Nincs kétség afelől, hogy a NIS2-re szüksége van Európának és Magyarországnak, de a jogszabályi környezet hiányosságai miatt a megvalósítás módja, és még inkább határideje még kérdéses. A szakma készen áll, most mindenki a jogalkotókra vár – ez volt az általános hangulat az Infoparlament témában rendezett panelbeszélgetésén.
◼︎ Infoparlament 2024
Teljes volt az egyetértés a NIS2 kiberbiztonsági irányelv fontosságát illetően a beszélgetés résztvevői között, és a szakértők többnyire ugyanazokat az előnyöket emelték ki. A korábbinál magasabb szintű és egységes követelményeket vezet be az IT-biztonságra a kontinens vállalatai számára; növeli a biztonságtudatosságot a vállalkozások vezetőiben; a korábbinál sokkal szélesebb körre terjed ki a hatálya és így az ellátási láncban lényeges szerepet betöltő kis- és középvállalkozások is kénytelenek lesznek komolyabban foglalkozni a kiberbiztonsággal – sorjáztak a szempontok. Vereckei Béla, a Pro-M Zrt. biztonsági igazgatója a korábbi NIS szabályozásra utalva megemlítette, hogy a NIS2 már nem csak a „mit”-re ad választ az IT-biztonsággal kapcsolatban, hanem a „hogyan”-ra is.
Különösen a kisebb cégek bevonzása és a biztonságtudatosság erősítése fontos a gazdaság ellenállóképességének javítása szempontjából. Cserháti Vencel, a Huawei Magyarországért és Nyugat-Balkánért felelős kiberbiztonsági vezetője emlékeztetett arra, hogy az európai vállalatok 99 százaléka a kkv-körbe tartozik, ők adják az európai GDP felét és kiemelt szerepet játszanak az ellátási láncokban is. Ugyanakkor ők vannak leginkább kitéve a támadásoknak, és egy felmérés szerint 57 százalékuk végleg lehúzhatná a rolót, ha komolyabb kiberincidens érné őket. Az ellátási lánc biztonsága szempontjából lényeges, hogy az irányelv kitér a termelési (OT-) rendszerek biztonságára, mert az legalább 20 évvel van lemaradva az IT-világhoz képest, tett hozzá egy további szempontot Stecher Tamás, a 4iG senior pre-sales mérnöke.
Ne várj, inkább regisztrálj!
Vagyis a célok nemesek, az intézkedések indokoltak – a végrehajtás viszont annak ellenére is döcögős, hogy az uniós irányelv átemelése a hazai jogrendbe már több mint egy évvel ezelőtt elkezdődött. A vonatkozó magyar törvény (2023:XXII törvény a kiberbiztonsági tanúsításról) már tavaly májusban megjelent, és idén január 1-jétől van lehetősége az érintetteknek nyilvántartásba vétetni magukat az SZTFH-nál.
Az egyszerű elmélettel szemben azonban a gyakorlat messze nem ilyen egyértelmű. A regisztrációs időszaknak június 30-án zárul, azonban a hatósághoz még mindig több állásfoglalási kérelem érkezik be, mint amennyi regisztrációs igény – ismerte el Bor Olivér, a hatóság kommunikációs munkatársa, kiberbiztonsági szakértő. Olyan sok vállalkozás kér állásfoglalást azzal kapcsolatban, hogy a NIS2 hatálya alá tartozik-e, hogy az SZTFH már nem győzi a válaszokat.
Bor Olivér ezért két tanáccsal szolgált a potenciális érintetteknek. Egyrészt, próbálják meg „házon belül” értelmezni a jogszabályt, compliance szakértő, jogász vagy IT-szakember segítségével. Ha pedig valaki ezután is bizonytalan, inkább indítsa el a regisztrációs folyamatot, kérelmezze a nyilvántartásba vételét. A hatóság szakértője szerint ez maximum 10 perc alatt, online elvégezhető feladat – bár piaci visszajelzések alapján az informatikai rendszerek bonyolultságától és a beszállítói lánc kiterjedtségétől függően ennél jóval több időt is igénybe vehet.
