A NIS2 maga csupán annyit mond, hogy a szervezetnek „többfaktoros hitelesítést vagy folyamatos hitelesítési megoldásokat” kell alkalmaznia, „ahol az indokolt” (21. cikk (2) bekezdés j) pont, 2022/2555 irányelv). A három balti állam ebből az egyetlen sorból három, egymástól meglehetősen eltérő szabályrendszert alkotott. Ha Ön több balti államban is üzemeltet rendszereket, vagy azt próbálja kideríteni, mely fiókjairól fog kérdezni a hatóság, a különbségek lényegesek. Ez a bejegyzés idézi a vonatkozó rendelkezéseket, és megmutatja, hol hagy mindegyik mozgásteret.
Először az EU-szintű kivétel: a digitális infrastruktúra szolgáltatói – például a DNS- és felhőszolgáltatók, az adatközpontok, az irányított szolgáltatók és az online piacterek – a nemzeti szabályok helyett a Bizottság végrehajtási rendeletét követik. Annak mellékletében a 11.7. pont MFA-t vagy folyamatos hitelesítést ír elő a hálózati és információs rendszerekhez való hozzáféréshez „az eszköz besorolásának megfelelően”, a 11.3.2. pont pedig erős hitelesítést, „például többfaktoros hitelesítést” követel a kiemelt jogosultságú és rendszeradminisztrációs fiókoknál (2024/2690 rendelet, hatályos 2024. november 7-től). Mindenki más az alábbi nemzeti szabályokat követi.
Lettország: a rendelet megnevezi a fiókokat
Lettország szabályai a legkonkrétabbak a három közül. A Minisztertanács 397. számú rendelete, a Minimālās kiberdrošības prasības (Minimális kiberbiztonsági követelmények) 2025. július 2-tól hatályos (likumi.lv), a nemzeti kiberbiztonsági törvény alapján (likumi.lv).
Az 52. pont a következő fiókoknál teszi kötelezővé az MFA-t:
- 52.1 az A osztályú információs rendszerek rendszergazdai és általános felhasználói fiókjai;
- 52.2 a B osztályú információs rendszerek rendszergazdai fiókjai;
- 52.3 a B osztályú rendszerek általános felhasználói fiókjai, ha azokhoz külső hálózatról, távolról férnek hozzá, és ez a hozzáférés nem halad át már eleve egy MFA-val védett, titkosított VPN-en.
Az osztály minden egyes információs rendszer saját jellemzője, nem a szervezeté. A 32–34. pont a rendszer bizalmassági, sértetlenségi és rendelkezésre állási biztonsági osztályaiból vezeti le: egyetlen A minősítés A osztályú rendszert eredményez, ennek hiányában egyetlen B minősítés B osztályút, és ami a kritikus infrastruktúra része, az fogalmilag A osztályú. Egy alapvető szolgáltatónak lehetnek kizárólag B és C osztályú rendszerei, és a rendelet erre is számít: hároméves önértékelési ciklusa minden olyan szervezetre vonatkozik, amelynek nincs A osztályú rendszere.
Az 55.8. pont hálózati szabályt tesz hozzá az IKT kritikus infrastruktúra tulajdonosai és az alapvető szolgáltatók számára: a belső hálózaton kívülről a belső erőforrásokhoz hozzáférni „kizárólag többfaktoros hitelesítéssel ellátott, titkosított VPN-megoldáson keresztül lehetséges”. Az 56. pont a fontos szolgáltatókra csak az 55.1–55.4. pontot terjeszti ki, így az 55.8. pont rájuk nem kötelező.
Az MFA-szabály körül olyan kötelezettségek sorakoznak, amelyeket az auditor ugyanazon a látogatáson ellenőriz: rendszergazdai fiók nem használható napi munkára, általános fiók pedig nem használható adminisztrációra (51.5. és 51.4. pont); az információs erőforrásokhoz való hozzáférést – a sikertelen kísérleteket is beleértve – naplózni kell (58.3. pont), és a rendszer osztályától függően 18, 12 vagy 6 hónapig meg kell őrizni (57. pont). A rendelet 16. melléklete szerinti űrlapon készített önértékelési jelentést a kritikus infrastruktúra tulajdonosainak és mindenkinek, akinek legalább egy A osztályú rendszere van, minden év október 1-jéig kell benyújtaniuk, a többieknek háromévente (141. és 142. pont); a címzett a Nemzeti Kiberbiztonsági Központ (Nacionālais kiberdrošības centrs), kritikus infrastruktúra esetében pedig az Alkotmányvédelmi Hivatal (Satversmes aizsardzības birojs).
