ελάχιστον, οι εξής πληροφορίες:

Κάθε επιχείρηση της παρ. 1 καταρτίζει και τηρεί πολιτική δεοντολογικής χρήσης δεδομένων, η οποία περιλαμβάνει πληροφορίες σχετικά με τα μέτρα, τις ενέργειες και τις διαδικασίες που εφαρμόζει σε θέματα δεοντολογίας δεδομένων κατά τη χρήση συστημάτων τεχνητής νοημοσύνης.

Κάθε επιχείρηση της παρ. 1 με τη μορφή ανώνυμης εταιρείας, που συντάσσει δήλωση εταιρικής διακυβέρνησης σύμφωνα με το άρθρο 152 του ν. 4548/2018 (Α’ 104), συμπεριλαμβάνει υποχρεωτικά στη δήλωση πληροφορίες για την πολιτική δεοντολογικής χρήσης δεδομένων που εφαρμόζει.

Συστήνεται Συντονιστική Επιτροπή για την τεχνητή νοημοσύνη, η οποία έχει ως αποστολή τον συντονισμό της εφαρμογής της Εθνικής Στρατηγικής για την ανάπτυξη της τεχνητής νοημοσύνης.

Η Συντονιστική Επιτροπή αποτελείται από:

Η Συντονιστική Επιτροπή συγκροτείται με απόφαση του Υπουργού Ψηφιακής Διακυβέρνησης. Η Συντονιστική Επιτροπή συνεδριάζει, ύστερα από πρόσκληση του Προέδρου, τακτικά μία (1) φορά το τρίμηνο και εκτάκτως όταν το κρίνει αναγκαίο ο Πρόεδρος. Η θητεία των μελών της Συντονιστικής Επιτροπής είναι τριετής. Στις συνεδριάσεις της Συντονιστικής Επιτροπής δύναται να παρευρίσκεται, κατόπιν πρόσκλησης του Προέδρου, και οποιοδήποτε άλλο πρόσωπο εγνωσμένου κύρους, το οποίο δραστηριοποιείται στο πεδίο της τεχνητής νοημοσύνης.

Η Συντονιστική Επιτροπή για την τεχνητή νοημοσύνη είναι αρμόδια για:

Στο πλαίσιο άσκησης των αρμοδιοτήτων της, η Συντονιστική Επιτροπή έχει πρόσβαση σε στατιστικά στοιχεία και βασικούς δείκτες απόδοσης σχετικά με την εφαρμογή της Εθνικής Στρατηγικής για την ανάπτυξη της τεχνητής νοημοσύνης, τα οποία παρέχονται από κάθε φορέα του δημόσιου ή του ιδιωτικού τομέα που δραστηριοποιείται στο πεδίο της τεχνητής νοημοσύνης.

Στο Υπουργείο Ψηφιακής Διακυβέρνησης συστήνεται Επιτροπή Εποπτείας της Εθνικής Στρατηγικής για την ανάπτυξη της τεχνητής νοημοσύνης, ως εκτελεστικό όργανο της Συντονιστικής Επιτροπής για την τεχνητή νοημοσύνη. Η Επιτροπή αποτελείται από επτά (7) μέλη, στελέχη του Υπουργείου Ψηφιακής Διακυβέρνησης και των εποπτευόμενων φορέων του και συγκροτείται με απόφαση του Υπουργού Ψηφιακής Διακυβέρνησης. Η θητεία των μελών της Επιτροπής Εποπτείας είναι τριετής.

Η Επιτροπή Εποπτείας είναι αρμόδια για:

Συστήνεται στο Υπουργείο Ψηφιακής Διακυβέρνησης Παρατηρητήριο Τεχνητής Νοημοσύνης, το οποίο υπάγεται στη Γενική Γραμματεία Ψηφιακής Διακυβέρνησης και Απλούστευσης Διαδικασιών, με κύρια αποστολή τη συλλογή δεδομένων σχετικά με την εφαρμογή της Εθνικής Στρατηγικής για την ανάπτυξη της τεχνητής νοημοσύνης, τη σύνταξη αναφορών σχετικά με τις δραστηριότητες που αφορούν στην τεχνητή νοημοσύνη στη χώρα, καθώς και την υποστήριξη των αρμόδιων φορέων στον καθορισμό προτεραιοτήτων και την ανάδειξη ευκαιριών και τομέων προστιθέμενης αξίας.

Το Παρατηρητήριο καταρτίζει και επικαιροποιεί βασικούς δείκτες απόδοσης (Key Performance Indicators KPI) και παρέχει πληροφορίες σχετικά με:

Το Παρατηρητήριο αναρτά τις εκθέσεις του στον διαδικτυακό τόπο της Γενικής Γραμματείας Ψηφιακής Διακυβέρνησης και Απλούστευσης Διαδικασιών τον Ιανουάριο και τον Ιούλιο κάθε έτους.

Η Γενική Διεύθυνση Κυβερνοασφάλειας της Γενικής Γραμματείας Τηλεπικοινωνιών και Ταχυδρομείων του Υπουργείου Ψηφιακής Διακυβέρνησης ορίζεται ως Εθνική Αρχή Πιστοποίησης της Κυβερνοασφάλειας, σύμφωνα με το άρθρο 58 του Κανονισμού (ΕΕ) 2019/881 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 17ης Απριλίου 2019 σχετικά με τον ENISA («Οργανισμός της Ευρωπαϊκής Ένωσης για την Κυβερνοασφάλεια») και με την πιστοποίηση της κυβερνοασφάλειας στον τομέα της τεχνολογίας πληροφοριών και επικοινωνιών και για την κατάργηση του κανονισμού (ΕΕ) 526/2013 (L 151).