Hiányzó és változó jogszabályok
Az érintetti kör nem egyértelmű meghatározásánál jóval nagyobb gondot okoz a piacon, hogy fontos részletszabályok még nem készültek el. Ezek közül a legjobban várt jogszabály az a miniszteri rendelet, amely az információs rendszerek biztonsági osztályokba sorolásáról és az azokhoz tartozó védelmi intézkedésekről szól. A szakmai előkészítő munkát elvégezték, a rendelet társadalmi egyeztetése lezajlott, most a jogalkotás adminisztratív része van soron – fogalmazott Szabó Lajos, a Nemzetbiztonsági Szakszolgálat alatt működő Nemezti Kibervédelmi Intézet (NKI) igazgatója. A végleges rendelet megjelenéséig azt tanácsolja, hogy a vállalkozások használják a nyilvánosan elérhető szöveget, mert abban már lényegi változások nem várhatók.
 Az adat fegyver is lehet A kibertér védelme nem csak gazdasági, hanem nemzetbiztonsági érdek is – fejtette ki még délelőtti előadásában Barthel-Rúzsa Zsolt, a Honvédelmi Minisztérium katonai nemzetbiztonsági irányításáért felelős államtitkára. „A háborúban az adat a mesterséges intelligencia lőszere”, fogalmazott. Ezért az ellenségről megszerzett adatok tömeges feldolgozása, támadó fegyverré alakítása, valamint a saját adatok megvédése az egyik legfontosabb megoldandó probléma. Ebben pedig az állami-katonai szektor számít a polgári szektor együttműködésére. Ugyanakkor fel kell oldani egy központi dilemmát. A dinamikus haderőfejlesztéshez gyors digitalizáció, ahhoz viszont nyitottság kell – a nyitottság viszont növeli a kitettséget, a sebezhetőséget. Az államtitkár a tudatos kockázatvállalás híve: nyissunk, de egyúttal hozzuk meg azokat a biztonsági intézkedéseket, amelyek révén garantálható, hogy a digitalizáció és a mesterséges intelligencia a katonák segítségére lesz, nem pedig kiszolgáltatottá teszi őket. (Korábbi cikkeink az idei Infoparlamentről ide és ide kattintva érhetők el.) |
A bizonytalanságot fokozza, hogy számos, az információbiztonsággal kapcsolatos jogszabály módosítására is sor kerül a közeljövőben. Így például készül az állami és önkormányzati szervek elektronikus információbiztonságáról szóló 2013. évi L. törvény utóda. A szakmai előkészítő munka lezajlott a Nemzeti Kiberkoordinációs Tanács égisze alatt működő munkacsoportban, és elkészült a szövegezés is, mondta Szabó Lajos. Innentől kezdve a törvényhozókon múlik, hogy a tervezetből mikor lesz elfogadott törvény. Erre azonban legkorábban már csak az Országgyűlés őszi ülésszakán kerülhet sor.
Auditor sincs még
A még hiányzó jogszabályok kapcsán Bor Olivér hangsúlyozta, hogy a NIS2 felkészültséget ellenőrizni hivatott auditorok kiválasztásának részletszabályai sem ismertek még, publikus információ nincs az erre vonatkozó kritériumokról, így egyetlen vállalkozás sem állíthatja magáról, hogy NIS2 auditor lenen.
Az viszont biztos, hogy szigorú szabályok vonatkoznak majd rájuk. Elsőként fel kell kerülniük az Alkotmányvédelmi Hivatal nyilvántartásába a sérülékenységvizsgálat elvégzésére jogosult cégek közé. Már ehhez is több komoly feltételnek kell megfelelni, így például a vállalkozásnak telephely-biztonsági tanúsítvánnyal kell rendelkeznie, az ügyvezetőknek és a cégjegyzésre jogosultaknak pedig nemzetbiztonsági ellenőrzésen kell átesniük.
Van némi lemaradás a DORA szabályozásban is, de nem a magyar fél hibájából – erről már Szegfű László, az MNB főosztályvezetője beszélt. Az MNB-nek, mint felügyeleti szervnek, július 17-ig kell beküldenie az Európai Bizottsághoz az újabb RTS-eket, majd meg kell várniuk, hogy arra megérkezzen a brüsszeli reakció. Szegfű László ezzel együtt is reménykedik abban, hogy november-december tájékán elkészülhet a végleges szabályozás.
