Search
Generic filters

NIS2 kisokos

január 17, 2024

NIS2 nr web hir kep v2
Majdnem minden amit a NIS2 EU direktíváról és annak 2024-es bevezetéséről tudnia kell. Cikkünket folyamatosan frissítjük!

2022. december 14-én hatályba lépett a NIS2 Irányelv. Az EU tagállamainak 2024. október 17-ig át kell ültetniük a saját jogrendszerükbe. Az elfogadott EU Rendelet és kihirdetett hazai rendelkezések kötelező érvényűek az érintett ágazatokban működő hazai vállalkozások és szervezetek számára.

2024. január 1-én hatályba lépett az érintett szervezetek kiberbiztonsági felügyeleti hatósági nyilvántartásáról szóló 23/2023. (XII. 19.) SZTFH rendelet!

A NIS irányelv lényege

A NIS (Network and Information Systems) EU belső piaci működésének javítása érdekében létrehozott kiberbiztonsági irányelv. A hálózati- és információs rendszerek biztonságának magas szintjét biztosítja egységesen, az EU teljes területén.

A NIS irányelvet 2016. nyarán fogadta el az EU, 2018. tavaszán léptette hatályba a magyar jogrend.

Két nagyobb csoportra oszthatók az érintett szervezetek:

  • Az első csoportba tartoztak az úgynevezett alapvető szolgáltatásokat nyújtó szolgáltatók: digitális infrastruktúrák, energetika, közlekedés, banki szolgáltatások, pénzügyi szolgáltatások, egészségügyi szektor szereplői
  • A digitális szolgáltatásokat nyújtó szolgáltatók csoportjába kerültek a pl. az online piactér, keresőmotorok, felhő szolgáltatók.

NIS2 és főbb újdonságai

Az egyre gyakoribb és kifinomult kibertámadások, a felgyorsult digitalizáció és a zajló háború, számos gyengeségre világított rá az EU-n belül.

Elkerülhetetlenné vált a NIS-irányelv modernizálása, valamint szigorúbb szabályok bevezetése a következők terén: biztonsági követelmények megerősítése, az ellátási láncok biztonságának kezelése, valamint a jelentési kötelezettségek.

Megfelelő és arányos technikai és szervezési intézkedéseket kell hozni a kockázatok kezelésére. Figyelembe kell venni a technika jelenlegi állását, az intézkedéseknek pedig biztosítaniuk kell a hálózati és információs rendszerek által keltett kockázatnak megfelelő biztonsági szintet.

Kibővített hatály

A NIS2 hatálya kiterjed a korábbi NIS szabályozásban szereplő alapvető szolgáltatásokat nyújtók mellett a digitális szolgáltatókra, kritikus ágazatokhoz tartozó (fontos és alapvető) szervezetekre és eddig nem érintett új szektorokra is.

Ennek megfelelően a NIS2 direktíva részletesen meghatározott, állami, közigazgatási szervezetekre, és magánkézben lévő közép és nagyvállalatokra vonatkozik.

Kiemelten kockázatos ágazatok (alapvető szerveztek):

  • energetika (villamos, távfűtés és -hűtés, olaj, gáz, hidrogén)
  • Közlekedés (légi, vízi, vasúti, közúti, tömegközlekedés)
  • egészségügy
  • ivóvíz, szennyvíz
  • hírközlési szolgáltatás
  • digitális infrastruktúra (internet-, DNS- és felhőszolgáltatók)
  • kihelyezett IKT szolgáltatások
  • űralapú szolgáltatás

Kockázatos ágazat (fontos szervezetek):

