2024. évi LXIX. törvény Magyarország kiberbiztonságáról - Hatályos Jogszabályok Gyűjteménye

(1)E törvénynek a szervezetek kötelezettségeire és a kiberbiztonsági hatósági felügyeletre vonatkozó rendelkezéseit kell alkalmazni

1. a)az 1. mellékletben felsorolt, a közigazgatási ágazathoz tartozó szervezetekre,
2. b)* a többségi állami befolyás alatt álló azon gazdálkodó szervezetekre, amelyek nem tartoznak az
3. a)pont hatálya alá és amelyek vonatkozásában legalább az egyik feltétel teljesül az alábbiak közül:
4. ba)összes foglalkoztatotti létszáma eléri vagy meghaladja az 50 főt, vagy
5. bb)* éves nettó árbevétele vagy éves költségvetési bevételi előirányzata meghaladja a 10 millió eurónak megfelelő forintösszeget, és – a számvitelről szóló 2000. évi C. törvény 8. §

(2)bekezdése szerinti beszámoló készítésére köteles szervezet esetében – mérlegfőösszege meghaladja a 10 millió eurónak megfelelő forintösszeget, c) a 23. §

(1)bekezdés a) pontja szerinti nemzeti kiberbiztonsági hatóság (a továbbiakban: nemzeti kiberbiztonsági hatóság), vagy a 23. §

(2)bekezdése szerinti honvédelmi kiberbiztonsági hatóság (a továbbiakban: honvédelmi kiberbiztonsági hatóság) által a

(6)bekezdés szerint alapvető vagy fontos szervezetként azonosított, az a),

1. b)és d)–
2. f)pont, valamint az (EU) 2022/2554 európai parlamenti és tanácsi rendelet hatálya alá nem tartozó szervezetekre,
3. d)* azokra a 2. és 3. melléklet szerinti szervezetekre, amelyek nem tartoznak az
4. a)pont hatálya alá és a kis- és középvállalkozásokról, fejlődésük támogatásáról szóló törvény szerint középvállalkozásoknak minősülnek, valamint azokra a 2. és 3. melléklet szerinti szervezetekre, amelyek nem tartoznak az
5. a)pont hatálya alá, és amelyek vonatkozásában legalább az egyik feltétel teljesül a következők közül:
6. da)összes foglalkoztatotti létszáma eléri vagy meghaladja az 50 főt, vagy
7. db)éves nettó árbevétele vagy éves költségvetési bevételi előirányzata meghaladja a 10 millió eurónak megfelelő forintösszeget, és – a számvitelről szóló 2000. évi C. törvény 8. §

(2)bekezdése szerinti beszámoló készítésére köteles szervezet esetében – mérlegfőösszege meghaladja a 10 millió eurónak megfelelő forintösszeget,

1. e)* méretüktől függetlenül, az
2. a)pont hatálya alá nem tartozó, a 2. és 3. melléklet szerinti szervezetekre, ha a szervezet
3. ea)elektronikus hírközlési szolgáltató,
4. eb)bizalmi szolgáltató,
5. ec)DNS-szolgáltató,
6. ed)legfelső szintű doménnév-nyilvántartó vagy
7. ee)doménnév-regisztrációt végző szolgáltató, valamint
8. f)a honvédelmi érdekhez kapcsolódó tevékenységet folytató gazdasági társaságokra.

(1a)* Az

(1)bekezdésben euróban meghatározott összegek forintra történő átszámításakor a Magyar Nemzeti Bank által közzétett, a szervezet üzleti évének lezárásakor vagy – költségvetési szerv esetében – a költségvetési év zárásakor érvényes hivatalos devizaárfolyamot kell alkalmazni. Újonnan alapított szervezet esetén a tárgyévet megelőző év utolsó napján érvényes, a Magyar Nemzeti Bank által közzétett hivatalos devizaárfolyamot kell alkalmazni.

(2)A kritikus szervezetek ellenálló képességéről szóló törvény (a továbbiakban: Kszetv.) alapján kijelölt kritikus szervezetek és kritikus infrastruktúrák (a továbbiakban együtt: kritikus szervezet), valamint a védelmi és biztonsági tevékenységek összehangolásáról szóló törvény (a továbbiakban: Vbö.) alapján kijelölt, az ország védelme és biztonsága szempontjából jelentős szervezetek és infrastruktúrák (a továbbiakban együtt: az ország védelme és biztonsága szempontjából jelentős szervezet) vonatkozásában a szervezetnek az

(1)bekezdés szerinti minősülése az irányadó e törvény rendelkezéseinek az alkalmazása során, kivéve, ha a kritikus szervezet vagy az ország védelme és biztonsága szempontjából jelentős szervezet az (EU) 2022/2554 európai parlamenti és tanácsi rendelet hatálya alá tartozik.

(2a)* E törvénynek – a

1. § és a 13–
2. § kivételével – az
3. §

(1)bekezdés a) pontja szerinti szervezetekre irányadó rendelkezéseit kell alkalmazni arra a kritikus szervezetre vagy az ország védelme és biztonsága szempontjából jelentős szervezetre, amely nem minősül az

(1)bekezdés szerinti szervezetnek.

(3)A szervezetek – az általuk nyújtott szolgáltatásnak az állam, a társadalom, a gazdaság működése szempontjából való kritikussága, valamint bizonyos esetekben a szervezet mérete alapján – alapvető vagy fontos szervezeteknek minősülnek.

(4)Az

(1)bekezdés szerinti szervezetek közül alapvető szervezetnek minősülnek az alábbi szervezetek:

1. a)az 1. melléklet szerinti szervezetek, kivéve a 20 000 főt meg nem haladó lakosságszámú települések képviselő-testületének hivatalai,
2. b)* az

(1)bekezdés

1. b)pontja szerinti szervezetek,
2. c)azon szervezetek, amelyeket a nemzeti kiberbiztonsági hatóság vagy a honvédelmi kiberbiztonsági hatóság alapvető szervezetként azonosított,
3. d)a Kszetv. alapján kijelölt kritikus szervezetek,
4. e)a Vbö. alapján kijelölt, az ország védelme és biztonsága szempontjából jelentős szervezetek,
5. f)a 2. melléklet szerinti azon szervezetek, amelyek a kis- és középvállalkozásokról, fejlődésük támogatásáról szóló törvény szerint középvállalkozásnak minősülnek vagy meghaladják a középvállalkozásokra vonatkozóan előírt küszöbértékeket, valamint
6. g)a minősített bizalmi szolgáltatók és a legfelső szintű doménnév-nyilvántartók, valamint a DNS-szolgáltatók, méretüktől függetlenül,
7. h)* a honvédelmi érdekhez kapcsolódó tevékenységet folytató gazdasági társaságok.

(5)Az

(1)bekezdés szerinti szervezetek közül fontos szervezetnek minősülnek és a szervezetekre vonatkozó rendelkezéseket az e törvényben foglalt eltérésekkel kell alkalmazni az alábbi szervezetekre:

1. a)a 20 000 főt meg nem haladó lakosságszámú települések képviselő-testületének hivatalai,
2. b)azon szervezetek, amelyeket a nemzeti kiberbiztonsági hatóság vagy a honvédelmi kiberbiztonsági hatóság fontos szervezetként azonosított,
3. c)a 2. melléklet szerinti szervezet, amely nem minősül alapvető szervezetnek, valamint
4. d)a 3. melléklet szerinti szervezet, amely a

(4)bekezdés b)–e) pontja alapján nem minősül alapvető szervezetnek.

(6)Az

(1)bekezdés c) pontja szerinti azonosítási eljárás feltétele, hogy a szervezet

1. Magyarországon egyedüli szolgáltatója egy olyan szolgáltatásnak, amely elengedhetetlen a kritikus társadalmi vagy gazdasági tevékenységek fenntartásához;
2. által nyújtott szolgáltatás zavara jelentős hatással lehet a közrendre, a közbiztonságra vagy a közegészségre;
3. által nyújtott szolgáltatás zavara jelentős hatást gyakorolhat kritikus fontosságú társadalmi vagy gazdasági tevékenységekre;
4. által nyújtott szolgáltatás zavara jelentős rendszerszintű kockázatot idézhet elő, különösen azokban az ágazatokban, ahol az említett zavarnak határokon átnyúló hatása lehet;
5. nemzeti vagy regionális szinten különös fontossággal bír az adott ágazat vagy szolgáltatás típusa, vagy más, hazai kölcsönösen függő ágazatok szempontjából;
6. a nemzetbiztonsági védelem alá eső szervek és létesítmények köréről szóló kormányhatározat alapján nemzetbiztonsági védelem alatt áll; vagy nemzetbiztonsági okból a nemzeti kiberbiztonsági hatóság, honvédelmi vagy katonai nemzetbiztonsági okból a honvédelmi kiberbiztonsági hatóság indokoltnak tartja az azonosítását;
7. legalább 20000 személynek nyújt a
8. és
9. mellékletben foglalt ágazatok szerinti, vagy az állam működéséhez szükséges szolgáltatásokat;
10. * legalább 5, e törvény hatálya alá tartozó szervezetnek nyújt szolgáltatásokat;
11. többségi állami befolyás alatt áll;
12. jogszabályban meghatározott, a nemzeti adatvagyon körébe tartozó állami nyilvántartások adatfeldolgozója;
13. az alapvető vagy fontos szervezet számára adatkezelést végez;
14. olyan köztulajdonban álló gazdasági társaságnak minősül, amely nem tartozik az

(1)bekezdés b) pontjának hatálya alá vagy 13. költségvetési és európai uniós forrásból támogatott projektek keretében fejleszt elektronikus információs rendszert.

(7)E törvény kiberbiztonsági tanúsításra vonatkozó rendelkezéseit az információs és kommunikációs technológiai (a továbbiakban: IKT) termékek, IKT-szolgáltatások vagy IKT-folyamatok tanúsításával kapcsolatos tevékenységre kell alkalmazni.

(8)E törvény poszt-kvantumtitkosításra vonatkozó rendelkezéseit a Szabályozott Tevékenységek Felügyeleti Hatósága (a továbbiakban: SZTFH) elnökének rendeletében meghatározott, a következő szervezetekre (a továbbiakban: poszt-kvantumtitkosítás alkalmazására kötelezett szervezet) és hatósági felügyeletükre irányuló tevékenységre kell alkalmazni:

1. a)a kormányzati célú hálózatokról szóló kormányrendelet szerinti igénybevételre kötelezett szervezet, valamint
2. b)a következő törvények hatálya alá tartozó közműszolgáltató és a következő törvények felhatalmazása alapján kiadott jogszabályok hatálya alá tartozó, közszolgáltatást nyújtó szervezet:
3. ba)a földgázellátásról szóló törvény,
4. bb)a földgáz biztonsági készletezéséről szóló törvény,
5. bc)a villamos energiáról szóló törvény,
6. bd)a távhőszolgáltatásról szóló törvény,
7. be)a víziközmű-szolgáltatásról szóló törvény, valamint
8. bf)a hulladékról szóló törvény.

(9)E törvény sérülékenységvizsgálatra vonatkozó rendelkezéseit kell alkalmazni: a) * az

(1)bekezdés a)–

1. c)és
2. f)pontja szerinti szervezetek elektronikus információs rendszereit, valamint
3. b)a megállapodásban foglalt eltérésekkel a 61. § szerinti megállapodásban meghatározott elektronikus információs rendszereket érintő sérülékenységvizsgálatokra.

(10)E törvény kiberbiztonsági incidenskezelésre vonatkozó rendelkezéseit kell alkalmazni: a) az

(1)bekezdés szerinti szervezetek, valamint b) az e törvényben meghatározott eltérésekkel az (EU) 2022/2554 európai parlamenti és tanácsi rendelet hatálya alá tartozó szervezetek elektronikus információs rendszereit érintő kiberbiztonsági incidensek kezelésére.

(11)A

(10)bekezdésben meghatározott szervezeteken kívüli szervezetek, illetve személyek által önkéntesen bejelentett kiberbiztonsági incidensek esetén a nemzeti kiberbiztonsági incidenskezelő központ az e törvényben meghatározottak szerint jár el. 2. §

(1)E törvény rendelkezéseit kell alkalmazni

1. a)a Magyarország területén letelepedett vagy letelepedett képviselővel rendelkező 1. § szerinti szervezetekre,
2. b)a Magyarország területén szolgáltatást nyújtó elektronikus hírközlési szolgáltatókra,
3. c)* azokra a DNS-szolgáltatókra, legfelső szintű doménnév-nyilvántartókra, doménnév-nyilvántartási szolgáltatásokat nyújtó szervezetekre, felhőszolgáltatókra, adatközpont-szolgáltatókra, tartalomszolgáltató hálózati szolgáltatókra, kihelyezett (irányított) infokommunikációs szolgáltatást nyújtó szolgáltatókra, kihelyezett (irányított) infokommunikációs biztonsági szolgáltatást nyújtó szolgáltatókra, az online piacterek, online keresőprogramok és közösségimédia-szolgáltatási platformok szolgáltatóira, amelyek üzleti tevékenységének fő helye Magyarország területén található.

(2)Az

(1)bekezdés

1. c)pontja szerinti szervezet üzleti tevékenységének fő helye abban az esetben van Magyarországon, ha
2. a)a kiberbiztonsági kockázatkezelési intézkedésekkel kapcsolatos döntéseket túlnyomórészt Magyarországon hozzák meg,
3. b)a szervezet elektronikus információs rendszereivel kapcsolatos kiberbiztonsági műveleteket Magyarországon végzik, vagy
4. c)a szervezetnek a legmagasabb munkavállalói létszámmal rendelkező telephelye Magyarországon van. 3. §

(1)E törvény hatálya nem terjed ki

1. a)a minősített adatot kezelő elektronikus információs rendszerekre,
2. b)a műveleti célú elektronikus információs rendszerekre,
3. c)az atomenergia alkalmazása körében a fizikai védelemről és a kapcsolódó engedélyezési, jelentési és ellenőrzési rendszerről szóló kormányrendelet hatálya alá tartozó programozható rendszerekre, valamint
4. d)a Kormány rendeletében kijelölt szerv által nyújtott kiberbiztonsági szolgáltatásokra.

(2)A Kormány rendeletében határozza meg az

(1)bekezdés d) pontja szerinti kiberbiztonsági szolgáltatások körét és az igénybevételére kötelezett, illetve jogosult szervezetek körét.

(3)E törvény rendelkezéseit a honvédelmi célú elektronikus információs rendszerek vonatkozásában az e törvényben meghatározott eltérésekkel kell alkalmazni. 2. Értelmező rendelkezések 4. § E törvény alkalmazásában 1. adat: az információ hordozója, a tények, fogalmak vagy utasítások formalizált ábrázolása, amely az emberek vagy automatikus eszközök számára közlésre, megjelenítésre vagy feldolgozásra alkalmas; 2. adatfeldolgozás: az információs önrendelkezési jogról és az információszabadságról szóló törvény szerinti fogalom; 3. adatfeldolgozó: az információs önrendelkezési jogról és az információszabadságról szóló törvény szerinti fogalom; 4. adatkezelés: az információs önrendelkezési jogról és az információszabadságról szóló törvény szerinti fogalom; 5. adatkezelő: az információs önrendelkezési jogról és az információszabadságról szóló törvény szerinti fogalom; 6. adatkicserélő szolgáltatás: az elektronikus hírközlésről szóló törvény szerinti fogalom; 7. adatközponti szolgáltatás: olyan szolgáltatás, amely központosított elhelyezést, összeköttetést és működést biztosít adattároló, -feldolgozó és -továbbító információtechnológiai és hálózati berendezések számára, ideértve az energiaellátást és környezeti felügyeletet biztosító létesítményeket és infrastruktúrát is; 8. adatosztályozás: a szervezet által az elektronikus információs rendszerben kezelt adatok és információk biztonsági besorolása azok bizalmasságának, sértetlenségének és rendelkezésre állásának szempontjából; 9. ágazaton belüli kiberbiztonsági incidenskezelő központ: olyan kiberbiztonsági incidenskezelő központ, amelyet az e törvény hatálya alá tartozó egy vagy több, egy ágazathoz tartozó szervezet az ágazaton belül meghatározott szakterületen előforduló kiberbiztonsági incidenseinek a központosított és egységes kezelése érdekében üzemeltet; 10. auditor: az e törvény szerinti kiberbiztonsági audittevékenység végzésére jogosult, független gazdálkodó szervezet; 11. behatolásvizsgálat: olyan sérülékenységvizsgálati módszer, amelynek során az IKT-rendszer, valamint az elektronikus információs rendszer gyenge pontjainak feltárására és kihasználhatóságának ellenőrzésére kerül sor a biztonsági intézkedések elleni rosszindulatú támadások szimulációjával; 12. belső informatikai biztonsági vizsgálat: olyan sérülékenységvizsgálati módszer, amelynek során az informatikai rendszer sérülékenységvizsgálata a belső hálózati végpontról közvetlenül történik, vagy a belső hálózatban használt eszköz, vagy rendszerelem vizsgálata kerül végrehajtásra; 13. bizalmasság: az elektronikus információs rendszer azon tulajdonsága, hogy a benne tárolt adatot, információt csak az arra jogosultak és csak a jogosultságuk szintje szerint ismerhetik meg, használhatják fel, illetve rendelkezhetnek a felhasználásáról; 14. bizalmi szolgáltatás: a digitális államról és a digitális szolgáltatások nyújtásának egyes szabályairól szóló törvény szerinti fogalom; 15. bizalmi szolgáltató: a digitális államról és a digitális szolgáltatások nyújtásának egyes szabályairól szóló törvény szerinti fogalom; 16. biztonsági osztály: az elektronikus információs rendszer védelmének elvárt erőssége; 17. biztonsági osztályba sorolás: a kockázatok alapján az elektronikus információs rendszer védelme elvárt erősségének meghatározása; 18. digitális szolgáltatás: a digitális államról és a digitális szolgáltatások nyújtásának egyes szabályairól szóló törvény szerinti fogalom; 19. DNS: hierarchikusan felépülő elnevezési rendszer, más néven doménnévrendszer, amely lehetővé teszi az internetes szolgáltatások és erőforrások azonosítását, lehetővé téve a végfelhasználók eszközei számára az internetes útvonal-meghatározási és összekapcsolási szolgáltatások igénybevételét e szolgáltatások és erőforrások elérése érdekében; 20. DNS-szolgáltató: olyan szervezet, amely a következő szolgáltatások valamelyikét nyújtja a szervezeten kívüli más szervezet vagy személy részére:

1. a)autoritatív DNS-szolgáltatás: a doménnév – doménnév-regisztrációt végző szolgáltató által kezelt – adatainak lekérdezését közvetlenül lehetővé tevő szolgáltatás, amely a legfelső szintű doménnév- nyilvántartó szolgáltatás része,
2. b)rekurzív DNS-szolgáltatás: olyan DNS-szolgáltatás, amely a felhasználók doménnév-lekérdezéseit a megfelelő autoritatív DNS-szolgáltatókhoz továbbítja a hierarchikusan felépülő doménnévrendszerben és az autoritatív DNS-szolgáltató által a lekérdezésre adott válaszokat továbbítja a felhasználó részére,
3. c)DNS-gyorsítótárazás: a doménnév-lekérdezésre adott válaszok átmeneti tárolása és a felhasználói lekérdezéseknek a tárolt doménnévadatok alapján történő kiszolgálása, 21. doménnév: az internetes kommunikációhoz használt IP-cím alfanumerikus karakterekből álló megfelelője, 22. doménnév-regisztrációt végző szolgáltató: a legfelső szintű doménnév-nyilvántartó által felhatalmazott szolgáltató, amely jogosult domén regisztrálására; 23. elektronikus hírközlési szolgáltató: az elektronikus hírközlésről szóló törvény szerinti fogalom; 24. elektronikus információs rendszer:
4. a)az elektronikus hírközlésről szóló törvény szerinti elektronikus hírközlési hálózat,
5. b)minden olyan eszköz vagy egymással összekapcsolt vagy kapcsolatban álló eszközök csoportja, amelyek közül egy vagy több valamely program alapján digitális adatok automatizált kezelését végzi, ideértve a kiber-fizikai rendszereket, vagy
6. c)az
7. a)és
8. b)alpontban szereplő elemek által működésük, használatuk, védelmük és karbantartásuk céljából tárolt, kezelt, visszakeresett vagy továbbított digitális adatok; 25. elektronikus információs rendszer biztonsága: az elektronikus információs rendszerek azon képessége, hogy adott bizonyossággal ellenálljanak minden olyan eseménynek, amely veszélyeztetheti a rajtuk tárolt, továbbított vagy kezelt adatok vagy az említett hálózati és információs rendszerek által kínált vagy azokon keresztül elérhető szolgáltatások rendelkezésre állását, sértetlenségét vagy bizalmasságát; 26. életciklus: az elektronikus információs rendszer tervezését, fejlesztését, üzemeltetését és megszüntetését magába foglaló időtartam; 27. esemény: az elektronikus információs rendszerben bekövetkezett állapotváltozás; 28. európai kiberbiztonsági tanúsítási rendszer: az (EU) 2019/881 európai parlamenti és tanácsi rendelet 2. cikk 9. pontja szerinti fogalom; 29. felhasználó szervezet: központi rendszert vagy központi szolgáltatást igénybe vevő szervezet; 30. felhőszolgáltatás: olyan digitális szolgáltatás, amely önkiszolgáló módon történő hálózati hozzáférést tesz lehetővé igény szerint méretezhető, megosztott fizikai vagy virtuális erőforrások rugalmas készletéhez; 31. felhőszolgáltató: felhőalapú számítástechnikai szolgáltatást nyújtó szervezet; 31a. * gazdálkodó szervezet: a polgári perrendtartásról szóló törvény szerinti fogalom; 32. gyártó: az IKT-termék gyártója, IKT-szolgáltatás nyújtója, valamint IKT-folyamat gyártója vagy nyújtója; 33. használatbavétel: az elektronikus információs rendszer adatokkal való feltöltése és rendeltetésszerű használatának megkezdése; 34. honvédelmi célú elektronikus információs rendszer:
9. a)a honvédelmi szervezetek, a honvédelemért felelős miniszter fenntartói irányítása alá tartozó, honvédségi szervezetnek nem minősülő többcélú szakképző intézmény, a honvédelemért felelős miniszter tulajdonosi joggyakorlása alá tartozó gazdasági társaságok, valamint jogszabály szerint a honvédelmi érdekhez kapcsolódó tevékenységet folytató gazdasági társaságok elektronikus információs rendszereinek összessége, amely ágazatspecifikus módon támogatja a honvédelmi ágazaton belüli és ágazatok közötti működést,
10. b)az ország védelme és biztonsága szempontjából jelentős honvédelmi ágazaton belüli szervezet és infrastruktúra elektronikus információs rendszerei,
11. c)* az ország védelme és biztonsága szempontjából jelentős kettős kijelöléssel nem érintett szervezet és infrastruktúra elektronikus információs rendszerei, valamint
12. d)a honvédelmi kiberbiztonsági hatóság által alapvető vagy fontos szervezetként azonosított szervezet elektronikus információs rendszere; 35. honvédelmi kiberbiztonsági incidenskezelő központ: a 63. §

(2)bekezdése szerint kijelölt szerv; 36. ideiglenes hozzáférhetetlenné tétel: az elektronikus adathoz való hozzáférés ideiglenes megakadályozása; 37. IKT-folyamat: az (EU) 2019/881 európai parlamenti és tanácsi rendelet 2. cikk 14. pontjában meghatározott fogalom; 38. IKT-szolgáltatás: az (EU) 2019/881 európai parlamenti és tanácsi rendelet 2. cikk 13. pontjában meghatározott fogalom; 39. IKT-termék: az (EU) 2019/881 európai parlamenti és tanácsi rendelet 2. cikk 12. pontjában meghatározott fogalom; 40. jelentős kiberbiztonsági incidens:

1. a)a közvetlenül alkalmazandó európai uniós jogi aktusban ekként meghatározott kiberbiztonsági incidens,
2. b)közvetlenül alkalmazandó európai uniós jogi aktus hiányában az olyan kiberbiztonsági incidens, amely
3. ba)a szervezet üzleti szolgáltatásának vagy a szervezet által nyújtott szolgáltatásnak legalább 5%-os csökkenésével vagy a szervezet éves bevételének legalább 5%-os kiesésével jár vagy fenyeget;
4. bb)súlyos működési zavart okoz vagy képes okozni a szolgáltatásokban, vagy pénzügyi vagy reputációs veszteséget okoz vagy képes okozni a kiberbiztonsági incidens által érintett szervezetnek vagy személynek; vagy
5. bc)jelentős vagyoni vagy nem vagyoni kár okozásával más természetes vagy jogi személyeket érintett, vagy képes érinteni; 41. jelentős kiberfenyegetés: olyan kiberfenyegetés, amelyről – technikai jellemzői alapján – feltételezhető, hogy jelentős vagyoni vagy nem vagyoni hátrányt vagy kárt okozva súlyos hatást gyakorolhat egy szervezet elektronikus információs rendszereire vagy a szervezet szolgáltatásainak felhasználóira; 42. képviselő: Magyarországon letelepedett minden olyan természetes vagy jogi személy, akit vagy amelyet kifejezetten kijelöltek arra, hogy valamely, Magyarországon nem letelepedett szervezet nevében eljárjon, és akihez vagy amelyhez a kiberbiztonsági hatóság, vagy a kiberbiztonsági incidenskezelő központ az adott szervezet helyett fordulhat; 43. kiberbiztonság: az (EU) 2019/881 európai parlamenti és tanácsi rendelet 2. cikk 1. pontjában meghatározott fogalom; 44. kiberbiztonsági audit: az elektronikus információs rendszerek biztonsági osztályba sorolása, valamint a biztonsági osztályba sorolás szerinti védelmi intézkedések megfelelőségének ellenőrzése; 45. kiberbiztonsági hatóság: a 23. §

(1)bekezdés

1. a)és
2. b)pontja, valamint

(2)bekezdése szerinti hatóság;

1. kiberbiztonsági incidens: olyan esemény, amely veszélyezteti az elektronikus információs rendszereken tárolt, továbbított vagy kezelt adatok vagy az e rendszerek által kínált vagy azokon keresztül elérhető szolgáltatások rendelkezésre állását, sértetlenségét vagy bizalmasságát;
2. kiberbiztonsági incidenskezelés: minden olyan tevékenység és eljárás, amelynek célja a kiberbiztonsági incidens megelőzése, észlelése, elemzése és elszigetelése vagy a kiberbiztonsági incidensre való reagálás és a kiberbiztonsági incidenst követően a működés helyreállítása;
3. kiberbiztonsági incidenskezelő központ: a
4. §

(1)és

(2)bekezdése szerinti szerv; 49. kiberbiztonsági incidensközeli helyzet: olyan esemény, amely veszélyeztethette volna az elektronikus információs rendszereken tárolt, továbbított vagy kezelt adatok vagy az e rendszerek által kínált vagy azokon keresztül elérhető szolgáltatások rendelkezésre állását, sértetlenségét vagy bizalmasságát, de amelynek bekövetkezését sikerült megakadályozni, vagy amely nem következett be; 50. kiberfenyegetés: az (EU) 2019/881 európai parlamenti és tanácsi rendelet 2. cikk 8. pontjában meghatározott fogalom; 51. kiber-fizikai rendszer: olyan programozható elektronikus információs rendszerek, amelyek kölcsönhatásba lépnek a fizikai környezettel vagy kezelik a fizikai környezettel kölcsönhatásba lépő eszközöket. Ezek az elektronikus információs rendszerek közvetlenül fizikai változást érzékelnek vagy idéznek elő az eszközök, folyamatok és események megfigyelésével vagy vezérlésével; 52. kihelyezett (irányított) infokommunikációs biztonsági szolgáltatást nyújtó szolgáltató: olyan kihelyezett (irányított) infokommunikációs szolgáltatást nyújtó szolgáltató, amely a kiberbiztonsági kockázatok kezelését végzi vagy azzal összefüggő szolgáltatást nyújt; 53. kihelyezett (irányított) infokommunikációs szolgáltatást nyújtó szolgáltató: olyan szervezet, amely az IKT-termék, hálózat, infrastruktúra, alkalmazás vagy bármely más elektronikus információs rendszer telepítésével, kezelésével, üzemeltetésével vagy karbantartásával kapcsolatos szolgáltatásokat nyújt a szolgáltatást igénybe vevő telephelyén vagy távolról; 54. kockázat: a fenyegetettség mértéke, amely egy fenyegetés bekövetkezése gyakoriságának, bekövetkezési valószínűségének és az ez által okozott kár nagyságának a függvénye; 55. kockázatelemzés: az elektronikus információs rendszer értékének, sérülékenységének, fenyegetéseinek, a várható károknak és ezek gyakoriságának felmérése útján a kockázatok feltárása és értékelése; 56. kockázatkezelés: az elektronikus információs rendszerre ható kockázatok csökkentésére irányuló intézkedésrendszer kidolgozása és az intézkedések végrehajtása; 57. kockázatmenedzsment keretrendszer: olyan strukturált, ugyanakkor rugalmas megközelítés és szervezeti folyamatok összessége, amely integrálja a kiberbiztonsággal kapcsolatos kockázatkezelési tevékenységeket a rendszerfejlesztési életciklusban a kockázatokkal arányos védelmi intézkedések azonosításán, bevezetésén, értékelésén, működtetésén és nyomon követésén keresztül az új és már használatban lévő rendszerek fenyegetettségeinek folyamatos felderítése, és kockázatainak hatékony kezelése érdekében; 58. közigazgatási szerv: az 1. melléklet 1–13. pontja szerinti szervezet; 59. közösségimédia-szolgáltatási platform: olyan platform, amely lehetővé teszi a végfelhasználók számára, hogy több eszközön keresztül kapcsolódjanak, tartalmakat osszanak meg, fedezzenek fel és kommunikáljanak egymással; 60. központi rendszer: egyes állami, önkormányzati feladatok ellátását segítő, zárt ügyfélkör számára központosítottan fejlesztett vagy működtetett elektronikus információs rendszer, amelyen keresztül megvalósított funkciókat egy adott intézményi körben kötelezően vagy opcionálisan vesznek igénybe a felhasználó szervezetek; 61. központi szolgáltatás: a központi szolgáltató által kötelezően vagy egyedi igény alapján biztosítandó szolgáltatás; 62. központi szolgáltató: olyan szervezet, amely állami és önkormányzati feladatot ellátó szervezet részére jogszabály alapján kizárólagos joggal nyújt informatikai és elektronikus hírközlési szolgáltatást; 63. kutatóhely: a tudományos kutatásról, fejlesztésről és innovációról szóló törvény szerinti kutatóhely – az oktatási intézmények kivételével –, amelynek elsődleges célja alkalmazott kutatás vagy kísérleti fejlesztés folytatása a kutatás eredményeinek kereskedelmi célokra való hasznosítása céljából; 64. legfelső szintű doménnév-nyilvántartó: olyan szervezet, amelyre egy meghatározott legfelső szintű domént bíztak és amely felelős egyrészt a legfelső szintű domén kezeléséért – ideértve a legfelső szintű domén alatti doménnevek nyilvántartásba vételét –, másrészt a legfelső szintű domén technikai üzemeltetéséért, amely magában foglalja a névszervereinek üzemeltetését, adatbázisainak karbantartását és a legfelső szintű doménzónafájlok elosztását a névszerverek között, függetlenül attól, hogy ezeknek az üzemeltetési tevékenységeknek bármelyikét maga a szervezet végzi vagy azokat kiszervezi, kivéve azokat az eseteket, amikor a legfelső szintű doménneveket a nyilvántartó kizárólag saját használatra veszi igénybe; 65. * megfelelőségértékelés: – a IX/A. Fejezet kivételével – az az értékelési eljárás, amely bizonyítja, hogy egy IKT-termékkel, IKT-folyamattal, IKT-szolgáltatással kapcsolatos, meghatározott követelmények teljesültek; 66. megfelelőségértékelő szervezet: a termékek forgalmazása tekintetében az akkreditálás és piacfelügyelet előírásainak megállapításáról és a 339/93/EGK rendelet hatályon kívül helyezéséről szóló, 2008. július 9-i 765/2008/EK európai parlamenti és tanácsi rendeletben ekként meghatározott fogalom; 67. megfelelőségi nyilatkozat: a gyártó vagy a szolgáltató által kiállított dokumentum, amely igazolja, hogy egy adott IKT-termék, IKT-szolgáltatás vagy IKT-folyamat esetében értékelték, hogy az megfelel-e valamely nemzeti kiberbiztonsági tanúsítási rendszer biztonsági követelményeinek; 68. megfelelőségi önértékelés: az (EU) 2019/881 európai parlamenti és tanácsi rendeletben ekként meghatározott fogalom; 69. mérföldkő: az európai uniós forrásból finanszírozott központi rendszer fejlesztése esetén a Helyreállítási és Rezilienciaépítési Eszköz létrehozásáról szóló, 2021. február 12-i (EU) 2021/241 európai parlamenti és tanácsi rendelet 2. cikk 4. pontja és az Európai Regionális Fejlesztési Alapra, az Európai Szociális Alap Pluszra, a Kohéziós Alapra, az Igazságos Átmenet Alapra és az Európai Tengerügyi, Halászati és Akvakultúra-alapra vonatkozó közös rendelkezések, valamint az előbbiekre és a Menekültügyi, Migrációs és Integrációs Alapra, a Belső Biztonsági Alapra és a határigazgatás és a vízumpolitika pénzügyi támogatására szolgáló eszközre vonatkozó pénzügyi szabályok megállapításáról szóló, 2021. június 24-i (EU) 2021/1060 európai parlamenti és tanácsi rendelet 2. cikk 4. pontja szerinti, valamint a fejlesztésekre irányuló egyéb projektek esetén a projektben meghatározott fogalom; 70. minősített bizalmi szolgáltatás: a digitális államról és a digitális szolgáltatások nyújtásának egyes szabályairól szóló törvény szerinti fogalom; 71. minősített bizalmi szolgáltató: a digitális államról és a digitális szolgáltatások nyújtásának egyes szabályairól szóló törvény szerinti fogalom; 72. műszaki előírás: az európai szabványosításról, a 89/686/EGK és a 93/15/EGK tanácsi irányelv, a 94/9/ EK, a 94/25/EK, a 95/16/EK, a 97/23/EK, a 98/34/EK, a 2004/22/EK, a 2007/23/EK, a 2009/23/EK és a 2009/105/EK európai parlamenti és tanácsi irányelv módosításáról, valamint a 87/95/EGK tanácsi határozat és az 1673/2006/EK európai parlamenti és tanácsi határozat hatályon kívül helyezéséről szóló, 2012. október 25-i 1025/2012/EU európai parlamenti és tanácsi rendelet (a továbbiakban: 1025/2012/EU rendelet) 2. cikk 4. pontjában meghatározott fogalom; 73. műveleti célú elektronikus információs rendszer:

1. a)a rendvédelmi szervek és a nemzetbiztonsági szolgálatok számára törvényben meghatározott közbiztonsági, nemzetbiztonsági feladatok ellátása érdekében használt elektronikus információs rendszer és
2. b)a honvédségi szervezetek által, a törvényben meghatározott katonai műveleti feladatok – így különösen közvetlen művelettámogatás, -tervezés, -vezetés, helyzetkövetés – ellátása érdekében használt elektronikus információs rendszer; 74. nagyszabású kiberbiztonsági incidens: olyan kiberbiztonsági incidens, amely olyan mértékű zavart okoz, amely meghaladja Magyarországnak az arra való reagálási képességét, vagy amely Magyarországra és legalább még egy másik országra jelentős hatást gyakorol; 75. nem privát felhőszolgáltatás: olyan szolgáltató által nyújtott felhőszolgáltatás, amelyet a szolgáltató bárki számára elérhető módon vagy kizárólag a szervezetek egy meghatározott köre számára nyújt; 76. nemzeti kiberbiztonsági incidenskezelő központ: az Európai Hálózat- és Információbiztonsági Ügynökség ajánlásai szerint működő, kiberbiztonsági incidensekre reagáló egység, amely a nemzetközi hálózatbiztonsági, valamint kritikus információs infrastruktúrák védelmére szakosodott szervezetekben tagsággal rendelkezik [európai használatban: CSIRT (Computer Security Incident Response Team), amerikai használatban: CERT (Computer Emergency Response Team)]; 77. nemzeti kiberbiztonsági tanúsítási rendszer: IKT-termékek, IKT-szolgáltatások és IKT-folyamatok tanúsítására, megfelelőségértékelésére Magyarországon alkalmazandó, az európai kiberbiztonsági rendszerek elvei alapján kidolgozott és a tanúsító hatóság által meghatározott szabályok, műszaki követelmények, szabványok és eljárások átfogó rendszere; 78. nemzeti kiberbiztonsági stratégia: a kiberbiztonság területén követendő stratégiai célokat és prioritásokat, valamint a megvalósításukhoz szükséges irányítási intézkedéseket meghatározó dokumentum; 79. nemzeti kiberbiztonsági tanúsítvány: olyan független harmadik fél által kiállított dokumentum, amely igazolja, hogy egy adott IKT-termék, IKT-szolgáltatás vagy IKT-folyamat esetében értékelték, hogy az megfelel-e valamely nemzeti kiberbiztonsági tanúsítási rendszer biztonsági követelményeinek; 80. * nemzeti válságkezelési terv: az (EU) 2022/2555 európai parlamenti és tanácsi irányelv alapján a nagyszabású kiberbiztonsági incidensek és válságok elhárítására szolgáló nemzeti terv, amely meghatározza a nagyszabású kiberbiztonsági incidensek és válságok kezelésének célkitűzéseit és szabályait; 81. online keresőprogram: az online közvetítő szolgáltatások üzleti felhasználói tekintetében alkalmazandó tisztességes és átlátható feltételek előmozdításáról szóló, 2019. június 20-i (EU) 2019/1150 európai parlamenti és tanácsi rendelet 2. cikk 5. pontjában meghatározott fogalom; 82. online piactér: olyan szolgáltatás, amely a kereskedő által vagy a kereskedő nevében működtetett szoftvert, többek között weboldalt, valamely weboldal egy részét vagy valamely alkalmazást használ, és amelynek révén a fogyasztók távollevők közötti szerződést köthetnek más kereskedőkkel vagy fogyasztókkal; 83. regisztrált felhasználói jogosultság: a biztonsági vizsgálatot végző személy számára a sérülékenységvizsgálat elvégzése érdekében célzottan létrehozott felhasználói jogosultság; 84. rendelkezésre állás: annak biztosítása, hogy az elektronikus információs rendszerek az arra jogosult személy számára elérhetőek és az abban kezelt adatok felhasználhatóak legyenek; 85. sebezhetőség: IKT-termék, -szolgáltatás, -folyamat gyengesége, érzékenysége vagy hiányossága, amelynek kihasználása veszélyezteti vagy sérti az IKT-termék, -szolgáltatás, -folyamat bizalmasságát, sértetlenségét vagy rendelkezésre állását; 86. sértetlenség: az adat tulajdonsága, amely arra vonatkozik, hogy az adat tartalma és tulajdonságai az elvárttal megegyeznek, ideértve a bizonyosságot abban, hogy az az elvárt forrásból származik, azaz hiteles, valamint a származás ellenőrizhetőségét, bizonyosságát, azaz letagadhatatlanságát is, illetve az elektronikus információs rendszer elemeinek azon tulajdonságát, amely arra vonatkozik, hogy az elektronikus információs rendszer eleme rendeltetésének megfelelően használható; 87. sérülékenység: az elektronikus információs rendszer gyengesége, érzékenysége vagy hiányossága, amelynek kihasználása veszélyezteti vagy sérti egy elektronikus információs rendszer bizalmasságát, sértetlenségét vagy rendelkezésre állását; 88. sérülékenységkezelési terv: a sérülékenységek megszüntetésére irányuló tervdokumentum; 89. sérülékenységvizsgálat: sérülékenységmenedzsment eszköz vagy módszer, amely során informatikai rendszerek, hardverek és szoftverek biztonsági szempontból történő átvizsgálása zajlik, az ellenőrzést automatizált eszközökkel és közvetlen, szakértő által végzett vizsgálatokkal hajtják végre; 90. szabvány: az 1025/2012/EU rendelet 2. cikk 1. pontjában meghatározott fogalom; 91. szervezet: állami szerv vagy állami szervezet, a Polgári Törvénykönyvről szóló törvény szerinti jogi személy, jogi személyiség nélküli szervezet; 92. támogató rendszer: az 1. §

(1)bekezdés a)–

1. c)pontja szerinti szervezet alapfeladatainak ellátásában közvetlenül nem részt vevő elektronikus információs rendszer, amely szükséges azon rendszerek működéséhez, amelyek alapfeladatot látnak el; 93. tanúsítás: független harmadik fél által végzett megfelelőségértékelési tevékenység; 94. tartalomszolgáltató hálózat szolgáltatója: a digitális tartalmak és szolgáltatások széles körű, akadálymentes és gyors rendelkezésre állását biztosító, földrajzilag elosztott szerverek hálózatának szolgáltatója; 95. távoli sérülékenységvizsgálat: olyan sérülékenységvizsgálat, amelynek során
2. a)az elektronikus információs rendszer internet felőli, külső sérülékenységvizsgálatára kerül sor, amelynek keretében az interneten fellelhető, nyilvános adatbázisokban való szabad keresés, célzott információgyűjtés, valamint az elérhető számítógépek szolgáltatásai sebezhetőségének feltérképezése történik,
3. b)automatizált és kézi vizsgálatok útján kerülnek feltárásra a webes alkalmazások sérülékenységei, vagy
4. c)a vezeték nélküli hozzáférési és kapcsolódási pontok keresése, feltérképezése, titkosítási eljárások elemzése, titkosítási kulcsok visszafejthetőségének ellenőrzése célszoftverek és kézi vizsgálat útján történik; 96. továbbfejlesztés: az érintett, már működő elektronikus információs rendszer olyan mértékű fejlesztése, amely funkcionalitásának érdemi megváltozásával jár, vagy védelmének elvárt erősségére hatással van; 96a. * többségi állami befolyás alatt álló gazdálkodó szervezet:
5. a)a magyar államnak a Polgári Törvénykönyvről szóló törvényben meghatározott többségi befolyása, vagy
6. b)a Kormány, annak tagja, az Országgyűlés elnöke közvetlen, vagy az általa irányított költségvetési szerven keresztül gyakorolt rendelkezési, irányítási, felügyeleti joga alatt álló gazdálkodó szervezet; 97. üzemeltetési kiberbiztonsági incidens: olyan kiberbiztonsági incidens, amely az elektronikus információs rendszereken tárolt, továbbított vagy kezelt adatok vagy az e rendszerek által kínált, vagy azokon keresztül elérhető szolgáltatások rendelkezésre állását nem szándékoltan csökkenti vagy megszünteti; 98. üzemeltető: az a természetes személy, jogi személy, jogi személyiség nélküli szervezet vagy egyéni vállalkozó, aki vagy amely az elektronikus információs rendszer vagy annak részei működtetését végzi és a működésért felelős; 99. zárt, teljes körű, folytonos és a kockázatokkal arányos védelem: az elektronikus információs rendszer olyan védelme,
7. a)amely az időben változó körülmények és viszonyok között is megszakítás nélkül megvalósul,
8. b)amely az elektronikus információs rendszer valamennyi elemére kiterjed,
9. c)amely az összes számításba vehető fenyegetést, veszélyt figyelembe veszi, valamint
10. d)amelynek költségei arányosak a fenyegetések által okozható károk értékével. 3. Általános alapelvek 5. §

(1)Az e törvény hatálya alá tartozó elektronikus információs rendszerek teljes életciklusában meg kell valósítani és biztosítani kell

1. a)az elektronikus információs rendszerben kezelt adatok, információk és az elektronikus információs rendszerek által nyújtott vagy azon keresztül elérhető szolgáltatások bizalmassága, sértetlensége és rendelkezésre állása, valamint
2. b)az elektronikus információs rendszer elemeinek sértetlensége és rendelkezésre állása vonatkozásában a zárt, teljes körű, folytonos és a kockázatokkal arányos védelmet.

(2)Az elektronikus információs rendszer védelme keretében az elektronikus információs rendszer felett rendelkezési jogosultsággal rendelkező szervezet, az adatkezelő vagy az adatfeldolgozó által, adott cél érdekében

1. a)az adatok, információk kezelésére használt eszközök, ideértve a környezeti infrastruktúrát, a hardvert, a hálózatot és az adathordozókat
2. b)az adatok, információk kezelésére használt eljárások, ideértve a szabályozást, a szoftvert és a kapcsolódó folyamatokat, valamint
3. c)az
4. a)és
5. b)pontban foglaltakat kezelő személyek együttesének védelmét is biztosítani szükséges.

(3)Megfelelő költségvetési forrást kell biztosítani

1. a)a nemzeti kiberbiztonsági hatóság és a honvédelmi kiberbiztonsági hatóság,
2. b)az 57. §

(1)bekezdése szerinti sérülékenységvizsgálat végzésére jogosult állami szerv (a továbbiakban: sérülékenységvizsgálat végzésére jogosult állami szerv), valamint c) a

1. § szerinti nemzeti kiberbiztonsági incidenskezelő központ és a honvédelmi kiberbiztonsági incidenskezelő központ működésére. II. FEJEZET ALAPVETŐ ÉS FONTOS SZERVEZETEK KÖTELEZETTSÉGEI
2. Az alapvető és fontos szervezetek általános kötelezettségei
3. §

(1)A szervezet elektronikus információs rendszerének kell tekinteni a szervezet rendelkezésében lévő elektronikus információs rendszert.

(2)A szervezet vezetője az elektronikus információs rendszerek védelme érdekében kockázatmenedzsment keretrendszert hoz létre és működtet a közvetlenül alkalmazandó európai uniós jogi aktusban, ennek hiányában és a közvetlenül alkalmazandó európai uniós jogi aktus által nem szabályozott kérdésekben az informatikáért felelős miniszter rendeletében foglaltak szerint.

(3)A

(2)bekezdésben meghatározott tevékenység keretében a szervezet vezetője 1. gondoskodik a szervezet által használt elektronikus információs rendszerek, központi szolgáltatások felméréséről és nyilvántartásba vételéről a következők szerinti bontásban:

1. a)a szervezet rendelkezésében lévő elektronikus információs rendszerek,
2. b)a szervezet által használt központi rendszerek,
3. c)a szervezet által igénybe vett, központi szolgáltató által biztosított szolgáltatások és támogató rendszerek,
4. d)a szervezet rendelkezésében lévő vagy a szervezet által használt egyéb támogató rendszerek; 2. meghatározza a szervezet rendelkezésében lévő, továbbá a szervezet használatában lévő elektronikus információs rendszerek védelmével kapcsolatos szerepköröket, felelősöket, feladatokat és az ehhez szükséges hatásköröket, kinevezi vagy megbízza az elektronikus információs rendszer biztonságáért felelős személyt; 3. az 1. melléklet szerinti szervezet esetében gondoskodik az 1. pont
5. a)alpontja szerinti elektronikus információs rendszerben kezelt adatok felméréséről és osztályozásáról; 4. az informatikáért felelős miniszter rendelete szerinti hatáselemzést és kockázatmenedzsment tevékenységet végez az 1. pont
6. a)alpontja szerinti elektronikus információs rendszerekre és azok környezetére vonatkozóan; 5. a jogszabályban meghatározottak szerint biztonsági osztályba sorolja az 1. pont
7. a)alpontja szerinti elektronikus információs rendszereket; 6. meghatározza az 1. pont
8. a)alpontja szerinti elektronikus információs rendszerek vonatkozásában a kockázatokkal arányos védelmi intézkedéseket; 7. kiadja a felhasználókra és az elektronikus információbiztonsági követelményekre vonatkozó információbiztonsági szabályzatot, valamint gondoskodik annak legalább kétévente vagy a jogszabályban meghatározott esetekben történő felülvizsgálatáról; 8. biztosítja az elektronikus információs rendszerek védelme vonatkozásában meghatározott védelmi intézkedések teljesülését; 9. gondoskodik – ha releváns – az európai uniós jogi aktusban foglaltak, valamint az informatikáért felelős miniszter rendelete szerint kiválasztott védelmi intézkedések megfelelőségének első biztonsági osztályba sorolás alkalmával történő értékeléséről, 10. rendszeresen gondoskodik a védelmi intézkedések időszakos értékeléséről, ennek keretében legalább kockázatelemzések, ellenőrzések, független és a kiberbiztonsági hatóság által kiadott ajánlás szerinti belső kiberbiztonsági értékelés lefolytatása révén meggyőződik arról, hogy a jogszabályoknak és a kockázatoknak megfelelően meghatározott védelmi intézkedések megfelelően biztosítják-e a szervezet és elektronikus információs rendszerei biztonságát; 11. gondoskodik a biztonsági osztályhoz kapcsolódó védelmi intézkedések értékelése során feltárt hiányosságok orvoslásáról; 12. a szervezeten belül dönt az elektronikus információs rendszerek használatbavételéről vagy használatának folytatásáról és 13. gondoskodik a kiberbiztonsági hatósági kötelezések teljesítéséről.

(4)* A

(3)bekezdés 10. pontjában meghatározott feladatokat a szervezet vezetője legalább kétévente, az információbiztonsági szabályzat felülvizsgálatával, illetve amennyiben annak végrehajtására kötelezett, a biztonsági osztályba sorolás felülvizsgálatával egyidejűleg hajtja végre.

