NIS2 vs Cyberesilience Act + Digital Omnibus, AI ACT egyéb KKV-k számára releváns falatok az uniós jog betűlevesből
NIS2, CRA, PLD és AI Act. Mit jelentenek egy kis- és középvállalkozásnak?
Az MKIK kiberbiztonsági programjának 2026. szeptember 22-i online workshopján az auditok tanulságairól, az uniós technológiai szabályozás újdonságairól és a vállalkozásokat célzó csalásokról volt szó. Összefoglalónk a legfontosabb gondolatokat és a gyakorlatban is használható tanácsokat gyűjti össze.
Előadók
- Freisleben Vilmos, igazgató, MNB Fogyasztóvédelmi Igazgatóság
- Hegyi Henrietta, PhD, ISO 27001 auditor, ISO 42001 auditor, CEH, IBF, a Rescon IT senior tanácsadója
- Elter András, az MKIK kiberbiztonsági programjának szakmai vezetője, OSCP, CISSP
- Dr. Szakolyi András, CISA, adatvédelmi szakjogász, mesterséges intelligencia és technológiai jogi szakjogász, ISO 27001 és ISO 42001 LA, IBF, DPO
A LEGFONTOSABB ÜZENETEK RÖVIDEN
- A NIS2-audit szigorú és nehezen kijátszható. Egységes logikára épülő megfeleléssel lehet átmenni rajta, sablonokkal nem.
- A csalók nem a rendszereket törik fel, hanem az embereket vezetik félre. A munkatársak felkészítése a leghatékonyabb védekezés.
- A Cyber Resilience Act és az új termékfelelősségi szabályok szinte minden szoftverfejlesztőt érintenek.
- Az MI-rendelet alól senki nem bújhat ki, alkalmazóként mindenki érintett.
- A Digital Omnibus könnyít a terheken, de a compliance-feladatok nagy része megmarad.
Mit tanultunk az eddigi NIS2-auditokból?
Hegyi Henrietta auditorként és felkészítőként is dolgozik. Tapasztalata szerint sok szervezet abban bízott, hogy egy meglévő ISO 27001-es tanúsítvány vagy a „biztonságtudatos működés” elég lesz. Nem lett elég. Alapszinten nagyjából 1800 elemi követelményt kell vizsgálni, és az auditor egyiket sem ugorhatja át. Őt a hatóság is ellenőrzi, ezért szívességet nem tehet.
Így lehet biztosan megbukni
- A szabályzatok és a bizonyítékok egyetlen mappába ömlesztve érkeznek, és nem derül ki, melyik mihez tartozik.
- A kockázatelemzés egy háromsoros Excel-tábla, az intézkedési tervből hiányzik a határidő és a felelős.
- Az oktatást csak egy gyanús jelenléti ív igazolja, tematika nélkül.
- Egy teljes követelménycsalád, például a naplózás vagy a hozzáférés-kezelés kimarad.
Egy figyelmeztető példa is elhangzott. Az egyik szervezetnél egyszerűen lemaradt a beküldött anyagból az elkészült intézkedési terv, és ez nagyjából 10% pontveszteséget jelentett.
Kapcsolódó iránymutatások és állásfoglalások
- Sikertelen audit után hogyan készítsünk intézkedési tervet? (iránymutatás)
- Mi történik, ha nem felel meg egy cég az auditon? (állásfoglalás)
- A jegykezelő rendszer bejegyzései jogilag elfogadhatóak-e audit bizonyítékként? (állásfoglalás)
- A naplózás fontossága és mélysége a NIS2 megfelelés szempontjából (állásfoglalás)
- Milyen oktatásokat kell elvégezni a NIS2 megfeleléshez és hogyan kell azokat végrehajtani? (iránymutatás)
Hogyan készüljünk fel?
Az auditok másfél-két hónaposak, a felkészülés jellemzően ennél hosszabb, egy-két hét alatt nem megoldható. Az előauditra már a dokumentáció nagyjából 90%-át be kell nyújtani, ez tehát nem második esély.
