Az EU NIS2-irányelvét a 2024. évi LXIX. törvény ültette át a magyar jogba, amely 2025. január 1-jétől hatályos. A szabályozás több ezer magyar vállalatot érint, sokan mégis csak akkor szembesülnek vele, amikor egy megrendelő auditált megfelelőséget kér a szerződéskötéshez, vagy megérkezik a hatóság levele.

Kire vonatkozik?

A törvény a kockázatos és kiemelten kockázatos ágazatok szereplőire vonatkozik, többek között az energetika, a közlekedés, az egészségügy, a digitális infrastruktúra, a gyártás és az élelmiszeripar területén. Fontos: a nagyvállalatok mellett jellemzően az 50 főnél nagyobb, illetve 10 millió eurót meghaladó árbevételű középvállalatok is érintettek.

Az Ön cége akkor is érintett lehet, ha „csak” beszállító: a NIS2 kifejezetten megköveteli a beszállítói lánc kiberbiztonsági kockázatainak kezelését, a megrendelők pedig egyre gyakrabban írnak elő auditált megfelelőséget a szerződéskötés feltételeként.

A főbb kötelezettségek

  • Nyilvántartásba vétel a felügyeleti hatóságnál, és információbiztonsági felelős kinevezése
  • Biztonsági osztályba sorolás és az ahhoz tartozó védelmi intézkedések bevezetése
  • Szerződés auditorral a nyilvántartásba vételtől számított 120 napon belül
  • Kötelező kiberbiztonsági audit, majd ismétlés kétévente
  • Incidensbejelentés a jogszabályi határidőkön belül (a korai riasztás 24 órán belül kötelező)
  • A beszállítói lánc kiberbiztonsági kockázatainak kezelése és dokumentálása

Az első audithatáridő már lejárt

A 2025. január 1. előtt működésüket megkezdő érintett szervezeteknek 2026. június 30-ig kellett lezárniuk az első kiberbiztonsági auditot. Az SZTFH adatai szerint a több mint 2500 érintett szervezet jelentős része teljesített, a mulasztók viszont figyelmeztetésre, majd bírságra számíthatnak. Aki lemaradt, annál most a leggyorsabb pótlás a cél: a hatósági ellenőrzés előtt megkötött auditorszerződés és a megkezdett felkészülés érdemben csökkenti a szankciókockázatot.

Mi a tét?

A magyar szabályozás szerint a mulasztásért (akár a regisztráció, akár az audit maradt el) a bírság az előző üzleti év nettó árbevételének 2%-áig, de legfeljebb 150 millió forintig terjedhet. És ami sokak számára meglepő: a felelősség személyes is. A vezető tisztségviselő ismételt mulasztás esetén akár 5 évre is eltiltható.

A felkészülés hat lépése

  1. Érintettség és EIR-azonosítás: ágazat és méret alapján gyorsan eldönthető, vonatkozik-e Önökre a törvény, és mely elektronikus információs rendszerek esnek a hatálya alá.
  2. GAP-elemzés: hol tart most a szervezet a biztonsági osztályához tartozó követelményekhez képest, és mekkora a hiány?
  3. Védelmi intézkedések és szabályzatok: a kontrollok bevezetése ütemezett intézkedési terv szerint: IBSZ, incidenskezelési terv, beszállítói kockázatkezelés.
  4. Biztonságtudatossági képzés: a követelmények jelentős része az embereken múlik; a képzés dokumentáltan is elvárás.
  5. Pre-audit: az éles audit főpróbája, ugyanazokkal a kérdésekkel, de következmények nélkül, hogy a valódi auditon már ne érje meglepetés.
  6. Audit: nyilvántartott auditorral, majd ismétlés kétévente.

A Zenit kibervédelmi gyorstesztje néhány nap alatt átfogó képet ad a felkészültségről, NIS2-minősített szakértőink pedig a teljes felkészülési folyamatot végigviszik az osztályba sorolástól a hatósági regisztráció támogatásáig. Referenciáink között kritikus infrastruktúra is szerepel: NIS2-felkészítést és auditot végeztünk hazai erőműveken.

Nem biztos benne, hogy érintett-e a cége?

Töltse ki 2 perces gyorstesztünket: azonnali eredmény, díjmentesen.

Indítom a NIS2-gyorstesztet