(5)A szervezet vezetője az elektronikus információs rendszer védelmének biztosítása érdekében

1. a)gondoskodik az elektronikus információs rendszerek védelmi feladatainak és az azokhoz kapcsolódó felelősségi köröknek az oktatásáról, saját maga és a szervezet munkatársainak – az informatikáért felelős miniszter rendeletében meghatározott – kiberbiztonsági képzéséről, továbbképzéséről;
2. b)biztosítja a kötelezően előírt hazai kiberbiztonsági gyakorlatokon történő részvételt, illetve kiberbiztonsági gyakorlat önálló megtartását;
3. c)gondoskodik az elektronikus információs rendszer eseményeinek nyomonkövethetőségéről;
4. d)ha a szervezet közreműködőt vesz igénybe az elektronikus információs rendszer létrehozása, üzemeltetése, auditálása, karbantartása, javítása, illetve a kiberbiztonsági incidensek kezelése során, vagy a szervezet elektronikus információs rendszerével kapcsolatos adatkezelési, adatfeldolgozási tevékenység ellátásához, gondoskodik arról, hogy a közreműködő által az elektronikus információs rendszerrel kapcsolatosan ellátott tevékenységgel összefüggésben szükséges kiberbiztonsági követelmények az e törvényben foglaltaknak megfelelően szerződéses kötelemként teljesüljenek;
5. e)az elektronikus információs rendszert érintő kiberfenyegetés, kiberbiztonsági incidensközeli helyzet vagy kiberbiztonsági incidens bekövetkezésekor minden szükséges és rendelkezésére álló erőforrás felhasználásával gondoskodik a gyors és hatékony reagálásról, az illetékes kiberbiztonsági incidenskezelő központnak való bejelentésről, a kiberbiztonsági incidensek kezeléséről, valamint a helyreállításról;
6. f)gondoskodik az érintetteknek a kiberbiztonsági incidensekről és a lehetséges fenyegetésekről történő haladéktalan tájékoztatásáról;
7. g)gondoskodik a kiberbiztonsági hatóság és az illetékes kiberbiztonsági incidenskezelő központ ajánlásainak, iránymutatásainak az elektronikus információs rendszer védelmének biztosítása érdekében történő figyelembevételéről;
8. h)köteles törekedni arra, hogy a jelen jogszabályban meghatározott feladatokat a lehető legrövidebb időn belül hajtsa végre;
9. i)az 1. §

(1)bekezdés a)–

1. c)pontja szerinti szervezetek esetében gondoskodik arról, hogy a szervezet által az adott évben informatikai fejlesztésre fordított költségek legalább 5%-ának megfelelő összeget a szervezet a tárgyév során kiberbiztonsági fejlesztésekre fordítson és
2. j)megteszi az elektronikus információs rendszer védelme érdekében felmerülő egyéb szükséges intézkedéseket.

(6)A

(3)–

(5)bekezdésben meghatározott feladatokért a szervezet vezetője az

(5)bekezdés d) pontjában meghatározott esetben is felelős, kivéve – az igénybe vett szolgáltatások mértékéig – azokat az esetköröket, amikor központi szolgáltatót vagy központi rendszert kell a szervezetnek igénybe vennie.

(7)Az

(5)bekezdés e) pontja szerinti jelentési kötelezettség teljesítése nem érinti a más törvény alapján fennálló jelentési kötelezettségeket.

(8)Az

(1)–

(5)bekezdés szerinti egyes követelményeknek való megfelelés igazolására – ha rendelkezésre áll – európai vagy nemzeti kiberbiztonsági tanúsítási rendszer alapján tanúsított IKT-termék, IKT-szolgáltatás vagy IKT-folyamat alkalmazható.

(9)* Az informatikáért felelős miniszter rendeletében – a honvédelmi célú elektronikus információs rendszerek tekintetében a honvédelmi miniszter rendeletében – meghatározott, 1. §

(1)bekezdés a)–

1. c)és
2. f)pontja szerinti szervezetek, valamint az SZTFH elnökének rendeletében meghatározott, 1. §

(1)bekezdés

1. d)és
2. e)pontja szerinti szervezetek kötelesek az európai vagy nemzeti kiberbiztonsági tanúsítási rendszer alapján tanúsított – az informatikáért felelős miniszter, a honvédelmi miniszter vagy az SZTFH elnöke rendeletében meghatározott – IKT-terméket, IKT-szolgáltatást vagy IKT-folyamatot használni.

(10)Az 1. §

(1)bekezdés

1. a)és
2. c)pontja hatálya alá tartozó fontos szervezet, valamint a 2. és 3. melléklet szerinti szervezetnek nem minősülő, 1. §

(1)bekezdés

1. b)pontja hatálya alá tartozó szervezet rendelkezésében lévő elektronikus információs rendszerek vonatkozásában
2. a)nem szükséges a

(2)bekezdésben foglalt teljes körű kockázatmenedzsment keretrendszert működtetni, b) * nem kell teljesíteni a

(3)bekezdés 4–

1. és
2. pontjában foglaltakat, valamint c) legalább az „alap” biztonsági osztályra irányadó követelményeket kell teljesíteni.

(11)A honvédelmi célú elektronikus információs rendszer felett rendelkezési jogosultsággal bíró szervezet a honvédelmi célú elektronikus információs rendszer vonatkozásában a hatósági eljárásban a honvédelmi kiberbiztonsági hatóságot keresi meg, az e törvény által előírt bejelentési és egyéb kötelezettségeket a honvédelmi kiberbiztonsági hatóság felé teljesíti.

(12)* A hazai kiberbiztonsági gyakorlatok megtartásának részletszabályait, valamint az 1. §

(1)bekezdés a)–

1. c)és
2. f)pontja hatálya alá tartozó szervezetek kötelezettségeire vonatkozó részletes rendelkezéseket kormányrendelet határozza meg. 7. §

(1)* A kiberbiztonsági felügyeleti tevékenységért – a költségvetési szervek kivételével – az 1. §

(1)bekezdés b) pontja szerinti azon szervezet, amely egyúttal a

1. és
2. melléklet szerinti szervezet is, valamint az
3. §

(1)bekezdés

1. d)és
2. e)pontja szerinti szervezet – ha a szervezet a Polgári Törvénykönyvről szóló törvény szerinti elismert vállalatcsoport (a továbbiakban: elismert vállalatcsoport) ellenőrzött tagja, helyette az uralkodó tag – az SZTFH elnökének rendeletében – a

(2)bekezdésben foglaltak alapján – meghatározott mértékű kiberbiztonsági felügyeleti díj fizetésére köteles.

(2)Az éves kiberbiztonsági felügyeleti díj mértéke az

(1)bekezdés szerinti szervezet előző üzleti évi nettó árbevételének – árbevétel hiányában a tárgyévi árbevétel egész évre vetített időarányos részének – legfeljebb 0,015 százaléka, de legfeljebb 10 millió forint. Az ugyanazon elismert vállalatcsoportban vagy az ugyanazon, a Polgári Törvénykönyvről szóló törvény szerinti tényleges vállalatcsoportban, vagy a számvitelről szóló törvény szerinti anyavállalatot, leányvállalatokat és a konszolidálásba bevont közös vezetésű vállalkozásokat tartalmazó, egy konszolidációs körbe tartozó vállalkozáscsoportban részt vevő szervezetek tekintetében a fizetendő éves kiberbiztonsági felügyeleti díj együttes mértéke nem haladhatja meg az 50 millió forintot. A tényleges vállalatcsoportként vagy az egy konszolidációs körbe tartozó vállalkozáscsoportként való működés tényét az

(1)bekezdés szerinti szervezet az SZTFH elnökének rendeletében foglaltak szerint igazolja.

(3)A kiberbiztonsági felügyeleti díjat az

(1)bekezdés szerinti kötelezett az SZTFH elnökének rendeletében meghatározott módon és időpontban köteles megfizetni az SZTFH részére. 8. §

(1)Az e törvény hatálya alá tartozó elektronikus információs rendszert működtető, nem Magyarországon bejegyzett szervezetnek Magyarország területén működő képviselőt kell írásban kijelölnie, aki az e törvényben foglaltak végrehajtásáért a szervezet vezetőjére vonatkozó szabályok szerint felel. A képviselő kijelölése nem érinti a szervezet, illetve a szervezet vezetőjének felelősségét.

(2)A szervezet vezetője köteles gondoskodni arról, hogy a szervezet együttműködjön a kiberbiztonsági hatósággal.

(3)Az együttműködés során a szervezet vezetője

1. a)* gondoskodik a jogszabályban és a hatóság honlapján meghatározottak szerint az adatoknak, dokumentumoknak, valamint ezek változásainak, a változást követő 14 napon belül a kiberbiztonsági hatóság részére – nyilvántartásba vétel céljából – történő megküldéséről, valamint
2. b)biztosítja az ellenőrzés lefolytatásához szükséges feltételeket.

(4)Az 1. §

(1)bekezdés a)–

1. c)és
2. f)pontja szerinti szervezet – az 51. alcímben foglalt kivételekkel – az e törvény hatálya alá kerülését követő *
3. a)* 30 napon belül bejelenti a nemzeti kiberbiztonsági hatóság részére a 28. §

(1)bekezdés 1. pont a)–

1. e)és
2. j)alpontjában meghatározott adatokat, nyilvántartásba vétel céljából,
3. b)30 napon belül bejelenti a nemzeti kiberbiztonsági hatóság részére az elektronikus információs rendszer biztonságáért felelős személy adatait,
4. c)90 napon belül a 6. §

(3)bekezdés 1. pontjában foglaltaknak megfelelően felméri a szervezet által használt elektronikus információs rendszereket,

1. d)120 napon belül – ha releváns – elvégzi a 9. § szerinti adatosztályozást,
2. e)180 napon belül megküldi a nemzeti kiberbiztonsági hatóság részére a szervezet információbiztonsági szabályzatát,
3. f)* 180 napon belül a 6. § szerinti kockázatmenedzsment keretrendszer létrehozatalával együttesen – amennyiben annak végrehajtására kötelezett – elvégzi a már meglévő elektronikus információs rendszereinek biztonsági osztályba sorolását, valamint felméri az elektronikus információs rendszerekhez kapcsolódó védelmi intézkedéseket, azok megfelelőségét és státuszát, továbbá megteszi a Kormány rendeletében meghatározott tartalmú bejelentést a nemzeti kiberbiztonsági hatóságnak.

(5)Az 1. §

(1)bekezdés b) pontja hatálya alá tartozó, és egyidejűleg

1. és
2. melléklet szerinti szervezetnek minősülő szervezet, valamint az
3. §

(1)bekezdés

1. d)és
2. e)pontja szerinti szervezet köteles a működése megkezdését követő vagy az e törvény hatálya alá kerülést követő 30 napon belül a 29. §

(1)bekezdés a) pontjában meghatározott adatokat – a 29. §

(1)bekezdés

1. a)pont
2. ab)alpontja szerinti adatok kivételével – megküldeni az SZTFH részére a nyilvántartásba vétel érdekében.

(6)A

(4)és

(5)bekezdés alkalmazása szempontjából az e törvény hatálya alá kerülés időpontja

1. a)új szervezet esetében a szervezet létesítésének,
2. b)* az 1. §

(1)bekezdés

1. b)vagy
2. d)pontja szerinti esetben
3. ba)az e törvény hatálya alá kerülésre okot adó feltétel bekövetkezését követő év első, vagy
4. bb)ha a szervezet a
5. ba)alpont szerinti napot megelőzően benyújtott nyilvántartásba vételi kérelmében ezt kéri, a szervezet nyilvántartásba vételéről szóló döntés véglegessé válásának,
6. c)a hatály alá kerülést eredményező jogállást megalapozó jogi aktus hatálybalépésének napja.

(6a)* Ha az 1. §

(1)bekezdés

1. b)vagy
2. d)pontja szerinti szervezet esetében az e törvény hatálya alá kerülésre okot adó 1. §

(1)bekezdés

1. b)pont
2. ba)vagy
3. bb)alpontja, illetve 1. §

(1)bekezdés

1. d)pont
2. da)vagy
3. db)alpontja szerinti feltétel megszűnik, az e törvény hatálya alól történő kikerülés időpontja a feltétel megszűnését követő második év vége.

(7)A szervezet a kiberbiztonsági információk megosztása érdekében az informatikáért felelős miniszter rendeletében meghatározott együttműködések megvalósítása céljából – a honvédelmi célú elektronikus információs rendszerekre vonatkozó információk kivételével – kiberbiztonsági információmegosztási megállapodásokat köthet. A szervezet kiberbiztonsági információmegosztási megállapodás megkötéséről, ilyen megállapodásban való részvételéről vagy annak felmondásáról tájékoztatja a kiberbiztonsági hatóságot. 5. Adatosztályozás 9. §

(1)Annak érdekében, hogy a szervezet által kezelt adatok védelme a kockázatokkal arányosan biztosítható legyen, az 1. §

(1)bekezdés a) pontja szerinti szervezet köteles az általa az elektronikus információs rendszerben kezelt adatok bizalmasság, sértetlenség és rendelkezésre állás szerinti osztályozására kormányrendeletben foglaltak szerint.

(2)* Az 1. §

(1)bekezdés

1. b)és c), a honvédelmi célú elektronikus információs rendszerei vonatkozásában az
2. f)pontja szerinti szervezet az adatosztályozást nem privát felhőszolgáltatás igénybevétele és külföldi adatkezelés megvalósítása esetén köteles elvégezni, a külföldi vagy nem privát felhőszolgáltatás igénybevételével történő adatkezelés kockázatainak felmérése érdekében.

(3)Az adatosztályozás során figyelembe kell venni a logikailag együtt, egységben kezelt elektronikus adatok – ideértve az adatbázist, adattárat, egyedi dokumentumot és egyéb adatállományt – együttes biztonsági igényét.

(4)* Az 1. §

(1)bekezdés a)–

1. c)és a honvédelmi célú elektronikus információs rendszerei vonatkozásában az
2. f)pontja szerinti szervezet kizárólag az adatosztályozás alapján, annak eredményére figyelemmel vehet igénybe nem privát felhőszolgáltatást, vagy kezelhet külföldön adatot, amennyiben más jogszabály a felhőszolgáltatás igénybevételét, vagy a külföldi adatkezelést nem tiltja vagy korlátozza.

(5)A szervezet a biztonsági osztályba sorolás keretében, valamint abban az esetben vizsgálja felül az adatosztályozást, amennyiben az elektronikus információs rendszerben kezelendő adatok körében változás következik be. 6. A biztonsági osztályba sorolás 10. §

(1)A szervezet elektronikus információs rendszerei, valamint az azokban kezelt adatok, a nyújtott szolgáltatások kockázatokkal arányos védelmének biztosítása érdekében a szervezet az e törvény hatálya alá tartozó, a szervezet rendelkezésében lévő elektronikus információs rendszereit „alap”, „jelentős” vagy „magas” biztonsági osztályba sorolja az érintett elektronikus információs rendszer sértetlensége és rendelkezésre állása, valamint az általa kezelt adat bizalmassága, sértetlensége és rendelkezésre állásának kockázata alapján, szigorodó védelmi előírásokkal.

(2)A biztonsági osztályba sorolásról a szervezet vezetője dönt, és felel annak a jogszabályoknak és kockázatoknak való megfelelőségéért, a felhasznált adatok teljességéért és időszerűségéért. A biztonsági osztályba sorolás eredményét a szervezet az elektronikus információs rendszerek nyilvántartásában vagy egyéb belső szabályzatban rögzíti.

(3)A biztonsági osztályba sorolás követelményeit, valamint az egyes biztonsági osztályok esetében alkalmazandó konkrét védelmi intézkedéseket az informatikáért felelős miniszter rendeletben határozza meg.

(4)A szervezet az elektronikus információs rendszer biztonsági osztálya alapján meghatározza és megvalósítja az informatikáért felelős miniszter rendeletében előírt védelmi intézkedéseket az adott elektronikus információs rendszerre vonatkozóan.

(5)* Az 1. §

(1)bekezdés

1. a)és a honvédelmi célú elektronikus információs rendszerei vonatkozásában az
2. f)pontja szerinti szervezet, valamint a 2. és 3. melléklet szerinti szervezetnek nem minősülő, 1. §

(1)bekezdés b) pontja szerinti szervezet elektronikus információs rendszere vonatkozásában az e törvény hatálya alá kerüléskor teljesítenie kell legalább az informatikáért felelős miniszter rendeletében az „alap” biztonsági osztály vonatkozásában előírt védelmi intézkedéseket.

(6)* Ha az

(5)bekezdés szerinti elektronikus információs rendszer vonatkozásában a biztonsági osztályba sorolás alapján az „alap”-nál magasabb biztonsági osztály került meghatározásra, a védelem elvárt erősségének eléréséhez a szervezetnek a biztonsági osztályba sorolást követően legfeljebb 2 év áll rendelkezésére a biztonsági osztályhoz rendelt biztonsági intézkedések kivitelezésére.

(7)A biztonsági osztályba sorolást legalább kétévente, vagy az elektronikus rendszer biztonságát érintő, jogszabályban meghatározott változás esetén soron kívül, dokumentált módon felül kell vizsgálni. 7. Az elektronikus információs rendszer biztonságáért felelős személy 11. §

(1)A szervezet vezetője az elektronikus információs rendszer védelméhez kapcsolódó feladatok ellátása, a kockázatmenedzsment keretrendszer működtetése, a kiberbiztonsági incidensek bejelentése és a kiberbiztonsági incidenskezelő központtal való kapcsolattartás érdekében a szervezeten belül kijelöli az elektronikus információs rendszer biztonságáért felelős személyt vagy a szervezeten kívüli személlyel megállapodást köt.

