Irányelv az Unió egész területén egységesen magas szintű kiberbiztonságot biztosító intézkedésekről (NIS 2 irányelv) – gyakran feltett kérdések

A kiberbiztonsági irányelv – az első uniós kiberbiztonsági jogszabály – az első olyan horizontális belső piaci eszköz, amelynek célja az uniós hálózati és információs rendszerek kiberbiztonsági kockázatokkal szembeni rezilienciájának javítása. Figyelemre méltó eredményei ellenére a kiberbiztonsági irányelv bizonyos korlátokat mutat. A társadalom digitális átalakulása, amelyet a Covid19-válság fokozott, kibővítette a fenyegetettségi helyzetet. Új kihívások jelentek meg, amelyekhez igazított és innovatív válaszokra van szükség.

A kiberbiztonsági irányelv hatásának elemzése és hiányosságainak azonosítása érdekében a Bizottság széles körű konzultációt folytatott az érdekelt felekkel. A Bizottság a következő fő problémákat azonosította:

• az EU-ban működő vállalkozások kiberrezilienciájának elégtelen szintje
• következetlen reziliencia a tagállamok és az ágazatok között
• a fő veszélyek és kihívások elégtelen közös értelmezése a tagállamok között
• a közös válságreagálás hiánya.

Ennek eredményeként, valamint a digitalizációból és az összekapcsoltságból eredő növekvő fenyegetésekre való reagálás érdekében a Bizottság 2020 decemberében felülvizsgált, időtálló szabályrendszerre tett javaslatot, amelynek célja a kiberreziliencia szintjének megerősítése az Unióban, és amelyről a társjogalkotók 2022. május 13-án politikai megállapodásra jutottak, és 2022 novemberének végén hivatalosan elfogadták az új irányelvet.

A Covid19-válság óta az európai gazdaság minden eddiginél jobban függ a digitális megoldásoktól. Az ágazatok és a szolgáltatások egyre inkább összekapcsolódnak és kölcsönösen függenek egymástól. Ez növekvő és gyorsan változó kiberbiztonsági fenyegetettségi helyzetet eredményezett: bármely zavar, még ha kezdetben egyetlen szervezetre vagy ágazatra korlátozódik is, szélesebb körben továbbgyűrűző hatásokkal járhat, ami messzemenő és tartós negatív hatásokat eredményezhet a szolgáltatásnyújtásban az egész belső piacon.

A Covid19-világjárvány rávilágított arra, hogy társadalmaink egyre inkább egymásra vannak utalva a váratlan kockázatokkal szemben. Felerősítette a jelenlegi kiberbiztonsági irányelvben már felmerülő kérdéseket, és katalizátorként szolgált az irányelv felülvizsgálatához. A kiberbiztonsági irányelv e válságra tekintettel történő konkrét módosítása az új irányelv hatályának kiterjesztése volt, amely az egészségügyi ágazat konkrétabb elemeire, például a gyógyszerekkel kapcsolatos kutatási és fejlesztési tevékenységeket végző szervezetekre terjedt ki.

A NIS 2 irányelv jogi intézkedéseket ír elő a kiberbiztonság általános szintjének növelésére az EU-ban, hogy hozzájáruljon a belső piac általános működéséhez. A hálózat- és információbiztonsági irányelv alapját képező három fő pillérre épül:

1. A hálózati és információs rendszerek biztonságára vonatkozó NIS 1 stratégiára építve, a tagállamok magas szintű felkészültségének elérése érdekében a NIS 2 irányelv előírja a tagállamok számára, hogy fogadjanak el nemzeti kiberbiztonsági stratégiát. A tagállamoknak továbbá ki kell jelölniük a kockázat- és eseménykezelésért felelős nemzeti számítógép-biztonsági eseményekre reagáló csoportokat (CSIRT-ek), egy illetékes nemzeti kiberbiztonsági hatóságot és egy egyedüli kapcsolattartó pontot (SPOC). Az egyablakos ügyintézési pontnak összekötő feladatot kell ellátnia annak érdekében, hogy biztosítsa a tagállami hatóságok közötti, határokon átnyúló együttműködést más tagállamok érintett hatóságaival és adott esetben a Bizottsággal és az ENISA-val, valamint hogy biztosítsa az ágazatközi együttműködést a tagállamán belüli más illetékes hatóságokkal.
2. A NIS 2 irányelv folytatja továbbá a Kiberbiztonsági Együttműködési Csoportot létrehozó NIS 1 keretet a tagállamok közötti stratégiai együttműködés és információcsere támogatása és megkönnyítése érdekében, valamint a CSIRT-ek hálózatát, amely előmozdítja a nemzeti CSIRT-ek közötti gyors és hatékony operatív együttműködést.
3. A NIS1 irányelv biztosítja, hogy a kiberbiztonsági intézkedéseket hét ágazatban hozzák meg, amelyek létfontosságúak gazdaságunk és társadalmunk számára, és amelyek nagymértékben támaszkodnak az IKT-ra, például az energiára, a közlekedésre, a banki szolgáltatásokra, a pénzügyi piaci infrastruktúrákra, az ivóvízre, az egészségügyre és a digitális infrastruktúrára.

A tagállamok által ezekben az ágazatokban alapvető szolgáltatásokat nyújtó szereplőként azonosított köz- és magánszervezeteknek kiberbiztonsági kockázatértékelést kell végezniük, és megfelelő és arányos biztonsági intézkedéseket kell bevezetniük. A tagállamoknak értesíteniük kell az illetékes hatóságokat a súlyos eseményekről. Ezenkívül a kulcsfontosságú digitális szolgáltatásokat nyújtó szolgáltatóknak (digitális szolgáltatók vagy DSP-k), például a keresőprogramoknak, a felhőalapú számítástechnikai szolgáltatásoknak és az online piactereknek is meg kell felelniük az irányelv szerinti biztonsági és értesítési követelményeknek. Ugyanakkor ez utóbbiak az úgynevezett „könnyű” szabályozási rendszer hatálya alá tartoznak, ami azt jelenti, hogy e szervezetekre nem vonatkoznak előzetes felügyeleti intézkedések.

A NIS 2 irányelv jelentősen kiterjeszti az ágazatok körét, és méretküszöböt vezet be annak meghatározására, hogy mely szervezetek tartoznak az irányelv hatálya alá, és kötelesek lennének jelenteni a jelentős kiberbiztonsági eseményeket az illetékes nemzeti hatóságoknak.

A NIS 2 irányelv célja a korábbi szabályok hiányosságainak kezelése, a jelenlegi igényekhez való hozzáigazítása és időtállóvá tétele.

E célból az irányelv kiterjeszti a korábbi szabályok hatályát azáltal, hogy a digitalizáció és az összekapcsoltság mértéke, valamint a gazdaság és a társadalom számára betöltött fontos szerepük alapján új ágazatokkal egészíti ki azokat, egyértelmű méretküszöb-szabály bevezetésével, ami azt jelenti, hogy a hatály a kiválasztott ágazatokban működő valamennyi közép- és nagyvállalatra kiterjed. Ugyanakkor bizonyos mérlegelési jogkört hagy a tagállamoknak a magas biztonsági kockázati profillal rendelkező kisebb szervezetek azonosítására, amelyekre az új irányelvben foglalt kötelezettségeknek is vonatkozniuk kell.

Az új irányelv megszünteti az alapvető szolgáltatásokat nyújtó szereplők és a digitális szolgáltatók közötti különbségtételt is. A szervezeteket fontosságuk alapján sorolnák be, és két kategóriába sorolnák őket: alapvető és fontos szervezetek, amelyekre eltérő felügyeleti rendszer fog vonatkozni.

Megerősíti és egyszerűsíti a vállalatokra vonatkozó biztonsági és jelentéstételi követelményeket azáltal, hogy kockázatkezelési megközelítést ír elő, amely meghatározza az alkalmazandó alapvető biztonsági elemek minimális listáját. Az új irányelv pontosabb rendelkezéseket vezet be a biztonsági események bejelentésének folyamatára, a jelentések tartalmára és a határidőkre vonatkozóan.

