A technológiai fejlődés ma már minden szegletét behálózza mindennapi életünknek. Ezért is kerül egyre nagyobb fókuszba a hálózati és információs rendszerek biztonsága, avagy a kiberbiztonság, amelynek védelmére az EU megalkotta a NIS 2 irányelvet. Az irányelvet átültető hazai jogszabály számos új kötelezettséget tartalmaz a szolgáltatók számára és kialakítja a kötelező hazai kiberbiztonsági tanúsítási rendszert.
A kiberbiztonsági aggályokra válaszul az Európai Unió jogalkotói igyekeztek egy védelmi keretrendszert kialakítani, emiatt született meg a NIS irányelv. Ezt továbbfejlesztve és a GDPR-ral kapcsolatban tapasztalt nehézségekből okulva alkották meg a NIS 2 irányelvet. Az érintett piaci szereplők így egy egységes keretrendszeren belül tudják működésük kiberbiztonsági irányát meghatározni, világosan láthatják az őket érintő követelményeket. A NIS 2 rendelkezéseinek átültetése a gyakorlatba nem utolsó sorban a kibervédelmi incidensek csökkenését vetíti előre, amely egyértelműen előmozdítja a vállalkozások gazdasági céljainak teljesülését.
A NIS 2 legjelentősebb újítása elődjéhez képest az irányelv hatályának kibővítése, amely jóval több ágazatra terjed ki.
A NIS 2 irányelvet a Kibertanúsítási törvény ülteti át a magyar jogba.
Fontos kiemelni, hogy a Kibertanúsítási törvény nem csak a NIS 2-t implementálja, hanem az ENISA rendelet végrehajtási kötelezettségének is eleget tesz (az Európai Uniós Kiberbiztonsági Ügynökségről és az információs és kommunikációs technológiák kiberbiztonsági tanúsításáról, valamint az 526/2013/EU rendelet hatályon kívül helyezéséről (kiberbiztonsági jogszabály) szóló az Európai Parlament és a Tanács 2019. április 17-i (EU) 2019/881 rendelete), így kialakítva a nemzeti kiberbiztonsági tanúsítási rendszert. A 2023. május 24-től hatályos 10/2023. (V. 15.) SZTFH rendelet a törvény tanúsításra vonatkozó szabályait tölti meg tartalommal.
A Kibertanúsítási törvény szerkezetét a fenti két EU jogszabály határozza meg. A törvény külön fejezetben szabályozza a két témakört (II. és III. fejezetek), amelyek azonban néhány ponton összefüggenek. Fontos kiemelni, hogy a NIS 2-t implementáló III. fejezet alanyi köre eltér az ENISA rendeletet végrehajtó II. fejezetétől.
NIS 2 implementációja
A NIS 2-t implementáló Kibertanúsítási törvény III. fejezete meghatároz „kiemelten kockázatos” és „kockázatos” ágazatokban működő szolgáltatókat és szervezeteket. Kiemelten kockázatos ágazat például az egészségügyi, űrkutatási szektor, hírközlés vagy digitális infrastruktúra, kockázatosnak pedig többek között az élelmiszer és vegyszer gyártás, elektronikai termék gyártása, a digitális szolgáltatók vagy a postai szolgáltatás minősül. A NIS 2 irányelv és így a Kibertanúsítási törvény főszabály szerint – üdvözlendő módon – méretbeli különbséget tesz a hatálya alá tartozó szervezetek között. A kockázatos és kiemelten kockázatos ágazatokban működő állami vagy magánszervezetek akkor tartoznak a törvény hatálya alá, amennyiben az Európai Unión belül szolgáltatnak, tevékenykednek és legalább középvállalkozásnak minősülnek [legalább 50 munkavállalót foglalkoztatnak ÉS éves nettó árbevételük és/vagy mérlegfőösszegük meghaladja a 10 millió eurót], az ennél kisebb szervezetekre tehát nem vonatkoznak az új kiberbiztonsági kötelezettségek. Ez alól a főszabály alól azonban vannak kivételek, amelyek alapján akár egy egyéni vállalkozó, vagy egy bt. is érdekelt lehet. Ugyanis az elektronikus hírközlési szolgáltatók, a bizalmi szolgáltatók, a DNS-szolgáltatást nyújtó szolgáltatók, a legfelső szintű domainnév-nyilvántartók és a domainnév-regisztrációt végző szolgáltatók mérettől függetlenül a törvény hatálya alá tartoznak.
A törvényben még nem találhatók meg a két csoport közti különbséget kibontó szabályok, de a NIS 2-ből kiindulva a kiemelten kockázatos szervezetek csoportjának fokozottabb követelményeknek kell majd megfelelniük például az incidenskezelés, a felügyelet esetében vagy magasabb összegű büntetést kell fizetniük egy szabályszegés következményeként.
