NIS2 Magyarországon: kire vonatkozik a törvény hatálya?

Mi a magyar NIS2-szabályozás alapja?

A hazai kiberbiztonsági kötelezettségeket a 2024. évi LXIX. törvény Magyarország kiberbiztonságáról (NIS2) rögzíti. A törvény célja, hogy meghatározott ágazatokban működő szervezetek megfelelő kiberbiztonsági intézkedéseket vezessenek be és tartsanak fenn.

A legfontosabb kérdés a cégvezetők számára egyszerű: érintett-e egyáltalán a szervezetem? Ha igen, akkor a törvény teljes kötelezettségrendszere alkalmazandó – a kockázatmenedzsment keretrendszertől (§ 6) a kiberbiztonsági hatósággal való együttműködésig (§ 8).

Ebben a cikkben végigvezetjük a hatály (§ 1) logikáján: az érintett ágazatokon, a méretküszöbön, valamint az alapvető szervezet és fontos szervezet megkülönböztetésén.

Az érintett ágazatok és a méretküszöb

A törvény hatálya (§ 1) szerint a rendelkezéseket a következő szervezetekre kell alkalmazni:

• az 1. mellékletben felsorolt közigazgatási ágazathoz tartozó szervezetekre;
• a 2. és 3. melléklet szerinti szervezetekre, amelyek középvállalkozásnak minősülnek, vagy amelyek megfelelnek a méretküszöbnek;
• mérettől függetlenül bizonyos szolgáltatókra.

A méretküszöb (§ 1): a szervezet akkor esik a hatály alá, ha

• összes foglalkoztatotti létszáma eléri vagy meghaladja az 50 főt, vagy
• éves nettó árbevétele meghaladja a 10 millió eurónak megfelelő forintösszeget.

Mérettől függetlenül a hatály alá tartoznak – a törvény szövege szerint – az alábbiak:

• elektronikus hírközlési szolgáltatók;
• bizalmi szolgáltatók;
• DNS-szolgáltatók;
• legfelső szintű doménnév-nyilvántartók;
• doménnév-regisztrációt végző szolgáltatók.

Azt, hogy egy konkrét tevékenység melyik melléklethez és ágazathoz tartozik, a törvény mellékletei határozzák meg – a pontos ágazati besorolás egyedi értékelést igényelhet: [TÁPSUSTAB PARTNER-JURIST].

Alapvető szervezet vagy fontos szervezet?

A hatály alá tartozó szervezetek két statuutus kategóriába sorolódnak (§ 1):

Alapvető szervezet – többek között:

• a 2. melléklet szerinti, középvállalkozásnak minősülő vagy azt meghaladó szervezetek;
• a minősített bizalmi szolgáltatók, a legfelső szintű doménnév-nyilvántartók és a DNS-szolgáltatók – mérettől függetlenül.

Fontos szervezet – a következők:

• a 2. melléklet szerinti, alapvető szervezetnek nem minősülő szervezetek;
• a 3. melléklet szerinti szervezetek.

A besorolás nem csupán formalitás: a jogkövetkezmények mértéke eltér. A végrehajtási rendelet (418/2024. Korm. rendelet § 42) szerint a kiszabható bírság legmagasabb összege alapvető szervezet esetén 10 millió eurónak megfelelő forintösszeg vagy – ha ez magasabb – a globális éves forgalom 2%-a, fontos szervezet esetén 7 millió eurónak megfelelő forintösszeg vagy a globális éves forgalom 1,4%-a.

Ki gyakorol felügyeletet, és mit kell tenni belépéskor?

A kiberbiztonsági felügyeletet a szervezet típusától függően eltérő hatóság látja el (§ 23):

• az 1. § (1) bekezdés a)–c) pontja szerinti szervezetek esetében a Kormány rendeletében kijelölt nemzeti kiberbiztonsági hatóság;
• az 1. § (1) bekezdés d) és e) pontja szerinti szervezetek esetében a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH).

Ha a szervezet a hatály alá kerül, a törvény konkrét határidőket ír elő (§ 8) az 1. § (1) bekezdés a)–c) és f) pontja szerinti szervezetek számára:

• 30 napon belül: adatok és az elektronikus információs rendszer biztonságáért felelős személy adatainak bejelentése;
• 90 napon belül: a használt elektronikus információs rendszerek felmérése;
• 120 napon belül: az adatosztályozás elvégzése;
• 180 napon belül: az információbiztonsági szabályzat megküldése és a biztonsági osztályba sorolás.

Emellett minden érintett szervezetnek gondoskodnia kell arról, hogy az adatok változását a változást követő 14 napon belül megküldje a kiberbiztonsági hatóság részére (§ 8).

A bejelentés és a nyilvántartásba vétel pontos elektronikus csatornáját a [TÁPSUSTAB PARTNER-JURIST] erősíti meg.

Hogyan azonosítsa be gyorsan a saját helyzetét?

Az önértékeléshez érdemes három kérdést végigfutni:

1. Ágazat: a tevékenységem az 1., 2. vagy 3. melléklet valamely ágazatához tartozik? 2. Méret: elérem-e az 50 főt vagy a 10 millió eurónak megfelelő éves nettó árbevételt – illetve mérettől függetlenül érintett szolgáltató vagyok-e? 3. Besorolás: ezek alapján alapvető szervezet vagy fontos szervezet vagyok-e?

Fontos, hogy a kiberbiztonsági hatóság a törvény szerint alapvető vagy fontos szervezetként azonosíthat valamely szervezetet (§ 24), így az önértékelés nem helyettesíti a hatósági besorolást.

Ha bizonytalan, használja ingyenes scoping- és gap-eszközünket, amely végigvezeti a mellékletek és a méretküszöb logikáján, és jelzi, mely kötelezettségek vonatkozhatnak Önre. A konkrét jogi besorolást és a mellékletek pontos alkalmazását minden esetben érdemes partner-jogásszal megerősíteni.