Mi a NIS2? 

A NIS2 egy Európai Uniós szintű kiberbiztonsági irányelv (2022/2555), amely meghatározza a kritikus szektorokban működő és szolgáltatásokat nyújtó szervezetek számára azokat a digitális biztonsági szabályokat, amelyeknek meg kell felelniük ennek érdekében.

Bár mindenhol a NIS2 Irányelvnek való megfelelésről lehet olvasni, maga a NIS2 Irányelv nem alkalmazandó közvetlenül az EU tagállamaiban, így Magyarországon sem, viszont az Irányelv rendelkezéseit a tagállamok kötelesek beépíteni a saját nemzeti jogrendszerükbe.

Magyarországon ezt valósította meg a 2024. december 31. napjával hatályát vesztett ún. Kibertan törvény (2023. évi XXIII. törvény a kiberbiztonsági tanúsításról és a kiberbiztonsági felügyeletről) , és az annak helyébe lépő, jelenleg hatályos Kiberbiztonsági törvény. (2024. évi LXIX törvény Magyarország kiberbiztonságáról)

Tekintettel arra, hogy Ügyfeleim alapvetően a KKV szektorba tartoznak, az alábbiakban kizárólag a KKV-kat érintő fontosabb törvényi rendelkezéseket ismertetem.

Kik tartoznak a Kiberbiztonsági törvény hatálya alá?

Erre a kérdésre az érintett szervezet mérete és/vagy az általa végzett tevékenység alapján adható meg a válasz.

A Kiberbizonsági törvény 2. és 3. számú melléklete két kategóriába sorolja a törvény hatálya alá tartozó iparágakat:

• Kiemelten kockázatos ágazatokban működő szolgáltatók és szervezetek:

Ide tartoznak az energia, szállítás, egészségügy, ivóvíz, szennyvíz, hírközlési szolgáltatás, digitális infrastruktúra, kihelyezett IKT-szolgáltatások (vállalkozások között), űralapú szolgáltatások.

• Kockázatos ágazatokban működő szolgáltatók és szervezetek

Ide tartoznak a postai és futárszolgáltatások; a hulladékgazdálkodás; a vegyszerek gyártása, előállítása és forgalmazása; az élelmiszertermelés, -feldolgozás, és -forgalmazás; meghatározott termékek gyártása; a digitális szolgáltatók; és a kutatás.

Önmagában a szervezet tevékenységi köre (TEÁOR szerinti besorolás) alapján nem lehet eldönteni, hogy az adott szervezet releváns tevékenységének beazonosításához, mert meg kell vizsgálni a törvény mellékletében hivatkozott ágazati jogszabályok tartalmát.

A törvény hatálya azokra a 2. és 3. melléklet szerinti szervezetekre terjed ki, amelyek középvállalkozásnak vagy nagyvállalkozásnak minősülnek a kis- és középvállalkozásokról, fejlődésük támogatásáról szóló törvény szerint.

Fontos, hogy a besorolás változásához a küszöbértékektől két egymást követő számviteli időszakban, illetve bevallási időszakban kell elmaradni vagy túllépni azokat, és a kapcsolt vállalkozások adatait is hozzá kell számítani az érintett szervezet adataihoz.

Az alábbi szervezetek cégmérettől függetlenül (azaz a mikro-, és kivállalkozások is) a Kiberbiztonsági törvény hatálya alá tartoznak:

1. a) elektronikus hírközlési szolgáltató,
2. b) bizalmi szolgáltató,
3. c) DNS-szolgáltató,
4. d) legfelső szintű doménnév-nyilvántartó vagy
5. e) doménnév-regisztrációt végző szolgáltató, valamint
6. f) a honvédelmi érdekhez kapcsolódó tevékenységet folytató gazdasági társaságokra.

DE: a mikrovállalkozásnak minősülő hírközlési szolgáltatók nem kötelesek a kiberbiztonsági audit elvégeztetésére, ami nem jelenti azt, hogy ne kellene megfelelniük a Kiberbiztonsági törvényben és a kapcsolódó rendeletekben meghatározott előírásoknak, hiszen kizárólag a biztonsági megfelelés bizonyítására szolgáló kötelező audit alól mentesíti őket a törvény.

A fentieken túlmenően azok a szervezetek is a Kiberbiztonsági törvény hatálya alá tartoznak, amelyek egyébként nem tartoznának a törvény hatálya alá, de a nemzeti kiberbiztonsági hatóság vagy a honvédelmi kiberbiztonsági hatóság alapvető vagy fontos szervezetnek minősíti.

Néhány példa a törvényből, hogy mely szervezetek esetében kerülhet sor a minősítésre:

• ha legalább 20000 személynek nyújt a 2. és 3. mellékletben foglalt ágazatok szerinti, vagy az állam működéséhez szükséges szolgáltatásokat;
• ha legalább öt, a Kiberbiztonsági törvény hatálya alá tartozó szervezetnek nyújt szolgáltatásokat;
• ha alapvető vagy fontos szervezet számára adatkezelést végez;
• ha költségvetési és európai uniós forrásból támogatott projektek keretében fejleszt elektronikus információs rendszert