Η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας ασκεί τις αρμοδιότητες που προβλέπονται στα άρθρα 56 έως 63 του Κανονισμού (ΕΕ) 2019/881. Η Εθνική Αρχή Πιστοποίησης της Κυβερνοασφάλειας διαρθρώνεται κατά τρόπο που διασφαλίζει τον διαχωρισμό μεταξύ των αρμοδιοτήτων που σχετίζονται με την έκδοση ευρωπαϊκών πιστοποιητικών κυβερνοασφάλειας και των αρμοδιοτήτων εποπτικού χαρακτήρα.

Ο οργανισμός αξιολόγησης της συμμόρφωσης του άρθρου 60 του Κανονισμού (ΕΕ) 2019/881, ο οποίος ορίζεται σύμφωνα με τα οριζόμενα στην υπουργική απόφαση της περ. γ’ της παρ. 4 του άρθρου 113 του παρόντος, λαμβάνει διαπίστευση από το Εθνικό Σύστημα Διαπίστευσης (Ε.ΣΥ.Δ.) του άρθρου 1 του ν. 4468/2017 (Α’ 61).

Για θέματα πιστοποιήσεων - αξιολογήσεων σχετικά με την ασφάλεια των εθνικών επικοινωνιών και συστημάτων τεχνολογίας πληροφοριών, η εθνική αρχή πιστοποίησης της κυβερνοασφάλειας συνεργάζεται, όπου αυτό απαιτείται, με την «Εθνική Αρχή INFOSEC» της περ. α’ της παρ. 5 του άρθρου 2 του π.δ. 1/2017 (Α’ 2).

Στο Υπουργείο Ψηφιακής Διακυβέρνησης συστήνεται Παρατηρητήριο Ανάλυσης Υβριδικών Απειλών (Π.ΑΝ.Υ.Α.), το οποίο αποτελεί συμβουλευτικό όργανο της Εθνικής Αρχής Κυβερνοασφάλειας του άρθρου 7 του ν. 4577/2018 (Α’ 199), με αρμοδιότητα την ανάλυση και πρόληψη υβριδικών απειλών, στον τομέα της κυβερνοασφάλειας.

Το Π.ΑΝ.Υ.Α. περιλαμβάνει το Επιστημονικό Συμβούλιο και την Επιχειρησιακή Ομάδα Διαχείρισης Υβριδικών Απειλών.

Το Επιστημονικό Συμβούλιο αποτελείται από πέντε (5) μέλη και είναι αρμόδιο για:

Η Επιχειρησιακή Ομάδα Διαχείρισης Υβριδικών Απειλών αποτελείται από επτά (7) μέλη και έχει τις ακόλουθες αρμοδιότητες:

Το Π.ΑΝ.Υ.Α. συνεργάζεται: α) με επιστημονικά κέντρα με αντικείμενο συναφές με τους βασικούς στόχους του, β) με άλλες υπηρεσίες του Υπουργείου Ψηφιακής Διακυβέρνησης και γ) με λοιπούς φορείς του δημόσιου ή του ιδιωτικού τομέα. Το Π.ΑΝ.Υ.Α. δύναται να αναθέτει σε τρίτους την εκπόνηση μελετών για την υποστήριξη της αποστολής του.

Η λειτουργία και οι δράσεις του Π.ΑΝ.Υ.Α. χρηματοδοτούνται από πόρους ενωσιακούς ή εθνικούς, συγχρηματοδοτούμενους ή μη, που διατίθενται στη Γενική Γραμματεία Τηλεπικοινωνιών και Ταχυδρομείων του Υπουργείου Ψηφιακής Διακυβέρνησης.

Η Γενική Διεύθυνση Κυβερνοασφάλειας της Γενικής Γραμματείας Τηλεπικοινωνιών και Ταχυδρομείων του Υπουργείου Ψηφιακής Διακυβέρνησης ορίζεται ως εθνικό κέντρο συντονισμού, σύμφωνα με το άρθρο 6 του Κανονισμού 2021/887/EE της 20ής Μαΐου 2021 για τη σύσταση του Ευρωπαϊκού Κέντρου Αρμοδιότητας για Βιομηχανικά, Τεχνολογικά και Ερευνητικά Θέματα Κυβερνοασφάλειας και του δικτύου εθνικών κέντρων συντονισμού (L 202) και ασκεί τις αρμοδιότητες των άρθρων 6 και 7 του ανωτέρω Κανονισμού.

Η Ειδική Υπηρεσία Διαχείρισης του Προγράμματος «Ψηφιακός Μετασχηματισμός» της περ. γ’ της παρ. 1 του άρθρου 7 του ν. 4914/2022 (Α’ 61), που υπάγεται στον Υπουργό Ψηφιακής Διακυβέρνησης, είναι αρμόδια για τη διαχείριση, τον προγραμματισμό και την υποστήριξη της υλοποίησης ειδικών δράσεων, οι οποίες έχουν λάβει επιχορηγήσεις από το Ευρωπαϊκό Κέντρο Αρμοδιότητας για Βιομηχανικά, Τεχνολογικά και Ερευνητικά Θέματα Κυβερνοασφάλειας, μεταξύ άλλων, μέσω οικονομικής ενίσχυσης τρίτων σύμφωνα με το άρθρο 204 του Κανονισμού 2018/1046 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 18ης Ιουλίου 2018 σχετικά με τους δημοσιονομικούς κανόνες που εφαρμόζονται στον γενικό προϋπολογισμό της Ένωσης, την τροποποίηση των κανονισμών (ΕΕ) 1296/2013, (ΕΕ) 1301/2013, (ΕΕ) 1303/2013, (ΕΕ) 1304/2013, (ΕΕ) 1309/2013, (ΕΕ) 1316/2013, (ΕΕ) 223/2014, (ΕΕ) 283/2014 και της απόφασης 541/2014/ ΕΕ και για την κατάργηση του κανονισμού (ΕΕ, Ευρατόμ) 966/2012 (L 193), υπό τις προϋποθέσεις που προβλέπονται στις αντίστοιχες συμφωνίες επιχορήγησης.

