NIS2 irányelv 2025 – Amit most érdemes tudni

Az NIS2 irányelv 2023. január 16-án lépett hatályba az Európai Unióban, a tagállamoknak pedig 2024. október 17-ig kellett azt nemzeti jogrendjükbe átültetniük.
‍

Magyarországon a jogharmonizáció 2024 végén lezárult: a 2024. évi LXIX. törvény (Kiberbiztonsági szabályozás) és a hozzá kapcsolódó 418/2024. (XII. 23.) kormányrendelet hatályba lépett 2025. január 1-jén, meghatározva a hazai kiberbiztonsági megfelelési kereteket.
‍

Az új szabályozás jelentősen szigorítja a kiberbiztonsági követelményeket, kibővíti az érintett szervezetek körét, és komolyabb beszámolási, illetve megfelelési kötelezettségeket vezet be.
‍
‍

Kiket érint Magyarországon?
‍

Az NIS2 irányelv alapján az alábbi szektorok szervezetei tartoznak a szabályozás hatálya alá:
‍

• Létfontosságú szervezetek (Essential entities): energia szolgáltatók, közlekedés, bankszektor, pénzügyi infrastruktúrák, egészségügy, ivó- és szennyvízszolgáltatás, digitális infrastruktúra (például internetszolgáltatók, DNS, TLD regisztrátorok), ICT szolgáltatásmenedzsment (felhőszolgáltatások, adatközpontok), államigazgatási szervek, valamint az űripar.
  
  
• Fontos szervezetek (Important entities): postai szolgáltatók, hulladékgazdálkodás, vegyipar, élelmiszeripar, kritikus termékek (például gyógyszerek, orvostechnikai eszközök) gyártói, valamint nagyobb digitális szolgáltatók (online piacterek, keresőmotorok, közösségi platformok).
  
  

Emellett a magyar szabályozás kiterjed azokra a szervezetekre is, amelyek 20 000 fő feletti ügyfélkört szolgálnak ki kritikus szektorban, vagy legalább 5 érintett szervezetnek nyújtanak szolgáltatást.
‍
‍

Főbb követelmények Magyarországon
‍

Nézzük meg, hogy az alábbi területekre hogyan hat a NIS2 szabályozás.
‍

Irányítás és felelősség

A szervezet vezetése közvetlen felelősséggel tartozik a megfelelésért, súlyos mulasztás esetén személyes vezetői felelősség is felmerülhet.
‍

Kockázatkezelési intézkedések

Kötelező átfogó kiberbiztonsági szabályzatok kialakítása, ideértve a beszállítói lánc biztonságát, incidenskezelési tervet, hozzáférés-kezelési szabályokat és rendszeres sérülékenység-vizsgálatokat.
‍

Biztonsági osztályozás

A 7/2024. (VI. 24.) MK rendelet alapján kötelező a rendszerek osztályba sorolása (alap, jelentős, magas) és az osztálynak megfelelő védelmi intézkedések bevezetése.
‍

Incidensjelentés

Jelentős incidens esetén 24 órán belüli előzetes bejelentés az SZTFH felé, 72 órán belül részletes jelentés, 1 hónapon belül pedig zárójelentés szükséges.
‍

Audit és megfelelőség

- A 2024-ben regisztrált szervezeteknek 2025. december 31-ig kell elvégezniük az első külső kiberbiztonsági auditot (kétévente ismételve azt).

- Az újonnan regisztráló szervezeteknek a hatósági határozat kézhezvételét követő 120 napon belül szükséges auditálniuk magukat.
‍

Szankciók

Akár €10 millió vagy a globális árbevétel 2%-ának megfelelő bírság is kiszabható, attól függően, melyik magasabb.
‍

Beszállítói lánc biztonsága

Kötelező biztosítani, hogy a beszállítók és harmadik félként résztvevő szolgáltatók is megfeleljenek a NIS2 követelményeinek (szerződéses feltételek, beszállítói auditok).

‍
‍

Fontos határidők Magyarországon

‍

2024. június 30. Regisztráció az SZTFH-nál

2024. június 24. Biztonsági osztályba sorolás és intézkedések bevezetése

2025. január 1. Kiberbiztonsági törvény hatályba lépése

2025. január 31. SZTFH rendeletek kihirdetése a felügyeleti díjakról és auditokról

2025. december 31. Első audit elvégzése a korábban regisztrált szervezeteknek

120 nap a regisztrációtól számítva Audit kötelezettség új regisztrálók esetén

‍
‍

Mit érdemes most tenni?
‍

1. Ellenőrizze, hogy szervezete regisztrálva van-e az SZTFH-nál, és megfelel-e az osztályozási követelményeknek.
   
   
2. Végezze el a rendszerek biztonsági osztályba sorolását és a szükséges védelmi intézkedések kialakítását.
   
   
3. Készítsen gap elemzést a jelenlegi kiberbiztonsági helyzet felmérésére az NIS2 követelményeihez képest.
   
   
4. Dolgozza ki vagy frissítse az incidenskezelési, beszállítói lánc menedzsment és üzletmenet-folytonossági szabályzatait.
   
   
5. Szervezzen vezetői képzéseket a felelősségi körök és kockázatok tisztázása érdekében.
   
   
6. Készüljön fel az éves felügyeleti díjra és auditköltségre, és válasszon akkreditált auditpartnert a határidők teljesítéséhez.
   ‍
   
   
   

Összegzés
‍

Az NIS2 nem csupán egy újabb megfelelési követelmény, hanem szervezeti szintű stratégiai kiberbiztonsági szemléletváltást igényel. Az időben megkezdett felkészülés kulcsfontosságú a bírságok, valamint az üzleti és reputációs kockázatok elkerülése érdekében.
‍

A ViVeTech megoldásai

‍

A ViVeTech kiberbiztonsági szakértőként támogatja partnereit az NIS2 megfelelésre való felkészülésben, beleértve a megfelelőségi auditokat, testreszabott kockázatkezelési keretrendszerek kialakítását, valamint incidenskezelési és menedzselt biztonsági szolgáltatásokat. Kérdés esetén kollégáink készséggel állnak rendelkezésére.
‍
‍