[1] A digitális számítógépek megjelenésével az 1940-es évek végétől a rendszerek katonai és kormányzati használata miatt idővel a biztonságra vonatkozó igény is megjelent. Az elején mindez kimerült a gépek fizikai védelmében, majd fokozatosan bővült. Az informatikai biztonság egyik meghatározó korai szabványa (tehát a műszaki szabályozás) 1983-ban jelent meg Trusted Computer System Evaluation Criteria (TCSEC) címmel, ami az Amerikai Egyesült Államok kormányzati beszerzései tekintetében volt kötelező előírás. A szabályozásban az akkori megközelítésmód a számítógépet mint eszközt helyezte előtérbe, tehát terméktanúsítási szabványról beszélhetünk.

[2] A korai, technológia-központú megközelítésmódban még IT biztonságról vagy más szóval az elektronikus információs rendszer biztonságáról beszélhettünk, amely „az elektronikus információs rendszer olyan állapota, amelyben annak védelme az elektronikus információs rendszerben kezelt adatok bizalmassága, sértetlensége és rendelkezésre állása, valamint az elektronikus információs rendszer elemeinek sértetlensége és rendelkezésre állása szempontjából zárt, teljes körű, folytonos és a kockázatokkal arányos.”^[1] Ebből a (logikai) zártság azt jelenti, hogy a védelem tervezésekor az összes számításba vehető fenyegetést figyelembe vették, a teljes körűség a rendszer összes elemére való kiterjedést, a folytonosság az időben és a kockázati környezeti körülmények változása estén is megszakítás nélkül fennálló védelmet jelentik.^[2] A kockázatokkal arányos védelem pedig azt jelenti, hogy a védelem kialakításánál, majd azt követően is kockázatelemzést végeztek, és kockázatmenedzsment-folyamatot tartanak fenn.

[3] Ennek a számítógép-, illetve elektronikus információs rendszer központú megközelítésmódnak – a rendszerek számossága és komplexitásának növekedése miatt – a kiegészítése vált szükségessé. A BS 7799 jelzetű brit szabvány 1995-ös bevezetésétől megjelent a komplex szemléletű információbiztonság, amibe a számítógépek és az azokban tárolt és feldolgozott digitális adatok mellett a folyamatokat, az emberi tényező, és a papíralapú adatok kezelését is beleértjük. A korábbi brit BS 7799-2-ből ISO/IEC 27001:2005 lett, míg az ISO/IEC 17799:2005-öt 2007-ben ISO/IEC 27002:2005-re számozták át. Ezekből idővel egy teljes 27000-es sorozat lett, ami a szervezeti szintű információbiztonsági menedzsmentrendszer szabályait és jó gyakorlatát fektette le. Ma már a fenti két fogalom a gyakorlatban eléggé összeolvadt, így a jogi szabályozás sem különbözteti meg azokat.

[4] A kibertér (cyberspace) a számítógép-kommunikációs hálózatok összessége. Legnagyobb egyedi eleme az internet, mely több mint kétszáz országot és 2025-ben mintegy hatmilliárd felhasználót foglal magában. A fogalmat William Gibson alkotta meg és használta először Burning Chrome (1982), majd a Neuromancer (1984) című sci-fi-regényében. Akkori jelentése több milliárd ember által érzékelt együttes hallucináció volt. A kibertér kifejezés használata kiemeli a hálózatok közötti szoros kapcsolatot, az ember és a hálózatok, valamint a társadalom és a hálózatok közötti összefüggéseket, szemben a hálózatfogalom elsődlegesen technikai jelentésével.

[5] A kiberbiztonság (cybersecurity) fogalma egyfajta megközelítésbeli irányváltást ír le. Az „a kibertérben létező kockázatok kezelésére alkalmazható politikai, jogi, gazdasági, oktatási és tudatosságnövelő, valamint technikai eszközök folyamatos és tervszerű alkalmazása, amelyek a kibertérben létező kockázatok elfogadható szintjét biztosítva a kiberteret megbízható környezetté alakítják a társadalmi és gazdasági folyamatok zavartalan működéséhez és működtetéséhez”.^[3] Mindamellett, hogy ennek is részét képezi mind a szűken vett IT biztonság, mind a komplex információbiztonság, sokkal inkább a stratégiai megközelítésmódot tükrözi, amiben kiemelt feladat az állami szintű stratégiaalkotás és – a korábbi szabványosítással, tehát műszaki normákkal szemben – a jogi szabályozás. Tehát az IT biztonság valódi részhalmaza az információbiztonságnak, amely valódi részhalmaza a kiberbiztonságnak. Mindemellett gyakran előfordul, hogy a köznyelv a kiberbiztonságot divatos fogalomként egyszerűen az információbiztonság helyett használja.^[4]

[6] A műszaki normaalkotás, tehát szabványosítás nem más, mint az egységesítésre irányuló törekvés. A szabványosítás „olyan tevékenység, amely általános és ismételten alkalmazható megoldásokat ad fennálló vagy várható problémákra azzal a céllal, hogy a rendező hatás az adott feltételek között a legkedvezőbb legyen.”^[5] A szabványosítás feladata a szabványok kidolgozása, kibocsátása és alkalmazása. A szabványosítás eredménye fokozza a termékek, eljárások, szolgáltatások rendeltetésszerű alkalmasságát, elhárítja a kereskedelem termékekkel, szolgáltatásokkal kapcsolatos technikai akadályait, és elősegíti a technológiai együttműködést. Egységesíti például a rajzjeleket, a terminológiát, a vizsgálati módszereket és a betartandó követelményeket.

