Gábor Vadász
Digital | Chief Technology Officer
2016-ban az Európai Unió első általános kiberbiztonsági szabályozásaként a NIS irányelv célja az volt, hogy növelje az EU hálózati és információs rendszereinek ellenálló képességét a kiberfenyegetésekkel szemben. Bár annak idején ez a szabályozás sikeres volt, a digitális átalakulás és a *COVID-19 válság új kihívásokat és fenyegetéseket teremtett, amelynek következtében a Bizottság több hiányosságot is azonosított, mint például:
A digitálisan összekapcsolt világ egyre növekvő kockázataira reagálva a Bizottság 2020 decemberében javasolt egy sor felülvizsgált és hosszú távú új szabályozást, amelyek célja az EU-n belüli kiberreziliencia megerősítése és egységes szintre emelése volt. Ennek keretében szükséges volt a 2016. évi NIS irányelvet is felülvizsgálni, melynek következtében kidolgozásra került a NIS2 (Network and Information Security (NIS) Directive 2) irányelv, melyet jelen formájában 2022 novemberének végén hivatalosan is elfogadták.
* Hogyan befolyásolta a Covid19-válság az új irányelvet?
A COVID-19 járvány hatására az európai gazdaság egyre inkább függ a digitális technológiáktól, ami minden eddiginél nagyobb fokú egymásrautaltságot eredményezett a tagállamok és az ágazatok között. Ennek következtében a kiberfenyegetések száma és komplexitása is nőtt, ami azt jelenti, hogy egyetlen zavar a láncban kiterjedt következményeket vonhat maga után az egész belső piacon.
Nemzeti kiberbiztonsági stratégia kialakítása
Információmegosztás a számítógép-biztonsági és incidenskezelő csoportokon (CSIRT-ek) keresztül
A kiemelten kritikus és kritikus ágazati lista kibővítése és teljes ellátási láncra való kiterjesztése, valamint az egységes alanyi hatály bevezetése
Incidenskezelés
Sérülékenységek kezelése és nyilvánosságra hozatala
Ellátási lánc
Rendszeres biztonságtudatossági képzések
Üzletmenet folytonossági intézkedések
Biztonsági szempontok érvényesítése
Kriptográfiai technológiák, mint például az adattitkosítás használata
Az előbbiek közül kritikus pont lehet az incidenskezelés bejelentési kötelezettséggel járó része.
Az új irányelv által javasolt bejelentési eljárásban a vállalkozásoknak 24 órán belül egy előzetes jelentést kell tenniük, ha tudomást szereznek egy biztonsági eseményről. Ezt követően, az észleléstől számított 72 órán belül egy részletesebb jelentést kell tenni, illetve az esemény teljes körű kiértékelését egy hónapon belül kell befejezni.
Az eddigi szabályozás értékelése rámutatott arra, hogy a tagállamok eltérő módon alkalmazzák a biztonsági események bejelentésére vonatkozó szabályokat, ami extra terhet róhat azokra a vállalatokra, amelyek egynél több tagállamban működnek.
Ezek a változtatások segítenek egységesíteni az események bejelentésére vonatkozó folyamatokat az EU egészében, csökkentve ezzel a több országban működő vállalatokra háruló adminisztratív terhet, valamint lehetővé teszik a hatékonyabb kockázatkezelést és incidensmegelőzést.
Auditori és üzemeltetői tapasztalatunk alapján, ez a lehet a legnagyobb kihívást tartogató elem. A 24 órán belüli bejelentési kötelezettség jelentős felkészültséget és rendelkezésre állást igényel majd a vállalatok részéről, hiszen egy biztonsági incidens esetén elsőként sosem a bejelentésre gondolunk.
Magyarországon a 2023. évi XXIII. törvény a kiberbiztonsági tanúsításról és a kiberbiztonsági felügyeletről (Kibertan tv.) valamint a 2013. évi L. törvény az állami és önkormányzati szervek elektronikus információbiztonságáról (IBTV) keretében kerül átültetésre az irányelv.
A fenti jogszabályokhoz kapcsolódó részletszabályok még kidolgozás alatt vannak, melynek keretében az Ibtv.-hez kapcsolódó végrehajtási rendeletek ( például a 41/2015. BM rendelet) felülvizsgálatára is sor kerül.
Felügyeleti, hatósági hatáskörrel az SZTFH Szabályozott Tevékenységek Felügyeleti Hatósága, valamint a Nemzetbiztonsági Szakszolgálat Nemzeti Kibervédelmi Intézete rendelkezik majd. Az irányelv hatálya alá tartozó szervezeteknek pedig a Nemzetbiztonsági Szakszolgálat Nemzeti Kibervédelmi Intézetén belül található eseménykezelő központnak (CSIRT) kell bejelentenie a jelenős incidenseit és kiberfenyegetéseit.
Az irányelv EU-s szinten megszabja az, illetékes hatóságok alapvető eszközeinek listáját beleértve rendszeres és célzott ellenőrzéseket, helyszíni vizsgálatokat, valamint információk és dokumentációk bekérését.
A szankciók között szerepelnek kötelező utasítások, biztonsági ajánlások végrehajtása és bírságok.
Az alapvető szervezetek esetében legalább 10 millió EUR vagy az éves globális forgalom 2%-a, a fontos szervezetek esetében pedig legalább 7 millió EUR vagy a forgalom 1,4%-a lesz a minimum szankció.
Az illetékes hatóságoknak figyelembe kell venniük a jogsértés jellegét, súlyosságát, időtartamát és az okozott károkat, valamint az esetleges szándékosságot vagy gondatlanságot. Az új szabályozás rendelkezik a felsővezetők felelősségre vonásáról is, ha a szervezeten belül nem veszik komolyan a kiberbiztonsági előírásokat.
2024. január 1. – június 30. között
2024. december 31-ig
2024. október 18-tól
2025. december 31-ig
Gábor Vadász