Röviden: A NIS2 uniós irányelv a korábbinál lényegesen több vállalkozást kötelez kockázatkezelési intézkedésekre és a jelentős biztonsági incidensek bejelentésére. Németországban a NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG, német törvény) ülteti át; az illetékes hatóság a BSI (a német Szövetségi Információbiztonsági Hivatal). A webszerverekre ez elsősorban azt jelenti: a frissítéseket, a sebezhetőségkezelést és az incidensek kezelését szervezetten és igazolhatóan kell végezni. Ez az oldal általános tájékoztatás, nem jogi tanácsadás.
Nem jogi tanácsadás: hogy a vállalkozására vonatkozik-e a NIS2, és milyen kötelezettségek érvényesek egyenként, azt a BSI tájékoztatása alapján és jogi tanácsadással tisztázza. Tudatosan nem nevezünk meg olyan küszöbértékeket vagy határidőket, amelyek az Ön besorolásától függnek.
Mi a NIS2
A NIS2 a hálózati és információbiztonságról szóló második uniós irányelv. A korábbi szabályozáshoz képest lényegesen kibővíti a kötelezett vállalkozások körét, és megkülönbözteti a kiemelten fontos és a fontos szervezeteket. Hogy mely ágazatokat és méretkategóriákat érint, azt a jogszabály határozza meg.
Németországban a NIS2UmsuCG ülteti át az irányelvet, és ennek keretében többek között újraszabályozza a BSI-törvényt. A BSI a kapcsolattartó a regisztrációhoz, a bejelentésekhez és a felügyelethez, és a weboldalán tájékoztatást és segédeszközöket nyújt a besoroláshoz. A határidőkre és az eljárásokra vonatkozó megbízható, aktuális adatokat ott talál, nem általános összefoglalókban.
A NIS2-kötelezettségek vállalkozásoknak: áttekintés
Az érintett vállalkozásoknál a kötelezettségeket nagyjából három területre lehet bontani:
Kockázatkezelés. A vállalkozásoknak megfelelő és arányos műszaki és szervezési intézkedéseket kell hozniuk. Ide tartoznak jellemzően a kockázatelemzési és információbiztonsági koncepciók, a biztonsági incidensek kezelése, az üzemmenet fenntartása mentésekkel és válságkezeléssel, az ellátási lánc biztonsága, a beszerzés, a fejlesztés és a karbantartás biztonsága a sebezhetőségek kezelésével együtt, a hozzáférés-szabályozás és a kriptográfia.
Bejelentések. A jelentős biztonsági incidenseket be kell jelenteni a BSI-nek. Az irányelv erre fokozatos eljárást ír elő, a korai első bejelentéstől a záró jelentésig. A Németországra érvényes pontos határidőket és bejelentési utakat a BSI tájékoztatásából ismerheti meg.
A vezetés felelőssége. Az ügyvezetésnek jóvá kell hagynia az intézkedéseket, felügyelnie kell a megvalósításukat, és képeztetnie kell magát a kiberbiztonsági kérdésekben. Erről többet itt talál: Az ügyvezetés felelőssége.
Mit jelent ez a webszerverekre
A webszerverek gyakran egy vállalkozás legszélesebben nyitott rendszerei. A PHP2Shell megmutatja, milyen gyorsan érintheti egy alapkomponens rése az összes rajta futó alkalmazást. A CVE-2026-109618 és a CVE-2026-109619 rés bejelentkezés nélküli kódfuttatást tesz lehetővé; a BSI a 3-as figyelmeztetési szintet (narancs) hirdette ki, és azonnali frissítést javasolt.
Egy NIS2-kötelezett vállalkozás számára ebből gyakorlati kérdések adódnak: tudjuk-e, mely szerverek használnak PHP-t, és milyen verzióban? Ki követi a biztonsági közleményeket, és ki dönt a sürgősségi frissítésekről? Fel tudunk-e ismerni egy támadást, és ki értékeli, hogy egy incidens jelentős-e, és ezáltal bejelentésköteles-e? Szabályozva van-e, mit vállal át a tárhelyszolgáltató és a szolgáltató?
A javítás nem távolítja el a korábban bejuttatott kártevőt, és nem bizonyítja, hogy nem történt semmi. Ez is az incidensértékeléshez tartozik.
