A NIS2-megfelelés sok érintett vállalkozásnál 2026 nyarára eljutott egy fontos mérföldkőhöz: lezárult az első kötelező kiberbiztonsági audit időszaka. Ez azonban nem azt jelenti, hogy a cégek hátradőlhetnek, és a kiberbiztonsági iratokat ünnepélyesen eltehetik egy digitális fiók mélyére.
A kiberbiztonsági audit fontos mérföldkő volt, de nem zárja le a megfelelési munkát. A valódi kérdés most kezdődik: hogyan épül be a NIS2 szerinti működés a vállalkozás hétköznapjaiba?
Az MKIK NIS2-portálján közzétett iránymutatások éppen ebben segíthetnek. Nem csak általános elméleti anyagokról van szó, hanem olyan gyakorlati kérdésekről, amelyekkel a cégek tényleg találkoznak: közreműködőkkel kötött szerződések, home office, munkavállalói oktatás, AI-rendszerek besorolása, sérülékenységvizsgálat, munkáltatói IT-eszközök magánhasználata és más mindennapi kockázatok.
A NIS2 tehát nem egyetlen auditnapról szól. Inkább arról, hogy a vállalkozás képes-e tartósan, dokumentáltan és ellenőrizhetően kezelni a digitális kockázatait. Nem elég egyszer rendet rakni a szerverteremben. A rendnek másnap is ott kell maradnia.
Miért fontosak az MKIK iránymutatásai?
Az MKIK portálja szerint az iránymutatások ajánlás jellegű szakmai segédletek, amelyek a jogalkalmazók, vállalkozások és auditorok számára készültek. Különösen azokban a helyzetekben hasznosak, amikor a gyakorlatban merül fel értelmezési kérdés vagy probléma.
A portál azt is kiemeli, hogy a tartalmukat a Szabályozott Tevékenységek Felügyeleti Hatósága, vagyis az SZTFH validálja a közzététel előtt. Ez azért lényeges, mert az SZTFH ellenőrzi és szankcionálja a Kiberbiztonsági törvény betartását, így a validált iránymutatások a hatóság által elvárt joggyakorlatot tükrözik.
A vállalkozások számára ez gyakorlati kapaszkodót jelent. Nem jogszabály helyett kell olvasni őket, hanem a jogszabályok mellé. Olyanok, mint egy térkép a sűrű erdőben: nem visznek végig helyettünk az úton, de segítenek nem rossz ösvényre fordulni.
Az audit után sem áll meg az élet
Sok cég az első kiberbiztonsági auditot határidőként élte meg. Ez érthető, hiszen az audit lefolytatása komoly szervezési, pénzügyi és adminisztratív feladat lehetett. Auditorválasztás, dokumentáció, rendszerleltár, biztonsági osztályba sorolás, vezetői jóváhagyások, belső szabályzatok, technikai intézkedések: nem kevés fogaskerék mozgott egyszerre.
A probléma az, ha a vállalkozás az auditot egyszeri kipipálásként kezeli. A kiberbiztonsági megfelelés ugyanis nem kampányfeladat. A rendszerek változnak, új munkatársak jönnek, új beszállítók kapcsolódnak be, új szoftvereket vezetnek be, új adatkezelések indulnak, és a támadási módszerek sem alszanak téli álmot.
Ezért az audit utáni időszakban legalább olyan fontos a fenntartás, mint korábban a felkészülés. A dokumentumoknak élniük kell, nem porosodniuk.
Közreműködők és beszállítók: a szerződés is biztonsági eszköz
Az egyik MKIK-iránymutatás kifejezetten a közreműködőkkel kötött szerződések tartalmával foglalkozik. A portál összefoglalója szerint a Kiberbiztonsági törvény és a kapcsolódó rendelet elvárásokat fogalmaz meg arra, hogy az érintett szervezetek a közreműködőkkel szemben is érvényesítsék az ellátási lánc biztonsági követelményeit, méghozzá szerződéses kötelemként.
Ez nagyon fontos gyakorlati pont. Sok vállalkozásnál a kritikus digitális működés nem házon belül történik. Külső informatikai szolgáltató üzemelteti a szervert, könyvelőprogram működik felhőben, külső fejlesztő kezeli a weboldalt, alvállalkozó fér hozzá ügyféladatokhoz, marketinges kap adminjogot hirdetési fiókhoz, vagy rendszergazda kezeli a belépéseket.
Ilyenkor a kiberbiztonság nem áll meg a cég ajtajánál. Ha a külső partner gyenge láncszem, a kockázat a vállalkozásnál is megjelenik.