Emellett a NIS2 az ellátási láncok és a beszállítói kapcsolatok biztonságával is foglalkozik azáltal, hogy előírja az egyes vállalatok számára, hogy kezeljék az ellátási láncok és a beszállítói kapcsolatok kiberbiztonsági kockázatait. Európai szinten az irányelv megerősíti a kulcsfontosságú információs és kommunikációs technológiák ellátási láncának kiberbiztonságát. A tagállamok a Bizottsággal és az ENISA-val együttműködve uniós szinten koordinált biztonsági kockázatértékeléseket végezhetnek a kritikus ellátási láncokra vonatkozóan, az 5G hálózatok kiberbiztonságáról szóló bizottsági ajánlással összefüggésben alkalmazott sikeres megközelítésre építve.

Az irányelv szigorúbb felügyeleti intézkedéseket vezet be a nemzeti hatóságok számára, szigorúbb végrehajtási követelményeket vezet be, és célja a szankciórendszerek harmonizálása a tagállamokban.

Megerősíti továbbá az együttműködési csoport szerepét a stratégiai szakpolitikai döntések alakításában, és fokozza a tagállami hatóságok közötti információmegosztást és együttműködést. Emellett fokozza a CSIRT-hálózaton belüli operatív együttműködést, és létrehozza az Európai Kiberválságügyi Kapcsolattartó Szervezetek Hálózatát (EU-CyCLONe) a nagyszabású kiberbiztonsági események és válságok összehangolt kezelésének támogatása érdekében.

A NIS2 továbbá létrehoz egy alapvető keretet a felelős kulcsszereplőkkel az EU-ban újonnan felfedezett sebezhetőségek összehangolt sebezhetőségfeltárására vonatkozóan, és létrehozza az IKT-termékek és IKT-szolgáltatások nyilvánosan ismert sebezhetőségeinek uniós sebezhetőségi adatbázisát, amelyet az Európai Uniós Kiberbiztonsági Ügynökség (ENISA) működtet és tart fenn.

A NIS 2 a következő ágazatok szervezeteire terjed ki:

Kiemelten kritikus ágazatok: energia (villamos energia, távfűtés és távhűtés, olaj, gáz és hidrogén); közlekedés (légi, vasúti, vízi és közúti); banki tevékenység; pénzügyi piaci infrastruktúrák; egészség, beleértve a gyógyszeripari termékek gyártását, beleértve a vakcinákat is; ivóvíz; szennyvíz; digitális infrastruktúra (internetes adatcserepontok; DNS-szolgáltatók; legfelső szintű doménnév-nyilvántartók; felhőszolgáltatók; adatközpont-szolgáltatók; tartalomszolgáltató hálózatok; bizalmi szolgáltatók; nyilvános elektronikus hírközlő hálózatokat és nyilvánosan elérhető elektronikus hírközlési szolgáltatásokat nyújtó szolgáltatók); IKT-szolgáltatások kezelése (irányított szolgáltatók és irányított biztonsági szolgáltatók), közigazgatás és űrkutatás.

Egyéb kritikus ágazatok: postai és futárpostai szolgáltatások; hulladékgazdálkodás; vegyi anyagok; élelmiszer; orvostechnikai eszközök, számítógépek és elektronika, gépek és berendezések, gépjárművek, pótkocsik és félpótkocsik, valamint egyéb szállítóeszközök gyártása; digitális szolgáltatók (online piacterek, online keresőprogramok és közösségi hálózati szolgáltatási platformok) és kutatószervezetek.

A biztonsági és eseménybejelentési követelményekre vonatkozó jelenlegi szabályok értékelése azt mutatta, hogy egyes esetekben a tagállamok jelentősen eltérő módon hajtották végre ezeket a követelményeket. Ez további terhet rótt az egynél több tagállamban működő vállalatokra.

Továbbá, ami a kiberbiztonsági követelményeket illeti, biztosak akarunk lenni abban, hogy minden vállalat foglalkozik a kiberbiztonsági kockázatkezelési politikájának szükséges alapvető elemeivel.

Ezért a NIS 2 tartalmaz egy 10 kulcsfontosságú elemet tartalmazó listát, amelyet minden vállalatnak kezelnie kell vagy végre kell hajtania az általa hozott intézkedések részeként, beleértve a , ellátási lánc biztonságát érintő események kezelését, a sebezhetőségek kezelését és közzétételét, a kriptográfia használatát és adott esetben a titkosítást.

