IBF és vezetői felelősség. Hogyan működjön az irányítási rendszer az első audit után?

Az MKIK kiberbiztonsági programjának 2026. szeptember 15-i online workshopján az információbiztonsági felelős (IBF) feladatairól, a szervezet vezetőjének felelősségéről és az információbiztonsági irányítási rendszer (IBIR) mindennapi működtetéséről volt szó. Összefoglalónk a legfontosabb gondolatokat és a gyakorlatban is használható tanácsokat gyűjti össze.

Előadók

• Elter András, az MKIK kiberbiztonsági programjának szakmai vezetője, OSCP, CISSP
• Erdei Csaba, a Rescon IT Kft. ügyvezetője, ISO 27001 LA
• Dr. Szakolyi András, CISA, adatvédelmi szakjogász, mesterséges intelligencia és technológiai jogi szakjogász, ISO 27001 és ISO 42001 LA, IBF, DPO

A LEGFONTOSABB ÜZENETEK RÖVIDEN

• A következő NIS2-auditon már nem elég a szabályzat. Igazolni kell, hogy a szervezet a leírtak szerint működik.
• A vezető sok feladatot átadhat az IBF-nek, a kockázatok elfogadását és az üzleti döntéseket viszont nem. Személyesen is bírságolható.
• Az IBF-nek hatáskör, erőforrás és idő kell. Aki egyszerre üzemelteti a rendszert és ellenőrzi is, az nem független kontroll.
• Az IBF és az informatika partnerek. Az IBF hozza a követelményeket, és munkát vesz le az informatikusok válláról.
• Egy százfős cég példáján a feladatok mintegy 45%-a az IBF-re jutott, ezért a szerepre valódi munkaidőt kell szánni.

A második audit már a működést kéri számon

A NIS2 hatálya alá tartozó szervezetek többsége túl van az első auditon, és a tapasztalat az, hogy a megfelelés nem lehetetlen. Alapszinten a technikai előírások nagyrészt azt kérik, amit egy korszerűen működtetett informatikától amúgy is elvárnánk. Az igazi újdonság a dokumentáció, amelynek terhét az előadók indokolatlanul nagynak tartják.

Az első körben a negyedéves, féléves és éves ellenőrzéseket még nem lehetett számon kérni, hiszen a szabályozás friss volt. Két év múlva ez megváltozik. Az auditor azt nézi majd, megvan-e a szabályozás, és tényleg aszerint működik-e a szervezet. Az utólag legyártott bizonyítékot egy közepesen képzett auditor is kiszúrja. Az egyik cégnél a szabályzatok egy része még a másfél éve lecserélt logóval szerepelt, felülvizsgálat tehát nyilvánvalóan nem történt.

Visszatérő hiba, hogy már az IBF kinevezése sem szabályos, mert a szerződés vagy a munkaköri leírás nem delegálja megfelelően a feladatokat. Gyakran hiányzik a szabályzatok felülvizsgálata, a mentések, a javítások és az incidensek nyilvántartása, és elmarad az éves oktatás. Ezek egyszerű, jól ellenőrizhető bizonyítékok.

Amit a vezető nem adhat tovább

A kiberbiztonsági törvény szerint a szervezet vezetője kockázatmenedzsment keretrendszert hoz létre és működtet. A tételes felsorolásban ebből hosszú lista lesz az elektronikus információs rendszerek (EIR) nyilvántartásától a biztonsági osztályba soroláson át az incidenskezelésig. A lista az IBF kijelölésével zárul, a jogalkotó tehát nem várja, hogy a vezető mindezt maga végezze. Néhány döntés azonban nála marad.

• Ő hagyja jóvá az EIR-ek használatbavételét.
• Ő fogadja el a kockázatelemzést és a maradványkockázatokat.
• Ő adja ki a szabályozást, és ő nevezi ki a felelősöket.
• Az üzleti és pénzügyi döntések is az ő kezében vannak.

A kockázatelfogadó nyilatkozat aláírása nem formaság. Ekkor szembesül a vezető azzal, mekkora kárt okozhat egy kezeletlen kockázat, és az előadók tapasztalata szerint ez a leghatékonyabb érv az erőforrásokért. Jó példa a mentés. Azt, hogy mennyi idő alatt kell visszaállni, az üzlet határozza meg, a megvalósítás az informatika dolga.

Újdonság, hogy a vezető személyesen is bírságolható, 15 millió forintig (418/2024. Korm. rendelet 42. §). Alapvető szervezetnél, ha a hatósági kötelezés határidőben nem teljesül, a hatóság a cégbíróságnál a vezető ideiglenes eltiltását is kezdeményezheti. A vezetőnek képzési kötelezettsége is van. Kinevezése után egy éven belül legalább 8 órás képzést, utána évente legalább 4 órás továbbképzést kell elvégeznie (17/2025. EM rendelet). Aki 2025 vége előtt lett vezető, annak az alapképzést 2026. december 31-ig kell teljesítenie.