(2)* Az 1. §

(1)bekezdés a)–

1. c)és
2. f)pontja szerinti szervezetek esetében az

(1)bekezdés szerinti megállapodás kötelező tartalmi elemeit kormányrendelet tartalmazza. Megállapodás megkötése esetén is meg kell jelölni azt a természetes személyt, aki az elektronikus információs rendszer biztonságáért felelős személy feladatait ellátja.

(3)Az elektronikus információs rendszer biztonságáért felelős személy feladatait csak olyan személy végezheti, aki a) cselekvőképes, büntetlen előéletű és b) * az 1. §

(1)bekezdés a)–

1. c)és
2. f)pontja szerinti szervezet, a Kszetv. alapján kritikus szervezetként kijelölt szervezet, valamint a Vbö. alapján az ország védelme és biztonsága szempontjából jelentős szervezetként kijelölt szervezet esetében rendelkezik a feladatellátáshoz szükséges, az informatikáért felelős miniszter rendeletében előírt végzettséggel, valamint rendelkezik
3. ba)a 75. §

(1)bekezdése szerinti nemzeti koordinációs központ által – az informatikáért felelős miniszter rendeletében foglaltak szerint – közzétett szakképzettséggel, akkreditált nemzetközi képzettséggel (a továbbiakban együtt: szakképzettség), vagy bb) az informatikáért felelős miniszter rendeletében meghatározott szakterületen szerzett szakmai tapasztalattal.

(4)Elektronikus információs rendszer biztonságáért felelős személyként – az

(5)bekezdésben foglalt kivétellel – nem jelölhető ki vagy bízható meg a szervezet gazdasági vezetői feladatait ellátó személy vagy az a személy, aki a szervezeten belül informatikai üzemeltetéssel, informatikai fejlesztéssel kapcsolatos munkakört lát el, illetve ilyen személy közvetlen alárendeltségébe tartozik.

(5)A

(4)bekezdést nem kell alkalmazni a következő szervezetek vonatkozásában: a) az 1. §

(1)bekezdés a)–

1. c)pontja szerinti fontos szervezetek,
2. b)az 1. §

(1)bekezdés

1. d)és
2. e)pontja szerinti szervezetek.

(6)A szervezet vezetője biztosítja, hogy az elektronikus információs rendszer biztonságáért felelős személy

1. a)valamennyi, az elektronikus információs rendszerek védelmét érintő döntés előkészítésében részt vegyen;
2. b)rendelkezésére álljanak az elektronikus információs rendszer védelmének biztosításához szükséges feltételek, jogosultságok, információk, humán- és anyagi erőforrások;
3. c)hozzáférjen mindazon rendszerekhez, adatokhoz és információkhoz, amelyek az általa ellátandó feladatok végrehajtásához szükségesek és
4. d)* ha a szervezeten belül került kijelölésre, a szakmai ismereteinek fenntartásához szükséges, az informatikáért felelős miniszter rendeletében meghatározott továbbképzéseken részt vegyen.

(7)Az elektronikus információs rendszer biztonságáért felelős személyt feladata ellátásával kapcsolatosan tudomására jutott adatok és információk tekintetében titoktartási kötelezettség terheli. A titoktartási kötelezettség alól a szervezet vezetője adhat felmentést.

(8)* Az elektronikus információs rendszer biztonságáért felelős személy részt vesz az informatikáért felelős miniszter rendeletében meghatározott továbbképzésen.

(9)Az elektronikus információs rendszer biztonságáért felelős személy jogosult a szervezet elektronikus információbiztonsági kötelezettségeinek, feladatainak teljesítésében közreműködőktől a biztonsági követelmények teljesülésével kapcsolatban tájékoztatást kérni. Ennek keretében jogosult megismerni a követelményeknek való megfelelőség alátámasztásához szükséges közreműködői tevékenységgel kapcsolatos adatot, valamint az elektronikus információs rendszerek biztonsága tárgyában keletkezett valamennyi dokumentumot.

(10)Indokolt esetben a szervezet kijelölhet vagy megbízhat az elektronikus információs rendszer biztonságáért felelős személy helyettesítésére jogosult személyt, aki az elektronikus információs rendszer biztonságáért felelős személy tartós távolléte vagy akadályoztatása esetén ellátja az elektronikus információs rendszer biztonságáért felelős személy feladatait. Az elektronikus információs rendszer biztonságáért felelős személy és helyettese között a feladatok és felelősség megosztásáról a szervezet vezetője rendelkezik. A helyettesre az elektronikus információs rendszer biztonságáért felelős személyre vonatkozó rendelkezéseket kell alkalmazni.

(11)Ha a szervezet elektronikus információs rendszereinek száma, mérete vagy biztonsági igényei indokolják, a szervezeten belül elektronikus információbiztonsági szervezeti egység hozható létre, amelyet az elektronikus információs rendszer biztonságáért felelős személy vezet.

(12)* Az 1. §

(1)bekezdés a)–

1. c)és
2. f)pontja szerinti szervezet, a Kszetv. alapján kritikus szervezetként kijelölt szervezet, valamint a Vbö. alapján az ország védelme és biztonsága szempontjából jelentős szervezetként kijelölt szervezet esetében az elektronikus információs rendszer biztonságáért felelős személy feladat- és hatáskörére vonatkozó részletes szabályokat kormányrendelet határozza meg.

(13)A nemzeti kiberbiztonsági hatóság nyilvántartást vezet az elektronikus információs rendszer biztonságáért felelős személy feladatainak ellátására alkalmas személyekről.

(14)* Az elektronikus információs rendszer biztonságáért felelős személy feladatainak ellátására alkalmas személyek nyilvántartásának célja, hogy a nyilvántartásban szereplő személyek közül a szervezetek a feladat ellátására alkalmas elektronikus információs rendszer biztonságáért felelős személyt választhassanak.

(15)* Az elektronikus információs rendszer biztonságáért felelős személy feladatainak ellátására alkalmas személyek nyilvántartásába kerülés, illetve az onnan való törlés rendjét kormányrendelet határozza meg.

(16)* A nemzeti kiberbiztonsági hatóság vizsgálhatja, hogy az elektronikus információs rendszer biztonságáért felelős személy megfelel-e a

(3)bekezdés a) pontjában meghatározott büntetlen előéletre irányuló követelménynek. Ennek megállapítása érdekében adatot igényelhet a bűnügyi nyilvántartási rendszerből. 8. Az elektronikus információs rendszerek biztonságával kapcsolatos oktatás és képzés 12. §

(1)A kiberbiztonsággal kapcsolatos képzést folytató felsőoktatási intézmény a képzési tevékenység ellátásával összefüggésben

1. a)*
2. b)közreműködhet az információbiztonsági, kibervédelmi, valamint a kritikus szervezetek vonatkozásában a komplex ellenálló képességi gyakorlatokon.

(2)A kiberbiztonsággal kapcsolatos képzést folytató szervezet

1. a)az alapvető és fontos szervezetek vezetői, az elektronikus információs rendszer biztonságáért felelős személyek által irányított szervezeti egységek munkatársai részére képzést,
2. b)az alapvető és fontos szervezetek vezetői, az elektronikus információs rendszer biztonságáért felelős személyek, az elektronikus információs rendszer biztonságáért felelős személyek által irányított szervezeti egységek munkatársai részére továbbképzést szervezhet. 9. Az elektronikus információs rendszer fejlesztése, továbbfejlesztése 13. §

(1)Új elektronikus információs rendszerek fejlesztése, vagy már meglévő elektronikus információs rendszerek továbbfejlesztése (a továbbiakban együtt: fejlesztés) vonatkozásában jelen alcím rendelkezéseit kell alkalmazni az alábbi, alapvető szervezetnek minősülő szervezetek esetében a) az 1. §

(1)bekezdés

1. a)és
2. c)pontja szerinti szervezet, valamint
3. b)* az 1. §

(1)bekezdés b) pontja szerinti és egyben a

1. és
2. melléklet szerinti szervezetnek minősülő szervezet.

(2)Elektronikus információs rendszer fejlesztése esetén a szervezet az információbiztonsági követelmények teljesülésének biztosítása és az elektronikus információs rendszer működésének nemzeti kiberbiztonsági hatóság általi jóváhagyása érdekében a kormányrendeletben meghatározottak szerint jár el.

(3)A fejlesztés során az elektronikus információs rendszer tervezési életciklusában végre kell hajtani – ahol az adatosztályozási kötelezettséget e törvény előírja – a rendszerben kezelni tervezett adatok osztályozását és az elektronikus információs rendszer biztonsági osztályba sorolását, amelyet a kormányrendeletben meghatározott módon a nemzeti kiberbiztonsági hatóságnak jóváhagyásra be kell nyújtani

1. a)belső fejlesztés esetén az erőforrások allokációját megelőzően,
2. b)külső fejlesztés esetén az arra irányuló szerződés megkötését megelőzően – a közbeszerzésekre vonatkozó jogszabályi rendelkezéseket is figyelembe véve – olyan módon, hogy az információbiztonsági követelmények az elektronikus információs rendszer fejlesztésére irányuló szerződésbe rögzítésre kerüljenek.

(4)A szervezet rögzíti a fejlesztésre irányuló szerződésben a nemzeti kiberbiztonsági hatóság által jóváhagyott osztályba soroláshoz kapcsolódó követelményeket és a fejlesztés során intézkedik azok megvalósulása iránt a fejlesztést végző szervezet felé.

(5)A fejlesztést a nemzeti kiberbiztonsági hatóság által jóváhagyott, a biztonsági osztály vonatkozásában az informatikáért felelős miniszter rendeletében meghatározott védelmi követelményeknek megfelelően kell végrehajtani.

(6)Ha a fejlesztés során olyan körülmény jut a szervezet tudomására, amely befolyásolja az érintett elektronikus információs rendszer biztonságát, akkor a

(2)–

(4)bekezdésben meghatározott feladatokat ismételten el kell végezni.

(7)A nemzeti kiberbiztonsági hatóság eljárása során elrendelhet sérülékenységvizsgálatot.

(8)Új elektronikus információs rendszer bevezetése vagy már működő elektronikus információs rendszer továbbfejlesztése során a megállapított biztonsági osztályhoz tartozó követelményeket a rendszer használatbavételéig teljesíteni kell.

(9)A szervezet vezetőjének az elektronikus információs rendszer használatba vételére, további használatára irányuló, a 6. §

(3)bekezdés 12. pontja szerinti döntése abban az esetben hozható meg, ha a nemzeti kiberbiztonsági hatóság által jóváhagyott biztonsági osztályba sorolásból következő követelmények a

(8)bekezdés szerinti módon teljesültek.

(10)A 6. §

(3)bekezdés 12. pontja szerinti döntéssel egyidejűleg gondoskodni kell az elektronikus információs rendszer kormányrendeletben meghatározott adatainak nemzeti kiberbiztonsági hatósághoz történő bejelentéséről.

(11)Központi rendszer fejlesztése esetén – az

(1)–

(10)bekezdésben foglaltakon túlmenően – az elektronikus információs rendszer felett rendelkezési jogosultsággal bíró szervezet köteles első alkalommal a tervezés fázisában és azt követően minden mérföldkő elérésekor tájékoztatni a nemzeti kiberbiztonsági hatóságot a központi rendszer biztonságát érintő kérdések vonatkozásában. 13/A. § * A jelen alcím rendelkezéseit az 1. §

(1)bekezdés f) pontja szerinti szervezet honvédelmi célú elektronikus információs rendszerei fejlesztésére is alkalmazni kell. 14. §

(1)* Ha az elektronikus információs rendszer fejlesztése a) a

1. vagy
2. melléklet szerinti szervezetnek nem minősülő, az
3. §

(1)bekezdés

1. b)pontja szerinti alapvető szervezet vagy
2. b)az 1. §

(1)bekezdés

1. a)és
2. c)pontja szerinti fontos szervezet által történik, a 13. §-ban foglaltak helyett e § rendelkezései az irányadóak.

(2)Az

(1)bekezdés szerinti szervezet intézkedik a védelmi követelmények megvalósulása iránt a fejlesztést végző szervezet felé.

(3)Az

(1)bekezdés szerinti szervezet köteles a kiberbiztonsági hatóság részére bejelenteni

1. a)az elektronikus információs rendszert a tervezési életciklusban, a fejlesztés megkezdését megelőzően, valamint
2. b)a szervezet vezetőjének az elektronikus információs rendszer használatba vételére, további használatára irányuló, a 6. §

(3)bekezdés 12. pontja szerinti döntését követően.

(4)Indokolt esetben a kiberbiztonsági hatóság sérülékenységvizsgálatot rendelhet el.

(5)A biztonsági osztályhoz tartozó követelményeket a rendszer használatbavételéig teljesíteni kell, a szervezet vezetőjének az elektronikus információs rendszer használatba vételére, további használatára irányuló, 6. §

(3)bekezdés

1. pontja szerinti döntése ezek teljesülése esetében hozható meg.
2. §

(1)Ha az 1. §

(1)bekezdés a)–c) pontja szerinti szervezet elektronikus információs rendszerének sérülékenységvizsgálata jogszabály vagy a nemzeti kiberbiztonsági hatóság döntése alapján kötelező, akkor a 6. §

(3)bekezdés 12. pontja szerinti döntés feltétele a feltárt sérülékenységek vonatkozásában készített sérülékenységkezelési terv nemzeti kiberbiztonsági hatóság általi jóváhagyása.

(2)Az

(1)bekezdés szerinti, „jelentős” és „magas” biztonsági osztályba tartozó elektronikus információs rendszer esetében kötelező a kormányrendelet szerinti teljes körű sérülékenységvizsgálat kezdeményezése. Sérülékenységvizsgálat végzésének kötelezettsége alól kormányrendeletben meghatározott, sérülékenységvizsgálat végzésére jogosult állami szerv döntése alapján mentesülhet a szervezet.

(3)Az 1. §

(1)bekezdés a)–c) pontja szerinti szervezet elektronikus információs rendszerei fejlesztése során irányadó részletes szabályokat kormányrendelet tartalmazza. 10. Kiberbiztonsági audit 16. §

(1)Az 1. §

(1)bekezdés b) pontja szerinti azon szervezet, amely egyúttal a

1. és
2. melléklet szerinti szervezet is, valamint az
3. §

(1)bekezdés d) pontja és – a kis- és középvállalkozásokról, fejlődésük támogatásáról szóló törvény szerinti mikrovállalkozás kivételével – az 1. §

(1)bekezdés e) pontja szerinti szervezet az e törvény szerinti kiberbiztonsági követelményeknek való megfelelés bizonyítására köteles kétévente, illetve a 23. §

(1)bekezdése szerint illetékes kiberbiztonsági hatóság általi elrendelés esetén kiberbiztonsági auditot végeztetni.

(2)A szervezet köteles a) a nyilvántartásba vételét követő 120 napon belül a kiberbiztonsági audit elvégzésére a 21. §

(3)bekezdése szerinti nyilvántartásban szereplő auditorral megállapodást kötni, és b) * a kiberbiztonsági auditot első alkalommal a nyilvántartásba vételét követő 2 éven belül elvégeztetni.

(3)A honvédelmi célú elektronikus információs rendszerek tekintetében kiberbiztonsági audit nem végezhető.

(4)Ha az

(1)bekezdés szerinti szervezet honvédelmi célú elektronikus információs rendszer felett is rendelkezési jogosultsággal bír, a szervezet vezetője felelős a

(3)bekezdésben foglalt rendelkezések teljesüléséért.

(5)* A honvédelmi kiberbiztonsági hatóság a jogszabály szerint a honvédelmi érdekhez kapcsolódó tevékenységet folytató gazdasági társaságok és az ország védelme és biztonsága szempontjából jelentős kettős kijelöléssel nem érintett szervezet és honvédelmi infrastruktúra elektronikus információs rendszere esetében a honvédelmi célú elektronikus információs rendszerként történő nyilvántartásba vételről tájékoztatja az SZTFH-t. 11. A támogató rendszerekre vonatkozó speciális rendelkezések 17. §

(1)A szervezetnek gondoskodnia kell arról, hogy a támogató rendszer is az általa támogatott elektronikus információs rendszernek megfelelő szintű védelemben részesüljön az informatikáért felelős miniszter rendeletében foglaltak alapján, ha az adott védelmi intézkedések kockázatarányosan alkalmazhatók az érintett támogató rendszer vonatkozásában. A szervezet köteles felmérni a támogató rendszerben használt védelmi intézkedéseket.

(2)Ha a szervezet a támogató rendszert szolgáltatásként nyújtja, tájékoztatja a támogató rendszert felhasználó szervezetet arról, hogy a támogató rendszer milyen biztonsági osztályhoz tartozó követelményeknek felel meg.

