Készüljön fel időben, hogy megfeleljen az új kiberbiztonsági előírásoknak!
NIS2: Az EU Egységes Kiberbiztonsági Szabályozása
A NIS2 (Network and Information Security Directive 2) irányelv az Európai Unió legújabb lépése a kiberbiztonság növelésének érdekében. Az irányelv egységes szabályokat határoz meg, amelyeket a tagállamoknak kell követniük, különös tekintettel a kiemelt ágazatokra. Magyarországon a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) felelős az irányelv végrehajtásának felügyeletéért, a 2023. évi XXIII Kibertan. törvény által létrehozott kiberbiztonsági tanúsítási rendszer keretében. A törvény várhatóan 2024. október 18-ig lép hatályba.
Mely ágazatokra vonatkozik a NIS2 irányelv?
A NIS2 irányelv két fő kategóriába sorolja az ágazatokat: kiemelten kockázatos és kockázatos ágazatok.
Kiemelten kockázatos ágazatok:
- Energetika
- Közlekedés
- Egészségügy
- Ivóvíz és szennyvíz
- Hírközlési szolgáltatások
- Digitális infrastruktúra
- Kihelyezett IKT szolgáltatások
- Űralapú szolgáltatások
Kockázatos ágazatok:
- Postai és futárszolgálatok
- Élelmiszer előállítása, feldolgozása és forgalmazása
- Hulladékgazdálkodás
- Vegyszerek előállítása és forgalmazása
- Gyártás
- Digitális szolgáltatók
- Kutatás
Az érintett ágazatokon belül kikre vonatkozik a NIS2?
A NIS2 irányelv azon vállalatokra vonatkozik, amelyek:
- nettó árbevételük vagy mérlegfőösszegük meghaladja a 10 millió eurót, vagy
- 50 főnél több alkalmazottal rendelkeznek.
Fontos megjegyezni, hogy a NIS2 irányelv hatálya alá tartozó vállalkozások csak olyan cégekkel tarthatnak fenn üzleti kapcsolatot, amelyek szintén megfelelnek a NIS2 követelményeinek.
Felügyeleti hatóságok
A NIS2 irányelv végrehajtását két fő hatóság felügyeli:
- Piaci szektorban: Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH)
- Állami szektorban: Nemzeti Kibervédelmi Intézet (NKI)
Határidők
A NIS2 irányelv végrehajtásának fontos határidői:
- 2024.06.30: Önazonosítás/Nyilvántartásba vétel
- 2024.10.18: Védelmi intézkedések alkalmazása és felügyeleti díj befizetése
- 2024.12.31: Szerződéskötés az auditorral
- 2025.12.31: Első kiberbiztonsági audit lefolytatása
A NIS2 irányelv által elvárt kiberbiztonsági intézkedések
A NIS2 irányelv célja, hogy javítsa az EU-ban az információs rendszerek és hálózatok ellenálló képességét és biztonságát. Az irányelv számos kiberbiztonsági intézkedést követel meg:
1. Kockázatkezelés és biztonsági intézkedések:
- Rendszeres kockázatelemzés és megfelelő biztonsági intézkedések bevezetése.
- Hozzáférés-ellenőrzés, adatvédelem, sérülékenységek kezelése, hálózatok biztonságának fenntartása.
2. Incidenskezelés:
- Incidenskezelési tervek kidolgozása, amelyek részletesen tartalmazzák az incidensek azonosítására, kezelésére és jelentésére vonatkozó eljárásokat.
- Gyors és hatékony válaszlépések az incidensek súlyosságának megfelelően.
3. Jelentéstétel:
- Jelentős incidensekről értesíteni kell a nemzeti illetékes hatóságokat.
- Az incidensjelentéseknek tartalmazniuk kell a releváns részleteket, beleértve az incidens hatását és a megtett válaszlépéseket.
4. Együttműködés és információmegosztás:
- Szervezetek közötti együttműködés és releváns kiberbiztonsági információk megosztása.
- Közös fenyegetés- és sérülékenységkezelés.
5. Képzés és tudatosság:
- Kiberbiztonsági képzések biztosítása a munkavállalók számára, hogy tisztában legyenek a releváns kockázatokkal és eljárásokkal.
- Rendszeres oktatási programok és gyakorlatok szervezése.
6. Biztonsági architektúra és hálózati biztonság:
- Megfelelő biztonsági architektúra bevezetése és karbantartása, beleértve a hálózatok szegmentálását és tűzfalak használatát.
- Rendszeres eszköz- és rendszerfrissítések és javítások.
7. Üzletmenet-folytonosság és válságkezelés:
- Üzletmenet-folytonossági tervek kidolgozása, amelyek biztosítják a szolgáltatások folyamatosságát incidens esetén.
- Válságkezelési tervek, amelyek tartalmazzák a katasztrófa utáni helyreállítási eljárásokat.
Zárszó
A NIS2 irányelv célja, hogy az EU-ban működő szervezetek hatékonyabban tudják kezelni a kiberfenyegetéseket, és biztosítsák az információs rendszereik és hálózataik biztonságát. Az irányelv betartása nemcsak jogi kötelezettség, hanem hosszú távon is előnyös, mivel növeli a szervezetek ellenálló képességét és biztonságát a kibertérben.