A NIS2 egy uniós szintű kiberbiztonsági irányelv, melynek célja, hogy az EU tagállamai egységes, magas szintű érettséget érjenek el a kiberbiztonsági ellenállóképesség fejlesztése érdekében a kritikus szektorokban működő állami és magántulajdonban lévő vállalatoknál. Lényeges kiemelni, hogy az európai uniós direktívákat nem lehet automatikusan alkalmazni minden tagállamban, hanem az egyes országokban külön jogszabályba ültetés szükséges.
A 2023. évi XXIII. törvény a kiberbiztonsági tanúsításról és a kiberbiztonsági felügyeletről (Kibertan. tv.) megalkotása ezen irányelvnek való megfelelést szolgálja a nemzeti jogban. Az új előírásokat az elmúlt években megemelkedett kiberkockázatok hívták életre. Mostanra olyan szintre növekedett a kiberbűnözés mértéke, hogy ha a kiberbűnözés önálló nemzetállam lenne, akkor a világ harmadik legnagyobb gazdasága lehetne.
Kiket érint, és mit kell tenni?
Iparágak szerint két kategóriát különböztet meg a Kibertan. tv.:
A kiemelten kritikus kategóriába tartoznak az energia, szállítás, egészségügy, ivóvíz, szennyvíz, digitális infrastruktúra, IKT-szolgáltatások irányítása (vállalkozások között), közigazgatás, illetve az űripari ágazatokban működő szolgáltatók és vállalatok.
A törvény az egyéb kritikus ágazatok kategóriába sorolja a postai és futárszolgáltatásokat, a hulladékgazdálkodást, a vegyszerek gyártását, előállítását és forgalmazását, az élelmiszer termelését, feldolgozását és forgalmazását, gyártást, a digitális szolgáltatókat, valamint a kutatást.
Amennyiben egy szervezetre vonatkozik a Kibertan tv., akkor 2024. június 30-ig nyilvántartásba szükséges vetetniük magukat az SZTFH-nál, amit cégkapun keresztül is egyszerűen megtehetnek. A következő mérföldkő 2024. október 18-a, ameddig az érintett szervezeteknek be kell vezetni és alkalmazni kell a védelmi intézkedéseket. Emellett legkésőbb december 31-ig auditori szerződést kell kötnie a szervezeteknek egy független külső auditorral, és az auditot 2025 végéig kell lefolytatni.
Fontos tudni, hogy már a regisztráció elmulasztása is hatósági szankciókkal járhat, amely a regisztrációs díj sokszorosa is lehet, ezért nem érdemes halogatni a folyamat megkezdését, mert már az év közepén fontos határidő jön az érintettek számára. A gyakorlatban a szervezeteknek szükséges kijelölniük információbiztonsági felelőst, illetve biztonsági osztályba kell sorolniuk a rendszereiket.
A Kibertan. törvény a hatálya alá tartozó szektorokkal szemben célzott intézkedéseket vár el a kiberbiztonság megerősítésére és az információvédelem javítására. Ezzel csökkenthető a kiberfenyegetések, -támadások és a digitális bűnözés kockázata, valamint minimalizálható a működéskiesés és a támadások által okozott gazdasági és társadalmi kár. Abban az esetben, ha valamely vállalat nem felel meg az előírásoknak, jelentős bírsággal nézhet szembe, és a vállalat vezetői személyes felelősséggel tartoznak a kiberbiztonsági elvárások teljesítéséért.
A kiemelten kritikus szervezetek esetében maximum 10 millió euró, vagy az előző pénzügyi év globális forgalmának 2 százaléka lehet a büntetés. A kritikus szervezetek esetében pedig ez az összeg legfeljebb 7 millió euró, vagy az előző pénzügyi év globális forgalmának 1,4 százaléka. Ezenfelül az elvárások nem teljesítése esetén a kiszabott bírságok újból kiszabhatóak. A pontos hazai büntetési tételek egyelőre nem ismertek részleteiben, ezeket várhatóan miniszteri rendelet szabályozza majd.
A borítókép illusztráció, forrás: Adobe Stock
