NIS2 · 2024. évi LXIX. törvény
NIS2 megfelelés, ami átmegy az auditon.
A regisztráció és a szabályzat a könnyebbik fele. Az auditor azt nézi, hogy a védelmi intézkedések ténylegesen működnek-e: naplózás, hozzáférés-kezelés, mentés, szegmentálás. Ezt a részt visszük végig, a felméréstől az auditbizonyítékig, akár a meglévő tanácsadótok mellett.
Az első megbízásnál: ha az általunk írt intézkedési tervet az auditorotok nem fogadja el, nem számlázzuk ki.
Utolsó frissítés: 2026. augusztus 21.
Alapok
Mi az a NIS2?
A NIS2 az Európai Unió kiberbiztonsági irányelve (2022/2555), amely a kockázatos és kiemelten kockázatos ágazatok szervezeteire ír elő kötelező védelmi intézkedéseket, incidensbejelentést és rendszeres auditot. Magyarországon a 2024. évi LXIX. törvény ülteti át, 2025. január 1-jétől hatályos, a felügyeletet az SZTFH látja el.
Jellemzően a középvállalati mérettől felfelé alkalmazandó: 50 fő vagy 10 millió euró éves árbevétel felett, az ágazati listákon szereplő tevékenységeknél. Hogy rátok vonatkozik-e, négy kérdésből kiderül.
Hol tartotok most?
Három helyzet, amiben keresni szoktak.
01 · Most derült ki
Hatály alá estetek, és senki nem tudja, mi jön
A nyilvántartásba vétel az SZTFH-nál, az információbiztonsági felelős kijelölése és a biztonsági osztályba sorolás az első kör. A sorolás kockázatelemzésre épül, és az dönti el, hány védelmi intézkedést kell majd bizonyítanotok.
Amit itt csinálok: Felmérjük a tényleges állapotot, elkészítjük a besorolás technikai alapját, és priorizáljuk, mit kell előbb megépíteni.
02 · Audit közeleg
A követelménylista megvan, a bizonyíték nincs
A kiberbiztonsági audit kétévente kötelező, és nem a szabályzatot olvassa, hanem a működést nézi: fut-e a naplózás, ki fér hozzá mihez, visszaáll-e a mentés. Amire nincs bizonyíték, az az auditor szemében nincs.
Amit itt csinálok: Gap assessment a védelmi intézkedések mentén, fix áron, 2–3 nap alatt. Utána megépítjük a kritikus hiányokat, és automatizáljuk a bizonyítékgyűjtést.
03 · Megállapítások érkeztek
Az audit lement, és van egy lista
A megállapításokra intézkedési terv kell, jellemzően 90 napon belül, felelősökkel, határidőkkel és kockázati értékeléssel. A gyakorlatban itt szokott elakadni a folyamat: a terv megvan, csak nincs, aki technikailag végigvigye.
Amit itt csinálok: Auditorra kész intézkedési tervet írunk, és a zárását is elvégezzük, a hozzáférés-kezeléstől a szegmentálásig. Az első megbízásra garancia jár.
A törvény és a valóság
Amit a NIS2 kér, és amit az a gépteremben jelent.
A kötelezettség
Nyilvántartásba vétel az SZTFH-nál
Amit valójában jelent
Adminisztratív lépés, de innentől a hatóság lát titeket, és a kötelezettségek élesednek. Halogatni a legrosszabb stratégia: a hatóság közhiteles nyilvántartásokból magától is azonosíthat.
A kötelezettség
Biztonsági osztályba sorolás: alap, jelentős vagy magas
Amit valójában jelent
Dokumentált kockázatelemzés, amit kétévente felül kell vizsgálni. Nem formalitás: ez határozza meg, mekkora kontrollkészletet kell működtetnetek és bizonyítanotok.
A kötelezettség
Védelmi intézkedések működtetése
Amit valójában jelent
Ez a mérnöki rész: hozzáférés-kezelés MFA-val, naplózás és detektálás, mentés és helyreállítás, hálózatvédelem, incidenskezelés. A lista hosszú, de priorizálható, és nem kell mindent egyszerre.
A kötelezettség
Kiberbiztonsági audit kétévente
Amit valójában jelent
Az auditor bizonyítékot kér: naplókat, jegyzőkönyvet a visszaállítási tesztről, jogosultsági riportokat. Ha a bizonyíték magától termelődik, az audit formalitás. Ha kézzel gyűjtitek, két hét munka.
A kötelezettség
Incidensbejelentés határidőre
Amit valójában jelent
A korai riasztás 24 órán belül esedékes, a részletes bejelentés 72 órán belül. Ez csak akkor tartható, ha az incidenst egyáltalán észreveszitek: detektálás nélkül a bejelentési kötelezettség is elbukik.
Amit megépítek
Hat kontrollterület. Mindegyik bizonyítékkal zár.
Hozzáférés-kezelés
SSO és MFA bevezetés, ütemezett jogosultság-felülvizsgálat, alvó és túljogosított fiókok automatikus kiszűrése. A riport magától készül, és az maga az auditbizonyíték.
Naplózás és detektálás
Központi loggyűjtés megőrzéssel, hangolt riasztásokkal. A cél, hogy minden riasztásnak gazdája és reakciója legyen.
Mentés és helyreállítás
3-2-1-1-0 architektúra megváltoztathatatlan másolattal, és ütemezett, jegyzőkönyvezett visszaállítási teszt. A mentés attól mentés, hogy visszaállt már.
