A NIS2 irányelv hazai követelményeit a magyar kiberbiztonsági szabályok alapján kell teljesíteni. Az érintett szervezeteknek ma már nem elég tudniuk, hogy kötelezettek: bizonyíthatóan, dokumentáltan kell megfelelniük. Ebben a cikkben végigvesszük, kire vonatkozik a szabályozás, milyen konkrét követelményeket támaszt, milyen határidők kötik, és milyen sorrendben érdemes nekiállni, hogy a felkészülés ne sietős tűzoltás, hanem kézben tartott projekt legyen.
Kire vonatkozik a NIS2?
A NIS2 a kritikus és kiemelten fontos ágazatok közepes és nagy szervezeteire vonatkozik. A besorolás két dimenzió mentén dől el: a tevékenység (ágazat) és a méret (létszám, árbevétel) alapján. Érintett ágazatok többek között:
- energia, közlekedés, bankszektor és pénzügyi piaci infrastruktúra,
- egészségügy, ivóvíz- és szennyvízkezelés,
- digitális infrastruktúra és IKT-szolgáltatás-menedzsment,
- közigazgatás, űripar,
- gyártás, élelmiszer, vegyipar, hulladékgazdálkodás, postai szolgáltatások.
Az ágazati és méretfeltételek mellett mérettől független esetek is vannak. A pénzügyi szervezeteknél a DORA alkalmazását külön kell vizsgálni. A beszállítóktól szerződéses biztonsági követelmények kérhetők, de a beszállítói kapcsolat önmagában nem jelent automatikus törvényi érintettséget. Részletesebben az IBF-kijelölés és érintettség útmutatójában olvashat erről.
Mi a helyzet az első audit határidejével?
Az SZTFH tájékoztatója szerint a 2025. január 1. előtt működő érintett szervezetek első auditjának határideje 2026. június 30. volt. Újonnan érintett szervezeteknél a nyilvántartásba vételhez igazodó szabályok alkalmazandók. Ha a határidő elmúlt, a hiányok rendezését és a következő lépéseket a saját hatósági státusz alapján kell megszervezni.
Mik a NIS2 legfontosabb követelményei?
A NIS2 nem egyetlen technológiát ír elő, hanem egy átfogó, kockázatarányos intézkedéscsomagot. A gyakorlatban a következő pillérekkel kell számolnia:
Kockázatkezelési keretrendszer
Azonosított, értékelt és kezelt kockázatok, dokumentált módszertannal és rendszeres felülvizsgálattal. Ez a teljes megfelelés gerince.
Incidenskezelés és bejelentés
Kidolgozott incidenskezelési folyamat, a súlyos incidensek hatósági bejelentésével a törvényi határidőkön belül (lásd lentebb).
Ellátási lánc biztonsága
A beszállítók és szolgáltatók kockázatainak kezelése: szerződéses biztonsági követelmények és beszállítói átvilágítás révén.
Üzletmenet-folytonosság
BCP/DRP tervek, mentési rend, helyreállítási képesség és rendszeres tesztelés, nem pedig „polcra dolgozó” dokumentáció.
Hozzáférés-kontroll és higiénia
Jogosultságkezelés, többfaktoros hitelesítés, titkosítás, naplózás, alapvető kiberhigiénia és rendszeres munkatársi tudatosságnövelés.
Vezetői felelősség
A felső vezetés személyesen elszámoltatható a megfelelésért, és köteles jóváhagyni és felügyelni a kockázatkezelési intézkedéseket.
Milyen határidők kötnek incidens esetén?
Súlyos incidens esetén a bejelentés lépcsőzetes, szigorú határidőkkel:
| Lépcső | Határidő | Tartalom |
|---|---|---|
| Korai figyelmeztetés | 24 óra | gyanú jelzése, alapinformációk |
| Incidensbejelentés | 72 óra | részletesebb értékelés, hatás |
| Záró jelentés | 1 hónap | teljes elemzés, intézkedések |
A 24 és 72 óra a jelentős incidensről való tudomásszerzéstől, a záró jelentés egy hónapja az incidensbejelentéstől számítandó. A kivételeket és az elhúzódó incidensek rendjét az incidensbejelentési útmutató részletezi.
Felkészülés nélkül ezek a határidők reális kockázatot jelentenek. A felelősök és a folyamat előzetes kijelölése nélkül a 24 óra rendkívül kevés.
Mekkora a tét, ha nem felelünk meg?
A mulasztás hatósági intézkedést és bírságot is eredményezhet. A konkrét jogkövetkezményt a szervezet besorolása, a jogsértés és az alkalmazandó magyar szabályok határozzák meg. A vezetői felügyelet és a követhető intézkedések ezért a megfelelés lényeges részei.
Milyen sorrendben érdemes nekiállni?
A jól strukturált projekt a kockázat csökkentésére és a költség kiszámíthatóságára optimalizál:
- Érintettség és hatókör tisztázása: pontosan mire terjed ki a kötelezettség.
- Gap-analízis: hol állnak ma a kontrollok a NIS2 elvárásaihoz képest.
- Priorizált akcióterv: a legnagyobb kockázatú hiányosságok először.
- Kontrollok kiépítése és dokumentálása: szabályzatok, folyamatok, technológia.
- Belső audit és vezetői jóváhagyás: a megfelelés bizonyítása.
- Folyamatos fenntartás: felülvizsgálat, oktatás, incidens-készültség.
A felkészülés ütemezését a kiinduló hiányosságok és az elérhető erőforrások alapján érdemes meghatározni. Egy projektterv nem hosszabbítja meg a jogszabályi határidőt.
Gyakori hibák, amelyeket érdemes elkerülni
- Túl tág vagy túl szűk hatókör: mindkettő drágít vagy kockázatot hagy.
- Papír-megfelelés: szabályzat, amit a gyakorlat nem követ.
- Elmaradó tesztelés: a BCP/DRP érték nélküli, ha sosem próbálták ki.
- A vezetőség kimaradása: a NIS2 kifejezetten vezetői felelősséget ír elő.
Hogyan segít a zemITis?
A gap-analízistől a sikeres hatósági ellenőrzésig végigvisszük a folyamatot, CISA és CISM minősítésű szakértőkkel, négy-szem-elv alapú minőségbiztosítással. A NIS2 felkészítés oldalon néhány kattintással ár-becslést is kérhet, és díjmentes konzultáción átbeszéljük a következő lépéseket.