Miről szól a NIS2?

A NIS2 nem csak egy újabb EU-s irányelv, hanem egy elengedhetetlen lépés a modern kiberbiztonsági kihívások eredményes kezelésében. Az irányelv célja még, hogy választ adjon a dinamikusan változó kiberfenyegetésekre és megteremtse azokat a keretfeltételeket, amelyek segítségével a vállalatok megfelelő védelmet biztosíthatnak az adataik és rendszereik vonatkozásában.

A NIS2 hazai implementációjának kulcsa a Kibertan.tv, azaz a kiberbiztonsági tanúsításról és a kiberbiztonsági felügyeletről szóló 2023. évi XXIII. törvény, amely célja a kiberbiztonság új szabályozási környezetének megteremtése, a nemzeti érdekek és szuverenitási igények érvényesíthetőségének erősítése. Ez adja a kiberbiztonsági tanúsítás hazai keretrendszerét és emellett biztosítja az irányelv érvényesülését, a gazdasági élet jelentős ágazatainak szereplői számára kiberbiztonsági követelményeket határoz meg és hatósági felügyeleti rendszert vezet be. Egyfelől tehát létrehozza a nemzeti kiberbiztonsági tanúsítási keretrendszert, az infokommunikációs termékek kiberbiztonsági tanúsítására vonatkozó alapvető szabályokat, másfelől a társadalom és gazdaság működésében jelentős funkciót betöltő gazdasági szereplők, szolgáltatók biztonsági szintjét erősíti azáltal, hogy esetükben kiberbiztonsági követelményrendszert állít fel és rögzíti a követelmények betartatásához szükséges felügyeleti intézkedéseket, egyben hatósági felügyeleti rendszert vezet be a NIS2 alapján.

A Kibertan.tv alapján melyek az érintett szervezetek?

Az új törvény kiemelten kockázatos (energia, közlekedés, egészségügy, víz, gyógyszeripar, digitális infrastruktúrák, kihelyezett szolgáltatók, világűr), illetve kockázatos (posta, futárszolgálatok, hulladékgazdálkodás, elektronikai gyártás, járműgyártás, élelmiszer előállítás és forgalmazás, digitális szolgáltatások, vegyipar, kutatóhelyek) ágazatokat határoz meg, továbbá a cégméretet és a bevételt is figyelembe kell venni a Kkvtv. alapján. Ez alól kivételt képeznek (mármint a méret és bevétel korlát alól) az elektronikus hírközlési szolgáltatók, a bizalmi szolgáltatók, a DNS-szolgáltatást nyújtó szolgáltatók, a legfelső szintű domainnév-nyilvántartók, valamint a domainnév-regisztrációt végző szolgáltatók.

Milyen teendőjük van a cégeknek?

Az SZTFH 2024. január 1-től kezdte meg az érintett szervezetek nyilvántartásba vételét
(azon cégek esetében, akik ezen dátum előtt megkezdték működésüket). Az önazonosításra és a nyilvántartásba vételre 2024. június 30-ig van lehetőségük a cégeknek. Eddig a dátumig kell meghatározni a biztonsági osztályba sorolást (alap, jelentős, magas), illetve ki kell jelölnie az elektronikus információs rendszerek biztonságáért felelős személyt és feladatkörét. 2024. október 18-tól az érintett cégeknek alkalmaznia kell a törvénynek megfelelő védelmi intézkedéseket (a tagállamok 2024. október 17-ig kaptak határidőt a NIS2 implementálására), és a felügyeleti díj megfizetése is ettől a dátumtól kezdve válik esedékessé. Az érintett cégeknek pedig ez év december 31-éig meg kell kötni a szerződést a kiberbiztonsági audit vonatkozásában, amelynek legkésőbb 2025. december 31-ig el kell készülnie.

Milyen szankciókra számíthatnak azok, akik nem tesznek időben eleget kötelezettségeiknek?

Hazánkban a szankciókkal kapcsolatos részletszabályok jelenleg még nem ismertek, de a NIS 2 ennek kapcsán viszont nem tréfált, akár 10 millió eurós büntetés (de legfeljebb az árbevétel 2%-ka) is kiszabható. Ebből is látszik, hogy nem érdemes majd a megúszásra, vagy az ellavírozásra játszani. Bár a részletek még tényleg nem ismertek, az azért valószínűsíthető, hogy például a bírságok összege nem lesz annyira visszafogott, mint pl. a felügyeleti díjnak az összege, ami érintett cég esetében az előző éves árbevételének 0,015%-ka, de max. 10 millió forint lehet.

Határidők:

2024. január 1.

• Önazonosítás
• Biztonsági osztályba sorolás
• Elektronikus információs rendszerek biztonságáért felelős személy feladatköre és kijelölése

2024. június 30.

• Nyilvántartásba vételre bejelentkezés

2024. október 18.

• Védelmi intézkedések alkalmazása
• Felügyeleti díj megfizetése

2024. december 31.

• Első kiberbiztonsági audittal kapcsolatos szerződéskötés az auditorral

2025. december 31.

• Első kiberbiztonsági audit lefolytatása