NIS2-érintett cégeknek és beszállítóiknak
Két helyzetben segítünk a NIS2-megfelelésben: ha a céget közvetlenül érinti a Kiberbiztonsági törvény (2024. évi LXIX. tv.), és ha egy NIS2-érintett ügyfél kéri tőletek a biztonsági szintet szerződésben és kérdőívben. Mindkettőnél ugyanaz a három kérdés: érint-e és hogyan, mit várnak el tőletek, és mi a minimum, amit be kell vezetni.
Egy 15 fős beszállítónak nem kell nagyvállalati apparátus, de dokumentált, működő kontroll igen.
- 30 nap SZTFH-regisztráció a hatály alá kerüléstől
- 80–150 kérdés egy tipikus beszállítói kérdőívben
- 14 terület a hiányelemzésben
Közvetlenül érintett vagy beszállító?
- A
Közvetlenül érintett szervezet
Alapvető vagy fontos szervezetként a törvény hatálya alatt vagytok: SZTFH-regisztráció, kockázatkezelési intézkedések, incidensbejelentés az NBSZ NKI-nak, kétévente kötelező kiberbiztonsági audit, és a vezetők személyes felelőssége.
NIS2 felkészítés és audit - B
Beszállító a láncban
Nem vagytok NIS2-kötelezett szervezet, de az ügyfeleitek között van bank, közmű, állami szerv vagy más érintett cég. Nekik kezelniük kell a beszállítói kockázatot, ezért kérdőívet, tanúsítványt vagy önnyilatkozatot, audit-jogot és incidens-értesítési vállalást kérnek.
Beszállítói kérdőív útmutató
Mitől lesz egy cég közvetlenül érintett?
- Ágazat és méret: a törvényben felsorolt ágazatokban (például energia, közlekedés, egészségügy, ivóvíz, digitális infrastruktúra, élelmiszer-gyártás, gyártóipar, hulladékgazdálkodás) jellemzően a középvállalati mérettől: 50 fő, illetve 10 millió eurót meghaladó árbevétel és mérlegfőösszeg felett.
- Méretkorláttól függetlenül: elektronikus hírközlési és bizalmi szolgáltatók, DNS-szolgáltatók, doménnév-nyilvántartók és doménnév-regisztrációt végző szolgáltatók.
- Hatósági azonosítással: kisebb szervezet is bekerülhet, például ha legalább öt, a törvény hatálya alá tartozó szervezetnek nyújt szolgáltatást, vagy alapvető, illetve fontos szervezet számára végez adatkezelést.
- Kijelölt kritikus szervezetek a 2024. évi LXXXIV. törvény alapján.
A pontos besorolás az ágazaton, a tevékenységi körön és a szolgáltatások körén múlik, ezért írásban, indoklással rögzítjük. Ha a hatály alá kerültök, a regisztrációra 30 nap van. A részletes szabályokat a NIS2 KKV checklist sorolja fel.
Mit kér egy NIS2-érintett ügyfél a beszállítójától?
A törvény a kötelezett szervezetnek előírja a beszállítói lánc felmérését és kezelését. Ez hozzátok jellemzően ezekben a formákban jut el:
Biztonsági kérdőív
80–150 kérdés irányításról, hozzáférésről és MFA-ról, incidenskezelésről és folytonosságról, naplózásról, titkosításról és beszállítókezelésről.
Tanúsítvány vagy önnyilatkozat
ISO 27001, SOC 2, vagy egy NIS2-önaudit eredménye. A kérdőívek többsége önnyilatkozat-alapú, kezdésnek jellemzően elég a dokumentált önnyilatkozat.
Szerződéses záradékok
Biztonsági követelmények, adatfeldolgozói megállapodás, audit-jog és incidens-értesítési kötelezettség, határidővel.
Évenkénti felülvizsgálat
A kérdőív megismétlése, esetenként behatolásteszt-jelentés, vagy ellenőrzés az audit-jog alapján.
Ilyenkor egyszer összerakjuk veled a „security overview” csomagot (politika-kivonat, kontroll-mátrix, hálózati ábra, mentés és helyreállítás, incidens-eljárás), pótoljuk a hiányzó kontrollokat, és a szerződés műszaki vállalásait (szolgáltatási szint, értesítési határidő, audit-jog) IT-szemmel átnézzük. A jogi részhez ügyvéd kell; ezt nem helyettesítjük.
Mi kell kinek?
| Terület | Közvetlenül érintett szervezet | Beszállító |
|---|---|---|
| Politika és kockázatelemzés | Elvárt, vezetői jóváhagyással | Írott politika kell a hiteles kérdőív-válaszhoz |
| MFA és hozzáférés-kezelés | Elvárt; a NIS2 kifejezetten nevesíti a többtényezős hitelesítést | Minden kérdőívben visszatér |
| Mentés, helyreállítás, folytonosság | Elvárt, tesztelt helyreállítással | Minden kérdőívben visszatér |
| Incidens-eljárás | Elvárt; jelentős incidensnél bejelentés az NBSZ NKI-nak 24, illetve 72 órán belül | Értesítés az ügyfélnek, a szerződés szerinti határidővel |
| Beszállítói lánc kezelése | Elvárt: a saját beszállítóitokat is fel kell mérni | Az ügyfél ezt méri rajtatok |
| SZTFH-regisztráció és kötelező audit | Kötelező | Nem vonatkozik rá, amíg a cég nem kerül a hatály alá |
Gyakori kérdések NIS2-érintett cégektől és beszállítóktól
Beszállítóként ránk is vonatkozik a NIS2?
Közvetlenül csak akkor, ha a céget a törvény maga is érinti. Közvetve viszont igen: a NIS2-érintett ügyfél köteles kezelni a beszállítói kockázatot, ezért szerződésben és kérdőívben kérheti a kontrollokat, és a szerződés megújítása is ezen múlhat.
Kell regisztrálnunk az SZTFH-nál, ha csak beszállítók vagyunk?
Nem, a regisztráció a hatály alá tartozó szervezetek kötelezettsége. Ha viszont a hatóság azonosítással bevon, például mert legalább öt érintett szervezetnek nyújtotok szolgáltatást, onnantól 30 napotok van rá.
Mennyi idő felkészülni egy beszállítói kérdőívre?
Ha a kontrollok nagyrészt megvannak, és csak dokumentálni kell őket, a csomag egy KKV-nál jellemzően 1–2 hét; ha MFA-t, naplózást vagy politikát is pótolni kell, 4–8 hét. Utána egy új kérdőív fél–egy nap.
Mi történik, ha nem válaszolunk, vagy hiányosan?
Beszállítóként hatósági bírság nem fenyeget; a kockázat üzleti. Az ügyfél elhalaszthatja a szerződéskötést, feltételeket szabhat, vagy a megújításnál mást választhat, ezért jobb őszintén jelölni a hiányt egy dátumozott bevezetési tervvel, mint túlígérni.
Honnan tudjuk, hol tartunk most?
A 12 kérdéses NIS2/DORA gyorsteszt két perc alatt ad egy első képet, adatküldés nélkül. A pontosabb képhez a 14 területű hiányelemzés kell, dokumentumok és működő beállítások alapján.
Nézzük meg, melyik helyzetben vagytok
Írd le, milyen ágazatban dolgoztok, mekkora a cég, és kaptatok-e már kérdőívet vagy szerződéses biztonsági feltételt valamelyik ügyfeletektől. Munkanapokon 24 órán belül válaszolunk.