NIS2 ellenőrzőlista IT-vezetőknek 10 + 7 lépés a megfeleléshez

Érintett szektorok — Annex I (lényeges) és Annex II (fontos)

Forrás: Directive (EU) 2022/2555 Article 3 és Annex I/II, EUR-Lex.

Méret-küszöbök — érintett vagy?

Kivétel: kritikus infrastruktúra-szolgáltatók (DNS, TLD-regisztrátor, közigazgatás, adatközpont stb.) MÉRETTŐL FÜGGETLENÜL érintettek lehetnek (Art. 2(2)).

Article 21(2) — a 10 minimum kötelező intézkedés

Forrás: NIS2 Directive Art. 21. Arányosság (Art. 21(1)) — méret és kitettség alapján.

1. (a)

   Kockázatelemzés és infosec policy

   ISO/IEC 27005 alapú risk register, infosec policy management board jóváhagyással.

2. (b)

   Incidenskezelés

   IR playbook (NIST 800-61), CSIRT-kapcsolat, 24/72 órás bejelentési flow.

3. (c)

   Üzletmenet-folytonosság

   BCP + DR (RTO, RPO), backup-restore tesztelés legalább évente.

4. (d)

   Supply chain biztonság

   Beszállítói due-diligence, szerződéses biztonsági klauzulák, vendor risk register.

5. (e)

   Biztonságos fejlesztés

   SDLC security, code review, vulnerability management (CVE-tracking, patch SLA).

6. (f)

   Hatékonyság-értékelés

   KPI-mérés, belső audit, tabletop exercise, threat-led pen-test.

7. (g)

   Cyber hygiene + képzés

   Phishing-simuláció, éves kötelező képzés, szerepkör-specifikus tréning.

8. (h)

   Titkosítási politika

   TLS 1.2+, AES-256 at-rest, kulcskezelési eljárás (KMS).

9. (i)

   HR + access control + asset

   RBAC, leaver-process, asset inventory, BYOD policy.

10. (j)

    MFA + biztonságos kommunikáció

    Phishing-resistant MFA, S/MIME vagy E2E secure messaging admin-kommunikációhoz.

Article 23 — incidens-bejelentési határidők

Article 34 — bírság-felső határok

A magyar 2024. évi LXIX. törvény ezen felül kiberbiztonsági felügyeleti díjat is kivet: az előző üzleti év nettó árbevételének legfeljebb 0,015%-a, max 10 M Ft / szervezet, csoportban összesítve max 50 M Ft.

Forrás: Directive 2022/2555 Article 34 és 2024. évi LXIX. törvény.

Magyar regisztráció és határidők (2024. évi LXIX. tv.)

• · 30 nap a hatály alá kerüléstől: bejelentkezés / regisztráció
• · 90-180 nap: kockázatmenedzsment keretrendszer kialakítása
• · 180 nap: biztonsági osztályba sorolás
• · 2 év nyilvántartásba vételtől: első kiberbiztonsági audit elvégzése

Felügyelet: a törvény 1. § (1) bekezdés d) és e) pontja szerinti szervezetekre az SZTFH (Szabályozott Tevékenységek Felügyeleti Hatósága). Az 1. § (1) bekezdés a)–c) pontja szerinti szervezetekre a Kormány rendeletében kijelölt nemzeti kiberbiztonsági hatóság.

17 lépéses akció-lista IT-vezetőknek

1. 01.

   Hatály-elemzés (in-scope / out)

   Cégszerkezet, méret, szektor a 2024. évi LXIX. tv. és Annex I/II alapján.

   T-180
2. 02.

   Regisztráció a hatóságnál

   30 napos határidő a hatály alá kerüléstől.

   T-180 / +30 nap
3. 03.

   Asset és adat-térkép

   Kritikus rendszerek, adatfolyamok, integráció-pontok inventárba.

   T-150
4. 04.

   Kockázatelemzés (Art. 21(2)(a))

   ISO 27005-szerű vagy ENISA-módszertan, dokumentált risk register.

   T-150
5. 05.

   Infosec policy + management körözés

   Vezetői testület általi jóváhagyás.

   T-130
6. 06.

   Incident response playbook

   24/72/30 napos flow, CSIRT-kapcsolatok dokumentálva.

   T-120
7. 07.

   Backup + DR teszt

   RTO/RPO célok dokumentálva, próbaállítás évente legalább.

   T-110
8. 08.

   Supply chain biztonsági program

   Beszállítói due-diligence, klauzulák, vendor risk register.

   T-100
9. 09.

   Biztonságos fejlesztés (SDLC)

   Code review, SAST/DAST, vulnerability management SLA.

   T-90
10. 10.

    Cyber hygiene + képzés

    Phishing-szimuláció, éves kötelező képzés, role-specifikus tréning.

    T-80
11. 11.

    Titkosítási és KMS-politika

    TLS 1.2+, AES-256 at-rest, key rotation rend.

    T-70
12. 12.

    RBAC + leaver-process

    JML (joiner-mover-leaver), asset-visszavonás, BYOD.

    T-60
13. 13.

    MFA + biztonságos kommunikáció

    Phishing-resistant MFA, szerepkör szerinti diff. szigorúsággal.

    T-50
14. 14.

    Vezetői felelősség dokumentáció (Art. 20)

    Igazgatóság képzése + jóváhagyások.

    T-30
15. 15.

    Belső audit + tabletop exercise

    Próbaaudit a hatósági ellenőrzés szimulálására.

    T-15
16. 16.

    Hatóság előtti bejelentési flow tesztelése

    24h early warning, 72h notification template.

    T-7
17. 17.

    Élesedés + folyamatos compliance

    Évente review, threat-led pen-test 24 havonta, doc-frissítés.

    T+0 / Folyamatos

Mibe kerül egy NIS2 megfelelési projekt

AppForge saját, dokumentált projekt-tartományok. Pontos árajánlat 30 perces scoping call után.

• · Közepes vállalkozás (50-249 fő, fontos entitás): gap-elemzés + 10 intézkedés + IR + dokumentáció + képzés — 4-7 hónap, 18-45 millió Ft
• · Lényeges entitás (≥250 fő vagy kritikus szektor): 6-12 hónap, 35-90 millió Ft
• · Folyamatos compliance retainer (review, doc frissítés, threat-led pen-test 24 havonta): havi 0,8-2,5 millió Ft
• · Csak gap-audit + roadmap (saját implementáció): 4-6 hét, 3-7 millió Ft