/ NIS2 MEGFELELÉS
A NIS2 irányelv és a magyar Kiberbiztonsági törvény sok szervezetet új kötelezettségek elé állít. A Qyntar végigvezeti az érintettség megállapításától a hiányelemzésen át a technikai intézkedések bevezetéséig, és segít abban, hogy a megfelelés ne papírgyártás, hanem valódi védelem legyen.
[ 01 ] / MI EZ
A NIS2 az Európai Unió kiberbiztonsági irányelve, amely a kritikus és fontos ágazatok szervezeteire vonatkozóan szigorúbb kockázatkezelési, incidensbejelentési és vezetői felelősségi követelményeket ír elő. Magyarországon a Kiberbiztonsági törvény ültette át. A szolgáltatásunk segít megállapítani, hogy az Ön szervezetét érinti-e, mit kell teljesítenie, és hogyan kell ezt hatékonyan megvalósítania. Ez nem jogi tanácsadás.
A NIS2 (Network and Information Security Directive 2) a 2016-os NIS irányelv felváltója. Jóval több ágazatot és szervezetet érint, szigorúbb követelményeket támaszt, és a megfelelés elmulasztásáért érdemi szankciókat is előír. Az irányelv különbséget tesz alapvető és fontos szervezetek között, a hatókör pedig főként az ágazattól és a szervezet méretétől függ (jellemzően közepes vagy annál nagyobb vállalkozások tartoznak ide). Az érintettség megállapítása az első lépés, mert sok szervezet nem tudja pontosan, hogy hatálya alá tartozik-e.
Az irányelv 21. cikke a technikai, működési és szervezeti kockázatkezelési intézkedések minimumát határozza meg. Ezek között szerepel a kockázatelemzés és az információs rendszerek biztonsági szabályzata, az incidenskezelés, az üzletmenet-folytonosság és válságkezelés, az ellátási lánc biztonsága, a biztonságos beszerzés és fejlesztés, a sérülékenységkezelés, a kontrollok hatékonyságának értékelése, a kibertisztasági képzés, a kriptográfia és titkosítás, a személyzeti biztonság, a hozzáférés-kezelés és az eszközkezelés, valamint a többfaktoros hitelesítés alkalmazása.
Új elem a vezetői felelősség: a vezetőség jóváhagyja a kockázatkezelési intézkedéseket, felügyeli a megvalósítást, és felelősségre vonható a megfelelés elmulasztásáért. A jelentős incidenseket szigorú határidőkkel kell bejelenteni: korai előrejelzés 24 órán belül, incidensbejelentés 72 órán belül, záró jelentés legkésőbb egy hónap alatt. Az alapvető szervezetekre kiszabható bírság legfeljebb 10 millió euró vagy a világszintű éves árbevétel 2%-a, a fontos szervezeteknél 7 millió euró vagy 1,4%, a magasabb összeget alkalmazva. A magyar szabályozás konkrét részleteit mindig a hatályos jogszabályból kell ellenőrizni.
Jogszabályok és támogató szabványok
[ 02 ] / KINEK AJÁNLJUK
Az érintett ágazatok szervezeteinek – és azoknak is, akik a nagy ügyfeleiken keresztül közvetve találkoznak a követelményekkel.
Energia, közlekedés, bankszektor, pénzügyi infrastruktúra, egészségügy, ivóvíz, digitális infrastruktúra, ICT-szolgáltatások, közigazgatás, postai szolgáltatások, hulladékgazdálkodás, vegyipar, élelmiszeripar, gyártás és más ágazatok.
Az érintettség az ágazattól, a szervezeti mérettől és a szolgáltatás jellegétől függ. Az első lépésünk a pontos státusz megállapítása.
A NIS2 az ellátási láncra is kiterjed: az érintett szervezetek a beszállítóiktól is biztonsági garanciákat várnak el, így közvetett hatás is lehet.
A vezetői felelősség új szintet kap. Mi segítünk a döntések megalapozásában, a jóváhagyások dokumentálásában és az oktatásban.
Az IT- és OT-rendszerek biztonsága együtt kezelendő. A megfelelés az IEC 62443 és az OT-szegmentálás szempontjait is magában foglalja.
A meglévő rendszer jó alap, de a NIS2 többletelvárásokat (például ellátási lánc, incidens-bejelentés, vezetői felelősség) is támaszt, amelyekre célzott hiányelemzés kell.
[ 03 ] / MIT TARTALMAZ
A szolgáltatás moduláris: a szervezet érettségétől függően az egész folyamatot vagy csak egyes lépéseit vállaljuk.
Megállapítjuk, hogy a szervezet a NIS2 és a magyar Kiberbiztonsági törvény hatálya alá tartozik-e, és milyen minőségben (alapvető vagy fontos).
A jelenlegi biztonsági állapotot összevetjük az irányelv 21. cikke szerinti elvárásokkal, intézkedésenként megmutatva, mi teljesül, mi részben teljesül és mi hiányzik.
Kockázatelemzési módszertan, kockázati nyilvántartás és kezelési tervek kialakítása vagy felülvizsgálata, amelyek a vezetőség számára is érthetők.
Az információbiztonsági szabályzat, az incidenskezelési, az üzletmenet-folytonossági és az ellátási lánc szabályzatok elkészítése vagy aktualizálása, a gyakorlati használhatóságra fókuszálva.
Többfaktoros hitelesítés, hozzáférés-kezelés, naplózás, sérülékenységkezelés, titkosítás, mentés és hálózati szegmentálás tervezése és bevezetési támogatása.