[7] A szabványosításnak több szintje van, melyek közül a legmagasabb a nemzetközi szabványosítás, ebben bármely ország illetékes szervei részt vehetnek. Nemzetközi szintű szabványügyi szervek a Nemzetközi Szabványügyi Szervezet (International Organization for Standardization, ISO), melynek hazánk 1947 óta tagja, a Nemzetközi Elektrotechnikai Bizottság (International Electrotechnical Commission, IEC) és a Nemzetközi Távközlési Unió (International Telecommunication Union, ITU), amely az ENSZ szakosított szerve.  A regionális szabványosítás olyan szabványosítás, amelyben a világ csak egy meghatározott földrajzi, politikai vagy gazdasági területéhez tartozó országok illetékes testületei vehetnek részt. Regionális szabványügyi szervek például az Európai Szabványügyi Bizottság (Comité Européen de Normalisation, CEN), Európai Elektrotechnikai Szabványügyi Bizottság (Comité Européen de Normalisation Electrotechnique, CENELEC) és az Európai Távközlési Szabványügyi Intézet (European Telecommunications Standards Institute, ETSI). A nemzeti szabványosítás egy meghatározott ország szintjén folyó szabványosítás. Nemzeti szabványügyi szervek például a Magyar Szabványügyi Testület (MSZT), British Standards Institution (BSI), Deutsches Institut für Normung e.V. (DIN) és az American National Standards Institute (ANSI). Vállalati szabványosításról beszélhetünk, ha a gazdasági társaság a saját szervezetén belül érvényes, általában kötelező, többnyire termékhez kapcsolódó műszaki előírást készít és alkalmaz, biztosítja a nemzeti szabvány vállalati szintű végrehajtását.^[6] A vállalati szabványok betartását a beszállítótól is megkövetelhetik. Az informatikában a fent ismertetett hierarchikus rend mellett sok esetben összetettebb a helyzet az informatikai szabványosítás területén, és sok olyan szervezet készít de facto szabványokat, amelyek eddig nem végeztek ilyet.^[7] Jelen esetben a szabvány fogalmát tágabb értelemben vesszük, a hangsúly a non-jus-on van, nem a szabvány formai követelményein. Formailag ugyanis a de jure szabványokat nemzeti vagy nemzetközi szabványügyi szervezetek fogadták el és tették közzé. Szabványnak tekintjük ezeken felül a de facto szabványokat is, amelyeket általában széleskörűen elismert nemzetközi civil szervezetek vagy kormányzati intézmények, szabványosítási céllal, de a szabvány formai követelményeinek teljesítése nélkül alkotnak. Ez utóbbi esetben általában verziószámozást alkalmaznak a változatok megkülönböztetésére, szemben a de jure szabványoknál alkalmazott kihirdetés évével. Szokásos eljárás, hogy a de facto szabvány egy adott változata de jure szabvánnyá válik. Ebben az esetben is szakmailag célszerűbb a de facto szabvány alkalmazása, ugyanis a de jure változatban általában nem jelennek meg a verziófrissítések, amelyek esetenként elég gyakoriak. Külön nehézséget okozhat az eredeti nemzetközi szabvánnyal egyébként betűre egyező nemzeti szabvány kiadása és annak változáskövetése.

[8] Az információbiztonság területén a non-jus szabályozási módok közül az egyik legeredményesebb forma a szabványok használata. A szabványosítás célja a kiberbiztonság esetében az informatikai biztonsági kihívásokra adott válaszok optimalizálása, tehát a szélesebb hatókörű stratégiai kérdéseket nem szándékozik lefedni, legfeljebb szervezeti szinten. A számítógéprendszerek és -hálózatok eredő biztonságát az egyes építőelemek közül a leggyengébb biztonsága határozza meg (leggyengébb láncszem elve). A szabványok alkalmazásának a legnagyobb előnye ezen gyengeségek kiküszöbölése azáltal, hogy minden elemet egyenlő szintre hoz. Az informatikai biztonság megfelelőségének biztosítása más esetekben is szükséges lehet, mint például minőségmenedzsment rendszer bevezetése, compliance (megfelelőség) vagy beszállítói audit esetén. A szabványok alkalmazása a magyar jog szerint nem kötelező,^[8] de nyilvánvalóan ajánlott. Az egyenszilárdságú informatikai biztonság kialakításának ez a legcélszerűbb módja, viszont kötelező erő hiányában a megvalósítás nem várható el.

[9] A modern normarendszerekre jellemző, hogy a hagyományos, az állampolgárok közösségi magatartását rendező jogágak mellett a XX. században megjelentek a különböző szakmákra és a szervezetekre vonatkozó normák is, így az állam működését meghatározó normák és a technikai normák.^[9] A jogfilozófia vitatott területei ezek, nem tisztázott, hogy beletartoznak-e a hagyományos jog fogalmába, egyes jogbölcseleti irányzatok elutasítják ezen területek jus voltát.^[10] A kiberbiztonság szabályozása mindhárom területre kiterjedhet. Az állampolgárok közösségi magatartását szabályozó normák közé tartozhat az egyén saját tulajdonát képező információs technológiának a védelmére tett kötelező intézkedés, vagy a kibertérben való egyes viselkedési normák kriminalizálása. A védelemre kötelezés jogintézménye nem elvetendő terület, hiszen ahogy a rögzítőfékkel nem megállított gépjármű által okozott kárért is felelős a tulajdonos, úgy lehetséges lenne a (jól definiált) elégséges szintet el nem érő hálózati védelem miatt a zombigépként, tehát támadásra használt távvezérelt számítógéppel okozott kárért is a tulajdonos felelősségét megállapítani. A szakmai-technikai normáknak végtelen listája lehet az informatikai biztonság területén, az elégséges szintű hálózati védelem definiálásától az alkalmazandó kontrollok pontos meghatározásáig. Amellett, hogy egyes jogbölcseleti koncepciók elutasítják ezek jus voltát, alkalmazásuk már a normaalkotás nehézségei miatt is megfontolandó. A szakmai-technikai normák áradata rendkívüli mértékben megnövelné az anyagi jog terjedelmét. A jogszabályok előkészítésétől az elfogadásáig tartó időben is elavulhat az adott norma, de ha nem, akkor is rendszeresen frissíteni kellene az abban lévő információkat, valamint az idejétmúlt jogszabályi rendelkezések hatályos joganyagból való eltávolítását dereguláció útján biztosítani szükséges.^[11] Ezért csupán olyan mértékben érdemes ilyen szabályozást alkotni, hogy az abban lévő tételes követelmények ne váljanak anakronisztikussá belátható időn belül. A szervezeti normák alkotásával olyan előírásokat teremtünk, amelyek jogi eljárás útján jogilag érvényesíthetetlenek, valamint ez is, a technikai normákhoz hasonlóan túlszabályozáshoz vezet.^[12] Ezekből adódóan a kiberbiztonság jogi eszközökkel való szabályozása rendkívül nehézkes, és egyes megközelítésmódok alapján még a jogba tartozónak sem tekintendő.

[10] Ami mindenképpen előnyeként tartható számon a jogi szabályozásnak, az az elérhető nagyobb általános biztonsági szint, amely már a normák szélesebb körű ismertségéből is következik. Pozitív gazdasági hatás is várható, egyrészt a biztonsági szektorba való nagyobb beruházás, másrészt az informatikai felhasználásban keletkező kisebb károk miatt a bevételkiesés csökkenése. Nagyobb figyelem esik majd erre a területre, ami az önkéntes jogkövetésre is jó hatást gyakorol. Egyértelműen a legnagyobb előnye a kötelezés egyetlen lehetősége, hiszen egyedül a jog rendelkezik kötelező erővel a társadalmi viszonyokra. Ezzel szemben hátrányként merül fel a jelentős költségigény, amely a biztonsági szektorba való átáramlás miatt keletkezik. Nagyon nehezen tisztázhatóak azok a kérdések, hogy milyen minimális biztonsági szintet írjanak elő kötelezően, valamint hogyan mérjük ennek a teljesülését. Külön problémaként merül fel az erre a szektorra általánosan jellemző határok eltűnése, tehát nem meghatározhatóak, illetve nem betartathatóak a jogszabályok területi hatályai.

