A Hivatal vezetője, a jegyző az elektronikus információs rendszerek védelme érdekében jogszabályban meghatározott, itt felsorolt kiberbiztonsági feladatokat köteles ellátni.

Ezek teljesítését elektronikus információs rendszer biztonságáért felelősként nem kizárólag irányítjuk és szakmai támogatással segítjük, hanem igény vagy lehetőség szerint azok előkészítésében, végrehajtásában és dokumentálásában is közreműködünk, jelentős adminisztratív és szakmai terhet átvállalva.

A jegyző az elektronikus információs rendszerek védelme érdekében kockázatmenedzsment keretrendszert hoz létre és működtet*, melynek keretében:

1. gondoskodik a szervezet által használt elektronikus információs rendszerek, központi szolgáltatások felméréséről és nyilvántartásba vételéről a következők szerinti bontásban:
   1. a szervezet rendelkezésében lévő elektronikus információs rendszerek,
   2. a szervezet által használt központi rendszerek,
   3. a szervezet által igénybe vett, központi szolgáltató által biztosított szolgáltatások és támogató rendszerek,
   4. a szervezet rendelkezésében lévő vagy a szervezet által használt egyéb támogató rendszerek;
2. meghatározza a szervezet rendelkezésében lévő, továbbá a szervezet használatában lévő elektronikus információs rendszerek védelmével kapcsolatos szerepköröket, felelősöket, feladatokat és az ehhez szükséges hatásköröket, kinevezi vagy megbízza az elektronikus információs rendszer biztonságáért felelős személyt;
3. gondoskodik a szervezet rendelkezésében lévő elektronikus információs rendszerben kezelt adatok felméréséről és osztályozásáról;
4. hatáselemzést és kockázatmenedzsment tevékenységet végez a szervezet rendelkezésében lévő elektronikus információs rendszerekre és azok környezetére vonatkozóan*;
5. biztonsági osztályba sorolja a szervezet rendelkezésében lévő elektronikus információs rendszereket*;
6. meghatározza a szervezet rendelkezésében lévő elektronikus információs rendszerek vonatkozásában a kockázatokkal arányos védelmi intézkedéseket;
7. kiadja a felhasználókra és az elektronikus információbiztonsági követelményekre vonatkozó információbiztonsági szabályzatot, valamint gondoskodik annak legalább kétévente vagy a jogszabályban meghatározott esetekben történő felülvizsgálatáról;
8. biztosítja az elektronikus információs rendszerek védelme vonatkozásában meghatározott védelmi intézkedések teljesülését;
9. gondoskodik – ha releváns – az európai uniós jogi aktusban foglaltak, valamint az informatikáért felelős miniszter rendelete szerint kiválasztott védelmi intézkedések megfelelőségének első biztonsági osztályba sorolás alkalmával történő értékeléséről*,
10. rendszeresen - legalább kétévente, az információbiztonsági szabályzat és a biztonsági osztályba sorolás felülvizsgálatával egyidejűleg - gondoskodik a védelmi intézkedések időszakos értékeléséről, ennek keretében legalább kockázatelemzések, ellenőrzések, független és a kiberbiztonsági hatóság által kiadott ajánlás szerinti belső kiberbiztonsági értékelés lefolytatása révén meggyőződik arról, hogy a jogszabályoknak és a kockázatoknak megfelelően meghatározott védelmi intézkedések megfelelően biztosítják-e a szervezet és elektronikus információs rendszerei biztonságát;
11. gondoskodik a biztonsági osztályhoz kapcsolódó védelmi intézkedések értékelése során feltárt hiányosságok orvoslásáról;
12. a szervezeten belül dönt az elektronikus információs rendszerek használatbavételéről vagy használatának folytatásáról és
13. gondoskodik a kiberbiztonsági hatósági kötelezések teljesítéséről.

A szervezet vezetőjeként az elektronikus információs rendszer védelmének biztosítása érdekében:

1. gondoskodik az elektronikus információs rendszerek védelmi feladatainak és az azokhoz kapcsolódó felelősségi köröknek az oktatásáról, saját maga és a szervezet munkatársainak – az informatikáért felelős miniszter rendeletében meghatározott – kiberbiztonsági képzéséről, továbbképzéséről;
2. biztosítja a kötelezően előírt hazai kiberbiztonsági gyakorlatokon történő részvételt, illetve kiberbiztonsági gyakorlat önálló megtartását;
3. gondoskodik az elektronikus információs rendszer eseményeinek nyomonkövethetőségéről;
4. ha a szervezet közreműködőt vesz igénybe az elektronikus információs rendszer létrehozása, üzemeltetése, auditálása, karbantartása, javítása, illetve a kiberbiztonsági incidensek kezelése során, vagy a szervezet elektronikus információs rendszerével kapcsolatos adatkezelési, adatfeldolgozási tevékenység ellátásához, gondoskodik arról, hogy a közreműködő által az elektronikus információs rendszerrel kapcsolatosan ellátott tevékenységgel összefüggésben szükséges kiberbiztonsági követelmények az e törvényben foglaltaknak megfelelően szerződéses kötelemként teljesüljenek;
5. az elektronikus információs rendszert érintő kiberfenyegetés, kiberbiztonsági incidensközeli helyzet vagy kiberbiztonsági incidens bekövetkezésekor minden szükséges és rendelkezésére álló erőforrás felhasználásával gondoskodik a gyors és hatékony reagálásról, az illetékes kiberbiztonsági incidenskezelő központnak való bejelentésről, a kiberbiztonsági incidensek kezeléséről, valamint a helyreállításról;
6. gondoskodik az érintetteknek a kiberbiztonsági incidensekről és a lehetséges fenyegetésekről történő haladéktalan tájékoztatásáról;
7. gondoskodik a kiberbiztonsági hatóság és az illetékes kiberbiztonsági incidenskezelő központ ajánlásainak, iránymutatásainak az elektronikus információs rendszer védelmének biztosítása érdekében történő figyelembevételéről;
8. köteles törekedni arra, hogy a jelen jogszabályban meghatározott feladatokat a lehető legrövidebb időn belül hajtsa végre;
9. gondoskodik arról, hogy a szervezet által az adott évben informatikai fejlesztésre fordított költségek legalább 5%-ának megfelelő összeget a szervezet a tárgyév során kiberbiztonsági fejlesztésekre fordítson és
10. megteszi az elektronikus információs rendszer védelme érdekében felmerülő egyéb szükséges intézkedéseket.