Ki legyen az IBF?

Az IBF csak cselekvőképes, büntetlen előéletű személy lehet, és erről a vezetőnek meg kell győződnie. A NIS2-kötelezett vállalkozásoknál végzettségi előírás nincs (a közszférában és a kritikus szervezeteknél van), a továbbképzés viszont mindenkire vonatkozik. Évente legalább 20 órát kell teljesíteni, a 2025 vége előtt kinevezett IBF-eknek először 2026. december 31-ig.

A törvény szerint a gazdasági vezető, az informatikai üzemeltető vagy fejlesztő, illetve az ő közvetlen beosztottjuk nem lehet IBF. A vállalkozásokra ez a tilalom nem vonatkozik, az előadók mégis egyértelműen lebeszéltek róla. Aki saját magának tesz javaslatot, maga hagyja jóvá a költségvetést és maga értékeli a saját munkáját, az nem független kontroll, és ezt az auditor szóvá fogja tenni. Különösen kockázatos, ha az üzemeltetést végző külső cég adja az IBF-et is.

Külsős IBF is megbízható, de meg kell nevezni a feladatot ellátó természetes személyt, és a szerződésbe a közreműködői kötelezettségeket is be kell építeni. Rossz gyakorlat, ha a feladat arra kerül, aki épp a legközelebb ült az ügyvezetőhöz, például a minőségirányítási vezetőre vagy a főmérnökre. A szerep az előadók szerint havi egy-három nap munkát kíván, audit vagy incidens idején többet. A sok cégnél párhuzamosan vállalt IBF-megbízás ezért életszerűtlen.

Kockázatelemzés sablon nélkül, beszerzés IBF-fel

Az IBF elsődleges feladata a kockázatkezelés működtetése. A kockázatokat a saját működésből kell összegyűjteni, például az auditjelentés hiányosságaiból és a feltárt sérülékenységekből, és mindegyikhez intézkedést, felelőst, határidőt és erőforrást kell rendelni. Az internetről letöltött, sablonkockázatokkal teli táblázatot az auditor nem fogadja el. Adatvagyon-felmérés és üzleti hatáselemzés nélkül a kockázatelemzés nem megalapozott, a haladást pedig rendszeres, például negyedéves felülvizsgálat igazolja.

Új rendszer beszerzésénél az IBF-nek már a szándékról tudnia kell. Ő határozza meg a biztonsági követelményeket, szerződéskötés előtt értékeli a beszállítót, és részt vesz a szerződés kialakításában, mert a 7/2024. MK rendelet előírja a közreműködői szerződések kötelező tartalmát. Ha a beszállító nem felel meg, a szervezet sem tud megfelelni. A közreműködők értékelését évente meg kell ismételni. Az IBF dolga a jogszabályok követése is, ami a termékfelelősségi irányelv, a Cyber Resilience Act és az MI-rendelet miatt egyre nagyobb feladat.

Az oktatás az alacsonyan csüngő gyümölcs

Az IBF azt ellenőrzi, hogy a szervezet a szabályzatai szerint működik-e. Ehhez érdemes éves, kockázatarányos ellenőrzési tervet készíteni, például a be- és kilépők jogosultságainak tételes átnézésével. Az ellenőrzés kéz a kézben jár az oktatással. A nem informatikus munkatársaknak a rájuk vonatkozó szabályokat kell megismerniük, az informatikusokkal a saját területük előírásait érdemes rendszeresen átbeszélni. A szimulációs gyakorlat egyszerre képez és tesztel.

A tudatossági képzés olcsó, az IBF maga is megtarthatja, és a munkatársak a magánéletükben is hasznát veszik. Ezen a ponton elbukni az előadók szerint hanyagság. Bizonyítéknak elfogadható az aláírt jelenléti ív a tematikával és az oktatási anyaggal, az e-learning rendszer teljesítési kimutatása, de egy egyszerű online kérdőív is.

Az elhallgatott incidens rosszabb a bejelentettnél

Egy NIS2-kötelezett vállalkozásnak azokat az incidenseket kell bejelentenie, amelyek súlyos zavart vagy vagyoni hátrányt okoznak a működésében, illetve jelentős kárt okoznak másoknak. A bejelentés a nemzeti kiberbiztonsági incidenskezelő központnak szól (Kbtv. 66. §), a közszférában minden incidenst jelenteni kell. A 418/2024. Korm. rendelet részletes bejelentési rendje a hatálya alá nem tartozó cégeknek is jó sorvezető.

A bejelentés elmaradása rossz üzenet a hatóságnak és az ügyfeleknek is, mert eltitkolásnak tűnik. A bejelentés és a kivizsgálás két külön dolog, a be nem jelentett incidensről is vizsgálati jegyzőkönyvet kell felvenni. Ha személyes adat is érintett, az adatvédelmi teendőket is el kell végezni. A Nemzeti Kibervédelmi Intézetről (NKI) az előadóknak kizárólag jó tapasztalata van, kiadványait, hírleveleit és riasztásait érdemes követni.

