NIS2 megfelelés Magyarországon – követelmények, kiberbiztonsági audit és felkészülés vállalkozásoknak
NIS2 megfelelés Magyarországon – követelmények, kiberbiztonsági audit és felkészülés vállalkozásoknak
NIS2 követelmények, érintett vállalkozások, kiberbiztonsági audit, informatikai kockázatkezelés és gyakorlati felkészülés – hogyan alakítható ki egy biztonságosabb, ellenőrizhető vállalati IT-infrastruktúra?
Egy vállalkozás informatikai rendszere akár évekig működhet komolyabb fennakadás nélkül. A szerverek üzemelnek, a munkatársak hozzáférnek az alkalmazásokhoz, a levelezés működik, a biztonsági mentések pedig rendszeresen elkészülnek.
De mi történik akkor, ha egy kibertámadás miatt elérhetetlenné válik a központi fájlszerver?
Mi történik, ha egy támadó megszerzi a rendszergazdai jogosultságokat?
Mennyi idő alatt állítható helyre a vállalkozás működése, ha egy zsarolóvírus titkosítja a szervereket és a biztonsági mentéseket?
És hogyan bizonyítható egy kiberbiztonsági audit során, hogy a vállalkozás valóban megfelelően kezeli ezeket a kockázatokat?
A NIS2 szabályozás egyik legfontosabb üzenete, hogy az informatikai biztonság nem kizárólag technológiai kérdés, hanem a vállalkozás működésének és kockázatkezelésének szerves része.
A megfelelő védelemhez nem elegendő vírusirtót telepíteni, tűzfalat használni vagy automatikus biztonsági mentéseket készíteni.
A vállalkozásnak pontosan ismernie kell az informatikai rendszereit, az azokhoz kapcsolódó kockázatokat, a rendelkezésre álló védelmi intézkedéseket és a helyreállítás lehetőségeit.
Ebben az útmutatóban részletesen bemutatjuk:
- Mi az a NIS2, és miért vezették be?
- Mely magyar vállalkozások lehetnek érintettek?
- Milyen kötelezettségeket és határidőket kell figyelembe venni?
- Hogyan működik a kiberbiztonsági audit?
- Milyen informatikai fejlesztésekre lehet szükség?
- Hogyan készülhet fel egy vállalkozás lépésről lépésre?
- Milyen dokumentációval igazolható a védelmi intézkedések működése?
- Hogyan segíthet a SARABEL Informatika Kft. a technikai felkészülésben?
A cikkben konkrét informatikai példákat, gyakorlati ellenőrzési szempontokat és nyilvánosan elérhető szakmai útmutatókat is bemutatunk.
Mi az a NIS2?
A NIS2 (Network and Information Security Directive 2) az Európai Unió 2022/2555 számú irányelve, amelynek célja a tagállamok kiberbiztonsági felkészültségének és ellenálló képességének megerősítése.
A szabályozás elődje a NIS1 irányelv volt, amelyet a NIS2 szélesebb ágazati lefedettséggel és részletesebb kockázatkezelési követelményekkel váltott fel.
A NIS2 abból indul ki, hogy a modern gazdaság működése egyre nagyobb mértékben függ a digitális infrastruktúrától.
Egy sikeres kibertámadás ezért nemcsak egyetlen vállalkozás számára jelenthet problémát.
Hatással lehet:
- a beszállítói láncokra;
- a közlekedésre;
- az energiaellátásra;
- az egészségügyi szolgáltatásokra;
- a pénzügyi folyamatokra;
- a digitális infrastruktúrára;
- a kritikus üzleti szolgáltatások rendelkezésre állására.
A NIS2 célja, hogy az érintett szervezetek a kiberbiztonságot ne elszigetelt informatikai feladatként, hanem rendszeresen ellenőrzött és dokumentált kockázatkezelési folyamatként kezeljék.
Mi változott a korábbi gyakorlathoz képest?
A szabályozás nagyobb hangsúlyt helyez:
- A vezetői felelősségre.
- A kiberbiztonsági kockázatok rendszeres értékelésére.
- Az informatikai rendszerek és adatok megfelelő védelmére.
- A biztonsági incidensek felismerésére és kezelésére.
- Az üzletmenet-folytonosságra.
- A beszállítói lánc biztonságára.
- A technikai és szervezeti intézkedések ellenőrizhetőségére.
- A biztonságtudatosság fejlesztésére.
A NIS2-megfelelés tehát nem egyetlen termék, tanúsítvány vagy szoftver beszerzését jelenti.
Egy olyan működési keretrendszer kialakításáról van szó, amelyben a szervezet képes azonosítani, kezelni és ellenőrizni a kiberbiztonsági kockázatait.
NIS2 Magyarországon: milyen jogszabályok szabályozzák a megfelelést?
Magyarországon a NIS2 végrehajtásának egyik legfontosabb jogszabálya a 2024. évi LXIX. törvény Magyarország kiberbiztonságáról.
A törvény meghatározza többek között:
- az érintett szervezeti köröket;
- a kiberbiztonsági kötelezettségeket;
- a szervezeti felelősségi szabályokat;
- a kockázatkezelési elvárásokat;
- a biztonsági osztályba sorolás követelményeit;
- az incidenskezelési kötelezettségeket;
- a kiberbiztonsági auditok kereteit.
A részletes technikai követelmények szempontjából kiemelt jelentőségű a 7/2024. (VI. 24.) MK rendelet, amely az elektronikus információs rendszerek biztonsági osztályba sorolásával és a kapcsolódó védelmi intézkedésekkel foglalkozik.
A szabályozás a szervezetek és informatikai rendszerek kockázataiból indul ki.
Ez azt jelenti, hogy nem feltétlenül ugyanazok a követelmények vonatkoznak minden szervezetre és minden informatikai rendszerre.
Három biztonsági osztály
A magyar szabályozás az elektronikus információs rendszerek esetében három biztonsági osztályt alkalmaz:
Alap – Jelentős – Magas
A megfelelő biztonsági osztály meghatározása során értékelni kell egy esetleges biztonsági esemény következményeit.
A vizsgálat három alapvető biztonsági tulajdonságra épül:
Bizalmasság – Sértetlenség – Rendelkezésre állás
Ezeket az információbiztonságban CIA-modellként is ismerik.
A biztonsági osztályba sorolás nem egyszerű technikai beállítás, hanem dokumentált kockázatértékelésen alapuló szervezeti döntés.
