Telekommunikációs operátorok, internetszolgáltatók, mobil hálózat operátorok és CDN szolgáltatók számára készült útmutató az SZTFH NIS2 megfelelőségi követelményeiről. Megtudhatja, hogyan teljesítse a hálózati infrastruktúra-biztonsági, ellátási lánc és incidensjelentési kötelezettségeket.
Az Annex I alapján kijelölt telekommunikációs operátorok, amelyek szignifikáns számú felhasználót szolgálnak Magyarországon, továbbá internetszolgáltatók, mobil hálózat operátorok és tartalomkézbesítési (CDN) hálózatok, amennyiben az EU-s vagy magyar jogszabályok alapján kritikus infrastruktúra-elemek. A besorolás a szolgáltatott felhasználók száma, a hálózat kritikussága és a nemzeti biztonsági érdekek alapján történik.
Védelmet kell nyújtania az alapvető hálózati elemek (alapútvonalak, BGP útválasztás, DNS rezolúció) ellen. Kötelezően alkalmaznia kell BGP route filtering technológiákat az útválasztási hijacking elleni védekezéshez, valamint RPKI (Resource Public Key Infrastructure) validációt a routing táblák integritásának biztosítására. A core routereken és peremeszközökön tilos az elavult, támogatás alatt nem álló firmware futtatása.
Felmérést és értékelést kell végezni az összes hálózati berendezés szállítója (routerek, switchek, bázisállomások, optikai felszerelések) tekintetében. Megállapodásokat kell kötni a szállítókkal a biztonsági patch-management, a hardver telemetria és a bejelentési felelősség tekintetében. Legalább évente fel kell mérni az új ellátási lánc biztonsági kockázatokat.
Az SZTFH-nak haladéktalanul jelentenie kell minden olyan biztonsági incidenst, amely szignifikáns felhasználó-populáció szolgáltatását érinti, illetve minden olyan incidenst, amely nemzeti biztonsági következménnyel járhat. A hatóságnak 72 órán belül jegyző-bejelentés szükséges, majd 30 napig nyilvánosságra kell hozni az incidensről szóló információkat a felhasználók számára.
A törvényes lehallgatás (lawful interception) infrastruktúrájához való hozzáférés szigorúan kontrollálható legyen, és csak az arra felhatalmazott szervezeteknek engedélyezett. A jogorvoslati funkciókat külön biztonsági szegmentáció alatt kell tartani, valamint titkosítási protokollokkal védekezni kell az illetéktelen hozzáférés ellen. Az összes hozzáférési naplót legalább egy évig archiválni kell.
Real-time monitorozási rendszert kell telepíteni a core hálózat forgalmára vonatkozóan a DDoS támadások, BGP hijacking és DNS cache poisoning felderítéséhez. Automatizált anomáliadetektor eszközöket kell alkalmazni a forgalmi minták eltéréseihez. Napi biztonsági élettartam-felügyeletet és hetenkénti biztonsági elemzéseket kell végezni.
Az Annex I alatt összes, Magyarországon teljes területet vagy szignifikáns régiókat szolgáló telekommunikációs operátor, internet-szolgáltató és mobil hálózat operátor tartozik. Az SZTFH tartja nyilván a besorolt entitásokat. Ha szignifikáns számú felhasználót (tipikusan 10 000 fölött) szolgál, és nemzeti biztonsági infrastruktúrának minősülsz, akkor Annex I alanyként kell kezelendő vagynak.
Az SZTFH NIS2 keretrendszere szerint a BGP route filtering és RPKI implementáció 2026. október 24-ig kötelezően teljesítendő. Ajánlott azonban már 2025 végéig pilot kísérleti üzemet telepíteni a production环境ben a fokozatos bevezetéshez.
Az SZTFH által felügyelt telekommunikációs operátoroknak a Kiberbiztonsági törvény megsértése esetén legfeljebb 50 millió forint vagy az éves bevétel 10%-a közötti pénzbírság, valamint üzemeltetési korlátozások vagy engedély-felfüggesztés lehetséges. Az incidensjelentési kötelezettség megsértése külön fokozottabb szankciókhoz vezethet.