Modul 9 · 9.1
A NIS2 és a kiberbiztonsági törvény
Modul 9: Szabályok és szervezet · Olvasási idő: 11 perc
A lecke célja: E lecke után el tudja magyarázni, mit szabályoz a kiberbiztonsági törvény (a NIS2 nemzeti átültetése), kire vonatkozik, és mit jelenthet ez a beszállítói láncon keresztül a kisvállalkozások számára.
Kulcsfogalmak: NIS2, kiberbiztonsági törvény, alapvető és fontos szereplő, ágazat, méret, gondossági kötelezettség, bejelentési kötelezettség (24 óra, 72 óra, 1 hónap), nyilvántartásba vételi kötelezettség, beszállítói lánc, önértékelés
Az európai irányelvtől a nemzeti törvényig
A NIS2 egy 2022-es európai irányelv ((EU) 2022/2555 irányelv), amely a fontos szervezetek digitális ellenálló képességét hivatott növelni az egész EU-ban. Egy irányelv nem közvetlenül alkalmazandó: minden tagállam a saját jogrendjébe ülteti át. Hollandiában ez a Cyberbeveiligingswet (Cbw), azaz a kiberbiztonsági törvény. Ez 2026. augusztus 15-én lépett hatályba, egyidejűleg a kritikus entitások ellenálló képességéről szóló törvénnyel és a kapcsolódó végrehajtási rendelettel, amelyek tovább pontosítják a szabályokat. A korábbi, hálózati és informatikai rendszerek biztonságáról szóló törvényt hatályon kívül helyezték. Átmeneti időszak nincs: aki a hatálya alá tartozik, annak már most meg kell felelnie.
A holland NCSC szerint több mint 8000 szervezet tartozik a törvény hatálya alá. Ez a hollandiai vállalkozások kis hányada. A legtöbb kisvállalkozás számára ezért nem az a legfontosabb kérdés, hogy "nekem mit kell tennem a törvény miatt", hanem az, hogy "mit kérnek tőlem az ügyfeleim, mert ők a törvény hatálya alá tartoznak". Erre később még visszatérünk.
Magyarországon a NIS2 irányelvet a kiberbiztonságról szóló 2024. évi LXIX. törvény ülteti át, a felügyeletet az SZTFH (Szabályozott Tevékenységek Felügyeleti Hatósága) látja el, lásd https://sztfh.hu/.
Ön is érintett? Ágazat és méret
Hogy egy szervezet a törvény hatálya alá tartozik-e, két kérdéstől függ.
1. Olyan ágazatban dolgozik, amelyet a törvény felsorol? A törvénynek két melléklete van.
| 1. melléklet (11 ágazat) | 2. melléklet (7 ágazat) |
|---|---|
| energia, közlekedés, bankszektor, ivóvíz, digitális infrastruktúra, informatikai szolgáltatások kezelése, űrkutatás, pénzügyi piaci infrastruktúra, egészségügy, szennyvíz, közigazgatás | digitális szolgáltatók, postai és futárszolgáltatások, hulladékgazdálkodás, élelmiszerek, vegyi anyagok, kutatás, gyártás (feldolgozóipar) |
Egyes ágazatokra az illetékes minisztérium további feltételeket határoz meg. Nem minden szervezet tartozik tehát automatikusan a hatálya alá, amely valamilyen módon kapcsolódik az "élelmiszerekhez".
2. Elég nagy a szervezete? A szervezete akkor számít bele, ha:
- 50 vagy több munkavállalója (teljes munkaidős egyenértékben) van, vagy
- 50-nél kevesebb munkavállalója van, de a éves árbevétele és mérlegfőösszege egyaránt meghaladja a 10 millió eurót.
A partner és kapcsolt vállalkozások is beleszámítanak. Egy 20 fős vállalkozás, amely egy 200 fős csoport része, így mégis a hatálya alá eshet.
Kivételek: mérettől függetlenül. Néhány szervezettípus mindig a hatálya alá tartozik, bármilyen kicsi is legyen: DNS-szolgáltatók, legfelső szintű domainnyilvántartók, nyilvános elektronikus hírközlő hálózatok és szolgáltatások nyújtói, bizalmi szolgáltatók és közigazgatási szervek. A domainnév-regisztrációs szolgáltatóknak szintén regisztrálniuk kell.
