NIS2 az egészségügyben Magyarországon: hét lépéses útiterv a jogszabály szerint

1. A törvény hatálya az egészségügyi ágazatban

A 2024. évi LXIX. törvény 2. melléklete az egészségügyi ágazatban több szervezettípust nevesít: ide sorolja többek között az egészségügyről szóló törvény szerinti szolgáltatót, az egészségügyi tartalékokat és vérkészleteket kezelő szervezetet, a gyógyszer-nagykereskedőt, valamint a magas biztonsági szintű biológiai laboratórium üzemeltetőjét. A § 1 a hatályt ahhoz köti, hogy a szervezet középvállalkozásnak minősüljön, foglalkoztatotti létszáma elérje az 50 főt, vagy éves nettó árbevétele meghaladja a 10 millió eurónak megfelelő forintösszeget. A 2. mellékletben szereplő, középvállalkozási méretet elérő vagy azt meghaladó szervezetek alapvető szervezetnek minősülnek. A 2. melléklet szerinti azon szervezetek, amelyek nem minősülnek alapvető szervezetnek, fontos szervezetként tartoznak a törvény hatálya alá.

TEÁOR'25 21.10 — Gyógyszeralapanyag-gyártásTEÁOR'25 21.20 — Gyógyszerkészítmény gyártásaTEÁOR'25 86.10 — Fekvőbeteg-ellátásTEÁOR'25 86.21 — Háziorvosi ellátásTEÁOR'25 86.22 — Szakorvosi járóbeteg-ellátásTEÁOR'25 86.23 — Fogorvosi ellátás

Lásd még a szektor oldalát: Egészségügy · NIS2 szervezeti kategóriák — Magyarország

Indítsa el az ingyenes hatályvizsgálatot

2. A szervezet vezetőjének felelőssége és a képzési kötelezettség

A § 6 a szervezet vezetőjéhez telepíti a kockázatmenedzsment keretrendszer létrehozását és működtetését, valamint a védelemmel kapcsolatos szerepkörök, felelősök és feladatok meghatározását. Ugyanez a rendelkezés a vezető feladatává teszi a védelmi feladatok oktatását, továbbá a saját és a munkatársai kiberbiztonsági képzését, továbbképzését. Az (EU) 2022/2555 irányelv art 20(1) szerint az alapvető és fontos szervezetek vezető testülete jóváhagyja a kiberbiztonsági kockázatkezelési intézkedéseket, felügyeli azok végrehajtását, és felelősségre vonható a szervezet jogsértéseiért. A § 11 alapján a vezető kijelöli az elektronikus információs rendszer biztonságáért felelős személyt, vagy erre a feladatra a szervezeten kívüli személlyel köt megállapodást.

A vezető testületek NIS2 szerinti képzési kötelezettsége országonként

3. Kockázatmenedzsment és biztonsági osztályba sorolás

A § 6 a kockázatmenedzsment keretrendszer létrehozását és folyamatos működtetését írja elő az elektronikus információs rendszerek védelme érdekében. Ehhez a törvény a használt rendszerek felmérését és nyilvántartásba vételét, biztonsági osztályba sorolásukat, valamint a kockázatokkal arányos védelmi intézkedések meghatározását kapcsolja. Az (EU) 2022/2555 irányelv art 21(2) a) pontja a kötelező intézkedések közé sorolja a kockázatelemzési és az informatikai rendszerek biztonságára vonatkozó szabályzatokat.

A platform ezt a dokumentumot automatikusan elkészíti — a dokumentumcsomag része. Szolgáltatások

4. A kiberbiztonsági védelmi intézkedések köre

Az (EU) 2022/2555 irányelv art 21(2) tíz intézkedéscsoportot nevesít az eseménykezeléstől és az üzletmenet-folytonosságtól az ellátási lánc biztonságán át a hozzáférés-ellenőrzésig, a titkosítási szabályokig és a többtényezős hitelesítésig. A 418/2024. Korm. rendelet § 4 alapján a szervezet az intézkedések meghatározásakor és megfelelőségük mérlegelésekor tekintetbe veszi az Európai Bizottság és az ENISA kritikus ellátási láncokra vonatkozó összehangolt kockázatértékeléseit, amennyiben azok rendelkezésre állnak. Hiányosság megállapítása esetén ugyanez a rendelkezés az eredmény kézhezvételétől számított 90 napon belül intézkedési terv készítését írja elő, amelyet a nemzeti kiberbiztonsági hatóság hagy jóvá. Külön, kizárólag az egészségügyre szabott intézkedéskatalógust a jogszabály nem határoz meg, a követelmények a hatály alá tartozó alapvető és fontos szervezetekre egyaránt vonatkoznak.

