Az új kiberbiztonsági törvény által bevezetett változások
Az új, 2025. elején hatályba lépő 2024. évi LXIX. törvény („Kiberbiztonsági Törvény”) az egy évvel korábban hatályba lépett, ugyanezt a tárgykört szabályozó 2023. évi XXIII. törvényt váltotta fel, jelentős módosításokat eszközölve a magyarországi kiberbiztonságra vonatkozó szabályozásban.
A Kiberbiztonsági Törvény vonatkozó rendelkezéseinek megfelelően minden jogi személy, illetve jogi személyiségnek nem minősülő szervezet alanya lehet a Kiberbiztonsági Törvény által meghatározott kötelezettségeknek. Minden egyes jogi személy esetében az adott jogi személy vezető tisztségviselőinek a felelőssége annak azonosítása, hogy az adott jogi személy a Kiberbiztonsági Törvény hatálya alá tartozik-e. Amennyiben erre a kérdésre a válasz igen, akkor az adott jogi személy vezető tisztségviselőinek a felelőssége annak megállapítása is, hogy a törvény alapján a szervezet „alapvető” vagy „fontos” szervezetnek minősül-e.
Az alapvető szervezetek közé tartoznak különösen:
- az egyes többségi állami befolyás alatt álló nagyobb gazdálkodó szervezetek,
- az olyan jogi személyek, amelyek az általuk nyújtott szolgáltatások alapján az állam, a társadalom és a gazdaság működése szempontjából kritikus fontosságúnak tekinthetők, továbbá
- méretüktől függetlenül a minősített bizalmi szolgáltatók (ezen szolgáltatók digitális tanúsítványokat nyújtanak és őriznek meg, amelyek lehetővé teszi az elektronikus aláírások létrehozását és érvényesítését) és a legfelső szintű domainnév-nyilvántartók,
- a DNS-szolgáltatók, valamint
- azon jogi személyek is, amelyek a Kiberbiztonsági Törvény 2. számú melléklete szerinti tevékenységet (például szolgáltatásnyújtás villamos energia, tömegközlekedés vagy víziközmű szolgáltatás alágazatban) végeznek – és legalább középvállalkozásnak minősülnek.
A törvény által „fontos” kategóriába sorolt szervezetek közé tartoznak azok a jogi személyek, amelyek:
- olyan kiemelten kockázatos vagy kockázatos ágazatokban működő szolgáltatóknak és szervezeteknek minősülnek, melyek szolgáltatási zavara jelentős hatással lehet a közrendre, a közbiztonságra vagy a közegészségre,
- alapvető vagy fontos szervezet számára adatkezelést végeznek, továbbá
- a Kiberbiztonsági Törvény 3. számú melléklete szerinti tevékenységet végeznek (például élelmiszerelőállítás, hulladékgazdálkodás, vagy vegyszerelőállítás ágazatban).
Az érintett „alapvető” minősítésű szervezeteknek, illetve „fontos” minősítésű szervezeteknek bejelentést kell tenniük a Szabályozott Tevékenységek Felügyeleti Hatósága (a továbbiakban: „Hatóság”) részére és kérelmezniük kell, hogy a Hatóság vegye nyilvántartásba őket. Azon szervezeteknek, amelyeket a Hatóság már az előző kiberbiztonsági törvény alapján nyilvántartásba vett még 2024-ben, nem kell új bejelentést tenniük. Minden, a Hatóság nyilvántartásában szereplő szervezetnek kötelessége volt azonban 2025. február 15-ig bejelenteni a Hatóság számára azon európai uniós tagállamok listáját, amelyben a szervezet szolgáltatásokat nyújt.
A Kiberbiztonsági Törvény hatálya alá tartozó szervezeteknek az általuk kezelt adatokra vonatkozóan adatosztályozási kötelezettsége is van, továbbá az általa alkalmazott elektronikus információs rendszereket köteles biztonsági osztályba sorolni az adott információs rendszer, valamint az abban kezelt adatok és az azzal nyújtott szolgáltatások kockázatokkal arányos védelmének biztosítása érdekében.
Minden olyan szervezet, amely a Kiberbiztonsági Törvény hatálya alá tartozik, köteles a nyilvántartásba vételét követő 120 napon belül egy, a Hatóság nyilvántartásában szereplő kiberbiztonsági auditorral megállapodást kötni. Amennyiben az érintett szervezet már 2025. január 1-e előtt megkezdte működését, akkor az első kiberbiztonsági auditot 2025. december 31-ig kell elvégeznie. Egy, a működését később megkezdő érintett szervezet a nyilvántartásba vételét követő 2 éven belül köteles kiberbiztonsági auditot lefolytatni. A kiberbiztonsági auditot kétévente meg kell ismételni.
A jogszabályban foglalt kötelezettségek be nem tartása esetén a Hatóság jogosult az alábbi szankciókat alkalmazni a mulasztást elkövető érintett szervezettel szemben:
- először a Hatóság figyelmeztetésben részesíti a jogszabálysértő szervezetet és határidőt tűz a hiányosságok megszüntetésére,
- de akár a szervezet költségére információbiztonsági felügyelőt is jogosult kirendelni,
- amennyiben az említett intézkedések nem vezetnek eredményre, akkor a Hatóság jogosult pénzbírságot is kiszabni.
*
A fenti összefoglaló a figyelemfelkeltést szolgálja és nem tekinthető jogi tanácsadásnak.
Természetesen bármely kérdés esetén készséggel állunk rendelkezésre.