Alapvető vagy fontos
A törvény hatálya alá tartozó szervezetek alapvető vagy fontos szereplők. Nagy vonalakban: az 1. melléklet ágazataiban működő nagy szervezetek és néhány mérettől függetlenül kijelölt típus alapvető szereplő; a többi fontos szereplő. A különbség elsősorban a felügyeletben van: alapvető szereplőknél a felügyeleti hatóság saját kezdeményezésére is ellenőrizhet, például helyszíni vizsgálatokkal és auditokkal; fontos szereplőknél elsősorban utólagosan avatkozik be, ha jelek utalnak arra, hogy valami nincs rendben. Maguk a kötelezettségek nagyrészt megegyeznek. Hogy alapvető vagy fontos szereplő-e, az alábbi önértékeléssel állapítható meg.
Önellenőrzés
A holland Rijksinspectie Digitale Infrastructuur (RDI) ingyenes NIS2-önértékelést kínál itt: https://regelhulpenvoorbedrijven.nl/NIS-2-NL/. Egy sor kérdésre válaszol az ágazatról, a méretről és a szolgáltatásokról, és eredményt kap. Ha bizonytalan, például mert a vállalkozása egy csoport része, vagy több országban is működik, a holland NCSC részletes útmutatót kínál összetett üzleti modellek esetére. Magyarországi vállalkozások az SZTFH tájékoztatóját (https://sztfh.hu/) használhatják a besoroláshoz.
Mit vár el a törvény
Ha a szervezete a hatálya alá tartozik, három kötelezettség vonatkozik rá.
Nyilvántartásba vételi kötelezettség
Be kell jelentkeznie a szereplők nyilvántartásába a holland MijnNCSC rendszerén keresztül. Így a kormányzat tudja, ki tartozik a hatálya alá, és veszélyhelyzet esetén el tudja érni. Magyarországon ez az SZTFH-nál történő regisztrációt jelenti.
Gondossági kötelezettség
El kell készítenie a kockázatelemzést, és ennek alapján megfelelő és arányos intézkedéseket kell hoznia a hálózati és informatikai rendszerei védelme érdekében. A holland NCSC legalább tíz témát sorol fel, amelyekkel ebben a tanfolyamban mind találkozott:
- kockázatelemzés (1.1. és 9.3. lecke);
- incidenskezelés incidensterv alapján (8.1. lecke);
- üzemszünetre való felkészülés: biztonsági mentések, helyreállítási tervek, válságkezelés (6. modul);
- a beszállítói lánc biztonsága, beleértve a beszállítói kockázatokat (7.2. lecke);
- kiberhigiénia és képzés (9.2. lecke);
- a rendszerek biztonságos beszerzése, fejlesztése és karbantartása, beleértve a frissítéseket (5.1. lecke);
- személyzet, hozzáférési szabályzat és az eszközök és szoftverek kezelése (7.1. lecke);
- passkey-k vagy többfaktoros azonosítás és biztonságos kommunikáció (2. modul);
- titkosítási (kriptográfiai) szabályzat;
- annak értékelése, hogy az intézkedések működnek-e, például időszakos tesztekkel (6.3. és 9.3. lecke).
A vezetőség felelős: jóváhagyja az intézkedéseket, és felügyeli a végrehajtásukat. Az európai irányelv szerint a vezetőknek kiberkockázatokról szóló képzésen is részt kell venniük. A kiberbiztonság tehát már nem olyan feladat, amelyet egyszerűen rá lehet bízni az informatikusra.
Bejelentési kötelezettség
A jelentős incidenst a holland NCSC-nél kell bejelenteni, a MijnNCSC rendszerén keresztül. Ez olyan incidens, amely súlyosan zavarja a szolgáltatását, pénzügyi kárt okoz, vagy mások számára jelentős kárt okozhat; a pontos küszöbértékek ágazatonként eltérnek. A határidők attól a pillanattól számítanak, amikor tudomást szerez az incidensről:
| Határidő | Mit kell küldeni |
|---|---|
| 24 órán belül | Korai figyelmeztetés: valószínűleg rosszindulatú-e, van-e határokon átnyúló hatás, ki a kapcsolattartó |
| 72 órán belül | Incidensbejelentés: frissítés a súlyosság és a hatás első felmérésével |
| A bejelentéstől számított 1 hónapon belül | Zárójelentés: mi történt, mi az oka, és milyen intézkedéseket hoztak (ha az incidens tovább tart: állapotjelentés) |
A MijnNCSC rendszerén keresztül tett egyetlen bejelentés eléri mind a CSIRT-et (az incidens kezelésében segítő csapatot), mind a felügyeleti hatóságot. Emellett az irányelv szerint, ha szükséges, tájékoztatnia kell a szolgáltatásai igénybevevőit azokról a jelentős incidensekről, amelyek érinthetik őket.
