A NIS2-audit lezárult, de a megfelelés nem egyszeri feladat: a cégeknek mostantól ezt napi működéssé kell alakítaniuk.
Lezárult egy fontos határidő a magyar cégek egy részének életében: június 30-ig a NIS2-kötelezetteknek át kellett esniük az auditon. Ez azonban nem a történet vége, inkább egy új szakasz kezdete. Szekeres Balázs a Kermann IT Solutions Nyrt. igazgatósági tagja a radiocafé Millásreggeli című műsorában arról beszélt: sok cég teljesítette az elvárásokat, sokan viszont elbuktak, és akadtak olyanok is, akik bele sem kezdtek időben.
Három csoportra szakadt a mezőny
A szakember szerint most nagyjából három csoport látszik. Vannak azok a vállalkozások, amelyek átmentek az auditon, vannak, amelyek ugyan végigvitték a kötelező folyamatot, de nem feleltek meg mindenben, és vannak olyan szereplők is, amelyek egyáltalán nem foglalkoztak érdemben a feladattal.
Az utóbbiaknál hatósági kérdésekre, sőt akár bírságra is számítani lehet. Akik nem mentek át, de beadták a szükséges anyagokat, azoknak akciótervet kell készíteniük arról, hogyan pótolják a hiányosságokat. Akik pedig megfeleltek, azok sem dőlhetnek hátra:
a következő kétéves ciklusban fenn is kell tartaniuk ezt az állapotot.
Miért fáj ez a kkv-knak?
Szekeres szerint a kötelezettek tömegét inkább a közepes cégek és a kkv-k adják. A nagyvállalatoknál a kiberbiztonsági megfelelés kevésbé volt meglepetés, náluk ez a gondolkodás sokszor már korábban is jelen volt. Egy kisebb vagy közepes vállalkozásnál viszont az informatikát gyakran egyszerűen eszközként használják, nem pedig külön stratégiai területként kezelik.
Ezért a NIS2 irányelv nemcsak adminisztratív feladatot jelent, hanem új költséget és új működési logikát is. A biztonság ugyanis nem egyszeri állapot, hanem folyamat: dokumentáció, belső szabályok, kockázatelemzés, visszaellenőrizhető döntések és folyamatos figyelem kell hozzá. A szakember úgy vélte, különösen a biztonsági kockázatelemzés az a terület, amellyel a kkv-k jelentős része korábban aligha foglalkozott rendszeresen.
Az audit pipa, a neheze most jön
A beszélgetés egyik legfontosabb megállapítása az volt, hogy a megfelelést nem szabad projektként kezelni. Nem elég egyszer teljesíteni egy ellenőrzőlistát, szabályzatot írni, költségvetést rendelni hozzá, majd várni a következő auditra.
A valódi kihívás az, hogy a biztonsági szemlélet a cég kultúrájának része legyen. Vagyis ne informális kérések és gyors kerülőutak mentén szülessenek döntések, hanem szabályozottan, visszakövethetően. Ez különösen fontos új beszállítók, új informatikai megoldások és új fejlesztések esetén.
Szekeres Balázs kiemelte az ellátási lánc biztonságát is. Ha például egy cég olyan alkalmazást vásárol, amelynek fejlesztésében mesterséges intelligenciával generált kód is szerepet kapott, akkor neki is tudnia kell, hogy a teljes lánc biztonságos-e, és az érzékeny adatokat valóban megfelelően kezelik-e.
Hol szorít a rendszer?
Arról is szó esett, hogy a piaci tapasztalatok alapján a magyar megvalósítás több ponton nehézkes. Szekeres elmondta, hogy a követelményrendszer több mint 300 elemet tartalmaz, ami egy kkv számára rendkívül megterhelő lehet.
A piac ezért támogatóbb hatósági hozzáállást várna: több iránymutatást, mintát, gyakorlati segítséget. Egy tízfős cégnek például önállóan biztonsági szabályozást írni sokszor már önmagában komoly akadály.
Problémaként merült fel az is, hogy az auditok nem mindenhol egységes szemléletben zajlottak, és az auditorcégek száma is szűkösnek bizonyult. Ez túlterheltséghez vezetett, ami sem az ügyfeleknek, sem az auditoroknak, sem a hatóságnak nem kedvez.
Ki kicsoda, mi micsoda?
- NIS2: az Európai Unió kiberbiztonsági szabályozása, hivatalosan az EU 2022/2555 irányelv. A tagállamok számára közös minimumkövetelményeket ír elő a hálózati és információs rendszerek biztonságára.
- DORA: a pénzügyi szektorra vonatkozó uniós szabályozás, teljes nevén Digital Operational Resilience Act. A bankokhoz és más pénzügyi szereplőkhöz kapcsolódó digitális működési ellenállóképességet szabályozza.
- Szekeres Balázs: a Kermann IT Solutions Nyrt. műszaki igazgatója és igazgatósági tagja.
- Kermann IT Solutions Nyrt.: magyar informatikai vállalat, amely kiberbiztonsági és IT-megoldásokkal is foglalkozik.
- Ellátási lánc biztonsága: azt jelenti, hogy nemcsak a saját rendszerek biztonságát kell nézni, hanem a beszállítókét, fejlesztőkét és külső szolgáltatókét is. Egy sérülékenység ugyanis a teljes láncon végigfuthat.
