Mi az a NIS2?
A NIS2 (Network and Information Security) irányelv az egész EU-ra kiterjedő kiberbiztonsági jogszabály, amely jogi intézkedéseket ír elő a kiberbiztonság általános szintjének növelésére. Az első NIS irányelv a GDPR-ral szinte egy időben került elfogadásra, és míg utóbbi beváltotta a hozzá fűzött reményeket, addig ez nem volt elmondható a kiberbiztonság növelését célzó intézkedésről. A gyorsuló digitalizáció, az évek óta egyre erősödő kiberbiztonsági kockázatok, a kibertérben (is) zajló háború miatt azonban egyre sürgetőbb az egységes direktíva kialakítása. Többek közt ez vezetett oda, hogy a NIS 1 gyakorlatban nem mérhető hatása és a gyorsuló digitalizáció kihívásai miatt az európai törvényhozók az irányelv frissítésébe kezdtek.
A 2016-os megjelenést követően öt évvel később, 2021-ben kezdtek el az európai jogalkotók az irányelv módosításán dolgozni. Hosszú hónapok munkáját, és a több körös egyeztetést követően 2022. május 13-án vált véglegessé a tervezet. A NIS2 értelmében az érintett szervezeteknek, fokozottabban kell összpontosítania a kibernetikai biztonságra. Ez magában foglalja a megfelelő védelmi intézkedések megtételét, a kibernetikai incidensek hatékony kezelését, valamint az incidensekkel kapcsolatos jelentések megbízható és gyors továbbítását a megfelelő hatóságoknak. Emellett a szervezeteknek rendszeresen biztonsági auditokat is végre kell hajtaniuk, amelyek értékelik a rendszerek biztonságát és felkészültségét. A tagállamoknak 2024-ig kell átültetniük az irányelvet a saját jogrendszerükbe. A NIS2 a NIS eredeti dokumentumot egészíti ki az alábbi célkitűzésekkel:
- A kollektív kiberfenyegetésekkel szembeni felkészültség javítása az EU-ban.
- A kibertámadásokkal szembeni ellenállóképesség növelése.
- Ellenállóképességre vonatkozó egyszerűsített elvárások és szigorúbb szankciók.
Törvényi háttér
Ez a törvény az ENISA-ról (az Európai Uniós Kiberbiztonsági Ügynökségről) és az információs és kommunikációs technológiák kiberbiztonsági tanúsításáról szóló, 2019. április 17-i (EU) 2019/881 európai parlamenti és tanácsi rendelet végrehajtásához szükséges rendelkezéseket állapít meg.
A törvény az Unió egész területén egységesen magas szintű kiberbiztonságot biztosító intézkedésekről (NIS 2 irányelv) szóló, 2022. december 14-i (EU) 2022/2555 európai parlamenti és tanácsi irányelvnek való megfelelést szolgálja.
Magyarországi felügyelő szerv
A kiberbiztonsági felügyeletet kevés kivételtől eltekintve az SZFTH (Szabályozott Tevékenységek Felügyeleti Hatósága) látja el: https://sztfh.hu/
A Szervezet azzal a céllal jött létre, hogy stabil és kiszámítható működési és szabályozási környezetet teremtsen olyan kiemelt ágazatok számára, mint a szerencsejáték-szervezés, a dohányügy, a kiberbiztonság, valamint a bányászat és a földtani tevékenységek. Ezen túlmenően a Hatóság feladata a bírósági végrehajtók és a felszámolói szervezetrendszer hatékony működésének biztosítása.
Érintettek köre
Elsősorban közép- és nagyvállalkozásokra, konkrétabban az alábbi ágazatokban működő vállalkozások legalább 50 főt foglalkoztató vagy nettó 10 millió EUR értéket elérő éves árbevétellel rendelkező szervezetekre. A 2024. évi LXIX. törvény 2. és 3. melléklete részletesen felsorolja, hogy mely iparágak tartoznak a felügyelettel érintett, kiemelten kockázatos, illetve kockázatos kategóriába. A jelenlegi becslések alapján hazánkban ez mintegy 3 800 közepes és nagyvállalatot érint közvetlenül.
- Kiemelten kockázatos ágazatok
- Energia: Villamosenergia, távfűtés és távhűtés, olaj-, gáz-, hidrogénenergia.
- Közlekedés: Közúti, légi, vasúti vízi és tömegközlekedés.
- Egészségügy: Beleértve a gyógyszeripart, az orvostechnikai eszközgyártást és a kutatást.
Víz: Ivóvíz, szennyvíz (víziközmű szolgáltatás) - Digitális infrastruktúrák: IXP szolgáltatók, DNS-szolgáltatók (kivéve a root névszerverek üzemeltetőit), legfelső szintű domain (TLD) névregiszterek, felhőszolgáltatók, adatközpont-szolgáltatók, hálózati tartalomszolgáltatók, bizalmi szolgáltatók (TSP), nyilvános elektronikus hírközlő szolgáltatók.
