NIS2 és a közlekedési vállalkozások Magyarországon: légi, vasúti, vízi közlekedés és forgalomirányítás

Hatálya alá tartozik-e a közlekedési cégem?

Igen, a közlekedés nevesített ágazat. A 2024. évi LXIX. törvény (Magyarország kiberbiztonságáról) 2. melléklete – a kiemelten kockázatos ágazatokban működő szolgáltatók és szervezetek listája – külön sorokban nevezi meg a légi közlekedést, a vasúti közlekedést, a közúti közlekedést, a vízi közlekedést és a tömegközlekedést. A törvény hatálya a § 1 alapján akkor terjed ki egy ilyen szervezetre, ha az középvállalkozásnak minősül, vagy összes foglalkoztatotti létszáma eléri vagy meghaladja az 50 főt, vagy éves nettó árbevétele meghaladja a 10 millió eurónak megfelelő forintösszeget.

Mi legyen az első lépés? Vesse össze tételesen a társaság tényleges tevékenységét a 2. melléklet közlekedési sorainak szövegével, majd nézze meg a létszám- és árbevételi adatokat. Ebből derül ki, hogy a cég alapvető szervezet vagy fontos szervezet – és ezzel az is, milyen kötelezettségi és bírságkeret vonatkozik rá.

Hogyan nevezi meg a törvény a közlekedési ágazatot

A besorolás nem tevékenységi „érzésre”, hanem a 2024. évi LXIX. törvény 2. mellékletének szó szerinti szövegére épül. A Közlekedés ágazat alágazatai és szervezettípusai a melléklet szerint:

• Légi közlekedés: „a polgári légiközlekedés védelmének szabályairól és a Légiközlekedés Védelmi Bizottság jogköréről, feladatairól és működésének rendjéről szóló kormányrendelet szerinti légiközlekedés védelmében közreműködő szervezet”.
• Vasúti közlekedés: „a vasúti közlekedésről szóló törvény szerinti vasúti pályahálózat működtetője – a saját célú vasúti pályahálózatok, iparvágányok kivételével –, a vállalkozó vasúti társaság, a vasúti pályakapacitás-elosztó szervezet” (az erdőről, az erdő védelméről és az erdőgazdálkodásról szóló 2009. évi XXXVII. törvény 1. melléklete szerinti gazdasági társaságok kivételével).
• Közúti közlekedés: „intelligens közúti közlekedési rendszerek üzemeltetését végző szolgáltató”, illetve „forgalomirányítást végző szervezet” a közúti közlekedésről szóló törvény felhatalmazása alapján kiadott rendelet szerint.
• Vízi közlekedés: „a víziközlekedésről szóló törvény szerinti hajózási tevékenység folytatásában részt vevő jogi személy, jogi személyiséggel nem rendelkező gazdálkodó szervezet”.
• Tömegközlekedés: az 1370/2007/EK európai parlamenti és tanácsi rendelet 2. cikk d) pontja szerinti közszolgáltató szervezet.

Ha a cég profilja egyik idézett fordulatba sem illik bele egyértelműen, a besorolást a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) közzétett iránymutatása alapján érdemes tisztázni (hivatalos forrás).

Alapvető vagy fontos szervezet – és a méretküszöbök

A § 1 két dolgot dönt el egyszerre: hatály alá kerül-e a cég, és melyik osztályba tartozik.

Mivel a közlekedés a 2. mellékletben szerepel, egy hatály alá kerülő közlekedési vállalkozás jellemzően alapvető szervezet, ha eléri a középvállalkozási méretet, egyébként fontos szervezet lehet. A törvény emellett méretétől függetlenül kiterjed az elektronikus hírközlési szolgáltatókra, bizalmi szolgáltatókra, DNS-szolgáltatókra, a legfelső szintű doménnév-nyilvántartókra és a doménnév-regisztrációt végző szolgáltatókra – ez akkor is releváns lehet, ha a cégcsoport ilyen szolgáltatást is nyújt. A kiberbiztonsági hatóság a § 24 alapján maga is azonosíthat valamely szervezetet alapvető vagy fontos szervezetként.

Alapkötelezettségek: kockázatmenedzsment, vezetői felelősség, nyilvántartás

A törvény nem ír elő külön, csak a közlekedésre vonatkozó műszaki kötelezettségeket: a hatálya alá tartozó alapvető és fontos szervezetekre ugyanaz a kötelezettségi kör vonatkozik.

A § 6 szerint a szervezet vezetője:

• kockázatmenedzsment keretrendszert hoz létre és működtet;
• gondoskodik az elektronikus információs rendszerek felméréséről és nyilvántartásba vételéről;
• meghatározza a védelemmel kapcsolatos szerepköröket, felelősöket és feladatokat, kinevezi vagy megbízza az elektronikus információs rendszer biztonságáért felelős személyt;
• biztonsági osztályba sorolja az elektronikus információs rendszereket;
• meghatározza a kockázatokkal arányos védelmi intézkedéseket;
• kiadja az információbiztonsági szabályzatot, és legalább kétévente felülvizsgálja;
• gondoskodik a védelmi feladatok oktatásáról, saját maga és munkatársai kiberbiztonsági képzéséről.

A felelős személyt a § 11 alapján a szervezeten belül kell kijelölni, vagy szervezeten kívüli személlyel megállapodást kötni; a jogszabály a végzettségre, szakképzettségre vagy szakmai tapasztalatra is feltételt szab.