[11] Optimális esetben az informatikai biztonság (szervezeti szinten) önszabályozó lehetne. A gazdasági szervezetek a működési kockázat csökkentése és az ebből fakadó versenyelőny miatt szükséges és megtérülő befektetésnek tekintené, a nonprofit szféra és az állampolgárok belátnák az egyénre és a társadalomra gyakorolt pozitív hatását, és öngerjesztő folyamatként olyan mértékben szükségessé válna, mint a XX. század végére a számítógépek üzleti használata. A periodikus gazdasági recesszió, és így a kiadások csökkentése, a társadalom tagjainak alacsony szintű informáltsága, valamint az informatikai biztonsági technológiák lassú kullogása az IT általános színvonal-növekedéséhez képest együttesen lecsillapítják ezt az öngerjesztő folyamatot. A jus szabályozás legfontosabb előnye minden más szabályozási formával szemben a kikényszerítés lehetősége. Amelyre – ha úgy ítéljük meg, hogy a társadalom számára az ebből fakadó előnyök meghaladják a hátrányokat – mindenképpen szükség van.

[12] Az informatikai biztonság helyi szinten történő szabályozása komolyabb múltra tekint vissza, mint a nemzeti szintű informatikai biztonsági tárgyú jogalkotás. Ennek nyilvánvaló oka, hogy az információs technológiák alkalmazása először szigetszerűen kezdődött külföldön és Magyarországon egyaránt. A mainframe számítógépek beszerzését rendkívüli költségeik miatt csak meghatározott szervezetek engedhették meg maguknak, így a technológia katonai, oktatási, kormányzati és nagyvállalati alkalmazása kezdődött meg elsőként. Kiemelendő az a tény, hogy az így biztosított szolgáltatások szűk felhasználói kör számára voltak elérhetőek, a rendszerek eleinte nem álltak kapcsolatban egymással. Az összehangolt működés, a tárolt adatok biztonsága, elérhetősége nem jelent meg állami igényként. A beruházások védelmében viszont a szervezetnek meg kellett határoznia a rendszerek használatának szabályait, valamint bizonyos mértékben a biztonsági követelményeket a rendszer és a felhasználók adatai, munkája védelmének érdekében. Ekkoriban az üzemeltetési jellegű szabályzatok domináltak. A gépidőt mint szűkös erőforrást meghatározott szabályok alapján lehetett igénybe venni, a hozzáférés időpontjának előzetes lefoglalásával.

[13] A rendszerek hálózatba szervezésével, a rendszerek olcsó tömegcikként való elérhetőségével a gépidő szinte korlátlan erőforrássá vált, az üzemeltetés – az asztali alkalmazások tekintetében – vesztett a jelentőségéből. A belső szabályozás súlypontja áttevődött az információra. Általánosságban annak a jelentősége nőtt meg, hogy a rendszerekben tárolt adatokhoz illetéktelenek (konkurencia, idegenek, arra nem jogosult munkavállalók) ne férhessenek hozzá. Ennek a szabályozásnak tehát a fókuszpontja a vállalati információs vagyon védelme. Manapság mindkét szabályzati típus létezik, külön-külön vagy komplex formában, amit elsősorban a szervezet mérete és az informatika alkalmazásának mértéke határoz meg.^[13] A védelem viszont csak akkor létezik, ha a szervezet felismeri a saját információs vagyonának értékét, és szükségesnek tartja annak megóvását, meg akarja-e védeni saját és ügyfelei adatait. A hangsúly a szervezet szándékán van, amely meghatározza azt, megtörténik-e a helyi szabályzatok elkészítése, illetve hogy betartják és betartatják-e ezeket a szabályokat. A helyi szabályozás önmagában tehát nem nyújt biztosítékot a biztonság fenntartására, illetve nem érvényesíti a társadalom átfogó informatikai biztonsági igényét.

[14] Mindemellett viszont a szervezet belső szabályzatainak betartatására rendkívül hatékony kényszerítő erő és eszközrendszer állhat rendelkezésre, hiszen a munkaadó olyan tárgyalási potenciált képvisel a munkavállalóval szemben, hogy a munka esetleges elvesztésével való fenyegetéssel igen hatékonyan tudja befolyásolni a munkavállalók viselkedését. Ez a lehetőség rendkívül hatékonnyá teheti a belső szabályozási rendszert, viszont a stakeholderek, a szervezet működésében érdekelt külső felek számára az, hogy a szervezet egyoldalúan kinyilatkoztatja azt, hogy a saját belső szabályai (amelyek megismerésére általában a külső személyek számára nincsen mód) megfelelően szigorúak, valamint az abban foglaltakat betartják, nem nyújt önmagában kellő bizonyosságot. Ezt a bizonyosságot valamely hatóságtól vagy külső auditor cégtől kaphatják meg.

[15] A belső szabályozás jelentős előnye bármely külső szabályhoz képest, hogy jobban képes illeszkedni a szervezet sajátosságaihoz. Minél szűkebb területet fed le a belső szabályozás, annál pontosabban tudja előírni a kötelezettségeket. A belső szabályozás bár rendkívül jól alkalmazható vállalati környezetben, általános kötelező erővel nem rendelkezik. Viszont tekintettel arra, hogy a testre szabhatóság igényét leginkább ez a szabályozási mód biztosítja, a külső szabályozás (legyen az jogi vagy szabványokon alapuló) helyi végrehajtására szinte minden esetben előírja a belső szabályok alkalmazását is. Hasonlóan az àadatvédelem területéhez, az önszabályozás kiemelt jelentőségű a szervezetre szabott, de a külső normatíváknak megfelelő működés kialakításában.

[16] Az Európai Unió kiberbiztonsági szabályozása nem egységes, egyszerre megalkotott kódexként, hanem fokozatosan, több szabályozási réteg egymásra épüléseként alakult ki. A korai időszakban az uniós jog még nem önálló kiberbiztonsági tárgyú szabályozásként, hanem elsősorban az elektronikus hírközlés, az adatvédelem, a kritikus infrastruktúra-védelem és a büntetőjogi harmonizáció részterületeként kezelte a kérdést. A fejlődés íve jól mutatja, hogy az Unió kezdetben a hálózat- és információbiztonság támogatását, a tudásmegosztást és a tagállami képességek közelítését tekintette fő célnak, később azonban egyre inkább kötelező szervezeti követelmények, incidensbejelentési szabályok, tanúsítási rendszerek, termékbiztonsági előírások és ágazati reziliencia követelmények jelentek meg.

[17] A korai uniós megközelítés egyik előzménye a 2002/58/EK irányelv volt,^[14] amely az elektronikus hírközlési adatvédelem körében írta elő a nyilvánosan elérhető elektronikus hírközlési szolgáltatók számára a szolgáltatások biztonságát szolgáló megfelelő műszaki és szervezési intézkedések alkalmazását. Ez még nem általános kiberbiztonsági keretszabályozás volt, de megjelent benne az a később általánossá váló elv, hogy a hálózati szolgáltató nem csupán adatkezelőként, hanem a szolgáltatás biztonságáért felelős szereplőként is szabályozható. Ehhez kapcsolódóan 2004-ben létrejött az ENISA, eredeti nevén European Network and Information Security Agency, amelynek elsődleges feladata az Unió, a tagállamok és az üzleti szféra képességeinek támogatása volt a hálózat- és információbiztonsági problémák megelőzésében, kezelésében és megválaszolásában. Az ENISA kezdetben tehát nem hatóságként, hanem szakértői, koordinációs és tudásközpontként működött.