- Hírközlési szolgáltatók
- Kihelyezett IKT szolgáltatók: kihelyezett (irányított) infokommunikációs szolgáltatást nyújtó szolgáltató, kihelyezett (irányított) infokommunikációs biztonsági szolgáltatást nyújtó szolgáltató,
- Űralapú szolgáltatás
Kockázatos ágazatok
- Kritikus termékek gyártása: orvostechnikai eszközök és in vitro diagnosztikai eszközök, számítógépes, elektronikus és optikai termékek, elektromos berendezések, gépek, gépjárművek, pótkocsik, közlekedési eszközök, gyógyszerek és egészségügyi felszerelések, cement, mész és gipszgyártás
- Posta, futárszolgálatok
- Hulladékgazdálkodás
- Elektronikai gyártás
- Járműgyártás
Élelmiszerek előállítása, feldolgozása és elosztása - Vegyipar
- Digitális szolgáltatók
- Kutatóhelyek
Méretkorlát alóli kivételek
NIS2 követelmények az Érintettek felé
Az Érintett szervezet a kiberfenyegetések által okozható károk mértékével arányos módon köteles gondoskodni az elektronikus információs rendszerei és azok fizikai környezetének a biztonságáról.
A biztonság magában foglalja az elektronikus információs rendszerek, valamint fizikai környezetük védelmét minden olyan eseménytől, amely veszélyeztetheti:
- a tárolt, továbbított vagy feldolgozott adatok, információk,
- az elektronikus információs rendszerek által nyújtott vagy azon keresztül elérhető szolgáltatások bizalmasságát, sértetlenségét és rendelkezésre állását.
Mire kell a védelemnek kiterjednie?
- az információbiztonsági irányítás rendszerére,
- az elektronikus információs rendszerek kockázatainak feltárására és kezelésére,
- a kockázatok csökkentésére irányuló, a szervezet kockázatelemzésében rendszerenként meghatározandó biztonsági osztálynak megfelelő adminisztratív, logikai és fizikai intézkedések alkalmazására,
- a biztonsági események megelőzésére, felismerésére, kezelésére és hatásainak csökkentésére,
- az üzletmenet folytonosság biztosítására,
- az elektronikus információs rendszerek és az ezek által használt szoftver és hardver termékek beszerzésére, fejlesztésére, és üzemeltetésére.
Határidők
- 2024. december 31.
1. Az Érintett megköti és bemutatja kiberbiztonsági audit szerződését.- a. Első kiberbiztonsági audittal kapcsolatos szerződéskötés az auditorral.
- b. Szerződést kell kötni egy auditor szervezettel a hatóság által közzétett listáról.
2025 januárjában minden Érintett szervezet mulasztásos jogsértés állapotában van, mivel nem tudtak szerződést kötni Auditorral a fenti határidővel. Ennek oka nem az Érintettek szándéka, hanem az állami szabályzó rendszer döntéshozatali folyamatában keletkezett lassulás. Ezzel magunk a folyamatot szabályzók is tisztában vannak, ezért jelen – átmeneti – időszak számonkéréssel, büntetéssel nem terhelt. Minden NIS2 érintett cég, amely 2025.01.01. előtt kezdte meg működését és a hatóság nyilvántartásba vette, 2024.12.31-ig kellett volna szerződést kötnie a kiberbiztonsági auditra, egy, a hatóság listáján szereplő auditor céggel. Mivel az audit módszertani jogszabály még nem jelent meg, így ezen szerződések megkötésére sem volt lehetőség. Ezzel a hatóság is tisztában van és méltányosságot gyakorol az érintettek felé a határidő elmulasztása miatt. Az első kiberbiztonsági auditot ezen cégek tekintetében 2025.12.31-ig kell elvégezni.
- 2025. december 31.
1. Az Érintett szervezet az első kiberbiztonsági auditot 2025. december 31-ig köteles elvégeztetni.- a. Első kiberbiztonsági audit lefolytatása.
- b. Eredetileg 2024 december 31-e volt a dátum.
Milyen büntetésre lehet számítani, ha valaki nem tesz eleget a kötelezettségének?
Az Irányelv szerint, ha egy Vállalkozás/Intézmény nem felel meg az Irányelvben foglalt előírásoknak, a kiszabható bírság maximuma 10 millió EUR vagy a szervezet globális éves forgalmának legfeljebb 2 %-a, attól függően, hogy melyik összeg a magasabb.
Fontos kiemelni, hogy az Irányelv alapján akár az ügyvezetés felelőssége is megállapítható és az ügyvezető súlyos esetben, akár az ügyvezetéstől eltiltható, ha az érintett szervezet nem felel meg a NIS2-ben előírt kiberbiztonsági követelményeknek.
A hazai konkrét büntetési tételeket a 418/2024. (XII.23.) kormányrendelet 3. számú melléklete tartalmazza.
