A NIS2 magyarul, avagy mit vár el a Kibertanúsítási törvény?
„Október közepétől hatályba lép a NIS2-es uniós irányelv ill. alkalmazandóak a biztonsági követelmények, amelyek mintegy 2500 magyar vállalatot érintenek – hívta fel a figyelmet Szöllősi Zoltán, a Deloitte Kiberbiztonsági Tanácsadási csapat partnere. A törvény által érintett cégeknek érdemes mielőbb végig gondolniuk, hogy milyen előírások vonatkoznak rájuk és hogyan fogják teljesíteni azokat.
A téma fontosságát jelzi, hogy rekordmennyiségű kérdés érkezett a Deloitte és a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) által 2024. február 20-án tartott hibrid eseményén az előadók felé, ahol a résztvevők sok mindent megtudhattak az új törvényről és a várható teendőkről.
De mi az a NIS2?
A NIS2 egy uniós szintű kiberbiztonsági irányelv, melynek célja, hogy az EU tagállamai egységes, magas szintű érettséget érjenek el a kiberbiztonsági ellenállóképesség fejlesztése érdekében a kritikus szektorokban működő állami és magán tulajdonban lévő vállalatoknál.
Lényeges kiemelni, hogy az Európai Uniós direktívákat nem lehet automatikusan alkalmazni minden tagállamban, hanem az egyes országokban külön jogszabályba ültetés szükséges. A 2023. évi XXIII. törvény a kiberbiztonsági tanúsításról és a kiberbiztonsági felügyeletről (Kibertan. tv.) megalkotása ezen irányelvnek való megfelelést szolgálja a nemzeti jogban.
Az új előírásokat az elmúlt években megemelkedett kiberkockázatok hívták életre. Mostanra olyan szintre növekedett a kiberbűnőzés mértéke, hogy „ha a kiberbűnözés önálló nemzetállam lenne, akkor a világ harmadik legnagyobb gazdasága lehetne” – emelte ki Bor Olivér, az SZTFH kiberbiztonsági és kommunikációs szakértője.
Kiket érint és mit kell tenni?
Iparágak szerint két kategóriát különböztet meg a Kibertan. tv.:
- A kiemelten kritikus kategóriába tartoznak az energia, szállítás, egészségügy, ivóvíz, szennyvíz, digitális infrastruktúra, IKT-szolgáltatások irányítása (vállalkozások között), közigazgatás, illetve űripari ágazatokban működő szolgáltatók és vállalatok.
- A törvény az egyéb kritikus ágazatok kategóriába sorolja a postai és futárszolgáltatásokat, hulladékgazdálkodást, vegyszerek gyártását, előállítását és forgalmazását, élelmiszer-termelését, -feldolgozását és -forgalmazását, gyártást, a digitális szolgáltatókat, valamint a kutatást.
Amennyiben egy szervezetre vonatkozik a Kibertan tv., akkor 2024. június 30-ig nyilvántartásba szükséges vetetniük magukat az SZTFH-nál, amit cégkapun keresztül is egyszerűen megtehetnek. A következő mérföldkő 2024. október 18-a, ameddig az érintett szervezeteknek be kell vezetni és alkalmazni kell a védelmi intézkedéseket. Emellett legkésőbb december 31-ig auditori szerződést kell kötnie a szervezeteknek egy független külső auditorral, és az auditot 2025 végéig kell lefolytatni.
„Fontos tudni, hogy már a regisztráció elmulasztása is hatósági szankciókkal járhat, amely a regisztrációs díj sokszorosa is lehet” – hangsúlyozta dr. Bencsik Balázs az SZTFH kiberbiztonsági igazgatója, aki szerint nem érdemes halogatni a folyamat megkezdését, mert már az év közepén fontos határidő jön az érintettek számára.
„A gyakorlatban a szervezeteknek szükséges kijelölniük információbiztonsági felelőst, illetve biztonsági osztályba kell sorolniuk a rendszereiket” – hívta fel a figyelmet Király Anna az SZTFH információbiztonsági szakértője és Agárdy Balázs, a Deloitte információbiztonsági szakértője.
Az Kibertan. törvény hatálya alá tartozó szektorokkal szemben célzott intézkedéseket vár el a kiberbiztonság megerősítésére és az információvédelem javítására. Ezzel csökkenthető a kiberfenyegetések, támadások és a digitális bűnözés kockázata, valamint minimalizálható a működéskiesés és a támadások által okozott gazdasági és társadalmi kár.
Abban az esetben, ha valamely vállalat nem felel meg az előírásoknak, jelentős bírsággal nézhet szembe, és a vállalat vezetői személyes felelősséggel tartoznak a kiberbiztonsági elvárások teljesítéséért. A kiemelten kritikus szervezetek esetében maximum 10 millió euró, vagy az előző pénzügyi év globális forgalmának 2 százaléka lehet a büntetés. A kritikus szervezetek esetében pedig ez az összeg legfeljebb 7 millió euró, vagy az előző pénzügyi év globális forgalmának 1,4 százaléka. Ezen felül az elvárások nem teljesítése esetén a kiszabott bírságok újból kiszabhatóak. A pontos, hazai büntetési tételek egyelőre nem ismertek részleteiben, ezeket várhatóan miniszteri rendelet szabályozza majd.
