Bírság, leállás, felelősség - három ok, amiért a NIS 2 nem halogatható
Az EU kiberbiztonsági irányelve már hatályos, a hatóságok pedig egyre aktívabbak. Lehet, hogy a te céged is érintett, és még nem is tudod? Károllyal most megutatjuk, mit jelent ez a gyakorlatban, és mit kell tenned, ha nem akarod, hogy az első találkozásod a NIS 2-vel egy bírság értesítő legyen.
Mi a NIS 2 és miért most?
Bizonyára a te hírfolyamodban is rendszeresen szembejön a NIS 2 témája az utóbbi időben, vagy valamilyen formában találkoztál vele. Ha eddig tovább lapoztál, mert úgy gondoltad, ez is csak egy újabb elméleti, bürokratikus megfelelési hullám, érdemes megállni egy pillanatra. Az Európai Unió kiberbiztonsági irányelve és az azt hazánkban érvényesítő Kibertan-törvény (2023. évi XXIII. törvény) már élesben működik, és a hatóságok ellenőrzési tevékenysége is folyamatosan aktívabbá válik.
Az irányelv lényege, ki érintett
Bár a NIS 2 irányelv hivatalosan a kulcsfontosságú ágazatok digitális biztonságát hivatott növelni a ransomware-támadásokkal szemben, tehát ez a megfelelés valójában a saját cégünk érdeke is. Nem a hatóságnak építünk védelmet, hanem a saját vállalkozásunknak. Egy sikeres kibertámadás miatti teljes leállás ugyanis sokkal nagyobb anyagi és presztízsveszteséget okozhat, mint amennyibe a megelőzés és a biztonságos háttér kialakítása kerül.
A szabályozás hatálya alá tartozik minden olyan szervezet, amely a törvényben meghatározott kockázatos vagy kiemelten kockázatos szektorokban (például logisztika, gépjárműgyártás, élelmiszeripar, vegyipar, hulladékgazdálkodás vagy energetika) tevékenykedik, és eléri a középvállalati méretet. Ez a gyakorlatban azt jelenti, hogy legalább 50 foglalkoztatottal rendelkezik, vagy az éves nettó árbevétele (illetve mérlegfőösszege) meghaladja a 10 millió eurónak megfelelő forint összeget.
Miért nem halogatható tovább?
Amennyiben a te cégedre is ráillenek a fenti feltételek, úgy a kötelezettségek elmulasztása komoly következményekkel is járhat. A felügyeletet ellátó nemzeti hatóság, a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) ugyanis szigorú szankciókat alkalmazhat. A közigazgatási bírságok felső határa a kiemelten kockázatos szektorokban akár a 10 millió eurót, vagy a vállalat előző évi globális forgalmának 2%-át is elérheti.
Emellett a szabályozás bevezette a személyes vezetői felelősséget is. Súlyos vagy ismétlődő mulasztás esetén a hatóság ideiglenesen eltilthatja a felsővezetést (az ügyvezetőt vagy a cégvezetőt) a vezetői tisztség gyakorlásától. Mivel a kötelező regisztrációs és felkészülési határidők lezárultak, a halogatás közvetlen üzleti és jogi kockázatot jelent.
NIS 2 megfelelés - mit jelent ez a gyakorlatban?
A leggyakoribb hiba amit elkövethetünk, ha egy vállalat úgy tekint a NIS 2-re, mint egy egyszeri projekt biztonsági dokumentációjára, amelyet néhány formális szabályzat megírásával le lehet tudni az audit napjáig. A NIS 2 megfelelés ugyanis nem egy statikus feladat, amelyet ki lehet pipálni, hanem egy folyamatosan fenntartandó működési állapot.
Mik a valódi elvárások egy szervezettel szemben?
A Kibertan-törvény 1 pontosan meghatározza azokat a kockázatkezelési és védelmi intézkedéseket, amelyeket a mindennapokban is alkalmaznunk kell. A szervezetnek bizonyíthatóan képesnek kell lennie a következő funkciók ellátására:
- Folyamatos felügyelet: Az informatikai hálózat, a szerverek és a végpontok non-stop, 24/7-es biztonsági monitorozása szükséges.
- Valós idejű észlelés: Azonnal azonosítani kell a biztonsági anomáliákat, a gyanús belső hálózati mozgásokat és a potenciális támadási kísérleteket.
- Strukturált incidenskezelés: Rendelkezni kell egy pontos eljárásrenddel, amely alapján a támadások elszigetelhetők, a károk enyhíthetők, és teljesíthető a jogszabályban előírt, 24 órán belüli elsődleges incidens bejelentés az SZTFH felé.
Az audit megállapítások kezelése
A felkészülési folyamat alapja minden esetben a gap assessment azaz a hiányelemzés. Ez a felmérés pontos képet ad arról, hol tart jelenleg a cég informatikai biztonsági szintje, és milyen lépések szükségesek a törvényi minimum követelmények eléréséhez.
Priorizálás: kockázat vs. erőfeszítés
A hiányelemzés után kapott megállapítások listájánál a legfontosabb lépés a priorizálás. Mivel az erőforrások végesek, a feladatokat érdemes egy kockázat vs. végrehajtási erőfeszítés elv mentén csoportosítani.
A kritikus, magas kockázatot jelentő problémákat (mint a hiányzó tűzfal vagy a szegmentálatlan hálózat) azonnal javítani kell. A közepes kockázatú területeket (például a belső szabályzatok finomítását) ütemezetten kell végrehajtani, míg az alacsony közvetlen kockázattal járó, de magas erőfeszítést igénylő strukturális változtatásokat a későbbi fázisokra lehet hagyni.