Hálózatszegmentálás
Zónák és átmenetek, érthető tűzfalszabály-rend, gyártási környezetben OT-leválasztással. Egy zsarolóvírusnak a könyvelésből nem szabad elérnie a gyártósort.
Incidenskezelés
Futtatható runbook, nem polcra írt terv: ki dönt, mit izolálunk, hogyan kommunikálunk, és kész sablonok a 24 és 72 órás bejelentési határidőkhöz.
Auditbizonyíték automatikusan
Ütemezett, verziózott bizonyíték-export minden kontrollról. A következő audit előtti két kapkodós hét ezzel megszűnik létezni.
Mindezt bevált nyílt forráskódú komponensekre építjük, így a mérnöki munkát fizetitek, nem a licencet. Ami elkészül, az a tiétek: konfiguráció, scriptek, dokumentáció, üzemeltethetően átadva.
A tapasztalat
Éles NIS2-programokból hozott tapasztalat.
Az alapító egy multinacionális autóipari gyártóhely NIS2-programját vitte telephelyi szinten: kiberbiztonsági stratégia, hálózatszegmentálás konvergens OT/IT rendszereken, és biztonsági governance öt osztály között, a beszállítói kockázatkezelést is beleértve. Jelenleg egy országos távközlési szolgáltató biztonsági operációjában dolgozik, ahol nap mint nap azokat a kontrollokat üzemelteti, amelyeket a NIS2 elvár.
A részletes esettanulmányok a főoldalon olvashatók, névvel és szereppel.
Árazás
A szám előbb van meg, mint az elköteleződés.
1 · Gap assessment
480 000 Ft-tól
Fix ár · 2–3 nap
Priorizált írásos anyag: mi hiányzik, mekkora kockázat, mi a javító lépés, döntésre készen.
2 · Fókusz-implementáció
980 000 Ft-tól
Fix ár · 2 hét
Egyetlen kontrollterület végigvive: például a mentés és a tesztelt visszaállítás, vagy a jogosultság-felülvizsgálat automatizálása.
3 · Implementáció
2 400 000 Ft-tól
Mérföldkövekre bontva
A hiányzó kontrollok megépítése meghatározott terjedelemmel. Minden mérföldkő átvehető, dokumentált, működő állapot.
4 · Kontroll-monitoring
280 000 Ft / hó-tól
Folyamatos megfelelés
A rendszerek utánam is megfelelőek maradnak: eltérés- detektálás, ütemezett felülvizsgálatok, auditra kész bizonyíték.
A kockázat a miénk, nem a tiétek
Az első megbízásnál: ha az általunk készített intézkedési tervet az auditorotok vagy a hatóság nem fogadja el, nem számlázzuk ki.
Gyakori kérdések
Mennyibe kerül, és mennyi ideig tart?
A gap assessment 480 000 Ft fix áron, 2–3 nap alatt elkészül, és pontosan mutatja, mi hiányzik és milyen sorrendben érdemes zárni. Az implementáció mérföldkövekre bontott ajánlat, nagyjából 2 400 000 Ft-tól. Reális árazási sávot már az első híváson adunk.
Mekkora a bírság, ha nem felelünk meg?
Alapvető szervezetnél a felső határ 10 millió euró vagy az éves világpiaci árbevétel 2%-a, fontos szervezetnél 7 millió euró vagy 1,4%, mindkét esetben a magasabb érték. A gyakorlatban a bírságnál előbb jönnek a felügyeleti intézkedések és a kötelezések, és az irányelv a vezetés felelősségét is kimondja.
Van már tanácsadónk és megfelelési platformunk. Minek még egy szereplő?
A platform nyilvántart, a tanácsadó dokumentál; a naplózást, a szegmentálást és a mentési architektúrát mi építjük meg mellettük. Tanácsadó cégek alvállalkozójaként is dolgozunk.
Elég, ha megírjuk a szabályzatokat?
Az auditig igen, az auditon nem. Az audit a működést vizsgálja: kér egy jogosultsági riportot, kér egy visszaállítási jegyzőkönyvet, megnézi a naplókat. Egy szabályzat, ami mögött nincs működő rendszer, megállapítás lesz, nem megfelelés.
Kisebb cég vagyunk, de egy érintett nagyvállalat beszállítói. Ránk is vonatkozik?
Közvetlenül lehet, hogy nem, közvetve viszont igen: a NIS2 az ellátási lánc biztonságát is megköveteli, ezért az érintett ügyfeleitek előbb-utóbb tőletek is kontrollokat és bizonyítékot fognak kérni. Két perc alatt kiderül az érintettségetek az ellenőrzőnkkel.
Ki végzi az auditot?
Az auditot kijelölt, független auditor végzi. Mi a felkészítést és a technikai megvalósítást visszük, így az auditált rendszer és az auditor független egymástól.
Kezdjük el
Hozzátok az auditjelentést, a követelménylistát, vagy csak a gyanút.
30 perc, díjmentesen, kötelezettség nélkül. A hívás végén tudni fogjátok, hol álltok, mi a három legfontosabb lépés, és mennyibe kerülne, ha velem csináljátok.
Gyártási környezetben vagytok? Az OT/IT biztonságnak külön oldala van. A bizonyítékgyűjtés automatizálásáról pedig itt olvashattok.