A NIS2 egy uniós szintű kiberbiztonsági irányelv, melynek célja, hogy az EU tagállamai egységes, magas szintű érettséget érjenek el a kiberbiztonsági ellenállóképesség fejlesztése érdekében a kritikus szektorokban működő állami és magán tulajdonban lévő vállalatoknál. Lényeges kiemelni, hogy az Európai Uniós direktívákat nem lehet automatikusan alkalmazni minden tagállamban, hanem az egyes országokban külön jogszabályba ültetés szükséges. A 2023. évi XXIII. törvény a kiberbiztonsági tanúsításról és a kiberbiztonsági felügyeletről (Kibertan. tv.) megalkotása ezen irányelvnek való megfelelést szolgálja a nemzeti jogban. Az új előírásokat az elmúlt években megemelkedett kiberkockázatok hívták életre. Mostanra olyan szintre növekedett a kiberbűnőzés mértéke, hogy ha a kiberbűnözés önálló nemzetállam lenne, akkor a világ harmadik legnagyobb gazdasága lehetne.

Kiket érint és mit kell tenni?

Iparágak szerint két kategóriát különböztet meg a Kibertan. tv.: 

• A kiemelten kritikus kategóriába tartoznak az energia, szállítás, egészségügy, ivóvíz, szennyvíz, digitális infrastruktúra, IKT-szolgáltatások irányítása (vállalkozások között), közigazgatás, illetve űripari ágazatokban működő szolgáltatók és vállalatok.
• A törvény az egyéb kritikus ágazatok kategóriába sorolja a postai és futárszolgáltatásokat, hulladékgazdálkodást, vegyszerek gyártását, előállítását és forgalmazását, élelmiszer-termelését, -feldolgozását és -forgalmazását, gyártást, a digitális szolgáltatókat, valamint a kutatást.

Amennyiben egy szervezetre vonatkozik a Kibertan tv., akkor 2024. június 30-ig nyilvántartásba szükséges vetetniük magukat az SZTFH-nál, amit cégkapun keresztül is egyszerűen megtehetnek. A következő mérföldkő 2024. október 18-a, ameddig az érintett szervezeteknek be kell vezetni és alkalmazni kell a védelmi intézkedéseket. Emellett legkésőbb december 31-ig auditori szerződést kell kötnie a szervezeteknek egy független külső auditorral, és az auditot 2025 végéig kell lefolytatni.

Fontos tudni, hogy már a regisztráció elmulasztása is hatósági szankciókkal járhat, amely a regisztrációs díj sokszorosa is lehet, ezért nem érdemes halogatni a folyamat megkezdését, mert már az év közepén fontos határidő jön az érintettek számára. A gyakorlatban a szervezeteknek szükséges kijelölniük információbiztonsági felelőst, illetve biztonsági osztályba kell sorolniuk a rendszereiket.

A Kibertan. törvény hatálya alá tartozó szektorokkal szemben célzott intézkedéseket vár el a kiberbiztonság megerősítésére és az információvédelem javítására. Ezzel csökkenthető a kiberfenyegetések, támadások és a digitális bűnözés kockázata, valamint minimalizálható a működéskiesés és a támadások által okozott gazdasági és társadalmi kár.

Abban az esetben, ha valamely vállalat nem felel meg az előírásoknak, jelentős bírsággal nézhet szembe, és a vállalat vezetői személyes felelősséggel tartoznak a kiberbiztonsági elvárások teljesítéséért. A kiemelten kritikus szervezetek esetében maximum 10 millió euró, vagy az előző pénzügyi év globális forgalmának 2 százaléka lehet a büntetés. A kritikus szervezetek esetében pedig ez az összeg legfeljebb 7 millió euró, vagy az előző pénzügyi év globális forgalmának 1,4 százaléka. Ezen felül az elvárások nem teljesítése esetén a kiszabott bírságok újból kiszabhatóak. A pontos, hazai büntetési tételek egyelőre nem ismertek részleteiben, ezeket várhatóan miniszteri rendelet szabályozza majd.

| Forrás: Deloitte Magyarország | Nyitókép: Adobe Stock