Kiberbiztonsági törvény szerinti bejelentés és GDPR szerinti bejelentés: két különböző dolog
Ez hasonlít a GDPR adatvédelmi incidensekre vonatkozó bejelentési kötelezettségéhez (8.2. lecke), és a "72 óra" mindkettőben szerepel. Mégis két külön kötelezettségről van szó.
| Kiberbiztonsági törvény | GDPR (adatvédelmi incidens) | |
|---|---|---|
| Kire vonatkozik | A kiberbiztonsági törvény hatálya alá tartozó szervezetekre | Mindenkire, aki személyes adatokat kezel, egyéni vállalkozóra is |
| Miről szól | A szolgáltatást érintő jelentős incidensekről | A személyes adatok biztonságát érintő incidensekről |
| Kinél kell bejelenteni | A holland NCSC-nél, a MijnNCSC-n keresztül | Az adatvédelmi felügyeleti hatóságnál (Magyarországon: NAIH) |
| Határidők | 24 óra, 72 óra, 1 hónap | Indokolatlan késedelem nélkül, lehetőség szerint 72 órán belül |
Egy kiberbiztonsági törvény hatálya alá tartozó szervezetnél bekövetkező zsarolóvírus-támadást, amely során ügyféladatok is kiszivárognak, tehát mindkét helyen be kell jelenteni. És egy kisvállalkozásnak, amely nem tartozik a kiberbiztonsági törvény hatálya alá, igenis van GDPR szerinti bejelentési kötelezettsége, ha személyes adatok szivárognak ki.
Ha Ön nem tartozik a hatálya alá: a beszállítói lánc
E tanfolyam legtöbb olvasója számára az első kérdésre a válasz: nem, az én vállalkozásom nem tartozik a kiberbiztonsági törvény hatálya alá. A tizenkét fős pékség, az ötfős könyvelőiroda, az egyedül dolgozó weboldalkészítő. Ilyenkor nincsenek a törvényből eredő jogi kötelezettségei: nincs regisztráció, nincs bejelentési kötelezettség a felügyeleti hatóságnál, nincs felügyelet.
A törvény azonban elérheti Önt az ügyfelein keresztül. A kiberbiztonsági törvény hatálya alá tartozó szervezeteknek biztosítaniuk kell a beszállítói láncuk biztonságát: figyelembe kell venniük közvetlen beszállítóik és szolgáltatóik sebezhetőségeit. A holland NCSC azt írja, hogy a törvény magára a beszállítóra nem ró közvetlen kötelezettségeket, de a kiberbiztonsági törvény hatálya alá tartozó szervezetek igenis követelményeket támaszthatnak beszállítóik digitális biztonságával szemben. Ezek a követelmények aztán a szerződésben vagy egy kérdőívben jelennek meg.
Egy példa. Egy hatfős kis informatikai cég kezeli egy 140 fős középvállalkozás, egy fuvarozó cég laptopjait és hálózatát. A fuvarozó cég a kiberbiztonsági törvény hatálya alá tartozik (közlekedési ágazat, elég nagy). Maga az informatikai cég nem: az "informatikai szolgáltatások kezelése" szerepel ugyan az 1. mellékletben, de a cég túl kicsi ehhez. Mégis kap egy kérdőívet: van-e kétlépcsős azonosítás a kezelőeszközökön, ki fér hozzá a rendszereinkhez, milyen gyorsan jelentik be nekünk az incidenst, hol vannak a biztonsági mentések?
Amit a holland NCSC ezzel kapcsolatban mond, és hogy ez mit jelent Önnek:
- A követelményeknek megfelelőnek kell lenniük. Egy ügyfélnek azt a kockázatot kell néznie, amelyet az Ön szolgáltatása jelent számára. Egy olyan beszállító, amely hozzáfér a rendszerekhez, szigorúbb követelményeket kap, mint az, aki az ebédet szállítja.
- A közvetlen beszállítókról van szó. Az Ön beszállítóinak beszállítói kívül esnek a törvény hatályán.
- Egy tanúsítvány nem kötelező. A kiberbiztonsági törvény nem ír elő tanúsítást. Egy tanúsítvány megkönnyítheti a beszélgetést, de nem garancia és nem is törvényi követelmény.
- Kezdje korán a beszélgetést. Mérje fel, milyen intézkedései vannak már azokon a pontokon, ahol kapcsolatba kerül az ügyféllel, és rögzítse a megállapodásokat.