Σε κάθε φορέα κεντρικής Κυβέρνησης κατά την έννοια της περ. γ’ της παρ. 1 του άρθρου 14 του ν. 4270/2014 (Α’ 143) ορίζεται, με απόφαση του αρμόδιου Υπουργού ή του οργάνου διοίκησης του φορέα, ένας (1) υπάλληλος κατηγορίας ΠΕ ή ΤΕ Πληροφορικής ως Υπεύθυνος Ασφάλειας Συστημάτων Πληροφορικής και Επικοινωνιών (Υ.Α.Σ.Π.Ε.) με τον αναπληρωτή του. Ο Υ.Α.Σ.Π.Ε. ορίζεται βάσει της εμπειρίας που διαθέτει στον τομέα της κυβερνοασφάλειας.

Τα καθήκοντα του Υ.Α.Σ.Π.Ε. είναι ασυμβίβαστα με αυτά του Υπευθύνου Προστασίας Δεδομένων (Υ.Π.Δ.) του άρθρου 37 του Γ.Κ.Π.Δ. και των άρθρων 7 και 8 του ν. 4624/2019 (Α’ 137). Ο Υ.Α.Σ.Π.Ε. δύναται να ασκεί και άλλα υπαλληλικά καθήκοντα, εφόσον δεν προκαλείται σύγκρουση συμφερόντων.

Από το πεδίο εφαρμογής του παρόντος εξαιρούνται οι υπηρεσίες της Ε.Υ.Π., τα Υπουργεία Εξωτερικών, Εθνικής Άμυνας και Προστασίας του Πολίτη, καθώς και οι εποπτευόμενοι φορείς τους.

Τα καθήκοντα του Υ.Α.Σ.Π.Ε. είναι, ιδίως:

Ο Υ.Α.Σ.Π.Ε. δεσμεύεται, κατά την εκτέλεση των καθηκόντων του, από την τήρηση της εμπιστευτικότητας και του απορρήτου που προβλέπεται από ειδικές διατάξεις της εθνικής και της ενωσιακής νομοθεσίας.

Ο Υ.Α.Σ.Π.Ε. παρακολουθεί υποχρεωτικά ειδικό πρόγραμμα επιμόρφωσης που υλοποιείται από το Ε.Κ.Δ.Δ.Α.,

Ο Υ.Α.Σ.Π.Ε. λογοδοτεί απευθείας στο ανώτατο επίπεδο διοίκησης του φορέα και δύναται να υποστηρίζεται στην άσκηση των καθηκόντων του από ομάδα εργασίας που συγκροτείται από το αρμόδιο όργανο διοίκησης του οικείου φορέα ή τον κατά περίπτωση αρμόδιον Υπουργό ή από οργανική μονάδα του φορέα που συστήνεται για τον σκοπό αυτόν.

Από το πεδίο εφαρμογής του παρόντος εξαιρούνται οι υπηρεσίες της Ε.Υ.Π., τα Υπουργεία Εξωτερικών, Εθνικής Άμυνας και Προστασίας του Πολίτη, καθώς και οι εποπτευόμενοι φορείς τους.

Με μέριμνα του Υ.Α.Σ.Π.Ε., κάθε φορέας κεντρικής Κυβέρνησης καταρτίζει και τηρεί σχέδιο ανάλυσης κινδύνου το οποίο περιλαμβάνει κατ’ ελάχιστον:

Με μέριμνα του Υ.Α.Σ.Π.Ε., κάθε φορέας κεντρικής Κυβέρνησης καταρτίζει και τηρεί ενιαία πολιτική ασφάλειας συστημάτων πληροφορικής και επικοινωνιών, η οποία περιλαμβάνει, κατ’ ελάχιστον, τις εξής πληροφορίες:

Από το πεδίο εφαρμογής του παρόντος εξαιρούνται οι υπηρεσίες της Ε.Υ.Π., τα Υπουργεία Εξωτερικών, Εθνικής Άμυνας και Προστασίας του Πολίτη, καθώς και οι εποπτευόμενοι φορείς τους.

Μία ψηφιακή υποδομή, σύστημα ή υποσύστημα ή υπηρεσία φορέα της κεντρικής Κυβέρνησης χαρακτηρίζεται ως κρίσιμη εφόσον πληρούνται, κατ’ ελάχιστον, τα εξής κριτήρια:

Από το πεδίο εφαρμογής του παρόντος εξαιρούνται οι υπηρεσίες της Ε.Υ.Π., τα Υπουργεία Εξωτερικών, Εθνικής Άμυνας και Προστασίας του Πολίτη, καθώς και οι εποπτευόμενοι φορείς τους.