Ami az események bejelentését illeti, meg kell találnunk a megfelelő egyensúlyt aközött, hogy az események esetleges terjedésének elkerülése érdekében gyors jelentéstételre van szükség, valamint aközött, hogy mélyreható jelentéstételre van szükség az egyes eseményekből levont értékes tanulságok levonása érdekében. Az új irányelv a biztonsági események bejelentésének többlépcsős megközelítését irányozza elő. Az érintett vállalatoknak az eseményről való első tudomásszerzéstől számítva 24 órájuk van arra, hogy korai figyelmeztetést nyújtsanak be a CSIRT-nek vagy az illetékes nemzeti hatóságnak, amely azt is lehetővé tenné számukra, hogy segítséget kérjenek (iránymutatást vagy operatív tanácsot a lehetséges mérséklési intézkedések végrehajtására vonatkozóan), ha azt kérik. A korai előrejelzést követően az eseményről való tudomásszerzéstől számított 72 órán belül értesítést kell küldeni az eseményről, és legkésőbb egy hónappal később zárójelentést kell készíteni.

Az új kiberbiztonsági irányelv a felügyeletet és a jogérvényesítést helyezi az illetékes hatóságok feladatainak középpontjába, és koherens keretet hoz létre valamennyi felügyeleti és jogérvényesítési tevékenység számára a tagállamokban.

A hatékony megfelelést elősegítő felügyelet megerősítése érdekében a NIS 2 meghatározza azon felügyeleti eszközök minimális listáját, amelyeken keresztül az illetékes hatóságok felügyelhetik az alapvető és fontos szervezeteket. Ezek közé tartoznak a rendszeres és célzott ellenőrzések, a helyszíni és a helyszínen kívüli ellenőrzések, az információkérés, valamint a dokumentumokhoz vagy bizonyítékokhoz való hozzáférés.

Emellett az új irányelv differenciálja a felügyeleti rendszereket az alapvető és a fontos szervezetek között annak érdekében, hogy mind a szervezetek, mind az illetékes hatóságok számára méltányos egyensúlyt biztosítson a kötelezettségek között.

Ami a végrehajtást illeti, a tagállamok eddig általában vonakodtak attól, hogy szankciókat alkalmazzanak azokra a szervezetekre, amelyek nem vezetnek be biztonsági intézkedéseket vagy nem jelentik be az eseményeket. Ez negatív következményekkel járhat a szervezetek kiberrezilienciájára nézve. A végrehajtás hatékonysága érdekében az új irányelv Unió-szerte egységes szankciós keretet hoz létre. Ezért megállapítja a NIS 2 irányelvben meghatározott kiberbiztonsági kockázatkezelési és jelentéstételi kötelezettségek megsértése esetén alkalmazandó közigazgatási szankciók minimális jegyzékét. E szankciók közé tartoznak a kötelező erejű utasítások, a biztonsági ellenőrzés ajánlásainak végrehajtása, a biztonsági intézkedéseknek a hálózat- és információbiztonsági követelményekkel való összehangolása, valamint a közigazgatási bírságok. A közigazgatási bírságok tekintetében az új kiberbiztonsági irányelv különbséget tesz az alapvető és a fontos szervezetek között. Az alapvető szervezetek tekintetében előírja a tagállamok számára, hogy bizonyos szintű közigazgatási bírságokat írjanak elő, nevezetesen legfeljebb 10 000 000 EUR-t vagy az előző pénzügyi év teljes éves világpiaci forgalmának 2%-át, attól függően, hogy melyik a magasabb. A fontos szervezetek tekintetében a NIS 2 előírja a tagállamok számára, hogy a pénzbírság felső határát legalább 7 000 000 EUR-ban vagy az előző pénzügyi év teljes éves világpiaci forgalmának legalább 1,4%-ában határozzák meg, attól függően, hogy melyik a magasabb.

Végrehajtási hatásköreik gyakorlása során az illetékes hatóságoknak kellően figyelembe kell venniük az egyes esetek sajátos körülményeit, például a jogsértés jellegét, súlyosságát és időtartamát, az okozott kárt vagy elszenvedett veszteségeket, valamint a jogsértés szándékos vagy gondatlan jellegét.