Hivatalos jogszabályok:
- 2024. évi LXIX. törvény Magyarország kiberbiztonságáról
- 7/2024. (VI. 24.) MK rendelet – biztonsági osztályba sorolás és védelmi intézkedések
Mely vállalkozásokra vonatkozik a NIS2?
Az egyik leggyakoribb félreértés, hogy a NIS2 kizárólag nagyvállalatokra vagy állami szervezetekre vonatkozik.
A tényleges érintettség ennél összetettebb.
Azt több tényező együttes vizsgálatával lehet meghatározni.
1. A vállalkozás tevékenysége
A szabályozás meghatározott ágazatokra és tevékenységekre terjed ki.
Ezek között szerepelhetnek például:
| Ágazat | Érintett tevékenységek példái |
|---|---|
| Energia | Villamosenergia-, gáz- és kapcsolódó szolgáltatások |
| Közlekedés | Meghatározott közlekedési szolgáltatások |
| Egészségügy | Meghatározott egészségügyi szolgáltatók |
| Digitális infrastruktúra | Felhő-, adatközponti és egyes DNS-szolgáltatások |
| IKT-szolgáltatásmenedzsment | Meghatározott menedzselt IT- és biztonsági szolgáltatók |
| Gyártás | Egyes gépipari, elektronikai és feldolgozóipari tevékenységek |
| Élelmiszeripar | Meghatározott élelmiszer-előállítási és -elosztási tevékenységek |
| Hulladékgazdálkodás | Meghatározott hulladékkezelési szolgáltatók |
| Postai és futárszolgáltatások | A jogszabály szerinti szolgáltatói kör |
| Vegyipar | Meghatározott vegyipari tevékenységek |
A felsorolás nem teljes körű.
Az érintettséget mindig a vállalkozás tényleges tevékenysége és a hatályos törvény mellékletei alapján kell megállapítani.
2. A vállalkozás mérete
A létszám, az éves árbevétel és a mérlegfőösszeg szintén szerepet játszhat az érintettség meghatározásában.
A vállalkozás méretének vizsgálata során adott esetben a kapcsolódó és partnervállalkozások adatait is figyelembe kell venni.
3. Speciális jogszabályi feltételek
Bizonyos szervezeteknél a mérettől független érintettség vagy különleges szabály is felmerülhet.
Ezért önmagában az a kijelentés, hogy egy vállalkozás 50 főnél kevesebbet foglalkoztat, nem elegendő annak bizonyítására, hogy a NIS2 nem vonatkozik rá.
Fontos különbség: egy vállalkozás NIS2-érintettsége nem azonos azzal, hogy általában milyen kiberbiztonsági kockázatokkal rendelkezik.
Egy kisebb, a NIS2 hatálya alá nem tartozó szervezet informatikai rendszere is lehet jelentős üzleti kockázatnak kitéve.
Könyvelőirodák, ügyvédi irodák és szállodák: rájuk is vonatkozik?
A jogszabályi érintettség ezeknél a vállalkozásoknál sem állapítható meg pusztán az ágazat köznyelvi megnevezése alapján.
Egy könyvelőiroda például:
- ügyféladatokat;
- pénzügyi dokumentumokat;
- adózással kapcsolatos információkat;
- könyvelési adatbázisokat;
- elektronikus ügyintézési rendszereket
kezelhet.
Egy ügyvédi iroda elektronikus aláírási rendszereket, bizalmas ügyféladatokat, dokumentumtárakat és elektronikus ügyintézési alkalmazásokat használhat.
Egy szállodában pedig a PMS-rendszer, a POS, a hálózati infrastruktúra, a beléptetés és a vendégszolgáltatások egymással összekapcsolt rendszert alkothatnak.
Ezek a tevékenységek önmagukban nem jelentenek automatikus NIS2-kötelezettséget.
Ugyanakkor a megfelelő informatikai védelem és a működés folytonosságának biztosítása ezekben a környezetekben is kiemelt jelentőségű.
A SARABEL Informatika külön szakmai útmutatókat készített ezekhez a speciális infrastruktúrákhoz:
Accounting Office IT Infrastructure Guide – könyvelőirodai informatikai infrastruktúra
Hotel IT Infrastructure Guide – szállodai informatikai infrastruktúra
A dokumentációk a szakterületekre jellemző informatikai környezetek tervezéséhez és üzemeltetéséhez nyújtanak műszaki szempontokat.
NIS2 határidők: mi történt 2026-ban, és mire kell figyelni 2027-ben?
A NIS2 magyarországi végrehajtása már több fontos mérföldkövön túljutott.
A korábban működő, meghatározott auditkötelezett szervezetek első kiberbiztonsági auditjának határideje 2026. június 30. volt.
Ez azonban nem jelenti azt, hogy a NIS2-kötelezettségek 2026-ban lezárultak volna.
Miért fontos a NIS2 2027-ben is?
A kiberbiztonsági megfelelés folyamatos kötelezettségeket jelenthet.
Az érintett szervezeteknek gondoskodniuk kell többek között:
- a kockázatok rendszeres felülvizsgálatáról;
- a védelmi intézkedések fenntartásáról;
- a dokumentáció aktualizálásáról;
- a jogosultságok ellenőrzéséről;
- a biztonsági események kezeléséről;
- a rendszerek frissítéséről;
- a mentések és helyreállítási eljárások ellenőrzéséről;
- az előírt időszakos auditokról.
A jogszabályban meghatározott körben a kiberbiztonsági auditokat kétévente kell elvégeztetni.
Újonnan érintett vagy később nyilvántartásba vett szervezetek esetében a konkrét határidőket külön kell megállapítani.
Mit tegyen az a vállalkozás, amely még nem kezdte el a felkészülést?
Elsőként célszerű tisztázni:
- A szervezet ténylegesen a szabályozás hatálya alá tartozik-e.
- Milyen nyilvántartásba vételi és egyéb kötelezettségei vannak.
- Mely elektronikus információs rendszerei érintettek.
- Milyen biztonsági követelmények vonatkoznak rájuk.
- Mely feladatok teljesültek már, és hol vannak hiányosságok.
- Milyen határidők és auditkötelezettségek alkalmazandók.