Amit a rendelet nem tesz meg: nem nevez meg technológiát. Mindössze „daudzfaktoru autentifikācija” (többfaktoros hitelesítés) áll benne, az SMS, az egyszer használatos kódok, a FIDO vagy az adathalászattal szembeni ellenálló képesség említése nélkül, és jelszószabályokat egyáltalán nem állapít meg. A törvény szerinti bírság alapvető szolgáltatóknál 10 millió euróig, illetve 500 millió eurót meghaladó árbevétel esetén az árbevétel 2%-áig terjed, fontos szolgáltatóknál pedig 7 millió euróig, illetve ugyanezen 500 millió eurós küszöb felett az árbevétel 1,4%-áig.
Litvánia: mindenki, a felhasználók is, 24 hónapos határidővel
Litvánia a NIS2-höz igazodva 2024. október 18-i hatállyal újraírta kiberbiztonsági törvényét (Kibernetinio saugumo įstatymas). A 14. cikk (5) bekezdésének 11. pontja a kötelező elemek között sorolja fel a „többfaktoros vagy folyamatos hitelesítési megoldásokat”, a 2024. november 6-i 945. számú kormányhatározat (hatályos 2024. november 12-től) pedig jóváhagyja a részletes követelményjegyzéket, a Kibernetinio saugumo reikalavimų aprašas (a kiberbiztonsági követelmények leírása) című dokumentumot (e-seimas).
Az MFA-szabály e leírás 7. táblázatának 61. sorában található, és a három ország közül ez a legszélesebb körű: „a felhasználónak és a rendszergazdának jelszóval és egy további hitelesítési eszközzel (többfaktoros hitelesítéssel) kell igazolnia azonosságát”. Az alapvető és a fontos szervezeteknél egyformán be van pipálva, és nem függ attól, hol tartózkodik a felhasználó, vagy hogyan van besorolva a rendszer. Körülötte: adminisztráció csak külön, napi munkára nem használt fiókon keresztül (58. sor); a fiókok felfüggesztése felhasználóknál három, rendszergazdáknál két hónap inaktivitás után; a munkaállomás zárolása 15 percen belül; és a böngészők dedikált jelszókezelőn kívül nem menthetnek jelszót. Harmadik felek „ahol lehetséges” kapnak MFA-t. A szervezeti rész – beleértve az írásos hozzáférés-kezelési eljárást, amely rögzíti, hogyan használják az MFA-t (65.9. pont) – a nemzeti kiberbiztonsági információs rendszerbe való regisztrációt követő 12 hónapon belül esedékes; a 7. táblázat technikai követelményei, az MFA-t is beleértve, a regisztrációt követő 24 hónapon belül (72. pont).
A törvény emellett legalább háromévente kiberbiztonsági auditot ír elő a központ módszertana szerint, és legalább kétévente vezetői képzést. A kötelezettségek csak a szervezet regisztrációjától kezdve állnak fenn (11. cikk (2) bekezdés); a felügyeletet a Nemzeti Kiberbiztonsági Központ (Nacionalinis kibernetinio saugumo centras, NKSC) látja el. A 14. cikk követelményeinek megsértése „veszélyes jogsértésnek” számít, ami a legmagasabb bírságkategória: alapvető szervezeteknél legfeljebb 10 millió euró vagy a világszintű árbevétel 2%-a, attól függően, melyik a magasabb; fontos szervezeteknél 7 millió euró vagy 1,4%, ugyancsak a magasabbik. A költségvetési intézményekre alacsonyabb felső határ vonatkozik. A törvényt 2026 júniusában ismét módosították; ezt a szöveget nem tudtuk elolvasni, ezért ellenőrizze, változtak-e a bírságokról és a regisztrációról szóló cikkek.
