Értse meg kötelezettségeit. Építsen világos utat a megfeleléshez.

Mert három különböző jogszabályról kérdeztek három embert. A NIS2 irányelv, tehát nem közvetlenül kötelezi Önöket: a saját országuk végrehajtási törvényén keresztül hat, a küszöbértékek, a regisztrációs kötelezettség és az auditrendszer pedig tagállamonként eltérnek. Ez a legfontosabb tudnivaló róla, és ez az oka annak, hogy a válaszok nem egyeztek.

Az állandó rész maga az irányelv szerkezete. Akkor tartoznak a hatálya alá, ha a felsorolt ágazatok egyikében működnek, és legalább középvállalkozás méretűek — nagyjából 50 fő vagy afölött, illetve 10 millió eurót meghaladó árbevétel. Körülbelül 250 fő vagy 50 millió euró felett, a kiemelten kritikus ágazatok egyikében, alapvető szervezetnek minősülnek; a többség fontos szervezet, és a különbség a felügyelet szorosságában van, nem abban, hogy a kötelezettségek fennállnak-e. Néhány szervezet mérettől függetlenül a hatály alá esik, köztük a DNS- és TLD-szolgáltatók, a bizalmi szolgáltatók és a nyilvános elektronikus hírközlés.

A besorolás önálló feladat, amelynek a végén írásos válasz áll, és amelyet a vezetés hagy jóvá, nem pedig mi feltételezünk. Ez az első, amit előállítunk.

Egyszer építenek, háromszor bizonyítanak.

Az építés erősen átfed. Egyetlen kontrollkészlet, egyetlen eszköz- és beszállítói nyilvántartás, egyetlen bizonyítéktár és egyetlen kockázati folyamat mindhármat kiszolgálja: az ISO 27001 „A” melléklete lefedi annak nagy részét, amit a NIS2 21. cikke kér, a DORA IKT-kockázatkezelési fejezete pedig felismerhetően ugyanaz az anyag, pénzügyi szektorra szabott kiegészítésekkel.

Ami nem olvad össze, az a bizonyítás. Az ISO 27001-et akkreditált tanúsító szervezet tanúsítja. A NIS2-t nemzeti hatóság felügyeli a nemzeti jog alapján. A DORA felett közvetlenül a pénzügyi felügyeletük őrködik. Három közönség, három mechanizmus, három bizonyítékkészlet — ugyanabból a munkából.

A tanácsadói gyakorlatunk mögötti platform ugyanazokból a válaszokból külön-külön pontozza a helyzetüket mindegyik keretrendszer szerint. Ettől lesz az „egyszer építünk” valóság és nem szándéknyilatkozat.

Egy felmérés, és két dokumentum lesz belőle: egy hatóköri nyilatkozat és egy GAP-elemzés.

A hatókört szokták kihagyni, és minden más ezen áll: melyik jogi személy, mely rendszerek, hol húzódnak a határok. Ezt a vezetés hagyja jóvá, nem mi feltételezzük.

A GAP-elemzés strukturált kérdőívekkel készül az Önök IT- és biztonsági felelőseivel, az internet felől látható címek és szolgáltatások külső szkennelésével, valamint az azonosításkezelés, a végpontok és a felhőkonfiguráció belső átvizsgálásával. Ami visszaérkezik: a helyzetük pontozva ahhoz a keretrendszerhez mérve, amely valóban vonatkozik Önökre; a hézagok kockázat és sürgősség szerint rangsorolva, nem ábécérendben; és egy terv, amelyben minden feladat mellett gazda és határidő áll.

A felmérés önmagában is megvásárolható egyszeri, fizetős munkaként, ha előbb látni szeretnék a képet, mint programot indítani.