Κάθε φορέας κεντρικής Κυβέρνησης, ο οποίος διαθέτει κρίσιμες ψηφιακές υποδομές, συστήματα, υποσυστήματα ή υπηρεσίες, σύμφωνα με το άρθρο 21 και την υπουργική απόφαση της παρ. 8 του άρθρου 113, πλέον των υποχρεώσεων των άρθρων 18 και 20, ορίζει για κάθε υποδομή, σύστημα, υποσύστημα ή υπηρεσία έναν (1) υπάλληλο κατηγορίας ΠΕ ή ΤΕ Πληροφορικής ως Συντονιστή Ασφάλειας (Σ.Α.) με τον αναπληρωτή του. Ο ορισμός γίνεται με απόφαση του αρμόδιου Υπουργού ή του οργάνου διοίκησης του φορέα.

Ο Συντονιστής Ασφάλειας ασκεί τα καθήκοντα του Υ.Α.Σ.Π.Ε., σύμφωνα με τα άρθρα 19 και 20, σε επίπεδο υποδομής, συστήματος ή υποσυστήματος ή υπηρεσίας και αναφέρεται σε αυτόν.

Για την προμήθεια του εξοπλισμού των δικτύων και υπηρεσιών τους, οι επιχειρήσεις που παρέχουν δημόσια δίκτυα ηλεκτρονικών επικοινωνιών ή υπηρεσίες ηλεκτρονικών επικοινωνιών που διατίθενται στο κοινό, καταρτίζουν και τηρούν σχέδιο αποτίμησης κινδύνων, το οποίο επικαιροποιούν σε ετήσια βάση. Για την κατάρτιση των σχεδίων του πρώτου εδαφίου, λαμβάνονται υπόψη:

Οι επιχειρήσεις της παρ. 1 καταρτίζουν και τηρούν σχέδιο προμηθειών σχετικά με τον εξοπλισμό που προμηθεύονται και σχετικά με τη συμμετοχή τρίτων προμηθευτών. Το σχέδιο προμηθειών περιλαμβάνει κατ’ ελάχιστον:

Συστήνεται ηλεκτρονικό μητρώο υπεύθυνων προστασίας δεδομένων των δημόσιων φορέων κατά την έννοια της περ. α’ του άρθρου 4 του ν. 4624/2019 (Α’ 137), το οποίο τηρείται στη Γενική Γραμματεία Πληροφοριακών Συστημάτων Δημόσιας Διοίκησης του Υπουργείου Ψηφιακής Διακυβέρνησης και είναι προσβάσιμο μέσω της Ενιαίας Ψηφιακής Πύλης της Δημόσιας Διοίκησης (gov.gr-Ε.Ψ.Π.). Το μητρώο περιλαμβάνει:

Κάθε φορέας της παρ. 1 υποχρεούται να ενημερώνει αμελλητί το μητρώο για τον ορισμό υπευθύνου προστασίας δεδομένων.

Στο μητρώο καταχωρίζονται, κατ’ ελάχιστον, τα ακόλουθα στοιχεία του υπευθύνου προστασίας δεδομένων: α) όνομα, β) επώνυμο γ) αρμόδιος φορέας και

Το Υπουργείο Ψηφιακής Διακυβέρνησης ορίζεται ως υπεύθυνος επεξεργασίας, κατά την έννοια της παρ. 7 του άρθρου 4 του Γ.Κ.Π.Δ. για τα δεδομένα προσωπικού χαρακτήρα που τηρούνται στο μητρώο.

Από το πεδίο εφαρμογής του παρόντος εξαιρείται η Ε.Υ.Π..

Συστήνεται Επιτροπή υπευθύνων προστασίας δεδομένων, η οποία έχει ως αποστολή τον συντονισμό των ενεργειών και την υιοθέτηση βέλτιστων πρακτικών κατά την άσκηση των καθηκόντων των υπευθύνων προστασίας δεδομένων των φορέων της κεντρικής Κυβέρνησης της περ. γ’ της παρ. 1 του άρθρου 14 του ν. 4270/2014 (Α’ 143).

Η ανωτέρω Επιτροπή είναι εννεαμελής και αποτελείται από Υπευθύνους Προστασίας Δεδομένων που έχουν οριστεί από φορείς της κεντρικής Κυβέρνησης της περ. γ’ της παρ. 1 του άρθρου 14 του ν. 4270/2014. Κριτήρια για την επιλογή τους αποτελούν, ιδίως, το είδος των δεδομένων προσωπικού χαρακτήρα, η κλίμακα επεξεργασίας, και οι επιπτώσεις στα δικαιώματα και τις ελευθερίες των φυσικών προσώπων.

Η Επιτροπή συγκροτείται με κοινή απόφαση των Υπουργών Δικαιοσύνης και Ψηφιακής Διακυβέρνησης και συνεδριάζει, ύστερα από πρόσκληση του Προέδρου της, τακτικά μία (1) φορά το τρίμηνο και εκτάκτως όταν το κρίνει αναγκαίο ο Πρόεδρος. Στις συνεδριάσεις της Επιτροπής δύναται να παρευρίσκεται και οποιοσδήποτε άλλος Υπεύθυνος Προστασίας Δεδομένων φορέα κεντρικής Κυβέρνησης, καθώς και κάθε άλλο πρόσωπο εγνωσμένου κύρους το οποίο δραστηριοποιείται στο πεδίο της προστασίας των δεδομένων προσωπικού χαρακτήρα, κατόπιν πρόσκλησης του Προέδρου.

Η Επιτροπή υπευθύνων προστασίας δεδομένων είναι αρμόδια για:

Για τη διοικητική, τεχνική και επιστημονική υποστήριξή της κατά την άσκηση των αρμοδιοτήτων της, η Επιτροπή, εκπροσωπούμενη από τον Πρόεδρό της, δύναται να συνάπτει κάθε είδους προγραμματικές συμφωνίες ή μνημόνια συνεργασίας με φορείς του δημόσιου τομέα και να αναθέτει σε τρίτους την εκτέλεση ενεργειών τεχνικής βοήθειας.