A tanácsadói piacon érdemes óvatosnak lenni, erre az előadók két valós esetet is hoztak. Egy felkészítő, aki mellékesen hardvert is árult, az összes szerver cseréjével akarta kezdeni. Közben olyan szervezet is 90%-kal ment át jelentős osztályban, amelynek gépein körülbelül 20%-ban Windows 10 vagy régebbi rendszer futott. Egy másik helyen egy ismert tanácsadó cég 6 millió forintért adott egy sablont és másfél óra helyszíni munkát. Az auditor azt javasolta, hogy keressenek rendes felkészítőt.
Mire figyeljünk a felkészítő kiválasztásakor?
- Mióta foglalkozik a cég ténylegesen kiberbiztonsággal?
- Vannak-e független, nem a saját honlapján szereplő referenciái?
- Rendelkeznek-e a szakértők az IBF számára jogszabályban előírt tanúsítványok valamelyikével?
- Vállal-e garanciát arra, hogy végigkíséri a szervezetet az auditon?
Kapcsolódó iránymutatások és állásfoglalások
- Elvárások a NIS2 felkészítőkkel szemben, egy felkészítő megbízásának részletei (állásfoglalás)
- Milyen továbbképzési kötelezettségei vannak az IBF-nek? (állásfoglalás)
- Milyen továbbképzési kötelezettségei vannak a szervezet vezetőjének? (állásfoglalás)
- Nem támogatott operációs rendszerek NIS2-kompatibilis használata (állásfoglalás)
- Van-e élet az audit után? Mire figyeljünk, hogy a következő auditon is átmenjünk? Hogyan alakítsunk ki hosszú távon fenntartható IBIR-t? (állásfoglalás)
A csalók az embereket támadják
A KiberPajzs tapasztalatai Freisleben Vilmos (MNB) előadása alapján
Az online csalás olyan, mint a covid volt. Sokan azt hitték, őket nem érinti, aztán kiderült, hogy mindenkit elér. Ukrajnában 94 csaló call centert számoltak fel, az Europol pedig egy 400 fős szervezetet mutatott be vezetőséggel, HR-rel, fix fizetéssel és jutalékkal. A csalás mára szervezett iparág.
Az egyik tanulságos esetben a bank nevében hívták fel az éppen autót vezető ügyvezetőt, aki a könyvelőhöz irányította a hívókat. A könyvelő segítségével kiürítették a cég számláját, aztán a könyvelő saját magánszámláját is.
A vállalkozásokat érintő leggyakoribb csalások
- Zsarolóvírus. Egy hamis adatfrissítési kérés linkjén jutnak be, aztán zárolják a gépeket. Fizetni nem javasolt.
- Levelezőfiók-feltörés. A valódi céges fiókból érkezik az utasítás vagy a számlaszám-változás, akár éppen egy nagyobb kifizetés előtt.
- Számlacsalás. Ismerős arculat, hitelesnek látszó szerződés, de eltérő számlaszám.
- Visszaigénylési csalás. A webáruház vevője vitatja a kézbesítést, és visszaköveteli a pénzt.
- Ismételt megkeresés. A korábbi áldozatnak „megtalálják” a pénzét, de előbb 10-16%-os „adót” kérnek.
A csalók sürgetnek, fenyegetnek, jutalmat ígérnek és elszigetelik az áldozatot. Egy nemzetközi cég magyar munkatársának például „az anyavállalat vezetője” ígérte a hazai cég vezetését, ha titokban segít egy átszervezésben.
Védekezés a gyakorlatban
- Minden változást független, korábbról ismert csatornán ellenőrizzünk.
- A nyelvi hiba már nem árulkodó jel, mert az MI-vel hibátlan leveleket írnak.
- Távelérési programot soha ne telepítsünk a hívó kérésére.
- Biztonsági számla nem létezik. Sem a bank, sem a rendőrség nem kér ilyenre utalást.
