A kiberbiztonsági törvény hatálya alá tartozó szervezeteknek számos új szabálynak kell megfelelniük: biztonsági osztályokba kell sorolniuk az IT rendszereiket, és gondoskodniuk kell azok észszerű, kockázatokkal arányos szintű védelméről; az érintett szervezeteknek 2023 végéig maradt idejük felkészülni, hogy megfeleljenek az új szabályoknak a Baker McKenzie szerint.
A kiberbiztonság a technológiai fejlődés és a cégek digitális átállása miatt kiemelten fontos terület. A kiberbiztonsági tanúsításról és a kiberbiztonsági felügyeletről szóló törvény célja az IT rendszerekhez kapcsolódó veszélyeknek különösen kitett szervezetek biztonságának megerősítése.
A törvény csak bizonyos iparágakba tartozó illetve bizonyos tevékenységeket folytató szervezetekre vonatkozik, így a gépjármű-gyártókra, elektronikai termékek gyártóira, számos energetikai és gyógyszeripari cégre, valamint felhőszolgáltatókra és adatközpont-szolgáltatást nyújtókra. A jogszabály néhány kivételtől eltekintve nem alkalmazandó a mikro- és kisvállalkozásokra, de ha a vállalkozás például elektronikus hírközlési szolgáltatónak vagy bizalmi szolgáltatónak minősül, akkor rá is vonatkozik.
Az új szabályok szerint az IT rendszerek létrehozásához, üzemeltetéséhez, karbantartásához és javításához a cégek kizárólag olyan közreműködőket - például külső IT szolgáltatókat - vehetnek igénybe, akik szintén megfelelnek a törvényben foglalt követelményeknek. Az érintett szervezetek kötelesek kinevezni egy információbiztonságért felelős személyt.
Az érintett szervezeteknek információbiztonsági szabályzatot kell alkotniuk és meg kell tenniük a szükséges műszaki intézkedéseket. Gyakori jelenség, hogy az IT rendszerekkel kapcsolatos veszélyekről a munkavállalók csak keveset vagy egyáltalán nem tudnak, ezért a törvény kitér az IT rendszerek felhasználóinak oktatására is: az érintett szervezetek kötelesek rendszeres információbiztonsági képzéseket szervezni a dolgozóik számára.
Az új kiberbiztonsági törvénnyel adminisztratív feladatok is járnak: a hatálya alá eső cégeknek regisztrálniuk kell magukat a Szabályozott Tevékenységek Felügyeleti Hatóságának (SZTFH) nyilvántartásába - a nyilvántartásba vételi kérelmet érdemes mielőbb előkészíteni. Ezen felül, az említett cégeknek kétévente független auditor bevonásával kiberbiztonsági auditot kell végeztetniük, aminek az eredményét a vizsgálatot végző szakértő elküldi az SZTFH-nak.
Az SZTFH akár 50 millió forint bírságot is kiszabhat, amely további szabálytalanság esetén megismételhető, és több szabálytalanság esetén összeadandó. Amennyiben a meg nem felelés a személyes adatok biztonságát is érinti, a jogsértéssel összefüggésben az illetékes adatvédelmi felügyeleti hatóság - amely Magyarországon a Nemzeti Adatvédelmi és Információszabadság Hatóság - szintén kiszabhat bírságot, amelynek mértéke akár 20 000 000 euró vagy a vállalkozás előző éves világpiaci forgalmának 4 százaléka is lehet (amelyik magasabb).
