Mit kell tartalmaznia a kiberbiztonsági kockázatkezelési szabályzatnak Magyarországon?

A kiindulópont: kockázatmenedzsment keretrendszer a törvény szerint

A magyar átültető jogszabály, a 2024. évi LXIX. törvény Magyarország kiberbiztonságáról nem egy általános elvárást fogalmaz meg, hanem nevesített dokumentumokat és lépéseket ír elő. A kiindulópont szó szerint így hangzik:

> „A szervezet vezetője az elektronikus információs rendszerek védelme érdekében kockázatmenedzsment keretrendszert hoz létre és működtet.” (2024. évi LXIX. törvény § 6)

Ugyanez a § 6 sorolja fel, mit kell a vezetőnek elvégeznie, és ezek egy az egyben a szabályzat fejezeteivé válnak:

• a használt elektronikus információs rendszerek felmérése és nyilvántartásba vétele;
• a védelemmel kapcsolatos szerepkörök, felelősök és feladatok meghatározása, valamint az elektronikus információs rendszer biztonságáért felelős személy kinevezése vagy megbízása;
• az elektronikus információs rendszerek biztonsági osztályba sorolása;
• a kockázatokkal arányos védelmi intézkedések meghatározása;
• az információbiztonsági szabályzat kiadása, valamint annak legalább kétévente történő felülvizsgálata;
• a védelmi feladatok oktatása, továbbá a vezető és a munkatársak kiberbiztonsági képzése, továbbképzése.

Ha a dokumentumban ezek közül bármelyik hiányzik, az nem stílusbeli kérdés: a § 6 szerinti elemek egyike marad ki.

Az intézkedések kötelező tartalma pontról pontra

A kockázatkezelési intézkedések tartalmi minimumát az (EU) 2022/2555 irányelv 21. cikk (2) bekezdése rögzíti, amelyet a magyar szabályozás ültet át. A szabályzatot érdemes pontosan ezekre a hivatkozásokra felfűzni:

Ha a szervezet megállapítja, hogy nem felel meg a (2) bekezdésben előírt intézkedéseknek, indokolatlan késedelem nélkül meghozza az összes szükséges, megfelelő és arányos korrekciós intézkedést (art 21(4)). A védelmi intézkedések meghatározásakor – amennyiben rendelkezésre áll – figyelembe kell venni az Európai Bizottság és az ENISA kritikus ellátási láncokra vonatkozó összehangolt biztonsági kockázatértékeléseinek eredményeit (418/2024. Korm. rendelet § 4).

Arányosság és a minden veszélyre kiterjedő megközelítés

A 21. cikk (2) bekezdése kimondja, hogy az intézkedéseknek „egy minden veszélyre kiterjedő megközelítésen” kell alapulniuk, amelynek célja a hálózati és információs rendszerek, valamint e rendszerek fizikai környezetének védelme az eseményekkel szemben. A szabályzat tehát nem szűkíthető le informatikai témákra: a fizikai környezet, az emberi tényező és a beszállítói kapcsolatok is részei.

A mérték kérdését az art 21(1) rendezi: az intézkedéseknek a felmerülő kockázatoknak megfelelő szintet kell elérniük, az arányosság értékelésekor pedig figyelembe kell venni

• a szervezet kockázatoknak való kitettségének mértékét,
• a szervezet méretét,
• az események előfordulásának valószínűségét és súlyosságát, beleértve társadalmi és gazdasági hatásukat,
• a legkorszerűbb megoldásokat, a vonatkozó európai és nemzetközi szabványokat, valamint a végrehajtás költségeit.

Ebből következik, hogy két azonos ágazatban működő cég szabályzata jogszerűen lehet eltérő terjedelmű és mélységű. A magyar törvény ugyanezt a logikát követi, amikor a § 6 „kockázatokkal arányos védelmi intézkedések” meghatározását írja elő.

Mi függ a saját cégprofiltól?

A szabályzat gerincét a saját profil adja: ágazat, méret, szolgáltatások és függőségek.

Hatály és méret. A § 1 szerint a törvény kötelezettségeket előíró rendelkezéseit alkalmazni kell az 1. mellékletben felsorolt közigazgatási ágazathoz tartozó szervezetekre, valamint a 2. és 3. melléklet szerinti szervezetekre, amelyek középvállalkozásnak minősülnek, vagy amelyek összes foglalkoztatotti létszáma eléri vagy meghaladja az 50 főt, vagy éves nettó árbevétele meghaladja a 10 millió eurónak megfelelő forintösszeget. Mérettől függetlenül a hatály alá tartoznak az elektronikus hírközlési szolgáltatók, a bizalmi szolgáltatók, a DNS-szolgáltatók, a legfelső szintű doménnév-nyilvántartók és a doménnév-regisztrációt végző szolgáltatók.

