Az SZTFH bejelentése szerint elsősorban azt vizsgálják, hogy az érintettek
- megfeleltek-e a hatósághoz történő nyilvántartásba vételi, valamint
- auditszerződés-kötési kötelezettségüknek.
Az ellenőrzés során a hangsúlyt a nem teljesítő kötelezettek kiszűrésére és szankcionálására helyezik. A hatóság e témában kiadott közleményében az érintett szervezetek együttműködését, a jogszabályokban foglalt előírások teljesítését kérte annak érdekében, hogy a szabályozás céljai maradéktalanul teljesüljenek, ezáltal az érintett vállalatok ellenállóbbak legyenek a kiberbiztonsági fenyegetésekkel szemben.
A hatóság vizsgálja tehát azt is, hogy a potenciálisan érintett szervezetek megfeleltek-e regisztrációs kötelezettségeiknek – ennek a 2025 előtt indult vállalatoknál tavaly október közepéig kellett megfelelniük. A nyilvántartásba vett vállalatoknál pedig azt is ellenőrzik, hogy a kötelező kiberbiztonsági auditra vonatkozó szerződésüket megkötötték-e vagy sem – az erre vonatkozó határidő 2025. augusztus 31-e volt.
Nyilvántartásba vétel
A hatósági nyilvántartásba vétel önbevalláson alapuló regisztrációt jelent. Ezt azoknak a vállalatoknak, amelyek a törvény hatálya alá tartoznak az SZTFH online felületén kellett elvégeznie. (Személyes és postai ügyintézésre nincs mód.) Azon vállalatok esetén, amelyek ezt elmulasztották, a bírság akár 150 millió forint is lehet.
Az érintett szervezetek (amelyeknek regisztrálnia kellett) a NIS2 irányelv alapján a kiemelten kockázatos és a kockázatos ágazatokban tevékenykedő középvállalkozások (azok tehát, amelyek 50 főnél több munkavállalót foglalkoztatnak, legalább 10 millió eurós éves árbevétellel rendelkeznek).
A kiemelten kockázatos kategóriába sorolt ágazatok a rendelet alapján
- az energetika,
- a közlekedés,
- az egészségügy,
- az ivóvíz,
- a szennyvíz,
- a hírközlési szolgáltatás,
- a digitális infrastruktúra,
- a kihelyezett infokommunikáció, és
- az űripar.
A kockázatos kategóriába sorolt ágazatok
- a postai és futárszolgálatok;
- az élelmiszer előállítása, feldolgozása és forgalmazása;
- a hulladékgazdálkodás;
- a vegyszerek előállítása és forgalmazása, gyártása;
- a digitális szolgáltatás; és
- a kutatás.
Mérettől és foglalkoztatotti létszámtól függetlenül az érintett szervezetek közé tartoznak a fentieken túl
- az elektronikus hírközlési szolgáltatók,
- a bizalmi szolgáltatók,
- a DNS-szolgáltatók,
- a legfelső szintű doménnév-nyilvántartó, és a doménnév-regisztrációt végző szolgáltatók is.
Auditszerződés-kötési kötelezettség
Az előbbiekben felsorolt ágazatokban működő érintett intézmények közül azoknak, amelyek 2025. január 1-je előtt kezdték meg működésüket, 2026. június 30-áig kiberbiztonsági auditot kell végezniük – az ennek lefolytatására vonatkozó szerződést pedig 2025. augusztus 31-éig meg kellett kötniük az auditorral – az SZTFH-ellenőrzések során a másik kiemelt szempont, amit vizsgálnak majd az, hogy a vállalat rendelkezik-e szerződéssel az audit lefolytatására.
Érdemes mielőbb lépni
Az SZTFH február óta folyamatosan nyomon követte az auditori szerződések számának alakulását. A nyáron folytatott intenzív tájékoztató kampányok nyomán a júliusi adatokhoz képest augusztusban hatalmas növekedés következett be az auditori szerződések számában – ebben a hónapban közel annyi szerződést kötöttek az érintett szervezetek, mint előtte egész évben összesen, de a hatóság közlése szerint még mindig nem tett eleget minden érintett a kötelezettségének.