Észtország: a törvény hallgat, a szabvány nem
Észtország módosított kiberbiztonsági törvénye (Küberturvalisuse seadus) 2026. január 1-jén lépett hatályba (Riigi Teataja). Az alapvető szervezeteket üliolulised üksused, a fontosakat olulised üksused néven nevezi, a többfaktoros hitelesítést viszont sehol sem említi. Helyette a 7. § kormányrendeletre bízza a biztonsági intézkedéseket, és ez a rendelet választást ad a szolgáltatóknak: vagy bevezetik az észt információbiztonsági szabványt, az E-ITS-t, vagy igazolják, hogy intézkedéseik megfelelnek az ISO/IEC 27001-nek, háromévente megfelelőségi audittal (121. rendelet).
Az MFA ezután két helyen bukkan fel. A rendelet elsődleges intézkedéseket tartalmazó melléklete, amely a törvény hatálya alá tartozó minden szolgáltatóra vonatkozik, azt írja elő, hogy „részesítsék előnyben a többlépcsős hitelesítést” (2.5. pont); ez puha megfogalmazás, amelyet a szolgáltatók egyenértékű intézkedéssel helyettesíthetnek. Az E-ITS alapkatalógusa határozottabb: ahol a rendszer lehetővé teszi, a kizárólag jelszavas hitelesítés helyett MFA-t kell alkalmazni (ORP.4.M8); a kiemelt jogosultságú fiókokat MFA védi a külső támadókkal és a jogosultságkiterjesztéssel szemben (ORP.4.M10); magas védelmi igény esetén biztonságos MFA szükséges, „például személyi igazolvánnyal vagy tokennel” (ORP.4.M21); és MFA kell az érzékeny személyes adatokhoz való hozzáféréshez (CON.2.M18) (E-ITS-katalógus).
A határidők nagyvonalúak. Azoknak a szervezeteknek, amelyek 2026. január 1-jén már a hatály alá tartoztak, három hónapon belül – tehát 2026. március végéig – regisztrálniuk kellett az Állami Információs Rendszer Hivatalánál (Riigi Infosüsteemi Amet, RIA), és három évük van, 2029 elejéig, hogy a teljes megfelelést elérjék. Az új szervezeteknek három hónapjuk van a regisztrációra, és három évük a hatály alá kerüléstől számítva. A bírságok a NIS2-t tükrözik: alapvető szervezeteknél legfeljebb 10 millió euró vagy a világszintű árbevétel 2%-a, fontos szervezeteknél 7 millió euró vagy 1,4%, mindkét esetben a magasabbik. A fontos szervezeteket a RIA csak utólagosan felügyeli.
Egymás mellett
| Lettország | Litvánia | Észtország | |
|---|---|---|---|
| Jogforrás | A Minisztertanács 397. sz. rendelete, hatályos 2025. júl. 2-tól | 2024. okt. 18-i törvény + 945. sz. határozat, hatályos 2024. nov. 12-től | 2026. jan. 1-jén módosított törvény + 121. sz. rendelet + E-ITS |
| Kinek kötelező az MFA | Minden fiók az A osztályú rendszereken; rendszergazdák a B osztályúakon; távoli felhasználók a B osztályúakon MFA-val védett VPN nélkül | Minden felhasználó és rendszergazda, alapvető és fontos szervezetnél egyformán | Melléklet: „előnyben részesítendő” többlépcsős hitelesítés, mindenkinek; E-ITS: MFA, ahol a rendszer lehetővé teszi, és a kiemelt jogosultságú fiókoknál |
| Távoli hozzáférés szabálya | MFA-val védett VPN a kritikus infrastruktúránál és az alapvető szolgáltatóknál (55.8) | Nincs külön szabály | Nincs külön szabály |
| Megnevezett technológia | Nincs | Nincs | Az E-ITS magas védelmi igénynél példaként személyi igazolványt vagy tokent említ |
| Mikortól | Már most | A technikai intézkedésekre a regisztráció után 24 hónap | 3 év a hatály alá kerüléstől (meglévő szervezeteknél 2029) |
