NIS2 irányelv
A NIS2 irányelv az Európai Unió szabályozása, amelynek célja a kiberbiztonság növelése, a kiemelt ágazatok fenyegetettségének csökkentése
Mit is szabályoz a NIS2?
A NIS2 rendelet és annak magyarországi jogszabályi megvalósítása előírja, hogy a rendelet hatálya alá tartozó szervezeteknek meg kell felelniük bizonyos kiberbiztonsági követelményeknek.
Ezeket a követelményeket részletesen a 2023. évi XXIII. törvény szabályozza, amelynek központi eleme a kockázatmenedzsment alkalmazása és a kockázatarányos védelem kialakítása.
A főbb követelmények közé tartozik a kockázatelemzés és -kezelés, a kiberbiztonsági incidensek észlelése, az incidensekre való reagálás és azok megfelelő jelentése, a hozzáférés-kezelés, a titkosítás alkalmazása, a fizikai-, logikai-, és adminisztratív védelmi intézkedések kialakítása, valamint az üzleti folyamatok folytonosságának biztosítása a kiberbiztonsági incidensek alatt és után.
Kire vonatkozik?
Kiemelten kritikus ágazatok
- Energetika (villamos energia, távfűtés és -hűtés, olaj, gáz, hidrogén)
- Közlekedés (légi-, vízi-, vasúti-, közúti szállítás)
- Banki szolgáltatások, pénzügyi piaci infrastruktúrák
- Közigazgatás
- Egészségügy
- Ivóvíz, szennyvíz
- Hírközlési szolgáltatás
- Digitális infrastruktúra (internet-, DNS- és felhőszolgáltatók)
- Kihelyezett IKT szolgáltatások
- Űralapú szolgáltatás
Minden szervezetre vonatkozik az ágazatok közül, létszámtól és éves árbevételtől függetlenül!
Kritikus ágazatok
- Postai és futárszolgáltatások
- Élelmiszer előállítás, feldolgozás, forgalmazás
- Hulladékgazdálkodás
- Vegyszerek gyártása, előállítása és forgalmazása
- Digitális szolgáltatók
- Kutatás
- Orvostechnikai eszközök, számítógépek, elektronikai termékek
- Gépjárművek, pótkocsik, egyéb szállítóeszközök gyártása
A NIS2 irányelv a fenti ágazatokban a közép- és nagyvállalatokra vonatkozik, azaz a legalább 50 fő alkalmazottal vagy legalább éves 10 millió euró árbevétellel rendelkezőkre.
A legfontosabb határidők
2024.01.01.
2024.06.01.
2024.10.18
2024.12.31.
2025.06.01.
(2023. évi CIII. törvény alá tartozó szervezeteknek kötelező)
2025.12.31. (?)
NIS2 könnyedén az Eramba GRC szoftver segítségével
A NIS2 irányelv bevezetéséhez szükséges megannyi dokumentáció, incidenskezelési eljárás, valamint a teljes menedzsment optimalizált megoldásért kiált. Egy ilyen robosztus, ugyanakkor könnyedén kezelhető GRC szoftver az Eramba, amely nem csak tudásával, de kedvező árazásával is vállalatok tízezreit segíti.
Cégünk az Eramba kiemelt partnereként elsőként értesül az újdonságokról, frissítésekről, magyar nyelvű, videó alapú, online oktatási anyagaink pedig valóban gyerekjátékká teszik a betanulást és a mindennapi feladatok ellátását.
A bevezetés lépései
I. Adatgyűjtési fázis
A szervezet érettségétől függően magába foglalja a szervezet-, illetve az informatikai rendszer felépítésének megismerését, a kezelt adatok azonosítását.
Ebben a fázisban kerülnek megismerésre a jelenlegi szabályozó dokumentumok is.
II. Hiányosságok azonosítása
Rögzítésre kerülnek azok a projektek és feladatok, amelyeket a szervezetnek a biztonság növelésének érdekében létfontosságú kialakítania.