Ezért a szerződésekben érdemes rögzíteni például:
milyen rendszerekhez fér hozzá a partner,
milyen biztonsági követelményeket kell betartania,
hogyan kezeli az incidenseket,
milyen határidővel kell jeleznie a problémát,
kik férhetnek hozzá az adatokhoz,
hogyan történik a jogosultságok megszüntetése,
milyen naplózás, titoktartás és együttműködés szükséges ellenőrzés esetén.
A szerződés ebben a világban nem csak jogi papír. Biztonsági zsilip is.
AI és felhő: nem a címke számít, hanem az adat útja
Az AI és felhőalapú megoldások különösen érzékeny területet jelentenek a NIS2-megfelelésben. Az MKIK egyik iránymutatása szerint az MI-rendszerek EIR-struktúrába sorolásánál nem pusztán az számít, hogy valamit mesterséges intelligenciának neveznek-e. A lényeg inkább az adat útja, a feldolgozás helye és az, hogy a szervezet milyen rendelkezési joggal bír az erőforrás felett. A portál összefoglalója szerint a SaaS vagy felhős MI-szolgáltatások és API-alapú integrációk a felhős szolgáltatások közé kerülnek, míg az on premise futtatott modell saját EIR-nek számít.
Ez a cégeknek azért fontos, mert az AI használata sokszor apró, szinte láthatatlan módon kerül be a működésbe. Valaki használ egy fordítóeszközt, összefoglalót készít egy felhős alkalmazással, ügyfélszöveget tölt fel egy online rendszerbe, automatizált chatbotot kapcsol a weboldalhoz, vagy API-n keresztül köt össze belső adatokat külső szolgáltatással.
Ezek nem feltétlenül rossz megoldások. Sőt, sokszor hatékonyabbá teszik a működést. De kiberbiztonsági szempontból tudni kell, milyen adat hova kerül, ki fér hozzá, hol történik a feldolgozás, és milyen szerződéses, technikai és adatvédelmi garanciák vannak.
A „csak kipróbáltuk” mondat a céges AI-használatnál veszélyes tud lenni. Egy ártatlan próba is adatmozgás lehet.
Home office: a nappali is beléphet a kockázati térképbe
A home office ma már sok vállalkozásnál természetes. A munkavállaló otthonról lép be a levelezésbe, ügyviteli rendszerbe, felhőmappába, CRM-be, számlázóba vagy belső kommunikációs felületre. Ettől a munkavégzés rugalmasabb lesz, de a kockázati térkép is kitágul.
Az MKIK home office-ról szóló iránymutatásának összefoglalója szerint a kiberbiztonsági szabályozás kiterjed a home office környezetre is, és a munkáltató felelős a home office-ban kezelt vállalati adatok, valamint az onnan elért elektronikus információs rendszerek biztonságáért.
Ez a gyakorlatban azt jelenti, hogy a cégnek nem elég annyit mondania: „dolgozz otthonról, ahogy tudsz”. Kell egy világos rend.
Érdemes szabályozni például:
használható-e saját eszköz,
kötelező-e céges laptop,
milyen jelszó- és többfaktoros azonosítás kell,
lehet-e családtag által is használt gépről belépni,
engedélyezett-e nyilvános Wi-Fi használata,
hogyan történik az adatok mentése,
mit kell tenni elveszett eszköz vagy gyanús hozzáférés esetén.
A home office kényelmes, de a vállalati adat nem szeret papucsban őrizetlenül kószálni a konyhaasztalon.
Oktatás nélkül a szabályzat csak díszlet
A NIS2-megfelelés egyik leggyakorlatiasabb része a munkatársak oktatása. Az MKIK külön iránymutatásban foglalkozik azzal, milyen oktatásokat kell elvégezni a megfeleléshez, és hogyan kell azokat dokumentálni az audit szempontjából.
Ez azért fontos, mert a kiberbiztonsági incidensek jelentős része nem látványos technikai támadással kezdődik. Sokszor egy e-mail, egy kattintás, egy hamis belépési oldal, egy telefonhívás, egy sürgető üzenet vagy egy rosszul kezelt jogosultság indítja el a problémát.
A munkatársaknak ezért nem elég általános figyelmeztetést kapniuk. A „ne kattints gyanús linkre” hasznos, de önmagában kevés. Konkrét példák kellenek:
milyen egy adathalász e-mail,
mikor gyanús egy számlaszám-változás,
mit kell tenni furcsa belépési értesítésnél,
kihez kell fordulni incidensgyanú esetén,
milyen adatot nem szabad feltölteni külső rendszerbe,
hogyan kell kezelni a jelszavakat és hozzáféréseket.
Az oktatás akkor jó, ha nem csak aláírt jelenléti ív marad utána, hanem változik tőle a mindennapi viselkedés. A biztonság nem a szerveren kezdődik, hanem annál az embernél, aki reggel kinyitja a levelezést.