  • postai és futárszolgáltatások
  • élelmiszer előállítás, feldolgozás, forgalmazás
  • hulladékgazdálkodás
  • vegyszerek előállítása és forgalmazása
  • gyártás:
    – orvostechnikai eszközök és in vitro diagnosztikai orvostechnikai eszközök gyártása
    – számítógépek, elektronikai és optikai termékek
    – villamos berendezések gyártása
    – máshova nem sorolt gépek és berendezések gyártása
    – gépjárművek, pótkocsik, félpótkocsik gyártása
    – egyéb szállítóeszközök gyártása
    – cement- mész- és gipszgyártás
  • digitális szolgáltatók
  • kutatás

Jelentéstételi kötelezettségek és jelentős események

A szervezetek minden jelentős eseményt 24 órán belül kötelesek bejelenteni a biztonsági eseményekre reagáló csoportoknak (CSIRT) és a felügyeleti hatóságnak.

Egy esemény akkor tekintendő jelentősnek, ha:

  • súlyos működési zavart okozott vagy képes okozni a szolgáltatásokban
  • pénzügyi veszteséget okozott az érintett szervezetnek
  • az esemény jelentős vagyoni vagy nem vagyoni kárt okoz (képes okozni) természetes vagy jogi személyek számára

Kockázatkezelési és kiberbiztonsági intézkedések

A hatály alá tartozó szervezeteknek további kiberbiztonsági kockázattal arányos biztonsági intézkedéseket kell bevezetniük, amely kiterjed

  • a kockázatelemzési és információbiztonsági szabályzatokra
  • üzletmenet folytonosságra
  • katasztrófa utáni helyreállításra
  • ellátási láncok biztonságának biztosítására
  • kiberhigiéniai gyakorlatokra és kiberbiztonsági képzésekre
  • titkosításra, kriptográfiai megoldások használatára vonatkozó szabályzatok és eljárások alkalmazására
  • HR biztonságra
  • hitelesítési megoldásokra
  • biztonságos hang-, video- és szöveges kommunikációra
  • illetve biztonságos vészhelyzeti kommunikációs rendszerek használatára

Az ügyvezetés többlet felelőssége

  • A fent említett biztonsági intézkedéseket az ügyvezetésnek kell jóváhagynia és azok végrehajtását felügyelnie
  • Felelőssé tehető a vezetés, ha az általa vezetett szervezet nem felel meg az előírt követelményeknek.
  • Rendszeres kiberbiztonsági oktatáson kell részt vennie, illetve munkavállalóik számára is rendszeresen hasonló képzéseket kell biztosítaniuk.

Szigorodó felügyeleti szabályok

A NIS2 Irányelv alapján, az előírások megsértése esetén a fontos és alapvető szervezetekre eltérő szabályok vonatkoznak.

  • Az alapvető szervezetekre – az irányadó rendelkezések alapján – 10.000.000 euró vagy a teljes éves világszintű forgalom 2 %-nak megfelelő bírság róható ki.
  • A fontos szervezetek pedig 7.000.000 EUR vagy a vállalkozás előző évi forgalmának 1,4%-ig terjedő közigazgatási bírsággal sújthatók.

Fontosabb időpontok

Az érintett szervezeteknek :

  • 2024. január 1. – június 30 között kérnie kell a nyilvántartásba vételt, be kell jelentkeznie az SZTFH-hoz (Szabályozott Tevékenységek Felügyeleti Hatósága) és meg kell kezdenie a felkészülést a rendeletben megadott követelményeknek megfelelően.
  • 2024. október 18-tól a védelmi intézkedéseket alkalmazni kell, továbbá a szervezetnél betöltésre kell kerülnie az Információbiztonsági felelősi pozíciónak.
  • 2024. december 31-ig a kialakított védelmi intézkedések kiberbiztonsági auditálására szerződést kell kötni az auditor szervezettel
  • 2025. december 31-ig el kell végezni az auditot

Nyilvántartásba vétel

A kiberbiztonsági tanúsításról és a kiberbiztonsági felügyeletről szóló 2023. évi XXIII. törvény (továbbiakban: Kibertan.tv.) 17. § alapján érintett szervezetnek minősülő szervezetek adataikat nyilvántartásba vétel érdekében kötelesek az SZTFH-nak megküldeni.