[18] A következő szabályozási réteg a kritikus infrastruktúrák védelméhez és a kiberbűnözéshez kapcsolódott. A 2008/114/EK irányelv^[15] az európai kritikus infrastruktúrák azonosítására és kijelölésére, valamint védelmük szükségességének értékelésére hozott létre eljárási keretet, elsősorban az energia- és közlekedési ágazatban. Bár ez a szabályozás még nem kiberbiztonsági aktus volt, a későbbi rezilienciaszemlélet fontos előzményének tekinthető, mert a társadalom és gazdaság működéséhez nélkülözhetetlen szolgáltatások védelmét már nem kizárólag nemzeti, hanem uniós belső piaci és biztonsági kérdésként kezelte. A büntetőjogi oldalon a 2013/40/EU irányelv^[16] a számítógépes rendszerek elleni támadások büntetőjogi minimumszabályait harmonizálta, ideértve az információs rendszerekhez való jogellenes hozzáférést, a rendszer és adatok elleni támadásokat (amit a jogszabály interferenciának hív), valamint az ilyen cselekmények elkövetéséhez használt eszközökkel kapcsolatos magatartásokat. Ez a megközelítés a kiberbiztonság indirekt szabályozásának felel meg: nem védelmi kötelezettséget ír elő a szervezeteknek, hanem a kibertér egyes támadó magatartásait kriminalizálja.

[19] A 2010-es évek közepétől az uniós jogban már egyértelműen megjelent a horizontális kiberbiztonsági szabályozási igény. A 910/2014/EU rendelet,^[17] azaz az eIDAS rendelet a bizalmi szolgáltatások körében írt elő biztonsági és incidensbejelentési követelményeket, a 2016/679/EU általános adatvédelmi rendelet^[18] pedig az adatbiztonságot már általános adatkezelői és adatfeldolgozói kötelezettségként határozta meg. A GDPR 32. cikke a kockázatokkal arányos technikai és szervezési intézkedéseket követeli meg, míg a 33–34. cikkek az adatvédelmi incidensek bejelentését és az érintettek tájékoztatását szabályozzák. Ezek a rendelkezések ugyan nem általános kiberbiztonsági szabályok, de a szervezeti információbiztonság uniós jogi minimumszintjének kialakulásában jelentős szerepet játszottak.

[20] Az első valóban horizontális uniós kiberbiztonsági jogi aktus a 2016/1148/EU irányelv,^[19] vagyis a NIS irányelv volt. A NIS irányelv három fő pillérre épült: a tagállami kiberbiztonsági képességek kialakítására, az uniós együttműködési mechanizmusokra, valamint az alapvető szolgáltatást nyújtó szereplőkre és egyes digitális szolgáltatókra vonatkozó biztonsági és incidensbejelentési kötelezettségekre. A tagállamoknak nemzeti hálózat- és információbiztonsági stratégiát kellett elfogadniuk, ki kellett jelölniük az illetékes hatóságokat, az egyedüli kapcsolattartó pontot és az incidenskezelő szervezeteket (CSIRT). Az ENISA szerepe ekkor lényegesen erősödött: a korábbi általános szakmai támogatás mellett az uniós együttműködési struktúrák működésének támogatója és a tagállami képességépítés egyik szakmai központja lett.

[21] A 2019/881/EU rendelet,^[20] közismert nevén a Cybersecurity Act újabb minőségi fordulatot jelentett. A fő újítása az európai kiberbiztonsági tanúsítási keretrendszer létrehozása volt, amely az IKT-termékekre, IKT-szolgáltatásokra és IKT-folyamatokra vonatkozó tanúsítási rendszerek harmonizálását célozta. Ez a műszaki szabályozás és a jogi szabályozás találkozási pontja: az uniós jog joghatást tulajdonít a tanúsítási rendszereknek, miközben azok tartalma szükségképpen technikai követelményekre, szabványokra és értékelési módszertanokra épül. Emellett az ENISA elnevezése European Union Agency for Cybersecurity lett, és a rendelet erősebb mandátumot adott az ügynökségnek. Az ENISA feladatköre kiterjedt az uniós kiberbiztonsági politika támogatására, a kapacitásépítésre, az operatív együttműködés támogatására, a tudatosságnövelésre, a kutatás-fejlesztés és szabványosítás szakmai támogatására, valamint az uniós kiberbiztonsági tanúsítási keretrendszer előkészítésére is.

[22] A 2020-as évekre az uniós szabályozásban a kiberbiztonság már nem önálló informatikai szakkérdésként, hanem a belső piac, a digitális szuverenitás, a kritikus szolgáltatások folytonossága és az ellátási láncok biztonsága szempontjából jelent meg. Ennek központi eleme a 2022/2555/EU irányelv,^[21] vagyis a NIS2 irányelv, amely hatályon kívül helyezte a NIS irányelvet. A NIS2 célja a NIS széttartó tagállami végrehajtásának korrekciója volt. A korábbi, tagállami azonosításra épülő alapvető szolgáltatói kör helyett szélesebb, ágazati és méretalapú hatályt alkalmaz, és megkülönbözteti az alapvető és fontos szervezeteket. A szabályozás központi eleme a kiberbiztonsági kockázatkezelési intézkedések előírása, a vezető testületek felelősségének megjelenítése, az ellátási láncok és beszállítói kapcsolatok biztonságának figyelembevétele, valamint a szigorúbb incidensbejelentési rend. A NIS2 emellett az ENISA szerepét tovább erősítette, ami így részt vesz az uniós szintű helyzetértékelésben, kétévente jelentést készít az Unió kiberbiztonsági helyzetéről, és európai sérülékenységi adatbázist működtet a koordinált sérülékenységközlés támogatására.

[23] A NIS2-vel azonos időben fogadták el a 2022/2554/EU rendeletet,^[22] a DORA-t, amely a pénzügyi ágazat digitális működési rezilienciájának egységes uniós szabályait tartalmazza. A DORA rendeleti formája miatt közvetlenül alkalmazandó, és részletesen szabályozza az IKT-kockázatkezelést, az IKT-incidensek kezelését és jelentését, a digitális működési reziliencia tesztelését, valamint a harmadik fél IKT-szolgáltatókkal kapcsolatos kockázatokat. Ugyancsak 2022-ben született meg a 2022/2557/EU irányelv^[23] a kritikus szervezetek rezilienciájáról (CER), amely a fizikai és szervezeti reziliencia oldaláról egészíti ki a NIS2 kiberbiztonsági követelményeit. A fenti jogi aktusok együtt azt jelzik, hogy az Unió a kritikus szolgáltatások védelmét már integrált, fizikai és digitális kockázatokat egyaránt kezelő rezilienciaszabályozásként fogja fel.