Sérülékenységvizsgálat és behatolásvizsgálat: nem ugyanaz a polc
Az MKIK egyik iránymutatása a Kiberbiztonsági törvény szerinti sérülékenységvizsgálat, sérülékenységkeresés és behatolásvizsgálat elhatárolásával foglalkozik. Ez különösen hasznos téma, mert a vállalkozásoknál ezek a fogalmak gyakran összemosódnak.
A sérülékenységvizsgálat nem ugyanaz, mint egy gyors automatikus szkennelés. A behatolásvizsgálat pedig nem egyszerűen „valaki megnézi, feltörhető-e a rendszer”. Más cél, más mélység, más jogosultsági háttér, más dokumentáció és más kockázat kapcsolódhat hozzájuk.
A cégeknek ezért nem érdemes találomra megrendelni „valami pentestet”, csak azért, mert jól hangzik. Először tisztázni kell:
melyik rendszer érintett,
mi a vizsgálat célja,
jogszabályi vagy belső kontroll miatt kell-e,
ki végezheti el,
milyen felhatalmazás szükséges,
milyen dokumentáció készül,
hogyan kezelik a feltárt hibákat.
A vizsgálat nem akkor ér valamit, ha ijesztő riport készül róla. Akkor ér valamit, ha a feltárt hibákat kijavítják, és a javítás nyoma is megmarad.
IT-eszközök magánhasználata: apró engedményekből nagy kockázat lehet
Sok cégnél természetesnek tűnik, hogy a munkavállaló céges laptopon megnézi a magánlevelezését, saját felhőfiókot nyit meg, vagy magáncélú programot telepít. Másutt saját eszközről dolgozik, amelyen egyszerre van családi fotó, játék, böngészőbővítmény, online bank és céges belépés.
Ez nem feltétlenül tilos minden esetben, de szabályozni kell. A vállalkozásnak tudnia kell, hogy milyen eszközről milyen rendszer érhető el, milyen alkalmazások telepíthetők, hogyan történik a frissítés, ki felel a vírusvédelemért, és mi történik, ha a munkaviszony megszűnik.
A rosszul kezelt jogosultság nemcsak informatikai hiba, hanem üzleti titok és ügyféladat kérdése is.
Az IT-eszköz nem szabadon kószáló céges kulcscsomó. Minden hozzáférés mögött felelősség van.
Mit tegyen most egy érintett vállalkozás?
Első lépésként érdemes megnézni, hogy az audit során milyen megállapítások, hiányosságok vagy fejlesztési javaslatok születtek. Ezeket nem szabad a jelentésben hagyni. Feladatlistává kell alakítani őket.
Második lépésként át kell nézni a közreműködőkkel, IT-szolgáltatókkal, felhős partnerekkel, adatfeldolgozókkal és egyéb beszállítókkal kötött szerződéseket. Tartalmazzák-e a biztonsági elvárásokat? Van-e incidensjelentési rend? Van-e hozzáférés-kezelési szabály?
Harmadik lépésként fel kell térképezni az AI és felhős rendszereket. Milyen szolgáltatásokat használ a cég? Milyen adatok kerülnek ki? Ki döntött a használatukról? Van-e belső szabály arra, mit lehet feltölteni és mit nem?
Negyedik lépésként rendbe kell tenni a home office és eszközhasználati szabályokat. A rugalmasság maradhat, de legyen mögötte biztonsági keret.
Ötödik lépésként dokumentált oktatást kell tartani. Nem egyszeri, száraz kötelező körként, hanem gyakorlati példákkal, valós céges helyzetekkel.
Hatodik lépésként ki kell jelölni, ki figyeli a változásokat. A NIS2-megfelelésnek legyen gazdája a szervezetben, különben mindenki azt gondolja majd, hogy valaki másnál van a labda.
Nem csak a nagyvállalatok ügye
Bár a NIS2 nem minden mikro- és kisvállalkozásra vonatkozik automatikusan, a kiberbiztonsági elvárások közvetve sok céget elérhetnek. Egy nagyobb partner, beszállítói lánc, pályázat, pénzügyi szolgáltató vagy adatfeldolgozói kapcsolat is kérhet biztonsági garanciákat.
A kisebb cégek számára ezért akkor is hasznos lehet a NIS2-logika, ha formálisan nem tartoznak a legszigorúbb kötelezetti körbe. Nem kell rögtön nagyvállalati szabályzaterdőt növeszteni, de az alapok mindenkinek számítanak:
jelszavak,
többfaktoros azonosítás,
jogosultságok,
mentések,
frissítések,
munkatársi oktatás,
incidenskezelés,
szerződéses kontroll a szolgáltatókkal.
A digitális átállás már nem csak hatékonysági kérdés, hanem biztonsági kérdés is. A gyorsabb rendszer csak akkor előny, ha közben nem nyit ajtót a rossz szereplőknek.