Besorolás. A szervezetek alapvető szervezetnek vagy fontos szervezetnek minősülnek (§ 1). Alapvető szervezetnek minősülnek többek között a 2. melléklet szerinti, középvállalkozásnak minősülő vagy azt meghaladó szervezetek, valamint a minősített bizalmi szolgáltatók, a legfelső szintű doménnév-nyilvántartók és a DNS-szolgáltatók mérettől függetlenül. Fontos szervezetnek minősülnek a 2. melléklet szerinti, alapvető szervezetnek nem minősülő szervezetek, valamint a 3. melléklet szerinti szervezetek. A kiberbiztonsági hatóság alapvető vagy fontos szervezetként azonosíthat valamely szervezetet (§ 24).

Miért számít ez a dokumentumban? A besorolás határozza meg többek között a bírság felső határát (418/2024. Korm. rendelet § 42: alapvető szervezetnél 10 millió eurónak megfelelő forintösszeg vagy a globális éves forgalom 2%-a, fontos szervezetnél 7 millió eurónak megfelelő forintösszeg vagy a globális éves forgalom 1,4%-a, a magasabb összeg szerint), és azt is, melyik hatóság jár el: az 1. § (1) bekezdés a)–c) pontja szerinti szervezeteknél a nemzeti kiberbiztonsági hatóság, a d) és e) pontja szerinti szervezeteknél a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) (§ 23). Ezért a szabályzat elején érdemes rögzíteni a saját mellékletbeli besorolást, az érintett szolgáltatásokat és a kulcsfontosságú beszállítói függőségeket – ezekből vezethető le a többi fejezet. Egy rövid önértékelés a méretadatokról és az ágazati besorolásról jó belépő ehhez a munkához.

Vezetői jóváhagyás, felelősök és képzés

A dokumentum önmagában kevés: jóváhagyott és felügyelt dokumentumra van szükség. Az art 20(1) szerint a vezető testületek jóváhagyják az alapvető és fontos szervezetek által a 21. cikknek való megfelelés érdekében tett kiberbiztonsági kockázatkezelési intézkedéseket, felügyelik annak végrehajtását, és felelősségre vonhatók az említett cikk megsértéséért.

A magyar szövegben ez a szervezet vezetőjéhez rendelt feladatsorban jelenik meg: ő adja ki az információbiztonsági szabályzatot és gondoskodik a legalább kétévenkénti felülvizsgálatáról, továbbá gondoskodik a védelmi feladatok oktatásáról, saját maga és munkatársai kiberbiztonsági képzéséről, továbbképzéséről (§ 6).

Nevesíteni kell a felelőst is: a vezető a szervezeten belül kijelöli az elektronikus információs rendszer biztonságáért felelős személyt, vagy a szervezeten kívüli személlyel megállapodást köt; e személy feladatait csak olyan valaki végezheti, aki cselekvőképes, büntetlen előéletű, és rendelkezik az informatikáért felelős miniszter rendeletében előírt végzettséggel, valamint szakképzettséggel vagy szakmai tapasztalattal (§ 11).

Mitől lesz a szabályzat ellenőrizhető?

Az ellenőrizhetőség gyakorlati kérdés: minden előírás mellett ott legyen a pontos hivatkozás, a felelős és a felülvizsgálat ideje.

• Nyomon követhető hivatkozások. Fejezetenként jelölje a forrást (például § 6, § 11, art 21(2) d)). Így ellenőrzéskor nem kell utólag rekonstruálni, melyik bekezdés melyik előírásra válasz.
• Határidők beépítése. Az 1. § (1) bekezdés a)–c) és f) pontja szerinti szervezet a törvény hatálya alá kerülését követő 30 napon belül bejelenti az adatait és az elektronikus információs rendszer biztonságáért felelős személy adatait, 90 napon belül felméri a használt rendszereket, 120 napon belül elvégzi az adatosztályozást, 180 napon belül megküldi az információbiztonsági szabályzatát és elvégzi a biztonsági osztályba sorolást; az adatok, dokumentumok változásait a változást követő 14 napon belül kell megküldeni (§ 8).
• Audit és hiánypótlás. A § 16 szerinti érintett szervezetek kétévente, illetve a kiberbiztonsági hatóság elrendelése esetén kiberbiztonsági auditot végeztetnek. Ha a szervezet vagy az auditor hiányosságot állapít meg, a szervezet az eredmény kézhezvételét követő 90 napon belül intézkedési tervet készít, amelyet jóváhagyásra benyújt a nemzeti kiberbiztonsági hatóság részére (418/2024. Korm. rendelet § 4).
• Következmények ismerete. Ha a szervezet a biztonsági követelményeket nem teljesíti, a hatóság figyelmezteti, határidőt tűz, kötelezheti a jogsértő magatartás megszüntetésére, a szervezet költségére információbiztonsági felügyelőt rendelhet ki, és az intézkedések eredménytelensége esetén bírságot szabhat ki; a jogkövetkezmények alkalmazása során az arányosság és a fokozatosság szempontjait veszi figyelembe (§ 30).

A fenti elemek a jogszabályszövegből következnek. Ha egy konkrét eljárási részletet a jogszabály nem rendez egyértelműen, kérjük, a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) közzétett iránymutatását tekintse hivatalos forrásnak.