Fontos: ha egy már kötelezett szervezet elmulasztott egy jogszabályi határidőt, a technikai felkészülés megkezdése önmagában nem rendezi a mulasztást. Ilyenkor a szükséges hatósági és jogi teendőket is tisztázni kell.
A NIS2-felkészülés 10 legfontosabb informatikai területe
A következőkben bemutatjuk azokat a műszaki területeket, amelyek a legtöbb vállalati infrastruktúrában meghatározó szerepet játszanak.
Az egyes intézkedések pontos köre mindig az adott szervezet kockázataitól és a rá vonatkozó követelményektől függ.
1. Informatikai infrastruktúra és eszközleltár
A biztonsági felkészülés egyik legfontosabb alapelve:
Nem lehet megfelelően megvédeni azt az informatikai rendszert, amelynek összetételét és működését a szervezet nem ismeri pontosan.
A felmérés során azonosítani kell az informatikai infrastruktúra elemeit.
Ide tartozhatnak:
- fizikai szerverek;
- virtuális gépek;
- Windows és Linux rendszerek;
- munkaállomások;
- laptopok;
- hálózati eszközök;
- tűzfalak;
- VPN-szolgáltatások;
- NAS-rendszerek;
- adatbázisok;
- felhőszolgáltatások;
- üzleti alkalmazások;
- felhasználói és adminisztrátori fiókok;
- külső szolgáltatói hozzáférések.
A rendszerleltárnak lehetőség szerint nemcsak az eszközök felsorolását kell tartalmaznia.
Rögzíteni kell a fontosabb függőségeket is.
Gyakorlati példa
Egy vállalkozás működése az alábbi infrastruktúrára épül:
- Proxmox virtualizáció;
- Windows Server Active Directory;
- SQL Server;
- Microsoft 365;
- MikroTik tűzfal;
- Synology NAS;
- Zabbix monitoring.
Ezek önmagukban különálló technológiák.
Az üzleti működés szempontjából azonban összefüggő rendszert alkotnak.
Ha például a virtualizációs infrastruktúra meghibásodik, egyszerre válhat elérhetetlenné az Active Directory, az adatbázis és a fájlszerver.
A felkészülés során ezért meg kell határozni a kritikus szolgáltatásokat és azok műszaki függőségeit.
Kapcsolódó szakmai útmutató:
Proxmox VE Enterprise Guide – vállalati virtualizációs infrastruktúra
2. Kockázatelemzés és biztonsági osztályba sorolás
A NIS2-követelmények teljesítésének egyik alapja a dokumentált kockázatkezelés.
A vizsgálat során fel kell mérni, hogy milyen események veszélyeztethetik a szervezet informatikai rendszereit.
Például:
- zsarolóvírus-támadás;
- jogosulatlan hozzáférés;
- adatszivárgás;
- szervermeghibásodás;
- hibás konfiguráció;
- emberi mulasztás;
- szolgáltatói kiesés;
- áramellátási probléma;
- fizikai eszközvesztés;
- felhőszolgáltatás elérhetetlensége.
A kockázatértékelés során figyelembe kell venni az esemény bekövetkezésének valószínűségét és lehetséges következményeit.
A CIA-modell gyakorlati alkalmazása
Bizalmasság (Confidentiality)
Az adatokhoz kizárólag az arra jogosult személyek férhessenek hozzá.
Sértetlenség (Integrity)
Az adatok jogosulatlanul vagy észrevétlenül ne módosulhassanak.
Rendelkezésre állás (Availability)
A szükséges informatikai szolgáltatások megfelelő időben elérhetők legyenek.
Egy zsarolóvírus-támadás például egyszerre érintheti mindhárom területet.
A támadó hozzáférhet bizalmas adatokhoz, módosíthatja vagy titkosíthatja azokat, és akadályozhatja az üzleti rendszerek működését.
A kockázatelemzés eredménye alapján kell meghatározni a szükséges védelmi intézkedéseket.
3. Active Directory és privilegizált hozzáférések védelme
Windows Server környezetben az Active Directory gyakran az informatikai infrastruktúra egyik legkritikusabb eleme.
Az Active Directory kezeli többek között:
- a felhasználói fiókokat;
- a csoporttagságokat;
- a hozzáférési jogosultságokat;
- a tartományi hitelesítést;
- a csoportházirendeket;
- a számítógépfiókokat;
- egyes szolgáltatási identitásokat.
Ha egy támadó megfelelően magas jogosultságot szerez a tartományban, azzal akár a teljes vállalati informatikai környezet biztonságát veszélyeztetheti.
A leggyakoribb Active Directory biztonsági hiányosságok
- Túl sok Domain Admin jogosultsággal rendelkező felhasználó.
- Közösen használt rendszergazdai fiókok.
- Nem megfelelően kezelt szolgáltatásfiókok.
- Elavult hitelesítési protokollok.
- Hiányos naplózás.
- Nem ellenőrzött csoportházirendek.
- Régi, inaktív felhasználói fiókok.
- Nem megfelelően védett adminisztrációs hozzáférések.
- Hiányzó vagy nem tesztelt Active Directory helyreállítási eljárások.
Milyen technikai intézkedések javasoltak?
A környezet vizsgálata alapján szükség lehet:
- privilegizált jogosultságok felülvizsgálatára;
- elkülönített adminisztrátori fiókokra;
- Windows LAPS alkalmazására;
- szolgáltatásfiókok biztonságosabb kezelésére;
- Kerberos, NTLM és LDAP konfigurációk ellenőrzésére;
- naplózás és biztonsági eseményfigyelés fejlesztésére;
- Group Policy beállítások felülvizsgálatára;
- Active Directory helyreállítási tesztekre.
A biztonsági megerősítést azonban kontrollált módon kell elvégezni.
Egy rosszul előkészített hitelesítési vagy csoportházirend-változtatás akár üzleti alkalmazások működését is megszakíthatja.
Ezért az Active Directory hardening során célszerű az auditálás → tesztelés → kontrollált bevezetés → ellenőrzés módszert követni.
A SARABEL Informatika ehhez részletes szakmai dokumentációt tett közzé:
Windows Server Active Directory Hardening Guide – vállalati Active Directory biztonsági útmutató
A GitHub-projekt többek között az LDAP, Kerberos, NTLM, Windows LAPS, privilegizált fiókok, auditálás és Active Directory helyreállítás biztonsági szempontjait dolgozza fel.
