Mi a NIS2 és a magyar kiberbiztonsági törvény
A NIS2-irányelv ((EU) 2022/2555 irányelv) a magas közös kiberbiztonsági szint európai kerete. Felváltotta a 2016-os első NIS-irányelvet, és jelentősen kibővítette az érintettek körét: az alapvető szolgáltatások üzemeltetőinek szűk listája helyett ma már a közép- és nagyvállalatokat is lefedi 18 ágazatban, valamint egyes szervezeteket méretüktől függetlenül.
Magyarország az irányelvet a kiberbiztonsági törvénnyel, a 2024. évi LXIX. törvénnyel (Magyarország kiberbiztonságáról) ültette át. A törvény szerinti felügyeleti szerepet a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) tölti be, az incidenskezelésben pedig a Nemzeti Biztonsági Szakszolgálat Nemzeti Kibervédelmi Intézete (NBSZ NKI) is közreműködik. A törvény az irányelv szerkezetét követi, egyes részleteket, például a nyilvántartásba vételi eljárást, az alkalmazkodási határidőket és a szankciókat azonban maga határozza meg. Ezeket a részleteket mindig a hatályos szövegben ellenőrizze (net.jogtar.hu, sztfh.hu).
Hogy érintett-e, gyorsan ellenőrizheti az oldalon található eszközzel. A továbbiakban azt mutatjuk be, hogyan zajlik a besorolás, és mit követel a gyakorlatban a szabályozás.
Ki az érintett: ágazat és méret
A besorolás két szempontra épül: melyik ágazatban működik, és mekkora a szervezete. Az ágazatokat az irányelv két melléklete határozza meg.
- I. melléklet (kiemelten kritikus ágazatok): energetika, közlekedés, bankszolgáltatás, pénzügyi piaci infrastruktúra, egészségügy, ivóvíz, szennyvíz, digitális infrastruktúra, vállalatok közötti IKT-szolgáltatásirányítás, közigazgatás és űrtevékenység.
- II. melléklet (egyéb kritikus ágazatok): postai és futárszolgáltatások, hulladékgazdálkodás, vegyipar, élelmiszeripar, gyártás (többek között orvostechnikai eszközök, elektronika, elektromos berendezések, gépek és járművek), digitális szolgáltatók és kutatás.
A méretnél a 2003/361/EK bizottsági ajánlás szempontjait kell alkalmazni. A kapcsolt és partnervállalatok adatait is figyelembe kell venni, ezért egy nagy csoport leányvállalata akkor is érintett lehet, ha önmagában kicsi.
| Méret | Munkavállalók | Pénzügyi küszöbök | I. melléklet | II. melléklet |
|---|---|---|---|---|
| Nagyvállalat | 250 vagy több | árbevétel 50 M€ felett és mérlegfőösszeg 43 M€ felett | kiemelten fontos szervezet | fontos szervezet |
| Középvállalat | 50 és 249 között | árbevétel és mérlegfőösszeg 10 M€ felett | fontos szervezet | fontos szervezet |
| Kis- vagy mikrovállalkozás | 50-nél kevesebb | árbevétel vagy mérlegfőösszeg legfeljebb 10 M€ | főszabály szerint nem érintett* | főszabály szerint nem érintett* |
* A kivételek méretüktől függetlenül érvényesek. A kiemelten fontos szervezetek közé főszabály szerint az állami közigazgatási szervek, a minősített bizalmi szolgáltatók, a legfelső szintű doménnév-nyilvántartók és a DNS-szolgáltatók tartoznak. Az állam érintettként jelölhet ki olyan szervezetet is, amely egy a társadalom vagy a gazdaság számára kulcsfontosságú szolgáltatás egyedüli nyújtója, vagy amelynek zavara jelentősen érintené a közbiztonságot. A közszféra helyi szintű érintettségének körét a nemzeti jogszabályok határozzák meg.
Kiemelten fontos és fontos szervezetek: miben különböznek
A tartalmi kötelezettségek a két csoportnál szinte azonosak. Elsősorban a felügyelet módja és a szankciók mértéke tér el.
| Terület | Kiemelten fontos szervezet | Fontos szervezet |
|---|---|---|
| Kockázatkezelési intézkedések (21. cikk) | igen | igen |
| Jelentős incidensek bejelentése | 24 óra / 72 óra / 1 hónap | 24 óra / 72 óra / 1 hónap |
| Felügyelet | proaktív (ellenőrzések, auditok előzetes ok nélkül is) | utólagos (jellemzően incidens vagy bejelentés után) |
| Az irányelv szerinti legmagasabb bírság | legalább 10 M€ vagy a világszintű éves forgalom 2%-a | legalább 7 M€ vagy a világszintű éves forgalom 1,4%-a |
| A vezetés felelőssége | igen | igen |
Az irányelv a bírságok felső határának alsó értékét rögzíti, a tagállamok szigorúbb szabályokat is megállapíthatnak. A magyarországi összegeket a kiberbiztonsági törvényben ellenőrizze.