A KiberPajzs üzleti kibervédelmi kisokosa hét plusz egy tippet és egy önértékelő tesztet tartalmaz.
Kapcsolódó állásfoglalások
- Mit veszíthetünk? Valós incidensek elemzése, tanácsok az elkerülésükre (állásfoglalás)
- Mikro- és kisvállalkozások számára ajánlott mentési stratégia és mentőeszközök (állásfoglalás)
- Többfaktoros hitelesítés (MFA) milyen esetekben kötelező „Alap” biztonsági osztályban? (állásfoglalás)
- Mely levelezési protokollok számítanak elavultnak a 7/2024. (VI. 24.) MK rendelet követelményei szempontjából? (állásfoglalás)
SecureBot, avagy a cég a támadó szemével
Elter András mutatta be az MKIK térítésmentes eszközét. A SecureBot átvizsgálja a cég internetről elérhető szolgáltatásait, riasztást küld a ténylegesen használt szoftverek új sérülékenységeiről, és szállítói adatbázist is tartalmaz. A vizsgálat regisztráció és jóváhagyás után egy napon belül indul, az eredmény PDF-jelentés. Rendszeres használatával a NIS2 több követelménye is teljesíthető.
Egy egyszerű, ingyenes gyakorlat is elhangzott. Kérdezzünk meg egy MI-asszisztenst, hogyan támadná meg a cégünket. Egy tesztben csak a cégnév és a honlap alapján két valós támadási irányt is megnevezett.
Kapcsolódó iránymutatások és állásfoglalások
- A Kiberbiztonsági törvény szerinti sérülékenységvizsgálat, sérülékenységkeresés, behatolásvizsgálat elhatárolása és jogi háttere (iránymutatás)
- Hardening – mennyire ellenálló a rendszerünk? Hogyan határozzuk meg, vezessük be és tartsuk fenn rendszereink biztonsági alapkonfigurációját? (állásfoglalás)
- A folyamatos felügyeleti stratégia előírt tartalma és az ajánlott mérőszámok (állásfoglalás)
A Cyber Resilience Act minden szoftverfejlesztőt érint
A CRA nemcsak az okoseszközök gyártóira vonatkozik, hanem a hagyományos szoftverekre is, például egy egyszerű készletnyilvántartó programra. A felhőszolgáltatások kívül esnek a hatályán.
- A biztonságnak alapértelmezettnek kell lennie, közismert gyári jelszó nem maradhat.
- A biztonsági frissítés ingyenes, alapesetben öt évig jár, és el kell választani a funkcionális frissítésektől.
- Szoftver-anyagjegyzéket (SBOM) kell vezetni, és rögzíteni kell a beszállítók felelősségét.
- 2026. szeptember 11. óta jelenteni kell a kihasznált sérülékenységeket és a súlyos incidenseket, a teljes körű alkalmazás 2027. december 11-től kötelező.
Kapcsolódó iránymutatások és állásfoglalások
- A közreműködővel kötött szerződés tartalma (iránymutatás)
- Mikor kell alkalmazni a tanúsított IKT-termékeket és szolgáltatásokat? (iránymutatás)
- Hogyan ellenőrizheti egy NIS2 kötelezett cég az általa megbízott közreműködő kiberbiztonsági megfelelését? (állásfoglalás)
- Milyen biztonsági szempontokat kell figyelembe venni egy AI-alapú „Vibe Coding” fejlesztőkörnyezet kialakításánál? (állásfoglalás)
A szoftver is termék lesz (PLD)
Az új termékfelelősségi szabályok decembertől a szoftverre is vonatkoznak, a B2B kapcsolatokban is. A felhasználó helyzete javul, a fejlesztőé nehezebb lesz, mert a kiberbiztonsági hiba önmagában kártérítési alap lehet. Ha egy webáruház-szoftver biztonsági hibája miatt a bolt karácsonykor két hétig áll, a kiesett bevétel a fejlesztőtől követelhető. Mentesülni csak dokumentált, biztonságos fejlesztési folyamattal lehet.