A NIS2 kockázatkezelési intézkedései kontra ISO 27001, DORA és GDPR

5. Az incidensbejelentés szakaszai és határidői

A bejelentéseket a nemzeti kiberbiztonsági incidenskezelő központ fogadja, amelyként a 418/2024. Korm. rendelet § 65 a Nemzetbiztonsági Szakszolgálatot jelöli ki. A § 77 első lépésként indokolatlan késedelem nélkül, az incidensről való tudomásszerzéstől számított 24 órán belül benyújtott első bejelentést ír elő. Ezt a tudomásszerzéstől számított 72 órán belül eseménybejelentés követi, amely aktualizálja a korábban megadott adatokat, és tartalmazza az incidens első értékelését. A zárójelentés határideje az eseménybejelentés benyújtását követő egy hónap, ezen felül a Központ kérésére közbenső helyzetjelentés is benyújtandó.

NIS2 incidensbejelentési határidők uniós országonként · A platform ezt a dokumentumot automatikusan elkészíti — a dokumentumcsomag része. Szolgáltatások

6. Szabályzatok, nyilvántartások és adatszolgáltatás

A § 6 az információbiztonsági szabályzat kiadását, valamint annak legalább kétévente esedékes felülvizsgálatát írja elő, továbbá a használt elektronikus információs rendszerek nyilvántartásba vételét és biztonsági osztályba sorolását. Az (EU) 2022/2555 irányelv art 21(2) f) pontja szerint az intézkedéscsomag részét képezik azok a szabályzatok és eljárások is, amelyek a kockázatkezelési intézkedések hatékonyságának értékelését szolgálják. A § 8 alapján a szervezet az adatok és dokumentumok változását a változást követő 14 napon belül küldi meg a kiberbiztonsági hatóság részére. A törvény § 16 az § 1 (1) bekezdés d) és e) pontja szerinti szervezetek számára – a mikrovállalkozás kivételével – kétévente kiberbiztonsági auditot ír elő, az auditorral pedig a nyilvántartásba vételt követő 120 napon belül jön létre megállapodás.

A csomag tartalmazza:

• Kiberbiztonsági kockázatkezelési szabályzat
• Incidenskezelési terv
• Működésfolytonossági terv
• Ellátási lánc biztonsági szabályzata
• A vezető testület felelősségéről szóló nyilatkozat és képzési terv
• Kitöltési varázsló a portálon

Karbantartás (havi) — a dokumentumok re-sign a hatályos jog szerint — 290 EUR/hó — Szolgáltatások

7. A kiberbiztonsági bírság felső határai

A 418/2024. Korm. rendelet § 42 szerint alapvető szervezet esetén a kiszabható bírság felső határa 10 millió eurónak megfelelő forintösszeg, vagy ha ez a magasabb, az előző pénzügyi évi globális éves forgalom 2%-ának megfelelő összeg. Fontos szervezet esetén ugyanez a felső határ 7 millió eurónak megfelelő forintösszeg, vagy ha ez a magasabb, az előző pénzügyi évi globális éves forgalom 1,4%-ának megfelelő összeg. Ha a szervezet vezetője a jogszabályban előírt kötelezettségét nem teljesíti, a nemzeti kiberbiztonsági hatóság 15 millió forintig terjedő bírsággal sújthatja. A § 30 alapján a hatóság a jogkövetkezmények alkalmazása előtt figyelmeztetéssel és határidő tűzésével él, és eljárása során az arányosság és a fokozatosság szempontjait veszi figyelembe.

NIS2 közigazgatási bírságok országonként