Már csak néhány hét maradt az első kötelező kiberbiztonsági audit teljesítésére. Az érintett, 2025. január 1-je előtt működésüket megkezdő szervezeteknek legkésőbb 2026. június 30-ig kell elvégeztetniük az auditot.
A Magyar Kereskedelmi és Iparkamara tájékoztatása szerint mintegy ezer vállalkozásnak kell még teljesítenie a kötelező vizsgálatot. A nagyobb társaságok többsége már megtette a szükséges lépéseket, a kisebb vállalkozások egy része azonban továbbra is lemaradásban lehet.
Az auditkötelezettség nem minden kkv-ra vonatkozik
A NIS2-szabályozás és a magyar Kiberbiztonsági törvény hatálya nem terjed ki automatikusan minden kis- és középvállalkozásra. Az érintettséget többek között a cég tevékenysége, mérete, szolgáltatásainak jellege és az általa kiszolgált ágazat alapján kell meghatározni.
Az auditkötelezettség elsősorban azokra a szervezetekre vonatkozhat, amelyek működése kiemelt vagy kritikus gazdasági, társadalmi, egészségügyi, energetikai, közlekedési vagy digitális szolgáltatáshoz kapcsolódik. Egy beszállító vagy informatikai szolgáltató bizonyos esetekben akkor is érintett lehet, ha saját tevékenységét első pillantásra nem tekinti kritikusnak.
A vállalkozásnak ezért nem elegendő abból kiindulnia, hogy kkv-nak minősül, vagy nem közvetlenül kritikus infrastruktúrát működtet. Az érintettség megállapításához a tevékenységi kört és a jogszabály mellékleteiben meghatározott feltételeket együttesen kell megvizsgálni.
A június végi határidő a korábban működő cégeket érinti
A 2026. június 30-i határidő azokra az auditköteles szervezetekre vonatkozik, amelyek 2025. január 1-je előtt kezdték meg működésüket. Ezeknek a vállalkozásoknak már 2025. augusztus 31-ig szerződést kellett kötniük egy nyilvántartásba vett auditorral.
A 2025. január 1-je után működésüket megkezdő vagy később a törvény hatálya alá kerülő szervezetekre eltérő ütemezés alkalmazandó. Esetükben az első auditot főszabály szerint a hatósági nyilvántartásba vételt követő két éven belül kell elvégeztetni, az auditorral pedig a nyilvántartásba vételtől számított 120 napon belül kell megállapodást kötni.
A vállalkozásoknak ezért először azt kell ellenőrizniük, hogy mikor kerültek a jogszabály hatálya alá, és milyen egyedi határidők szerepelnek a nyilvántartásukban, illetve az auditorral megkötött szerződésben.
Az audit több egyszerű informatikai ellenőrzésnél
A kiberbiztonsági audit nem csupán egy víruskeresésből, jelszóellenőrzésből vagy egyszeri sérülékenységvizsgálatból áll. Az auditor azt vizsgálja, hogy a szervezet informatikai rendszerei, belső szabályai és biztonsági intézkedései megfelelnek-e a jogszabályi követelményeknek.
A vizsgálat kiterjedhet többek között:
- az elektronikus információs rendszerek nyilvántartására;
- a rendszerek biztonsági osztályba sorolására;
- a hozzáférési jogosultságok kezelésére;
- az adatmentési és helyreállítási folyamatokra;
- az incidenskezelési szabályokra;
- a beszállítói és alvállalkozói kockázatokra;
- a munkavállalók biztonságtudatosságára;
- a vezetői felelősségek és jóváhagyások dokumentálására.
Az audit során tehát nemcsak azt ellenőrzik, hogy megfelelőek-e a technikai védelmi eszközök. Az is lényeges, hogy a szervezet szabályozott, dokumentált és ellenőrizhető módon működjön.
Már az audit előtt szükség lehet hiánypótlásra
Az audit nem feltétlenül azzal kezdődik, hogy az auditor megnyom egy nagy piros „ellenőrzés” gombot. Az előkészítés során jellemzően dokumentumokat kér be, egyezteti az audit hatókörét, felméri az informatikai rendszereket és meghatározza a vizsgálat menetét.
Ha a vállalkozás nyilvántartásai hiányosak, a szabályzatai elavultak, vagy nem tudja pontosan meghatározni, milyen rendszereket használ, már az előkészítés is hosszabb időt vehet igénybe.
A június végi határidő közeledtével ezért komoly kockázatot jelenthet, ha a szervezet csak az utolsó napokban kezdi összegyűjteni a dokumentumokat. Az auditor megállapításai alapján ugyanis további intézkedésekre, technikai módosításokra vagy vezetői döntésekre is szükség lehet.
