NIS2

angolul: NIS2 Directive (Network and Information Security Directive 2)

haladóelterjedt

Az Európai Unió kiberbiztonsági szabálya, amely a fontos ágazatok cégeit és intézményeit kötelezi rendszereik védelmére és a súlyos incidensek gyors bejelentésére.

Érthetően

A NIS2 olyan a digitális világban, mint a tűzvédelmi előírás az épületekben. Nem azt mondja meg, milyen legyen az üzleted, hanem azt, hogy legyen tűzjelző, menekülési terv és felelős, aki mindezt rendben tartja.

Azokra a szervezetekre vonatkozik, amelyeknek a leállása sok embernek fájna: energiaszolgáltatók, kórházak, közlekedés, vízművek, bankok, digitális szolgáltatók, élelmiszer- és vegyipar, postai szolgáltatás, hulladékgazdálkodás és a közigazgatás. Jellemzően a közepes és nagyobb cégeket érinti, de néhány kulcsszolgáltatót a méretétől függetlenül, a beszállítókon keresztül pedig a kisebbeket is.

Az elődjéhez képest az az újdonság, hogy sokkal több ágazatot fed le, és a vezetőket személyesen is felelőssé teszi. A kiberbiztonság így már nem csak az informatikusok dolga, hanem a vezetőségé is.

Az AI korában azért különösen fontos, mert a cégek által használt AI-eszközök és agentek is a védendő informatikai rendszer részei. Ha egy agent hozzáfér a levelezéshez vagy az ügyféladatokhoz, a kockázatát ugyanúgy fel kell mérni, mint bármely más szoftverét.

Hogyan működik

Besorolás: a szervezet megnézi, hogy az ágazata és a mérete alapján a szabály hatálya alá tartozik-e, és ha igen, nyilvántartásba veteti magát a hatóságnál.
Kockázatfelmérés: számba veszi a rendszereit, adatait és beszállítóit, és azt, mi történne, ha ezek leállnának vagy illetéktelen kézbe kerülnének.
Védelmi intézkedések: bevezeti a kötelező alapokat, például a mentést, a hozzáférések kezelését, a titkosítást, a többlépcsős azonosítást, a dolgozók oktatását és a beszállítók ellenőrzését.
Incidensbejelentés: jelentős támadás vagy leállás esetén 24 órán belül korai figyelmeztetést, 72 órán belül részletesebb bejelentést, egy hónapon belül zárójelentést kell küldenie.
Ellenőrzés és szankció: a hatóság felügyeli a megfelelést. Mulasztás esetén a legfontosabb (alapvető) szervezeteknél legalább 10 millió euróig vagy az éves világpiaci forgalom 2 százalékáig terjedő bírság szabható ki, a kettő közül a magasabb összeg erejéig. A többi érintett (fontos) szervezetnél ez a határ 7 millió euró, illetve a forgalom 1,4 százaléka.

Példa a mindennapokból

Egy élelmiszeripari cégnél dolgozol, és egyik napról a másikra kötelező lesz a kétlépcsős belépés, adathalász-oktatásra küldenek, és megtiltják, hogy céges iratokat tölts fel jóvá nem hagyott AI-eszközbe. Ezek mögött jó eséllyel a NIS2 áll: a cégednek igazolnia kell, hogy kézben tartja a digitális kockázatait.

Kit érint

vállalkozó, vezetőA megfelelésért a vezetőség felel, a mulasztás pedig bírsággal és személyes felelősségre vonással járhat.

munkavállalóA szigorúbb belépési szabályok, a kötelező oktatások és az AI-eszközök használati korlátai a mindennapi munkádban jelennek meg. → Munka és HR

fejlesztőHa érintett cégnek szállítasz szoftvert vagy agentet, a megrendelő biztonsági követelményeket és bizonyítékokat fog kérni tőled. → Kód

mindenkiAzt szolgálja, hogy az áram, a víz, a kórház és a bank egy kibertámadás idején is működjön.

Gyakori félreértés

TévhitA NIS2 csak a nagy energetikai cégekre és a bankokra vonatkozik, a kisebb vállalkozásoknak nincs vele dolguk.

ValójábanSok közepes méretű cég is közvetlenül érintett, például élelmiszergyártók, gépgyártók vagy hulladékkezelők. A kisebbek beszállítóként találkoznak vele, mert a megrendelőiknek az ellátási láncuk biztonságát is ellenőrizniük kell.

Korlátok és kockázatok

Irányelv, nem rendelet: minden tagállam saját törvénnyel ültette át, ezért a részletek, a határidők és a hatóságok országonként eltérnek.
A megfelelés papíron nem jelent tényleges védettséget: egy sikeres audit után is érheti támadás a szervezetet.
A felkészülés pénzbe és szakemberbe kerül, ami a közepes cégeknek komoly teher lehet.
Az AI-rendszerek sajátos kockázatait, például a manipulált bemeneteket vagy a tanítóadatok megmérgezését, nem részletezi. Ezekre részben az EU MI-rendelete tartalmaz külön követelményeket.

Hasonló, de nem ugyanaz

GDPR – A GDPR a személyes adatokat védi, a NIS2 a szolgáltatások és informatikai rendszerek működőképességét és biztonságát.
EU MI-rendelet (AI Act) – Az MI-rendelet azt szabályozza, milyen AI-rendszer hozható forgalomba és hogyan használható, a NIS2 pedig a szervezet teljes informatikai biztonságát.
DORA – A DORA kifejezetten a pénzügyi szektor digitális ellenálló képességéről szóló uniós rendelet, és ott a NIS2-nél részletesebb, elsőbbséget élvező szabályokat ad.

Kapcsolódó fogalmak

Tágabb

Kiberbiztonság, Uniós digitális szabályozás, Megfelelés (compliance)

Szűkebb

Incidensbejelentés, Kockázatkezelés, Ellátási lánc biztonsága, Kiberbiztonsági audit

Rokon

EU MI-rendelet (AI Act), GDPR, DORA, Kiberreziliencia-rendelet (CRA), Kritikus infrastruktúra

Röviden a története

Az első uniós kiberbiztonsági irányelvet (NIS) 2016-ban fogadták el. Ezt váltotta fel a 2022 decemberében elfogadott NIS2, amely 2023 januárjában lépett hatályba, és amelyet a tagállamoknak 2024. október 17-ig kellett saját jogukba átültetniük.

Hol tart most

2026 végén a NIS2 a tagállamok többségében, így Magyarországon is nemzeti törvényként él, az érintett szervezeteknél a nyilvántartásba vétel, az auditok és a hatósági ellenőrzések a napi gyakorlat részei. Az átültetés minősége és a végrehajtás szigora országonként még eltér.

Állapot: 2026. november

Más nevei

NIS2 · NIS 2 · NIS2 irányelv · NIS2 Directive · (EU) 2022/2555 irányelv · Directive (EU) 2022/2555 · hálózat- és információbiztonsági irányelv · kiberbiztonsági irányelv

Források

Európai Bizottság: NIS2 Directive

A szócikk gépi szerkesztéssel készült és gépi szakmai lektoráláson ment át; a „hírekben” rész az Agent Age sztorijaiból automatikusan frissül.