4. Microsoft 365 és felhőalapú szolgáltatások biztonsága
A felhőszolgáltatások használata nem jelenti automatikusan azt, hogy minden biztonsági feladatot a szolgáltató végez el.
Microsoft 365 környezetben például a vállalkozásnak is megfelelően kell kezelnie:
- a felhasználói hozzáféréseket;
- a többtényezős hitelesítést;
- az adminisztrátori jogosultságokat;
- a külső megosztásokat;
- az alkalmazásengedélyeket;
- a levelezési szabályokat;
- az adathalászat elleni védelmet;
- a naplózási és adatmegőrzési követelményeket.
Miért fontos a Microsoft Entra ID?
A Microsoft Entra ID a Microsoft 365 környezet identitás- és hozzáféréskezelésének meghatározó eleme.
A biztonsági felülvizsgálat során vizsgálni lehet többek között:
- MFA használatát;
- Conditional Access szabályokat;
- privilegizált szerepköröket;
- vendégfelhasználókat;
- alkalmazásengedélyeket;
- hitelesítési módszereket;
- kockázatos hozzáférési konfigurációkat.
Exchange Online és levelezésbiztonság
A levelezés gyakori támadási felület.
Ezért ellenőrizni kell többek között:
- SPF, DKIM és DMARC beállításokat;
- automatikus továbbítási szabályokat;
- adathalászat elleni védelmet;
- adminisztrátori hozzáféréseket;
- naplózási lehetőségeket;
- megfelelő mentési és adatmegőrzési megoldásokat.
Microsoft 365 biztonsági felmérés
A SARABEL Informatika külön GitHub-projektben mutatja be a Microsoft 365 biztonsági állapotfelmérésének módszertanát.
Microsoft 365 Security Audit Toolkit – Microsoft 365 biztonsági állapotfelmérés
A dokumentáció Microsoft Entra ID, Exchange Online, SharePoint, OneDrive, Teams, Microsoft Defender és Microsoft Purview területekkel foglalkozik.
A projekt csak olvasási műveleteket végző PowerShell-alapú adatgyűjtőket is tartalmaz.
Ezek célja a konfigurációk ellenőrizhető felmérése, nem pedig az automatikus módosítása.
Fontos: egy technikai Microsoft 365 biztonsági felmérés nem azonos a jogszabály szerinti NIS2-audittal.
5. Hálózatbiztonság, tűzfalak és VPN-kapcsolatok
A vállalati hálózat az informatikai infrastruktúra egyik legfontosabb védelmi rétege.
Egy helytelenül konfigurált tűzfal vagy VPN lehetővé teheti, hogy illetéktelen személyek olyan rendszerekhez férjenek hozzá, amelyeknek nem szabadna közvetlenül elérhetőnek lenniük.
Milyen hibák fordulhatnak elő?
Például:
- internet felől elérhető adminisztrációs felületek;
- túl széles VPN-jogosultságok;
- hiányzó hálózati szegmentáció;
- szükségtelenül nyitott portok;
- elavult VPN-protokollok;
- nem megfelelő menedzsmenthozzáférések;
- hiányos tűzfalnaplózás.
Hálózati szegmentáció
A hálózati szegmentáció segítségével a különböző eszközcsoportok elkülöníthetők.
Például:
- munkaállomások;
- szerverek;
- vendéghálózat;
- kamerarendszer;
- hálózati menedzsment;
- biztonsági mentési infrastruktúra.
A szegmensek közötti kommunikációt megfelelő tűzfalszabályokkal lehet korlátozni.
Ez csökkentheti annak kockázatát, hogy egy kompromittált eszközről a támadó további rendszereket érjen el.
MikroTik biztonsági megerősítés
A MikroTik RouterOS megfelelő konfigurációval vállalati hálózatok fontos eleme lehet.
A biztonságos működéshez azonban a tűzfalszabályokon túl a szolgáltatások, felhasználók, VPN-kapcsolatok és naplózási beállítások ellenőrzése is szükséges.
A SARABEL Informatika ehhez külön szakmai útmutatót készített:
MikroTik Security Hardening Guide – RouterOS biztonsági megerősítés
A dokumentáció a jogosultságkezelés, VPN, tűzfalvédelem, naplózás, mentés és incidenskezelés területeivel foglalkozik.
Többtényezős hitelesítés VPN-kapcsolatokhoz
A felhasználónév és jelszó önmagában sok esetben nem biztosít megfelelő védelmet.
A távoli hozzáférések megerősítéséhez MFA alkalmazása lehet indokolt.
A SARABEL Informatika egyik nyilvános projektje bemutatja a PrivacyIDEA, FreeRADIUS és MikroTik OpenVPN integrációját:
PrivacyIDEA + FreeRADIUS + MikroTik OpenVPN – vállalati MFA-megoldás
A projekt a TOTP-alapú többtényezős hitelesítés műszaki kialakításához nyújt dokumentációt és példákat.
6. Biztonsági mentések és üzletmenet-folytonosság
A biztonsági mentés az egyik legfontosabb informatikai védelmi intézkedés.
Sok vállalkozás azonban csak akkor szembesül mentési rendszerének hiányosságaival, amikor már bekövetkezett az adatvesztés.
A sikeresen lefutott mentési feladat önmagában nem bizonyítja, hogy a rendszer visszaállítható.
A leggyakoribb mentési problémák
- Nem minden kritikus rendszer szerepel a mentésben.
- A mentési infrastruktúra ugyanazzal a jogosultsággal érhető el, mint az éles rendszer.
- Nincs elkülönített mentési példány.
- A mentések visszaállítását nem tesztelik.
- A mentési hibákról nem érkezik megfelelő riasztás.
- Nincs dokumentált helyreállítási sorrend.
- Nem ismert a tényleges helyreállítási idő.
A 3-2-1 mentési stratégia
A 3-2-1 stratégia lényege:
- három adatpéldány;
- kétféle tárolási megoldás;
- legalább egy elkülönített példány.
A korszerű ransomware-védelem szempontjából különösen fontos lehet az offline vagy változtathatatlan mentési példányok alkalmazása is.
RTO és RPO
A helyreállítás tervezésének két fontos mutatója:
RTO – Recovery Time Objective
Az a célérték, amely meghatározza, mennyi időn belül kell egy szolgáltatás működését helyreállítani.
RPO – Recovery Point Objective
Az a célérték, amely meghatározza, mekkora időszakra visszanyúló adatvesztés fogadható el.
