Jogilag megalapozott-e a NIS2-dokumentuma Magyarországon – és hogyan ellenőrizze?

1. Visszakövethetőség: minden állítás mögött legyen pontos jogszabályhely

A magyar átültető jogszabály neve 2024. évi LXIX. törvény Magyarország kiberbiztonságáról (NIS2), végrehajtási szabályait a 418/2024. (XII. 23.) Korm. rendelet tartalmazza. Egy dokumentum akkor ellenőrizhető, ha minden benne szereplő kötelezettség mellett ott áll, hogy az melyik szakaszból következik.

Így néz ki egy visszakövethető forráshivatkozás – szó szerinti idézet a törvényből:

> „A szervezet vezetője az elektronikus információs rendszerek védelme érdekében kockázatmenedzsment keretrendszert hoz létre és működtet.”

(2024. évi LXIX. törvény § 6)

Ez a minta. Ha a dokumentumban csak az szerepel, hogy „a NIS2 irányelv előírja”, vagy egyáltalán nincs hivatkozás, akkor az állítás nem ellenőrizhető: nem tudja összevetni a hatályos magyar szöveggel.

Gyakorlati teszt: válasszon ki találomra három kötelezettséget a dokumentumból. Ha mindháromnál megtalálja a konkrét szakaszszámot (például § 6, § 8, § 11, § 16), a dokumentum ebből a szempontból ellenőrizhető. Ha nem, kérje a hivatkozások pótlását a készítőtől.

2. Lefedettség: benne vannak-e a törvényi intézkedési területek?

A magyar kockázatkezelési alaprendelkezés a 2024. évi LXIX. törvény § 6. Ellenőrizze, hogy a dokumentum kitér-e az itt felsorolt elemekre:

• az elektronikus információs rendszerek felmérése és nyilvántartásba vétele;
• a védelemmel kapcsolatos szerepkörök, felelősök és feladatok meghatározása, az elektronikus információs rendszer biztonságáért felelős személy kinevezése vagy megbízása (§ 11);
• az elektronikus információs rendszerek biztonsági osztályba sorolása;
• a kockázatokkal arányos védelmi intézkedések meghatározása;
• az információbiztonsági szabályzat kiadása és legalább kétévente történő felülvizsgálata;
• a védelmi feladatok oktatása, a vezető és a munkatársak kiberbiztonsági képzése, továbbképzése.

Az (EU) 2022/2555 irányelv art 21(2) ezen felül tartalmi minimumlistát ad, többek között: kockázatelemzési és biztonsági szabályzatok, eseménykezelés, üzletmenet-folytonosság, az ellátási lánc biztonsága, biztonság a rendszerek beszerzésében és karbantartásában, a hatékonyság értékelése, kiberhigiénia és képzés, kriptográfia, humánerőforrás-biztonság és hozzáférés-ellenőrzés, valamint adott esetben többtényezős hitelesítés.

A védelmi intézkedések meghatározásakor a szervezet – ha rendelkezésre áll – figyelembe veszi az Európai Bizottság és az ENISA kritikus ellátási láncokra vonatkozó összehangolt biztonsági kockázatértékeléseinek eredményeit (418/2024. Korm. rendelet 4. § (1)).

3. Szövegezés: pontos megfelelés, nem laza átfogalmazás

Egy dokumentum akkor használható bizonyítékként, ha a benne leírt kötelezettség tartalmilag fedi a törvényi szöveget. A laza átfogalmazás gyakran szűkít vagy tágít.

Így vesse össze egy mondatát a hivatalos szöveggel:

1. Emelje ki a dokumentum egy kötelezettségmondatát és a mellette álló hivatkozást. 2. Nyissa meg a hivatkozott szakaszt a jogszabály hivatalos szövegében. 3. Hasonlítsa össze három elemet: ki a kötelezett, mit kell tennie, milyen határidővel vagy gyakorisággal.