III. Kockázatok elemzése
Azonosításra kerülnek a kritikus rendszerelemek (BIA alapon), majd egy tételes fenyegetési lista alapján összeállított kockázatelemzés történik.
Figyelembe véve a jelenlegi intézkedéseket, dokumentálásra kerül a kockázatok kezelt értéke.
IV. Szabályzatok kialakítása
A szabályozó dokumentumoknak azon túl, hogy meg kell felelniük az előírásoknak, illeszkedniük kell a szervezet méretéhez, működéséhez és a jelenlegi szabályozó dokumentumokhoz (arculathoz).
Egy hatékony szabályzati rendszernek követelményeket kell rögzítenie, de csak abban az esetben képes betölteni a szerepét, ha felépítése segíti a használatot és illeszkedik a szervezet folyamataihoz.
V. Eramba konfiguráció
Az Eramba szoftver ügyfél általi telepítését követően konfiguráljuk azt, ami magában foglalja a NIS2 követelmények rögzítését, a jogosultsági mátrix kialakítását, a kockázatkezelési keretrendszer és a helyettesítő intézkedések létrehozását.
Kialakításra kerülnek a kontrollok, megtörténik az értesítések beállítása, emellett biztosított a felhasználók oktatása is.
A NIS2 irányelv szankciói
A Kormány 186/2024. (VII. 8.) Korm. rendelete alapján a következő büntetési tételekre lehet számítani:
- A nyilvántartásba vétel elmulasztása esetén minimum az előző évi árbevétel 0,5%-a, de minimum 1 millió Ft, maximum pedig 2% (legfeljebb 150 millió Ft)
- A nyilvántartásba vételhez szükséges adatszolgáltatás határidőn túli teljesítése esetén minimum 50.000 Ft, vagy az előző éves árbevétel 0,1%-a, de maximumum 15 millió Ft
Fontos azt is figyelembe venni, hogy a bírság után a szervezetnek ugyan úgy meg kell felelnie az előírásoknak, a bevezetés után pedig az ismételt audit díját is meg kell fizetnie.
A bevezetés elmulasztása, vagy nem megfelelő implementálása esetén a vezetők személyes felelősséget viselnek a kiberbiztonsági követelmények betartásáért. Kiemelten kritikus szervezetek esetében a bírság maximuma 10 millió euró vagy a globális forgalom 2%-a, míg kritikus szervezeteknél ez legfeljebb 7 millió euró vagy a forgalom 1,4%-a lehet. Az elvárások be nem tartása esetén a bírság ismételhető. A hazai büntetési tételeket várhatóan miniszteri rendelet határozza meg.
Oktatás és támogatás
Úgy látjuk, hogy a bevezetés során tartott oktatások szervezése számos cégnek jelent kihívást, sokszor pedig nem elég hatékonyak ahhoz, hogy a szoftvert megfelelően használják a felhasználók. Ezért létrehoztuk a LambdaShield Academy oktatói felületet.
GRC felhasználói oktatás
Az Eramba szoftver bevezetése után a LambdaShield Academy felületen kerül bemutatásra a szoftver használata.. A körülbelül 120 perces anyagban bemutatjuk azokat a teendőket melyeket az egyes szereplőknek végre kell hajtaniuk munkájuk során.
Díja: 180 000 Ft + ÁFA / szervezet
Tartalma: részletes tematikus oktatás és ehhez hozzáférés fél évig
LambdaShield Tudástár + Support
Havi előfizetésünk keretében, az 1 órányi konfigurációs szolgáltatás mellett hozzáférést biztosítunk folyamatosan bővülő, videó alapú tananyagunkhoz. Ezen rövid videók egyfajta kapaszkodót jelentenek a kinevezett információbiztonsági felelősnek, folyamatosan képezve őt, így a jogalkotók szándékával összhangban szervezeten belül lesz az a tudás, ami szükséges a sikeres audithoz.
Díja: 90 000 Ft + ÁFA / hó
Tartalma: havi 1 óra konfiguráció, support online oktatói platform hozzáférése