Például egy vállalkozás számára elfogadható lehet, hogy egy kevésbé kritikus rendszer néhány órán keresztül nem érhető el.
Egy központi pénzügyi vagy ügyviteli rendszer esetében azonban ennél lényegesen szigorúbb követelmények lehetnek indokoltak.
Miért szükséges a visszaállítás tesztelése?
Egy valódi helyreállítási teszt során ellenőrizhető, hogy:
- A mentési állomány rendelkezésre áll.
- A mentési állomány olvasható.
- A szükséges adatbázisok helyreállíthatók.
- A szolgáltatások elindíthatók.
- Az alkalmazások megfelelően működnek.
- A helyreállítás teljesíti az üzleti követelményeket.
A témáról részletes szakmai dokumentációt készítettünk:
Backup & Disaster Recovery Guide – vállalati mentési és helyreállítási stratégia
Kapcsolódó magyar nyelvű cikkeink:
Mi az a 3-2-1 mentési stratégia, és miért életmentő a vállalkozások számára?
Biztonságos adatmentés Synology NAS-sal – védelem a KKV-k adatainak
7. Monitoring, naplózás és biztonsági események felismerése
A vállalkozások informatikai rendszereiben folyamatosan keletkeznek működési és biztonsági események.
Ezek között lehetnek teljesen normális események, de olyanok is, amelyek meghibásodásra vagy kibertámadásra utalnak.
Például:
- ismétlődő sikertelen bejelentkezések;
- váratlan rendszergazdai jogosultságváltozások;
- leálló szolgáltatások;
- szokatlan hálózati forgalom;
- sikertelen mentések;
- nem tervezett szerverújraindítások;
- megtelő háttértárak;
- ismeretlen eszközök megjelenése.
Zabbix monitoring
A Zabbix egy nyílt forráskódú monitoringplatform, amellyel többek között szerverek, hálózati eszközök, szolgáltatások és alkalmazások állapota figyelhető.
Egy megfelelően kialakított monitoringrendszer például riaszthat, ha:
- egy szerver elérhetetlenné válik;
- egy kritikus szolgáltatás leáll;
- a háttértár kapacitása elfogy;
- egy hálózati kapcsolat megszakad;
- egy mentési folyamat hibát jelez;
- egy szolgáltatás válaszideje jelentősen megnő.
Monitoring és SIEM: mi a különbség?
A hagyományos infrastruktúra-monitoring főként a rendszerek működésének, teljesítményének és rendelkezésre állásának ellenőrzését támogatja.
A SIEM-megoldások ezzel szemben kifejezetten biztonsági események gyűjtésére, összekapcsolására és elemzésére szolgálnak.
A Zabbix önmagában nem helyettesít egy teljes körű SIEM- vagy SOC-szolgáltatást.
A szervezetnek a kockázatai alapján kell meghatároznia, milyen monitoring-, naplózási és incidensészlelési képességekre van szüksége.
A SARABEL Informatika részletes Zabbix-dokumentációja:
Zabbix Enterprise Monitoring Guide – vállalati monitoring és rendszerfelügyelet
Kapcsolódó szakmai cikk:
8. Sérülékenységkezelés és rendszerfrissítések
A támogatás nélküli vagy elavult rendszerek jelentős biztonsági kockázatot jelenthetnek.
Egy elavult operációs rendszer esetében előfordulhat, hogy az újonnan felfedezett sérülékenységekhez már nem érkezik biztonsági javítás.
A sérülékenységkezelés azonban nem kizárólag a frissítések telepítését jelenti.
Szükség lehet:
- rendszeres verzióellenőrzésre;
- sérülékenységek azonosítására;
- kockázatalapú priorizálásra;
- frissítési ütemezésre;
- kompatibilitási tesztekre;
- változáskezelésre;
- a javítások sikerességének ellenőrzésére.
Windows Server 2016 támogatásának vége
A Windows Server 2016 kiterjesztett támogatása 2027. január 12-én véget ér.
Az érintett vállalkozásoknak időben meg kell tervezniük a támogatott környezetre történő átállást.
Ez különösen fontos lehet:
- Active Directory;
- DNS és DHCP;
- fájlszerverek;
- SQL Server;
- Terminal Server / RDS;
- üzleti alkalmazások
esetében.
A migráció előtt ellenőrizni kell a kompatibilitást, a biztonsági mentéseket és a helyreállítás lehetőségeit.
Részletes útmutatónk:
Windows Server 2016 támogatás vége 2027-ben – mit kell tenniük a vállalkozásoknak?
9. Incidenskezelés és helyreállítás
Egy kibertámadás során az első órák különösen fontosak.
Ha a vállalkozás nem rendelkezik megfelelő incidenskezelési folyamattal, a munkatársak nem feltétlenül tudják, milyen lépéseket kell végrehajtaniuk.
Egy incidenskezelési tervnek célszerű meghatároznia:
- az incidensek felismerésének módját;
- az értesítési folyamatot;
- a felelős személyeket;
- a döntési jogosultságokat;
- a technikai beavatkozás lehetőségeit;
- a bizonyítékok megőrzését;
- a helyreállítási sorrendet;
- a külső bejelentési kötelezettségek kezelését.
Példa: zsarolóvírus-támadás
Egy vállalati fájlszerverről váratlanul elérhetetlenné válnak a dokumentumok.
Több munkaállomáson is gyanús fájlmódosítások jelennek meg.
Ilyenkor a megfelelő reagálás nem pusztán abból áll, hogy a rendszergazda újraindítja a szervert.
A szükséges intézkedések közé tartozhat:
- A támadás felismerése.
- Az érintett rendszerek ellenőrzött elkülönítése.
- Az incidenskezelési felelősök értesítése.
- A további terjedés megakadályozása.
- A releváns naplók és bizonyítékok megőrzése.
- Az érintett hozzáférések vizsgálata.
- A támadás okának azonosítása.
- A biztonságos helyreállítás megtervezése.
- A szükséges bejelentések teljesítése.
- A történtek dokumentálása és az intézkedések felülvizsgálata.
NIS2 incidensbejelentés
A NIS2 keretrendszer a jelentős incidenseknél több lépcsőből álló bejelentési folyamatot ír elő.
Az uniós szabályozás főszabály szerint:
- 24 órán belüli korai figyelmeztetéssel;
- 72 órán belüli incidensbejelentéssel;
- és további jelentéstételi kötelezettségekkel
számol.
