A NIS2 irányelv és a Kiberbiztonsági törvény: vajon a vállalkozásomra is vonatkozik?
2026. augusztus 15. óta Hollandiában hatályos a Cyberbeveiligingswet (kiberbiztonsági törvény). Előfordulhat, hogy az NIS2 kifejezést már hallotta egy ügyféltől, egy beszállítótól vagy egy tanácsadótól. Ebben a cikkben röviden olvashat arról, mi ez a törvény, kikre vonatkozik, és mit jelent egy olyan kisvállalkozás számára, amely maga nem tartozik a hatálya alá.
Ez a cikk általános tájékoztatást nyújt, és nem minősül jogi tanácsadásnak. A hatályos szabályokat az NCSC honlapján és a törvény szövegében találja meg.
Mi ez?
Az NIS2 egy 2022-es európai irányelv ((EU) 2022/2555 irányelv), amelynek célja, hogy a fontos ágazatokban működő szervezetek digitálisan ellenállóbbá váljanak. Minden ország saját törvényben ülteti át az irányelvet. Hollandiában ez a Cyberbeveiligingswet (Cbw). A törvény 2026. augusztus 15. óta hatályos, átmeneti időszak nélkül, és felváltja a korábbi Wet beveiliging netwerk- en informatiesystemen (Wbni) törvényt. Az NCSC szerint több mint 8000 szervezet tartozik a hatálya alá. Az NCSC a kapcsolattartó szerv.
Vállalkozásom a törvény hatálya alá tartozik?
Ez két kérdéstől függ: az ágazattól és a vállalkozás méretétől.
1. A törvényben felsorolt ágazatban tevékenykedik?
| 1. melléklet | 2. melléklet |
|---|---|
| Energia, közlekedés, bankszektor, pénzügyi piaci infrastruktúra, egészségügy, ivóvíz, szennyvíz, digitális infrastruktúra, IKT-szolgáltatások kezelése, közigazgatás, űrkutatás | Postai és futárszolgáltatások, hulladékgazdálkodás, vegyi anyagok, élelmiszerek, gyártás (feldolgozóipar), digitális szolgáltatók, kutatás |
Egyes ágazatok esetében további feltételek érvényesek. Így nem minden élelmiszerrel foglalkozó vállalkozás tartozik automatikusan a hatálya alá.
2. Elég nagy a vállalkozása? Röviden összefoglalva a közepes és nagy szervezetek tartoznak a hatálya alá. Akkor számít ide, ha:
- 50 vagy több munkavállalója (teljes munkaidős egyenértékben, FTE) van, vagy
- kevesebb mint 50 munkavállalója van, de az éves árbevétele és a mérlegfőösszege is meghaladja a 10 millió eurót.
A partnervállalkozások és a kapcsolt vállalkozások is beleszámítanak. Egy 20 fős vállalkozás, amely egy 200 fős csoporthoz tartozik, így mégis a hatálya alá eshet.
Kivételek, mérettől függetlenül. Néhány szervezettípus mindig a hatálya alá tartozik, bármilyen kicsi is. Ilyenek például a DNS-szolgáltatók, a legfelső szintű domainek nyilvántartói, a nyilvános elektronikus hírközlő hálózatok és szolgáltatások nyújtói, a bizalmi szolgáltatók és a közigazgatási szervezetek. Ha Önt a Wet weerbaarheid kritieke entiteiten (a kritikus entitások ellenálló képességéről szóló törvény) alapján kijelölték, akkor a Cyberbeveiligingswet hatálya alá is tartozik.
