NIS2 irányelv

A NIS2 (Network and Information Security Directive 2) az Európai Unió új kiberbiztonsági szabályozása, amely az eredeti NIS irányelv (2016/1148) továbbfejlesztett változata. A célja, hogy megerősítse az uniós tagállamok és szervezetek kiberbiztonsági ellenállóképességét, valamint egységes és magas szintű védelmet biztosítson a kritikus infrastruktúrák számára.

A NIS2 jelentős változásokat hoz az eredeti irányelvhez képest, többek között kiterjeszti az érintett szervezetek körét, szigorúbb jelentési kötelezettségeket ír elő, és magasabb szankciókat helyez kilátásba a megfelelés elmulasztása esetén.

A NIS2 főbb célkitűzései

1. Kiberbiztonság javítása – A NIS2 arra ösztönzi a szervezeteket, hogy fejlettebb kiberbiztonsági intézkedéseket alkalmazzanak, csökkentve a támadások kockázatát.
2. Tagállamok közötti együttműködés fokozása – Az EU célja, hogy a tagországok hatékonyabban osszák meg a kibertámadásokkal kapcsolatos információkat.
3. Kibertámadások elleni gyorsabb és hatékonyabb reakció – Az incidensek gyors bejelentése és kezelése kulcsfontosságú lesz.
4. A kritikus infrastruktúrák védelme – A létfontosságú ágazatok, mint az energia, egészségügy vagy pénzügy, fokozott védelmet kapnak.
5. Ellátási lánc biztonságának javítása – A szabályozás nemcsak a közvetlenül érintett szervezetekre vonatkozik, hanem az ellátási láncban lévő partnerekre is.

Kikre vonatkozik a NIS2?

A NIS2 irányelv bővíti a szabályozás alá tartozó szervezetek körét, két fő kategóriára osztva azokat:

1. Létfontosságú szektorok (Essential Entities – EE)
   Ide tartoznak azok az iparágak, amelyek működése nélkülözhetetlen a társadalom és a gazdaság szempontjából:
   • Energia (áram-, gáz-, olajellátás)
   • Közlekedés (légi, vasúti, közúti és vízi szállítás)
   • Banki és pénzügyi szektor
   • Egészségügy és gyógyszeripar
   • Vízügyi szolgáltatások
   • Digitális infrastruktúra (adatközpontok, internetes szolgáltatók)
2. Fontos szektorok (Important Entities – IE)
   Ezek olyan iparágak, amelyek szintén jelentős szerepet játszanak a gazdaságban, de nem minősülnek létfontosságúnak:
   • Élelmiszeripar
   • Vegyipar
   • Gyártóipar
   • Postai és futárszolgáltatások
   • Kutatás és fejlesztés

Ezzel a módosítással több mint 100 000 közepes és nagyvállalat lesz érintett az EU-ban.

Milyen követelményeket ír elő a NIS2?

A NIS2 irányelv szigorúbb követelményeket határoz meg a kiberbiztonsági intézkedésekre vonatkozóan.

1. Kockázatkezelés és megelőzés
   • A szervezeteknek rendszeresen fel kell mérniük a kibertámadások kockázatát.
   • Fenyegetésmodellezési és sérülékenységvizsgálati eljárásokat kell alkalmazni.
   • A munkavállalókat folyamatosan képezni kell a kibertámadások elleni védelemben.
2. Incidenskezelés és jelentési kötelezettség
   • 24 órán belül előzetes értesítés szükséges a kiberbiztonsági hatóságok felé.
   • 72 órán belül részletes jelentés kell az incidensről.
   • Egy hónapon belül végleges jelentést kell benyújtani, amely tartalmazza a vizsgálati eredményeket és a megtett intézkedéseket.
3. Üzletmenet-folytonosság és válságkezelés
   • A szervezeteknek üzletmenet-folytonossági terveket kell kidolgozniuk.
   • Fontos a gyors helyreállítási mechanizmusok megléte.
4. Ellátási lánc biztonsága
   • A vállalatoknak ellenőrizniük kell beszállítóik biztonsági szabványait.
   • A harmadik felek (pl. IT-szolgáltatók) esetében is kötelező a magas kiberbiztonsági szint.
5. Adatvédelem és GDPR kompatibilitás
• A NIS2 szorosan együttműködik az EU GDPR szabályozásával az adatvédelem területén.
• A személyes és érzékeny adatok titkosságát garantálni kell.

Vezetői felelősség és szankciók

A NIS2 kiemelt felelősséget ró a vállalatvezetőkre, és elvárja, hogy aktívan részt vegyenek a kiberbiztonsági stratégiák kidolgozásában.

• A vezetőségnek kiberbiztonsági képzéseken kell részt vennie.
• Ha egy szervezet nem felel meg a követelményeknek, akkor súlyos szankciókra számíthat:
• Akár 10 millió eurós bírság vagy az éves globális árbevétel 2%-a (amelyik nagyobb).
• Felelősségre vonhatók a vezetők, ha hanyagság miatt történik kibertámadás.

Hatálybalépés és teendők

A tagállamoknak 2024. október 17-ig kell átültetniük a NIS2 irányelvet saját jogrendjükbe. Ez azt jelenti, hogy a vállalatoknak legkésőbb 2024 végéig meg kell felelniük az új szabályoknak.

Mit kell tennie egy érintett vállalatnak?

1. Felül kell vizsgálni a jelenlegi kiberbiztonsági stratégiáját.
2. Ki kell alakítani egy megfelelési tervet az új követelmények szerint.
3. Fel kell készíteni az alkalmazottakat és vezetőket a NIS2 szabályaira.
4. Meg kell erősíteni az incidenskezelési és jelentési folyamatokat.
5. Ellenőrizni kell az ellátási lánc biztonságát, és szükség esetén új követelményeket kell bevezetni a beszállítók számára.

Összegzés

A NIS2 irányelv célja, hogy erősebb és egységesebb kiberbiztonsági keretet teremtsen az Európai Unióban. A kockázatkezelés, incidensjelentés és vezetői felelősség szigorításával a szervezeteknek magasabb szintű védelmet kell biztosítaniuk a kibertámadások ellen.

A szabályozás 2024 végére kötelező érvényűvé vált, így a vállalatoknak mielőbb meg kell kezdeniük a felkészülést a megfelelés érdekében.