A legfontosabb kötelezettségek a gyakorlatban
Kockázatkezelési intézkedések. Az intézkedéseknek arányosnak kell lenniük a kockázatokkal, és minden veszélyt figyelembe vevő megközelítésen kell alapulniuk. Az irányelv 21. cikke legalább a következőket írja elő:
- kockázatelemzési és információs rendszerek biztonságára vonatkozó szabályzatok,
- incidenskezelés,
- üzletmenet-folytonosság, mentéskezelés, katasztrófa utáni helyreállítás és válságkezelés,
- az ellátási lánc biztonsága, beleértve a beszállítókkal és szolgáltatókkal fennálló kapcsolatokat,
- biztonság a rendszerek beszerzése, fejlesztése és karbantartása során, valamint a sérülékenységek kezelése és közzététele,
- az intézkedések hatékonyságának értékelése,
- alapvető kiberhigiénia és képzés,
- kriptográfia és titkosítás,
- emberi erőforrások biztonsága, hozzáférés-szabályozás és eszközkezelés,
- többfaktoros hitelesítés és védett kommunikáció.
Incidensbejelentés. Jelentős incidens esetén a tudomásszerzéstől számított 24 órán belül korai figyelmeztetést, 72 órán belül a kezdeti értékelést tartalmazó hivatalos bejelentést, legkésőbb egy hónappal a bejelentés után pedig zárójelentést kell küldeni. Ezek a határidők csak előkészített eljárással, kijelölt szerepekkel és összegyűjtött naplókkal tarthatók. Erről bővebben a Kibertámadás: mennyire felkészült a vállalata útmutatóban olvashat.
A vezetés felelőssége. A vezetésnek jóvá kell hagynia a kockázatkezelési intézkedéseket, felügyelnie kell a végrehajtásukat, és rendszeresen képeznie kell magát. A kiberbiztonság így vállalatirányítási kérdéssé válik, nem csupán az IT-részleg feladatává.
Nyilvántartásba vétel. Az érintett szervezeteknek az illetékes hatóságnak be kell jelenteniük az adataikat, és azokat naprakészen kell tartaniuk. Az eljárást és a határidőket a kiberbiztonsági törvény és a végrehajtási szabályok határozzák meg.
ISO 27001, DORA és az ellátási lánc
Az ISO/IEC 27001 az információbiztonsági irányítási rendszer nemzetközi szabványa. Azok a szervezetek, amelyek már rendelkeznek vele, a 21. cikk követelményeinek jelentős részét lefedik, mert mindkettő a kockázatkezelésre épül. A tanúsítvány önmagában nem jelent megfelelést a kiberbiztonsági törvénynek. Külön ellenőrizze az incidensjelentési határidőket, a vezetés képzését, a beszállítókkal szembeni követelményeket és a nyilvántartásba vételt.
A DORA ((EU) 2022/2554 rendelet) a pénzügyi szervezetekre vonatkozik: bankokra, biztosítókra, befektetési vállalkozásokra, fizetési intézményekre és másokra. Az IKT-kockázatkezelésre és az incidensjelentésre külön szabály vonatkozik, ezért a pénzügyi szervezetek ezeket a követelményeket elsősorban a DORA szerint teljesítik. A pénzügyi intézményeknek IKT-szolgáltatást nyújtó beszállítók mindkét kerettel szerződéses követelményeken keresztül találkoznak.
Ellátási lánc. Ha nem Ön a közvetlenül érintett szervezet, a követelményeket akkor is valószínűleg érezni fogja. Az érintett szervezeteknek kezelniük kell a beszállítói kockázatokat, ezért biztonsági követelményeket, kérdőíveket és auditjogot építenek be a szerződéseikbe. Az IT-, szoftver- és karbantartási szolgáltatók ebben az első sorban állnak.
Hogyan kezdjen hozzá: ötlépéses terv
- Besorolás. A fenti eszközzel becsülje meg, hogy kiemelten fontos vagy fontos szervezet-e, és az eredményt ellenőrizze a kiberbiztonsági törvényben.
- Hiányelemzés. Vesse össze a meglévő intézkedéseket a 21. cikk követelményeivel. Ha van ISO 27001 tanúsítványa, kezdje az alkalmazhatósági nyilatkozattal.
- Prioritást élvező intézkedések. Először a legnagyobb hatású intézkedéseket vezesse be: MFA, megváltoztathatatlan biztonsági mentések, sérülékenységkezelés és központi eseménynaplózás.
- Incidenskezelési eljárás. Határozza meg, ki dönt arról, hogy az incidens jelentős-e, ki jelent, és hogyan teljesíthetők a 24 és 72 órás határidők.
- Vezetés és beszállítók. Szervezzen képzést a vezetőségnek, és vizsgálja át a kulcsfontosságú beszállítókkal kötött szerződéseket.
A Humanfrog segít a szervezeteknek a hiányelemzésben, a technikai intézkedések bevezetésében és a felügyelt biztonságban, beleértve a TIER III adatközpontokban végzett biztonsági mentést is. Ha szeretné felmérni a kiindulási helyzetét, beszéljen velünk.