[24] A legújabb szabályozási réteg a termék- és technológiaspecifikus kiberbiztonság. A 2024/482/EU bizottsági végrehajtási rendelet^[24] elfogadta az első európai Common Criteria alapú kiberbiztonsági tanúsítási rendszert, az EUCC-t, ezzel a Cybersecurity Act első konkrét tanúsítási rendszere vált alkalmazhatóvá. A 2024/1689/EU mesterséges intelligencia rendelet^[25] a nagy kockázatú MI-rendszerek esetében kiberbiztonsági követelményeket is támaszt, különösen a rendszer pontosságával, robusztusságával és biztonságával összefüggésben. A 2024/2847/EU rendelet,^[26] vagyis a Cyber Resilience Act (CRA) pedig horizontális kiberbiztonsági követelményeket állapít meg a digitális elemeket tartalmazó termékekre. Ennek jelentősége abban áll, hogy a kiberbiztonsági megfelelés nemcsak üzemeltetési vagy szolgáltatói kötelezettségként, hanem termékpiaci követelményként is megjelenik.

[25] A fejlődési ív lezárásaként említhető a 2025/38/EU rendelet,^[27] a Cyber Solidarity Act, amely az Unió képességét kívánja erősíteni a kiberfenyegetések és incidensek észlelésére, a felkészülésre és a reagálásra. A szabályozás az európai kiberbiztonsági riasztási rendszer és az uniós kiberbiztonsági tartalék létrehozásával már nem csupán normatív követelményeket határoz meg, hanem uniós szintű képességépítést is céloz. Összességében az uniós kiberbiztonsági szabályozás az elmúlt két évtizedben a puha koordinációtól és részterületi előírásoktól eljutott a horizontális, ágazati és termékszintű kötelező követelmények rendszeréig. Ezzel párhuzamosan az ENISA szerepe is átalakult: kezdetben szakértői ügynökség volt, majd együttműködési és kapacitásépítési központtá, végül pedig az uniós kiberbiztonsági politika, tanúsítás, sérülékenységkezelés és válságkoordináció egyik meghatározó intézményi szereplőjévé vált.

[26] A magyar jogszabályokban rendkívül heterogén az informatikai biztonságra vonatkozó előírások tartalma és hatálya.^[28] A különböző nemzetgazdasági ágakra, adatkezelésekre, egyes szakmák gyakorlására vonatkozó szabályok között gyakran található eltérő mélységű információbiztonsági szabályozás. Indirekt módon például a àbüntetőjog a jogellenesnek tekintett és ezért pönalizált cselekményeket nevezi meg (pl. információs rendszer vagy adat megsértése), és àbüntetőeljárásjog a büntetőeljárás kapcsán a bizonyítékszerzés és a bizonyíték-megőrzés eljárási szabályait fekteti le. Felületes információbiztonsági szabályozás jelenik meg például az àadatvédelem területén (adatbiztonság fogalmaként hivatkozva). Részletes információbiztonsági szabályozást találunk a àkereskedelmi bankokra és a àbiztosítókra vonatkozó normatívákban. Viszont nincsen olyan jogszabály, amely minden nemzetgazdasági területre kiterjedő keretszabályozásként az informatikai biztonság vagy az információbiztonság vagy a kiberbiztonság területén határozna meg előírásokat.

[27] A kiberbiztonsági megközelítésű szabályozás lehetősége a 2000-es évek elejéig nem merült fel érdemben. Nem hatályos és még csak nem is kialakult szabályozásként viszont a területre gyakorolt jelentős befolyása miatt szükséges tárgyalni az informatikai biztonságról szóló törvény 2009-es tervezetét.^[29] A tervezet soha nem lett törvény. Maga a jogszabálytervezet keretszabályozás jellegű lett volna, gyakorlatilag az élet minden területén alkalmazott informatikai eszközökre tartalmazott volna előírásokat, a hatálya a Magyarországon működő összes IT rendszerre és szolgáltatásra kiterjedt volna. Vonatkozott volna az üzemeltetőkre és a felhasználókra is. A leendő törvény társadalmi hatása jelentős lett volna, már csak a hatály szélessége miatt is. A kritikusok részéről kérdésként merült fel, hogy a rendszerek túlnyomó részében az audit hiánya miatt nincs ellenőrzési kontroll, ezért feleslegessé teszi magát a szabályozást. Ezzel szemben a szabályozás meghatározhatta volna a más jogszabályokban előírt biztonsági követelmények szintjét. Például a Btk. 423. §-ában „információs rendszer védelmét biztosító technikai intézkedés”-nek nevezett, korábban nem tisztázott védelmi szint az új törvénnyel meghatározásra került, tartalma feltöltődött volna. Így az eddig csupán a kötelezett hatáskörébe rendelt megfelelő védelem kialakítása konkretizálódott volna, növelve ezzel a jogbiztonságot.

[28] Először a Magyarország Nemzeti Biztonsági Stratégiájáról szóló 1035/2012 (II.21.) kormányhatározat jelölte meg fontos területként az elektronikus információs rendszerek biztonságának erősítését, a létfontosságú nemzeti információs infrastruktúra védelmének fokozását, továbbá a megfelelő kibervédelem kialakítását. A jelenleg hatályos, Magyarország Nemzeti Biztonsági Stratégiájáról szóló 1163/2020. (IV. 21.) Korm. határozat számos pontban foglalkozik a kérdéssel, és külön kiemeli a katonai kiberképességek kialakításának szükségességét. Tovább részletezve a Nemzeti Biztonsági Stratégiában irányelvként megfogalmazottakat, a Kormány elkészítette a Magyarország Nemzeti Kiberbiztonsági Stratégiájáról szóló 1139/2013. (III.21.) Korm. határozatot is. A jogalkotó úgy vélte, hogy a világban az akkoriban tapasztalt kiberkonfliktusok indokolják, hogy ennek keretében elkészüljön egy korszerű magyar információbiztonsági törvény is, így 2013. április 25-én hatalmas mérföldkőként a kiberbiztonság szabályozásában kihirdették az állami és önkormányzati szervek elektronikus információbiztonságáról szóló 2013. évi L. törvényt (Ibtv.). A törvény hatálya a cím és a 2. §-ban meghatározott hatálya ellenére jelentősen szélesebb körű a következő hatály (kiterjesztés) miatt: a jogszabályban meghatározott, a nemzeti adatvagyon körébe tartozó állami nyilvántartások adatfeldolgozói és az európai létfontosságú rendszerelemmé és a nemzeti létfontosságú rendszerelemmé törvény alapján kijelölt rendszerelemek.^[30] Ezek a szervek jelentős mértékben bővítették gazdasági társaságokkal is a személyi hatályt, így tipikusan a közüzemi szolgáltatók, elektronikus hírközlési szolgáltatók, pénzügyi szervezetek kerültek a kötelezett körbe.

