A telt ház is jelezte a NIS2 direktíva hazai bevezetésével kapcsolatos érdeklődést a 2024 március 19-én a „NIS2 – aki bújt, aki nem, jövök!” címmel megrendezett konferencián, Budapesten. Mind az előadók, mind a vendégek a vállalkozások és az intézmények mellett a szabályozói szektorból is képviseltették magukat – ez is mutatja a jogszabályi változások széleskörűségét és IT-piaci hatásait.
Az egész napos konferencia sikere is jelzi, hogy komoly igény mutatkozik a hálózati és információs rendszerek biztonságáról szóló, európai szintű irányelvvel kapcsolatos szakmai párbeszédre. Nem véletlenül, hiszen a NIS2 (Network and Information Security Directive 2) Magyarországon több mint 2000 cég és szervezet tevékenységét fogja befolyásolni. Mint több előadásban is elhangzott, z auditok elvégzésére szabott 2025 december 31-ei határidő már kényelmetlenül közel van – de az érintettek jelentős része még mindig nem tett érdemi lépéseket.
Vidéken tartott rendezvényeken, az előadások után kimutathatóan növekszik a Szabályozott Tevékenységek Felügyeleti Hatóságánál (SZFTH) bejelentkező, a NIS2 hatálya alá eső cégek száma, mondta el Bencsik Balázs, a hatóság kiberbiztonsági tanúsítási igazgatója. Ez is alátámasztja a tájékoztatás fontosságát, tette hozzá. A direktíva és az azt „lefordító” magyar jogszabályok célja egyértelmű: az egységes kiberbiztonság megteremtése. Bár a magyar cégek IT-biztonsági érettségi szintje erősen változó, de szerencsére ma már nem mindenki a nulláról indul. A hivatal célja a segítségnyújtás – a bírságolás már csak a legutolsó eszköz, mellyel az együtt nem működő partnereket kezelik majd. Bencsik Balázs kiemelte: az SZFTH nem azt várja el az érintett cégektől, szervezetektől, hogy az első auditon minden területen hibátlanul teljesítsenek: a piaci szereplőknek kiszervezett, alapos ellenőrzés ugyanakkor fontos ahhoz, hogy objektív képet kapjon minden érintett szervezet, mind a hatóság a valós IT-biztonsági helyzetről.
Klement Gábor, a filter:max Kft. ügyvezető igazgatója szerint az egész magyar IT-szektor dinamikusan fejlődik, és ahogyan a GDPR jelentette korábbi, komoly kihívást is sikerült az érintetteknek „megugrania”, úgy várhatóan a NIS2-es esetében is ez fog következni. Igaz, mint emlékeztetett, már akkor is sokan ténylegesen a legutolsó hónapra hagyták az érdemi munkát – ez azonban most egészeb bizonyosan nem lesz működőképes megoldás. Olcsóbb védekezni, mint a bekövetkezett cyberesemény után a következményeket felszámolni, tette hozzá az ügyvezető.
Sándor Zsolt András a Gill & Murry ügyvezetőjeként jelentős auditori és okatói tapasztalatait elővéve igyekezett segíteni a NIS2 hatékony kezelésében, az „okosba megoldjuk” és a „mindent tökéletesre csiszolunk” között manőverezve. A szakember többek között a sérülékenységvizsgálat, az üzletmenet-folytonosság fenntartása és a tesztelések fontosságát hangsúlyozta. Mindenki el van késve már most, hangzott a nem túl biztató diagnózis, de ő is hangsúlyozta: az irány, amerre elmozdulunk, jó és egyre többen ismerik fel, hogy a védekezés olcsóbb, mint a romeltakarítás.
Urzica Olivér, a Prianto Magyarország régiós igazgatója szerint a direktíva létjogosultságát az elmúlt esztendőkben történt rengeteg cybertámadás is kellőképpen alátámasztja. Ma még mindenki jogi kötelezettségként tekint a NIS2-re, de az igazgató szerint igazából katalizátorként kellene tekinteni a jogszabályokra és rendeletekre. A jól bevezetett és auditált információbiztonsági rendszer a cégek számára versenyelőnyt jelenthetnek és segít behozni az IT-biztonság területén jelentkező, akár több éves lemaradást is.
