Az első fázis elvileg már mögöttünk van

A NIS2 direktíva hazai átültetésének első szakaszában a magyar vállalkozásoknak fel kellett mérniük, hogy megfelelnek-e annak a három feltételnek, amely alapján érintett vállalkozásnak minősülnek. Az első kritérium annak meghatározása, hogy a vállalat bármely tevékenysége a jogszabályban megjelölt 16, kockázatosnak vagy kiemelten kockázatosnak minősített ágazatba tartozik-e (például közlekedés, egészségügy, gyógyszeripar, vegyipar, digitális szolgáltatások stb.). A második és harmadik feltétel értékelése viszonylag egyszerűbb: a vállalkozás középvállalkozásnak minősül-e, vagyis rendelkezik-e legalább 50 fő munkavállalóval, és nettó éves árbevétele vagy mérlegfőösszege meghaladja-e a 10 millió eurót.

„Ha egy vállalkozás eleget tesz e három feltételnek, akkor 2024. június 30-ig köteles volt kérni nyilvántartásba vételét a kiberbiztonsági felügyeleti szervtől. A nyilvántartásba vétel nem csupán egy adminisztratív feladat, az már ebben a szakaszban is stratégiai döntéseket követelt a vállalkozásoktól” – emlékeztet Kerekes Gábor. Az alapvető adatok és tevékenységi körök megadása mellett a kérelemben már ki kellett jelölni azt a felelős személyt, aki a cég elektronikus információs rendszereinek biztonságáért felel, fel kellett tüntetni a vállalat által nyújtott nyilvános szolgáltatásokat (például ügyfélportálok, mobilalkalmazások), valamint listázni kellett az összes olyan szolgáltatót, amely részt vesz az elektronikus információs rendszerek üzemeltetésében.