NIS2 melléklet - mit ad az IOA a szervezet kiberbiztonsági intézkedéseihez

Dokumentum-verzió: 2.1 - Dátum: 2026-10-13

0. Amit elöl kell kimondani: NEM LÉTEZIK "NIS2-MEGFELELŐ SZOFTVER"

A NIS2 irányelv és a magyar átültetés SZERVEZETET kötelez, nem terméket minősít. Egyetlen szoftver sem tud "NIS2-megfelelő" lenni, és aki ilyet állít, félrevezet.

Amit ez a melléklet ad: végigveszi a NIS2 21. cikk (2) szerinti intézkedéseket, és minden sornál szétválasztja, mit ad hozzá a rendszer, és mi marad az üzemeltető szervezet feladata.

Hatályos magyar jog (ellenőrizve 2026-09-03):

• 2024. évi LXIX. törvény Magyarország kiberbiztonságáról, hatályos 2025. január 1-től. Ez váltotta fel a korábbi kiberbiztonsági szabályozást.
• 1/2025. (I. 31.) SZTFH rendelet a kiberbiztonsági auditról.
• A sokat idézett 2023. évi XXIII. törvény már NEM hatályos. Ha egy anyag arra hivatkozik, elavult.
• Felügyeleti hatóság: SZTFH, a NIS2 mellékleteiben megjelölt ágazatokban (a banki, a pénzügyi piaci infrastruktúra és a közigazgatás kivételével).

Hogy a szervezet érintett-e, azt a saját ágazata és mérete dönti el, nem a használt szoftver. Ezt a szervezetnek magának kell megállapítania.

1. A 21. cikk (2) intézkedései - mit ad a rendszer, mi marad az üzemeltetőé

2. Ahol a rendszer valóban hozzátesz: i) pont

Az eszközleltár és a hozzáférés-kezelés maga is nevesített NIS2-intézkedés (21. cikk (2) i)). Ez nem marketing-állítás, hanem a jogszabály szövege - és pont ez a termék tárgya.

Amit a rendszer ehhez ad, mérve:

• naprakész eszközleltár: mi van, hol van, kinél van, milyen állapotban;
• kinél van most: a mozgások alapján bármikor megállapítható;
• átvételi bizonyíték: aláírt jegyzőkönyv, névvel és időponttal;
• utólag nem módosítható napló az adatváltozásokról (eszköz, személy, hely, mozgás, jegyzőkönyv, fájl, jogosultság, beállítás, a szabad mezők definíciója). Két adminisztratív lépés ma még nem kerül a naplóba: a sorszám-számlálók kézi átállítása és az értesítési beállítások változása;
• szerepkör-alapú jogosultság, és a támogatói belépés (impersonation) külön nyilvántartása;
• kilépő munkatárs elszámoltatása: tételesen látszik, mi van még nála.

Egy kiegészítés, ami a leltár teljességéhez tartozik: a leltár annyira naprakész, amennyire a szervezet vezeti. A rendszer nem fedez fel magától eszközt a hálózaton.

3. Bejelentési határidők - a szervezeté, nem a szoftveré

Jelentős incidens esetén a szervezetet terhelik:

A szoftver ehhez naplóadatot ad, de nem jelent be és nem figyeli a határidőt. Nincs a rendszerben olyan óra, amely az incidens észlelésétől számolna, és nincs automatikus értesítés a hatóság felé. Ezt azért írjuk le, hogy senki ne számítson rá.

(Külön, és ez a szolgáltatói oldal: ha az üzemeltető oldalán történik adatvédelmi incidens, arról az Adatfeldolgozási feltételek (f) pontja szerint 24 órán belül értesítjük az Adatkezelőt, hogy tartani tudja a saját 72 óráját.)

4. Audit

A kiberbiztonsági audit eljárásrendjét az 1/2025. (I. 31.) SZTFH rendelet szabályozza. Az audit a szervezetre irányul. A rendszer ehhez naplókat, hozzáférési listákat és eszközleltárt tud szolgáltatni; az auditot nem helyettesíti, és önmagában nem elégít ki egyetlen audit-követelményt sem.

Ez a melléklet a rendszer 2026-10-13-i mért állapotát írja le; a 2. pont naplózási listáját 2026-10-19-én újramértük. A hivatkozott jogszabályok hatályosságát 2026-09-03-án ellenőriztük. Sehol nem állít termék-megfelelést, és ez szándékos.

Változásjegyzék