Modul 9 · 9.1
NIS2 és a magyar kiberbiztonsági törvény
Modul 9: Szabályok és szervezet · Olvasási idő: 11 perc
Tanulási cél: E lecke után el tudja magyarázni, mit szabályoz a kiberbiztonsági törvény (a NIS2 magyar átültetése), kikre vonatkozik, és mit jelent ez a láncon keresztül a kisvállalkozások számára.
Kulcsfogalmak: NIS2, kiberbiztonsági törvény, alapvető és fontos szereplő, ágazat, méret, gondossági kötelezettség, bejelentési kötelezettség (24 óra, 72 óra, 1 hónap), regisztrációs kötelezettség, lánc, önértékelés
Az európai irányelvtől a nemzeti törvényig
A NIS2 egy 2022-es európai irányelv (az (EU) 2022/2555 irányelv), amely az EU egész területén növelni kívánja a fontos szervezetek digitális ellenálló képességét. Egy irányelv nem közvetlenül alkalmazandó: minden tagállam saját törvénybe ülteti át. Magyarországon ez Magyarország kiberbiztonságáról szóló 2024. évi LXIX. törvény, amely a NIS2 átültetése. Ez a törvény 2025. január 1-jén lépett hatályba. A felügyeletet az SZTFH (Szabályozott Tevékenységek Felügyeleti Hatósága) látja el. Az aktuális feltételekről és határidőkről mindig az SZTFH tájékoztatóját érdemes megnézni: https://sztfh.hu/.
Hollandiában a holland NCSC szerint több mint 8000 szervezet tartozik az ottani törvény hatálya alá. Ez a holland vállalkozásoknak csak egy kis részét érinti. A legtöbb kisvállalkozás számára ezért nem az a legfontosabb kérdés, hogy "mit kell tennem a törvény miatt?", hanem az, hogy "mit kérnek tőlem az ügyfeleim, mert ők a törvény hatálya alá tartoznak?". Erre még visszatérünk.
Hollandiában a holland NCSC az érintett szervezetek kapcsolattartó pontja, és 2026. január 1. óta a kkv-k számára is: a korábbi Digital Trust Center ma már az NCSC része.
Önre vonatkozik? Ágazat és méret
Hollandiában az, hogy egy szervezet a holland törvény hatálya alá tartozik-e, két kérdéstől függ.
1. Olyan ágazatban dolgozik, amelyet a törvény megnevez? A holland törvénynek két melléklete van.
| 1. melléklet (11 ágazat) | 2. melléklet (7 ágazat) |
|---|---|
| energia, közlekedés, bankszektor, ivóvíz, digitális infrastruktúra, IKT-szolgáltatások kezelése, űripar, pénzügyi piaci infrastruktúra, egészségügy, szennyvíz, közigazgatás | digitális szolgáltatók, postai és futárszolgáltatások, hulladékgazdálkodás, élelmiszeripar, vegyi anyagok, kutatás, gyártás (feldolgozóipar) |
Egyes ágazatokra az illetékes minisztérium további feltételeket határoz meg. Nem minden "élelmiszeripari" tevékenységet végző szervezet tartozik tehát automatikusan a hatály alá.
2. Elég nagy a szervezet? A holland törvény szerint a szervezet akkor számít bele, ha:
- 50 vagy több munkavállalója (teljes munkaidős egyenérték) van, vagy
- 50-nél kevesebb munkavállalója van, de az éves árbevétele és a mérlegfőösszege is meghaladja a 10 millió eurót.
A partner- és kapcsolt vállalkozások is beleszámítanak. Egy 20 fős vállalkozás, amely egy 200 fős csoport része, így mégis a hatály alá tartozhat.
Kivételek: mérettől függetlenül. Néhány szervezettípus mindig a hatály alá tartozik, bármilyen kicsi is: DNS-szolgáltatók, legfelső szintű domainregisztrátorok, nyilvános elektronikus hírközlő hálózatok és szolgáltatások nyújtói, bizalmi szolgáltatók és közigazgatási szervezetek. A domainnév-regisztrációs szolgáltatóknak is regisztrálniuk kell magukat.