(3)Kizárólag olyan támogató rendszer vehető igénybe, amely megfelel az általa támogatott elektronikus információs rendszer védelmi igényeinek. 12. A központi rendszerekre vonatkozó speciális rendelkezések 18. §

(1)A központi rendszer felett rendelkezési jogot gyakorló szervezet az általa a felhasználó szervezet részére biztosított központi rendszer vonatkozásában

1. a)ellátja 4. alcímben meghatározott feladatokat;
2. b)bejelenti a nemzeti kiberbiztonsági hatóság részére, hogy a rendelkezésében lévő központi rendszert mely szervezet részére szolgáltatja;
3. c)szerződéses követelményként meghatározza vagy szerződés hiányában honlapján elérhetővé teszi a felhasználó szervezet számára a központi rendszer védelme érdekében a felhasználó szervezet által a központi rendszer igénybevétele feltételeként betartandó elektronikus információbiztonsági követelményeket;
4. d)ellenőrizheti a
5. c)pontban meghatározott feladatok végrehajtását;
6. e)a
7. d)pont szerinti ellenőrzés során feltárt hiányosságok pótlására, hibák javítására határidő jelölésével felszólítja a felhasználó szervezetet, ennek eredménytelensége esetén további intézkedések megtétele érdekében tájékoztatja a nemzeti kiberbiztonsági hatóságot;
8. f)együttműködik a felhasználó szervezettel, ennek keretében
9. fa)* a felhasználó szervezetet a központi rendszert érintő előre tervezett eseményekről legalább 5 nappal az esemény előtt értesíti,
10. fb)soron kívül tájékoztatja a központi rendszert érintő kiberbiztonsági incidensekről,
11. fc)az elektronikus információs rendszert érintő kiberfenyegetés, kiberbiztonsági incidensközeli helyzet vagy kiberbiztonsági incidens esetén tájékoztatja a lehetséges megelőző, helyreállításhoz szükséges vagy egyéb intézkedésekről,
12. fd)ha a felhasználó szervezet elektronikus információs rendszere vonatkozásában végzett sérülékenységvizsgálat a központi rendszert érintő hibát, hiányosságot tár fel, intézkedik azok kijavítása érdekében,
13. g)bejelenti az illetékes kiberbiztonsági incidenskezelő központnak a központi rendszert érintő kiberfenyegetéseket, kiberbiztonsági incidensközeli helyzeteket, valamint
14. h)a központi rendszert érintő kiberfenyegetések, kiberbiztonsági incidensközeli helyzetek, kiberbiztonsági incidensek megelőzése, elhárítása, kezelése, illetve a következmények csökkentése érdekében megteszi az illetékes kiberbiztonsági incidenskezelő központ által előírt intézkedéseket, valamint az általa igénybe vett szolgáltatás érintettsége esetén intézkedik a szolgáltatás nyújtója felé a szükséges intézkedések megtétele érdekében.

(2)A felhasználó szervezet által igénybe vett központi rendszer vonatkozásában a felhasználó szervezet

1. a)az elektronikus információs rendszereinek a nemzeti kiberbiztonsági hatóság részére történő bejelentése során a központi rendszer használatát – a központi rendszer azonosítására alkalmas adatok, valamint a központi rendszer felett rendelkezési jogot gyakorló szervezet megjelölésével – bejelenti,
2. b)a központi rendszer felett rendelkezési jogot gyakorló szervezet által meghatározott elektronikus információbiztonsági követelményeket teljesíti, ezeket rögzíti az információbiztonsági szabályzatában és
3. c)a központi rendszert érintő kiberbiztonsági incidenseket bejelenti az illetékes kiberbiztonsági incidenskezelő központ és a központi rendszer felett rendelkezési jogot gyakorló szervezet részére.

(3)* Jogszabály alapján kötelezően igénybe vett központi rendszer felett rendelkezési jogot gyakorló szervezet esetén a központi rendszer szolgáltatója és a felhasználó szervezet közötti feladat- és felelősségmegosztást az adott központi rendszerre vonatkozó jogszabály rögzíti. Ennek hiányában, valamint önkéntesen igénybe vett központi rendszer esetében a központi rendszer felett rendelkezési jogot gyakorló szervezet és a felhasználó szervezet szolgáltatási szerződést köt.

(4)A központi rendszerekről a nemzeti kiberbiztonsági hatóság nyilvántartást vezet.

(5)A nemzeti kiberbiztonsági hatóság jogosult a központi rendszer vonatkozásában mind a központi rendszer szolgáltatójánál, mind a felhasználó szervezetnél az elektronikus információbiztonsági követelmények teljesülését ellenőrizni. 13. A központi szolgáltatók által nyújtott rendszerekre vonatkozó speciális rendelkezések 19. §

(1)A központi szolgáltató tájékoztatja a felhasználó szervezetet arról, hogy az általa nyújtott szolgáltatás milyen biztonsági osztály követelményeinek megfelelő szolgáltatásokat tud nyújtani, vagy arról, hogy a központi szolgáltatásokat megvalósító rendszerek milyen biztonsági osztály követelményeinek felelnek meg. Amennyiben a központi szolgáltató által nyújtott szolgáltatással érintett elektronikus információs rendszer biztonsági osztályának megfelelnek a központi szolgáltató által biztosított védelmi intézkedések, a felhasználó szervezet igénybe veszi a szolgáltatást. Ellenkező esetben a felhasználó szervezet nem veszi igénybe a szolgáltatást, illetve kötelező igénybevétel esetén a felhasználó szervezet gondoskodik a felhasználó szervezet hatáskörében megvalósítható, kockázatarányos helyettesítő intézkedések alkalmazásáról.

(2)A központi szolgáltató

1. a)köteles folyamatosan kapcsolatot tartani a nemzeti kiberbiztonsági hatósággal,
2. b)bejelenti a nemzeti kiberbiztonsági hatóság részére, hogy a központi szolgáltatást vagy támogató rendszert mely szervezet részére nyújtja,
3. c)gondoskodik a központi szolgáltatás vagy a támogató rendszer kockázatarányos védelmi intézkedéseinek megvalósításáról,
4. d)meghatározza és elérhetővé teszi a felhasználó szervezet számára a központi szolgáltatás vagy támogató rendszer védelme érdekében a felhasználó szervezet által az igénybevétel feltételeként betartandó elektronikus információbiztonsági követelményeket,
5. e)együttműködik a felhasználó szervezettel, ennek keretében
6. ea)* a központi szolgáltatást vagy a támogató rendszert érintő előre tervezett eseményekről legalább 5 nappal az esemény előtt értesíti,
7. eb)soron kívül tájékoztatja a központi szolgáltatást vagy a támogató rendszert érintő kiberbiztonsági incidensekről,
8. ec)kiberfenyegetés, kiberbiztonsági incidensközeli helyzet vagy kiberbiztonsági incidens esetén tájékoztatja a lehetséges megelőző, helyreállításhoz szükséges vagy egyéb intézkedésekről,
9. ed)ha a felhasználó szervezet elektronikus információs rendszere vonatkozásában végzett sérülékenységvizsgálat a központi szolgáltatást vagy a támogató rendszert érintő hibát, hiányosságot tár fel, intézkedik azok kijavítása érdekében,
10. f)bejelenti az illetékes kiberbiztonsági incidenskezelő központnak a központi szolgáltatást vagy a támogató rendszert érintő kiberfenyegetéseket, kiberbiztonsági incidensközeli helyzeteket, kiberbiztonsági incidenseket, valamint
11. g)a központi szolgáltatást vagy a támogató rendszert érintő kiberfenyegetések, kiberbiztonsági incidensközeli helyzetek, kiberbiztonsági incidensek megelőzése, elhárítása, kezelése, illetve a következmények csökkentése érdekében megteszi az illetékes kiberbiztonsági incidenskezelő központ által előírt intézkedéseket, valamint az általa igénybe vett szolgáltatás érintettsége esetén intézkedik a szolgáltatás nyújtója felé a szükséges intézkedések megtétele érdekében.

(3)A központi szolgáltató által a felhasználó szervezet részére biztosított központi szolgáltatás vagy támogató rendszer vonatkozásában a felhasználó szervezet

1. a)bejelenti a nemzeti kiberbiztonsági hatóság részére a központi szolgáltatás vagy a támogató rendszer használatát a központi szolgáltató megjelölésével,
2. b)a központi szolgáltató által meghatározott elektronikus információbiztonsági követelményeket teljesíti, ezeket rögzíti az információbiztonsági szabályzatában, valamint
3. c)a központi szolgáltatást vagy a támogató rendszert érintő kiberbiztonsági incidenseket bejelenti a kiberbiztonsági incidenskezelő központ és a központi szolgáltató részére.

(4)Jogszabály alapján kötelezően igénybe vett központi szolgáltatás vagy támogató rendszer esetén a központi szolgáltató és a felhasználó szervezet közötti feladat- és felelősségmegosztást az adott központi szolgáltatásra vagy támogató rendszerre vonatkozó jogszabály rögzíti. Ennek hiányában, valamint önkéntesen igénybe vett központi szolgáltatás vagy támogató rendszer esetében a központi szolgáltató és a felhasználó szervezet direktfinanszírozási szerződést köt.

(5)A központi szolgáltató által az állami és önkormányzati feladatot ellátó szervezet részére jogszabály alapján kizárólagos joggal nyújtott informatikai és elektronikus hírközlési szolgáltatási feladatokra vonatkozó részletes szabályokat kormányrendelet határozza meg.

(6)A központi szolgáltató által nyújtott központi szolgáltatásokról és támogató rendszerekről a nemzeti kiberbiztonsági hatóság nyilvántartást vezet.

(7)A nemzeti kiberbiztonsági hatóság jogosult az elektronikus információbiztonsági követelmények teljesülését mind a központi szolgáltatónál, mind a felhasználó szervezetnél ellenőrizni. 14. A legfelső szintű doménnév-nyilvántartás 20. §

(1)A legfelső szintű domén alatt bejegyzett doménnevekről a legfelső szintű doménnév-nyilvántartó központi nyilvántartást vezet.

(2)A központi doménnév-nyilvántartás tartalmazza:

1. a)az érintett doménnevet,
2. b)a doménnév-regisztráció dátumát,
3. c)a doménnévhasználó nevét, kapcsolattartásra alkalmas elektronikus levelezési címét, telefonszámát, és
4. d)a doménnevet kezelő adminisztratív kapcsolattartó nevét, elektronikus levelezési címét és telefonszámát, ha azok eltérnek a
5. c)pont szerinti adatoktól.

(3)A

(2)bekezdés szerinti adatok kezelésének célja a doménnevet kezelő adminisztratív kapcsolattartó, valamint a doménnév-használó természetes vagy jogi személy azonosító és kapcsolattartási adatainak naprakészen tartása.

(4)A központi doménnév-nyilvántartás adatai hitelességének ellenőrzése és integritásának biztosítása érdekében a legfelső szintű doménnév-nyilvántartó köteles az ellenőrzésre vonatkozó – az SZTFH által előzetesen jóváhagyott – eljárásrendet nyilvánosan közzétenni.

(5)A legfelső szintű doménnév-nyilvántartó a központi doménnév-nyilvántartásban szereplő adatokat – a személyes adatok kivételével – nyilvánosan hozzáférhetővé teszi.

(6)A legfelső szintű doménnév-nyilvántartó a központi doménnév-nyilvántartásban szereplő adatokhoz az ügyészség, a nemzetbiztonsági szolgálatok, a nyomozó hatóságok és a büntetőeljárásról szóló törvény szerinti előkészítő eljárást folytató szervezetek, a kiberbiztonsági hatóság és a kiberbiztonsági incidenskezelő központ részére közvetlen hozzáférést biztosít. III. FEJEZET A KIBERBIZTONSÁGI FELÜGYELET 15. A kiberbiztonsági auditra vonatkozó rendelkezések 21. §

(1)Az elektronikus információs rendszerek biztonsági osztályba sorolása, valamint a biztonsági osztályba sorolás szerinti védelmi intézkedések megfelelőségét az auditor ellenőrzi a kiberbiztonsági audit végrehajtása során.

(2)Kiberbiztonsági auditot az az auditor végezhet, amely a feladat ellátásához szükséges szakértelemmel és infrastrukturális feltételekkel rendelkezik, valamint az 57. §

(1)bekezdés c) pontja szerinti gazdálkodó szervezetnek (a továbbiakban: sérülékenységvizsgálat lefolytatására jogosult gazdálkodó szervezet) minősül. Az auditorral szemben támasztott követelményeket az SZTFH elnöke rendeletben határozza meg.

(3)Az audit végrehajtására jogosult gazdálkodó szervezeteket a

(2)bekezdés szerinti követelmények igazolt teljesítése esetén az SZTFH nyilvántartásba veszi az SZTFH elnökének rendeletében foglalt részletes szabályok szerint.

(4)A

(3)bekezdés szerinti nyilvántartás tartalmazza:

1. a)az auditor adatait és annak kijelölt kapcsolattartója azonosításához szükséges természetes személyazonosító adatait, telefonszámát, valamint elektronikus levelezési címét,
2. b)* az auditor nyilvántartásba vételének időpontját, valamint – nyilvántartásba vételekor kapott – azonosító számát,
3. c)az auditor által igénybe vett közreműködő adatait, valamint kijelölt kapcsolattartója azonosításához szükséges természetes személyazonosító adatait, telefonszámát, elektronikus levelezési címét, és
4. d)az audit eredményét tartalmazó dokumentumot.

(4a)* A

(3)bekezdés szerinti nyilvántartás a

(4)bekezdés b) pontjában meghatározott adatok tekintetében közhiteles hatósági nyilvántartás.

(5)A szolgáltatási tevékenység megkezdésének és folytatásának általános szabályairól szóló törvénytől eltérően, ha a

(3)bekezdés szerinti nyilvántartásba történő felvételről az SZTFH a rá irányadó ügyintézési határidőn belül nem döntött, a kérelmezőt nem illeti meg a kérelmében megjelölt tevékenység megkezdésének, illetve folytatásának joga, és az általános közigazgatási rendtartásról szóló törvénynek a hatóság mulasztására vonatkozó általános szabályait kell alkalmazni.

(6)* Ha az auditor auditori tevékenységet már nem végez, akkor a

(4)bekezdés szerinti adatokat az SZTFH a tevékenység befejezésének bejelentését követő 5 év elteltével köteles a nyilvántartásból törölni.

(7)* Ha a

(4)bekezdés szerinti adatok változását az auditor bejelenti, a nyilvántartásban a változás bejegyzését megelőzően szereplő adatot az SZTFH az adat változása bejegyzését követő 5 év elteltével a nyilvántartásból törli.

(8)A

(4)bekezdés szerinti adatok kezelésének célja az auditorokra vonatkozó információk naprakészen tartása, valamint az SZTFH ellenőrzési tevékenységének ellátása.

(9)A

(4)bekezdés szerinti nyilvántartásból – ha jogszabály eltérően nem rendelkezik – adattovábbítás kizárólag a kiberbiztonsági hatóságok, valamint a kiberbiztonsági incidenskezelő központok részére végezhető. 22. §

(1)A 21. §

(1)bekezdése szerinti megfelelőség ellenőrzésére az auditor jogosult a tevékenység nyomon követésére alkalmas módon a következő vizsgálatokat elvégezni:

1. a)belső informatikai biztonsági és távoli sérülékenységvizsgálatot, valamint „jelentős” vagy „magas” biztonsági osztály esetén behatolásvizsgálatot,
2. b)kriptográfiai megfelelőségvizsgálatot, valamint
3. c)„jelentős” vagy „magas” biztonsági osztály esetén a kritikus biztonsági funkciókat végző egyedileg fejlesztett szoftverek biztonsági forráskódvizsgálatát.

(2)Az audit eredményét az auditor az SZTFH és a szervezet részére az audit befejezését követően haladéktalanul megküldi.

(3)Az auditor írásban haladéktalanul tájékoztatja az SZTFH-t, ha a szervezet elektronikus információs rendszerével kapcsolatosan olyan tényt állapít meg, amely

1. a)a szervezet folyamatos működését súlyosan veszélyezteti, vagy
2. b)bűncselekmény elkövetésére, jogszabály megsértésére, a szervezet belső szabályzatának súlyos megsértésére vagy ezek veszélyére utaló körülményeket észlel.

(4)Az audit eredményét, valamint a

(3)bekezdés szerinti tájékoztatást az SZTFH a) az 1. §

(1)bekezdés

1. b)pontja szerinti szervezet esetében hivatalból megküldi,
2. b)az 1. §

(1)bekezdés

1. d)és
2. e)pontja szerinti szervezet esetében a nemzeti kiberbiztonsági hatóság kérésére megküldi a nemzeti kiberbiztonsági hatóság részére.