A nyilvántartás vezetésének részletes szabályait az érintett szervezetek kiberbiztonsági felügyeleti hatósági nyilvántartásáról szóló 23/2023. SZTFH rendelet tartalmazza.

Az űrlap kitöltésére jogosult: az érintett szervezet cégkapujához meghatalmazással rendelkező természetes személy.

Az űrlap kitöltéséhez kattintson az alábbi linkre:
https://sztfh.hu/ugyintezes/nyomtatvanyok-es-urlapok/sztfh420/

Hazai jogszabályok

A NIS2 rendelet átültetés nélkül érvényes az összes tagállamban, azonban szükséges lehet a tagállami törvények jogharmonizációja. Ezért a hazai jogalkotó az elmúlt időszakban az alábbi jogszabályokat alkotta meg és helyezte hatályba.

  • A kiberbiztonsági tanúsításról és a kiberbiztonsági felügyeletről szóló 2023. évi XXIII. törvény (Kibertan. tv.)
  • A nemzeti kiberbiztonsági tanúsító hatóság eljárásával összefüggő kiberbiztonsági tanúsítás keretében fizetendő igazgatási szolgáltatási díjról szóló 30/2022. (II. 14.) SZTFH rendelet
  • Információs és kommunikációs technológiák kiberbiztonsági tanúsításáról szóló 10/2023. (V. 15.) SZTFH rendelet
  • 23/2023. (XII. 19.) SZTFH rendelet az érintett szervezetek kiberbiztonsági felügyeleti hatósági nyilvántartásáról

Hamarosan az adatbiztonsági osztályba sorolás követelményrendszerrel kapcsolatban kerül jogszabály hatályba helyezésre.

A NIS2 bevezetésének részleteiről és kapcsolódó szolgáltatásainkról folyamatosan tájékoztatjuk partnereinket és érdeklődő olvasóinkat.

Kérje ajánlatunkat!

NIS2 nr web hir kep v2

NIS2 kisokos

január 17, 2024

Majdnem minden amit a NIS2 EU direktíváról és annak 2024-es bevezetéséről tudnia kell. Cikkünket folyamatosan frissítjük!

2022. december 14-én hatályba lépett a NIS2 Irányelv. Az EU tagállamainak 2024. október 17-ig át kell ültetniük a saját jogrendszerükbe. Az elfogadott EU Rendelet és kihirdetett hazai rendelkezések kötelező érvényűek az érintett ágazatokban működő hazai vállalkozások és szervezetek számára.

2024. január 1-én hatályba lépett az érintett szervezetek kiberbiztonsági felügyeleti hatósági nyilvántartásáról szóló 23/2023. (XII. 19.) SZTFH rendelet!

A NIS irányelv lényege

A NIS (Network and Information Systems) EU belső piaci működésének javítása érdekében létrehozott kiberbiztonsági irányelv. A hálózati- és információs rendszerek biztonságának magas szintjét biztosítja egységesen, az EU teljes területén.

A NIS irányelvet 2016. nyarán fogadta el az EU, 2018. tavaszán léptette hatályba a magyar jogrend.

Két nagyobb csoportra oszthatók az érintett szervezetek:

  • Az első csoportba tartoztak az úgynevezett alapvető szolgáltatásokat nyújtó szolgáltatók: digitális infrastruktúrák, energetika, közlekedés, banki szolgáltatások, pénzügyi szolgáltatások, egészségügyi szektor szereplői
  • A digitális szolgáltatásokat nyújtó szolgáltatók csoportjába kerültek a pl. az online piactér, keresőmotorok, felhő szolgáltatók.

NIS2 és főbb újdonságai

Az egyre gyakoribb és kifinomult kibertámadások, a felgyorsult digitalizáció és a zajló háború, számos gyengeségre világított rá az EU-n belül.