[29] Az Ibtv. részletes indokolása^[31] szerint „az értelmező rendelkezések az elfogadott és általánosan alkalmazott hazai szakkifejezésekre épülnek. Ezek jelentős részét a Kormány 3296/1991. (VII. 5.) határozata alapján 1991. november 27-én létrehozott Miniszterelnöki Hivatal Informatikai Tárcaközi Bizottsága 12. számú ajánlásaként 1996. április 2-án elfogadott Informatikai Rendszerek Biztonsági Követelményei című dokumentumban rögzítették. Az itt leírt fogalmak és definíciók az Informatikai Biztonság Kézikönyvében (Budapest, Verlag Dashöfer, 2000–2005), illetve a Közigazgatási Informatikai Bizottság 25. és 28. számú ajánlásaiban is megjelentek, a nemzetközi szakirodalmat, szabványokat figyelembe véve, újra feldolgozva korábbi definíciókat.” Ezzel a jogalkotó szem előtt tartotta a ’90-es években széles szakmai körben elterjedt ajánlásokat, illetve – mivel a KIB 25. sz. ajánlása az ISO 27001 és 27002 alapján készült – nemzetközileg elfogadott információbiztonsági szabványok is megjelennek benne. A törvény előírta a hatálya alá tartozó elektronikus információs rendszerek teljes életciklusában az elektronikus információs rendszerben kezelt adatok és információk bizalmassága, sértetlensége és rendelkezésre állásának, valamint az elektronikus információs rendszer és elemeinek sértetlensége és rendelkezésre állásának a zárt, teljes körű, folytonos és kockázatokkal arányos védelmét.^[32] Fontos, hogy a kockázatokkal arányos védelem és így a kockázatértékelés explicit módon bekerült az állami információbiztonsági követelmények közé, ugyanis jellemzően ad hoc módon, a büdzséhez mérten történt a védelem kialakítása.

[30] Annak érdekében, hogy az Ibtv. hatálya alá tartozó elektronikus információs rendszerek, valamint az azokban kezelt adatok védelme a kockázatokkal arányosan biztosítható legyen, az elektronikus információs rendszereket be kellett sorolni egy-egy biztonsági osztályba a bizalmasság, a sértetlenség és a rendelkezésre állás szempontjából. A biztonsági osztályba sorolás alkalmával 1-től 5-ig számozott fokozatot alkalmaztak, a számozás emelkedésével szigorodó védelmi előírásokkal együtt.^[33] Az Ibtv. 11. § (1) c) alapján a kötelezett szervezet vezetője az elektronikus információs rendszer biztonságáért felelős személyt nevezett ki, aki felelt a szervezetnél előforduló valamennyi, az elektronikus információs rendszerek védelméhez kapcsolódó feladat ellátásáért.

[31] Az Ibtv. megalkotásakor a Nemzeti Fejlesztési Minisztérium keretében létrehozta a Nemzeti Elektronikus Információbiztonsági Hatóságot, és a sérülékenység-vizsgálat és forenzikus logelemzés elvégzéséhez szakhatóságként a Nemzeti Biztonsági Felügyeletet is bevonta a tevékenységébe.^[34] A kormányzati CERT^[35] feladatait a megszűnt Puskás Tivadar Közalapítványtól a Nemzetbiztonsági Szakszolgálathoz, létfontosságú rendszerelemek tekintetében pedig a Katasztrófavédelemnél működő Létfontosságú Rendszerek és Létesítmények Informatikai Biztonsági Eseménykezelő Központjához (LRLIBEK) helyezte át.^[36] Az elektronikus információs rendszerek biztonsági felügyeletét ellátó hatóságok, valamint az információbiztonsági felügyelő feladat- és hatásköréről, továbbá a zárt célú elektronikus információs rendszerek meghatározásáról szóló 187/2015. (VII. 13.) Korm. rendelettel ez a struktúra annyiban változott, hogy a Nemzeti Elektronikus Információbiztonsági Hatóságot áthelyezték a Nemzetbiztonsági Szakszolgálathoz, ezzel létrehozva a Nemzeti Kibervédelmi Intézetet, ahol a fenti hatáskörök összpontosultak. A Szabályozott Tevékenységek Felügyeleti Hatóságáról (SZTFH) szóló 2021. évi XXXII. törvény az Ibtv. 22/B. § (1) bekezdés a) pontja szerinti nemzeti kiberbiztonsági tanúsító hatóság feladatait az SZTFH-hoz rendelte. Az Ibtv. 23. § alapján a Nemzeti Közszolgálati Egyetem dolgozta ki az elektronikus információs rendszer biztonságáért felelős személyek és érintett szervezetek munkatársainak képzését, ami szakirányú továbbképzési szak, illetve közszolgálati továbbképzés formájában futott. Az Ibtv.-hez több végrehajtási rendelet is tartozott. Az állami és önkormányzati szervek elektronikus információbiztonságáról szóló 2013. évi L. törvényben meghatározott technológiai biztonsági, valamint a biztonságos információs eszközökre, termékekre, továbbá a biztonsági osztályba és biztonsági szintbe sorolásra vonatkozó követelményekről szóló 41/2015. (VII. 15.) BM rendeletben például jól nyomon követhető volt a műszaki szabályozás megjelenése a jogi szabályozásban. Maga az Ibtv. a biztonsági szabályokat csak magas szinten határozta meg, a szervezeti szintű szabályzatalkotáshoz elengedhetetlen volt a részleteket tartalmazó rendeleti szintű jogszabályok alkalmazása is. Emiatt tekinthetjük az Ibtv.-t keretszabályozásnak.^[37]

[32] A fenti jogszabály és az azt támogató rendeletek egy évtizedes alkalmazása után az Európai Unióban több olyan jogi aktus is megjelent à[22], ami szükségessé tette a hazai szabályozás felülvizsgálatát. A 2013-as Ibtv.-re épülő korábbi rendszerhez képest a hatályos magyar szabályozás súlypontja 2025. január 1-jétől a Magyarország kiberbiztonságáról szóló 2024. évi LXIX. törvényre (Kibertv.) helyeződött át.^[38] A törvény nem egyszerűen az állami és önkormányzati elektronikus információbiztonsági szabályozás újabb változata, hanem olyan keretszabályozás, amely egyszerre szolgálja a NIS2 irányelv, a kritikus szervezetek rezilienciájáról szóló irányelv, az európai kiberbiztonsági tanúsítási rendszer, a DORA és a kiberrezilienciáról szóló rendelet hazai végrehajtását.^[39] A szabályozás ezzel az Ibtv. eredeti, erősen államigazgatási fókuszú modelljétől egy szélesebb, ágazati és szolgáltatás-folytonossági szemléletű kiberbiztonsági rezsim irányába mozdult el.