A kiemelten kockázatos és kockázatos ágazatban működő szervezetekből kiemelünk az alábbiakban néhányat, amelyek a digitális infrastruktúrára és a digitális szolgáltatókra, valamint a hírközlési szolgáltatókra vonatkoznak, mivel ezek a jellemzően érintett ágazatok, és eleve szélesebb vállalkozói kört érintenek:
Hírközlési szolgáltatás (kiemelten kockázatos)
- Az elektronikus hírközlésről szóló törvény szerinti elektronikus hírközlési szolgáltató
- Adatkicserélő szolgáltatást nyújtó szolgáltató
- Az elektronikus ügyintézés és a bizalmi szolgáltatások általános szabályairól szóló törvény szerinti bizalmi szolgáltató
Digitális infrastruktúra (kiemelten kockázatos)
- Felhőszolgáltató
- Adatközponti szolgáltatást nyújtó szolgáltató
- Legfelső szintű domainnév-nyilvántartó
- DNS-szolgáltató
- Tartalomszolgáltató hálózat szolgáltatója
Kihelyezett IKT (Outsourced ICT) (kiemelten kockázatos)
- Kihelyezett (irányított) infokommunikációs biztonsági szolgáltatást nyújtó szolgáltató
- kihelyezett (irányított) infokommunikációs szolgáltatást nyújtó szolgáltató
Digitális szolgáltatók (kockázatos)
- Az online-piactér szolgáltatója
- E-Ker törvény szerinti keresőszolgáltató
- Közösségi média szolgáltatási platform szolgáltatója
- Domainnév regisztrációt végző szolgáltató
A Kibertanúsítási törvény III. fejezete a kockázatos és kiemelten kockázatos ágazatokban működő szervezetek elektronikus információs rendszereire alapvető kiberbiztonsági intézkedéseket ír elő. Ennek keretében lényeges kötelezettség lesz, hogy a biztonsági kockázatokat osztályozni kell: alap, jelentős és magas szintek egyikébe kell sorolni a rendszereket – a szintek pontos meghatározását és a hozzájuk tartozó konkrét védelmi intézkedéseket a később megjelenő rendelet fogja meghatározni. A törvénynek való megfelelés érdekében kétévente kötelező lesz kiberbiztonsági auditot is végezni. A jogszabályi kötelezettségek betartását a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) fogja ellenőrizni. A megfelelő védelmi intézkedések igazolása során lehetőség van tanúsított IKT termékekre, szolgáltatásokra, folyamatokra is hivatkozni, itt tehát a Kibertanúsítási törvény II. fejezete szerinti tanúsítás és a III. fejezet szerinti elektronikus információs rendszerekkel kapcsolatos védelmi intézkedések összefügghetnek.
A domain nevek nyilvántartásával, mint speciális területtel kapcsolatosan külön rendelkezéseket tartalmaz a Kibertanúsítási törvény, így meghatározza pl. a domainnév-nyilvántartás tartalmát is.
A NIS 2-t implementáló Kibertanúsítási törvény III. fejezete még nem lépett hatályba, ez fokozatosan, 2024. január 1-jén és 2024. október 18-án fog megtörténni.
ENISA rendeletet végrehajtása
Parlament és a Tanács 2019. április 17-i (EU) 2019/881 rendeletét végrehajtó Kibertanúsítási törvény II. fejezete piaci oldalról nézve az IKT termékek, szolgáltatások, folyamatok gyártóira ró kötelezettségeket. A “gyártó” törvény szerinti fogalma magába foglalja az IKT-termék gyártóját, IKT-szolgáltatás nyújtóját, valamint IKT-folyamat gyártóját vagy nyújtóját is. Reálisan a Kibertanúsítási törvény II. fejezete szerinti „gyártó” a III. fejezet szerinti alanyi körbe is bele fog tartozni.
Az SZTFH mint magyar nemzeti hatóság nemzeti kiberbiztonsági tanúsítási rendszereket fog elfogadni, amelyek kötelezően alkalmazandók lesznek az adott IKT termékre, szolgáltatásra, folyamatra. A gyártó köteles a terméket, szolgáltatást, folyamatot tanúsíttatni, amennyiben nemzeti kiberbiztonsági tanúsítási rendszer vonatkozik rá. Az IKT terméket, szolgáltatást, folyamatot az előre megalkotott tanúsítási rendszerek fogják meghatározni, a gyártóknak eltérő kötelezettségeik lesznek. Meghatározzák továbbá, hogy az adott IKT termék, szolgáltatás, folyamat melyik megbízhatósági osztályba tartozik és ahhoz az osztályhoz tartozó követelményeknek megfelelve kell majd eljárni. Három osztályt különböztet meg a jogszabály a felmerülő kockázatok alapján: alap, jelentős és magas. Alap kockázati szint esetén a gyártó öntanúsítást végezhet – de természetesen akkreditált külsős cégre bízhatja ezt is. Jelentős és magas kockázati szint esetében az öntanúsításra nem lesz lehetőség, azt már mindenképpen független, az SZTFH által akkreditált tanúsító szervezettel kell végeztetni. A tanúsító szervezetek külön engedély birtokában végezhetik tevékenységüket, ennek feltételei rendkívül szigorúak és várhatóan az országban csak néhány szereplő tud majd azoknak megfelelni. A tanúsítás elvégzésére még nincs határidő, a később megszülető tanúsítási rendszereket létrehozó rendeletek fogják azt feltehetőleg tartalmazni. Az már most is látszik azonban, hogy a tanúsítást nem érdemes az utolsó pillanatra hagyni, mert minél összetettebb egy szervezet, annál több időt fog igényelni a tanúsítási folyamat.
A tanúsítás nélküli IKT termékek, szolgáltatások, folyamatok pedig nem értékesíthetők a vonatkozó tanúsítási határidő lejárta után.
A Kibertanúsítási törvény II. fejezetének 15. §-a már hatályos 2023. május 26-tól, amelynek keretében elvileg már alkalmazandók a megfelelőségértékelő és a gyártó (szolgáltató) szervezetekre a biztonsági, eljárási és felügyeleti keretszabályok. Ez azért fontos, mert bármilyen, ezzel kapcsolatos kormányrendelet, vagy SZTFH rendelet elfogadása és hatálybalépése esetén ezen rendelkezések már rögtön alkalmazhatóvá válnak.
A kibertanúsítási fejleményeket tehát érdemes fokozottan figyelni és az új követelményeknek való megfelelés előkészítését időben elkezdeni.
