Elfogadták a kiberbiztonságról szóló törvényjavaslatot | 2024. december 19.

A parlament elfogadta a kiberbiztonsági szabályozás új keretrendszerét, a Magyarország kiberbiztonságáról szóló törvényt, ami még nem tartalmazza azokat a szabályokat, melyeket később rendeletekben állapítanak majd meg.

https://kormany.hu/dokumentumtar/magyarorszag-kiberbiztonsagarol-szolo-torveny-vegrehajtasi-kormanyrendelete

Az Országgyűlés december 17-én fogadta el a „Magyarország kiberbiztonságáról” címet viselő törvényjavaslatot, ami a hazai kiberbiztonsági szabályozás új keretrendszereként fog szolgálni a jövőben. A várhatóan január elsején hatályba lépő törvény célja az Európai Unió NIS2 irányelvének teljesebb körű átültetése a nemzeti jogba, illetve a kiberbiztonságra vonatkozó alapvető jogszabályok egységesítése egyetlen jogszabályban. A törvény a NIS2 mintájára kategorizálja a magyar kiberbiztonsági jogszabályok hatálya alá tartozó szervezeteket. Ez alapján az érintett vállalatok – méretüktől függően, illetve ha az általuk nyújtott szolgáltatás alapján alapvető vagy fontos szervezeteknek minősülhetnek.

A 2023-ban hatályba lépett NIS2 (Network and Information Security Directive) a 2016-os változat hiányosságait korrigálva igyekszik új alapokra helyezni a nemzetközösség informatikai védvonalait. Az október 18-tól kötelező érvénnyel alkalmazandó irányelv egyik legfontosabb velejárója, hogy a korábbiakhoz képest nagyjából 15-ször annyi entitásra terjed ki a hatálya, mely komoly hatást gyakorol az érintett cégek, főként a magánvállalkozások működésére. A kiberbiztonsági törvény átfogó keretrendszert teremt, de nem tartalmaz minden szabályt – a részleteket a törvény alapján kiadott kormány-, miniszteri és SZTFH elnöki rendeletek fogják megállapítani – hívja fel a figyelmet a Baker McKenzie nemzetközi ügyvédi iroda.

A kiberbiztonsági törvény részben átveszi a NIS2 joghatósági szabályozását, ugyanakkor az átültetés bizonyos esetekben (például DNS-, felhő-, adatközpont- szolgáltatókra, irányított biztonsági szolgáltatókra, az online piacterek, keresőprogramok és közösségimédia-platformok szolgáltatóira vonatkozóan) nem követi teljesen a NIS2-t. Egy fontos elhatároló tényező még, hogy az illető szervezet kiemelten kockázatos vagy csak egyszerűen kockázatos ágazatban tevékenykedik.

Az új törvény újdonságként behozza az érintetti körbe a többségi állami befolyás alatt lévő szervezeteket. Amennyiben ezek elérik a középvállalati méretet, alapvető szervezetnek fognak minősülni, és az NBSZ lesz a hatóságuk. Szintén komoly újítás, hogy a nemzeti és a katonai kibervédelmi hatóság (vagyis praktikusan az NBSZ és a KNBSZ) jogosultságot kap arra, hogy alapvető vagy fontos szervezetnek minősítsen egyes szervezeteket – emelte ki Dr. Kiss Csaba nemzetbiztonsági vezérőrnagy az ITBusiness-nek adott interjújában.

A kiberbiztonsági törvény hatálya alá tartozó nem Magyarországon bejegyzett szervezetnek a törvényben foglaltak végrehajtásáért felelős, Magyarország területén működő képviselőt kell írásban kijelölnie. A rendszer biztonságáért felelős személynek bizonyos esetekben rendelkeznie kell a feladatellátáshoz szükséges, rendeletben előírt végzettséggel, szakképzettséggel, akkreditált nemzetközi képzettséggel vagy a szakterületen szerzett szakmai tapasztalattal. Ha a vállalat nem rendelkezik ilyen szakértelmű személlyel, akkor az SZTFH által nyilvántartásba vett, kiberbiztonsági incidens kezelésére jogosult szervezetet kell megbíznia.

A kategorizálásnak megfelelően a cégekre különböző követelmények és szankciók vonatkoznak. A meg nem felelés már a NIS2 szerint is jelentős, szervezettől függően akár 10 millió eurós bírsággal járhat, és a magyar jogalkotó ennél akár magasabb maximális bírságot is megállapíthat. Egy másik lehetséges szankció az információbiztonsági felügyelő kirendelése az érintett szervezet költségére.

https://www.hwsw.hu/hirek/68549/kiberbiztonsag-torveny-elfogadas-parlament-nis2-szabalyozas.html

a Revolut lekapcsol egy fontos szolgáltatást Magyarországon

Miután Btk.-s tétel lett a „jogosulatlan” kriptováltás, a Revolut azonnali hatállyal leállította ezt a szolgáltatást a magyarországi ügyfeleknél.

A Revolut kriptoszolgáltatásait Magyarországon azonnali hatállyal, további értesítésig ideiglenesen szüneteltetjük – közölte a magyarországi ügyfeleivel a neobank. A magyarázat szerint: „a közelmúltbeli magyar jogszabályi változások miatt jelenleg nem tudjuk biztosítani a szolgáltatásainkat. Azonban keményen dolgozunk azon, hogy a lehető leghamarabb újra elérhetővé tegyük azokat.”

