NIS2 az ivóvízágazatban: lépésről lépésre Magyarországon

1. A törvényi hatály vizsgálata

A 2024. évi LXIX. törvény § 1 a 2. és 3. melléklet szerinti szervezetekre akkor alkalmazandó, ha a szervezet középvállalkozásnak minősül, vagy ha foglalkoztatotti létszáma eléri az 50 főt, vagy ha éves nettó árbevétele a 10 millió euróval egyenértékű forintösszeget meghaladja. A 2. melléklet az „Ivóvíz, szennyvíz” ágazatban, a víziközmű szolgáltatás alágazatban a víziközmű-szolgáltatásról szóló törvény szerinti víziközmű-szolgáltatót nevesíti. A § 1 alapján a 2. melléklet szerinti, középvállalkozási méretet elérő vagy azt meghaladó szervezetek alapvető szervezetnek minősülnek. A 2. melléklet szerinti azon szervezetek, amelyek nem tartoznak ebbe a körbe, fontos szervezetnek minősülnek.

TEÁOR'25 36.00 — Víztermelés, -kezelés, -ellátás

Lásd még a szektor oldalát: Ivóvíz · NIS2 szervezeti kategóriák — Magyarország

Indítsa el az ingyenes hatályvizsgálatot

2. A vezető felelőssége és a képzés

A törvény § 6 a szervezet vezetőjének feladatává teszi az elektronikus információs rendszerek védelmét szolgáló kockázatmenedzsment keretrendszer létrehozását és működtetését. Ugyanez a szakasz a vezetőhöz telepíti a védelmi szerepkörök, felelősök és feladatok meghatározását, az információbiztonsági szabályzat kiadását, valamint annak legalább kétévenkénti felülvizsgálatát. A § 6 a képzésről is rendelkezik, mert a vezető gondoskodik a védelmi feladatok oktatásáról, továbbá saját maga és munkatársai kiberbiztonsági képzéséről. Az (EU) 2022/2555 irányelv art 20(1) szerint az irányító testületek hagyják jóvá a kiberbiztonsági kockázatkezelési intézkedéseket, felügyelik azok végrehajtását, és felelősségre vonhatók a szervezet jogsértéseiért, a § 11 alapján pedig a vezető kijelöli az elektronikus információs rendszer biztonságáért felelős személyt.

A vezető testületek NIS2 szerinti képzési kötelezettsége országonként

3. Kockázatelemzés és kockázatmenedzsment

A § 6 szerint a védelem alapja a működtetett kockázatmenedzsment keretrendszer, amelynek részeként a szervezet felméri és nyilvántartásba veszi a használt elektronikus információs rendszereket. Ugyanezen szakasz alapján a rendszerek biztonsági osztályba sorolása és a kockázatokkal arányos védelmi intézkedések meghatározása is a keretrendszer eleme. Az (EU) 2022/2555 irányelv art 21(2) a) pontja a minimális követelmények közé sorolja a kockázatelemzési és az informatikai biztonsági szabályzatokat. Az irányelv art 21(1) szerint az arányosság megítélésekor a kockázati kitettség mértéke, a szervezet mérete, valamint az események valószínűsége és súlyossága számít.

A platform ezt a dokumentumot automatikusan elkészíti — a dokumentumcsomag része. Szolgáltatások

4. Kiberbiztonsági védelmi intézkedések

Az (EU) 2022/2555 irányelv art 21(2) minden veszélyre kiterjedő megközelítést ír elő, amelynek elemei az eseménykezelés, az üzletmenet-folytonosság a tartalékrendszerek kezelésével és a katasztrófa utáni helyreállítással, az ellátási lánc biztonsága, valamint a rendszerek beszerzésének, fejlesztésének és karbantartásának biztonsága. A felsorolás kiterjed az intézkedések hatékonyságát értékelő eljárásokra, az alapvető kiberhigiéniára és a kiberbiztonsági képzésre, a kriptográfiai szabályokra, a humánerőforrás-biztonságra, a hozzáférés-ellenőrzésre és az eszközgazdálkodásra, továbbá adott esetben a többtényezős hitelesítésre és a biztonságos kommunikációra. A 418/2024. Korm. rendelet § 4 alapján a szervezet a védelmi intézkedések meghatározásakor figyelembe veszi az Európai Bizottság és az ENISA kritikus ellátási láncokra vonatkozó összehangolt kockázatértékeléseinek eredményeit, amennyiben azok rendelkezésre állnak. Ugyanez a szakasz hiányosság megállapítása esetén az eredmény kézhezvételét követő 90 napon belül intézkedési terv készítését és jóváhagyásra benyújtását írja elő, a követelményeket pedig a jogszabály a hatálya alá tartozó szervezetekre egységesen, ágazati eltérés nélkül állapítja meg.

