NIS2
Angol megfelelő: NIS2 Directive (Network and Information Security Directive 2), magyarul NIS2-irányelv
A NIS2 az Európai Unió kiberbiztonsági irányelve, amely a fontos ágazatokban működő közepes és nagy szervezeteknek kötelező biztonsági intézkedéseket, incidens-bejelentést, valamint vezetői felelősséget ír elő. Magyarországon a 2024. évi LXIX. törvény ülteti át, 2025. január 1. óta.
Az irányelv hivatalos száma (EU) 2022/2555, a korábbi, 2016-os NIS-irányelvet váltotta. Irányelv, nem rendelet, tehát nem közvetlenül alkalmazandó: minden tagállam saját törvényben ülteti át, a tagállamoknak 2024. október 17-ig kellett elfogadniuk az átültető szabályokat, alkalmazásuk 2024. október 18-án indult.
A hatály két feltételen múlik. Az első az ágazat: az irányelv két mellékletben sorolja fel a kiemelt, illetve az egyéb kritikus ágazatokat, az energiától a digitális infrastruktúrán át az élelmiszer-előállításig. A második a méret: alapesetben a közepes vállalkozás mérettől felfelé tartozik ide, a magyar törvény szerint az a szervezet tartozik ide, amely középvállalkozás, vagy legalább ötven főt foglalkoztat, vagy az éves nettó árbevétele, valamint a mérlegfőösszege egyaránt meghaladja a tízmillió eurónak megfelelő forintösszeget; egyes szolgáltatókra mérettől függetlenül vonatkozik.
Magyarországon a vállalkozások felügyeletét a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) látja el. A kötelezettségek négy csoportba férnek. Kockázatkezelés: arányos műszaki, szervezési intézkedések a hálózati, információs rendszerek védelmére, a mentéstől a hozzáférés-kezelésig.
Incidens-bejelentés: jelentős incidensnél korai figyelmeztetés legkésőbb 24 órán belül, incidensbejelentés legkésőbb 72 órán belül, zárójelentés az incidensbejelentést követő egy hónapon belül. Vezetői felelősség: a vezető testület hagyja jóvá a biztonsági intézkedéseket, felügyeli a végrehajtásukat, felelősségre vonható a mulasztásért, továbbá képzésen kell részt vennie. Ellátási lánc: a szervezetnek a közvetlen beszállítói biztonságát is kezelnie kell, beleértve azok biztonságos fejlesztési gyakorlatát.
Az irányelv a bírság felső határát is kijelöli: a kiemelt szervezeteknél legalább tízmillió euró vagy a teljes világszintű éves forgalom két százaléka, a fontos szervezeteknél legalább hétmillió euró vagy 1,4 százalék, amelyik magasabb; a magyar bírság mértékét kormányrendelet határozza meg. A magyar törvény kiberbiztonsági auditot is előír: az első auditot a nyilvántartásba vételt követő két éven belül kell elvégeztetni, utána kétévente.
Az AI itt kétféleképpen jelenik meg. Az egyik: a NIS2 hatálya alá tartozó cég által használt AI-eszköz a védendő rendszer része, tehát ugyanúgy be kell kerülnie a kockázatkezelésbe, mint bármely más szoftvernek; a munkatársak által engedély nélkül használt AI-szolgáltatás ezért nem csak adatvédelmi, hanem kiberbiztonsági kérdés is.
A másik: aki AI-szolgáltatást vagy AI-eszközt ad el NIS2-kötelezett ügyfélnek, az közvetlen beszállítóvá válik, tehát az ügyfele a beszállítói biztonságát fogja kérdezni: hol fut a modell, ki fér hozzá az adatokhoz, hogyan kezeli a sérülékenységeket, mi történik incidensnél.
Ez a szócikk fogalmat magyaráz, nem jogi tanács: hogy egy adott cég a hatály alá tartozik-e, azt a hatályos törvény szövege, illetve a felügyelő hatóság dönti el.
Példa: Egy hetvenfős magyar élelmiszer-feldolgozó cég a NIS2 hatálya alá kerül, ezért nyilvántartásba veteti magát, auditorral szerződik. Közben a gyártásirányítás egy részét egy kis magyar szoftvercég AI-alapú előrejelző rendszere végzi, amely a cég termelési adataiból tanul. Az audit előtt a feldolgozó beszállítói kérdőívet küld a szoftvercégnek: hol tárolják az adatokat, ki fér hozzá, van-e sérülékenység-kezelési eljárás, mennyi idő alatt jeleznek egy incidenst. A szoftvercég maga nem tartozik a hatály alá, mert tizenkét fős, a megrendelője viszont igen, tehát a kérdésekre írásban, bizonyítékkal kell válaszolnia, különben a megrendelő nem tudja igazolni a saját ellátási láncát. A mérce mindkét oldalon ugyanaz: legyen egy lista a használt AI-szolgáltatásokról, mindegyik mellett a felelős személlyel, a tárolás helyével, illetve azzal, kit kell értesíteni, ha baj van.
Forrás: Az Európai Parlament és a Tanács (EU) 2022/2555 irányelve (2022. december 14.) az Unió egész területén egységesen magas szintű kiberbiztonságot biztosító intézkedésekről (NIS 2 irányelv), Hivatalos Lap L 333, 2022. december 27. A hatály a 2. cikk, a vezetői felelősség a 20. cikk, a kockázatkezelés, benne az ellátási lánc biztonsága, a 21. cikk, az incidens-bejelentés határideje a 23. cikk, a bírság felső határa a 34. cikk, az átültetési határidő a 41. cikk. Magyar átültetés: 2024. évi LXIX. törvény Magyarország kiberbiztonságáról, hatályba lépett 2025. január 1-jén; a hatály az 1. §, a kiberbiztonsági audit a 16. §, a felügyelő hatóság a 23. §, a jogkövetkezmények, benne a bírság kormányrendeleti szabályozása, a 30. §; a szöveg a njt.hu 2026. július 29-i hatályállapota szerint. Az AI-ra vonatkozó két következtetés, valamint a példa a szótár saját értelmezése, nem jogi állásfoglalás.
Rokon fogalmak: GDPR, EU AI Act, shadow AI, MI-kormányzás, AI-ügynök, halálos hármas, jogosultsági mátrix