Konkrét intézkedések a webes infrastruktúrához
A következő pontok nem kimerítő lista, de a leggyakoribb hiányosságokat lefedik:
| Intézkedés | Vonatkozás |
|---|---|
| Az összes webszerver, PHP-verzió és alkalmazás leltára | Kockázatelemzés |
| Rögzített eljárás a biztonsági frissítésekhez, újraindítással és igazolással | Sebezhetőségkezelés |
| Felügyelet és naplómegőrzés | Incidenskezelés |
| Tesztelt mentések és újraindulási terv | Üzletmenet-folytonosság |
| Feladatmegosztás a tárhelyszolgáltatóval és az ügynökségekkel írásban | Ellátási lánc |
| Többfaktoros bejelentkezés az adminisztrátori hozzáférésekhez | Hozzáférés-szabályozás |
| Előkészített bejelentési utak és illetékességek | Bejelentési kötelezettségek |
Módszertani keretként a BSI IT-Grundschutz (német IT-alapvédelem) ajánlható. A webszerverek IT-vészhelyzeti terve összekapcsolja a technikát, az illetékességeket és a bejelentési utakat.
A NIS2 és az adatvédelem együtt gondolása
Egy webszerver elleni támadás egyszerre lehet NIS2-incidens és adatvédelmi incidens. Ilyenkor két eljárás fut egymás mellett, eltérő hatóságokkal és követelményekkel. Az adatvédelmi felügyeleti hatóság felé a GDPR 33. cikke szerinti bejelentést a GDPR-bejelentési kötelezettség: 72 óra írja le. Tervezze meg előre mindkét utat, hogy éles helyzetben senkinek ne kelljen rögtönöznie.
Egy további pont a szolgáltatókat érinti. Sok vállalkozás ügynökségekkel gondoztatja a weboldalait, és tárhelyszolgáltatókkal üzemelteti a szervereit. Az ellátási lánc kockázatainak figyelembevételére vonatkozó kötelezettség a gyakorlatban azt jelenti: szerződésben szabályozni, ki telepíti a biztonsági frissítéseket, milyen gyorsan kezelik a kritikus réseket, hogyan tájékoztatják Önt az incidensekről, és milyen igazolásokat kap. A PHP2Shell körüli helyzet jó próbakő arra, hogy ezek a szabályozások már megvannak-e, és éles helyzetben működtek-e. Ha egy válasz hiányzik, az a kockázatkezelés egyik pontja.
Hogyan segít konkrétan a PHP SOS?
- Felmérjük a webes infrastruktúráját, és olyan formában értékeljük a kockázatokat és a hiányosságokat, amelyet a kockázatkezeléséhez felhasználhat.
- Igazolható eljárást állítunk be a biztonsági frissítésekhez, és kérésre átvesszük biztonsági karbantartási szerződéssel.
- A biztonsági monitoringgal és a naplómegőrzéssel megteremtjük az alapot az incidensek felismeréséhez és értékeléséhez.
- Incidens esetén szolgáltatjuk a műszaki tényeket a BSI-nek szóló bejelentéséhez; a jogi besorolás Önnél és a jogi tanácsadójánál marad.
Gyakori kérdések
Érinti a vállalkozásomat a NIS2?
Ez többek között az ágazattól és a vállalkozás méretétől függ. A pontos kritériumok a német átültető törvényből adódnak. A BSI (a német Szövetségi Információbiztonsági Hivatal) a weboldalán tájékoztatást nyújt az érintettségről; kétség esetén tisztázza a kérdést jogi tanácsadással.
Mit jelent a NIS2 egy vállalati weboldalra nézve?
A webszerverek, az ügyfélportálok és a webshopok azok közé a rendszerek közé tartoznak, amelyek kockázatait az érintett vállalkozásnak kezelnie kell. Ide tartoznak a frissítések, a sebezhetőségkezelés, a hozzáférés-szabályozás, valamint az incidensek felismerésének és bejelentésének képessége.
Milyen bejelentési határidők érvényesek a NIS2 szerint?
Az irányelv a jelentős biztonsági incidensekre fokozatos bejelentési eljárást ír elő. A Németországra érvényes kötelező határidőket, utakat és űrlapokat a BSI tájékoztatásából és a jogszabály szövegéből ismerheti meg. Itt tudatosan nem nevezünk meg az Ön helyzetére való vonatkozás nélkül határidőket.
Érvényes a NIS2 a beszállítókra is?
A NIS2 előírja az érintett szervezeteknek, hogy az ellátási láncuk biztonságát is figyelembe vegyék. Ezért sok ügyfél kérdez rá a szolgáltatóinál és beszállítóinál a biztonsági intézkedésekre, akkor is, ha ezek maguk közvetlenül nem tartoznak a törvény hatálya alá.