Στο πεδίο εφαρμογής του Κεφαλαίου Γ’ του παρόντος Μέρους εμπίπτουν οι συσκευές τεχνολογίας ΔτΠ που χρησιμοποιούνται από τους Φ.Ε.Β.Υ., τους Π.Ψ.Υ. και τους Ο.Τ.Α.. Από το πεδίο εφαρμογής του Κεφαλαίου Γ’ εξαιρούνται οι συσκευές τεχνολογίας ΔτΠ, που χρησιμοποιούνται από την Ε.Υ.Π., το Υπουργείο Εθνικής Άμυνας και τους εποπτευόμενους φορείς του.

Στο πεδίο εφαρμογής του Κεφαλαίου Δ’ του παρόντος Μέρους εμπίπτουν τα Συστήματα μη Επανδρωμένων Αεροσκαφών που χρησιμοποιούνται για την παροχή ταχυδρομικών υπηρεσιών στην επικράτεια.

Το πεδίο εφαρμογής του Κεφαλαίου Ε’ του παρόντος Μέρους καταλαμβάνει τις εγγραφές δεδομένων ή τις συναλλαγές που πραγματοποιούνται μέσω αλυσίδας συστοιχιών ή άλλης τεχνολογίας κατανεμημένου καθολικού (Τ.Κ.Κ.).

Στο πεδίο εφαρμογής του Κεφαλαίου ΣΤ’ του παρόντος Μέρους εμπίπτουν μόνο τα ψηφιακά μοντέλα ή τα δεδομένα σχεδιασμού που υπάγονται, κατά περίπτωση, στο πεδίο προστασίας των ν. 146/1914 (Α’ 21), 1733/1987 (Α’ 171), 2121/1993 (Α’ 25) και 4679/2020 (Α’ 71).

«Αλυσίδα συστοιχιών (blockchain)»: είδος τεχνολογίας κατανεμημένου καθολικού που καταγράφει δεδομένα σε συστοιχίες (blocks), οι οποίες συνδέονται μεταξύ τους με χρονολογική σειρά και σχηματίζουν μια αλυσίδα (chain) συναινετικής, αποκεντρωμένης και μαθηματικά επαληθεύσιμης φύσης, η οποία βασίζεται κυρίως στην επιστήμη της κρυπτογραφίας.

«Αρμόδια ομάδα απόκρισης»: η αρμόδια ομάδα απόκρισης για συμβάντα που αφορούν στην ασφάλεια υπολογιστών (Computer Security Incident Response Team - CSIRT) του άρθρου 8 του ν. 4577/2018 (Α’ 199) ή η αρμόδια ομάδα αντιμετώπισης ηλεκτρονικών επιθέσεων (Εθνικό CERT) της περ. δ’ της παρ. 5 του άρθρου 2 του π.δ. 1/2017 (Α’ 2).

«Ασφάλεια συσκευών τεχνολογίας ΔτΠ»: η ικανότητα συσκευών τεχνολογίας ΔτΠ, συμπεριλαμβανομένου του λειτουργικού τους συστήματος ή του λογισμικού που καθορίζει το σύνολο των λειτουργικών τους δυνατοτήτων, να αντιμετωπίζουν ενέργειες που πλήττουν τη διαθεσιμότητα, την αυθεντικότητα, την ακεραιότητα ή το απόρρητο των δεδομένων που αποθηκεύονται, μεταδίδονται ή υποβάλλονται σε επεξεργασία ή των συναφών υπηρεσιών που προσφέρονται ή είναι προσβάσιμες μέσω των εν λόγω συσκευών.

«Δεδομένα σχεδιασμού (design data)»: το σύνολο των παραγόμενων δεδομένων κατά τη δημιουργία ενός φυσικού αντικειμένου.

«Διαδίκτυο των Πραγμάτων (ΔτΠ  - Internet of Things - IoT)»: κάθε τεχνολογία η οποία: α) επιτρέπει σε συσκευές ή ομάδα διασυνδεδεμένων ή σχετιζόμενων συσκευών, μέσω της σύνδεσής τους με το διαδίκτυο, να εκτελούν, βάσει προγράμματος, αυτόματη επεξεργασία ψηφιακών δεδομένων, συμπεριλαμβανομένης της τεχνολογίας εκείνης που αφορά στη διασύνδεση φυσικών πραγμάτων, ιδίως συσκευών, οχημάτων και κτιρίων, με ηλεκτρονικά εξαρτήματα, λογισμικό, αισθητήρες (sensors), ελεγκτές ενεργοποίησης (actuators), ραδιοζεύξεις και σύνδεση δικτύου και β) επιτρέπει τη συλλογή και ανταλλαγή ψηφιακών δεδομένων, προκειμένου να προσφέρουν ποικίλες υπηρεσίες στους χρήστες, με ή χωρίς την ανθρώπινη συμμετοχή.

«Διαδικασία τρισδιάστατης εκτύπωσης»: το σύνολο των επιμέρους ενεργειών, οι οποίες εκκινούν είτε με τη δημιουργία του ψηφιακού αρχείου σχεδιασμού με τη βοήθεια ηλεκτρονικού υπολογιστή είτε με τη σάρωση φυσικού αντικείμενου μέσω τρισδιάστατου σαρωτή και κατατείνουν στην εκτύπωση φυσικού αντικειμένου με βάση ψηφιακό μοντέλο.