A Büntető törvénykönyvbe (Btk.) bevezetett új szabályok szerint büntetendő az, aki jogosulatlan kriptoeszköz-átváltási szolgáltatást vesz igénybe, és ezen keresztül jelentős értékű kriptoeszközt pénzre vagy más kriptoeszközre vált át, feltéve, hogy ezzel nem követ el súlyosabb bűncselekményt – foglalja össze a Portfolio.

Az ilyen magatartás vétségnek minősül, és legfeljebb két évig terjedő szabadságvesztéssel büntethető. Ráadásul

-- amennyiben az átváltás “különösen nagy” értékre történik, a börtönbüntetés három év,

-- ha pedig “különösen jelentős” értékre, akkor egytől öt évig terjedő szabadságvesztés lehet.

Emellett a törvény büntetni rendeli azt is, ha valaki engedély vagy bejelentés nélkül, tehát a szabályozás megsértésével nyújt kriptoeszköz-átváltási szolgáltatást, és ezzel jelentős értékű ügyleteket bonyolít le. Ebben az esetben az elkövető bűntettet követ el, és három évig terjedő szabadságvesztéssel büntethető. Ha a tevékenységet különösen nagy értékben végzi, akkor a büntetés egytől öt évig, különösen jelentős érték esetén pedig két évtől nyolc évig terjedő szabadságvesztés lehet.

A Revolut ügyfeleinek küldött tájékoztatása szerint az ügyfelek nem fognak tudni:

-- vételi megbízásokat létrehozni;
-- új eszközöket stakelni;

valamint minden befizetést elutasít a Revolut.

Az appban továbbra is lehetőség van:

-- kripto eladására;
-- kripto külső pénztárcába történő utalására.

https://hvg.hu/kkv/20250705_A-Fidesz-elerte-a-Revolut-lekapcsol-egy-fontos-szolgaltatast-Magyarorszagon

GDPR felülvizsgálatát ígéri az EU | 2025.04.22.

Az Európai Unió 2016-ban fogadta el a 2016/679. számú általános adatvédelmi rendeletet (GDPR), mely azóta is meghatározó része az egyes vállalkozások jogi megfelelési tevékenységének. Habár a GDPR rendelkezései első ránézésre jól követhetők, a gyakorlatban sok esetben jelent gondot az értelmezése.

Komoly dokumentációs kötelezettséggel jár

A GDPR közel 90 oldala jól érthető, így meglepő lehet, hogy a szabályok alkalmazhatóságának időpontjául annak idején az EU csupán 2018. 05. 25-ét jelölte meg. Ha az általánosnak tűnő szabályok gyakorlati értelmezését nézzük, már érthető a helyzet.

A jogi megfelelés a vállalkozások számára ezer lépésből áll. Az első pont az adatvagyon alapos felmérése, lehetőleg szakértő bevonásával. Ennek keretében át kell tekinteni a kezelt személyes adatokat, azokat milyen forrásból szerzik be, hol és milyen rendszerekben tárolják, ki fér hozzájuk, azokat kiknek továbbítják. Ezt követően azt is ellenőrizni kell, hogy mely adatkezelések szükségesek ténylegesen, és melyeket csak "jobb, ha van" alapon alkalmazzák. Ezután alakíthatók ki az egyes érintetti csoportnak (munkavállalók, ügyfelek, szerződéses partnerek stb.) szóló tájékoztatók, de ez még csak a feladatok első lépése.

Ezt követően ugyanis számos dokumentációs kötelezettségnek kell eleget tenni. Minden adatkezeléshez szükséges kapcsolni egy jogalapot. Jogos érdek jogalap esetében pedig úgynevezett érdekmérlegelési tesztet kell készíteni, és abban az adatkezelés megfelelőségét értékelni. Hatósági vizsgálatok esetén ebbe az ellenőrök is előszeretettel tekintenek bele.

Emellett azonban az adatkezeléssel járó kockázatokat is át kell tekinteni. Ez alapján ellenőrizendők az úgynevezett technikai és szervezési intézkedések (például szorosabb jelszókövetelmény, tűzfal, vírusirtó telepítése, belső szabályzatok kialakítása stb.), majd pedig az adatvédelmi incidensek kezelésének előzetes értékelési rendjét kell kialakítani. Ez arra szolgál, hogy amennyiben egy várható kockázat bekövetkezik, azt mely szempontok alapján kell minősíteni és kezelni.

Adatvédelmi hatásvizsgálati kötelezettség is következhet a kockázatok felméréséből. Mindezek mellett pedig adatkezelőknek adatkezelői, adatfeldolgozóknak adatfeldolgozói belső nyilvántartást is készíteni szükséges. Ellenőrizendők továbbá a szerződéses partnerekkel kötött szerződések és az alapján az adatmozgások, valamint ezek tekintetében is dokumentálni kell a megfelelőséget. Ezek a kötelezettségek azonban nem teljesíthetők egyszerűen, mivel a GDPR kevés támpontot nyújt, a hazai és tagállami hatósági, bírósági gyakorlattal és az európai adatvédelmi testület munkájával is érdemes tisztában lenni.

https://adozona.hu/gdpr_adatvedelem/A_GDPR_felulvizsgalatat_igeri_az_EU_DQGIH0