A pontos magyarországi követelményeket, bejelentési címzetteket és határidőket mindig a szervezetre alkalmazandó hatályos szabályozás alapján kell meghatározni.
A technikai incidenskezelést ezért össze kell hangolni a jogszabályi és szervezeti bejelentési folyamatokkal.
10. Beszállítói lánc és külső szolgáltatók biztonsága
A modern vállalkozások jelentős része külső szolgáltatókra támaszkodik.
Ilyenek lehetnek:
- informatikai üzemeltetők;
- felhőszolgáltatók;
- tárhelyszolgáltatók;
- szoftverfejlesztők;
- biztonsági mentési szolgáltatók;
- üzleti alkalmazások üzemeltetői.
A NIS2 kiemelt figyelmet fordít az ellátási lánc biztonságára.
Ez azt jelenti, hogy az érintett szervezeteknek a külső szolgáltatókkal kapcsolatos kiberbiztonsági kockázatokat is megfelelően kezelniük kell.
Mit érdemes ellenőrizni?
- Milyen hozzáférésekkel rendelkezik a szolgáltató?
- Használ-e megfelelő hitelesítést?
- Hogyan kezeli az adminisztrátori jogosultságokat?
- Hogyan történik a távoli hozzáférés?
- Milyen naplózási lehetőségek állnak rendelkezésre?
- Ki felelős az adatmentésért?
- Hogyan történik az incidensek bejelentése?
- Mi történik szolgáltatóváltás esetén?
A külső informatikai szolgáltató megfelelő működése hozzájárulhat a vállalkozás biztonságához.
Ugyanakkor a szolgáltató bevonása nem szünteti meg automatikusan a megrendelő szervezet saját jogszabályi felelősségét.
Milyen dokumentáció szükséges a NIS2-megfeleléshez?
A kiberbiztonsági felkészülésnek nemcsak technikai, hanem dokumentációs oldala is van.
A megfelelő dokumentáció segíti a biztonsági folyamatok átláthatóságát és ellenőrizhetőségét.
A szükséges dokumentumok pontos köre az adott szervezet besorolásától és a rá vonatkozó követelményektől függ.
Jellemzően az alábbi területek lehetnek relevánsak:
| Dokumentáció | Cél |
|---|---|
| Informatikai rendszerleltár | Az informatikai környezet nyilvántartása |
| Kockázatelemzés | Fenyegetések és következmények értékelése |
| Biztonsági osztályba sorolás | Védelmi követelmények meghatározása |
| Információbiztonsági szabályzat | Biztonsági alapelvek és felelősségek rögzítése |
| Jogosultságkezelési szabályzat | Hozzáférések szabályozása |
| Mentési szabályzat | Biztonsági mentési követelmények |
| Helyreállítási terv | Kritikus rendszerek visszaállítása |
| Incidenskezelési terv | Biztonsági események kezelése |
| Üzletmenet-folytonossági terv | Kritikus üzleti folyamatok fenntartása |
| Változáskezelési dokumentáció | Informatikai módosítások ellenőrzése |
| Beszállítói nyilvántartás | Külső szolgáltatói kockázatok kezelése |
| Monitoring- és naplózási eljárás | Rendszerállapotok és események ellenőrzése |
A dokumentáció önmagában nem elegendő
Egy vállalkozás rendelkezhet részletes információbiztonsági szabályzattal, miközben a tényleges informatikai rendszerében súlyos hiányosságok vannak.
Például:
- a mentési rendszer nem működik megfelelően;
- a munkatársak túlzott jogosultságokkal rendelkeznek;
- a tűzfal adminisztrációs felülete internet felől elérhető;
- a szervereken elavult operációs rendszer fut;
- a monitoring nem jelzi a kritikus hibákat.
A megfelelő felkészüléshez a dokumentált szabályokat és a tényleges műszaki állapotot összhangba kell hozni.
NIS2 audit: mit vizsgálnak, és hogyan lehet felkészülni?
A kiberbiztonsági audit célja annak vizsgálata, hogy a szervezet megfelel-e a rá vonatkozó biztonsági követelményeknek.
A hivatalos auditot a jogszabályban meghatározott, arra jogosult auditor végezheti.
Az audit során a szervezetnek igazolnia kell a vonatkozó védelmi intézkedések teljesülését.
A vizsgálat érintheti többek között:
- a kockázatkezelési folyamatokat;
- az informatikai rendszerek nyilvántartását;
- a biztonsági osztályba sorolást;
- a jogosultságkezelést;
- a mentési és helyreállítási eljárásokat;
- a hálózati biztonságot;
- a naplózást és incidenskezelést;
- a dokumentációt;
- a biztonsági intézkedések ellenőrizhetőségét.
Mi az a gap analysis?
A gap analysis, vagyis hiányosságelemzés során a vállalkozás jelenlegi informatikai és szervezeti állapotát összevetik az elvárt követelményekkel.
A cél annak azonosítása, hogy milyen intézkedések hiányoznak, melyek működnek nem megfelelően, és melyek esetében szükséges további ellenőrzés.
Példa egy technikai hiányosságelemzésre
| Terület | Feltárt probléma | Lehetséges intézkedés |
|---|---|---|
| Active Directory | Túl sok privilegizált fiók | Jogosultságok felülvizsgálata |
| Microsoft 365 | Hiányos MFA | Hitelesítési szabályok megerősítése |
| VPN | Túl széles hálózati hozzáférés | VPN-jogosultságok korlátozása |
| Backup | Nincs visszaállítási teszt | Dokumentált helyreállítási próba |
| Szerverek | Elavult operációs rendszer | Migrációs terv |
| Hálózat | Hiányzó szegmentáció | VLAN- és tűzfalszabályok kialakítása |
| Monitoring | Hiányos riasztások | Monitoring fejlesztése |
| Naplózás | Nem megfelelő eseménymegőrzés | Naplózási rendszer felülvizsgálata |
| Dokumentáció | Hiányos rendszerleltár | Infrastrukturális dokumentáció |
A hiányosságokat célszerű kockázat és üzleti hatás alapján priorizálni.
Egy internet felől elérhető, sérülékeny adminisztrációs felület például jellemzően sürgősebb beavatkozást igényel, mint egy kisebb dokumentációs pontatlanság.
Hogyan néz ki egy gyakorlati NIS2-felkészülési projekt?
