2023. január 16-án hatályba lépett a NIS2 Irányelv. Az EU tagállamainak 2024. október 17-ig át kell ültetniük a saját jogrendszerükbe. Az elfogadott és kihirdetett hazai rendelkezések pedig kötelező érvényűek a hazai vállalkozások és szervezetek számára.

A NIS irányelv lényege

A NIS (Network and Information Systems) EU belső piaci működésének javítása érdekében létrehozott kiberbiztonsági irányelv. A hálózati és információs rendszerek biztonságának magas szintjét biztosítja egységesen, az EU teljes területén.

A NIS irányelvet 2016. nyarán fogadta el az EU, 2018. tavaszán léptetett hatályba a magyar jogrend. Három szektorban írta elő a digitális szolgáltatást nyújtó vállalkozások regisztrációs és biztonsági eseményekkel kapcsolatos bejelentési kötelezettségét. Ezen szektorok az online piactér, online keresőszolgáltatás és a felhőalapú számítástechnikai szolgáltatás.

Az NBSZ (Nemzetbiztonsági Szakszolgálat), mint eljáró hatóság felügyelete alá tartozik a dokumentáció hozzáférés, helyszíni ellenőrzés – a figyelmeztetés és bírságolás mellett.

NIS2 és főbb újdonságai

Az egyre gyakoribb és kifinomult kibertámadások, a felgyorsult digitalizáció és a zajló háború, számos gyengeségre világított rá az EU-n belül.

A NIS-irányelv modernizálása, valamint szigorúbb szabályok bevezetése elkerülhetetlenné vált a biztonsági követelmények megerősítése, az ellátási láncok biztonságának kezelése valamint a jelentési kötelezettségek terén.

Megfelelő és arányos technikai, szervezési intézkedéseket kell hozni a kockázatok kezelésére. Figyelembe kell venni a technika jelenlegi állását, az intézkedéseknek pedig biztosítaniuk kell a hálózati és információs rendszerek által keltett kockázatnak megfelelő biztonsági szintet.

A NIS2 főbb újdonságai dióhéjban

Kibővített személyi hatály

Az alapvető szolgáltatásokat nyújtók, digitális szolgáltatók, kritikus ágazatokhoz tartozó (fontos és alapvető) szervezeteket és eddig nem érintett új szektorokat is érint.

Ennek megfelelően a NIS2 direktíva részletesen meghatározott, állami és magánkézben lévő közép és nagyvállalatokra vonatkozik. Az irányelv alapján a fontos szervezetek ellenőrzését utólag, míg az alapvető szervezetekét előre végzi el az NBSZ.

Kiemelten kritikus ágazatok (alapvető szerveztek):

Egyéb kritikus ágazat (fontos szervezetek):

• postai és futárszolgáltatások
• hulladékgazdálkodás
• vegyszerek gyártása, előállítása és forgalmazása
• élelmiszer előállítás, feldolgozás, forgalmazás
• gyártás (pl.: számítógépek, elektronikai és optikai termékek, orvostechnikai és diagnosztikai eszközök, gépjárművek, pótkocsik)

Jelentéstételi kötelezettségek és jelentős események

A szervezetek minden jelentős eseményt 24 órán belül kötelesek bejelenteni a biztonsági eseményekre reagáló csoportoknak (CSIRT) vagy a nemzeti hatóságnak.

Egy esemény akkor tekintendő jelentősnek, ha:

• súlyos működési zavart okozott vagy képes okozni a szolgáltatásokban
• pénzügyi veszteséget okozott az érintett szervezetnek
• az esemény jelentős vagyoni vagy nem vagyoni kárt okoz (képes okozni) természetes vagy jogi személyek számára

Kockázatkezelési és kiberbiztonsági intézkedések

A hatály alá tartozó szervezeteknek további kiberbiztonsági kockázattal arányos biztonsági intézkedéseket kell bevezetniük amely kiterjed

• a kockázatelemzési és információbiztonsági szabályzatokra
• üzletmenet folytonosságra
• katasztrófa utáni helyreállításra
• ellátási láncok biztonságának biztosítására
• kiberhigiéniai gyakorlatokra és kiberbiztonsági képzésekre
• titkosításra, kriptográfiai megoldások használatára vonatkozó szabályzatok és eljárások alkalmazására
• HR biztonságra
• hitelesítési megoldásokra
• biztonságos hang-, video- és szöveges kommunikációra
• illetve biztonságos vészhelyzeti kommunikációs rendszerek használatára

Az ügyvezetés többlet-felelőssége

• A fent említett biztonsági intézkedéseket az ügyvezetésnek kell jóváhagynia és azok végrehajtását felügyelnie

• Felelőssé tehető a vezetés, ha az általa vezetett szervezet nem felel meg az előírt követelményeknek.

• Rendszeres kiberbiztonsági oktatáson kell részt vennie, illetve munkavállalóik számára is rendszeresen hasonló képzéseket kell biztosítaniuk.

Szigorodó felügyeleti szabályok

A NIS2 Irányelv alapján az előírások megsértése esetén a fontos és alapvető szervezetekre eltérő szabályok vonatkoznak. Az alapvető szervezetekre irányadó rendelkezések alapján 10.000.000 euró vagy a teljes éves világszintű forgalom 2 %-nak megfelelő bírsággal sújtható. Fontos szervezetek esetén 7.000.000 EUR vagy a vállalkozás előző évi forgalmának 1,4%-ig közigazgatási bírsággal sújthatók.

Nyilvántartás és adatszolgáltatási kötelezettségek

Egyes szervezetek (Pl; DNS szolgáltatók, domain nyilvántartók, felhőszolgáltatók, adatközpont szolgáltatók, online piacterek, keresőprogram szolgáltatók) kötelesek lesznek bizonyos adatokat megadni magukról az illetékes tagállami hatóságnak. Ezen adatszolgáltatással az Európai Uniós Kiberbiztonsági Ügynökség („ENISA”) létrehozza e szervezetek nyilvántartását.

A NIS2 bevezetésének részleteiről és kapcsolódó szolgáltatásainkról folyamatosan tájékoztatjuk partnereinket és érdeklődő olvasóinkat.