A NIS 2 irányelvcsomag erősítené meg a kiberbiztonságot Európa szerte, amely elődjéhez, a NIS 1-hez képest jóval több szektorban tevékenykedő nagyvállalatra lesz érvényes, bejelentési és felelősségvállalási kötelezettséget írva elő. Noha a nagyvállalatoknak kötelező, hatása a kkv-khoz is leszivárog.
Az orosz-ukrán háború fizikailag idén februárban indult, de a virtuális térben évek óta zajlanak összecsapások, több fél bevonásával. A jelenség csak még jobban kihangsúlyozta, hogy a kibertér biztonságára hatósági szinten is figyelni kell. Az Európai Unió már 2016-ban elfogadta a Network and Information Security (NIS) első verzióját, ám a GDPR-rel szinte egyidőben elfogadott irányelv gyakorlati alkalmazása nem érte el a kívánt hatást. Ezért döntöttek úgy az európai törvényhozók, hogy frissítik az irányelvet.
A NIS 1 módosításán még 2021-ben elkezdtek dolgozni a jogalkotók, az Ipari, Kutatás és Energia Bizottság 2021. október 28-án fogadta el róla a jelentését, és előírta az EU-s intézmények közötti tárgyalásokat a szövegezésről. Az Európai Tanács 2021. december 3-án fogadta el a saját verzióját, az egyeztetett, de nem végleges verzió 2022. május 13-án született meg. Ezután a szöveget formálisan el kell fogadnia a különböző EU-s szervezeteknek, kihirdetését követően a tagállamoknak 21 hónapjuk lesz a helyi implementálásra.
A közép- és nagyvállalatokra terjed ki
Az irányelv végleges szövegezésére még várni kell ugyan, de az látszik, hogy az elődjénél sokkal pontosabban meghatározza azokat a szervezeteket, amelyekre érvényes lesz. Az EU-s jogalkotók a nagyvállalatokat szeretnék biztonságtudatosabbnak látni a kibertérben, és azok elég erősek is ahhoz, hogy az irányelvben foglaltakat teljesíteni tudják. A direktíva ugyanis azokra a szervezetekre lesz érvényes, amelyek több mint 250 alkalmazottat foglalkoztatnak, és éves bevételük meghaladja a 10 millió eurót. Számítások szerint közel százezer, Európa területén tevékenykedő szervezetet érint.
A NIS 1-hez képest jelentősen bővítették azokat a szektorokat, melyekre érvényes lesz a direktíva. (Lásd a „A NIS 2 hatálya alá eső szektorok” című keretet!) A bírság a NIS 2 alá eső vállalatok számára hasonlóan tetemes összeg, mint ahogy azt a GDPR tekintetében megszokhattuk: a vállalat éves bevételének 2 százaléka vagy 10 millió euró. Ez is jelzi, hogy komolyan gondolja a törvényalkotó a kiberbiztonság megerősítését.
| A NIS 2 hatálya alá eső szektorok
A nélkülözhetetlen és fontos szervezetek számára kötelező a NIS 2. A nélkülözhetetlen szervezetek az irányelv szerint a következő szektorokban működnek: energia, szállítás, bank, pénzügyi piacok infrastruktúrája, egészségügy (beleértve a gyógyszergyárakat is), ivóvíz-szolgáltatók, csatornázási művek. A digitális infrastruktúraszolgáltatókra is érvényes: DNS-szolgáltatókra, TLD névregisztrátorokra, felhőszolgáltatókra, adatközpontokra, tartalomszolgáltatókra, elektronikus kommunikációs szolgáltatókra, közcélú kommunikációs hálózatokra), a közigazgatási szervekre és az űripari vállalatokra egyaránt. A fontos szervezetek közé tartoznak a következő szektorban tevékenykedő cégek: postai és futárszolgáltatások, hulladékkezelés, vegyipar, élelmiszergyártás, orvosi eszközök gyártása, számítástechnikai eszközök gyártása, nehézgépek gyártása, autóipar és digitális szolgáltatók (online piacterek, online keresők, közösségi média platformok). |
Jelentési kötelezettség, személyes felelősség
„A NIS 2 azért lesz érdekes irányelv, mert EU-s szinten igyekszik még jobban harmonizálni a kibervédelem területét. A tagállamok ez irányú szabályozása sokkal töredezettebb, mint ahogy az adatvédelem szempontjából volt”, mondja Domokos Márton, a CMS ügyvédje. Külön jogszabályok foglalkoznak a kérdéssel, amelyek adott esetben különböző biztonsági sztenderdeket írnak elő, illetve különböző vállalatokra, szervezetekre terjednek ki. A NIS 2 egy irányelv, ami azt jelenti, hogy a helyi jogalkotásba be kell építeni, de tartalmaz egy precíz felsorolást, amely előírja, hogy konkrétan milyen új szervezetekre terjed ki. Ezekre kiberbiztonsági auditot ír elő, de több technológiai és szervezeti változtatással is emelnék a szervezetek kibervédelmi szintjét. Például, a GDPR-hoz hasonlóan kiberbiztonsági incidens esetén jelentési kötelezettséget ír elő az újonnan bekerült szervezetekre is. De szerencsére, ebben is eléggé rugalmas.
A kiberbiztonsági esemény elején, amikor a vállalat épp csak hogy tudomást szerzett az incidensről, nincs meg minden információ. Ezért az irányelv tervezete kétfázisú bejelentést tenne lehetővé: ha egy szervezetet kibertámadás ér, akkor 24 órán belül ezt jelentenie kell a hatóságoknak, majd 72 órán belül kiegészítheti ezt a bejelentést. „Tehát van a szervezetnek két napja, amikor lehetőség adódik vizsgálni az incidens eredetét, hogy az milyen adatokat érintett, milyen intézkedéseket tudnak tenni”, folytatta az ügyvéd.
Az irányelv tervezete bevezetné a vezetők, menedzserek személyes felelősségét a kiberbiztonság tekintetében. Ez azt jelenti, hogy elterjedtebbé válik vezetői szinten a kiberbiztonsági felelősségvállalás, azaz várhatóan sokkal biztonságtudatosabban vezetik majd szervezetüket a menedzserek. Bevezeti az irányelv a kockázatelemzés témakörét is, ami például az ellátási lánc kapcsán komoly veszteségeket előzhet meg. A kockázatelemzésnek tartalmaznia kell egy tervet arra vonatkozóan, hogy hogyan előzzük meg az incidenseket, hogyan válaszoljunk azokra – ami újból a biztonságtudatosság növekedését hozza magával.
Domokos Márton szerint nem feltétlenül szerencsés, hogy az irányelv tervezete csak a nagyobb vállalatok számára írná elő a kibervédelem erősítését, hiszen az ellátási lánc fontos szereplői, a kkv-k is sérülékenyek. A szándék nyilvánvaló, a jogalkotó nem kívánta terhelni ezeket az erőforrás szűkében lévő cégeket. „De el tudom képzelni, hogy hiába nem érvényes a beszállítóra a NIS 2 irányelv, szerződéses partnere megköveteli tőle a benne foglaltak teljesítését. Így az emelt szintű kiberbiztonsági intézkedések a kisebb vállalatokhoz is leszivárognak”, fejezte be Domokos Márton.