Kihívások
Az irányelvnek való megfelelés nem kis feladat és számos komplex kihívást tartogat az Érintett szervezetek számára. Ezek kezelésében jelentős segítséget nyújthatunk. Van tapasztalatunk a kibernetikai biztonsági követelményekben és ismerjük a hozzájuk kapcsolódó jogszabályi környezetet.
Segítünk megérteni a NIS2 irányelv hazai szabályozásának minden finomságát, tanácsot adunk a megfelelő védelmi intézkedések kiválasztásában, és segítünk kialakítani a hatékony incidenskezelési és jelentési folyamatokat. Társaságunkkal való együttműködés javítja a szervezet általános kibernetikai felkészültségét és ellenálló képességét, ami növeli a bizalmat a szervezet és ügyfelei, partnerei között.
A biztonság terén elkötelezett Érintett képes megőrizni jó hírnevét és elkerülni a jogszabályokkal összefüggő súlyos bírságokat. A Delta támogatásával a szervezet hatékonyan tudja kezelni a kibernetikai kihívásokat, és így biztonságosabbá teheti digitális infrastruktúráját.
Felkészülés a NIS2-es megfelelésre, mi az a GAP analízis?
A NIS2-es megfelelés több alprojektre bontható. Ennek első lépése az úgynevezett GAP analízis.
A GAP analízisről röviden
A GAP analízis, másképpen az előzetes hiányértékelés célja, hogy egy általános képet adjon a szervezet kiberbiztonsági helyzetéről a követelmények függvényében, innen lehet felépíteni, hogy mely területeken lesz szükség beavatkozásokra. Ez egy „nagy látószögű” jelentés, és nem minden EIR kontrollpontot érint. Azt mutatja meg, hogy a NIS2-es követelményekhez képest mennyire érett az Érintett, hol vannak a legnagyobb gócpontot.
A GAP analízis részei
Az előzetes érettségi vizsgálat az alábbi területekre terjed ki:
- Az információbiztonsági szabályozási rendszer működése.
- Kockázatelemzési gyakorlat módszertana.
- Védelmi intézkedések megvalósítása.
- Incidenskezelés folyamata, kommunikációja.
- Üzletmenet folytonosság kialakításának kockázatarányossága.
- Ellátási láncban szereplő partnerek IT biztonsági megfelelése.
- A szervezet által használt szoftver és hardver termékek kezelése (beszerzés, fejlesztés, üzemeltetés).
Az Információbiztonsági Felelős (IBF) kötelező kinevezéséről
A NIS2 irányelv értelmében Információbiztonsági Felelőst (IBF) kell kinevezni, és kötelezően regisztrálni a NIS2 felügyeleti hatóságnál (SZTFH). Az IBF szerepe nem csupán formális: a rendszeres hatósági auditok és a jövőben kötelezően jelentendő kiberbiztonsági incidensek miatt a pozíció valós, jelentős felelősséggel és konkrét feladatkörrel jár. Minden NIS2 érintett cégnek, már a hatósági regisztrációkor meg kellett jelölnie az elektronikus információs rendszer biztonságáért felelős személyt (IBF), aki lehet az érintett szervezet munkavállalója, vagy külsős megbízott. Az IBF fő feladatai: az elektronikus információs rendszer védelméhez kapcsolódó feladatok ellátása, a kockázatmenedzsment keretrendszer működtetése, a kiberbiztonsági incidensek bejelentése és a kiberbiztonsági incidenskezelő központtal való kapcsolattartás. Az IBF-nek cselekvőképesnek és büntetlen előéletűnek kell lennie, aki rendelkezik a feladatellátáshoz szükséges végzettséggel és/vagy megfelelő tapasztalattal.
A jogszabály lehetőséget biztosít az IBF szerepkör kiszervezésére, ami különösen hasznos lehet azon szervezetek számára, amelyek nem rendelkeznek házon belüli szaktudással vagy erőforrással. Ez gyakran azért szükséges, mert az IT-rendszerek működtetéséért felelős IT-menedzser vagy rendszergazda nem feltétlenül alkalmas ennek a speciális feladatkörnek az ellátására, vagy a meglévő munkaterhei mellett nincs kapacitása erre.
Ezáltal a kiszervezés hatékony és szakmailag megalapozott megoldást nyújthat a szervezetek kiberbiztonsági megfelelésének biztosítására.
Az Auditra felkészülést támogató egyéb feladatok
- Elektronikus információs rendszerek (EIR) azonosítása, azok biztonsági osztályba sorolása – az EIR-ek biztonsági osztálya fogja meghatározni a kockázatarányos védelmi elvárásokat a 7/2024. MK rendelet alapján, illetve ahhoz lehet majd Auditort választani.
- Előzetes feladatterv készítést kell végezni az előzetes hiányértékelés alapján kieső feladatokra.
- Felkészülés a kiberbiztonsági auditra, amelyek a konkrét védelmi intézkedések foglalja magában, lefekteti a folyamatok kialakítását, a szükséges dokumentációk elkészítését.