Kapcsolódó állásfoglalás
- A szoftverek biztonsági hibájáért fennálló felelősség új szabályai 2026.12.09-től (állásfoglalás)
Az AI Act alól senki nem bújhat ki
Aki egy meglévő modellre építve saját terméket fejleszt, könnyen szolgáltatóvá válik, aki pedig MI-t használ, az alkalmazó.
- Tilos többek között a munkahelyi érzelemfelismerés. Egy olyan alkalmazás, amely a videókonferencián pontozza, ki mennyire figyel a főnökre, nem fér bele.
- Magas kockázatú terület az oktatás, a foglalkoztatás és az egészségügy. Itt a NIS2-höz mérhető kötelezettségek várnak a fejlesztőre és az alkalmazóra is.
- Az MI-vel generált képet, videót és hangot jelölni kell, a chatbotnál pedig jelezni, hogy a felhasználó géppel beszél.
Az árnyék-MI valós probléma. A moderátor felméréseiben minden cégnél 50% fölött volt az MI-használat, akkor is, ha a cégnek egyetlen előfizetése sem volt. Hegyi Henrietta szerint az első lépés egy névtelen felmérés arról, ki milyen eszközt használ és milyen adatokkal. Ügyféladat csak bizalmasságot garantáló céges előfizetésbe kerülhet, és az ügyfelet tájékoztatni kell.
Kapcsolódó iránymutatások és állásfoglalások
- A Mesterséges Intelligencia (MI) rendszerek besorolása az EIR struktúrába (iránymutatás)
- A Shadow AI jelentette kockázatok és intézkedések a csökkentésükre. NIS2 és AI Act előírások a kockázatok kezelésére (állásfoglalás)
- Milyen információbiztonsági kockázatok merülnek fel általános célú MI-rendszerek (LLM) vállalati használatánál? NIS2 és AI Act előírások a kockázatok kezelésére (állásfoglalás)
- Milyen információbiztonsági kockázatok merülnek fel MI-ügynökök vállalati használatánál? NIS2 és AI Act előírások a kockázatok kezelésére (állásfoglalás)
- Mennyiben segíti az AI Act követelményeire való felkészülést a sikeresen teljesített NIS2 audit? (állásfoglalás)
- Készíthet-e mesterséges intelligencia segítségével leiratot a munkahelyi telekonferenciákról a munkáltató? (állásfoglalás)
Mit hoz a Digital Omnibus?
- Egyetlen incidenst ma akár öt hatóságnak is jelenteni kell, a jövőben egy központi felület továbbítaná.
- A süti-sáv marad, de elutasítás után csak hat hónap múlva kérdezhetnek rá újra.
- A kkv-k bírságplafonja arányosabb lesz.
- A magas kockázatú MI-rendszerek kötelezettségeire haladékot kaptak a cégek.
Kapcsolódó állásfoglalások
- Milyen kiberbiztonsági incidensek esetén kötelező a hatósági bejelentés? (állásfoglalás)
- Milyen információkat kell a hatóságnak bejelenteni kiberbiztonsági incidens esetén? (állásfoglalás)
Mit tegyen most egy kkv?
- Ha NIS2-kötelezett, hagyjon elég időt a felkészülésre, és gondosan válassza ki a felkészítőt.
- Készítse fel a pénzügyi döntéshozókat és a könyvelőt is a csalók forgatókönyveire.
- Futtasson SecureBot-vizsgálatot a weboldalára és a webáruházára.
- Ha szoftvert fejleszt, kezdje el most a CRA-felkészülést.
- Mérje fel, ki milyen MI-eszközt használ, és írjon rá egyszerű szabályzatot.
A program iránymutatásai és szakértői állásfoglalásai a nis2.mkik.hu oldalon érhetők el. Egyedi kérdésekben térítésmentes egyéni konzultáció is igénybe vehető.