Ne nagyítsa fel tehát a dolgot. A kiberbiztonsági törvény egy kisvállalkozást nem tesz "NIS2 hatálya alá tartozó" szervezetté, és egy tanácsadó, aki ezt mondja Önnek, hogy egy drága tanúsítást adjon el, csak a történet egy részét mondja el. De ne becsülje alá sem: aki nagyobb szervezeteknek szállít, annak egyre gyakrabban kell tudnia igazolni, hogy az alapok rendben vannak. Az e tanfolyamban szereplő alapvető intézkedések pontosan azok, amelyeket egy ilyen kérdőív rendszerint kér.
Ez a lecke általános tájékoztatást nyújt, és nem minősül jogi tanácsnak. Az aktuális szabályokért nézze meg a holland NCSC oldalát: https://www.ncsc.nl/cyberbeveiligingswet-nis2, és a törvényszöveget itt: https://wetten.overheid.nl/BWBR0052872/2026-08-15/0. Magyarországon az SZTFH (https://sztfh.hu/) nyújt tájékoztatást a kiberbiztonságról szóló 2024. évi LXIX. törvényről.
Összefoglalás
- A kiberbiztonsági törvény a NIS2 holland átültetése, és 2026. augusztus 15-én lépett hatályba, átmeneti időszak nélkül. Magyarországon a NIS2-t a kiberbiztonságról szóló 2024. évi LXIX. törvény ülteti át, amely 2025. január 1-jén lépett hatályba.
- Ön akkor tartozik a hatálya alá, ha az 1. vagy 2. mellékletben szereplő ágazatban dolgozik, és 50 vagy több munkavállalója van, vagy az éves árbevétele és mérlegfőösszege egyaránt meghaladja a 10 millió eurót; egyes típusok (például DNS-szolgáltatók és közigazgatási szervek) mérettől függetlenül a hatálya alá tartoznak.
- Kötelezettségek: regisztráció a nyilvántartásba (Hollandiában a MijnNCSC-nél, Magyarországon az SZTFH-nál), gondossági kötelezettség kockázatelemzéssel és megfelelő intézkedésekkel a vezetőség felelőssége mellett, valamint a jelentős incidensek bejelentése 24 órán, 72 órán és 1 hónapon belül.
- A kiberbiztonsági törvény szerinti bejelentés a felügyeleti hatóságnál független a GDPR szerinti adatvédelmi incidens bejelentésétől az adatvédelmi felügyeleti hatóságnál (Magyarországon a NAIH-nál); néha mindkettőre szükség van.
- Egy kisvállalkozás önmagában általában nem tartozik a hatálya alá, de a hatálya alá tartozó ügyfelein keresztül megfelelő biztonsági követelményeket kaphat.
Kvíz
Feladat
A9.1 feladat: A kiberbiztonsági törvény hatálya alá tartozik-e? Hat rövid leírást kap szervezetekről (ágazat, munkavállalók száma, árbevétel, mérlegfőösszeg, esetleg egy csoport vagy egy nagy ügyfél). Határozza meg szervezetenként: a hatálya alá tartozik, nem tartozik a hatálya alá, de valószínűleg egy ügyfélen keresztül kap követelményeket, vagy egyáltalán nem érintett. A program ellenőrzi, és szervezetenként megmutatja a döntési fa lépéseit.
További olvasnivaló
A kiberbiztonsági törvényről még nincs cikk a WebOké tudásbázisában; használja a hivatalos forrásokat.
- Holland NCSC, Kiberbiztonsági törvény (NIS2): https://www.ncsc.nl/cyberbeveiligingswet-nis2
- Holland NCSC, A szervezetem a kiberbiztonsági törvény hatálya alá tartozik-e?: https://www.ncsc.nl/cyberbeveiligingswet-nis2/valt-mijn-organisatie-onder-de-cyberbeveiligingswet-nis2
- Holland NCSC, Gondossági kötelezettség: https://www.ncsc.nl/cyberbeveiligingswet-nis2/zorgplicht
- Holland NCSC, Bejelentési kötelezettség: https://www.ncsc.nl/cyberbeveiligingswet-nis2/meldplicht
- Holland NCSC, A kiberbiztonsági törvény és a beszállítók: https://www.ncsc.nl/cyberbeveiligingswet-nis2/de-cyberbeveiligingswet-en-toeleveranciers
- RDI, NIS2-önértékelés: https://regelhulpenvoorbedrijven.nl/NIS-2-NL/
- A kiberbiztonsági törvény szövege: https://sztfh.hu/