Az egérrágta, régi házakhoz hasonlóan ma is rengeteg lyuk tátong az informatikai rendszereken, szögezte le Gerner Viktor, az Invitech ICT Services Kft. IT biztonsági csoportjának Technical sales szakmai vezetője. A szakember arra biztatott mindenkit, hogy alaposan nézzen körben a szállítók között: az Invitech például akár megosztott infrastruktúrára vagy havidíjas szolgáltatási modellel is segít a NIS2-nek megfelelő rendszerek kialakításában.
A cégek körében még mindig jelentős az információhiány és a bizonytalantól való félelem, hangzott el az első blokkot lezáró kerekasztalon, ahol Balogh Turul, a Tresorit vállalatcsoport szintű információbiztonsági és adatvédelmi vezetője, Bencsik Balázs az SZFTH kiberbiztonsági tanúsítási igazgatója, D. László István, az United Consult kiberbiztonsági vezetője, Jobbágy László, a Szerencsejáték Zrt. igazgatója és Pataki Tünde, Invitech ICT Services Kft. Stratégiai és Kiemelt ügyfelek csoportjának üzletágvezetője foglalt helyet. Nem csak a papíroknak kell megfelelni., hanem valóban hatékony biztonságot kell kialakítani. Ugyanakkor nem szabad azt sem elfelejteni, hogy a cégvezetők a megtérülő befektetéseket várják el – és ez igaz lesz a NIS2-re is.
A délutáni előadásokat Orosházi Dávid, a Nemzetbiztonsági Szakszolgálat Nemzeti Kibervédelmi Intézetének (NKI) megbízott főosztályvezetője nyitotta. A törvényi háttér megvilágítását követően az intézet hatásköreit mutatta be. Mint hangsúlyozta, az NKI olyan tevékenységet folytat, ami még piaci szemmel vizsgálva is valódi szolgáltatásokat jelent. A szakember emlékeztetett a hazai kritikus infrastruktúrákat érintő CER (Critical Entities Resilience) direktívára, mely szintén jelentős változásokat hozhat majd az IT-világban.
Nem tette feleslegessé a sales munkáját a NIS2, sajnos, jegyezte meg Hirsch Gábor, a Thales regionális értékesítési managere. Mint hangsúlyozta, a direktíva ugyan EU-szintű, de a bevezetések országonként változnak. A biztonsági eszközeiről, többek között a többfaktoros azonosítási, a tárolt és a továbbított adatokat védő titkosítási megoldásairól ismert cég komplex adatvédelmet kínál a vevőknek. A szakember szerint minden rendszer kritikus fontosságú eleme a megfelelő hozzáférésmanagement, így erre külön figyelmet érdemes fordítani.
Marsi Tamás, az NKI főosztályvezetője szerint egyértelműen össztűz zúdul az állami szervezetekre. A 0. napos biztonsági réseket is elsősorban rajtuk alkalmazzák, de gyakoriak a ransomware és az adathalász akciók is. A főosztályvezető mindenkit arra biztatott, hogy figyeljék az NKI weboldalát, hiszen az a NIS2-vel kapcsolatban is egyre bővülő információforrásként használható.
A konferenciát záró kerekasztal résztvevői, Házer István, az MVM Paksi Atomerőmű Zrt. információbiztonsági vezetője, Hirsch Gábor, Orosházi Dávid, és Sebestyén Gábor, a Kormányzati Informatikai Fejlesztési Ügynökség (KIFÜ) információbiztonsági vezetője igyekeztek bekapcsolni a már említett ébresztőórát.
A NIS2-vel kapcsolatban még erősebben jelentkeznek az IT-biztonság területén már jól ismert problémák: a szakemberhiány, az erősen eltérő érettségi szint, a pénzügyi erőforrások korlátossága. A legnagyobb kihívással azok a cégek, szervezetek néznek szembe, melyek eddig nem estek külön szabályozás hatása alá vagy csak minimális szinten foglalkoztak az információbiztonsággal. Gyakran már az is eredmény, ha ők elmozdulnak, elindulnak valamerre és legalább az oktatás, a képzés, a tudatosság növelése területén lépéseket tesznek előre.