| Bizonyíték | Önértékelés okt. 1-jéig, évente vagy 3 évente | Audit legalább 3 évente | E-ITS- vagy ISO 27001-audit 3 évente |
| Felügyelet | Nemzeti Kiberbiztonsági Központ; kritikus infrastruktúránál az Alkotmányvédelmi Hivatal | Nemzeti Kiberbiztonsági Központ (NKSC) | Állami Információs Rendszer Hivatala (RIA) |
Mit jelent ez a ténylegesen meglévő fiókjaira nézve
- VPN és távoli hozzáférés. Lettországban az 55.8. pont második faktorral védett, titkosított RADIUS-VPN-t kér a kritikus infrastruktúra tulajdonosaitól és az alapvető szolgáltatóktól, és ez kiveszi a B osztályú felhasználókat az 52.3. pont alól; nélküle minden távoli B osztályú felhasználónál magának az alkalmazásnak kell MFA-t megkövetelnie. Litvániában a VPN nem változtat a szabályon, mert ott minden felhasználónak egyébként is MFA kell. Észtországban egy RADIUS-t támogató VPN-nél az E-ITS „ahol a rendszer lehetővé teszi” kitételére hivatkozó kérdés várható.
- Rendszergazdák. A rendszergazdai fiókoknál fedi át egymást leginkább a három szabály: Lettország az A és B osztályú rendszereken, Litvánia mindenhol, az E-ITS pedig minden kiemelt jogosultságú fióknál ír elő MFA-t. Lettország és Litvánia egyaránt megköveteli a külön, napi munkára nem használt rendszergazdai fiókot is. A legvalószínűbb auditmegállapítás a még mindig csupán jelszót kérő tűzfal- és kiszolgálókonzolok.
- Bizonyíték. Lettország a sikertelen bejelentkezések naplózását és megőrzését kéri; Litvánia írásos eljárást, amely rögzíti, hogyan használják az MFA-t; Észtország szabvány szerinti auditot. Egy olyan hitelesítési módszer, amely minden jóváhagyásról aláírt, időbélyeggel ellátott nyilvántartást készít, mindhárom esetre bizonyítékot ad anélkül, hogy azt utólag kellene rekonstruálni.
- Technológia. Egyetlen balti törvény sem ír elő módszert, és egyik sem használja az „adathalászatnak ellenálló” kifejezést. Az ENISA végrehajtási útmutatója „ahol csak lehetséges” adathalászatnak ellenálló MFA-t ajánl, és a FIDO2-t sorolja az élre; a nemzeti szövegek megállnak a „többfaktoros” szónál. Ez alsó határ, nem célkitűzés, és a NIS2-hitelesítésről szóló bejegyzésünk elmagyarázza, mi választja el a szabály szövegét kielégítő faktort attól, amely egy támadónak is ellenáll.
A Notakey telefonos jóváhagyással egészíti ki – a szolgáltatás, a fiók és a forráscím megjelenítésével – a RADIUS-VPN-eket, a tűzfal- és kiszolgálói bejelentkezéseket, a Windowst és a webalkalmazásokat, és minden jóváhagyásról aláírt nyilvántartást hagy egy olyan készüléken, amelyet a saját adatközpontjában üzemeltethet. A VPN 2FA útmutató megmutatja, hogyan illeszkedik a lettországi B osztályú távoli hozzáférési követelményhez vagy a litván 7. táblázat 61. sorához. Kérjen bemutatót, és feltérképezzük, hogyan fedheti le egy pilotprojekt a nemzeti szabályában megnevezett fiókokat, vagy először próbálja ki az élő demót a saját telefonján.
Ez a cikk a jogszabályok 2026. október 29-én közzétett szövegét idézi, és általános tájékoztatás, nem jogi tanácsadás. A szervezetére vonatkozó kötelezettségeket, osztályokat és határidőket erősítse meg szakképzett jogi tanácsadóval, és ellenőrizze a litván törvény 2026. júniusi módosításait, amelyeket a cikk írásakor nem tudtunk elolvasni.