A 24 órás, 72 órás és egy hónapos bejelentési kötelezettségek teljesítéséhez szükséges folyamat, szerepkörök és sablonok kialakítása. Lásd: incidenskezelés.
Beszállítói kockázatértékelési módszertan, szerződéses biztonsági elvárások és ellenőrzési gyakorlat kialakítása.
Vezetőségi tájékoztató és oktatás a felelősségekről, bizonyítékgyűjtés és felkészülés a hatósági vagy független ellenőrzésekre.
[ 04 ] / HOGYAN ZAJLIK
Prioritásokra és ütemezésre építünk: először a legnagyobb kockázatot és a legközelebbi határidőt kezeljük.
Ágazati, méret- és szolgáltatásalapú elemzés: érinti-e a szervezetet a szabályozás, és milyen kötelezettségek tartoznak hozzá.
Dokumentumelemzés, interjúk és technikai mintavétel alapján feltárjuk a hiányokat az elvárásokhoz képest.
Priorizált, felelősökhöz és határidőkhöz rendelt terv, költség- és erőforrásbecsléssel, a vezetőség jóváhagyásához igazítva.
A szabályzatok, folyamatok és technikai intézkedések kidolgozása és bevezetése a szervezet saját csapatával együtt dolgozva.
A kontrollok hatékonyságának ellenőrzése, bizonyítékok gyűjtése, és szükség szerint technikai tesztek (például penetrációs teszt).
Éves felülvizsgálati ciklus, gyakorlatok, oktatás és szükség szerint kiszervezett információbiztonsági felelős (IBF) támogatás.
[ 05 ] / MIT OLD MEG
A szolgáltatás a bizonytalanságot szünteti meg: pontosan tudni fogja, hogy az Ön szervezetét érinti-e a szabályozás, mit kell teljesítenie, és milyen sorrendben érdemes haladni. A cél a valódi biztonsági képesség kialakítása, amely egyszerre teljesíti a jogszabályi elvárást és csökkenti az incidensek kockázatát.
A vezetőség számára a támogatás döntési alapot és dokumentált jóváhagyásokat ad, a szervezet számára pedig fenntartható, auditálható működést, amely az ügyfelek és a partnerek felé is bizonyíték a komolyságra.
[ 06 ] / MIÉRT A QYNTAR
Mert a NIS2 egyszerre jogszabályi, vezetői és technikai kihívás – és nálunk mindhárom tudás megvan.
Szabályozott szektorban szerzett vezetői tapasztalat: tudjuk, hogyan kell a követelményeket költségvetésbe, vezetői döntésekbe és működésbe ültetni.
A kontrollokat nemcsak leírjuk, hanem technikailag ellenőrizzük is, mert a csapatunkban támadói tapasztalat is van.
A kockázatalapú megközelítés miatt nem túltervezett, formális rendszert építünk, hanem arra fókuszálunk, ami a szervezetnél valóban csökkenti a kockázatot.
Ipari és kritikus infrastruktúra-környezeteket is értünk, ahol az IT és az OT biztonsága összefügg.
[ 07 ] / GYAKORI KÉRDÉSEK
A NIS2 az EU kiberbiztonsági irányelve (2022/2555), amely az eredeti NIS irányelvet váltja. Több ágazatra és szervezetre terjed ki, részletesebb kockázatkezelési követelményeket, szigorúbb bejelentési határidőket, vezetői felelősséget és magasabb szankciókat vezet be.
Az érintettség elsősorban az ágazattól (kritikus vagy fontos ágazat), a szervezet méretétől és a szolgáltatás jellegétől függ. A pontos megállapításhoz az ágazati besorolást és a hazai jogszabályi előírásokat kell vizsgálni – ebben segítünk az érintettségi vizsgálattal. Ez nem jogi tanácsadás.
Jelentős incidens esetén 24 órán belül korai előrejelzést, 72 órán belül incidensbejelentést, legkésőbb egy hónapon belül pedig záró jelentést kell adni az illetékes hatóságnak. Az eljárás részleteit a magyar szabályozásból kell ellenőrizni. Az előkészítésben segít az incidenskezelési szolgáltatásunk.
Az irányelv alapján az alapvető szervezeteknél legfeljebb 10 millió euró vagy a világszintű éves árbevétel 2%-a, a fontos szervezeteknél 7 millió euró vagy 1,4% kiszabható, a magasabb összeget alkalmazva. A magyar szankciós rendszert mindig a hatályos jogszabály szerint kell értékelni.
Jó alap, de nem elegendő automatikusan. A NIS2 többletelvárásokat (például ellátási lánc kezelése, szigorú incidens-bejelentés, vezetői felelősség) is tartalmaz, ezért érdemes hiányelemzést végezni az ISO 27001 szerinti működés mellett. Lásd még: megfelelőségi támogatás.
A kiindulási állapottól és a szervezet méretétől függ. Egy hiányelemzés és akcióterv néhány hét, a teljes bevezetés – szabályzatoktól a technikai intézkedésekig – több hónap is lehet. A prioritásokat a hatósági határidők és a kockázatok szerint állítjuk fel.
A szabályozás elvárja az információbiztonsági irányítás és a felelősségi kör egyértelmű kijelölését. Ha belső szakember nem áll rendelkezésre, kiszervezett megoldás is lehet: lásd információbiztonsági felelős szolgáltatásunkat. A pontos jogszabályi előírásokat mindig ellenőrizni kell.
[ 08 ] / KAPCSOLÓDÓ SZOLGÁLTATÁSOK
Egy konkrét technikai kérdéstől a komplex biztonsági projektekig segítünk tisztázni a lehetőségeket, a prioritásokat és a továbblépés irányát.