A határidő már majdnem két éve lejárt. A NIS2 (az EU megújított kiberbiztonsági irányelve) 2024. október 17-ig minden tagállamban átültetendő volt a nemzeti jogba. A tagállamok többsége ezt meg is tette; az a négy pedig, amelyik nem, emiatt most bíróság előtt áll. Ha az Ön szervezete alapvető szolgáltatásokat üzemeltet, vagy jelentős szereplő az irányelv hatálya alá tartozó ágazatok egyikében, a kérdés már nem az, hogy a szabályok vonatkoznak-e Önre, hanem az, hogy be tudja-e mutatni egy hatóságnak, hogy a hozzáférés-kezelése megfelel azoknak. És most először ez a kérdés a felső vezetést terheli, nem csupán az IT-részleget.
A hitelesítés mostantól a törvényben szerepel, nem csak az ajánlásokban
A korábbi jó gyakorlati keretrendszerek javasolták a többfaktoros hitelesítést. A NIS2 tovább megy. Alapszintű kockázatkezelési intézkedései (21. cikk) olyan technikai kontrollok bevezetését írják elő, mint a hozzáférés-kezelési szabályzatok, a kriptográfia és (kifejezetten megnevezve) a többfaktoros hitelesítés vagy folyamatos hitelesítési megoldások alkalmazása, ahol az indokolt.
A gyakorlatban egy gyenge vagy opcionális második faktor már nem védhető álláspont. Ha egy auditor rákérdez, hogyan jelentkezik be egy kiemelt jogosultságú rendszergazda a VPN-be, a Windows-kiszolgálókra vagy a felügyeleti konzolra, akkor a „jelszóval és néha egy SMS-kóddal” válasz megnyitja az első megállapítást.
Mi változott 2026-ban
Idén két dolog változott, és egyik sem enyhíti a hitelesítésre vonatkozó követelményt.
- Négy tagállam bíróság előtt áll. 2026. július 8-án a Bizottság az Európai Unió Bírósága elé idézte Írországot, Spanyolországot, Franciaországot és Hollandiát, mert nem jelentették be a teljes átültetést, miután 2024 novemberében felszólító levelet, 2025 májusában pedig indokolással ellátott véleményt kaptak (a Bizottság sajtóközleménye). Ahol a nemzeti jog késik, ott a kötelezettségek később lépnek életbe, de nem maradnak el.
- Módosítási javaslat született. 2026. január 20-án a Bizottság javasolta a NIS2 módosítását, hogy egyszerűsítse az irányelvet, és összehangolja a kiberbiztonsági jogszabállyal (COM(2026) 13). A javaslat egyszerűsíti a joghatósági szabályokat, szűkít néhány ágazati fogalommeghatározást, részletesebben szabályozza a zsarolóvírus-incidensek bejelentését, és új kategóriát hoz létre a „kis méretű, közepes piaci tőkeértékű” (small mid-cap) vállalkozások számára: ezek a 750-nél kevesebb munkavállalót foglalkoztató és 150 millió eurónál kisebb árbevételű szervezetek, amelyek fontos szervezetnek minősülnek, és csak utólagos felügyelet alá tartoznak. Ez egyelőre csak javaslat, még nem fogadták el. A 21. cikk szerinti biztonsági intézkedések, köztük a többfaktoros hitelesítés, nincsenek azok között, amelyeken a javaslat változtatni kíván.
A hitelesítés szempontjából tehát a gyakorlati üzenet változatlan: ha az Ön szervezete a hatály alá tartozik, a lényeges hozzáférési utakon az MFA már ma jogi kötelezettség, és a módosítási javaslat nem kíván ezen változtatni.
Kikre vonatkozik
A NIS2 alapvető és fontos szervezetekre osztja a vállalkozásokat az ágazatok széles körében: energia, közlekedés, banki és pénzügyi piaci infrastruktúra, egészségügy, ivóvíz- és szennyvízkezelés, digitális infrastruktúra, közigazgatás és még sok más, egy második szinttel, amely bevonja a postai szolgáltatásokat, a hulladékgazdálkodást, a gyártást, az élelmiszeripart, a vegyipart és a digitális szolgáltatókat. Sok szervezet, amely az eredeti NIS-irányelven kívül esett, most szilárdan az utódjának hatálya alá tartozik.
Ökölszabályként egy ezekben az ágazatokban működő szervezet akkor tartozik a hatály alá, ha eléri a középvállalkozási méretet: legalább 50 munkavállalót foglalkoztat, vagy éves árbevétele meghaladja a 10 millió eurót. Bizonyos szervezettípusok méretüktől függetlenül a hatály alá tartoznak. A pontos határokat az egyes országok nemzeti joga húzza meg.
Két változás emeli ezt a megfelelési pipát meghaladó szintre:
- Vezetői felelősség. A vezetőségnek jóvá kell hagynia és felügyelnie kell a kiberbiztonsági kockázatkezelési intézkedéseket, és a mulasztásokért személyes felelősség terhelheti.
