A NIS2 direktíva számos követelményt fogalmaz meg az EU-tagállamok kiber- és információbiztonságára vonatkozóan. Magyarországon a „2023. évi XXIII. törvény a kiberbiztonsági tanúsításról és a kiberbiztonsági felügyeletről”, azaz a „Kibertan-törvény” implementálja a direktíva rendelkezéseit, melynek értelmében az érintett vállalatoknak 2024. június 30-ig regisztrálniuk kell magukat a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) által kijelölt online felületen.
A NIS2 többek között egy átfogó kiberbiztonsági kockázatkezelési és kiberincidens-kezelési keretrendszer bevezetését követeli meg azzal a céllal, hogy növelje az EU-n belüli kiberellenállás általános szintjét. Bár a végrehajtási rendelet még nem ismert, az első fontos határidő – június 30. – közeledése szükségessé teszi az rendszer alapjainak meghatározását a hatékony felkészüléshez. Ehhez mindenekelőtt azt kell megállapítani, hogy a rendelet és a vonatkozó magyar jogszabály mennyiben lesz érvényes egy adott vállalat tevékenységére, illetve annak mely területére. Az ezekre vonatkozó kockázatok értékelése és az üzleti hatáselemzés alapján lehet aztán elkészíteni a biztonsági osztályba sorolást, majd elvégezni az eltéréselemzést.
Vállalati checklist: önértékelés és nyilvántartásba vétel június 30-ig
Fontos kiemelni, hogy nem a hatóság fogja meghatározni és értesítést küldeni az egyes vállalatoknak, hogy rájuk vonatkozik-e a NIS2 irányelv. A szervezeteknek olyan kritériumok alapján kell önértékelést készítenie, amelyek ágazati elemeket és méretbeli megfontolásokat egyaránt tartalmaznak. Ezekre vonatkozó részletes leírást a „2023. évi XXIII. törvény a kiberbiztonsági tanúsításról és a kiberbiztonsági felügyeletről”, azaz a „Kibertan-törvény” tartalmaz. A vállalatoknak június 30-ig kell jelezniük érintettségüket a hatóság felé.
A szervezetek képviselői – csak a cégkapuhoz jogosult személyek – az online elérhető SZTFH 420 űrlapot töltik ki, melyet a magyarorszag.hu oldalon vagy az SZTFH honlapján érhetnek el. Az elektronikus dokumentumon a 23/2023. SZTFH-rendelet szerinti adatokat kell megadni, beleértve a vállalat vezetője által kijelölt elektronikus információs rendszerek biztonságáért felelős személyt is. Ő lesz az SZTFH és a vállalat közötti kapcsolattartó, ezt fontos figyelembe venni a kitöltéskor. Továbbá a vállalatoknak bizonyos technikai adatokat (például publikus IP címek, használt domain nevek) és az elektronikus információs rendszerek üzemeltetésében részt vevő külső szervezeteket is fel kell tüntetniük.
Rendszerépítés lépésről-lépésre
A kockázatokkal arányos és hatékony eredmények érdekében érdemes időben elkezdeni a NIS2-re való felkészülést. A közeledő határidő és az érintettséggel járó operatív feladatok nem kis fejtörést okozhatnak a vállalatok számára, ezért szakértői segítség ajánlott a felmerülő nehézségek hatékony kezelésére.
„A NIS2 követelményrendszere nagyban bővíti a korábbi szabályozás hatókörét és pontosítja az elvárásokat is. Több iparágban a megfelelés újdonság lesz a vállalatok számára, az erre történő felkészülés erőforrásigényét gyakran alábecsülik”- hangsúlyozta a szakember..
„A regisztráció is átgondolást igényel (például a felelős személy kijelölésével), de a felkészülés egy egyszerű checklist formájában biztosan nem lesz megvalósítható. Kiemelten fontos a megfelelő hatás- és kockázatelemzés elvégzése, ami alátámasztja az információs rendszerek védelmét. Sokaknak újdonság lehet majd az incidenskezelési szabályok implementálása, vagy a beszállítói lánc kockázatainak kezelése is” – mutatott rá a szakértő.
Az Európai Unió NIS2 irányelvének hatása a vállalatokra és intézményekre
Amit a NIS2-ről tudni kell
- NIS2 (Network and Information Security Directive 2), magyarul Hálózat- és információbiztonsági irányelv 2
- másképp: Irányelv az egész Unióban egységesen magas szintű kiberbiztonságot biztosító intézkedésekről (NIS2 irányelv)
Mit szabályoz a NIS2?
A társadalom digitális átalakulása kibővítette a kiberfenyegetettségi környezetet. Új kihívások jelentek meg, amelyek alkalmazkodó és innovatív válaszokat igényelnek. Erre reagálva az Európai Parlament és az Európai Unió Tanácsa 2022. december 27-én közzétette a NIS2 irányelvet, ami 2023. január 16-án lépett hatályba.
A NIS2 direktíva számos követelményt fogalmaz meg az EU-tagállamok kiber- és információbiztonságára vonatkozóan. Magyarországon a „2023. évi XXIII. törvény a kiberbiztonsági tanúsításról és a kiberbiztonsági felügyeletről” tisztázza a nemzeti kiberbiztonsági tanúsítás és felügyelet alapvető kérdéseit, illetve implementálja az EU-s NIS2 direktíva rendelkezéseit.
Az ellenőrzésért a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) felel.
Hogyan?
A NIS2 irányelv kibővíti a kiberbiztonsági követelményeket és szankciókat a tagállamok biztonsági szintjének harmonizálása és javítása érdekében, illetve szigorúbb követelményeket fogalmaz meg a különböző ágazatokra vonatkozóan. A vállalatoknak és szervezeteknek számos fontos aspektussal kell foglalkozni, ideértve a kiberkockázatok kezelését, ellenőrzését és nyomon követését, az incidensek hatékony kezelését, valamint az üzleti folytonosság biztosítását. Ezen felül az irányelv kiterjeszti a hatálya alá tartozó szervezetek körét, és szigorúbb felelősségi szabályokat ír elő az érintett cégek vezetősége számára.