Felelős kijelölése, határidők
A módszertani siker kulcsa, az hogy minden egyes megállapításhoz nevesített felelőst és konkrét határidőt kell rendelni. Ha a feladat gazdája általánosságban csak az IT osztály, a pontok megvalósulása bizonytalanná válhat.
A kiberbiztonsági akcióterv
A hiányelemzés számszerűsíthető eredményeiből áll össze a hivatalos, úgynevezett kiberbiztonsági akcióterv. Ez a dokumentum határozza meg a technikai, szervezési és jogi megfelelés pontos menetrendjét.
A legfontosabb elemei a következők:
- Technikai intézkedések: Többtényezős hitelesítés kiterjesztése, hálózati szegmentáció, központi naplókezelés.
- Szervezeti intézkedések: Üzletmenet-folytonossági és katasztrófa-helyreállítási tervek kidolgozása vészhelyzetekre.
- Humán biztonság: Rendszeres és mérhető biztonságtudatossági oktatások a munkatársaknak, mivel a biztonsági rések jelentős része emberi mulasztásra vezethető vissza.
Hogyan kommunikáld a vezetés felé?
Abban az esetben, ha a döntéshozók elé kell vinned a tervet, érdemes üzleti megközelítésből bemutatnod: mint a működési kockázatok minimalizálását, a vezetői felelősség védelmét és a vállalat piaci stabilitásának megőrzését.
Élő dokumentum – review ciklus
Ez az akcióterv egy élő dokumentum. Szükséges bevezetni egy rendszeres – negyedéves vagy féléves – felülvizsgálati ciklust, ahol ellenőrizhető a mérföldkövek teljesülése és az aktuális fenyegetettségi környezethez való igazítása.
Beruházások hatékonyan
A NIS 2 által elvárt kiberbiztonsági szint elérése kétségtelenül beruházásokat igényel. A költségvetés optimális elosztása azonban a megközelítésen múlik.
Compliance-driven vs. risk-driven szemlélet
A compliance-driven, azaz a megfelelés-vezérelt szemlélet esetén a cég kizárólag azért vásárol biztonsági licenceket és hardvereket, hogy a jogszabályi ellenőrzőlistát kipipálja. Ennek eredményeként gyakran egymással nem kommunikáló, szigetszerűen működő, túlbonyolított eszközök jönnek létre, amelyek magas fenntartási költséget generálnak, miközben a valós védelmi szint alacsony marad.
Ezzel szemben a risk-driven, vagyis a kockázat-alapú szemléletnél a beruházások a vállalat egyedi működésére, valós sérülékenységeire és a kritikus adatok védelmére épülnek. Csak olyan eszköz kerül bevezetésre, amely valós és azonosított kockázatot keze.
ROI-érvelés a menedzsment felé
A menedzsment felé a megtérülési érvelést a várható éves veszteség kiszámítására érdemes alapozni. Egy sikeres ransomware-támadás miatti többnapos teljes leállás költsége, az elmaradt szállítások miatti kötbérek és a reputációs veszteség nagyságrendekkel meghaladják a preventív kiberbiztonsági szolgáltatások éves díját.
Folyamat kialakítás – A technológia és az emberi tényező egyensúlya
A legfejlettebb Next-Generation tűzfal vagy végpontvédelmi rendszer sem nyújt teljes biztonságot, ha nincsenek mögötte szigorúan betartott és ellenőrzött belső szabályok. Itt a kiberbiztonság stabil működéséhez három tényező – a technológia (hardver, szoftver), a folyamatok (szabályzatok, kontrollok) és az emberek (oktatás, tudatosság) – egyensúlyára van szükség.
Miért nem elég csak az eszköz?
A NIS 2 kifejezetten megköveteli a folyamatok szintjén a hozzáférési jogosultságok szigorú kezelését, a rendszeres sérülékenység-vizsgálatokat, valamint a beszállítói lánc biztonságának ellenőrzését. Ha a technológia mögött nincsenek dedikált folyamatok és felkészített munkatársak, a védelmi lánc a leggyengébb pontnál fog megszakadni.
Mikor érdemes külső segítséget bevonni?
A jogszabály által előírt folyamatos védelmi szint fenntartása, a naplófájlok elemzése és a hatósági elvárások követése olyan specifikus szaktudást és kapacitást igényel, amellyel egy tipikus KKV belsős IT csapata ritkán rendelkezik. A napi operatív feladatok és a felhasználói hibajegyek kezelése mellett összetett feladat egy állandó biztonsági felügyelet működtetése.
Ha pedig a rendszereid már megfelelnek a NIS 2 elvárásainak, a legfontosabb kihívás az, hogy ez a biztonsági szint ne csak egy pillanatnyi állapot legyen, hanem tartós valóság.
Hogyan tud ebben segíteni Károly?
Mi a gyakorlati megvalósításra és az üzemeltetésre fókuszálunk. Ha az informatikai rendszer már megfelel a NIS2 szigorú szabályainak, annak folyamatos fenntartását és technikai hátterét Károly segítségével fenn tudod tartani.
Gondoskodj időben a jogszabályi megfelelésről, majd tartsd fenn a NIS 2 feltételeit Károllyal!
Próbáld ki Károlyt 30 napig 0 forintért!