«Διανομέας»: κάθε φυσικό ή νομικό πρόσωπο στην αλυσίδα εφοδιασμού συσκευών τεχνολογίας ΔτΠ, διαφορετικό από τον κατασκευαστή ή τον εισαγωγέα, το οποίο καθιστά μια συσκευή τεχνολογίας ΔτΠ διαθέσιμη στην αγορά.

«Εισαγωγέας»: κάθε φυσικό ή νομικό πρόσωπο, διαφορετικό από τον κατασκευαστή, εγκατεστημένο στην ελληνική επικράτεια, το οποίο εισάγει και διαθέτει στην ελληνική αγορά συσκευή τεχνολογίας ΔτΠ που έχει κατασκευαστεί εκτός Ελλάδας.

«Έξυπνο συμβόλαιο (smart contract)»: σύνολο κωδικοποιημένων λειτουργιών υπολογιστή, το οποίο οριστικοποιείται και εκτελείται μέσω τεχνολογίας κατανεμημένου καθολικού σε αυτοματοποιημένη ηλεκτρονική μορφή μέσω οδηγιών για την εκτέλεση ενεργειών, παραλείψεων ή ανοχών, οι οποίες βασίζονται στην ύπαρξη ή μη συγκεκριμένων προϋποθέσεων, σύμφωνα με όρους που καταγράφονται απευθείας σε ηλεκτρονικό κώδικα, προγραμματισμένες εντολές ή προγραμματισμένη γλώσσα.

«Κατανεμημένο καθολικό»: αποθετήριο πληροφοριών που τηρεί αρχεία συναλλαγών και το οποίο διαμοιράζεται και συγχρονίζεται μεταξύ ενός συνόλου κόμβων δικτύου Τ.Κ.Κ. με τη χρήση μηχανισμού συναίνεσης.

«Κατασκευαστής»: κάθε φυσικό ή νομικό πρόσωπο που: α) σχεδιάζει ή κατασκευάζει μία συσκευή τεχνολογίας του ΔτΠ ή αναθέτει σε άλλους τον σχεδιασμό ή την κατασκευή της και διοχετεύει στην αγορά τη συσκευή αυτή υπό την επωνυμία του ή το εμπορικό σήμα του, ή

«Κίνδυνος»: η πιθανότητα ζημίας ή διατάραξης της λειτουργίας της συσκευής τεχνολογίας ΔτΠ που προκαλείται από περιστατικό ασφαλείας και εκφράζεται ως συνδυασμός της έκτασης της εν λόγω ζημίας ή διατάραξης και της πιθανότητας επέλευσης του εν λόγω περιστατικού.

«Κόμβος δικτύου Τ.Κ.Κ.»: συσκευή ή εφαρμογή λογισμικού που αποτελεί μέρος δικτύου και κατέχει πλήρες ή μερικό αντίγραφο των αρχείων όλων των συναλλαγών σε κατανεμημένο καθολικό.

«Λογισμικό τρισδιάστατου εκτυπωτή»: το λογισμικό που έχει εγκατασταθεί στον τρισδιάστατο εκτυπωτή και το οποίο δίνει εντολή στον τρισδιάστατο εκτυπωτή για την εκτύπωση φυσικού αντικειμένου με βάση ψηφιακό μοντέλο.

«Λογισμικό τρισδιάστατου σαρωτή»: το λογισμικό που έχει εγκατασταθεί στον τρισδιάστατο σαρωτή και το οποίο δίνει εντολή στον τρισδιάστατο σαρωτή για την παραγωγή ψηφιακού μοντέλου ή αρχείου.

«Μη συμμόρφωση»: αποτυχία συμμόρφωσης της συσκευής ΔτΠ με τις τεχνικές προδιαγραφές ασφαλείας της υπουργικής απόφασης της παρ. 12α του άρθρου 113.

«Οδηγίες χρήσης»: οι πληροφορίες που παρέχονται από τον κατασκευαστή για την ενημέρωση του χρήστη, ιδίως σχετικά με τον επιδιωκόμενο σκοπό και την ορθή χρήση μιας συσκευής τεχνολογίας ΔτΠ.

«Συμβάν»: κάθε γεγονός με δυσμενή συνέπεια στην ασφάλεια συσκευών τεχνολογίας ΔτΠ.

«Συσκευή τεχνολογίας ΔτΠ»: κάθε συσκευή ή ομάδα διασυνδεδεμένων ή σχετιζόμενων συσκευών, που χρησιμοποιεί την τεχνολογία του ΔτΠ, συμπεριλαμβανομένου του λειτουργικού της συστήματος ή του λογισμικού που καθορίζει το σύνολο των λειτουργικών της δυνατοτήτων.

«Σύστημα Τ.Κ.Κ.»: το ψηφιακό σύστημα που βασίζεται στην Τ.Κ.Κ. ή την αλυσίδα συστοιχιών (blockchain).

«Tεχνολογία κατανεμημένου καθολικού (distributed ledger technology) - T.K.K. (DLT)»: τεχνολογία που καθιστά δυνατή τη λειτουργία και τη χρήση κατανεμημένων καθολικών.

«Τρισδιάστατη εκτύπωση (3D Printing)»: η διαδικασία της ένωσης υλικών τρισδιάστατης εκτύπωσης μέσω της τεχνικής της προσθετικής επάλληλης διαστρωμάτωσης αυτών με τη χρήση νέων τεχνολογιών, ιδίως τρισδιάστατων εκτυπωτών, και με σκοπό την εκτύπωση φυσικού αντικειμένου με βάση ψηφιακό μοντέλο.