Ha van auditdátumuk vagy felügyeleti határidejük, körülbelül hat hónapnyi koncentrált munkával számoljanak. A felkészülési programunk pontosan ezért épül 180 napra: nagyjából az első hónap a hatókör és a GAP-elemzés, három és fél hónap az építés és a javítás, az utolsó hat hét a bizonyítás — rendezett bizonyítékok, belső próbaaudit, és egy indokolt GO vagy NO-GO a vezetés elé, még az éles audit előtt.

Ha a dátum távolabb van, ugyanez a sorrend nyúlik meg. A sorrend nem változik.

Az őszinte költség nem a mi időnk, hanem az Önöké. Az építési szakaszban heti egy–másfél napra számítsanak az IT-üzemeltetés részéről, mert a változtatásokat a szervezeten belül kell valakinek elvégeznie és bemutatnia. Ahol a 180 nap nem elég mindenre, a megállapításokat háromfelé bontjuk: audit szempontjából kritikus és elvégezhető; audit szempontjából kritikus, de hosszabb — azonnal indítva, kompenzáló kontrollal és dokumentált előrehaladással; és nem audit-kritikus. Ezt a bontást a vezetés a hatvanadik napon hagyja jóvá, nem a végén szembesül vele.

Mi. A szabályzatok, eljárásrendek, a rendszerbiztonsági terv, valamint a mögöttük álló eszköz-, adat- és beszállítói nyilvántartások a mi munkánk — az Önök valódi környezetére és a rájuk vonatkozó keretrendszerre generálva, majd testre szabva. Nem egy sablonkészlet az Önök logójával.

Ami Önöknél marad, az a megvalósítás. Meg tudjuk határozni, hogy a többfaktoros hitelesítés kötelező legyen, le tudjuk ellenőrizni, és meg tudjuk írni a bizonyítékot rá — de a változtatást olyasvalakinek kell elvégeznie, akinek hozzáférése van a rendszerekhez. Mi nem nyúlunk a rendszereikhez.

Ez a határvonal szándékos, és jobb, ha aláírás előtt tudják, mint ha a második hónapban derül ki.

A NIS2 alatt konkrét: a vezető testületnek jóvá kell hagynia a kiberbiztonsági kockázatkezelési intézkedéseket, felügyelnie kell a végrehajtásukat, és képzésen kell részt vennie — a tagok pedig személyesen felelősségre vonhatók a mulasztásért. Alapvető szervezet esetén a szankciók elérik a vezérigazgató vagy a törvényes képviselő vezetői tisztségtől való ideiglenes eltiltását is. A DORA ugyanezt mondja a maga szavaival: a végső felelősség az IKT-kockázatért a vezető testületé, amelynek elegendő tudást kell fenntartania ahhoz, hogy ezt gyakorolni tudja.

A gyakorlatban az igazolás dokumentált nyomvonalat jelent — dátumozott jóváhagyásokat, jegyzőkönyvezett döntéseket, képzési nyilvántartást, és egy jelentést, amely megmutatja, mi változott az előző időszakhoz képest.

Amit kapnak, az ez a nyomvonal a munka melléktermékeként, nem pedig az igazgatósági ülés előtti héten összeollózva: havi vezetői jelentés a mérföldkövekhez mért haladásról, a nyitott kockázatokról és az Önöktől szükséges döntésekről, valamint időszakos vezetői áttekintés, amely az új jelentést a régi mellé teszi. Ugyanabból a rendszerből jön, amely a munkát is viszi, tehát nem tud csendben eltávolodni tőle.

Nem, és akkor sem tehetnénk, ha akarnánk. A tanúsítványt akkreditált tanúsító szervezet adja ki kétszakaszos audit után, az akkreditációs szabályok pedig megkövetelik, hogy aki az irányítási rendszer kialakításában tanácsadóként részt vett, ne tanúsíthassa azt. Ugyanez az elkülönítés vonatkozik a NIS2-auditra, amelyet nyilvántartásba vett független auditor végez, és amelynek a díja nem része a miénknek.

