Röviden
Egy cégre általában akkor vonatkozik a NIS2, ha az irányelv mellékleteiben felsorolt ágazatok egyikében működik (például energia, közlekedés, egészségügy, víz, digitális infrastruktúra, gyártás, élelmiszeripar, futárszolgálat, hulladékgazdálkodás), és legalább 50 alkalmazottja van, vagy árbevétele és mérlegfőösszege meghaladja a 10 millió eurót. Egyes szervezetek mérettől függetlenül érintettek. Az érintett cégeknek regisztrálniuk kell a DNSC-nél, biztonsági intézkedéseket kell bevezetniük, és 24, illetve 72 órán belül jelenteniük kell az incidenseket.
Mi az a NIS2
A NIS2 a kiberbiztonságról szóló uniós irányelv. Romániában a 155/2024-es sürgősségi kormányrendelet ültette át, az illetékes hatóság a Nemzeti Kiberbiztonsági Igazgatóság (DNSC). Az első NIS-irányelvhez képest sokkal több ágazatot és céget érint.
1. lépés: az ágazat
Nézd meg, szerepel-e a tevékenységed az irányelv mellékleteiben:
- Kiemelten kritikus ágazatok: energia, közlekedés, bankszektor, pénzügyi piaci infrastruktúrák, egészségügy, ivóvíz és szennyvíz, digitális infrastruktúra, IKT-szolgáltatások kezelése (cégek között), közigazgatás, űripar.
- Egyéb kritikus ágazatok: postai és futárszolgáltatások, hulladékgazdálkodás, vegyi anyagok, élelmiszer-előállítás és -forgalmazás, gyártás (orvostechnikai eszközök, elektronika, villamos berendezések, gépek, gépjárművek), digitális szolgáltatók (online piacterek, keresők, közösségi oldalak), kutatás.
2. lépés: a méret
Az általános szabály: a közép- és nagyvállalatok érintettek, vagyis 50 alkalmazottól, vagy ha az éves árbevétel és a mérlegfőösszeg meghaladja a 10 millió eurót. A partner- és kapcsolt vállalkozások is beszámítanak, nem csak az adott jogi személy önmagában.
3. lépés: a kivételek
Egyes szervezetek mérettől függetlenül érintettek, például a nyilvános elektronikus hírközlési hálózatok és szolgáltatások nyújtói, a bizalmi szolgáltatók, a domainregiszterek és DNS-szolgáltatók, egyes közigazgatási szervek, vagy azok a cégek, amelyek egy térségben egyedüliként nyújtanak egy alapvető szolgáltatást.
Ha a NIS2 hatálya alá tartozol
- Regisztráció a DNSC-nél.
- Kockázatkezelési intézkedések: kockázatelemzés, mentés és üzletmenet-folytonosság, kétlépcsős azonosítás, hozzáférés-kezelés és eszköznyilvántartás, frissítések, a beszállítók biztonsága, titkosítás, a kollégák oktatása.
- A jelentős incidensek bejelentése: korai figyelmeztetés 24 órán belül, bejelentés 72 órán belül, zárójelentés nagyjából egy hónapon belül.
- A vezetés bevonása: a vezetés jóváhagyja az intézkedéseket, oktatáson vesz részt, és felel értük.
Ha nem tartozol alá, de beszállító vagy
A NIS2 alá tartozó cégeknek az ellátási láncukat is ellenőrizniük kell. Ha egy ilyen cégnek dolgozol, nagy valószínűséggel biztonsági kérdőíveket és új szerződési feltételeket kapsz: tesztelt mentés, kétlépcsős azonosítás, incidensek bejelentése. Ha időben felkészülsz, nem veszíted el az ügyfelet.
Miben segíthetünk
Felmérjük a felkészültséget, meghatározzuk a prioritásokat, megvalósítjuk a technikai intézkedéseket, megírjuk a szabályzatokat és az incidenskezelési tervet, és oktatjuk a csapatot. Ez az útmutató általános tájékoztatás, nem jogi tanácsadás; a pontos besoroláshoz nézd meg a 155/2024-es rendelet szövegét és a DNSC útmutatásait.