A felkészülést célszerű több szakaszra bontani.
Az alábbi folyamat egy lehetséges technikai projektmodell, nem jogszabályban előírt általános határidőrendszer.
1. szakasz: informatikai állapotfelmérés
A projekt első lépése a meglévő infrastruktúra megismerése.
Feladatok:
- eszköz- és rendszerleltár;
- hálózati topológia áttekintése;
- szerverek és virtuális gépek felmérése;
- jogosultságok ellenőrzése;
- mentési infrastruktúra vizsgálata;
- távoli hozzáférések felülvizsgálata;
- monitoring és naplózás állapotának értékelése.
Eredmény: dokumentált kiinduló állapot.
2. szakasz: kockázatok és hiányosságok azonosítása
A felmérés eredménye alapján azonosíthatók a releváns technikai kockázatok.
Például:
- elavult operációs rendszerek;
- túlzott jogosultságok;
- nem megfelelően védett VPN;
- hiányzó MFA;
- nem tesztelt mentések;
- hiányos monitoring;
- szükségtelenül elérhető szolgáltatások.
Eredmény: priorizált technikai hiányosságlista.
3. szakasz: intézkedési terv kialakítása
A feltárt problémákhoz konkrét megoldási javaslatokat kell rendelni.
A tervnek célszerű tartalmaznia:
- a szükséges módosításokat;
- az érintett rendszereket;
- a felelősöket;
- a technikai kockázatokat;
- a megvalósítás sorrendjét;
- az ellenőrzési módszereket;
- a visszaállítási lehetőségeket.
Eredmény: végrehajtható fejlesztési terv.
4. szakasz: technikai védelmi intézkedések bevezetése
A jóváhagyott terv alapján elvégezhetők a szükséges fejlesztések.
Például:
- Active Directory hardening;
- MFA bevezetése;
- tűzfal- és VPN-konfigurációk megerősítése;
- hálózati szegmentáció;
- biztonsági mentések fejlesztése;
- monitoring és naplózás kialakítása;
- elavult szerverek korszerűsítése;
- felhőszolgáltatások biztonsági konfigurációinak felülvizsgálata.
A változtatásokat ellenőrzött módon kell végrehajtani, különösen üzletkritikus környezetekben.
Eredmény: megerősített informatikai infrastruktúra.
5. szakasz: ellenőrzés és dokumentálás
A technikai változtatások után ellenőrizni kell azok megfelelő működését.
Például:
- jogosultsági tesztek;
- mentési visszaállítási tesztek;
- VPN-hozzáférések ellenőrzése;
- monitoringriasztások próbája;
- rendszerkonfigurációk felülvizsgálata;
- dokumentáció aktualizálása.
Eredmény: dokumentált és ellenőrizhető technikai állapot.
6. szakasz: folyamatos biztonsági üzemeltetés
A biztonsági állapotot hosszú távon is fenn kell tartani.
Ehhez rendszeres feladatok szükségesek:
- frissítések kezelése;
- jogosultságok ellenőrzése;
- mentések felügyelete;
- helyreállítási tesztek;
- monitoring;
- naplóelemzés;
- konfigurációváltozások dokumentálása;
- új kockázatok értékelése.
A NIS2-felkészülés akkor eredményes, ha a biztonsági intézkedések a mindennapi működés részévé válnak.
Hogyan segíthet a SARABEL Informatika Kft. a NIS2-felkészülésben?
A NIS2-megfelelés több szakterület együttműködését igényelheti.
A jogszabályi megfelelés, a kockázatkezelés, az információbiztonsági irányítás és a technikai védelem szorosan összefügg, de nem azonos feladatok.
A SARABEL Informatika Kft. az informatikai infrastruktúra felmérésében, biztonsági megerősítésében, korszerűsítésében és folyamatos üzemeltetésében tud támogatást nyújtani.
Informatikai infrastruktúra felmérése
A meglévő szerverek, hálózati eszközök, virtualizációs környezetek, jogosultságok és biztonsági mentések műszaki állapotának áttekintése.
Windows Server és Active Directory biztonsági megerősítése
A jogosultságkezelés, hitelesítés, naplózás és szerverkonfigurációk felülvizsgálata, valamint szükség esetén a megfelelő fejlesztések megvalósítása.
Microsoft 365 biztonsági felülvizsgálat
Microsoft Entra ID, Exchange Online, SharePoint, OneDrive és kapcsolódó szolgáltatások konfigurációinak technikai ellenőrzése.
Hálózatbiztonság és VPN
MikroTik tűzfalak, VPN-hozzáférések, hálózati szegmentáció és adminisztrációs hozzáférések biztonsági felülvizsgálata.
Biztonsági mentések és helyreállítás
Mentési infrastruktúra kialakítása, a meglévő rendszerek ellenőrzése, helyreállítási eljárások kidolgozása és visszaállítási tesztek támogatása.
Monitoring és rendszerfelügyelet
Szerverek, hálózati eszközök és kritikus szolgáltatások állapotának felügyelete, megfelelő riasztási és üzemeltetési folyamatok kialakítása.
Technikai dokumentáció és auditfelkészülés támogatása
A felmért infrastruktúra dokumentálása, műszaki hiányosságok azonosítása, intézkedési tervek és technikai ellenőrzési eredmények összeállítása.
Fontos különbség:
A SARABEL Informatika által végzett technikai állapotfelmérés és infrastruktúra-fejlesztés nem helyettesíti a jogszabály szerint előírt hivatalos kiberbiztonsági auditot.
A hivatalos auditot az arra jogosult auditor végzi, míg a technikai felkészülés célja a tényleges informatikai hiányosságok megszüntetése és a szükséges védelmi intézkedések kialakítása.
Miért érdemes a NIS2-követelményekkel akkor is foglalkozni, ha a vállalkozás nem kötelezett?
A kiberbiztonsági kockázatok nem kizárólag a NIS2 hatálya alá tartozó szervezeteket érintik.
Egy kisebb vállalkozás számára is súlyos következményekkel járhat:
- egy zsarolóvírus-támadás;
- egy elveszett adatbázis;
- egy kompromittált Microsoft 365 fiók;
- egy elérhetetlenné vált fájlszerver;
- egy hibás VPN-konfiguráció;
- egy nem működő biztonsági mentés.
A megfelelő védelmi intézkedések ezért üzleti szempontból is fontosak.
