NIS2 és a holland kiberbiztonsági törvény (Cyberbeveiligingswet): vonatkozik az Ön vállalkozására?

2026. augusztus 15. óta Hollandiában hatályos a kiberbiztonsági törvény (Cyberbeveiligingswet). Lehet, hogy a NIS2 kifejezést már hallotta egy ügyfelétől, beszállítójától vagy tanácsadójától. Ebben a cikkben röviden bemutatjuk, mi ez a törvény, kikre vonatkozik, és mit jelent egy olyan kisvállalkozás számára, amelyre közvetlenül nem vonatkozik.

Ez a cikk általános tájékoztatást nyújt, és nem minősül jogi tanácsadásnak. Az aktuális szabályok az NCSC oldalán és a törvény szövegében találhatók.

Mi ez?

A NIS2 egy 2022-es európai irányelv ((EU) 2022/2555 irányelv), amelynek célja, hogy a fontos ágazatokban működő szervezeteket digitálisan ellenállóbbá tegye. Minden ország saját törvényben ülteti át az irányelvet. Hollandiában ez a kiberbiztonsági törvény (Cyberbeveiligingswet, Cbw). A törvény 2026. augusztus 15. óta, átmeneti időszak nélkül hatályos, és felváltja a hálózati és információs rendszerek biztonságáról szóló korábbi törvényt (Wbni). Az NCSC szerint több mint 8.000 szervezet tartozik a hatálya alá. A kapcsolattartó szerv az NCSC.

Vonatkozik a törvény az én vállalkozásomra?

Ez két kérdésen múlik: az Ön ágazatán és a vállalkozása méretén.

1. A törvényben szereplő ágazatban működik?

Egyes ágazatokra további feltételek vonatkoznak. Tehát nem minden vállalkozás tartozik automatikusan a törvény hatálya alá, amely valamilyen módon élelmiszerekkel foglalkozik.

2. Elég nagy a vállalkozása? Röviden: a közepes és nagy szervezetekre vonatkozik a törvény. Az Ön vállalkozása beletartozik, ha:

• 50 vagy több munkavállalót (teljes munkaidős egyenértékben) foglalkoztat, vagy
• 50-nél kevesebb munkavállalója van, de az éves árbevétele és a mérlegfőösszege egyaránt meghaladja a 10 millió eurót.

A partnervállalkozások és a kapcsolódó vállalkozások is beszámítanak. Így egy 20 fős vállalkozás, amely egy 200 fős csoporthoz tartozik, mégis a törvény hatálya alá eshet.

Kivételek, mérettől függetlenül. Néhány szervezettípusra mindig vonatkozik a törvény, bármilyen kicsi is. Ilyenek például a DNS-szolgáltatók, a legfelső szintű domainek nyilvántartói, a nyilvános elektronikus hírközlő hálózatok és szolgáltatások nyújtói, a bizalmi szolgáltatók és a közigazgatási szervek. Ha szervezetét a kritikus szervezetek ellenálló képességéről szóló holland törvény (Wet weerbaarheid kritieke entiteiten) alapján kijelölték, akkor a kiberbiztonsági törvény is vonatkozik Önre.

Ellenőrzés önértékeléssel

A holland digitális infrastruktúra-felügyelet (Rijksinspectie Digitale Infrastructuur, RDI) ingyenes NIS2-önértékelést kínál. Ön kérdésekre válaszol az ágazatáról, a méretéről és a szolgáltatásairól, majd eredményt kap. Ebből az is kiderül, hogy alapvető vagy fontos szervezetnek minősül-e. A különbség elsősorban a felügyeletben rejlik: az alapvető szervezeteknél a felügyeleti hatóság saját kezdeményezésére is ellenőrizhet, a fontos szervezeteknél főként utólag. Vállalkozása egy csoporthoz tartozik, vagy több országban működik? Ilyenkor az NCSC összetett üzleti modellekről szóló útmutatója segíthet.

Mi a teendője, ha a törvény Önre is vonatkozik?

