Magyarországon a NIS2 irányelvet a 2024. évi LXIX. törvény ülteti át, amely 2025. január 1-jén lépett hatályba. A jogszabály és a határidők azóta többször változtak, ezért a konkrét dátumokat mindig a hatályos szövegben és a hatóság közleményeiben érdemes ellenőrizni. A lépések sorrendje viszont nagyjából mindenhol ugyanaz.
1. Tisztázza, érintett-e
Az érintettség elsősorban az ágazattól és a szervezet méretétől függ. Jellemzően a kiemelt ágazatok (például energia, közlekedés, egészségügy, víziközmű, digitális infrastruktúra, gyártás, élelmiszer-ipar) közepes és nagy szervezetei tartoznak ide, de vannak kivételek. Ha bizonytalan, ezt nézze meg elsőként, mert minden további lépés ettől függ.
2. Nyilvántartásba vétel és auditor
Az érintett szervezeteknek nyilvántartásba kell vétetniük magukat a hatóságnál, és rendszeres kiberbiztonsági auditon kell részt venniük, amelyet erre jogosult auditor végez. Ha ez még nem történt meg, ez az első adminisztratív teendő.
3. Készítsen leltárt
Nem lehet megvédeni azt, amiről nem tudunk. Egy egyszerű táblázat is elég kezdetnek:
- szerverek, munkaállomások, hálózati eszközök,
- alkalmazások és felhőszolgáltatások (például Microsoft 365),
- milyen adatok hol vannak, és ki fér hozzájuk,
- külső szolgáltatók, akiknek hozzáférésük van.
4. Kockázatelemzés
A leltár alapján végig kell gondolni, mi történhet, mekkora kárral, és mi ellen mit tesz a szervezet. A NIS2 kockázatarányos intézkedéseket vár, vagyis nem mindent kell maximálisan megvédeni, hanem a fontos dolgokat megfelelően.
5. A gyorsan bevezethető műszaki intézkedések
Amíg a szabályzatok készülnek, néhány intézkedés azonnal sokat javít a helyzeten:
- Többlépcsős azonosítás minden távoli elérésen és a levelezésen,
- mentések ellenőrzése: nem az, hogy be van-e állítva, hanem hogy vissza lehet-e állítani belőle,
- frissítések a szervereken, a gépeken és a hálózati eszközökön,
- végpontvédelem, amely az ismeretlen támadásokat is megfogja (például Cortex XDR),
- tűzfal-szabályok átnézése és a hálózat szegmentálása (például Palo Alto tűzfallal),
- központi naplózás, hogy egy incidens utólag kivizsgálható legyen,
- a szerverek hardeningje.
6. Szabályzatok és felelősök
Kell egy információbiztonsági szabályzat, kijelölt felelősökkel, és néhány alapvető eljárás: hozzáférések kezelése, mentés, beszállítók, változtatások. A cél nem a vastag dokumentum, hanem hogy a leírt dolgok a valóságban is úgy működjenek.
7. Incidenskezelés és bejelentés
Mi történik, ha baj van? Ki dönt, kit kell értesíteni, hogyan kell a hatóságnak bejelenteni egy jelentős incidenst, és hogyan áll helyre a működés? Ezt érdemes előre leírni és legalább egyszer gyakorolni.
8. Folyamatos fenntartás
A NIS2 megfelelés nem egyszeri projekt. A rendszereket frissíteni kell, a kockázatelemzést felül kell vizsgálni, a dokumentációt naprakészen kell tartani, és a következő auditra is fel kell készülni.
Ha a műszaki alapok rendben vannak, a NIS2 felkészülés főleg dokumentáció és folyamat. Ha hiányoznak, ott érdemes kezdeni, mert az auditor a működést is nézi, nem csak a papírt.
Részletesebben a szolgáltatásunkról: NIS2 felkészítés. Ha az ISO 27001 is szóba jön, érdemes a kettőt együtt tervezni: ISO 27001 felkészítés.