NIS2 a közigazgatási ágazatban Magyarországon: kire vonatkozik és mit kell tenni?

Rövid válasz: a közigazgatási ágazat a törvény hatálya alá tartozik

Igen. A 2024. évi LXIX. törvény Magyarország kiberbiztonságáról (a továbbiakban: Kiberbiztonsági tv.) § 1 kimondja, hogy a szervezetek kötelezettségeire és a kiberbiztonsági hatósági felügyeletre vonatkozó rendelkezéseit alkalmazni kell az 1. mellékletben felsorolt közigazgatási ágazathoz tartozó szervezetekre. A § 1 ennél a körnél nem köti a hatályt méretküszöbhöz – a foglalkoztatotti létszámra és árbevételre vonatkozó feltételt a törvény a 2. és 3. melléklet szerinti szervezetekre írja elő.

Amit először érdemes megtenni: ellenőrizze, hogy szervezete szerepel-e az 1. melléklet tételes felsorolásában, majd mérje fel, hogy a § 6 szerinti kockázatmenedzsment keretrendszer és a § 8 szerinti bejelentési határidők teljesültek-e. Ehhez a néhány perces Ingyenes NIS2-követelményellenőrzés is jó kiindulópont, mielőtt bármilyen fejlesztésbe kezdene.

Hogyan nevezi meg a törvény a közigazgatási ágazatot?

A besorolás nem értelmezés kérdése: a Kiberbiztonsági tv. 1. melléklete tételesen felsorolja az érintett szervezeteket. A melléklet szövege szerint „Közigazgatási ágazathoz tartozó szervezetek E törvény értelmében közigazgatási ágazathoz tartozó szervezetnek a következő szervezeteket kell tekinteni:”

• a központi államigazgatási szerv, a Kormány kivételével,
• a Sándor-palota,
• az Országgyűlés Hivatala,
• az Alkotmánybíróság Hivatala,
• az Országos Bírósági Hivatal és a bíróságok,
• az ügyészségek,
• az Alapvető Jogok Biztosának Hivatala,
• az Állami Számvevőszék,
• a Nemzeti Vagyonvisszaszerzési és Vagyonvédelmi Hivatal,
• a Magyar Nemzeti Bank,
• a Magyar Honvédség,
• a fővárosi és vármegyei kormányhivatalok, a vármegyei közgyűlések hivatalai,
• a megyei jogú városok és a fővárosi kerületi önkormányzatok képviselő-testületének hivatalai,
• a települések képviselő-testületének hivatalai,
• a központi szolgáltató,
• a központi rendszer felett rendelkezési jogot gyakorló szervezet.

Ha a szervezet neve vagy jogállása szerepel ebben a felsorolásban, a hatály kérdése eldőlt – a következő lépés a kötelezettségek teljesítése, nem a további mérlegelés.

Alapvető vagy fontos szervezet? Méretküszöbök a törvényben

A Kiberbiztonsági tv. § 1 szerint a hatály alá tartozó szervezetek alapvető szervezetnek vagy fontos szervezetnek minősülnek. A törvény ezt így határozza meg:

Méretküszöb: a § 1 a 2. és 3. melléklet szerinti szervezeteknél írja elő, hogy azok középvállalkozásnak minősüljenek, vagy összes foglalkoztatotti létszámuk elérje vagy meghaladja az 50 főt, vagy éves nettó árbevételük meghaladja a 10 millió eurónak megfelelő forintösszeget. Méretüktől függetlenül tartoznak a hatály alá az elektronikus hírközlési szolgáltatók, a bizalmi szolgáltatók, a DNS-szolgáltatók, a legfelső szintű doménnév-nyilvántartók és a doménnév-regisztrációt végző szolgáltatók.

A § 1 idézett szövege az alapvető és fontos kategóriákat a 2. és 3. melléklethez köti; a közigazgatási ágazat besorolására nézve a § 1 külön szabályt nem tartalmaz. A § 24 alapján a nemzeti kiberbiztonsági hatóság feladata, hogy valamely szervezetet alapvető vagy fontos szervezetként azonosítson. Ha a saját besorolása kérdéses, kérjük, erősítse meg az illetékes felügyeleti hatóság közzétett iránymutatása alapján (hivatalos forrás).

