Jóval több céget érinthet a NIS2-irányelv, mint amennyi számol vele

A magyar vállalatokat érő kibertámadások egyre kifinomultabbá válnak, a leggyakoribb fenyegetések közé tartoznak az adathalász támadások, a zsarolóprogramok és a pszichológiai manipuláció. A NIS2 ugyanakkor nemcsak a kibertámadásokkal foglalkozik, hanem a vállalati IT-rendszerek szakszerű kialakításával és üzemeltetésével is, ami a tulajdonosok és vezetők érdekeit védi.

A Portfolio Uzsoki Mátét, az információbiztonsággal és szoftverfejlesztéssel foglalkozó Serpentarius Software Kft. ügyvezetőjét kérdezte a NIS2-felkészülés gyakorlati lépéseiről, a beszállítói kapcsolatok információbiztonsági vonatkozásairól, valamint az egyedi szoftverfejlesztés és a mesterséges intelligencia szerepéről ebben a folyamatban.

Közel 4000 cég érintett

Magyarországon a becslések szerint mintegy 3500-4000 cégnek ír elő kötelezettségeket a NIS2.

Az érintett vállalkozásoknak 2026. június 30-ig el kell végezniük egy auditvizsgálatot, illetve ennek nyomán – ha szükséges – meg kell erősíteniük a kibervédelmi képességeiket.

A NIS2-megfelelés első lépéseként a vállalatoknak meg kell határozniuk, hogy tevékenységük és méretük alapján a szabályozás hatálya alá tartoznak-e. Az érintett cégeknek már regisztrálniuk kellett magukat a megfelelő hatóságnál, amely a legtöbb esetben a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH).

A folyamat következő szakaszában kockázatalapú információbiztonsági értékelést kell végezni, amely feltárja a sebezhetőségeket és meghatározza a szükséges intézkedéseket. Emellett részletes incidenskezelési tervet is ki kell dolgozni. A magyar jogszabály előírja, hogy a megfelelést az SZTFH által elismert auditor által végzett tanúsítással kell igazolni.

Célszerű már a felkészülés korai szakaszában kiválasztani egy NIS2-felkészítő tanácsadót, aki koordinálja a teljes folyamatot és előkészíti a szükséges dokumentációt. A tanúsítást legalább kétévente meg kell ismételni, de rendkívüli audit is előfordulhat.

Bár a kisebb vállalkozások jelenleg nem feltétlenül tartoznak a NIS2 hatálya alá, a szabályozás közvetett hatásai rájuk is kiterjedhetnek, különösen a beszállítói láncokon keresztül.

A kötelezett nagyobb cégek egyre gyakrabban követelnek meg információbiztonsági megfelelést partnereiktől is. Ez különösen fontos az IT-szolgáltatók, szoftverfejlesztők és más technológiai beszállítók esetében.

Az auditáló cégek kiválasztásánál figyelembe kell venni az auditorok és a szervezet besorolását. Jelenleg mindössze 10 auditor cég jogosult elvégezni az alapszintű besorolást, miközben több ezer cég vár auditra. A kiválasztásnál érdemes figyelembe venni a felkészítő cég javaslatát, az audit árát és az auditor elérhetőségét.

Azok a cégek, amelyek korábban is rendelkeztek tanúsított információbiztonsági irányítási rendszerrel (például ISO/IEC 27001), előnyben vannak a NIS2-megfelelés szempontjából. Ugyanakkor a meglévő rendszereket is át kell világítani, és biztosítani kell, hogy összhangban legyenek a NIS2 követelményeivel.

A NIS2 egyik fontos újítása, hogy a vállalatoknak felelősséget kell vállalniuk beszállítói láncuk informatikai biztonságáért is. A partnerkiválasztás során a biztonsági érettség is szempont, nemcsak az ár vagy a teljesítmény

- hívta fel a figyelmet Uzsoki Máté, a cég ügyvezetője. Különösen szigorú kontroll szükséges azoknál a partnereknél, akik hozzáférnek a vállalat rendszereihez vagy adataihoz.

A NIS2 kiterjeszti a felelősséget a külső szolgáltatókra is, beleértve a felhőalapú megoldásokat és a menedzselt IT-szolgáltatókat. A szervezet nem háríthatja át a kockázatokat pusztán azzal, hogy kiszervezi az infrastruktúráját vagy az üzemeltetést. A szerződésekben egyértelműen rögzíteni kell a biztonsági elvárásokat és az incidensjelentési kötelezettségeket.

A NIS2-megfelelés technológiai vonatkozásai gyakran túlmutatnak a szabályozási és szervezeti szinten, különösen az egyedi fejlesztésű alkalmazásokat és a mesterséges intelligenciát használó vállalatoknál. A Serpentarius csapata szoftvermérnöki tapasztalattal is rendelkezik, és képes a kiberbiztonsági követelményeket közvetlenül beépíteni az ügyfelek által használt egyedi, akár mesterséges intelligenciát használó rendszerekbe.

A cikk megjelenését a Serpentarius Software Kft. támogatta.

Címlapkép forrása: Portfolio