Önellenőrzés az önértékeléssel
A Rijksinspectie Digitale Infrastructuur (RDI, a Digitális Infrastruktúra Állami Felügyelete) ingyenes NIS2-önértékelést kínál. Az ágazatára, méretére és szolgáltatásaira vonatkozó kérdésekre válaszolva eredményt kap. Ebből az is kiderül, hogy alapvető vagy fontos entitásnak minősül-e. A különbség elsősorban a felügyeletben rejlik: alapvető entitások esetében a felügyeleti szerv saját kezdeményezésére is ellenőrizhet, fontos entitások esetében ez elsősorban utólag történik. Ha vállalkozása egy csoporthoz tartozik, vagy több országban tevékenykedik, akkor segítséget nyújt az NCSC komplex üzleti modellekről szóló útmutatója.
Mi a teendő, ha a törvény hatálya alá tartozik?
- Regisztráció. Szervezetét a MijnNCSC-n keresztül jelentheti be.
- Gondossági kötelezettség. Kockázatelemzést kell készítenie, és megfelelő, arányos intézkedéseket kell hoznia. Az NCSC legalább tíz témakört nevez meg, köztük az incidenskezelést, a biztonsági mentéseket és a helyreállítást, az ellátási lánc biztonságát, a képzést, a frissítéseket, a hozzáférés-kezelést, a többlépcsős hitelesítést vagy a jelszómentes bejelentkezést (passkey), a titkosítást, valamint az intézkedések hatékonyságának tesztelését. A vezetőség hagyja jóvá az intézkedéseket, és gyakorol felügyeletet felettük.
- Bejelentési kötelezettség. Egy jelentős incidenst a MijnNCSC-n keresztül kell bejelentenie: 24 órán belül egy első figyelmeztetést, 72 órán belül egy bejelentést a súlyosság és a hatás első felmérésével, majd egy hónapon belül egy végleges jelentést.
Ez a bejelentés független a GDPR szerinti adatvédelmi incidensek bejelentési kötelezettségétől. Ez utóbbi mindenkire vonatkozik, aki személyes adatokat kezel, az egyéni vállalkozókra is, és azt az Autoriteit Persoonsgegevens (holland adatvédelmi hatóság) felé kell bejelenteni. Egy olyan támadást tehát, amely során ügyféladatok is ellopásra kerültek, elképzelhető, hogy mindkét helyen be kell jelenteni.
Nem tartozik a hatálya alá? Az ellátási lánc akkor is érintheti
A legtöbb kisvállalkozás nem tartozik a törvény hatálya alá. Ebben az esetben nincs regisztrációs kötelezettség, nincs az NCSC felé bejelentési kötelezettség, és nincs felügyelet. Azoknak a szervezeteknek azonban, amelyek a hatálya alá tartoznak, figyelembe kell venniük a közvetlen beszállítóiknál és szolgáltatóiknál felmerülő kockázatokat is. Az NCSC szerint a törvény magukra a beszállítókra nem ró kötelezettségeket, de az ügyfelek elvárásokat fogalmazhatnak meg a beszállítók digitális biztonságával szemben. Ezek az elvárások egy szerződésben vagy egy kérdőívben jelenhetnek meg.
Szállít egy nagyobb szervezet számára, például webfejlesztőként, informatikai üzemeltetőként vagy könyvelőirodaként? Ebben az esetben olyan kérdéseket kaphat, mint: használnak-e kétlépcsős azonosítást, ki fér hozzá az adatainkhoz, hol tárolják a biztonsági mentéseket, és milyen gyorsan jelentenek be egy incidenst?
- Az elvárásoknak igazodniuk kell az adott szolgáltatás kockázatához. Egy olyan beszállító, amely hozzáfér a rendszerekhez, szigorúbb elvárásoknak kell megfeleljen, mint a pék, aki az ebédet szállítja.
- Csak a közvetlen beszállítókról van szó. A beszállítók beszállítói nem tartoznak ide.
- A törvény nem ír elő tanúsítványt. Egy tanúsítvány segíthet a tárgyalásokban, de nem jelent garanciát.
- Kezdje időben: mérje fel, milyen intézkedéseket alkalmaz már, és rögzítse az ügyféllel kötött megállapodásokat.