«Τρισδιάστατος εκτυπωτής»: ο ηλεκτρονικός εξοπλισμός ή η συσκευή μαζί με το σύνολο των εξαρτημάτων τους, με τα οποία εκτελείται η εργασία της προσθετικής επάλληλης διαστρωμάτωσης των υλικών τρισδιάστατης εκτύπωσης για την εκτύπωση φυσικού αντικειμένου με βάση ψηφιακό μοντέλο.

«Tρισδιάστατος σαρωτής»: ο ηλεκτρονικός εξοπλισμός ή η συσκευή, μαζί με το σύνολο των εξαρτημάτων τους, με τα οποία εκτελείται η εργασία αποτύπωσης ενός φυσικού αντικειμένου και μορφοποίησης της πληροφορίας του για τη δημιουργία ψηφιακού μοντέλου. επάλληλης διαστρωμάτωσής του, αποτελεί την πρώτη ύλη για τη δημιουργία του φυσικού αντικειμένου με τη μέθοδο της τρισδιάστατης εκτύπωσης.

«Φορείς εκμετάλλευσης ΔτΠ»: οι Φ.Ε.Β.Υ. της περ. 4 του άρθρου 3 του ν. 4577/2018, οι Π.Ψ.Υ. της περ. 6 του άρθρου 3 του ιδίου νόμου και οι Ο.Τ.Α., εφόσον χρησιμοποιούν συσκευές τεχνολογίας ΔτΠ.

«Χρήστες»: εξουσιοδοτημένοι χειριστές συσκευών ΔτΠ για λογαριασμό των φορέων εκμετάλλευσης ΔτΠ.

«Ψηφιακό αρχείο σχεδιασμού με τη βοήθεια ηλεκτρονικού υπολογιστή (Computer Aided Design File C.A.D. File)»: ένα επεξεργάσιμο ψηφιακό αρχείο δεδομένων που έχει δημιουργηθεί με τη χρήση κατάλληλου σχεδιαστικού λογισμικού και το οποίο περιέχει το ψηφιακό μοντέλο.

«Ψηφιακό αρχείο τυπικής γλώσσας τριγώνου (Standard Triangle Language file - STL file)»: μη επεξεργάσιμο ψηφιακό αρχείο δεδομένων ενός ψηφιακού μοντέλου έτοιμου για χρήση από τον τρισδιάστατο εκτυπωτή.

«Ψηφιακό μοντέλο»: η ψηφιακή τρισδιάστατη μορφή του προς εκτύπωση αντικειμένου, η οποία περιλαμβάνει τα δεδομένα σχεδιασμού που εμπεριέχονται στο ψηφιακό αρχείο σχεδιασμού. Ως προς την υπολογιστική του διάσταση, το ψηφιακό μοντέλο περιλαμβάνει: α) τον πηγαίο κώδικά του, εφόσον το ψηφιακό μοντέλο δημιουργείται εξαρχής με προγραμματιστική εργασία του δημιουργού του ή β) μόνο τη σχεδιαστική του διάσταση, χωρίς πηγαίο κώδικα, εφόσον δεν δημιουργείται εξαρχής με προγραμματιστική εργασία του δημιουργού του, αλλά με σάρωση φυσικού αντικειμένου.

Οι συσκευές τεχνολογίας ΔτΠ σχεδιάζονται και αναπτύσσονται κατά τρόπο, ώστε να επιτυγχάνεται κατάλληλο επίπεδο κυβερνοασφάλειας καθ’ όλη τη διάρκεια του κύκλου ζωής τους και να αποτρέπονται απόπειρες μη εξουσιοδοτημένων τρίτων να αλλοιώσουν τη χρήση ή τις επιδόσεις τους.

Λαμβανομένης υπόψη της χρήσης και των πιθανών κινδύνων ασφάλειας, οι συσκευές τεχνολογίας ΔτΠ ενσωματώνουν, κατά περίπτωση, μέτρα διασφάλισης κατάλληλου επιπέδου κυβερνοασφάλειας, όπως:

Τα μέτρα της παρ. 2 ενσωματώνονται στη συσκευή ήδη κατά το στάδιο του σχεδιασμού της και δηλώνονται στο έγγραφο οδηγιών χρήσης της παρ. 2 του άρθρου 33.

Συσκευή τεχνολογίας ΔτΠ που προορίζεται να διατεθεί σε φορείς εκμετάλλευσης ΔτΠ συνοδεύεται απαραιτήτως από δήλωση συμμόρφωσης του κατασκευαστή, στην οποία δηλώνεται η συμμόρφωση της συσκευής με τις τεχνικές προδιαγραφές ασφαλείας της υπουργικής απόφασης της παρ. 12α του άρθρου 113.

Τη δήλωση συμμόρφωσης συνοδεύει έγγραφο οδηγιών χρήσης και πληροφοριών ασφάλειας σε ορολογία εύκολα κατανοητή από τους τελικούς χρήστες. Οι οδηγίες περιλαμβάνουν τις πληροφορίες που απαιτούνται για την ασφαλή εγκατάσταση, παραμετροποίηση και λειτουργία ανάλογα με την κατά προορισμό χρήση της συσκευής, καθώς και καταγραφή των πιθανών κινδύνων σε περίπτωση μη συμμόρφωσης.

Ο κατασκευαστής τηρεί τη δήλωση συμμόρφωσης και τη θέτει στη διάθεση της Εθνικής Αρχής Κυβερνοασφάλειας ή της αρμόδιας ομάδας απόκρισης, εφόσον του ζητηθεί.

Εφόσον για τον σχεδιασμό ή την κατασκευή της συσκευής τεχνολογίας ΔτΠ συμπράττουν δύο (2) ή περισσότεροι κατασκευαστές, αυτοί ευθύνονται εις ολόκληρον για την τήρηση των υποχρεώσεων των παρ. 1 έως 3 και συντάσσεται ενιαία δήλωση συμμόρφωσης.