Egy ellenőrzött jogosultságkezelési rendszer csökkentheti a jogosulatlan hozzáférések kockázatát.
Egy megfelelően kialakított mentési infrastruktúra mérsékelheti egy adatvesztés következményeit.
A monitoring segíthet a meghibásodások korai felismerésében.
A hálózati szegmentáció korlátozhatja egy támadás terjedését.
A dokumentált helyreállítási terv pedig segíthet a működés gyorsabb újraindításában.
A megfelelő kiberbiztonság nem csupán jogszabályi megfelelés, hanem a vállalkozás működésének védelme.
NIS2 GYIK – gyakran ismételt kérdések
Mi az a NIS2?
A NIS2 az Európai Unió 2022/2555 számú kiberbiztonsági irányelve, amely meghatározott ágazatokban működő szervezetek számára ír elő kiberbiztonsági kockázatkezelési és incidenskezelési követelményeket.
Minden magyar vállalkozásra vonatkozik a NIS2?
Nem. Az érintettség a vállalkozás tevékenységétől, méretétől és a vonatkozó jogszabályi feltételektől függ.
Egy kisebb vállalkozás is lehet NIS2-kötelezett?
Igen. Egyes szolgáltatói kategóriákban a vállalkozás méretétől független szabályok is alkalmazandók lehetnek.
Mi volt az első NIS2 audit határideje Magyarországon?
A korábban működő, meghatározott auditkötelezett szervezetek első kiberbiztonsági auditjának határideje 2026. június 30. volt.
A NIS2 2027-ben is érvényes?
Igen. A NIS2 hosszú távú kiberbiztonsági szabályozási keretrendszer. A szervezeteknek folyamatosan fenn kell tartaniuk a rájuk vonatkozó védelmi intézkedéseket, és teljesíteniük kell az alkalmazandó ellenőrzési kötelezettségeket.
Kötelező a NIS2 audit?
A magyar jogszabályban meghatározott auditkötelezett szervezetek számára igen. Az auditkötelezettség pontos megállapítása az adott szervezet jogszabályi helyzetétől függ.
Elég egy vírusirtó a NIS2-megfeleléshez?
Nem. A NIS2 a kockázatkezelést, jogosultságokat, incidenskezelést, üzletmenet-folytonosságot, beszállítói biztonságot és számos további területet is érint.
Kötelező az MFA?
A NIS2 kiemelten kezeli a megfelelő hitelesítési és hozzáférésvédelmi megoldásokat, beleértve a többtényezős hitelesítés alkalmazását, ahol az indokolt és előírt.
Megfelel a NIS2-nek egy vállalkozás, ha rendelkezik NAS-mentéssel?
Önmagában nem. A mentések védelmét, elkülönítését, visszaállíthatóságát és a kapcsolódó eljárásokat is vizsgálni kell.
A Microsoft 365 automatikusan NIS2-megfelelő?
Nem. A Microsoft 365 használata önmagában nem bizonyítja egy szervezet NIS2-megfelelését. A vállalkozásnak a saját hozzáféréseit, konfigurációit, adatkezelési folyamatait és kockázatait is megfelelően kell kezelnie.
Kiválthatja a külső rendszergazda a NIS2-kötelezettségeket?
Nem. Egy külső informatikai szolgáltató számos technikai feladatot elvégezhet, de a szervezet saját jogszabályi felelőssége nem szűnik meg.
Hogyan segíthet a SARABEL Informatika a felkészülésben?
A SARABEL Informatika technikai infrastruktúra-felméréssel, Windows Server és Active Directory biztonsági fejlesztésekkel, Microsoft 365 felülvizsgálattal, hálózatbiztonsági intézkedésekkel, biztonsági mentésekkel és monitoringmegoldásokkal támogathatja a felkészülést.
Összegzés: a NIS2-megfelelés alapja a működő és ellenőrizhető informatikai védelem
A NIS2 szabályozás egyik legfontosabb tanulsága, hogy az informatikai biztonság nem korlátozódhat néhány technikai eszköz telepítésére.
A vállalkozásoknak ismerniük kell az informatikai rendszereiket, a hozzájuk kapcsolódó kockázatokat és a szükséges védelmi intézkedéseket.
A megfelelő felkészüléshez elengedhetetlen lehet:
- az informatikai infrastruktúra felmérése;
- a kockázatok azonosítása;
- a jogosultságok ellenőrzése;
- a szerverek és hálózatok biztonsági megerősítése;
- a biztonsági mentések ellenőrzése;
- a monitoring és naplózás;
- az incidenskezelési folyamatok kialakítása;
- a dokumentáció rendszeres aktualizálása.
A 2026-os első audithatáridő lejárta nem jelenti a NIS2-kötelezettségek végét.
A kiberbiztonsági megfelelés folyamatosan fenntartandó működési követelmény.
A SARABEL Informatika Kft. a vállalkozások informatikai infrastruktúrájának felmérésével, korszerűsítésével és biztonságosabb üzemeltetésével támogatja a technikai felkészülést.
Amennyiben vállalkozása szeretné megismerni informatikai infrastruktúrájának jelenlegi biztonsági állapotát, érdemes egy részletes műszaki felméréssel kezdeni.
SARABEL Informatika Kft. – Informatikai infrastruktúra, IT-biztonság és rendszerüzemeltetés
Hivatalos források és további szakmai dokumentáció
Jogszabályok
2024. évi LXIX. törvény Magyarország kiberbiztonságáról
7/2024. (VI. 24.) MK rendelet – biztonsági osztályba sorolás és védelmi intézkedések
SZTFH – Lezárult a kiberbiztonsági auditok határideje
SARABEL Informatika – nyilvános szakmai útmutatók
Windows Server Active Directory Hardening Guide
Microsoft 365 Security Audit Toolkit
MikroTik Security Hardening Guide
PrivacyIDEA + FreeRADIUS + MikroTik OpenVPN
Backup & Disaster Recovery Guide
Zabbix Enterprise Monitoring Guide
Accounting Office IT Infrastructure Guide
A cikk általános szakmai tájékoztatás, nem minősül jogi szakvéleménynek, hivatalos megfelelőségértékelésnek vagy jogszabály szerinti kiberbiztonsági auditnak. Az alkalmazandó kötelezettségeket mindig a hatályos jogszabályok és az adott szervezet körülményei alapján kell meghatározni.