(5)Az auditor az ellenőrzött szervezet kezelésében lévő, az audit lefolytatásához szükséges, az ellenőrzött szervezettől megkapott dokumentumokat – ideértve a személyes adatokat és az üzleti titoknak minősülő adatokat is – az audit során ellenőrzött követelmények teljesülésének vizsgálata céljából, az audit lefolytatásához szükséges mértékben, annak befejezéséig kezeli, azokat harmadik személy részére nem továbbíthatja.

(6)Az auditor köteles szabályzatban rögzíteni azokat a munkaköröket, amelyeket betöltő személyek az audit során az üzleti titkokhoz hozzáférhetnek, annak tartalmát megismerhetik. Az auditban részt vevő személyeket az audit során tudomásukra jutott személyes adatok, valamint üzleti titok tekintetében titoktartási kötelezettség terheli, amely a foglalkoztatásra irányuló jogviszony megszűnését követő 5 évig, személyes adatok tekintetében pedig időkorlát nélkül fennmarad.

(7)A jelen alcím szerinti kiberbiztonsági audit nem érinti a más jogszabály által előírt tanúsítási kötelezettséget.

(8)Az auditor kötelezettségeinek teljesítését az SZTFH ellenőrzi a 25. §

(1)és

(3)bekezdésének alkalmazásával.

(9)Az SZTFH elnöke rendeletben határozza meg az audit – általános forgalmi adó nélkül számított – legmagasabb díját, valamint a kiberbiztonsági audit lefolytatásának rendjét. 16. A kiberbiztonsági hatóságra vonatkozó általános rendelkezések 23. §

(1)Az e törvény hatálya alá tartozó elektronikus információs rendszerek kiberbiztonsági felügyeletét – a honvédelmi célú elektronikus információs rendszerek kivételével – a) az 1. §

(1)bekezdés a)–

1. c)pontja szerinti szervezetek elektronikus információs rendszerei esetében a Kormány rendeletében kijelölt nemzeti kiberbiztonsági hatóság,
2. b)az 1. §

(1)bekezdés

1. d)és
2. e)pontja szerinti – az
3. a)pont hatálya alá nem tartozó – szervezetek elektronikus információs rendszerei esetében az SZTFH látja el.

(2)A honvédelmi célú elektronikus információs rendszerek esetében az e törvény szerinti kiberbiztonsági felügyeletet ellátó honvédelmi kiberbiztonsági hatóságot a honvédelmi ágazaton belül a Kormány rendeletben jelöli ki. A honvédelmi kiberbiztonsági hatóság tevékenységére a nemzeti kiberbiztonsági hatóságra vonatkozó rendelkezéseket kell alkalmazni.

(3)A nemzeti kiberbiztonsági hatóság önálló feladattal és hatósági jogkörrel rendelkező szerv, amely hatósági tevékenysége során kizárólag a jogszabályoknak van alávetve, minden más szervtől független és a feladatkörébe tartozó hatósági ügyek tekintetében – a feladat elvégzésére vagy a mulasztás pótlására irányuló utasítás kivételével – nem utasítható. 17. A kiberbiztonsági hatóság feladatai 24. §

(1)A nemzeti kiberbiztonsági hatóság

1. vizsgálja az elektronikus információs rendszer biztonságáért felelős személy és helyettese jogszabályban foglalt követelményeknek való megfelelését, megfelelés esetén nyilvántartásba veszi azt,
2. vizsgálja a biztonsági osztályba sorolás megalapozottságát és a vizsgálat eredménye alapján dönt annak nyilvántartásba vételéről,
3. nyilvántartásba veszi és nyilvántartja a
4. §

(1)bekezdése szerinti adatokat,

1. az elektronikus információs rendszerek biztonságára vonatkozó irányelveket, ajánlásokat, követelményeket határoz meg,
2. iránymutatást adhat ki az európai uniós jogszabályban és az informatikáért felelős miniszter rendeletében meghatározott védelmi intézkedések egymásnak való megfeleltethetősége vonatkozásában,
3. az elektronikus információbiztonsági követelményeknek való megfelelés igazolása érdekében előírhatja – egy adott típusú technológia alkalmazásának előírása vagy előnyben részesítése nélkül – az elektronikus információs rendszerek biztonsága tekintetében releváns európai és nemzetközi szabványok és műszaki előírások alkalmazását,
4. ellenőrzi az elektronikus információs rendszerek osztályba sorolására vonatkozó, jogszabályban, vagy az általa meghatározott követelmények teljesülését,
5. elrendeli az ellenőrzése során feltárt vagy tudomására jutott biztonsági hiányosságok elhárítását, és az azok felszámolásához szükséges intézkedéseket, valamint ellenőrzi azok eredményességét,
6. megtehet, ellenőrizhet minden olyan, az elektronikus információs rendszerek védelmére vonatkozó intézkedést, amellyel az érintett elektronikus információs rendszert veszélyeztető fenyegetések kezelhetőek,
7. kiberbiztonsági incidens esetén – kormányrendeletben meghatározott esetben – hatósági eljárást indít, valamint a hozzá beérkező kiberbiztonsági incidensekről szóló bejelentésekről haladéktalanul tájékoztatja a nemzeti kiberbiztonsági incidenskezelő központot,
8. részt vehet információbiztonsági, kiberbiztonsági érintettségű gyakorlatokon, a nemzetközi információbiztonsági, kiberbiztonsági gyakorlatokon felkérésre képviseli Magyarországot,
9. hazai és nemzetközi információbiztonsági, kiberbiztonsági eseményeken képviseli Magyarországot,
10. részt vehet az (EU) 2022/2555 európai parlamenti és tanácsi irányelv
11. cikke szerinti szakértői értékelésben, illetve értékelést kezdeményezhet,
12. nyomon követi az (EU) 2022/2555 európai parlamenti és tanácsi irányelv hazai végrehajtását,
13. közreműködik a magyar kibertér védelmét szolgáló tudatosító tevékenységekben,
14. ellenőrzi az elektronikus információs rendszerek fejlesztése során az információbiztonsági követelmények teljesülését,
15. kormányrendeletben foglaltak szerint jóváhagyja az elektronikus információs rendszerek használatba vételét, a megállapított hiányosságok pótlásáig megtilthatja vagy korlátozhatja az elektronikus információs rendszer használatát, a külföldön történő adatkezelést és a felhőszolgáltatás igénybevételét,
16. alapvető vagy fontos szervezetként azonosíthat valamely szervezetet kormányrendeletben meghatározottak szerint,
17. javaslatot tehet a Kszetv. szerinti kijelölő hatóság részére kritikus szervezet, valamint a Vbö. szerinti kijelölő hatóság részére az ország védelme és biztonsága szempontjából jelentős szervezet kijelölésére,
18. hazai információbiztonsági, kiberbiztonsági gyakorlatokat szervezhet, elrendelheti a szervezet gyakorlaton való részvételét, illetve a szervezet által szervezett gyakorlatok vonatkozásában iránymutatást adhat ki,
19. szakhatóságként jár el az egyes közérdeken alapuló kényszerítő indok alapján eljáró szakhatóságok kijelöléséről szóló kormányrendeletben meghatározott szakkérdésekben,
20. az elektronikus információs rendszerek biztonságáért felelős európai uniós és nemzetközi szervezetekben, bizottságokban képviseli Magyarországot és
21. ellátja az (EU) 2022/2555 európai parlamenti és tanácsi irányelv szerinti egyedüli kapcsolattartó pont feladatait.

(2)A nemzeti kiberbiztonsági hatóság az ellenőrzési feladatainak ellátása körében a Kszetv. és a Vbö. szerinti kijelölő hatóság javaslatainak előzetes kikérésével, kockázatelemzés alapján éves ellenőrzési tervet készít.

(3)A honvédelmi kiberbiztonsági hatóság ellátja az

(1)bekezdés 1–11., 15–

1. pontjában foglalt feladatokat, tevékenységére nem kell alkalmazni a
2. §

(13)bekezdésének, valamint a 28. §

(4)és

(7)bekezdésének rendelkezéseit. A honvédelmi kiberbiztonsági hatóság az

(1)bekezdés 10. pont esetén a honvédelmi kiberbiztonsági incidenskezelő központot tájékoztatja.

(4)A nemzeti kiberbiztonsági hatóság, valamint a honvédelmi kiberbiztonsági hatóság feladat- és hatáskörét, valamint az eljárására vonatkozó részletes szabályokat kormányrendelet tartalmazza.

(5)Az SZTFH a) az

(1)bekezdés 4., 5., 7.,

1. és 11–
2. pontjában, valamint a

(3)és

(4)bekezdésben, továbbá az SZTFH elnökének rendeletében foglaltak szerint jár el,

1. b)elrendelhet és ellenőrizhet minden olyan, az elektronikus információs rendszerek védelmére vonatkozó intézkedést, amellyel az érintett elektronikus információs rendszert veszélyeztető fenyegetések kezelhetőek,
2. c)nyilvántartja a 29. §

(1)bekezdése szerinti adatokat,

1. d)* jelentős kiberbiztonsági incidens bekövetkezése vagy a biztonsági követelményeknek való nem megfelelés gyanúja esetén rendkívüli ellenőrzést hajthat végre vagy rendkívüli auditot rendelhet el,
2. e)a cél megjelölésével jogosult a szervezettől bekérni és megismerni:
3. ea)a biztonsági osztályba sorolás, valamint a biztonsági intézkedések megfelelőségét alátámasztó dokumentumokat,
4. eb)a belső informatikai biztonsági vizsgálat végrehajtásáról készült dokumentumot, és
5. ec)egyéb, a jogszabályi megfelelést alátámasztó adatot, információt, dokumentumot a felügyeleti feladatok elvégzése céljából.

(6)Az SZTFH hatósági ellenőrzése lefolytatásának részletes szabályait az SZTFH elnökének rendelete határozza meg.

(7)A kiberbiztonsági hatóság jogosult felügyeleti intézkedések megtételére vagy jogkövetkezmények alkalmazására

1. a)azon szervezetek vonatkozásában, amelyek Magyarország területén szolgáltatásokat nyújtanak vagy amelyek hálózati és információs rendszere Magyarország területén található, és e célból valamely európai uniós tagállam kiberbiztonsági hatóságától kölcsönös segítségnyújtás iránti megkeresés érkezik, valamint
2. b)a kijelölt képviselővel egyik európai uniós tagállamban sem rendelkező, de Magyarországon szolgáltatást nyújtó szervezetek vonatkozásában.

(8)A kiberbiztonsági hatóság jogszabályban meghatározott feladatai ellátása érdekében jogosult kockázatelemzés alapján rangsorolni a felügyeleti feladatok végrehajtását.

(9)* A Kormány rendeletében meghatározott élelmiszerlánc-felügyeleti szervek minden év február

1. napjáig tájékoztatják az SZTFH-t és a nemzeti kiberbiztonsági hatóságot – a
2. §

(1)bekezdése szerinti kiberbiztonsági felügyelettel kapcsolatos feladatok ellátása céljából – a

1. mellékletben foglalt táblázat
2. sora szerinti szervezetek megnevezéséről, székhelyéről és adószámáról.
3. A hatósági eljárás általános szabályai
4. §

(1)A kiberbiztonsági hatóság eljárása során a sommás eljárás alkalmazása kizárt.

(2)* A nemzeti kiberbiztonsági hatóság által lefolytatott hatósági eljárás és hatósági ellenőrzés ügyintézési határideje a védelmi intézkedések teljesítésére irányuló ellenőrzés, valamint a kiberbiztonsági incidensek kivizsgálására irányuló hatósági eljárás esetén 120 nap.

(3)* Az SZTFH által lefolytatott hatósági ellenőrzés ügyintézési határideje 120 nap, az auditorok, a sérülékenységvizsgálat végzésére, az incidens vizsgálatára jogosult gazdálkodó szervezet hatósági nyilvántartásával, valamint a poszt-kvantumtitkosítás alkalmazását tanúsító szervezet, illetve a poszt-kvantumtitkosítás alkalmazás nyújtására jogosult szervezetek ellenőrzésével kapcsolatos eljárás esetén 90 nap.

(4)A

(3)bekezdés szerinti eljárás felfüggeszthető a cégellenőrzés befejezéséig terjedő időtartamra. 19. Azonosítási eljárás 26. §

(1)A nemzeti kiberbiztonsági hatóság alapvető vagy fontos szervezetként azonosíthat (a továbbiakban: azonosítási eljárás) egy szervezetet, ha az nem tartozik az 1. §

(1)bekezdésének hatálya alá, illetve nem került a Kszetv. alapján kritikus szervezetként vagy a Vbö. alapján az ország védelme és biztonsága szempontjából jelentős szervezetként kijelölésre és az 1. §

(6)bekezdésében meghatározott feltételek közül legalább egy teljesül.

(2)Az 1. §

(6)bekezdés 6–9. pontja szerinti feltételek együttes fennállása esetén a nemzeti kiberbiztonsági hatóság alapvető szervezetként azonosítja a szervezetet.

(3)A nemzeti kiberbiztonsági hatóság az azonosítási eljárás során a

1. §-ban foglalt rendelkezésekre figyelemmel jár el.
2. §

(1)A nemzeti kiberbiztonsági hatóság az azonosítási eljárás során hivatalból jár el.

(2)A nemzeti kiberbiztonsági hatóság határozatban rendelkezik a szervezet alapvető vagy fontos szervezetek nyilvántartásába történő felvételéről, ennek keretében meghatározza a szervezetnek az e törvény alapján teljesítendő feladatait és erről tájékoztatja a szervezetet.

(3)Az azonosítási eljárás lefolytatása érdekében a nemzeti kiberbiztonsági hatóság – személyes adatok kivételével – jogosult

1. a)a szervezettől,
2. b)a szervezet felett hatósági, felügyeleti vagy ellenőrzési jogkört gyakorló szervezettől és
3. c)közhiteles nyilvántartásokból adatot igényelni.

(4)Ha az alapvető vagy fontos szervezetként azonosított szervezet az azonosítással nem ért egyet, abban az esetben a szervezet köteles bizonyítani, hogy nem felel meg az alapvető vagy fontos szervezetként történő azonosításról szóló döntésben megállapított feltételeknek. 20. A hatósági nyilvántartás 28. §

(1)A nemzeti kiberbiztonsági hatóság az e törvényben meghatározott feladatainak végrehajtása céljából nyilvántartja és kezeli 1. a szervezet vonatkozásában:

1. a)* a szervezet azonosításához szükséges adatokat, nyilvántartásba vételének dátumát, a nyilvántartás módosításának dátumát,
2. b)a szervezet elérhetőségeit, ideértve elektronikus elérhetőségeket, valamint a szervezet által használt nyilvános IP-címeket vagy IP-tartományokat, valamint az 1. melléklet szerinti szervezetek kivételével a szervezet székhelyét, telephelyét, fióktelepét,
3. c)a szervezet alapvető vagy fontos szervezetnek minősülését,
4. d)a 2. és 3. melléklet szerinti ágazatba, alágazatba, szervezettípusba tartozását,
5. e)ha releváns, azon európai uniós tagállamok listáját, amelyben a szervezet szolgáltatásokat nyújt,
6. f)* a szervezet elektronikus információs rendszereinek megnevezését, rövid leírását, biztonsági osztályának besorolását, a nyilvántartásba vétel, valamint a felülvizsgálat időpontjában elért biztonsági osztály meghatározását, nyilvántartásba vétele dátumát, a nyilvántartás módosításának dátumát,
7. g)az elektronikus információs rendszerben kezelt adatok osztályozásához kapcsolódó adatokat, azok adatkezelésének helyszínét, ideértve az ország megnevezését vagy a felhő típusát,
8. h)az elektronikus információs rendszerhez kapcsolódóan igénybe vett felhőszolgáltatásokra vonatkozó adatokat,
9. i)* az elektronikus információs rendszerhez kapcsolódó védelmi intézkedéseket és azok státuszát, valamint ezen adatok nyilvántartásba vételének dátumát, a nyilvántartás módosításának dátumát,
10. j)nem Magyarországon bejegyzett szervezet Magyarország területén működő képviselőjének nevét vagy cégnevét, levelezési címét, telefonszámát és elektronikus levelezési címét,
11. k)* az elektronikus információs rendszer biztonságáért felelős személy feladatait ellátó személy, szervezet azonosítására alkalmas adatokat, valamint a feladatot ténylegesen ellátó természetes személy személyazonosító adatait, közvetlen elérhetőséget biztosító telefonszámát, elektronikus elérhetőségét, végzettségét, szakképzettségét, szakmai tapasztalatát, továbbá ezen adatok nyilvántartásba vételének dátumát, a nyilvántartás módosításának dátumát,
12. l)* a szervezet információbiztonsági szabályzatát, annak nyilvántartásba vételének dátumát, a nyilvántartás módosításának dátumát,
13. m)a szervezet vezetője és az elektronikus információs rendszer biztonságáért felelős személy továbbképzésére vonatkozó adatokat,
14. n)a honvédelmi célú elektronikus információs rendszerek kivételével az audit eredményét,
15. o)a hatósági ellenőrzésekkel kapcsolatos információkat,
16. p)a sérülékenységvizsgálat eredményét, valamint a sérülékenységek megszüntetésére vonatkozó sérülékenységkezelési tervet,
17. q)* a szervezet kritikus szervezeti vagy az ország védelme és biztonsága szempontjából jelentős szervezeti státuszát; 2. központi rendszerhez csatlakozott szervezet esetében:
18. a)a felhasználó szervezet által használt központi rendszer megnevezését, egyedi azonosító számát,
19. b)a központi rendszer felett rendelkezési jogot gyakorló szervezet nevét; 3. központi rendszer esetében az 1. pontban foglaltakon túl:
20. a)a központi rendszer egyedi azonosító számát,
21. b)a felhasználó szervezetek megnevezését; 4. a központi szolgáltató esetében az 1. pontban foglaltakon túl:
22. a)a központi szolgáltató által nyújtott szolgáltatásban részt vevő elektronikus információs rendszer egyedi azonosító számát,
23. b)a központi szolgáltató által biztosított támogató rendszer azonosítására alkalmas adatokat,
24. c)a felhasználó szervezetek megnevezését; 5. a kiberbiztonsági incidensekkel kapcsolatos, a kiberbiztonsági incidenskezelő központtól kapott értesítéseket, az ezekben szereplő személyekre vonatkozó adatokat; 6. * az elektronikus információs rendszer biztonságáért felelős személy feladatainak ellátására alkalmas természetes személyek személyazonosító adatait, elérhetőségeit, ideértve az elektronikus elérhetőségeket, valamint a szakértelmére vonatkozó adatokat, továbbá ezen adatok nyilvántartásba vételének dátumát, a nyilvántartás módosításának dátumát; 7. a kormányrendeletben előírt további, személyes adatnak nem minősülő adatokat.

