A NIS2 irányelv bevezetése óta rengeteg félreértés kering a vállalkozások körében arról, kire vonatkozik, és mit is jelent valójában a megfelelés. Ezek a tévhitek komoly kockázatot is okozhatnak – hiszen Magyarországon becslések szerint közel négyezer vállalkozás tartozik a szabályozás hatálya alá.
„Ez csak a kritikus infrastruktúrát érinti”
A valóság ennél jóval tágabb. A NIS2 nem csak azokra a klasszikus szektorokra vonatkozik, amelyeket a korábbi NIS irányelv is lefedett – kiterjed a teljes ellátási láncra is. Az energiaszektorban például korábban csak a villamosenergia- és gázágazat szereplőit érintette a szabályozás, mára viszont a szélturbinák gyártói és az elektromos töltőállomások üzemeltetői is a hatálya alá kerülhetnek. Sok vállalkozás pontosan emiatt azonosította magát tévesen érintettként – vagy éppen nem ismerte fel, hogy valójában érintett.
„Ez csak az informatikai osztály feladata”
Ez az egyik legelterjedtebb és legveszélyesebb tévhit. A NIS2-megfelelés nem szűkíthető le egyetlen részlegre: érinti a jogi, a HR-, a beszerzési és a vezetői területeket is, hiszen a kockázatkezelésért a szabályozás kifejezetten a vezetést teszi felelőssé. Ha a megfelelés csak az IT-csapat asztalán landol, a folyamat könnyen megcsúszhat vagy hiányos marad.
„Elég, ha papíron megvan az incidenskezelési terv”
A NIS2 nem elégszik meg egy fiókban porosodó dokumentummal. A szabályozás konkrét, szigorú jelentési határidőket ír elő (24, 72, illetve 30 napos lépcsőkben), amelyeket csak rendszeresen tesztelt, valós idejű felügyelettel és gyakorlatban is működő incidenskezelési folyamattal lehet tartani.
„Ha egyszer megfeleltünk, ezzel le van tudva”
A megfelelés nem egyszeri projekt, hanem folyamatos feladat: a kockázatkezelési rendszert, a fenyegetési környezetet és a beszállítói kapcsolatokat rendszeresen felül kell vizsgálni, ahogy a szervezet és a technológiai környezet is folyamatosan változik.
Hol érdemes tisztázni a saját helyzetünket?
Mivel az érintettség pontos megítélése önmagában is szakértelmet igényel, érdemes ezt szakemberrel átbeszélni ahelyett, hogy feltételezésekre hagyatkoznánk. A klaszter NIS2-vel kapcsolatos anyagai a kiberklaszter.hu/nis2 oldalon érhetők el.