Az IBF nem revizor, hanem partner

Sok informatikus támadásként éli meg, ha a területét vizsgálják. A könyvvizsgáló sem azért van, mert a könyvelő rosszul dolgozik. Az együttműködés az informatikának is megéri, mert az IBF hozza a biztonsági és jogi követelményeket, az informatika a szakmai tudást, és így közösen írják meg például a mentési szabályzatot. Az első sérülékenységvizsgálat eredménye a szervezet korábbi hozzáállását minősíti, nem az informatikusokat. A másodikból viszont már következtetést kell levonni.

Az adatvédelmi tisztviselőnek a GDPR 32. cikke miatt a NIS2-től függetlenül is figyelnie kell a biztonságra, az incidenseket érdemes közösen kivizsgálni. Új szerep az MI-rendszerekért felelős személy. Az MI-projektek nagy része már azon elbukik, hogy nincs adatvagyonleltár. A rendszerbiztonsági terv jelentősége nőni fog, mert van olyan auditor, aki ebből indul ki, és ehhez méri a bizonyítékokat. Jól megírni csak az IBF és az üzemeltetés együtt tudja.

Hová kerülnek a feladatok? Egy százfős cég példája

Az előadók egy alap biztonsági osztályba sorolt, mintegy százfős szoftverfejlesztő cég valós szabályozásából gyűjtötték ki a feladatokat. 106-107 feladat jött ki, tíz szerepkörre bontva. Ennek mintegy 45%-a az IBF-hez tartozott, jelentős teher maradt a rendszergazdán és az üzemeltetési vezetőn, és jutott feladat a HR-vezetőnek, az ügyvezetőnek, az adatvédelmi tisztviselőnek, az adatgazdáknak és a fejlesztőknek is. Folyamatosan vagy rendszeresen elvégzendő feladat csak 18 volt, a többi eseti vagy egy-két évente esedékes.

A visszatérő feladatokat érdemes jegykezelő rendszerben vezetni a következő határidővel együtt, és ugyanott dokumentálni az elvégzésüket. Excel, papír vagy e-mail is megfelel, a lényeg a következetesség. Egy jól beállított jegykezelő végigvezeti a szervezetet a feladatokon, és közben termeli a bizonyítékot. Túlszabályozni nem kell, de az asztalfióknak írt szabályzat az auditon lebukik. Ha minden dokumentum az IBF-re hárul, érdemi információt viszont nem kap, a sablonszövegek bennmaradnak. Ezért a szerepre munkaidőt kell szánni, belsős és külsős megbízásnál egyaránt.

SecureBot, ingyenes ellenőrzés kívülről

A program regisztrációhoz kötött, térítésmentes SecureBot szolgáltatása három dolgot kínál. A sérülékenységvizsgálat az internet felől elérhető webes szolgáltatásokat nézi meg hatféle vizsgálattal (köztük OpenVAS-szal), és kimutatja az elavult komponenseket és a feltöltött állományok módosulását is. A riasztórendszer csak a megadott szoftvereket érintő sérülékenységekről küld e-mailt, és az NKI és a KiberPajzs riasztásai is bekerülnek. A szállítói adatbázisban magyar informatikai kkv-k kínálják szolgáltatásaikat a feltárt hibák javításához.

Vizsgálatot csak a cég képviselője által aláírt megállapodással lehet indítani, így mindenki csak a saját rendszerét tesztelheti. Az eredmény PDF-ben érkezik, és egy korábbi, fizetős vizsgálat keresztellenőrzésére is alkalmas. Jelentős biztonsági osztályban az automatikus vizsgálat önmagában kevés, ott kézi alkalmazásvizsgálat is kell.

Mit tegyen most egy kkv?

• Ellenőrizze, hogy az IBF kinevezése valóban delegálja-e a feladatokat, és van-e a szerep betöltőjének ideje rá.
• Kezdje el most gyűjteni a működés bizonyítékait (felülvizsgálatok, mentések, javítások, oktatások), mert a következő audit ezt kéri.
• Mutassa be a vezetőnek a kockázatokat és a lehetséges kárt, és vele írassa alá a kockázatelfogadást.
• Ha a vezetőt vagy az IBF-et 2025 vége előtt nevezték ki, gondoskodjon róla, hogy a kötelező képzés 2026. december 31-ig meglegyen.
• Vezesse a visszatérő feladatokat jegykezelőben vagy legalább egy táblázatban.
• Futtasson SecureBot-vizsgálatot a webes szolgáltatásaira.

A program iránymutatásai és szakértői állásfoglalásai a nis2.mkik.hu oldalon érhetők el. Egyedi kérdésekben térítésmentes egyéni konzultáció is igénybe vehető.