Példa az eltérésre: ha a dokumentum azt írja, hogy „a szabályzatot ajánlott időnként felülvizsgálni”, ez nem fedi a § 6 szövegét, amely legalább kétévente történő felülvizsgálatról rendelkezik. Hasonlóan pontos a § 8: az adatok, dokumentumok és ezek változásai a változást követő 14 napon belül küldendők meg a kiberbiztonsági hatóságnak, a hatály alá kerülést követő bejelentés határideje 30 napon belül, a rendszerek felmérése 90 napon belül, az adatosztályozás 120 napon belül, az információbiztonsági szabályzat megküldése és a biztonsági osztályba sorolás 180 napon belül esedékes.

4. Vezetői jóváhagyás: a jóváhagyás nélküli dokumentum hiányos

A magyar szabályozásban a kötelezettségek címzettje kifejezetten a szervezet vezetője: ő hozza létre és működteti a kockázatmenedzsment keretrendszert, adja ki az információbiztonsági szabályzatot, jelöli ki az elektronikus információs rendszer biztonságáért felelős személyt (§ 6, § 11), és köteles gondoskodni a kiberbiztonsági hatósággal való együttműködésről (§ 8).

Ennek uniós megfelelője az (EU) 2022/2555 irányelv art 20(1), amely szerint a vezető testületek jóváhagyják a kockázatkezelési intézkedéseket, felügyelik azok végrehajtását, és felelősségre vonhatók a szervezet általi megsértésért.

Amit nézzen meg a dokumentumon: szerepel-e rajta a kiadás dátuma, a vezetői jóváhagyás ténye és aláírása, a hatálybalépés napja, valamint a következő felülvizsgálat időpontja. Egy jóváhagyás nélküli, aláíratlan sablon önmagában nem mutatja meg, hogy a vezetői döntés megszületett.

5. Mit néz a hatóság és mit kérhet egy ügyfél?

A kiberbiztonsági felügyeletet a Kormány rendeletében kijelölt nemzeti kiberbiztonsági hatóság, illetve az 1. § (1) bekezdés d) és e) pontja szerinti szervezetek esetében a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) látja el (§ 23). A nemzeti kiberbiztonsági hatóságként a Kormány a Nemzetbiztonsági Szakszolgálatot jelölte ki (418/2024. Korm. rendelet § 16).

A hatóság nyilvántartásba veszi az adatokat, követelményeket határoz meg, ellenőrzi a biztonsági osztályba sorolásra vonatkozó követelmények teljesülését, és elrendeli a feltárt biztonsági hiányosságok elhárítását (§ 24). A törvényben meghatározott szervezeti kör emellett kétévente, illetve a kiberbiztonsági hatóság elrendelése esetén kiberbiztonsági auditot köteles végeztetni; az auditorral a nyilvántartásba vételt követő 120 napon belül kell megállapodást kötni (§ 16). Ha az audit hiányosságot állapít meg, a szervezet az eredmény kézhezvételét követő 90 napon belül intézkedési tervet készít, amelyet jóváhagyásra benyújt a nemzeti kiberbiztonsági hatóság részére (418/2024. Korm. rendelet 4. § (2)).

Ha a szervezet a biztonsági követelményeket nem teljesíti, a hatóság figyelmeztet, határidőt tűz, kötelezhet a jogsértő magatartás megszüntetésére, a szervezet költségére információbiztonsági felügyelőt rendelhet ki, majd bírságot szabhat ki; eljárása során az arányosság és a fokozatosság szempontjait veszi figyelembe (§ 30).

Ügyfelek és megrendelők oldaláról az ellátási lánc biztonsága az art 21(2) d) pontja miatt kerül szóba: a hatály alá tartozó megrendelő a közvetlen beszállítóival fennálló kapcsolat biztonságát is kezeli, ezért kérhet Öntől dokumentumokat. Ilyenkor ugyanaz az öt szempont segít: visszakövethetőség, lefedettség, szövegezés, vezetői jóváhagyás és bizonyíthatóság.

A jelen cikk általános tájékoztatás. A pontos eljárási részletekért – például a bejelentés és a nyilvántartásba vétel elektronikus csatornájáért – kövesse az illetékes felügyeleti hatóság közzétett iránymutatását: Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) (hivatalos forrás).