A NIS2 irányelv bevezetése nemcsak kiberbiztonsági és IT kontrollokat hoz a szervezetek életébe, hanem jelentős adatkezelési következményekkel is jár. A megfelelés során ugyanis számos olyan új vagy megerősített intézkedés jelenik meg, amely közvetlenül érinti a munkavállalók személyes adatainak kezelését. Ezek az intézkedések sok esetben kötelező jelleggel, auditált követelményként jelennek meg, így a cégeknek nemcsak technikai, hanem jogi és adatvédelmi szempontból is újra kell gondolniuk működésük bizonyos elemeit.
Különösen jól látható ez a személyazonosság-ellenőrzés területén. A magyar szabályozás – így például a kiberbiztonsági audit lefolytatásának rendjéről és a kiberbiztonsági audit legmagasabb díjáról szóló 1/2025. (I. 31.) SZTFH rendelet ) – részletes auditkövetelményeket határoz meg az informatikai rendszerekhez való hozzáférések kapcsán. Ezek egyik központi eleme, hogy a felhasználók csak megfelelően igazolt személyazonosság mellett kaphatnak hozzáférést. A gyakorlatban ez azt jelenti, hogy a szervezeteknek biztosítaniuk kell, hogy a felhasználói azonosítók egyértelműen egy adott személyhez legyenek köthetők, és a hozzáférések mögött álló személyek kiléte megfelelően igazolt és dokumentált legyen.
A rendeletben megjelenő követelmények azt is előírják, hogy a személyazonosság igazolására vonatkozó bizonyítékokat nem elegendő pusztán begyűjteni. Ezeket hitelesíteni, ellenőrizni és validálni is kell, ráadásul az alkalmazott módszereket előre meg kell határozni. Bizonyos esetekben akár személyes jelenlét melletti azonosításra vagy többcsatornás megerősítésre is szükség lehet. Mindez együtt azt eredményezi, hogy a szervezetek a korábbinál strukturáltabb és részletesebb formában kezelnek azonosítással kapcsolatos adatokat, ideértve akár személyazonosító okmányok adatait, azonosítási folyamatokhoz kapcsolódó információkat vagy auditnaplókat.
Ezek az intézkedések egyértelműen új adatkezelési célokat hoznak létre, amelyekhez a GDPR szempontjából is megfelelő alapokat kell biztosítani. A legtöbb esetben az adatkezelés jogalapja jogi kötelezettség lesz, azonban ez önmagában nem elegendő: a cégeknek pontosan meg kell határozniuk az adatkezelés célját, terjedelmét és időtartamát, valamint biztosítaniuk kell az arányosság és szükségesség elvének érvényesülését. A NIS2 megfelelés ugyanis nem mentesít az adatvédelmi szabályok betartása alól, sőt, sok esetben azok még szigorúbb és tudatosabb alkalmazását teszi szükségessé.
Mindez jelentős dokumentációs feladatokat is generál. A szervezeteknek felül kell vizsgálniuk és frissíteniük kell adatkezelési tájékoztatóikat, különösen a munkavállalók irányába. Emellett módosítani szükséges a belső szabályzatokat, például az IT biztonsági és hozzáférés-kezelési policykat, továbbá pontosítani kell az adatkezelési nyilvántartásokat (ROPA). Kiemelt figyelmet érdemel az is, ha a cégcsoporton belül központi IT vagy security funkciók működnek: ilyen esetben elengedhetetlen a megfelelő, GDPR 28. cikkének megfelelő adatfeldolgozói szerződések megléte, amelyek részletesen szabályozzák a kezelt adatok körét, az adatkezelés célját és az utasításadás rendjét.
A NIS2 megfelelés a munkavállalók szintjén is érezhető változásokat hoz. A szigorúbb azonosítási követelmények, a fokozott naplózás és a hozzáférések ellenőrzése mind olyan elemek, amelyek a mindennapi működés részévé válnak. Éppen ezért különösen fontos, hogy a munkavállalók megfelelő és közérthető tájékoztatást kapjanak arról, milyen adatokat kezel róluk a munkáltató, milyen célból és milyen garanciák mellett.
Összességében elmondható, hogy a NIS2 nem csupán egy kiberbiztonsági megfelelési feladat, hanem egy komplex, az adatkezelési gyakorlatokat is alapjaiban érintő követelményrendszer. Azok a szervezetek, amelyek ezt nem izolált IT projektként, hanem átfogó jogi és adatvédelmi kérdésként kezelik, nemcsak a megfelelést tudják biztosítani, hanem hosszabb távon átláthatóbb és auditálhatóbb működést is kialakíthatnak.