Alapkötelezettségek: keretrendszer, felelős személy, határidők

A Kiberbiztonsági tv. § 6 az alapvető és fontos szervezetek általános kötelezettségeit rögzíti – vagyis a törvény ezen a ponton nem ír elő külön, csak a közigazgatásra vonatkozó műszaki előírásokat. A szervezet vezetőjének feladatai:

• kockázatmenedzsment keretrendszert hoz létre és működtet az elektronikus információs rendszerek védelme érdekében,
• gondoskodik a használt elektronikus információs rendszerek felméréséről és nyilvántartásba vételéről,
• meghatározza a védelemmel kapcsolatos szerepköröket, felelősöket és feladatokat, kinevezi vagy megbízza az elektronikus információs rendszer biztonságáért felelős személyt,
• biztonsági osztályba sorolja az elektronikus információs rendszereket, és meghatározza a kockázatokkal arányos védelmi intézkedéseket,
• kiadja az információbiztonsági szabályzatot, és gondoskodik annak legalább kétévente történő felülvizsgálatáról,
• gondoskodik a védelmi feladatok oktatásáról, saját maga és munkatársai kiberbiztonsági képzéséről.

A § 6 azt is előírja, hogy „az 1. § (1) bekezdés a)–c) pontja szerinti szervezetek esetében a szervezet az adott évben informatikai fejlesztésre fordított költségek legalább 5%-ának megfelelő összeget kiberbiztonsági fejlesztésekre fordít”.

A § 11 szerint a vezető a szervezeten belül jelöli ki az elektronikus információs rendszer biztonságáért felelős személyt, vagy szervezeten kívüli személlyel köt megállapodást; a feladatot csak cselekvőképes, büntetlen előéletű, az informatikáért felelős miniszter rendeletében előírt végzettséggel és szakképzettséggel vagy szakmai tapasztalattal rendelkező személy láthatja el.

Határidők a § 8 alapján (az 1. § (1) bekezdés a)–c) és f) pontja szerinti szervezetekre): a hatály alá kerülést követő 30 napon belül adatbejelentés a nemzeti kiberbiztonsági hatóság részére (a felelős személy adataival együtt), 90 napon belül a rendszerek felmérése, 120 napon belül az adatosztályozás, 180 napon belül az információbiztonsági szabályzat megküldése és a biztonsági osztályba sorolás. Az adatok és dokumentumok változását a változást követő 14 napon belül kell megküldeni.

A § 16 szerint kiberbiztonsági auditot kétévente – illetve a kiberbiztonsági hatóság elrendelése esetén – az 1. § (1) bekezdés b) pontja szerinti azon szervezet köteles végeztetni, amely egyúttal a 2. és 3. melléklet szerinti szervezet is, valamint az 1. § (1) bekezdés d) pontja és – a mikrovállalkozás kivételével – az e) pontja szerinti szervezet. A honvédelmi célú elektronikus információs rendszerek tekintetében audit nem végezhető.

A védelmi intézkedések tartalmi minimumát az (EU) 2022/2555 irányelv art 21(2) sorolja fel: kockázatelemzési és biztonsági szabályzatok, eseménykezelés, üzletmenet-folytonosság és katasztrófa utáni helyreállítás, ellátási lánc biztonsága, biztonság a rendszerek beszerzésében és karbantartásában, a hatékonyság értékelése, kiberhigiénia és képzés, kriptográfia, humánerőforrás-biztonság és hozzáférés-ellenőrzés, valamint adott esetben többtényezős hitelesítés. Az art 20(1) szerint a vezető testület jóváhagyja és felügyeli ezen intézkedéseket, és felelősségre vonható a mulasztásért. Ha hiányosság derül ki, a 418/2024. Korm. rendelet § 4 alapján a szervezet az eredmény kézhezvételét követő 90 napon belül intézkedési tervet készít, és azt jóváhagyásra benyújtja a nemzeti kiberbiztonsági hatóság részére.

Incidensbejelentés: kinek és mennyi időn belül?