A szervezeti szintű kiberbiztonsági intézkedésekkel kapcsolatos tényleges elszámoltathatóság biztosítása érdekében a NIS 2 rendelkezéseket vezet be az új kiberbiztonsági irányelv hatálya alá tartozó szervezetekben felsővezetői pozíciót betöltő természetes személyek felelősségére vonatkozóan.

Az új szabályok javítják a nagyszabású kiberbiztonsági események és válságok uniós megelőzésének, kezelésének és az azokra való reagálásnak a módját. Ezt úgy érik el, hogy egyértelmű felelősségi köröket, megfelelő tervezést és több uniós együttműködést vezetnek be. A NIS 2 előírja a tagállamok számára, hogy nevezzék ki a kiberválságok kezeléséért felelős nemzeti hatóságokat, vezessenek be nagyszabású kiberbiztonsági eseményekre és válságokra való reagálásra vonatkozó nemzeti terveket, és hozzák létre az Európai Kiberválságügyi Kapcsolattartó Szervezetek Hálózatát (EU-CYCLONe) a nagyszabású kiberbiztonsági események és válságok operatív szintű összehangolt kezelésének támogatása érdekében. Ez a hálózat kulcsfontosságú elem, amely hozzájárul a Bizottság által 2017-ben a nagyszabású biztonsági eseményekre és válságokra való összehangolt reagálásról szóló ajánlással körvonalazott uniós kiberválság-kezelési keret létrehozásához.

Főszabályként úgy kell tekinteni, hogy az alapvető és fontos szervezetek annak a tagállamnak a joghatósága alá tartoznak, ahol letelepedtek. Ha a szervezet egynél több tagállamban telepedett le, akkor e tagállamok mindegyikének joghatósága alá kell tartoznia. E tagállamok illetékes hatóságainak együtt kell működniük, kölcsönös segítséget kell nyújtaniuk egymásnak, és adott esetben közös felügyeleti intézkedéseket kell végrehajtaniuk. E szabály alól számos kivétel van:

• a nyilvános elektronikus hírközlő hálózatok szolgáltatói vagy a nyilvánosan elérhető elektronikus hírközlési szolgáltatások nyújtói annak a tagállamnak a joghatósága alá tartoznának, ahol szolgáltatásaikat nyújtják.
• a közigazgatási szervek az azokat létrehozó tagállam joghatósága alá tartoznának.
• bizonyos típusú szervezetek annak a tagállamnak a joghatósága alá tartoznának, amelyben az Unióban székhellyel rendelkeznek. E szervezetek közé tartoznak a doménnévrendszer-szolgáltatók, a felső szintű doménnév-nyilvántartók, a doménnév-nyilvántartási szolgáltatásokat nyújtó szervezetek, a felhőszolgáltatók, az adatközpont-szolgáltatók, a tartalomszolgáltató hálózati szolgáltatók, az irányított szolgáltatók, az irányított biztonsági szolgáltatók, valamint az online piacterek, az online keresőprogramok és a közösségi hálózati platformok szolgáltatói. Ennek célja annak biztosítása, hogy az ilyen szervezetek ne szembesüljenek számos különböző jogi követelménnyel, mivel különösen nagy mértékben nyújtanak határokon átnyúló szolgáltatásokat. A hatékony felügyelet érdekében a tagállamok előírják az ilyen típusú szervezetek számára, hogy jelentsék be többek között, ha a szervezet üzleti tevékenységének fő helye és az Unióban található egyéb jogi telephelyei, vagy ha nem az Unióban telepedett le, a szervezet képviselőjének kijelölési helyét. Az ENISA-nak létre kell hoznia és fenn kell tartania egy nyilvántartást, amely tartalmazza a tagállamok által ezen az alapon szolgáltatott információkat.

Az uniós együttműködés előmozdítása érdekében lehetővé kell tenni a tagállamok számára, hogy közösen lépjenek fel, és kezeljék a folyamatban lévő digitális átalakulás által jelentett, újonnan felmerülő biztonsági kockázatokat.