Amit mi csinálunk: minden az auditor ajtajáig, majd ott Önök mellett állunk. Felépítjük az irányítási rendszert, belső próbaauditot tartunk az éles audit saját módszerével — dokumentumátvizsgálás, mintavételes bizonyíték, interjúk, bemutatott és nem elmesélt kontrollok —, felkészítjük azokat, akiket meg fognak kérdezni, indokolt GO vagy NO-GO döntést adunk a vezetésnek, és koordináljuk a hivatalos auditot.

Meg tudjuk mondani, hogy ne menjenek. Néha meg is mondjuk.

Az ISO/IEC 27001-et magunk is birtokoljuk: 2025 elején szereztük meg, UKAS-akkreditált szervezeten keresztül, a saját, menedzselt biztonsági szolgáltatói működésünkre szabott hatókörrel. Tehát az asztal Önök felőli oldaláról is végigcsináltuk.

Nem. Az óra a szervezeten ketyeg, és ezen semmilyen felügyeleti szerződés nem változtat.

A NIS2 korai figyelmeztetést ír elő a nemzeti hatóság felé a jelentős incidensről való tudomásszerzéstől számított 24 órán belül, bővebb bejelentést 72 órán belül, végleges jelentést pedig egy hónapon belül. A DORA a jelentős IKT-incidensekre ennél is szorosabb, a felügyelet saját sablonjain.

A biztonsági felügyeleti központ észlel, triázsol és szól Önöknek. Az a döntés, hogy egy incidens jelentős-e, maga a beadás, és egy késedelmes vagy hibás bejelentés következménye viszont Önöké marad. A menedzselt szolgáltatási szerződések ezt írásba is adják: a naplók szabályozási célú megőrzése az ügyfél felelőssége, a platform kimenete pedig kifejezetten nem helyettesíti az ügyfél saját jogi és szabályozási mérlegelését.

Ami ténylegesen bezárja a rést, az a kettő közötti összekötés: előre egyeztetett besorolási szabályrendszer a felügyeletük által használt kritériumokhoz igazítva, megnevezett döntéshozó, aki hajnali háromkor is elérhető, előre megírt bejelentési tartalom, és a teljes útvonal egyszeri begyakorlása akkor, amikor semmi nem ég. Ez irányítási munka, és pontosan ezért van a tanácsadói megbízás.

Három dolog, növekvő kellemetlenségi sorrendben.

Először a szerződés. A NIS2 kötelezi az ügyfelüket az ellátási lánc kockázatainak kezelésére, így az ő kötelezettségei biztonsági kikötések, kérdőívek, auditjogok és incidensbejelentési feltételek formájában érkeznek meg Önökhöz. Ez a szokásos útvonal, és nem szabályozásként, hanem szerződéses jogként érvényesíthető Önökkel szemben.

Másodszor: nézzék meg újra a méret- és ágazati tesztet, mert a „nem vagyunk szabályozottak” gyakran téves. A menedzselt IKT-szolgáltatók, a felhő-, adatközpont-, CDN- és bizalmi szolgáltatók maguk is nevesített ágazatok a NIS2-ben — egy szabályozott cég IT-beszállítója elég gyakran saját jogán is a hatály alá esik.

Harmadszor: ha az ügyfeleik pénzügyi szereplők, a DORA közvetlenül is elérheti Önöket. Az európai felügyeleti hatóságok által kritikusnak minősített szolgáltatók uniós felvigyázási keretbe kerülnek, és minden pénzügyi ügyfelüknek fel kell sorolnia Önöket a felügyeletéhez benyújtott információs nyilvántartásban, előírt szerződéses feltételek mellett.

Gyakorlatiasan: az első lépés ugyanaz a hatóköri felmérés, a második pedig az, hogy a beszállítói kérdőívekre bizonyítékkal tudjanak válaszolni, ne állításokkal. Ez lényegesen olcsóbb, mint megbukni rajtuk.