[33] A Kibertv. alapelvei ugyanakkor tudatos kontinuitást mutatnak a korábbi magyar információbiztonsági fogalomkészlettel. A törvény a teljes életciklusban írja elő az elektronikus információs rendszerben kezelt adatok, információk, valamint a rendszerek által nyújtott vagy azokon keresztül elérhető szolgáltatások bizalmasságának, sértetlenségének és rendelkezésre állásának védelmét, továbbá az elektronikus információs rendszer elemeinek sértetlenségét és rendelkezésre állását.^[40] A „zárt, teljes körű, folytonos és a kockázatokkal arányos védelem” meghatározása a törvényben kifejezetten megjelenik: a védelemnek ki kell terjednie valamennyi rendszerelemre, valamennyi számításba vehető fenyegetésre, időben változó körülmények között is fenn kell állnia, költségeinek pedig arányosnak kell lenniük a fenyegetések által okozható károkkal.^[41] Fontos dogmatikai sajátosság, hogy a törvény nem pusztán technikai kontrollokat ír elő, hanem az eszközök, eljárások és személyek együttes védelmét követeli meg, tehát a jogszabályi szövegben is megjelenik az információbiztonság szervezeti-szociotechnikai szemlélete.^[42]

[34] A személyi és tárgyi hatály is érdemben bővült. A szabályozás hatálya kiterjed a közigazgatási ágazathoz tartozó szervezetekre, a meghatározott méretet vagy gazdasági jelentőséget elérő, többségi állami befolyás alatt álló gazdálkodó szervezetekre, a hatóság által alapvető vagy fontos szervezetként azonosított szervezetekre, valamint a 2. és 3. mellékletben meghatározott kiemelten kockázatos és kockázatos ágazatok szereplőire.^[43] Idetartozhat különösen az energetika, a közlekedés, az egészségügy, az ivóvíz- és szennyvízágazat, a digitális infrastruktúra, az IKT-szolgáltatás-menedzsment, az élelmiszeripar, a hulladékgazdálkodás, a postai és futárszolgáltatás, valamint egyes gyártási és kutatási tevékenységek köre. A törvény emellett mérettől függetlenül hatály alá von egyes digitális szolgáltatókat, így az elektronikus hírközlési szolgáltatókat, bizalmi szolgáltatókat, DNS-szolgáltatókat, legfelső szintű doménnév-nyilvántartókat és doménnév-regisztrációt végző szolgáltatókat.

[35] A kötelezettségi rendszer középpontjában a szervezet vezetőjének felelőssége áll. A szervezet vezetője kockázatmenedzsment keretrendszert hoz létre és működtet, felméri és nyilvántartásba veszi az elektronikus információs rendszereket, meghatározza a szerepköröket és felelősségeket, kinevezi vagy megbízza az elektronikus információs rendszer biztonságáért felelős személyt, elvégzi a hatáselemzést, a kockázatmenedzsmentet, a biztonsági osztályba sorolást, kiadja az információbiztonsági szabályzatot, valamint gondoskodik a védelmi intézkedések teljesüléséről és időszakos értékeléséről.^[44] A biztonsági osztályba sorolás a korábbi ötfokozatú modellhez képest „alap”, „jelentős” és „magas” biztonsági osztályokat alkalmaz, a besorolást pedig az elektronikus információs rendszer sértetlensége és rendelkezésre állása, valamint a kezelt adatok bizalmassága, sértetlensége és rendelkezésre állása szempontjából kell elvégezni. A részletes követelményeket miniszteri rendelet tartalmazza, amely a biztonsági osztályba sorolás szempontjait, a kockázatmenedzsment keretrendszert, valamint a konkrét adminisztratív, logikai és fizikai védelmi intézkedések katalógusát határozza meg.^[45]

[36] A hatósági rendszer kettős szerkezetű. A Kibertv. szerint a közigazgatási, állami befolyás alatt álló, hatóság által azonosított és honvédelmi érdekhez kapcsolódó szervezetek elektronikus információs rendszereinek felügyeletét – a honvédelmi célú rendszerek kivételével – a Kormány által kijelölt nemzeti kiberbiztonsági hatóság látja el; ezt a végrehajtási rendelet a Nemzetbiztonsági Szakszolgálathoz telepíti.^[46] A piaci, NIS2 szerinti 2. és 3. melléklet alá tartozó, de az előbbi körbe nem eső szervezetek felügyelete az SZTFH feladata.^[47] Az incidenskezelési oldalon a Kormány nemzeti kiberbiztonsági incidenskezelő központként a Nemzetbiztonsági Szakszolgálatot, honvédelmi incidenskezelő központként a Katonai Nemzetbiztonsági Szolgálatot jelöli ki.^[48]

[37] A megfelelés igazolásának új eleme a kiberbiztonsági audit. Az érintett gazdasági szervezetek és digitális szolgáltatók kétévente, illetve hatósági elrendelés esetén kötelesek auditot végeztetni, amelynek során az auditor a biztonsági osztályba sorolást és a védelmi intézkedések megfelelőségét vizsgálja.^[49] Az audit kiterjedhet belső informatikai biztonsági és távoli sérülékenységvizsgálatra, magasabb biztonsági osztályoknál behatolásvizsgálatra, kriptográfiai megfelelőségvizsgálatra, valamint egyedi fejlesztésű kritikus biztonsági funkciókat ellátó szoftverek forráskódvizsgálatára.^[50] A Kibertv. tehát a korábbi keretszabályozási modellt megtartva, de azt jelentősen kiszélesítve kapcsolja össze a szervezeti információbiztonságot, a hatósági felügyeletet, az incidenskezelést, a sérülékenységvizsgálatot és az IKT-termékek tanúsítását.

[38] Összességében a magyar kiberbiztonsági szabályozás fejlődése az eseti, ágazati és részben indirekt normáktól az állami elektronikus információbiztonság keretszabályozásán keresztül egy szélesebb, uniós joggal harmonizált kiberbiztonsági rezsimig jutott el. A 2013. évi L. törvény jelentősége abban állt, hogy az állami és önkormányzati szféra elektronikus információs rendszereire nézve először teremtett átfogó, kockázatarányos, biztonsági osztályokra és szervezeti felelősségre épülő szabályozást. A 2024. évi LXIX. törvény ezzel szemben már nem csupán a szélesebb közszférára vonatkozó információbiztonsági törvény, hanem a NIS2, a DORA, a kiberbiztonsági tanúsítási rendszer és a kritikus szervezetek rezilienciájára vonatkozó uniós követelmények hazai végrehajtási kerete is. Ennek következtében a szabályozás hatálya jelentősen kiszélesedett, a vezetői felelősség hangsúlyosabbá vált, a hatósági felügyelet differenciáltabb lett, és megjelent a rendszeres kiberbiztonsági audit, valamint az incidenskezelés és sérülékenységvizsgálat intézményesebb rendje. A magyar szabályozás tehát ma már nem pusztán az elektronikus információs rendszerek technikai védelmét írja elő, hanem a szervezeti működés, a szolgáltatásfolytonosság, az ellátási láncok és a nemzeti reziliencia szempontjait is integrálja. Mindez egyértelműen növeli a jogilag kikényszeríthető biztonsági minimumszintet, ugyanakkor a szabályozás eredményessége hosszabb távon attól függ, hogy a kötelezett szervezetek a megfelelést nem formális adminisztratív teherként, hanem folyamatos kockázatkezelési és irányítási feladatként értelmezik-e.