Konkrétabban, a tagállamok közösen felügyelhetik az uniós szabályok végrehajtását, és kölcsönösen segíthetik egymást a határokon átnyúló jogellenes gyakorlatok esetén, strukturáltabb párbeszédet folytathatnak a magánszektorral, és koordinálhatják a belső piacon értékesített szoftverekben és hardverekben talált sebezhetőségek közzétételét. Képesek lesznek koordinált módon dolgozni az új technológiákhoz kapcsolódó biztonsági kockázatok és fenyegetések értékelésén is, amint azt első alkalommal az 5G esetében is tették.

A tagállamok támaszkodni fognak az uniós együttműködésre a nemzeti képességeknek a hatóságok közötti személyzeti csereprogramok és szakértői értékelések révén történő javítása érdekében. A meglévő csoportok, nevezetesen a nemzeti kiberbiztonsági hatóságokat tömörítő együttműködési csoport és a számítógép-biztonsági eseményekre reagáló csoportok hálózata (CSIRT-ek) mind stratégiai, mind technikai szinten hozzá fognak járulni az együttműködés előmozdításához.

A NIS 2 irányelv szorosan kapcsolódik két másik kezdeményezéshez, a kritikus fontosságú szervezetek rezilienciájáról szóló irányelvhez és a pénzügyi ágazat digitális működési rezilienciájáról szóló rendelethez (a digitális működési rezilienciáról szóló jogszabály, DORA) .

A NIS 2 irányelv és a kritikus fontosságú szervezetek rezilienciájáról szóló irányelv (CER-irányelv) hatályát nagymértékben összehangolták annak biztosítása érdekében, hogy a kritikus fontosságú szervezetek fizikai és kiberrezilienciájával átfogó módon foglalkozzanak. A CER-irányelv alapján kritikus szervezetként azonosított szervezetek a NIS 2 irányelvben foglalt kiberbiztonsági kötelezettségek hatálya alá is fognak tartozni. Ezenkívül a CER- és a NIS2-irányelv szerinti illetékes nemzeti hatóságoknak együtt kell működniük és rendszeresen meg kell osztaniuk egymással a releváns információkat, például a kockázatokról, a kiberfenyegetésekről és -eseményekről, valamint a nem kiberkockázatokról, -fenyegetésekről és -eseményekről. A NIS 2 keretében működő együttműködési csoportnak rendszeresen, évente legalább egyszer találkoznia kell a CER-irányelv alapján létrehozott, a kritikus szervezetek rezilienciájával foglalkozó csoporttal.

Ami a pénzügyi ágazatot illeti, míg az új kiberbiztonsági irányelv hatálya kiterjed a hitelintézetekre, a kereskedési helyszínek üzemeltetőire és a központi szerződő felekre, a DORA ezekre a szervezetekre a kiberbiztonsági kockázatkezelési és jelentéstételi kötelezettségek tekintetében alkalmazandó. Ugyanakkor fontos szoros kapcsolatot fenntartani a pénzügyi szektor és a NIS 2 hatálya alá tartozó egyéb ágazatok közötti információcsere tekintetében. E célból a DORA , keretében a pénzügyi ágazat európai felügyeleti hatóságai és a pénzügyi ágazat illetékes nemzeti hatóságai részt vehetnének a Kiberbiztonsági Együttműködési Csoport megbeszélésein. Ezenkívül a DORA illetékes hatóságai betekinthetnének a NIS 2 alapján létrehozott egyedüli kapcsolattartó pontokba és CSIRT-ekbe, és megoszthatnák velük a releváns információkat. A NIS 2 alapján létrehozott illetékes hatóságok, egyedüli kapcsolattartó pontok vagy CSIRT-ek a DORA alapján az illetékes hatóságoktól is megkapnák a jelentős IKT-vonatkozású események részleteit. Emellett a tagállamoknak továbbra is be kell vonniuk kiberbiztonsági stratégiáikba a pénzügyi ágazatot, és a nemzeti CSIRT-ek tevékenységeikbe bevonhatják a pénzügyi ágazatot.

A tagállamoknak 2024. október 17-ig (a NIS 2 hatálybalépése után 21 hónappal) kell átültetniük az irányelvet. A Bizottságnak ezt követően rendszeres időközönként felül kell vizsgálnia az irányelv működését, és erről első alkalommal 2027. október 17-ig jelentést kell tennie a Parlamentnek és a Tanácsnak.