NIS2 melléklet
NIS2 melléklet - mit ad az IOA a szervezet kiberbiztonsági intézkedéseihez
Dokumentum-verzió: 2.0 - Dátum: 2026-10-13
0. Amit elöl kell kimondani: NEM LÉTEZIK "NIS2-MEGFELELŐ SZOFTVER"
A NIS2 irányelv és a magyar átültetés SZERVEZETET kötelez, nem terméket minősít. Egyetlen szoftver sem tud "NIS2-megfelelő" lenni, és aki ilyet állít, félrevezet.
Amit ez a melléklet ad: végigveszi a NIS2 21. cikk (2) szerinti intézkedéseket, és minden sornál szétválasztja, mit ad hozzá a rendszer, és mi marad az üzemeltető szervezet feladata.
Hatályos magyar jog (ellenőrizve 2026-09-03):
- 2024. évi LXIX. törvény Magyarország kiberbiztonságáról, hatályos 2025. január 1-től. Ez váltotta fel a korábbi kiberbiztonsági szabályozást.
- 1/2025. (I. 31.) SZTFH rendelet a kiberbiztonsági auditról.
- A sokat idézett 2023. évi XXIII. törvény már NEM hatályos. Ha egy anyag arra hivatkozik, elavult.
- Felügyeleti hatóság: SZTFH, a NIS2 mellékleteiben megjelölt ágazatokban (a banki, a pénzügyi piaci infrastruktúra és a közigazgatás kivételével).
Hogy a szervezet érintett-e, azt a saját ágazata és mérete dönti el, nem a használt szoftver. Ezt a szervezetnek magának kell megállapítania.
1. A 21. cikk (2) intézkedései - mit ad a rendszer, mi marad az üzemeltetőé
| Intézkedés | Mit ad az IOA | Mi marad a szervezeté |
|---|---|---|
| a) kockázatelemzés, információbiztonsági politika | adatot ad hozzá: mi van, kinél, mióta | a politika megírása, a kockázatelemzés elvégzése |
| b) incidenskezelés | naplóadat a történtekhez: ki, mit, mikor, milyen böngészőből; a napló utólag nem módosítható | az incidenskezelési eljárás, a döntés, a bejelentés |
| c) üzletmenet-folytonosság, mentés, válságkezelés | napi adatbázis-mentés, 30 napos megőrzéssel (LEGAL_BACKUP_RETENTION_DAYS=30), minden mentés után automatikus visszaállítási próba |
a saját folytonossági terv, a helyreállítási célértékek |
| d) ellátási lánc biztonsága | az alfeldolgozók megnevezése az Adatfeldolgozási feltételek (d) pontjában | a beszállítók értékelése, a szerződéses kikötések |
| e) beszerzés, fejlesztés, karbantartás biztonsága | verziózott kiadás, biztonsági javítások | a saját beszerzési és változáskezelési rend |
| f) az intézkedések hatékonyságának mérése | naplóadat és hozzáférési nyilvántartás a méréshez | maga a mérés és annak értékelése |
| g) kiberhigiénia, képzés | nem ad | teljes egészében a szervezeté |
| h) kriptográfia, titkosítás | HTTPS; titkos beállítások mezőszintű titkosítása | a saját titkosítási politika, kulcskezelés |
| i) emberi erőforrás biztonsága, HOZZÁFÉRÉS-KEZELÉS, ESZKÖZLELTÁR | ez a rendszer fő hozzájárulása, lásd a 2. pontot | a jogosultsági rend meghatározása |
| j) többtényezős hitelesítés, biztonságos kommunikáció | kétlépcsős azonosítás elérhető; HTTPS | a kötelezővé tétel és annak számonkérése |
2. Ahol a rendszer valóban hozzátesz: i) pont
Az eszközleltár és a hozzáférés-kezelés maga is nevesített NIS2-intézkedés (21. cikk (2) i)). Ez nem marketing-állítás, hanem a jogszabály szövege - és pont ez a termék tárgya.
Amit a rendszer ehhez ad, mérve:
- naprakész eszközleltár: mi van, hol van, kinél van, milyen állapotban;
- kinél van most: a mozgások alapján bármikor megállapítható;
- átvételi bizonyíték: aláírt jegyzőkönyv, névvel és időponttal;
- utólag nem módosítható napló az adatváltozásokról (eszköz, személy, hely, mozgás, jegyzőkönyv, fájl, jogosultság, beállítás). Néhány adminisztratív lépés ma még nem kerül a naplóba: a sorszám-számlálók kézi átállítása, az értesítési beállítások és a szabad mezők definíciójának változása;
- szerepkör-alapú jogosultság, és a támogatói belépés (impersonation) külön nyilvántartása;
- kilépő munkatárs elszámoltatása: tételesen látszik, mi van még nála.
Egy kiegészítés, ami a leltár teljességéhez tartozik: a leltár annyira naprakész, amennyire a szervezet vezeti. A rendszer nem fedez fel magától eszközt a hálózaton.
3. Bejelentési határidők - a szervezeté, nem a szoftveré
Jelentős incidens esetén a szervezetet terhelik:
| Határidő | Mit |
|---|---|
| 24 óra | korai előrejelzés |
| 72 óra | incidensbejelentés |
| 1 hónap | záró jelentés |
A szoftver ehhez naplóadatot ad, de nem jelent be és nem figyeli a határidőt. Nincs a rendszerben olyan óra, amely az incidens észlelésétől számolna, és nincs automatikus értesítés a hatóság felé. Ezt azért írjuk le, hogy senki ne számítson rá.
(Külön, és ez a szolgáltatói oldal: ha az üzemeltető oldalán történik adatvédelmi incidens, arról az Adatfeldolgozási feltételek (f) pontja szerint 24 órán belül értesítjük az Adatkezelőt, hogy tartani tudja a saját 72 óráját.)
4. Audit
A kiberbiztonsági audit eljárásrendjét az 1/2025. (I. 31.) SZTFH rendelet szabályozza. Az audit a szervezetre irányul. A rendszer ehhez naplókat, hozzáférési listákat és eszközleltárt tud szolgáltatni; az auditot nem helyettesíti, és önmagában nem elégít ki egyetlen audit-követelményt sem.
Ez a melléklet a rendszer 2026-10-13-i mért állapotát írja le. A hivatkozott jogszabályok hatályosságát 2026-09-03-án ellenőriztük. Sehol nem állít termék-megfelelést, és ez szándékos.
Változásjegyzék
| Verzió | A szöveg elkészült | Mi változott |
|---|---|---|
| 2.0 | 2026-10-13 | c) sor: a mentés napi, 30 napos megőrzéssel, minden mentés után visszaállítási próbával. 2. pont: a napló nem "minden változást" rögzít; felsorolva, mely adminisztratív lépések nem kerülnek a naplóba. |