Kit érint a NIS2, és mi a teendő? Gyakorlati útmutató kkv-knak

Az utóbbi időben sok cégvezető hall a NIS2-ről: a könyvelőtől, egy nagyobb megrendelőtől vagy egy szakmai rendezvényen. Ilyenkor ritkán derül ki egyértelműen, hogy a szabályozás vonatkozik-e az adott cégre, és ha igen, mit kell tenni. Ez a cikk nem jogi tanácsadás, hanem gyakorlati áttekintés. Sorra vesszük, mi ez a szabályozás, kit érinthet, és milyen lépésekkel érdemes elindulni.

Mi az a NIS2, röviden?

A NIS2 egy európai uniós irányelv. Ez olyan közös szabály, amelyet minden tagállamnak be kell építenie a saját jogrendjébe. Célja, hogy a fontos szolgáltatásokat nyújtó és a gazdaság szempontjából lényeges cégek komolyabban vegyék az informatikai biztonságot. Legyen tehát tervük a támadások megelőzésére, felismerésére és kezelésére.

Magyarországon hazai jogszabály (2024. évi LXIX. törvény) ültette át a szabályokat a gyakorlatba. A betartást hatóság felügyeli ( Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) ). A részletek időről időre pontosodnak, ezért a konkrét kötelezettségeket mindig a hatályos szövegből érdemes ellenőrizni, szükség esetén jogász bevonásával.

Kit érint a NIS2?

Az érintettséget alapvetően két dolog határozza meg: milyen ágazatban működik a cég, és mekkora.

• Ágazat: a szabályozás többek között az energia, a közlekedés, az egészségügy, az ivóvíz és a digitális szolgáltatások területére vonatkozik, továbbá a gyártás és az élelmiszeripar egyes ágaira.
• Méret: jellemzően a közép- és nagyvállalatok tartoznak bele, létszám és árbevétel alapján [50 fős létszám és 10 M EUR mérlegfőösszeg].
• Kivételek: bizonyos tevékenységeknél a méret nem számít, így kisebb cégek is érintettek lehetnek [Digitális és távközlési szolgáltatók, Beszállítói lánc].

Van egy harmadik, sokszor figyelmen kívül hagyott szempont is: a beszállítói lánc. Előfordulhat, hogy az Ön cége közvetlenül nem tartozik a szabályozás alá, de nagyobb, érintett vállalatoknak szállít. Ilyenkor a megrendelő a szerződésben vagy egy kérdőívben elvárhatja bizonyos biztonsági intézkedések igazolását. A NIS2 így közvetve, az üzleti kapcsolatokon keresztül jelenik meg.

Mit vár el a szabályozás a gyakorlatban?

A NIS2 nem ír elő konkrét programot vagy eszközt. Azt várja el, hogy a cég átgondoltan kezelje az informatikai kockázatokat. A tipikus témakörök:

• Kockázatkezelés: tudni kell, mely rendszerek a legfontosabbak, és mi történne, ha leállnának.
• Mentés és helyreállítás: az adatokról legyen rendszeres, ellenőrzött mentés, és legyen kipróbált terv a visszaállításra.
• Hozzáférések kezelése: naprakészen kell tudni, ki mihez fér hozzá. Ide tartozik a többlépcsős azonosítás is: a jelszó mellé egy második megerősítés is kell, például a telefonon.
• Incidenskezelés: incidensnek a biztonsági eseményt nevezzük, például egy vírusfertőzést vagy egy feltört fiókot. Legyen leírva, ki mit tesz ilyenkor, és kit kell értesíteni.
• Beszállítók biztonsága: a külső szolgáltatók és szoftverek kockázatait is figyelembe kell venni.
• Oktatás: a munkatársak ismerjék fel a csaló e-maileket és a gyanús helyzeteket.
• Vezetői felelősség: a szabályozás a cégvezetést is felelőssé teszi a biztonsági intézkedésekért.

Az érintett cégeknek ezen felül regisztrációs, ellenőrzési és auditkötelezettségük is lehet, mulasztás esetén pedig szankciókkal kell számolniuk.

Mi a teendő? Lépésről lépésre

Nem kell mindent egyszerre megoldani. Egy jól felépített sorrend sok felesleges munkától és kiadástól megóvja.

• 1. Tisztázza az érintettséget. Nézze meg, hogy a cég tevékenysége és mérete alapján a szabályozás hatálya alá tartozik-e. Azt is gondolja végig, van-e olyan megrendelője, aki ilyen elvárást támaszt.
• 2. Készítsen helyzetfelmérést. Mérje fel, milyen gépek, szerverek és felhős szolgáltatások vannak, hogyan működik a mentés, és kiknek van rendszergazdai jogosultsága. A felmérés sok cégnél már önmagában is váratlan hiányokat tár fel.
• 3. Rangsorolja a hiányosságokat. Kezdje azzal, ami a legnagyobb kockázatot jelenti, és rendeljen hozzá reális költségkeretet.
• 4. Dokumentáljon. Három dokumentum különösen hasznos. Az üzletmenet-folytonossági terv (BCP) leírja, hogyan dolgozhat tovább a cég egy kiesés idején. A katasztrófa utáni helyreállítási terv (DRP) a rendszerek visszaállításának lépéseit rögzíti. Az üzleti hatáselemzés (BIA) pedig megmutatja, melyik folyamat leállása mennyire fáj.
• 5. Jelöljön ki felelőst. Legyen valaki, aki összefogja a témát, és rendszeresen beszámol a vezetésnek.
• 6. Oktassa a kollégákat. A legtöbb támadás egy jól megírt e-maillel kezdődik, ezért a tudatos munkatárs az egyik legolcsóbb védelem.

Ez nem egyszeri projekt. A felmérést és a dokumentumokat érdemes rendszeresen átnézni, mert a cég és a fenyegetések is változnak.

És ha kiderül, hogy nem érinti?

Akkor sem érdemes félretenni a témát. A NIS2 által elvárt lépések többsége egyszerűen jó gyakorlat. Egy működő mentés, a rendezett jogosultságok és egy előre átgondolt vészforgatókönyv minden cégnek megéri. Ha pedig később egy megrendelő vagy egy pályázat biztonsági feltételeket szab, a felkészült cég sokkal nyugodtabban tud válaszolni.

Ha szeretné tisztázni, hol tart most a cége, a cerebellum szívesen segít a felmérésben és a következő lépések megtervezésében.