A NIS2 kockázatkezelési intézkedései kontra ISO 27001, DORA és GDPR

5. Incidensbejelentés és határidői

A 418/2024. Korm. rendelet § 77 a kiberbiztonsági incidensek bejelentését a kiberbiztonsági incidenskezelő központhoz rendeli, amelynek feladatait a rendelet § 65 alapján a Nemzetbiztonsági Szakszolgálat látja el. Az első bejelentést a szervezet indokolatlan késedelem nélkül, az incidensről való tudomásszerzéstől számított 24 órán belül nyújtja be. Az eseménybejelentésre a tudomásszerzéstől számított 72 órán belül kerül sor, és az az incidens első értékelését, súlyosságát és hatását is tartalmazza. A Központ kérésére közbenső helyzetjelentés készül, a zárójelentést pedig legkésőbb az eseménybejelentést követő egy hónapon belül kell benyújtani.

NIS2 incidensbejelentési határidők uniós országonként · A platform ezt a dokumentumot automatikusan elkészíti — a dokumentumcsomag része. Szolgáltatások

6. Írásos dokumentáció és audit

A § 6 kifejezetten írásos dokumentumot nevesít, amikor az információbiztonsági szabályzat kiadásáról és legalább kétévenkénti felülvizsgálatáról rendelkezik. Ugyanez a szakasz a rendszerek felmérésének és nyilvántartásba vételének, a szerepkörök és felelősök meghatározásának, valamint a biztonsági osztályba sorolásnak a rögzítését is feltételezi. A § 8 szerint a szervezet vezetője gondoskodik arról, hogy az adatok és dokumentumok, illetve azok változásai a változást követő 14 napon belül eljussanak a kiberbiztonsági hatósághoz. A § 16 alapján a törvény § 1 (1) bekezdés d) pontja szerinti, valamint a mikrovállalkozás kivételével az e) pontja szerinti szervezet kétévente kiberbiztonsági auditot végeztet, és az auditorral a nyilvántartásba vételt követő 120 napon belül köt megállapodást.

A csomag tartalmazza:

• Kiberbiztonsági kockázatkezelési szabályzat
• Incidenskezelési terv
• Működésfolytonossági terv
• Ellátási lánc biztonsági szabályzata
• A vezető testület felelősségéről szóló nyilatkozat és képzési terv
• Kitöltési varázsló a portálon

Karbantartás (havi) — a dokumentumok re-sign a hatályos jog szerint — 290 EUR/hó — Szolgáltatások

7. A bírságok felső határa

A 418/2024. Korm. rendelet § 42 szerint a kiszabható kiberbiztonsági bírság felső határa alapvető szervezet esetén a 10 millió euró forintban kifejezett összege, vagy ha az a magasabb, a megelőző pénzügyi év globális éves forgalmának 2%-a. Fontos szervezet esetén ez a felső határ a 7 millió euró forintban kifejezett összege, vagy ha az a magasabb, a megelőző pénzügyi év globális éves forgalmának 1,4%-a. Ugyanez a szakasz a jogszabályi kötelezettségét nem teljesítő vezetővel szemben 15 millió forintig terjedő bírságot tesz lehetővé. A törvény § 30 alapján a hatóság figyelmeztetéssel és határidő tűzésével él, a jogkövetkezmények alkalmazása során pedig az arányosság és a fokozatosság szempontjait veszi figyelembe.

NIS2 közigazgatási bírságok országonként