Εφόσον ο κατασκευαστής αποκτήσει γνώση ότι η συσκευή τεχνολογίας ΔτΠ δεν συμμορφώνεται με τις τεχνικές προδιαγραφές ασφαλείας της υπουργικής απόφασης της παρ. 12α του άρθρου 113, ενημερώνει άμεσα τον εισαγωγέα, την Εθνική Αρχή Κυβερνοασφάλειας και την αρμόδια ομάδα απόκρισης.

Πριν από τη διάθεση της συσκευής τεχνολογίας ΔτΠ σε φορείς εκμετάλλευσης ΔτΠ, κάθε εισαγωγέας επαληθεύει ότι η συσκευή συνοδεύεται από τη δήλωση συμμόρφωσης του άρθρου 33 και τη θέτει στη διάθεση της Εθνικής Αρχής Κυβερνοασφάλειας ή της αρμόδιας ομάδας απόκρισης, όποτε του ζητηθεί.

Εφόσον ο εισαγωγέας αποκτήσει γνώση ότι μία συσκευή τεχνολογίας ΔτΠ δεν συμμορφώνεται με τις τεχνικές προδιαγραφές ασφαλείας της υπουργικής απόφασης της παρ. 12α του άρθρου 113, απέχει από την περαιτέρω διάθεσή της έως ότου επιτευχθεί η συμμόρφωση. Σε αυτήν την περίπτωση, ο εισαγωγέας ενημερώνει άμεσα τον κατασκευαστή και, εφόσον η συσκευή έχει ήδη διατεθεί, την Εθνική Αρχή Κυβερνοασφάλειας, την αρμόδια ομάδα απόκρισης και τον διανομέα ή, σε περίπτωση απευθείας

Ο εισαγωγέας, εφόσον του ζητηθεί, διαθέτει στην Εθνική Αρχή Κυβερνοασφάλειας ή στην αρμόδια ομάδα απόκρισης, αρχείο με καταγραφή των ενεργειών της παρ. 2 και συνεργάζεται με τις ανωτέρω αρχές για οποιαδήποτε ενέργεια κριθεί απαραίτητη για τη διασφάλιση της συμμόρφωσης της συσκευής.

Οι παρ. 1 έως 3 εφαρμόζονται και στην περίπτωση των διανομέων που διαθέτουν συσκευές τεχνολογίας ΔτΠ σε φορείς εκμετάλλευσης ΔτΠ.

Οι φορείς εκμετάλλευσης ΔτΠ χρησιμοποιούν τις συσκευές τεχνολογίας ΔτΠ σύμφωνα με τις τεχνικές προδιαγραφές ασφαλείας της υπουργικής απόφασης της παρ. 12α του άρθρου 113.

Κάθε φορέας εκμετάλλευσης ΔτΠ ορίζει Υπεύθυνο Ασφαλείας ΔτΠ, ο οποίος είναι αρμόδιος για την παρακολούθηση της ορθής εκτέλεσης των τεχνικών και οργανωτικών μέτρων της υπουργικής απόφασης της παρ. 12β του άρθρου 113 που έχει λάβει ο φορέας. Η θέση του Υπεύθυνου Ασφαλείας ΔτΠ δεν είναι ασυμβίβαστη με τη θέση του Υπεύθυνου Ασφάλειας Πληροφοριών και Δικτύων του άρθρου 6 της υπ’ αρ. 1027/4.10.2019 απόφασης του Υπουργού Επικρατείας (Β’ 3739).

Ο Υπεύθυνος Ασφαλείας ΔτΠ μεριμνά, σε συνεργασία με τους χρήστες κάθε συσκευής ΔτΠ, για την τήρηση αρχείου καταγραφής που δημιουργείται από τη συσκευή για χρονικό διάστημα που είναι εύλογο σε συνάρτηση με τον σκοπό χρήσης της.

Εφόσον ο Υπεύθυνος Ασφαλείας ΔτΠ πιθανολογεί ότι η συσκευή παρουσιάζει κίνδυνο που συνδέεται με τη χρήση της συσκευής, εισηγείται σχετικά στον οικείο φορέα, ο οποίος ενημερώνει, χωρίς αδικαιολόγητη καθυστέρηση, την Εθνική Αρχή Κυβερνοασφάλειας, την αρμόδια ομάδα απόκρισης, τον κατασκευαστή, τον εισαγωγέα και τον διανομέα και αναστέλλει τη χρήση της συσκευής, στον βαθμό που το κρίνει απαραίτητο για την αποφυγή ή τον μετριασμό του κινδύνου.

Η Εθνική Αρχή Κυβερνοασφάλειας, σε συνεργασία με την αρμόδια ομάδα απόκρισης:

Εάν μετά τον έλεγχο ή την αξιολόγηση της παρ. 1, η Εθνική Αρχή Κυβερνοασφάλειας διαπιστώσει τη μη συμμόρφωση, ζητά από τον κατασκευαστή, τον εισαγωγέα ή τον διανομέα της συσκευής να προβεί σε όλες τις αναγκαίες διορθωτικές ενέργειες για να επιτύχει τη συμμόρφωση και ενημερώνει τον φορέα στον οποίο έχει διατεθεί η συσκευή. Ο φορέας, αφότου λάβει γνώση της ενημέρωσης, λαμβάνει κάθε αναγκαίο διορθωτικό μέτρο, το οποίο μπορεί να περιλαμβάνει μέχρι και την αναστολή της χρήσης της συσκευής.