Elkerülhetetlenné vált a NIS-irányelv modernizálása, valamint szigorúbb szabályok bevezetése a következők terén: biztonsági követelmények megerősítése, az ellátási láncok biztonságának kezelése, valamint a jelentési kötelezettségek.

Megfelelő és arányos technikai és szervezési intézkedéseket kell hozni a kockázatok kezelésére. Figyelembe kell venni a technika jelenlegi állását, az intézkedéseknek pedig biztosítaniuk kell a hálózati és információs rendszerek által keltett kockázatnak megfelelő biztonsági szintet.

Kibővített hatály

A NIS2 hatálya kiterjed a korábbi NIS szabályozásban szereplő alapvető szolgáltatásokat nyújtók mellett a digitális szolgáltatókra, kritikus ágazatokhoz tartozó (fontos és alapvető) szervezetekre és eddig nem érintett új szektorokra is.

Ennek megfelelően a NIS2 direktíva részletesen meghatározott, állami, közigazgatási szervezetekre, és magánkézben lévő közép és nagyvállalatokra vonatkozik.

Kiemelten kockázatos ágazatok (alapvető szerveztek):

  • energetika (villamos, távfűtés és -hűtés, olaj, gáz, hidrogén)
  • Közlekedés (légi, vízi, vasúti, közúti, tömegközlekedés)
  • egészségügy
  • ivóvíz, szennyvíz
  • hírközlési szolgáltatás
  • digitális infrastruktúra (internet-, DNS- és felhőszolgáltatók)
  • kihelyezett IKT szolgáltatások
  • űralapú szolgáltatás

Kockázatos ágazat (fontos szervezetek):

  • postai és futárszolgáltatások
  • élelmiszer előállítás, feldolgozás, forgalmazás
  • hulladékgazdálkodás
  • vegyszerek előállítása és forgalmazása
  • gyártás:
    – orvostechnikai eszközök és in vitro diagnosztikai orvostechnikai eszközök gyártása
    – számítógépek, elektronikai és optikai termékek
    – villamos berendezések gyártása
    – máshova nem sorolt gépek és berendezések gyártása
    – gépjárművek, pótkocsik, félpótkocsik gyártása
    – egyéb szállítóeszközök gyártása
    – cement- mész- és gipszgyártás
  • digitális szolgáltatók
  • kutatás

Jelentéstételi kötelezettségek és jelentős események

A szervezetek minden jelentős eseményt 24 órán belül kötelesek bejelenteni a biztonsági eseményekre reagáló csoportoknak (CSIRT) és a felügyeleti hatóságnak.

Egy esemény akkor tekintendő jelentősnek, ha:

  • súlyos működési zavart okozott vagy képes okozni a szolgáltatásokban
  • pénzügyi veszteséget okozott az érintett szervezetnek
  • az esemény jelentős vagyoni vagy nem vagyoni kárt okoz (képes okozni) természetes vagy jogi személyek számára

Kockázatkezelési és kiberbiztonsági intézkedések

A hatály alá tartozó szervezeteknek további kiberbiztonsági kockázattal arányos biztonsági intézkedéseket kell bevezetniük, amely kiterjed

  • a kockázatelemzési és információbiztonsági szabályzatokra
  • üzletmenet folytonosságra
  • katasztrófa utáni helyreállításra
  • ellátási láncok biztonságának biztosítására
  • kiberhigiéniai gyakorlatokra és kiberbiztonsági képzésekre
  • titkosításra, kriptográfiai megoldások használatára vonatkozó szabályzatok és eljárások alkalmazására
  • HR biztonságra
  • hitelesítési megoldásokra
  • biztonságos hang-, video- és szöveges kommunikációra
  • illetve biztonságos vészhelyzeti kommunikációs rendszerek használatára

Az ügyvezetés többlet felelőssége

  • A fent említett biztonsági intézkedéseket az ügyvezetésnek kell jóváhagynia és azok végrehajtását felügyelnie
  • Felelőssé tehető a vezetés, ha az általa vezetett szervezet nem felel meg az előírt követelményeknek.
  • Rendszeres kiberbiztonsági oktatáson kell részt vennie, illetve munkavállalóik számára is rendszeresen hasonló képzéseket kell biztosítaniuk.