Csak nyilvántartott auditor végezheti el a vizsgálatot
A kötelező kiberbiztonsági auditot kizárólag az SZTFH nyilvántartásában szereplő auditor végezheti el. A vállalkozásnak ezért ellenőriznie kell, hogy a szerződéses partnere a vizsgálat időpontjában is rendelkezik-e a szükséges jogosultsággal.
Az audit lezárását követően az auditor az eredményeket nemcsak a vizsgált szervezetnek, hanem az SZTFH-nak is megküldi. A jelentés ezért hivatalos megfelelési dokumentumnak számít, nem pusztán belső informatikai értékelésnek.
A vállalkozás vezetésének érdemes előzetesen tisztáznia azt is, ki jogosult a jelentés átvételére, a feltárt hiányosságok kezelésére és az esetleges javító intézkedések jóváhagyására.
A vezetői felelősség nem adható át teljesen az informatikusnak
Gyakori tévedés, hogy a kiberbiztonsági megfelelés kizárólag az informatikai szolgáltató vagy a rendszergazda feladata. A technikai szakemberek szerepe valóban alapvető, de a kockázatkezelési és szervezeti döntésekért a vállalkozás vezetése felel.
A vezetésnek kell meghatároznia többek között:
- a vállalható kockázati szinteket;
- a hozzáférési jogosultságok jóváhagyási rendjét;
- az adatmentési követelményeket;
- az incidensek jelentési folyamatát;
- a külső szolgáltatók ellenőrzésének szabályait;
- a szükséges fejlesztések pénzügyi és személyi erőforrásait.
Az informatikus jelezheti például, hogy egy rendszer elavult vagy egy biztonsági frissítés elmaradt, a javításhoz szükséges költségkeretről és szervezeti intézkedésről azonban már a vezetésnek kell döntenie.
Az utolsó hetekben célzott ellenőrzőlista segíthet
Az érintett vállalkozásoknak célszerű haladéktalanul áttekinteniük, hogy az audit előkészítéséhez szükséges alapvető feltételek rendelkezésre állnak-e.
Ellenőrizni kell az auditorral kötött szerződést, az audit ütemezését és a vizsgálatba bevont rendszerek körét. Érdemes kijelölni egy felelős személyt, aki összegyűjti a dokumentumokat, kapcsolatot tart az auditorral és nyomon követi a szükséges intézkedéseket.
Szükség lehet az eszköz- és rendszerleltár frissítésére, a felhasználói jogosultságok ellenőrzésére, a korábbi incidensek dokumentálására, valamint az adatmentések működőképességének igazolására is.
Külön figyelmet érdemelnek a külső szolgáltatók. A felhőszolgáltatók, könyvelési rendszerek, ügyfélkezelő programok, tárhelyszolgáltatók és informatikai alvállalkozók ugyanis olyan adatokat vagy rendszereket kezelhetnek, amelyek az audit hatókörébe tartoznak.
Ingyenes rendezvénysorozattal segíti a cégeket a kamara
A Magyar Kereskedelmi és Iparkamara tizenkét alkalomból álló, ingyenes online rendezvénysorozatot indított a kkv-k kiberbiztonsági felkészülésének támogatására.
Az online eseményeket novemberig kéthetente rendezik meg. A programban a vállalkozások segítséget kaphatnak az auditjelentések értelmezéséhez, a szükséges intézkedések megtervezéséhez és az újabb uniós kiberbiztonsági szabályok megismeréséhez.
A kamara kibővítette a SecureBot sérülékenységvizsgálati rendszer működését is. Az eszköz már webes szolgáltatások elemzésére is használható, ezért olyan vállalkozások számára is hasznos lehet, amelyek nem tartoznak közvetlenül a Kiberbiztonsági törvény hatálya alá, de weboldalt, ügyfélportált vagy más online felületet működtetnek.
A megfelelés a határidő után sem ér véget
A kiberbiztonsági audit nem egyszeri adminisztratív feladat, amelynek teljesítésével évekre fiókba tehető a dokumentáció. Az informatikai rendszerek, a munkavállalói jogosultságok, a beszállítók és a támadási módszerek folyamatosan változnak.
A vállalkozásnak ezért az audit után is fenn kell tartania a megfelelő biztonsági intézkedéseket, kezelnie kell a feltárt hiányosságokat, és dokumentálnia kell a rendszereket érintő lényeges változásokat.
A megfelelés üzleti szempontból sem mellékes. Egy sikeres kibertámadás működésképtelenné teheti a vállalkozás informatikai rendszerét, kiszivárogtathatja az ügyfelek adatait, leállíthatja a számlázást, és jelentős bizalomvesztést okozhat.
A június 30-i határidő tehát nem pusztán egy újabb dátum a vállalati naptárban. Az érintett cégek számára ez annak ellenőrzését jelenti, hogy a működésük digitális alapjai valóban ellenállnak-e egy komolyabb biztonsági incidensnek.