[1] MUHA Lajos: „Az informatikai biztonság egy lehetséges rendszertana” Bolyai Szemle, 2008/4, 137–156.

[2] MUHA Lajos: „Fogalmak és definíciók” in MUHA Lajos: Az informatikai biztonság kézikönyve,  Verlag Dashöfer, Budapest, 2004

[3] 2013. évi L. törvény az állami és önkormányzati szervek elektronikus információbiztonságáról

[4] MUHA Lajos – KRASZNAY Csaba: Az elektronikus információs rendszerek biztonságának menedzselése, Nemzeti Közszolgálati Egyetem, Budapest, 2018, 17.

[5] MSZ EN 45020:2007 (ISO/IEC Guide 2:2004)

[6] FORGÁCS László: „A magyar szabványosítás jogharmonizációja” Bányászati és Kohászati Lapok – Bányászat, 2004/1, 30.

[7] Kai JAKOBS: „ICT Standardisation – Co-Ordinating the Diversity” in Innovations in NGN – Future Network and Services. An ITU-T Kaleidoscope Event. Piscataway, NJ, USA, IEEE Press, 2008

[8] 1995. évi XXVIII. törvény a nemzeti szabványosításról 6. § (1)

[9] SZABÓ Miklós (szerk.): Regula Iuris. Szabály és/vagy norma a jogelméletben. Miskolc, Bíbor, 2004

[10] SAMU Mihály – SZILÁGYI Péter: Jogbölcselet. Budapest, Rejtjel, 1998, 113.

[11] KISS László: „Jogtisztítás – jogszabályrendezés – dereguláció” in KISS László – PETRÉTEI József: A törvényhozástan alapvonásai, Pécs, JPTE ÁJK, 1996

[12] SAMU Mihály – SZILÁGYI Péter: Jogbölcselet, Budapest, Rejtjel, 1998, 113.

[13] DÓSA Imre – POLYÁK Gábor: Informatikai jogi kézikönyv, Budapest, KJK KERSZÖV, 2003, 62.

[14] Directive 2002/58/EC of the European Parliament and of the Council of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications)

[15] Council Directive 2008/114/EC of 8 December 2008 on the identification and designation of European critical infrastructures and the assessment of the need to improve their protection (Text with EEA relevance)

[16] Directive 2013/40/EU of the European Parliament and of the Council of 12 August 2013 on attacks against information systems and replacing Council Framework Decision 2005/222/JHA

[17] Regulation (EU) No 910/2014 of the European Parliament and of the Council of 23 July 2014 on electronic identification and trust services for electronic transactions in the internal market and repealing Directive 1999/93/EC

[18] Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation)

[19] Directive (EU) 2016/1148 of the European Parliament and of the Council of 6 July 2016 concerning measures for a high common level of security of network and information systems across the Union

[20] Regulation (EU) 2019/881 of the European Parliament and of the Council of 17 April 2019 on ENISA (the European Union Agency for Cybersecurity) and on information and communications technology cybersecurity certification and repealing Regulation (EU) No 526/2013 (Cybersecurity Act)

[21] Directive (EU) 2022/2555 of the European Parliament and of the Council of 14 December 2022 on measures for a high common level of cybersecurity across the Union, amending Regulation (EU) No 910/2014 and Directive (EU) 2018/1972, and repealing Directive (EU) 2016/1148 (NIS 2 Directive)

[22] Regulation (EU) 2022/2554 of the European Parliament and of the Council of 14 December 2022 on digital operational resilience for the financial sector and amending Regulations (EC) No 1060/2009, (EU) No 648/2012, (EU) No 600/2014, (EU) No 909/2014 and (EU) 2016/1011

[23] Directive (EU) 2022/2557 of the European Parliament and of the Council of 14 December 2022 on the resilience of critical entities and repealing Council Directive 2008/114/EC

[24] Commission Implementing Regulation (EU) 2024/482 of 31 January 2024 laying down rules for the application of Regulation (EU) 2019/881 of the European Parliament and of the Council as regards the adoption of the European Common Criteria-based cybersecurity certification scheme (EUCC)

[25] Regulation (EU) 2024/1689 of the European Parliament and of the Council of 13 June 2024 laying down harmonised rules on artificial intelligence and amending Regulations (EC) No 300/2008, (EU) No 167/2013, (EU) No 168/2013, (EU) 2018/858, (EU) 2018/1139 and (EU) 2019/2144 and Directives 2014/90/EU, (EU) 2016/797 and (EU) 2020/1828 (Artificial Intelligence Act)

[26] Regulation (EU) 2024/2847 of the European Parliament and of the Council of 23 October 2024 on horizontal cybersecurity requirements for products with digital elements and amending Regulations (EU) No 168/2013 and (EU) 2019/1020 and Directive (EU) 2020/1828 (Cyber Resilience Act)

[27] Regulation (EU) 2025/38 of the European Parliament and of the Council of 19 December 2024 laying down measures to strengthen solidarity and capacities in the Union to detect, prepare for and respond to cyber threats and incidents and amending Regulation (EU) 2021/694 (Cyber Solidarity Act)

[28] SZÁDECZKY Tamás: Az IT biztonság szabályozása, Berlin, GlobeEdit, 2018

[29] MeH: Előterjesztés a Kormánynak az informatikai biztonságról szóló törvényről. 2009

[30] Ibtv. 2. § (2) b)-c)

[31] T/10327. számú törvényjavaslat az állami és önkormányzati szervek elektronikus információbiztonságáról

[32] Ibtv. 5. § b)

[33] Ibtv. 7. § (1)-(2)

[34] Ibtv. 18. §

[35] Computer Emergency Response Team, az informatikai vészhelyzeteket/incidenseket kezelő szervezet

[36] Ibtv. 19. § (6)

[37] BALOGH Zsolt György: Az informatikai biztonság szabályozása, Budapest, Nemzeti Közszolgálati Egyetem, 2018, 53.

[38] 2024. évi LXIX. törvény Magyarország kiberbiztonságáról

[39] Kibertv. 91. § (1)–(2) bek.; 80/A–80/B. §.

[40] Kibertv. 5. § (1) bek.

[41] Kibertv. 4. § 99. pont.

[42] Kibertv. 5. § (2) bek.

[43] Kibertv. 1. § (1) bek. a)–d), f) pont

[44] Kibertv. 6. § (2)–(3) bek.

[45] 7/2024. (VI. 24.) MK rendelet 1–2. §, 1–2. melléklet

[46] 418/2024. (XII. 23.) Korm. rendelet 16. § (1) bek.

[47] Kibertv. 23. § (1) bek. b) pont.

[48] 418/2024. (XII. 23.) Korm. rendelet 65. §.

[49] Kibertv. 16. § (1)–(2) bek.; 21. § (1)–(3) bek.

[50] Kibertv. 22. § (1) bek.