NIS2

Célja:

A NIS2 irányelv célja az EU kiberrezilienciájának növelése, az informatikai rendszerek biztonságának javítása, valamint a kritikus ágazatokban működő szervezetek kibervédelmének megerősítése.

Legfontosabb pontjai:

1. Szélesebb hatály:

Több ágazatot és szervezetet érint, mint az előző NIS irányelv.

Kiemelten kritikus ágazatok:

gyógyszeripar, digitális infrastruktúrák,kihelyezett szolgáltatók,az energia,banki és pénzügyi szolgáltatások, víz, egészségügy,szállítás,közigazgatás, és
a világűr földi támogatói infrastruktúrái.

Kritikus ágazatok:

járműgyártás, élelmiszer előállítás és forgalmazás, hulladékgazdálkodás, postai és futárszolgálatok, elektronikai gyártás (pl: orvostechnikai eszközök, elektronikai- és optikai termékek, villamos berendezések), vegyipari gyártás és forgalmazás, digitális szolgáltatások (pl: onlie piactér, online keresőmotor, közösségimédia-szolgáltatási platform), kutatóhelyek

2. Kötelező kiberbiztonsági intézkedések:

A szervezeteknek megfelelő technikai és szervezési intézkedéseket kell hozniuk, pl.:

• kockázatkezelési gyakorlatok bevezetése,
• incidenskezelés,
• üzletmenet-folytonosság biztosítása,
• ellátási lánc biztonságának kezelése.

3. Incidensjelentési kötelezettség:

Az érintett szervezetek kötelesek a jelentős kiberbiztonsági incidenseket rövid határidőn (pl. 24 órán) belül jelenteni az illetékes hatóságnak.

4. Szigorúbb felügyelet és szankciók:

A hatóságok szélesebb ellenőrzési jogosítványokat kapnak.

A nem teljesítő szervezetek akár több millió eurós bírsággal is sújthatók.

5. Vezetői felelősség:

A szervezetek vezetői (pl. ügyvezetők) személyesen is felelősségre vonhatók a kiberbiztonsági kötelezettségek elmulasztása esetén.

Miért fontos?

A NIS2 irányelv hatékonyabb és egységesebb kiberbiztonsági védelmet biztosít az EU-ban, különösen az egyre gyakoribb és súlyosabb kibertámadások idején. Emellett arra ösztönzi a vállalkozásokat, hogy proaktívan foglalkozzanak a kiberkockázatokkal.

Nyilvántartásba vétel és adatmódosítás

A kiberbiztonsági tanúsításról és a kiberbiztonsági felügyeletről szóló 2023. évi XXIII. törvény (továbbiakban: Kibertan.tv.) 17. § alapján érintett szervezetnek minősülő szervezetek adataikat nyilvántartásba vétel érdekében kötelesek az SZTFH-nak megküldeni. A nyilvántartás vezetésének részletes szabályait az érintett szervezetek kiberbiztonsági felügyeleti hatósági nyilvántartásáról szóló 23/2023. SZTFH rendelet tartalmazza.

Biztonsági osztályba sorolás

A biztonsági osztály meghatározza a konkrét megfelelőségi követelményeket is: minél magasabb az osztály, annál szigorúbb szabályokat kell alkalmazni.

A biztonsági osztályba sorolásról a szervezet vezetője dönt, és felel annak a jogszabályoknak és kockázatoknak való megfelelőségéért, a felhasznált adatok teljességéért és időszerűségéért.

Alap: Alacsony kockázat, nem kritikus szolgáltatás, kis hatás
Jelentős:  Fontos szolgáltatás, jelentős hatás országos vagy ágazati szinten
Magas: Kritikus infrastruktúra, súlyos következmények egy esetleges támadás esetén