Nem könnyű most a kiberbiztonsági törvény hatálya alá tartozó cégeknek

A kiberbiztonsági törvény hatálya alá tartozó szervezeteknek számos új szabálynak kell megfelelniük. Az érintett szervezeteknek 2023 végéig van idejük felkészülni.

A Baker McKenzie közleménye szerint a kiberbiztonság a technológiai fejlődés és a cégek digitális átállása miatt kiemelten fontos terület. A kiberbiztonsági tanúsításról és a kiberbiztonsági felügyeletről szóló törvény célja az it-rendszerekhez kapcsolódó veszélyeknek különösen kitett szervezetek biztonságának megerősítése.

A törvény csak bizonyos iparágakba tartozó illetve bizonyos tevékenységeket folytató szervezetekre vonatkozik, így a gépjármű-gyártókra, elektronikai termékek gyártóira, számos energetikai és gyógyszeripari cégre, valamint felhőszolgáltatókra és adatközpont-szolgáltatást nyújtókra. A jogszabály néhány kivételtől eltekintve nem alkalmazandó a mikro- és kisvállalkozásokra, de ha a vállalkozás például elektronikus hírközlési szolgáltatónak vagy bizalmi szolgáltatónak minősül, akkor rá is vonatkozik.

Az új szabályok szerint az it-rendszerek létrehozásához, üzemeltetéséhez, karbantartásához és javításához a cégek kizárólag olyan közreműködőket – például külső it-szolgáltatókat – vehetnek igénybe, akik szintén megfelelnek a törvényben foglalt követelményeknek. Az érintett szervezetek kötelesek kinevezni egy információbiztonságért felelős személyt.

Az érintett szervezeteknek információbiztonsági szabályzatot kell alkotniuk és meg kell tenniük a szükséges műszaki intézkedéseket. Gyakori jelenség, hogy az it-rendszerekkel kapcsolatos veszélyekről a munkavállalók csak keveset vagy egyáltalán nem tudnak, ezért a törvény kitér az it-rendszerek felhasználóinak oktatására is: az érintett szervezetek kötelesek rendszeres információbiztonsági képzéseket szervezni a dolgozóik számára.

Az új kiberbiztonsági törvénnyel adminisztratív feladatok is járnak: a hatálya alá eső cégeknek regisztrálniuk kell magukat a Szabályozott Tevékenységek Felügyeleti Hatóságának (SZTFH) nyilvántartásába – a nyilvántartásba vételi kérelmet érdemes mielőbb előkészíteni. Ezen felül, az említett cégeknek kétévente független auditor bevonásával kiberbiztonsági auditot kell végeztetniük, aminek az eredményét a vizsgálatot végző szakértő elküldi az SZTFH-nak.

Az SZTFH akár ötvenmillió forint bírságot is kiszabhat, amely további szabálytalanság esetén megismételhető, és több szabálytalanság esetén összeadandó. Amennyiben a meg nem felelés a személyes adatok biztonságát is érinti, a jogsértéssel összefüggésben az illetékes adatvédelmi felügyeleti hatóság – amely Magyarországon a Nemzeti Adatvédelmi és Információszabadság Hatóság – szintén kiszabhat bírságot, amelynek mértéke akár húszmillió euró vagy a vállalkozás előző éves világpiaci forgalmának négy százaléka is lehet (amelyik magasabb).