Az intézkedések tartalmi vázát az (EU) 2022/2555 irányelv art 21(2) adja: kockázatelemzési és rendszerbiztonsági szabályzatok, eseménykezelés, üzletmenet-folytonosság és katasztrófa utáni helyreállítás, ellátási lánc biztonsága, biztonság a rendszerek beszerzésében, fejlesztésében és karbantartásában, a hatékonyság értékelése, kiberhigiénia és képzés, kriptográfia és titkosítás, humánerőforrás-biztonság, hozzáférés-ellenőrzés és eszközgazdálkodás, valamint adott esetben többtényezős hitelesítés és biztonságos kommunikáció. Az art 20(1) szerint a vezető testület hagyja jóvá és felügyeli ezeket az intézkedéseket, és felelősségre vonható a jogsértésekért.

További gyakorlati határidők: a szervezet az adatok, dokumentumok és ezek változásainak megküldéséről a változást követő 14 napon belül gondoskodik (§ 8). A § 8 a hatály alá kerülést követő bejelentésre, a rendszerfelmérésre, az adatosztályozásra és a szabályzat megküldésére külön határidőket állapít meg a § 1 (1) bekezdés a)–c) és f) pontja szerinti szervezetekre. A 418/2024. (XII. 23.) Korm. rendelet § 4 alapján feltárt hiányosság esetén a szervezet az eredmény kézhezvételét követő 90 napon belül intézkedési tervet készít és nyújt be jóváhagyásra. A § 16 kiberbiztonsági auditot ír elő – kétévente, illetve a hatóság elrendelése esetén – többek között a § 1 (1) bekezdés d) pontja és – a mikrovállalkozás kivételével – e) pontja szerinti szervezetekre; az auditorral a nyilvántartásba vételt követő 120 napon belül kell megállapodni, az első auditot a nyilvántartásba vételt követő 2 éven belül elvégeztetni.

A bejelentés és a nyilvántartásba vétel pontos elektronikus csatornáját az illetékes hatóság közzétett iránymutatása határozza meg – kérjük, ezt erősítse meg: Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH), hivatalos forrás.

Incidensbejelentés: kinek, mennyi idő alatt

A bejelentéseket a nemzeti kiberbiztonsági incidenskezelő központ (a Központ) fogadja, kezeli és koordinálja; a Központként a Kormány a Nemzetbiztonsági Szakszolgálatot jelölte ki (418/2024. Korm. rendelet § 65). A Központ haladéktalanul értesíti az érintetteket és az illetékes hatóságot.

A 418/2024. (XII. 23.) Korm. rendelet § 77 szerinti lépcsők:

• Első bejelentés: indokolatlan késedelem nélkül, és minden esetben az incidensről való tudomásszerzéstől számított 24 órán belül – az érintett rendszer megjelölésével, az incidens rövid leírásával, státuszával, időtartamával, az érintett adatok és felhasználók körével, a szolgáltatászavar mértékével, a kapcsolattartó elérhetőségeivel, a földrajzi kiterjedéssel és a határokon átnyúló hatás lehetőségével.
• Fertőzöttségi mutatók: amint rendelkezésre állnak.
• Eseménybejelentés: indokolatlan késedelem nélkül, és minden esetben a tudomásszerzéstől számított 72 órán belül, az első bejelentés aktualizálásával és az incidens első értékelésével (súlyosság, hatás).
• Közbenső helyzetjelentés: a Központ kérésére.
• Zárójelentés: legkésőbb az eseménybejelentés benyújtását követő egy hónapon belül, részletes leírással, a valószínű kiváltó okkal, az alkalmazott és folyamatban lévő mérséklési intézkedésekkel.
• Ha a zárójelentés idején az incidens még folyamatban van: jelentés az addigi eredményekről, majd a kezelést követő egy hónapon belül zárójelentés.

Nem kell bejelenteni azt az incidensközeli helyzetet és üzemeltetési incidenst, amelyet az incidenskezelési folyamat során automatizmus kezelt vagy hárított el, és amely nem járt a szolgáltatás degradációjával – az ismétlődő eseteket azonban ilyenkor is be kell jelenteni.

Jogkövetkezmények és bírságok

A § 30 fokozatos eszköztárat ír le: ha a szervezet a biztonsági követelményeket nem teljesíti vagy a hiányosságokat nem hárítja el, a kiberbiztonsági hatóság figyelmezteti és határidő tűzésével felszólítja, kötelezheti a jogsértő magatartás megszüntetésére, sőt a szervezet költségére információbiztonsági felügyelőt is kirendelhet. Ha ezek ellenére sincs megfelelés, kormányrendeletben meghatározott mértékű bírság szabható ki; a hatóság az arányosság és a fokozatosság szempontjait figyelembe véve jár el.

A bírságkeretet a 418/2024. Korm. rendelet § 42 rögzíti:

A forintösszeget a bírságról szóló határozat meghozatalának napján a Magyar Nemzeti Bank által közzétett euró-árfolyam alapján kell meghatározni. A jogkövetkezmények mérlegelési szempontjait a 418/2024. Korm. rendelet § 38 sorolja fel (a megsértett követelmény súlya, a jogsértés időtartama, az incidens hatása, az okozott kár, az ismétlődés, a szándékosság vagy gondatlanság, a kármérséklő intézkedések). Súlyos jogsértésnek minősül többek között a jelentős incidensek bejelentésének vagy orvoslásának elmaradása, a kötelező erejű hatósági utasítás utáni tétlenség, az ellenőrzés akadályozása és a hamis vagy súlyosan pontatlan információk közlése.

A felügyeletet a § 23 osztja meg: a § 1 (1) bekezdés a)–c) pontja szerinti szervezetek felett a Kormány rendeletében kijelölt nemzeti kiberbiztonsági hatóság – a 418/2024. Korm. rendelet § 16 szerint a Nemzetbiztonsági Szakszolgálat –, a § 1 (1) bekezdés d) és e) pontja szerinti szervezetek felett a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) jár el, és ugyanez a megosztás érvényes a bírságolásra is (§ 42).