Alapvető vagy fontos
A törvény hatálya alá tartozó szervezetek alapvető vagy fontos szereplők. Nagyjából: az 1. melléklet ágazataiban működő nagy szervezetek, valamint néhány méretfüggetlenül kijelölt típus alapvetőnek számít; a többi fontosnak. A különbség elsősorban a felügyeletben van: alapvető szereplőknél a felügyeleti hatóság saját kezdeményezésére is ellenőrizhet, például helyszíni vizsgálatokkal és auditokkal; fontos szereplőknél főként utólag avatkozik be, ha jelek utalnak arra, hogy valami nincs rendben. Maguk a kötelezettségek nagyrészt megegyeznek. Hogy alapvető vagy fontos szereplőnek minősül-e, azt az alábbi önértékeléssel lehet megállapítani.
Önellenőrzés
Magyarországon az SZTFH (Szabályozott Tevékenységek Felügyeleti Hatósága) ad tájékoztatást arról, hogy egy szervezet a törvény hatálya alá tartozik-e: https://sztfh.hu/. Hollandiában az illetékes felügyelet egy ingyenes NIS2-önértékelést kínál a https://regelhulpenvoorbedrijven.nl/NIS-2-NL/ holland oldalon: egy kérdéssort kell megválaszolni ágazatról, méretről és szolgáltatásokról, és ez alapján kap a vállalkozás egy eredményt. Ha kétség merül fel, például mert a vállalkozás egy csoport része, vagy több országban működik, a holland NCSC egy útmutatót is kínál az összetett üzleti modellekhez.
Amit a törvény kér
Ha a szervezet a hatály alá tartozik, három kötelezettség vonatkozik rá.
Regisztrációs kötelezettség
A szervezetnek regisztrálnia kell magát a nyilvántartásba. Magyarországon ez az SZTFH-nál történő regisztráció. Így a hatóság tudja, kik tartoznak a hatálya alá, és el tudja érni őket egy fenyegetés esetén.
Gondossági kötelezettség
A szervezet kockázatelemzést készít, és ennek alapján megfelelő és arányos intézkedéseket hoz a hálózati és információs rendszerei biztonsága érdekében. A holland NCSC legalább tíz témát sorol fel, amelyekkel ebben a tanfolyamban mind találkozott:
- kockázatelemzés (1.1. és 9.3. lecke);
- incidenskezelés incidensterv alapján (8.1. lecke);
- felkészülés a kiesésre: biztonsági mentések, helyreállítási tervek, válságkezelés (6. modul);
- az ellátási lánc biztonsága, beleértve a beszállítói kockázatokat (7.2. lecke);
- kiberhigiénia és képzés (9.2. lecke);
- biztonságos beszerzés, fejlesztés és karbantartás, beleértve a frissítéseket (5.1. lecke);
- személyzet, hozzáférési szabályzat és az eszközök, szoftverek kezelése (7.1. lecke);
- passkeyk vagy többfaktoros azonosítás és biztonságos kommunikáció (2. modul);
- titkosítási (kriptográfiai) szabályzat;
- annak értékelése, hogy az intézkedések működnek-e, például rendszeres teszteléssel (6.3. és 9.3. lecke).
A vezetőség felelős ezért: jóváhagyja az intézkedéseket, és felügyeli a végrehajtást. Az európai irányelv szerint a vezetőknek kiberkockázatokról szóló képzést is kell teljesíteniük. A kiberbiztonság tehát már nem olyan feladat, amelyet csak az informatikusra lehet bízni.
Bejelentési kötelezettség
Magyarországon egy jelentős incidenst a kiberbiztonsági törvényben kijelölt hatóságnál kell bejelenteni; Hollandiában ez a holland NCSC-nél, a MijnNCSC felületen keresztül történik. Ez olyan incidens, amely súlyosan megzavarja a szolgáltatást, pénzügyi kárt okoz, vagy másoknak jelentős kárt okozhat; a pontos küszöbértékek ágazatonként eltérnek. A határidők attól a pillanattól számítanak, amikor a szervezet tudomást szerez az incidensről:
| Határidő | Mit kell küldeni |
|---|---|
| 24 órán belül | Korai figyelmeztetés: feltehetően rosszindulatú-e, vannak-e határon átnyúló következmények, ki a kapcsolattartó |
| 72 órán belül | Incidensjelentés: frissítés a súlyosság és a hatás első becslésével |
| A bejelentéstől számított 1 hónapon belül | Végjelentés: mi történt, mi az oka és milyen intézkedéseket hoztak (ha az incidens tovább tart: időközi jelentés) |
Hollandiában egyetlen bejelentés a MijnNCSC felületen keresztül egyszerre eléri a CSIRT-et (az incidens kezelésében segítő csapatot) és a felügyeleti hatóságot is. Emellett az irányelv szerint a szolgáltatás igénybe vevőit is tájékoztatni kell szükség esetén azokról a jelentős incidensekről, amelyek érinthetik őket.
