Ez az útmutató a 50–249 fős, szabályozott szektorban működő magyar középvállalatok számára készült, amelyek a NIS2 Annex II szerinti fontosságú szervezetnek minősülnek. Megismerheti a kiberbiztonsági önértékelés folyamatát, a kötelező technikai és szervezeti intézkedéseket, valamint a 2023. évi XXIII. törvény által előírt határidőket.
A 2023. évi XXIII. törvény (az NIS2 direktívát átültető magyar jogszabály) szerinti fontosságú szervezetnek minősül az a 50–249 főt foglalkoztató középvállalat, amely a szabályozott szektorok valamelyikében – így különösen az energia, a közszolgáltatás, a pénzügyi szolgáltatás vagy a digitális infrastruktúra – végez tevékenységet, és amely az Annex II-ben meghatározott kritériumok alapján fontosságúnak értékelendő. Az önértékelésre vonatkozó kötelezettség minden ilyen vállalat számára fennáll, függetlenül attól, hogy előzőleg teljesített-e kiberbiztonsági ellenőrzést.
Minden 50–249 fős, szabályozott szektorban működő vállalat köteles önértékelést végezni annak megállapítása érdekében, hogy az Annex II kritériumai alapján fontosságú szervezetnek minősül-e. Az önértékelés során értékelni kell a szervezet digitális szolgáltatásoktól való függőségét, a kritikus infrastruktúrához való hozzájárulást és az esetleges széleskörű társadalmi hatást. Az önértékelés dokumentálása és a SZTFH-nak való jelzése a 2023. évi XXIII. törvény szerinti kötelezettség.
A fontosságú szervezeteknek rendelkezniük kell dokumentált kiberbiztonsági politikával, amely az érdekeltek számára hozzáférhető és rendszeresen felülvizsgálat tárgyát képezi. A politikát támogatnia kell egy arányos kockázatkezelési keretrendszernek, amely azonosítja a kritikus rendszereket, értékeli az adatvédelmi és rendelkezésreállási kockázatokat, és meghatározza a mérséklési intézkedéseket. A keretrendszer méretezésének a szervezet méretéhez és erőforrásaihoz kell igazodnia.
Kötelezően implementálandó intézkedések közé tartozik a többfaktoros hitelesítés (MFA) az üzleti e-mail és felhőalapú tárolórendszerekhez való hozzáféréshez, a szoftverfrissítések és javítások rendszeres alkalmazása (patch management), az adatok rendszeres biztonsági másolata (backup) a helyreállíthatóság tesztelésével együtt, valamint a hozzáférési jogok szigorú kezelése és felügyelete. Ezen intézkedések technikai természetűek és azonnal implementálhatóak még a korlátozott IT-erőforrásokkal rendelkező szervezetekben is.
A fontosságú szervezeteknek köteleztségük jelenteni a szervezet működésére és szolgáltatásnyújtási képességére jelentős hatással bíró kiberbiztonsági incidenseket a SZTFH-nak. Az incidensjelentés a felfedezéstől számított 72 óra alatt kell, hogy megtörténjen, melyhez szükséges egy működő és dokumentált incidenskezelési eljárás. Az eljárásnak tartalmaznia kell az incidens azonosítási, dokumentálási és értesítési lépéseit.
A szervezeteknek értékelniük kell a kritikus szoftver- és hardver-szállítóiktól való függőséget, különösen a felhőszolgáltatók és az információbiztonsági szoftverek szállítói tekintetében. Szükséges olyan szállítói szerződések kialakítása, amelyek tartalmazzák a kiberbiztonsági követelményeket, az incidensjelentési kötelezettségeket és a naplózási jogokat. A szupplánc-kockázatok kezelése arányos, de alapvető gyakorlat a középvállalatok számára.
Az önértékelésben vizsgálnia kell, hogy szervezete mely szabályozott szektorban működik, mennyire függ digitális szolgáltatásoktól, és hogy szolgáltatáskimaradása vagy biztonsági incidens széles körű társadalmi hatást okozna-e. Az Annex II kritériumai között szerepel a kritikus infrastruktúra-függőség és a digitális szolgáltatások kritikalitása. Ha bizonytalan, javasoljuk az önértékelés konzultációval történő elvégzését és a SZTFH-nak való bejelentést.
Az incidensjelentést a szervezet működésére és szolgáltatásnyújtásara jelentős hatással bíró incidens felfedezésétől számított 72 órán belül kell a SZTFH-nak bejelenteni. Ez a határidő kötelező, ezért elengedhetetlen egy működő incidenskezelési eljárás és egy kijelölt felelős kiberbiztonsági kapcsolattartó meglétele.
Az Annex II szerinti fontosságú szervezetekre az igénybevehető bírság akár 7 millió euró vagy a nettó éves forgalom 1,4%-a lehet. Ezért kritikus fontosságú a kiberbiztonsági intézkedések dokumentált megvalósítása és az incidensjelentési kötelezettségek betartása. A bírság mértéke a jogsértés súlyosságától és időtartamától függ.