NIS2: Ungarn als Vorreiter bei Cybersicherheitsvorschriften in Mittelosteuropa
Ungarn setzt mit 18. Oktober 2024 als eines der ersten Länder in Zentral- und Osteuropa die NIS2-Richtlinie (Network and Information Security Directive 2) um. Diese EU-Verordnung zielt darauf ab, die Cybersicherheit in den Mitgliedsstaaten zu stärken und betrifft insbesondere Unternehmen im Bereich kritischer Infrastrukturen und Unternehmen im Energie-, Transport-, Finanz-, Gesundheits- und IT-Sektor. Diese Änderung ist auch für österreichische Unternehmen mit Niederlassungen in Ungarn oder mit Geschäftsbeziehungen zu ungarischen Firmen von großer Bedeutung.
Die NIS2-Richtlinie führt strengere Anforderungen für Risikomanagement, Berichterstattung über Cybervorfälle und die Einhaltung von Cybersicherheitsstandards ein. Um die NIS2-Kriterien zu erfüllen, hat Ungarn nun den NIST 800-53 Cybersecurity Framework in seine nationale Gesetzgebung integriert. Die rechtliche Basis für die Umsetzung der NIS2-Richtlinie in Ungarn wurde bereits mit dem Gesetz XXIII aus dem Jahr 2023 geschaffen, welches die Zertifizierung und Überwachung der Cybersicherheit regelt.
Das Gesetz ernennt zwei zentrale Organisationen, die für die Cybersicherheit in Ungarn verantwortlich sind:
- Das National Cybersecurity Center und
- Die Aufsichtsbehörde für regulierte Tätigkeiten (Szabályozott Tevékenységek Felügyeleti Hatósága – SZTFH).
Das National Cybersecurity Center hat umfassende Informationen zur Umsetzung der NIS2-Richtlinie in Ungarn auf seiner Webseite veröffentlicht: National Cybersecurity Center Informationen . Die Meilensteine zur Umsetzung der NIS2-Bestimmungen sind auf der Webseite der SZTFH einsehbar.
Unternehmen, die von der NIS2-Richtlinie betroffen sind und ihre Tätigkeit vor dem 1. Januar 2024 aufgenommen haben, mussten sich zwischen dem 1. Januar 2024 und dem 30. Juni 2024 bei der SZTFH registrieren, ihre elektronischen Informationssysteme in Sicherheitsklassen einstufen und eine Person ernennen, die für die Sicherheit dieser Systeme verantwortlich ist. Diese Organisationen sowie die Auditoren für Cybersicherheit werden in einer Datenbank der SZTFH erfasst.
Bis zum 31. Dezember 2024 müssen Unternehmen mit Niederlassungen in Ungarn einen akkreditierten Prüfer aus einer der derzeit zugelassenen Firmen auswählen:
- Hunguard Kft. – Prüfungsgrad: hoch
- Certop Informatikai Kft. – Prüfungsgrad: mittel
- KÜRT Zrt. – Prüfungsgrad: mittel
- Alverad Technology Focus Kft. – Prüfungsgrad: niedrig
- Veritan Kft. – Prüfungsgrad: niedrig
- Ernst & Young Kft. – Prüfungsgrad: niedrig
Wichtig: Auch wenn das Mutterunternehmen in Österreich ansässig ist, müssen Tochtergesellschaften in Ungarn die lokalen NIS2-Vorschriften erfüllen. Bei Nichterfüllung drohen hohe Geldstrafen!
Zusätzlich werden auch Zulieferer von Unternehmen in kritischen Infrastrukturen indirekt betroffen sein, da Unternehmen, die mit kritischen Infrastrukturen arbeiten, sicherstellen müssen, dass ihre Partner und Lieferanten ebenfalls den erhöhten Cybersicherheitsanforderungen entsprechen.