Új kiberbiztonsági törvény Magyarországon
Megjelent a NIS2 hazai szabályozásának új törvénye, Magyarország kiberbiztonságáról szóló 2024. évi LXIX. törvény (a továbbiakban: Kiberbiztonsági tv.), mely 2025. január 1-től hatályos és ezzel a nappal hatályon kívül is helyezi két elődjét, a 2013. évi L. (a továbbiakban: Ibtv.) és a 2023. XXIII. törvényt (a továbbiakban: Kibertan tv.).
A törvény a NIS 2 irányelvnek való megfelelést szolgálja a hazai jogszabályi környezetbe történő átültetésével, illetve támogatja az állami szervek és az állam szempontjából kritikus tevékenységet ellátó szervezetek biztonságos működését, az elektronikus információs rendszereik kiberbiztonságának növelésével.
Ellenőrizze cége NIS2 érintettségét - RSM NIS2 kalkulátor
NIS2 irányelv és a Kiberbiztonsági törvény
A NIS2 irányelv közvetlenül nem vonatkozik a magyar vállalkozásokra, hanem azt az EU tagállamoknak, így Magyarországnak is, be kell építeniük a saját nemzeti jogrendszerükbe. Az eddigi Kibertan tv., amely a magyarországi implementáció alappilére volt 2024.december 31-én hatályát vesztette.
Helyette a Magyarország kiberbiztonságáról szóló 2024. évi LXIX. törvény került hatályba 2025. január 1-jén, amelynek hatálya már nem csak a NIS 2 érintett szervezetekre vonatkozik, hanem kibővítésre került az eddigi Ibtv. érintetti körével.
A NIS2 érintett piaci szereplők számára a felügyeleti feladatokat ellátó szerv továbbra is a Szabályozott Tevékenységek Felügyeleti Hatósága (a továbbiakban: SZTFH) maradt.
Új kiberbiztonsági törvény – új határidők
Az új törvény módosított több, eddig ismert határidőt, illetve szolgáltatásokon alapuló kötelezettséget.
Nyilvántartásba vétel
A NIS2 érintett szervezet köteles a működése megkezdését követő vagy az e törvény hatálya alá kerülést követő 30 napon belül megküldeni az SZTFH részére a nyilvántartásba vételi igényét. Ezen követelmény alól kivételt jelentenek azok a szervezetek, amelyek a Kibertan tv. szerint vezetett nyilvántartásban érintett szervezetként szerepelnek már, kivétel a Kiberbiztonsági tv. 29. § (1) bekezdés a) pont ae) alpontja szerinti adatokat (azon európai uniós tagállamok listáját, amelyben a szervezet szolgáltatásokat nyújt) amelyeket 2025.február 15-ig kell bejelenteni az SZTFH felé. (Kiberbiztonsági tv. 89. § (1) bekezdés).
Auditorral történő szerződéskötés
A Kibertan tv. szerint 2024. december 31-ig volt köteles minden NIS2 érintett szervezet szerződést kötni minden kiberbiztonsági audittal érintett szervezetnek, de a hatályon kívül helyezéssel ez már nem releváns.
A hatályban lévő Kiberbiztonsági tv. szerint minden érintett szervezet köteles a nyilvántartásba vételét követő 120 napon belül a kiberbiztonsági audit elvégzésére a nyilvántartásban szereplő auditorral megállapodást kötni (Kiberbiztonsági tv. 16. § (2) bekezdés a) pontja).
Az újonnan regisztráló szervezetek esetén egyértelműen a határozat kiállításától számított 120 nap áll rendelkezésre, azonban a szervezetek számára nem egyértelmű, hogy a 2025. január 1. előtt nyilvántartásba vett szervezetek esetén mikortól szükséges számolni a 120 napot. Mivel a 2024. december 31-i határidő nem volt tartható az értintett szervezetek által egy meg nem jelent SZTFH rendelet miatt, ezért az SZTFH által kiadott közlemény szerint:
„Az SZTFH rendelet kihirdetése hiányában azonban az érintett vállalkozásokat nem éri hátrány a […] határidő – önhibájukon kívüli – elmulasztása miatt, a hatóság esetükben szankciót nem alkalmaz.”
Kiberbiztonsági audit
Az szakmai körökben terjedő esetleges a kibebiztonsági audit határidőt érintő változás nem valósult meg, azon szervezetek, amelyek 2025. január 1-je előtt megkezdték működésüket kötelesek 2025. december 31-ig elvégeztetni az első kiberbiztonsági auditot az SZTFH nyilvántartásában szereplő kiberbiztonsági auditorral (Kiberbiztonsági tv. 89. § (2) bekezdés). Azon szervezetek, amelyek 2024. december 31-e után kezdték meg működésüket a kiberbiztonsági auditot a nyilvántartásba vételt követő 2 éven belül kötelezettek elvégeztetni (Kiberbiztonsági tv. 16. § (2) bekezdés b) pontja).
Szankciók
A kiberbiztonsági hatóságok szankcióit is érinti a Kiberbiztonsági törvény. A jogszabályban foglaltak be nem tartásáért, a szabályozások nem teljesítéséért, megszegéséért az eljáró hatóság az alábbi módokon járhat el:
- Első lépésként a kiberbiztonsági hatóság figyelmezteti és megfelelő határidő kitűzése mellett felszólítja az érintett szervezet vezetőjét a hiányosságok megszüntetésére.
- Bírság kiszabása, melynek mértékét a 418/2024. (XII. 23.) Korm. rendelet 42. § határozza meg.
- Amennyiben van ilyen, fordulhat a felügyeleti szervhez, valamint kirendelhet információbiztonsági felügyelőt a szervezet költségére az SZTFH elnöke által kiadott rendeletben meghatározottak szerint.