A bejelentéseket a nemzeti kiberbiztonsági incidenskezelő központ (a továbbiakban: Központ) fogadja; a 418/2024. Korm. rendelet § 65 alapján a Kormány a Központként a Nemzetbiztonsági Szakszolgálatot jelölte ki. A Központ kezeli és koordinálja a bejelentéseket, és haladéktalanul értesíti az érintetteket, valamint az illetékes hatóságot.

A 418/2024. Korm. rendelet § 77 szerinti sorrend:

• első bejelentés indokolatlan késedelem nélkül, minden esetben az incidensről való tudomásszerzéstől számított 24 órán belül (az érintett rendszer megjelölése, az incidens rövid leírása és státusza, az érintett adatok és felhasználók köre, a kapcsolattartó elérhetősége, a határokon átnyúló hatás lehetősége stb.),
• a fertőzöttségi mutatók, amint rendelkezésre állnak,
• eseménybejelentés indokolatlan késedelem nélkül, minden esetben a tudomásszerzéstől számított 72 órán belül, amely aktualizálja a korábbi információkat és tartalmazza az incidens első értékelését, súlyosságát és hatását,
• a Központ kérésére közbenső helyzetjelentés,
• zárójelentés legkésőbb az eseménybejelentés benyújtását követő egy hónapon belül; ha az incidens még folyamatban van, az addigi eredményekről szóló jelentés, majd a kezelést követő egy hónapon belül zárójelentés.

Nem kell bejelenteni azt a kiberbiztonsági incidensközeli helyzetet és üzemeltetési kiberbiztonsági incidenst, amelyet az incidenskezelési folyamat automatizmusa kezelt vagy elhárított, és nem járt a szolgáltatás degradációjával – az ismétlődő eseteket azonban ilyenkor is be kell jelenteni.

Ki a felügyeleti hatóság? A Kiberbiztonsági tv. § 23 szerint az 1. § (1) bekezdés a)–c) pontja szerinti szervezetek esetében a Kormány rendeletében kijelölt nemzeti kiberbiztonsági hatóság, az 1. § (1) bekezdés d) és e) pontja szerinti szervezetek esetében a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) látja el a felügyeletet; a honvédelmi célú rendszerek kivételt képeznek. A 418/2024. Korm. rendelet § 16 alapján a nemzeti kiberbiztonsági hatóság a Nemzetbiztonsági Szakszolgálat. A bejelentés és a nyilvántartásba vétel pontos elektronikus csatornáját az illetékes felügyeleti hatóság közzétett iránymutatása határozza meg (hivatalos forrás).

Jogkövetkezmények és bírságok

A Kiberbiztonsági tv. § 30 fokozatos rendszert ír elő. Ha a szervezet a biztonsági követelményeket nem teljesíti vagy a hiányosságokat nem hárítja el, a kiberbiztonsági hatóság figyelmeztet és megfelelő határidő tűzésével felszólít, kötelezheti a jogsértő magatartás megszüntetésére, valamint a szervezet költségére információbiztonsági felügyelőt rendelhet ki. Ha az intézkedések ellenére sem áll helyre a megfelelés, kormányrendeletben meghatározott mértékű bírság szabható ki. A hatóság az arányosság és a fokozatosság szempontjait figyelembe véve jár el.

A bírság felső határát a 418/2024. Korm. rendelet § 42 rögzíti:

A forintösszeget a bírságról szóló határozat meghozatalának napján a Magyar Nemzeti Bank által közzétett euró-árfolyam alapján kell meghatározni. A § 42 szerint a bírságot az 1. § (1) bekezdés a)–c) és f) pontja szerinti szervezetekkel szemben a nemzeti kiberbiztonsági hatóság, a d) és e) pontja szerinti szervezetekkel szemben az SZTFH szabhatja ki.

A 418/2024. Korm. rendelet § 38 alapján a hatóság mérlegeli a megsértett követelmény súlyát, a jogsértés időtartamát, az incidens hatását, az okozott kárt, az egyedi vagy ismételt jelleget, a szándékosságot vagy gondatlanságot. Súlyos jogsértésnek minősül többek között az ismételt jogsértés, a jelentős incidensek bejelentésének vagy orvoslásának elmaradása, a kötelező erejű utasítások utáni tétlenség, az ellenőrzések akadályozása és a hamis vagy súlyosan pontatlan információk közlése.