NIS2 felkészítés
Megnézzük, érintett-e a szervezet, mi hiányzik még, és ütemezett tervet adunk a pótlásra. A műszaki részt is elvégezzük: tűzfal, végpontvédelem, naplózás, hardening.
Mi a NIS2?
A NIS2 az Európai Unió kiberbiztonsági irányelve. Magyarországon a 2024. évi LXIX. törvény Magyarország kiberbiztonságáról ülteti át, amely 2025. január 1-jén lépett hatályba.
Az érintett szervezeteknek többek között:
- nyilvántartásba kell vétetniük magukat a hatóságnál (vállalatok esetében ez jellemzően az SZTFH),
- kockázatarányos biztonsági intézkedéseket kell bevezetniük,
- a jelentős incidenseket be kell jelenteniük,
- rendszeres kiberbiztonsági auditon kell részt venniük, amelyet erre jogosult auditor végez.
A jogszabályt azóta többször módosították, a határidők is változtak. A konkrét kötelezettségeket és határidőket mindig a hatályos szöveg és a hatóság közleményei alapján nézzük meg az adott szervezetre.
Ágazat és méret
Jellemzően a kiemelt ágazatokban működő közepes és nagy szervezetek, például energia, közlekedés, egészségügy, víziközmű, digitális infrastruktúra, közigazgatás, gyártás, élelmiszer-ipar, hulladékgazdálkodás. Egyes szervezetek mérettől függetlenül is érintettek lehetnek.
Ha nem biztos benne, érintett-e a szervezete, ezt nézzük meg elsőként.
Papír és technika együtt
A szabályzat önmagában kevés, az auditor azt is nézi, mi valósult meg belőle. Mi a dokumentumokat és a műszaki oldalt együtt visszük, így a kettő nem csúszik el egymástól.
Érintettség és hatókör
Megnézzük, érintett-e a szervezet, milyen kategóriában, és mely rendszerek tartoznak a hatókörbe.
Hiányelemzés
Összevetjük a jelenlegi állapotot az elvárásokkal, és fontossági sorrendbe tesszük a hiányosságokat.
Kockázatelemzés
Rendszerek, adatok, fenyegetések és a kockázatok kezelésének terve, dokumentáltan.
Műszaki intézkedések
Tűzfal, végpontvédelem, többlépcsős azonosítás, naplózás, mentés, hálózatszegmentálás, hardening.
Szabályzatok és folyamatok
Információbiztonsági szabályzat, felelősök, incidenskezelési és bejelentési folyamat, üzletmenet-folytonosság.
Felkészülés az auditra
A bizonyítékok összegyűjtése és átnézése. Az auditot független, jogosult auditor végzi, mi a felkészülésben és a hiányosságok pótlásában segítünk.
Lépésről lépésre
Felmérés
Érintettség, hatókör, jelenlegi állapot.
Terv
Fontossági sorrendbe tett intézkedési lista költséggel és határidővel.
Megvalósítás
Műszaki intézkedések és szabályzatok. Amit vállalunk, azt meg is csináljuk.
Fenntartás
Üzemeltetés, rendszeres felülvizsgálat, támogatás az auditok során.
Gyakorlati útmutató: NIS2: hol kezdjen hozzá egy cég?
Gyakori kérdések a NIS2-ről
Honnan tudom, hogy a szervezetem érintett-e a NIS2-ben?
Az érintettség elsősorban az ágazattól és a szervezet méretétől függ, de vannak kivételek. Egy rövid egyeztetés alapján megnézzük a szervezet tevékenységét és méretét a hatályos jogszabály szerint, és megmondjuk, érintett-e, és ha igen, milyen kategóriában.
Mennyi ideig tart a NIS2 felkészülés?
A kiinduló állapottól függ. Ha a tűzfal, a végpontvédelem, a mentés és a hozzáférés-kezelés már rendben van, a felkészülés főleg dokumentáció és folyamat. Ha a műszaki alapok is hiányoznak, több hónappal érdemes számolni.
Elég, ha veszek egy jó tűzfalat?
Nem. A tűzfal fontos része a műszaki intézkedéseknek, de a NIS2 kockázatkezelést, szabályzatokat, incidenskezelést, hozzáférés-kezelést és rendszeres felülvizsgálatot is elvár. A tűzfal ezeket kiszolgálja (szegmentálás, naplózás, behatolásmegelőzés), de nem helyettesíti.
Önök végzik a NIS2 auditot?
Nem, a kötelező kiberbiztonsági auditot független, erre jogosult auditor végzi. Mi a felkészülésben, a hiányosságok pótlásában és az audit során felmerülő műszaki kérdésekben segítünk.
Kérjen ajánlatot
Írja meg, melyik ágazatban működik a szervezet és nagyjából hány munkatárssal. Egy rövid egyeztetés után megmondjuk, hol érdemes kezdeni.