- Valós szankciók. A kockázatkezelési vagy bejelentési kötelezettségek megsértése esetén a nemzeti jognak alapvető szervezeteknél legalább 10 millió euróban vagy a globális éves árbevétel 2%-ában kell meghatároznia a bírság felső határát, attól függően, melyik a magasabb. Fontos szervezeteknél ezek az értékek 7 millió euró, illetve 1,4%. Az országok ennél magasabb felső határt is megállapíthatnak.
Hogyan néz ki valójában a „NIS2-szintű” hitelesítés
Ha van valamilyen MFA, az még nem azonos az irányelv szándékának teljesítésével. Három dolog választja el az auditort kielégítő kontrollt attól, amely csak egy dián mutat jól:
- Ellenállás az adathalászattal és a továbbítással szemben. Az SMS-kódok lehallgathatók vagy SIM-cserével eltéríthetők, és mind ezeket, mind az egyérintéses push-jóváhagyást egy közbeékelődő (adversary-in-the-middle) oldal valós időben továbbíthatja. A felhasználó eszközének hardveréhez kötött kulcs (amelyet nem lehet másolni vagy visszajátszani) kiküszöböli a lehallgatást és a SIM-cserét. A továbbítás nehezebb eset: azt teljes egészében csak a webhelyhez kötött módszerek, például a FIDO biztonsági kulcsok állítják meg, a figyelmes felhasználó számára azonban láthatóvá teszi az a jóváhagyás, amely megmutatja, honnan érkezett a kérés. A push-fáradtság ettől külön probléma, és egyetlen kulcs vagy biometria sem állítja meg, amint az értesítés eléri a telefont: kizárólag az győzi le, amit az értesítés megjelenít, annak pontos, olvasható leírása, hogy pontosan mit hagynak jóvá, így soha semmit nem hagynak jóvá vakon.
- A kiemelt jogosultságú és távoli hozzáférés lefedése. A követelmény nem az, hogy „MFA a webmailen”. Hanem minden út, amelyet egy támadó ténylegesen használna: VPN, távoli asztal, kiszolgálói bejelentkezések, felügyeleti konzolok.
- Bizonyíték. A NIS2 legalább annyira szól a kontroll bizonyításáról, mint a meglétéről. Minden egyes hitelesítésnek auditálható, manipulációt kimutató nyomot kell hagynia arról, hogy ki mit és mikor hagyott jóvá.
Hol illeszkedik a Notakey
A Notakey pontosan az ilyen profilú szervezetekre készült: szabályozott, biztonságtudatos és auditoroknak elszámoltatható.
- A felhasználó kulcsa a telefon biztonságos hardverében jön létre, és soha nem hagyja el azt. Nincs ellopható megosztott titok, és nincs elfogható kód.
- Minden bejelentkezés és minden tranzakció kriptográfiailag aláírt, időbélyeggel ellátott esemény: pontosan az az auditnyom, amelyet egy NIS2-értékelés elvár, automatikusan előállítva ahelyett, hogy utólag kellene rekonstruálni.
- Lefedi a lényeges hozzáférési utakat, azokon a protokollokon keresztül, amelyeket a rendszerei már beszélnek. Nézze meg a gyakorlati útmutatókat: kétfaktoros hitelesítés VPN-en RADIUS-szal, Windows távoli asztal és Linux SSH.
- A saját infrastruktúrájában vagy a felhőben fut, így a hitelesítési adatok az Ön felügyelete alatt maradhatnak, a PSD2, az eIDAS és a GDPR szerinti illeszkedéssel eleve beépítve, nem utólag ráaggatva.
Szándékosan nem fogjuk azt állítani, hogy a Notakey „NIS2-megfelelővé teszi Önt”. Ezt önmagában egyetlen termék sem teszi meg. Amit tesz, az a rés hitelesítés-alakú részének lezárása, és a kezébe adja a bizonyítékot, amellyel ezt igazolhatja.
Kezdje pilottal, ne szabályzati dokumentummal
A leggyorsabb módja annak, hogy kiderítse, megfelel-e a hitelesítése a NIS2-nek, ha a saját környezetében teszteli: egy valódi VPN-en, egy valódi rendszergazdai bejelentkezésen, néhány valós felhasználóval. Ez egy hét alatt többet elárul a réséről és a bizonyítékairól, mint egy funkciótáblázat egy negyedév alatt.
Próbálja ki az élő demót, és írjon alá egy tranzakciót a saját telefonjáról körülbelül két perc alatt, vagy kérjen bemutatót, és feltérképezzük a VPN-, SSO- vagy Windows-hozzáférését egy működő pilottá.
Ez a cikk általános tájékoztatás, nem jogi tanácsadás. A NIS2-t minden EU-tagállam külön ülteti át a nemzeti jogába; erősítse meg a szervezetére vonatkozó konkrét kötelezettségeket, küszöbértékeket és határidőket szakképzett jogi tanácsadóval.