A kiberbiztonsági törvény szerinti bejelentés és a GDPR szerinti bejelentés: két különböző dolog
Ez hasonlít a GDPR adatvédelmi incidensekre vonatkozó bejelentési kötelezettségére (8.2. lecke), és a "72 óra" mindkettőben szerepel. Mégis két különálló kötelezettségről van szó.
| Kiberbiztonsági törvény | GDPR (adatvédelmi incidens) | |
|---|---|---|
| Kire vonatkozik | A kiberbiztonsági törvény hatálya alá tartozó szervezetek | Mindenki, aki személyes adatokat kezel, akár egy egyéni vállalkozó is |
| Miről szól | A szolgáltatást érintő jelentős incidensek | A személyes adatok biztonságát érintő incidensek |
| Kinél kell bejelenteni | A törvény szerinti felügyeleti hatóság (Hollandiában az NCSC, a MijnNCSC felületen keresztül) | A NAIH (Nemzeti Adatvédelmi és Információszabadság Hatóság) |
| Határidők | 24 óra, 72 óra, 1 hónap | Indokolatlan késedelem nélkül, lehetőség szerint 72 órán belül |
Egy olyan zsarolóvírus-támadást, amelynél egy, a kiberbiztonsági törvény hatálya alá tartozó szervezetnél ügyféladatokat is elloptak, tehát mindkét helyen be kell jelenteni. Egy olyan kisvállalkozásnak pedig, amely nem tartozik a kiberbiztonsági törvény hatálya alá, akkor is meg kell tennie a GDPR szerinti bejelentést, ha személyes adatok szivárognak ki.
Ha nem tartozik a hatálya alá: a lánc
E tanfolyam legtöbb olvasója esetében az első kérdésre a válasz: nem, a vállalkozásom nem tartozik a kiberbiztonsági törvény hatálya alá. A tizenkét fős pékség, az öt fős könyvelőiroda, az egyedül dolgozó weboldalkészítő. Ilyenkor nincsenek a kiberbiztonsági törvényből eredő jogi kötelezettségei: nincs regisztráció, nincs bejelentési kötelezettség a felügyeleti hatóságnál, nincs felügyelet.
A törvény azonban elérheti az ügyfelein keresztül. A kiberbiztonsági törvény hatálya alá tartozó szervezeteknek biztosítaniuk kell az ellátási láncuk biztonságát: figyelembe kell venniük a közvetlen beszállítóik és szolgáltatóik sebezhetőségeit. A holland NCSC azt írja, hogy a törvény magára a beszállítóra nem ró közvetlen kötelezettségeket, de a törvény hatálya alá tartozó szervezetek igen is támaszthatnak követelményeket a beszállítóik digitális biztonságával szemben. Ezek a követelmények aztán megjelennek a szerződésben vagy egy kérdőívben.
Egy példa. Egy hatfős kis informatikai cég kezeli egy 140 fős középvállalkozás (egy szállítmányozó cég) laptopjait és hálózatát. A szállítmányozó cég a kiberbiztonsági törvény hatálya alá tartozik (közlekedési ágazat, elég nagy). Maga az informatikai cég nem: az "IKT-szolgáltatások kezelése" szerepel ugyan a vonatkozó mellékletben, de a cég túl kicsi ahhoz. Mégis kap egy kérdőívet: van-e kétlépcsős azonosítás a kezelő eszközökön, ki fér hozzá a rendszereinkhez, milyen gyorsan jelzik felénk az incidenst, hol vannak a biztonsági mentések?
Amit a holland NCSC erről ír, és mit jelent ez Önnek:
- A követelményeknek arányosnak kell lenniük. Az ügyfélnek azt a kockázatot kell néznie, amelyet az Ön szolgáltatása jelent számára. Egy, a rendszerekhez hozzáféréssel rendelkező beszállító szigorúbb követelményeket kap, mint a péksütemény beszállítója.
- Ez a közvetlen beszállítókra vonatkozik. Az Ön beszállítóinak a beszállítói már kívül esnek a törvény hatályán.
- Egy tanúsítvány nem kötelező. A törvény nem ír elő tanúsítási rendszert. Egy tanúsítvány megkönnyítheti a beszélgetést, de nem garancia és nem jogi követelmény.
- Kezdje korán a párbeszédet. Mérje fel, milyen intézkedéseket alkalmaz már azokon a pontokon, ahol kapcsolatba kerül az ügyféllel, és rögzítse a megállapodásokat.