(1a)* A nemzeti kiberbiztonsági hatóság által vezetett

(1)bekezdés szerinti nyilvántartás – a személyiadat- és lakcímnyilvántartásban, valamint a cégnyilvántartásban szereplő közhiteles adatok, továbbá az

(1)bekezdés 1. pont b), e), g), h), j), m)–q) alpontja, az

(1)bekezdés 2. pontja, az

(1)bekezdés 3. pont b) alpontja, valamint az

(1)bekezdés 4.,

1. és
2. pontja kivételével – nem nyilvános közhiteles hatósági nyilvántartásnak minősül.

(2)* A honvédelmi kiberbiztonsági hatóság az e törvényben meghatározott feladatainak végrehajtása céljából nyilvántartja az

(1)bekezdés 1. pont a)–m),

1. o)és
2. p)alpontja, a hatáskörébe tartozó szervezetek esetében az

(1)bekezdés 1. pont q) alpontja szerinti, továbbá az

(1)bekezdés 2–

1. és
2. pontja szerinti adatokat.

(2a)* A honvédelmi kiberbiztonsági hatóság által vezetett

(1)és

(2)bekezdés szerinti nyilvántartás – a személyiadat- és lakcímnyilvántartásban, valamint a cégnyilvántartásban szereplő közhiteles adat, továbbá az

(1)bekezdés 1. pont b), e), g), h), j), m), o)–q) alpontjában, az

(1)bekezdés 2. pontjában, az

(1)bekezdés 3. pont b) alpontjában, valamint az

(1)bekezdés 4.,

1. és
2. pontjában szereplő adatok kivételével – közhiteles hatósági nyilvántartásnak minősül.

(2b)* A honvédelmi kiberbiztonsági hatóság által vezetett

(2a)bekezdés szerinti nyilvántartásban szereplő közhiteles adat honvédelmi és nemzetbiztonsági érdekből a keletkezésétől számított harminc évig nem nyilvános.

(2c)* A

(2a)bekezdésben szereplő közhiteles adatok megismerését a fenti érdek mérlegelésével a honvédelmi kiberbiztonsági hatóság vezetője engedélyezheti.

(3)A nemzeti kiberbiztonsági hatóság, valamint a nemzeti kiberbiztonsági incidenskezelő központ a honvédelmi kiberbiztonsági hatóság nyilvántartásából az

(1)bekezdés 1. pont a)–c), j)–

1. k)és
2. p)alpontjai szerinti adatokat megismerheti.

(4)A nemzeti kiberbiztonsági hatóság – az SZTFH által nyújtott adatszolgáltatást is figyelembe véve – összeállítja az alapvető és fontos szervezetek jegyzékét, és azt kétévente felülvizsgálja.

(5)Az

(1)és a

(2)bekezdés szerinti nyilvántartásból – ha jogszabály eltérően nem rendelkezik – adattovábbítás kizárólag

1. a)az SZTFH,
2. b)a nemzeti kiberbiztonsági incidenskezelő központ,
3. c)az (EU) 2022/2555 európai parlamenti és tanácsi irányelv szerinti egyedüli kapcsolattartó pont,
4. d)a Nemzeti Adatvédelmi és Információszabadság Hatóság,
5. e)a Kszetv. szerinti kijelölő és nyilvántartó hatóság,
6. f)a Vbö. szerinti kijelölő és nyilvántartó hatóság,
7. g)az (EU) 2022/2554 európai parlamenti és tanácsi rendelet szerinti hatóság,
8. h)a honvédelmi kiberbiztonsági hatóság,
9. i)a Magyar Honvédség kibertér műveleti erői,
10. j)a honvédelmi kiberbiztonsági incidenskezelő központ és
11. k)a nemzeti kiberbiztonsági hatóság részére végezhető.

(6)A nemzeti kiberbiztonsági hatóság a kritikus szervezet és az ország védelme és biztonsága szempontjából jelentős szervezet által megküldött információbiztonsági szabályzatot továbbítja a Kszetv. és a Vbö. szerinti nyilvántartó hatóságnak.

(7)A nemzeti kiberbiztonsági hatóság a honlapján közzéteszi az elektronikus információs rendszer biztonságáért felelős személy feladatainak ellátására alkalmas természetes személyek listáját. 29. §

(1)* Az SZTFH – az e törvényben meghatározott feladatainak végrehajtása céljából – az SZTFH elnökének rendeletében foglaltak szerint nyilvántartja és kezeli a) az 1. §

(1)bekezdés b),

1. d)és
2. e)pontja szerinti szervezet vonatkozásában:
3. aa)a szervezet azonosításához szükséges adatokat,
4. ab)a szervezet székhelyét, telephelyét, fióktelepét,
5. ac)ha a szervezet nem az Európai Unióban letelepedett szervezet, de Magyarországon belül kínál szolgáltatásokat és magyarországi letelepedett képviselőt jelöl ki, a képviselő nevét vagy cégnevét, levelezési címét, telefonszámát és elektronikus levelezési címét,
6. ad)a szervezet nyilvántartásba vételének és az abból történő törlésének időpontját,
7. ae)az elektronikus információs rendszer biztonságáért felelős személy természetes személyazonosító adatait, telefonszámát és elektronikus levelezési címét,
8. af)azon európai uniós tagállamok listáját, amelyben a szervezet szolgáltatásokat nyújt,
9. ag)az SZTFH elnökének rendeletében előírt további, személyes adatnak nem minősülő adatokat;
10. b)a sérülékenységvizsgálat végzésére jogosult szervezet
11. ba)azonosításához szükséges adatokat,
12. bb)elérhetőségeit, ideértve az elektronikus elérhetőségeket és
13. bc)nyilvántartásba vételének időpontját, valamint – nyilvántartásba vételekor kapott – azonosító számát;
14. c)a sérülékenységvizsgálat végzésére jogosult természetes személy
15. ca)azonosításához szükséges természetes személyazonosító adatait,
16. cb)elérhetőségeit, ideértve az elektronikus elérhetőségeket,
17. cc)szakértelmére vonatkozó adatokat és
18. cd)nyilvántartásba vételének időpontját, valamint – nyilvántartásba vételekor kapott – azonosító számát;
19. d)a kiberbiztonsági incidensek kezelésére jogosult gazdálkodó szervezetek 70. §

(5)bekezdése szerinti adatait.

(1a)* Az

(1)bekezdés a) pontja szerinti nyilvántartás az

(1)bekezdés

1. a)pont
2. ad)alpontjában, az

(1)bekezdés b) pontja szerinti nyilvántartás az

(1)bekezdés

1. b)pont
2. bc)alpontjában, az

(1)bekezdés c) pontja szerinti nyilvántartás az

(1)bekezdés

1. c)pont
2. cd)alpontjában meghatározott adatok tekintetében közhiteles hatósági nyilvántartás.

(2)Az SZTFH összeállítja az 1. §

(1)bekezdés

1. d)és
2. e)pontja hatálya alá tartozó alapvető és fontos szervezetek, valamint a doménnév-nyilvántartási szolgáltatásokat nyújtó szervezetek jegyzékét, és azt kétévente felülvizsgálja. A jegyzék összeállítását és felülvizsgálatát követően az SZTFH tájékoztatja a nemzeti kiberbiztonsági hatóságot a kormányrendeletben meghatározott adatokról.

(3)* Az

(1)bekezdés szerinti nyilvántartásból – ha jogszabály eltérően nem rendelkezik – adattovábbítás kizárólag a kiberbiztonsági hatóságok, a kiberbiztonsági incidenskezelő központok, valamint a 24. §

(9)bekezdése szerinti szervezetek részére végezhető.

(4)Az SZTFH közvetlen hozzáférést biztosít a nemzeti kiberbiztonsági hatóság, valamint a nemzeti kiberbiztonsági incidenskezelő központ részére a szervezetnek az SZTFH által kezelt nyilvántartási adataihoz.

(5)* Ha az

(1)bekezdés a) pontja szerinti nyilvántartásban szereplő szervezet bejelenti, hogy már nem minősül az 1. §

(1)bekezdés b),

1. d)vagy
2. e)pontja szerinti szervezetnek, akkor az

(1)bekezdés a) pontja szerinti adatokat az SZTFH a bejelentést követő 5 év elteltével köteles a nyilvántartásból törölni. 21. Jogkövetkezmények 30. §

(1)Ha a szervezet a jogszabályokban foglalt biztonsági követelményeket és az ehhez kapcsolódó eljárási szabályokat nem teljesíti vagy nem tartja be, a biztonsági hiányosságokat nem hárítja el, a megfeleléshez szükséges intézkedések meghozatalát elmulasztja, vagy a tevékenységet nem hagyja abba, a kiberbiztonsági hatóság

1. a)figyelmezteti a jogszabályokban foglalt biztonsági követelmények és az azokhoz kapcsolódó eljárási szabályok betartására, valamint megfelelő határidő tűzésével felszólítja a követelmények, az ellenőrzés vagy az audit során feltárt vagy tudomására jutott biztonsági hiányosságok elhárítására vagy a megfeleléshez szükséges intézkedések meghozatalára, a jelentéstételi, az adatszolgáltatási kötelezettségek teljesítésére,
2. b)kötelezheti a jogsértő magatartás megszüntetésére, valamint arra, hogy tartózkodjon a jogsértő magatartás ismételt elkövetésétől,
3. c)– ha a szervezet azzal rendelkezik – a szervezetet felügyelő szervhez vagy a nemzeti vagyonról szóló törvény szerinti tulajdonosi joggyakorlóhoz fordulhat és kérheti a közreműködését, valamint
4. d)jogosult kormányrendeletben vagy – az 1. §

(1)bekezdés

1. d)és
2. e)pontja szerinti szervezetek esetében – az SZTFH elnöke által kiadott rendeletben meghatározottak szerint a szervezet költségére információbiztonsági felügyelőt kirendelni.

(2)Ha az

(1)bekezdés szerinti intézkedések alkalmazása ellenére az érintett szervezet a jogszabályokban foglalt biztonsági követelményeket vagy az ehhez kapcsolódó eljárási szabályokat nem teljesíti vagy nem tartja be, a biztonsági hiányosságokat nem hárítja el, a megfeleléshez szükséges intézkedések meghozatalát elmulasztja, vagy a tevékenységet nem hagyja abba, a kiberbiztonsági hatóság az eset összes körülményének mérlegelésével kormányrendeletben meghatározott mértékű bírságot szabhat ki.

(3)Ha a szervezet vezetője a jogszabályban előírt kötelezettségének nem tesz eleget, a nemzeti kiberbiztonsági hatóság az eset összes körülményének mérlegelésével kormányrendeletben meghatározott mértékű bírsággal sújthatja, ismételt jogsértés esetén sújtani köteles.

(4)A kiberbiztonsági hatóság által kiszabható bírság mértékét, megállapításának szempontrendszerét, valamint a bírság megfizetése módjának részletes eljárási szabályait kormányrendelet határozza meg.

(5)A kiberbiztonsági hatóság

1. a)kötelezheti a szervezetet arra, hogy a jogszabálysértés tényét és körülményeit a kiberbiztonsági hatóság által meghatározott módon, az adatvédelmi és az üzleti titokra vonatkozó szabályokat figyelembe véve hozza nyilvánosságra,
2. b)elrendelheti a szervezet által nyújtott szolgáltatásokat igénybe vevők tájékoztatását az azokat potenciális érintő fenyegetésről, valamint az ilyen fenyegetés elhárításához szükséges vagy lehetséges megelőző, védelmi vagy helyreállítási intézkedésekről, azok várható hatásairól,
3. c)* kiberbiztonsági incidens bekövetkezése esetén honlapján tájékoztathatja a nyilvánosságot, illetve a szervezeteket határozatban kötelezheti tájékoztatásra, ha az egy adott kiberbiztonsági incidens megelőzéséhez vagy egy már folyamatban lévő kiberbiztonsági incidens kezeléséhez szükséges és
4. d)kötelezheti a szervezetet arra, hogy válságkezelési vagy veszélyhelyzet-kezelési intézkedés megtételének szükségessége esetén a kiberbiztonsági hatóságot tájékoztassa.

(6)Ha a nem közigazgatási szervnek minősülő alapvető szervezet a kiberbiztonsági hatóság által szabott határidőn belül nem tesz eleget a hatósági kötelezésnek, a kiberbiztonsági hatóság

1. a)kezdeményezheti az illetékes hatóságnál az alapvető szervezet által nyújtott, a jogsértéssel érintett alapvető szolgáltatások vagy tevékenységek egészére vagy egy részére vonatkozó tanúsítás vagy engedély ideiglenes felfüggesztését és
2. b)kezdeményezheti a cégbíróságnál az alapvető szervezet vezetőjének az adott szervezetben betöltött vezető tisztségviselői feladatainak ellátásától való ideiglenes eltiltását.

(7)Az

(1),

(2), valamint a

(5)és

(6)bekezdésben foglalt jogkövetkezmények együttesen és ismételten is alkalmazhatóak.

(8)Ha a szervezet megteszi a szükséges intézkedéseket a hiányosságok orvoslása érdekében, illetve a hatósági kötelezést teljesíti, a kiberbiztonsági hatóság intézkedik a

(6)bekezdés szerinti ideiglenes intézkedések megszüntetése iránt.

(9)A kiberbiztonsági hatóság a jogkövetkezmények alkalmazása során az arányosság és a fokozatosság szempontjait figyelembe véve jár el, szem előtt tartva a jogkövetkezmény hatékonyságát és visszatartó erejét.

(10)* Ha a hatósági kötelezést az 1. §

(1)bekezdés a)–

1. c)és
2. f)pontja szerinti szervezet figyelmen kívül hagyja, vagy a nemzeti kiberbiztonsági hatóság által javasolt védelmi intézkedéseket önhibájából nem teljesíti és ezzel kiberbiztonsági incidens vagy kiberbiztonsági incidensközeli helyzet áll elő, a nemzeti kiberbiztonsági hatóság a szervezetet a kiberbiztonsági incidens vagy kiberbiztonsági incidensközeli helyzet bekövetkezésének elhárítására fordított költségének megtérítésére kötelezheti.

(11)Ha az 1. §

(1)bekezdés

1. d)és
2. e)pontja szerinti szervezet a jogszabályokban foglalt kiberbiztonsági követelményeket vagy az ehhez kapcsolódó eljárási szabályokat nem teljesíti vagy nem tartja be, az SZTFH az

(1)–

(5)bekezdésben foglaltakon túl

1. a)jogosult a szervezet tevékenységét engedélyező vagy felügyelő hatóság véleményének figyelembevételével eltiltani az érintett szervezetet a biztonsági követelmények teljesülését közvetlenül veszélyeztető tevékenységtől,
2. b)bírság kiszabása esetén tájékoztatja a szervezet tevékenységét engedélyező vagy felügyelő hatóságot a bírság kiszabásáról és a kiszabást megalapozó tényekről. 31. §

(1)A kiberbiztonsági hatóság a 30. §

(1)bekezdés d) pontja szerinti információbiztonsági felügyelőt hat