A NIS2 uniós szintű kiberbiztonsági szabályozás, amely a 2016-ban bevezetett NIS irányelv továbbfejlesztett változata. A digitalizáció felgyorsulása és a kibővült fenyegetettségi környezet miatt az Unió 2022 végén fogadta el az új irányelvet azzal a céllal, hogy megerősítse a hálózati és információs rendszerek ellenálló képességét. A NIS2 a korábbinál szélesebb kört érint, egységesebb követelményeket támaszt, és nagyobb hangsúlyt helyez a vezetői felelősségre, a kockázatkezelésre, valamint az incidensek jelentésére.

Méretkritérium és ágazati hatály

• Az irányelv hatálya alá tartozó ágazatokban működő közepes és nagyméretű szervezetek, vagyis jellemzően az 50 főnél többet foglalkoztató, illetve a 10 millió eurót meghaladó éves árbevétellel rendelkező vállalkozások.
• Különösen kritikus ágazatok, például:
  • energia, közlekedés, bankügyletek és pénzügyi piaci infrastruktúrák
  • egészségügy és gyógyszeripar, ivóvíz- és szennyvízellátás
  • digitális infrastruktúra (felhőszolgáltatók, adatközpontok, elektronikus hírközlés, bizalmi szolgáltatók), IKT-szolgáltatások kezelése
  • közigazgatás és űrkutatás
• Egyéb kritikus ágazatok, például:
  • postai és futárszolgálat, hulladékgazdálkodás
  • vegyi anyagok és élelmiszerek gyártása, forgalmazása
  • orvostechnikai eszközök, számítógépek és elektronika, gépek, járművek gyártása
  • digitális szolgáltatók (online piacterek, keresőprogramok, közösségi platformok) és kutatási szervezetek

Kötelezettségek feltérképezése és gap-elemzés

• A szervezetre vonatkozó NIS2 kötelezettségek és besorolás meghatározása
• A jelenlegi működés, dokumentáció és technikai védelmi intézkedések összevetése a jogszabályi elvárásokkal
• Szükség esetén helyszíni bejárás és a fizikai biztonsági intézkedések áttekintése
• A hiányosságok összegzése, ütemezett intézkedési terv és becsült ráfordítás

Szabályozási környezet és irányítási rendszer

• Adatvagyonleltár, üzleti hatáselemzés és részletes, a szervezet működésére szabott kockázatelemzés
• Információbiztonsági szabályzat, kockázatkezelési keretrendszer és incidenskezelési eljárásrend kidolgozása
• Szerepkörök, felelősségek és a vezetői jóváhagyási pontok meghatározása
• Ellátási lánc biztonsága, üzletmenet-folytonossági és helyreállítási intézkedések
• Konzultációs támogatás a bevezetés és a dokumentációk feltöltése során

• Belső audit levezetése, útmutató és sablonok a bizonyítékok gyűjtéséhez
• Biztonságtudatossági és szerepkör szerinti oktatások a vezetőség és a kulcspozíciók számára
• Szakmai támogatás a kiberbiztonsági auditok és a hatósági ellenőrzések során
• Terv a megfelelés hosszú távú fenntartására, rendszeres felülvizsgálatokkal

• Alapszintű felkészítés
  • a vonatkozó kötelezettségek feltérképezése és magas szintű hiányelemzés
  • a megfeleléshez szükséges alapdokumentumok és sablonok biztosítása
  • a szervezetre igazított alapszabályzatok kialakítása
• Bővített felkészítés
  • részletes hiányelemzés, szükség esetén helyszíni bejárással
  • személyre szabott kockázatelemzés és testreszabott dokumentáció
  • belső auditra felkészítő útmutató és rendszeres konzultációk
• Teljes körű felkészítés
  • a bővített csomag minden eleme, kiegészítve kockázatkezelési workshopokkal
  • oktatások a vezetőség és a kulcspozícióban dolgozók részére
  • belső audit teljes levezetése és projektmenedzsment-támogatás
  • a megfelelés fenntartására kidolgozott működési terv

A felkészülés gyakran nem a tényleges kockázatok, hanem külső nyomás vagy általános sablonok mentén zajlik, ami felesleges ráfordítást és mégis hiányos megfelelést eredményez. Az eNET ezzel szemben a szervezet valós működésére és fenyegetettségeire szabott megoldást alakít ki: pontosan annyi szabályozást és intézkedést vezetünk be, amennyire ténylegesen szükség van. Szakértőink az információbiztonsági és megfelelőségi területen szerzett tapasztalatukkal gyakorlati, üzleti szemléletű támogatást nyújtanak, így a kialakított rendszer nem csupán az auditig, hanem hosszú távon is működőképes marad.