Ne essen túlzásba tehát. A kiberbiztonsági törvény egy kisvállalkozásból nem tesz "NIS2-kötelezett" szervezetet, és az a tanácsadó, aki ezt állítja, hogy drága tanúsítást adjon el, csak a történet egy részét mondja el. De ne becsülje alá sem: aki nagyobb szervezeteknek szállít, annak egyre gyakrabban kell tudnia igazolni, hogy az alapok rendben vannak. Az e tanfolyamban szereplő alapvető intézkedések pontosan azok, amelyeket egy ilyen kérdőív általában kér.
Ez a lecke általános tájékoztatást nyújt, és nem minősül jogi tanácsadásnak. Az aktuális szabályokért tekintse meg az SZTFH tájékoztatóját: https://sztfh.hu/. A holland szabályozásról a https://www.ncsc.nl/cyberbeveiligingswet-nis2 és a holland törvényszöveg a https://wetten.overheid.nl/BWBR0052872/2026-08-15/0 oldalon található.
Összefoglalás
- Magyarországon a kiberbiztonsági törvény (a 2024. évi LXIX. törvény) a NIS2 átültetése, és 2025. január 1-jén lépett hatályba; a felügyeletet az SZTFH látja el.
- A törvény hatálya alá akkor tartozik egy szervezet, ha a vonatkozó mellékletekben felsorolt ágazatban működik, és legalább 50 munkavállalója van, vagy az éves árbevétele és a mérlegfőösszege is meghaladja a 10 millió eurót; egyes típusok (például DNS-szolgáltatók és közigazgatási szervezetek) mérettől függetlenül a hatálya alá tartoznak.
- Kötelezettségek: regisztráció az SZTFH-nál, gondossági kötelezettség kockázatelemzéssel és megfelelő intézkedésekkel a vezetőség felelőssége mellett, valamint a jelentős incidensek bejelentése 24 órán, 72 órán és 1 hónapon belül.
- A kiberbiztonsági törvény szerinti bejelentés független a GDPR szerinti, a NAIH-nál történő adatvédelmi incidens-bejelentéstől; néha mindkettőre szükség van.
- Egy kisvállalkozás általában maga nem tartozik a hatálya alá, de olyan ügyfeleken keresztül, amelyek igen, megfelelő biztonsági követelményeket kaphat.
Kvíz
Feladat
A9.1 feladat: A kiberbiztonsági törvény hatálya alá tartozik-e? Hat rövid leírást kap szervezetekről (ágazat, munkavállalók száma, árbevétel, mérlegfőösszeg, esetleg egy csoport vagy egy nagy ügyfél). Állapítsa meg szervezetenként: a hatálya alá tartozik, nem tartozik a hatálya alá, de valószínűleg egy ügyfélen keresztül kaphat követelményeket, vagy nem tartozik a hatálya alá. A program ellenőrzi a válaszokat, és szervezetenként megmutatja a döntési fa lépéseit.
További olvasnivaló
A kiberbiztonsági törvényről még nem jelent meg cikk a WebOké tudástárában; használja a hivatalos forrásokat.
- Holland NCSC, Cyberbeveiligingswet (NIS2) (holland forrás): https://www.ncsc.nl/cyberbeveiligingswet-nis2
- Holland NCSC, Valt mijn organisatie onder de Cyberbeveiligingswet? (holland forrás): https://www.ncsc.nl/cyberbeveiligingswet-nis2/valt-mijn-organisatie-onder-de-cyberbeveiligingswet-nis2
- Holland NCSC, Zorgplicht (holland forrás): https://www.ncsc.nl/cyberbeveiligingswet-nis2/zorgplicht
- Holland NCSC, Meldplicht (holland forrás): https://www.ncsc.nl/cyberbeveiligingswet-nis2/meldplicht
- Holland NCSC, De Cyberbeveiligingswet en toeleveranciers (holland forrás): https://www.ncsc.nl/cyberbeveiligingswet-nis2/de-cyberbeveiligingswet-en-toeleveranciers
- Holland felügyeleti hatóság, NIS2-önértékelés (holland forrás): https://regelhulpenvoorbedrijven.nl/NIS-2-NL/
- A holland kiberbiztonsági törvény szövege (holland forrás): https://wetten.overheid.nl/BWBR0052872/2026-08-15/0
- NIS2 és a holland kiberbiztonsági törvény (Cyberbeveiligingswet): vonatkozik az Ön vállalkozására?