• Regisztráció. Szervezetét a MijnNCSC felületen kell regisztrálnia.
• Gondossági kötelezettség. Kockázatelemzést kell készítenie, és megfelelő, arányos intézkedéseket kell hoznia. Az NCSC legalább tíz területet nevez meg, többek között az incidenskezelést, a biztonsági mentést és helyreállítást, az ellátási lánc biztonságát, a képzést, a frissítéseket, a hozzáférés-kezelést, a többtényezős hitelesítést vagy a passkeyeket, a titkosítást, valamint annak tesztelését, hogy az intézkedések működnek-e. Az intézkedéseket a vezetőség hagyja jóvá és felügyeli.
• Bejelentési kötelezettség. A jelentős incidenseket a MijnNCSC felületen kell bejelenteni: 24 órán belül egy korai figyelmeztetést, 72 órán belül egy bejelentést a súlyosság és a hatás első értékelésével, egy hónapon belül pedig egy zárójelentést.

Ez a bejelentés független a GDPR szerinti adatvédelmi incidensek bejelentési kötelezettségétől. Az utóbbi mindenkire vonatkozik, aki személyes adatokat kezel, az egyéni vállalkozókra is, és a holland adatvédelmi hatóságnál (Autoriteit Persoonsgegevens) kell megtenni. Hogy mikor minősül valami adatvédelmi incidensnek, és be kell-e jelentenie, azt az Adatvédelmi incidens-e ez, és be kell-e jelentenem? című cikkben olvashatja. Egy olyan támadást tehát, amelynek során ügyféladatokat is elloptak, adott esetben mindkét helyen be kell jelenteni.

Önre nem vonatkozik a törvény? Az ellátási lánc révén mégis érintheti

A legtöbb kisvállalkozásra nem vonatkozik a törvény. Ebben az esetben nincs regisztrációs kötelezettsége, nincs bejelentési kötelezettsége az NCSC felé, és nem áll felügyelet alatt. Azoknak a szervezeteknek azonban, amelyekre vonatkozik a törvény, a közvetlen beszállítóiknál és szolgáltatóiknál fennálló kockázatokat is figyelembe kell venniük. Az NCSC szerint a törvény magukra a beszállítókra nem ró kötelezettségeket, az ügyfelek viszont támaszthatnak követelményeket a digitális biztonságukkal kapcsolatban. Ezek szerződésben vagy kérdőívben jelennek meg.

Egy nagyobb szervezetnek szállít, például weboldalkészítőként, informatikai üzemeltetőként vagy könyvelőirodaként? Ekkor ilyen kérdéseket kaphat: használnak kétlépcsős azonosítást, ki fér hozzá az adatainkhoz, hol tárolják a biztonsági mentéseket, és milyen gyorsan jelentenek be egy incidenst?

• A követelményeknek arányosnak kell lenniük az Ön szolgáltatásának kockázatával. Egy olyan beszállító, amely hozzáfér a rendszerekhez, szigorúbb követelményeket kap, mint a pék, aki az ebédet szállítja.
• Csak a közvetlen beszállítókról van szó. Az Ön beszállítóinak beszállítói nem tartoznak ide.
• Tanúsítványt a törvény nem ír elő. Segíthet a tárgyalások során, de nem jelent garanciát.
• Kezdjen hozzá időben: mérje fel, milyen intézkedésekkel rendelkezik már, és rögzítse írásban az ügyfelével kötött megállapodásokat.

További olvasnivaló

• NCSC: Kiberbiztonsági törvény (NIS2)
• NCSC: Vonatkozik a szervezetemre a kiberbiztonsági törvény?
• NCSC: Gondossági kötelezettség
• NCSC: Bejelentési kötelezettség
• NCSC: A kiberbiztonsági törvény és a beszállítók
• RDI: NIS2-önértékelés
• A kiberbiztonsági törvény szövege

Szeretne többet megtudni? Végezze el a Biztonságosan online vállalkozóknak című ingyenes tanfolyamot, azon belül a 9.1 NIS2 és a kiberbiztonsági törvény című leckét.