NIS2 bírság és szankciók a gyakorlatban

A NIS2 körüli beszélgetések nagy része a bírságoknál kezdődik, és ez érthető: a szankciórendszer lényegesen szigorúbb, mint a korábbi szabályozásé. Fontos azonban látni, hogy a hatóság nem bírsággal kezd. Az eljárásnak van egy logikája, és ha ismeri, sokkal jobban tudja beosztani, mire költ először.

A szankciók mértéke

A jogszabály két kategóriát különböztet meg, és a felső határ ennek megfelelően eltér.

Két dolgot érdemes kiemelni. Egyrészt a "amelyik magasabb" fordulat miatt nagyvállalatnál az árbevétel-alapú számítás dominál. Másrészt a világpiaci árbevétel a viszonyítási alap, nem a magyarországi, tehát egy nemzetközi cégcsoport magyar leányvállalatánál a tét sokkal nagyobb, mint amit a helyi mérleg sugallna.

A magyar gyakorlatban a kiszabott összegek egyelőre jóval a felső határ alatt maradnak. A hatóság a jogsértés súlyát, időtartamát, szándékosságát és a szervezet együttműködését is mérlegeli.

Nem bírsággal kezdődik

Ez a rész az, amit a legtöbben nem tudnak. A felügyeleti eszköztár lépcsőzetes, és a bírság a lánc végén áll.

1. Információkérés. A hatóság bekéri a dokumentációt: kockázatelemzést, szabályzatokat, a vezetői jóváhagyás bizonyítékát.
2. Helyszíni vagy távoli ellenőrzés. Nemcsak a papírt nézik, hanem a működést is: van-e tesztelt visszaállítás, valós-e az eszközleltár.
3. Biztonsági audit elrendelése, akár a szervezet költségére.
4. Figyelmeztetés és kötelezés. Konkrét határidővel, konkrét intézkedésekre.
5. Bírság, ha a kötelezés nem teljesül.
6. Súlyos esetben: a vezető tisztségviselő eltiltása a vezetői feladatok ellátásától, illetve a tevékenység felfüggesztése.

Ebből az következik, hogy a legrosszabb stratégia a hallgatás. Aki az információkérésre nem, vagy hiányosan válaszol, gyorsan feljebb lép a lépcsőn. Aki viszont fel tud mutatni egy dokumentált gap-analízist és egy határidőkkel ellátott intézkedési tervet, az akkor is jóval kedvezőbb helyzetben van, ha a megfelelés még nem teljes.

A vezetői felelősség külön kockázat

A NIS2 egyik legnagyobb újdonsága, hogy a felelősség nem áll meg a szervezetnél. A vezető testület:

• jóváhagyja a kiberbiztonsági intézkedéseket,
• felügyeli a végrehajtásukat,
• felel a megfelelés elmulasztásáért,
• köteles rendszeres képzésen részt venni.

Súlyos és ismételt mulasztás esetén a hatóság ideiglenesen eltilthatja a vezető tisztségviselőt a vezetői feladatok ellátásától. Ez a szankció személyre szól, nem a cégre, és nem hárítható át az IT-vezetőre.

A gyakorlati következmény: a vezetői jóváhagyást és a vezetői képzést dokumentálni kell. Egy aláírt testületi határozat és egy jelenléti ív két olyan papír, ami aránytalanul sokat számít az ellenőrzésen.

Mi számít enyhítő és súlyosító körülménynek

A hatóság mérlegel, és a mérlegelés szempontjai kiszámíthatók.

Enyhít:

• dokumentált gap-analízis és folyamatban lévő, ütemezett intézkedési terv,
• önkéntes bejelentés és együttműködés az eljárás során,
• az incidens gyors észlelése és megfelelő kezelése,
• a szervezet mérete és erőforrásai (arányossági szempont).

Súlyosít:

• az incidensbejelentés elmulasztása vagy késedelme,
• ismételt jogsértés,
• szándékosság vagy súlyos gondatlanság,
• a korábbi hatósági kötelezés figyelmen kívül hagyása,
• a mulasztásból eredő tényleges kár mértéke.

A bejelentés elmulasztása külön kiemelendő. A 24 órás korai előrejelzés és a 72 órás incidensbejelentés elmaradása önálló jogsértés, függetlenül attól, hogy maga az incidens elkerülhető lett volna-e. Ez az egyetlen pont, ahol egyetlen mulasztott e-mail is közvetlen szankciós kockázatot jelent.

Mi az, ami a legolcsóbban a legtöbbet csökkenti a kockázatot

Ha korlátozott a keret, ebben a sorrendben érdemes haladni. Mindegyik lépés önmagában is védhető az ellenőrzésen.

1. Hatályvizsgálat írásban. Ha nem tartozik a hatály alá, azt is dokumentálja. Ez néhány nap munka.
2. Kiberbiztonsági kapcsolattartó kijelölése és regisztráció a hatóságnál.
3. Incidensbejelentési sablon és eljárásrend. Ki dönt, ki jelent, milyen formában, milyen határidővel. Egy A4-es lap is jobb a semminél.
4. Vezetői képzés és jóváhagyás, jegyzőkönyvvel.
5. Gap-analízis a tíz intézkedésre, és egy határidős intézkedési terv.

Ez az öt pont nem teszi megfelelővé a szervezetet, de megmutatja, hogy a folyamat elindult. A hatóság a szándékot és a haladást is mérlegeli, és a lépcsőzetes eljárás miatt a bírságig hosszú út vezet.

A gyakori félreértés

Sokan úgy gondolják, hogy a NIS2 elsősorban jogi és dokumentációs feladat, amit egy szabályzatcsomag megvásárlásával le lehet tudni. A hatósági gyakorlat ennek az ellenkezőjét mutatja: az ellenőrzés a működést nézi. Van-e tesztelt visszaállítás a mentésből, valós-e az eszközleltár, kapott-e képzést a vezetőség, működik-e az MFA kivétel nélkül.

A papír önmagában sem a támadástól, sem a bírságtól nem véd meg. A jó hír, hogy ugyanaz a munka, ami a bírságkockázatot csökkenti, a tényleges kiberkockázatot is csökkenti. Ez az a terület, ahol a megfelelés és a biztonság ritka módon egy irányba mutat.

Ha szeretné felmérni, hol tart, a NIS2 szolgáltatásunk strukturált gap-analízissel indul és priorizált intézkedési tervvel zárul. A teljes követelménylistát a NIS2 ellenőrzőlistánk veszi végig.