Szigorodó felügyeleti szabályok

A NIS2 Irányelv alapján, az előírások megsértése esetén a fontos és alapvető szervezetekre eltérő szabályok vonatkoznak.

  • Az alapvető szervezetekre – az irányadó rendelkezések alapján – 10.000.000 euró vagy a teljes éves világszintű forgalom 2 %-nak megfelelő bírság róható ki.
  • A fontos szervezetek pedig 7.000.000 EUR vagy a vállalkozás előző évi forgalmának 1,4%-ig terjedő közigazgatási bírsággal sújthatók.

Fontosabb időpontok

Az érintett szervezeteknek :

  • 2024. január 1. – június 30 között kérnie kell a nyilvántartásba vételt, be kell jelentkeznie az SZTFH-hoz (Szabályozott Tevékenységek Felügyeleti Hatósága) és meg kell kezdenie a felkészülést a rendeletben megadott követelményeknek megfelelően.
  • 2024. október 18-tól a védelmi intézkedéseket alkalmazni kell, továbbá a szervezetnél betöltésre kell kerülnie az Információbiztonsági felelősi pozíciónak.
  • 2024. december 31-ig a kialakított védelmi intézkedések kiberbiztonsági auditálására szerződést kell kötni az auditor szervezettel
  • 2025. december 31-ig el kell végezni az auditot

Nyilvántartásba vétel

A kiberbiztonsági tanúsításról és a kiberbiztonsági felügyeletről szóló 2023. évi XXIII. törvény (továbbiakban: Kibertan.tv.) 17. § alapján érintett szervezetnek minősülő szervezetek adataikat nyilvántartásba vétel érdekében kötelesek az SZTFH-nak megküldeni.

A nyilvántartás vezetésének részletes szabályait az érintett szervezetek kiberbiztonsági felügyeleti hatósági nyilvántartásáról szóló 23/2023. SZTFH rendelet tartalmazza.

Az űrlap kitöltésére jogosult: az érintett szervezet cégkapujához meghatalmazással rendelkező természetes személy.

Az űrlap kitöltéséhez kattintson az alábbi linkre:
https://sztfh.hu/ugyintezes/nyomtatvanyok-es-urlapok/sztfh420/

Hazai jogszabályok

A NIS2 rendelet átültetés nélkül érvényes az összes tagállamban, azonban szükséges lehet a tagállami törvények jogharmonizációja. Ezért a hazai jogalkotó az elmúlt időszakban az alábbi jogszabályokat alkotta meg és helyezte hatályba.

  • A kiberbiztonsági tanúsításról és a kiberbiztonsági felügyeletről szóló 2023. évi XXIII. törvény (Kibertan. tv.)
  • A nemzeti kiberbiztonsági tanúsító hatóság eljárásával összefüggő kiberbiztonsági tanúsítás keretében fizetendő igazgatási szolgáltatási díjról szóló 30/2022. (II. 14.) SZTFH rendelet
  • Információs és kommunikációs technológiák kiberbiztonsági tanúsításáról szóló 10/2023. (V. 15.) SZTFH rendelet
  • 23/2023. (XII. 19.) SZTFH rendelet az érintett szervezetek kiberbiztonsági felügyeleti hatósági nyilvántartásáról

Hamarosan az adatbiztonsági osztályba sorolás követelményrendszerrel kapcsolatban kerül jogszabály hatályba helyezésre.

A NIS2 bevezetésének részleteiről és kapcsolódó szolgáltatásainkról folyamatosan tájékoztatjuk partnereinket és érdeklődő olvasóinkat.

Kérje ajánlatunkat!