NIS2 és a beszállítói lánc: mit fog kérdezni tőled az ügyfeled 2026-ban?

Az ügyfeledet nemcsak az fogja érdekelni, hogy van-e tűzfalad. Azt is tudni akarja, ki fér hozzá az éles rendszerhez, mennyi idő alatt értesíted egy incidensről, és mivel bizonyítod, hogy vissza tudsz állni egy mentésből. A NIS2 közvetlenül az alapvető és fontos szervezetekre ró kötelezettségeket, de ezek a szervezetek a beszállítóiktól is bizonyítékot kérnek. Fejlesztőként vagy ügynökségként ezért 2026-ban jó eséllyel előbb kapsz egy ügyfélkérdőívet vagy szerződéses mellékletet, mint bármilyen hatósági megkeresést.

Ebben a cikkben megnézzük, mikor vonatkozik rád közvetlenül a NIS2, milyen bizonyítékokat kérhet az ügyfeled, és mi rakható össze reálisan három hónap alatt.

📅 A cikk a 2026. októberi jogszabályi környezetet mutatja be. A konkrét kötelezettséget mindig az adott szervezet ágazati, méretbeli és jogi besorolása, valamint a vele kötött szerződés határozza meg.

Kire vonatkozik közvetlenül a NIS2, és kit érint beszállítóként?

A NIS2 az Európai Unió 2022/2555 irányelve, amely 18 kritikus ágazatban egységes kiberbiztonsági keretet hoz létre. Kockázatkezelést, incidenskezelést, üzletmenet-folytonosságot és a beszállítói lánc biztonságát várja el az érintett szervezetektől.

Magyarországon a Magyarország kiberbiztonságáról szóló 2024. évi LXIX. törvény és a végrehajtásáról szóló 418/2024. (XII. 23.) Korm. rendelet ülteti át. A vállalati kötelezettek felügyeletét és a kiberbiztonsági auditot jellemzően az SZTFH (Szabályozott Tevékenységek Felügyeleti Hatósága) végzi.

Egy informatikai beszállító nem válik automatikusan NIS2-kötelezetté attól, hogy érintett vállalatnak dolgozik. Az ágazat, a szolgáltatás jellege és a szervezet mérete együtt dönti el, hogy rád is vonatkozik-e közvetlenül.

Beszállítóként három helyzetet érdemes elválasztanod:

• Közvetlen érintettség: a saját szervezeted a jogszabály alapján a hatály alá tartozik. Ilyenkor a teljes jogi és technikai megfelelés a te feladatod.
• Beszállítói elvárás: az ügyfeled érintett, ezért felméri, milyen kockázatot jelent számára a szolgáltatásod. Kérdőívet, bizonyítékot és szerződéses garanciákat kérhet.
• Saját üzleti kontroll: akkor is érdemes rendezned a hozzáféréseket, mentéseket és incidenskezelést, ha még senki nem kérdezett. Így egy új projektnél nem nulláról kell bizonyítanod, hogy kontroll alatt tartod a környezetedet.

A legtöbb fejlesztőt és ügynökséget a második helyzet érinti. Ez nem teljes jogszabályi megfelelés, de dokumentált működés nélkül az ügyfeled nem tudja kezelni a saját beszállítói kockázatát.

Ha az általános háttérre is kíváncsi vagy, olvasd el a 3 kiberbiztonsági trend, amire a cégeknek érdemes figyelnie című cikkünket is.

Mit kér az ügyfeled a NIS2 beszállítói megfeleléshez?

Az ügyfél jellemzően nem egyetlen tanúsítványt kér. Azt akarja látni, hogy az incidenseket, a mentéseket, a hozzáféréseket és a további beszállítóidat előre meghatározott rend szerint kezeled. Minden területhez tartozzon felelős, hatókör, utolsó ellenőrzési dátum és a még nyitott hiányosságok rövid listája.

Mit kell bemutatnod incidenskezelésből?

A NIS2 szerint a közvetlenül érintett szervezetnek egy jelentős incidens után 24 órán belül korai figyelmeztetést, 72 órán belül pedig részletesebb bejelentést kell tennie. Ha az ő rendszerét te üzemelteted vagy fejleszted, ezt a határidőt csak veled együtt tudja tartani. Ezért az egyik első kérdése az lesz: mennyi időn belül értesíted egy incidensről?

Az incidenskezelési eljárás rögzítse, mi számít eseménynek, ki dönt a súlyosságáról, ki értesíti az ügyfelet, és hol marad nyoma a döntéseknek. Egy kétoldalas, ténylegesen használt eljárás többet ér egy hosszú, általános szabályzatnál.

A minimumcsomag része a kapcsolattartók listája, az eszkaláció sorrendje, az ügyfél értesítésének felelőse és egy rövid értesítési minta. Azt is tisztázd, melyik réteget vizsgálod te, és mit adsz át az infrastruktúra-szolgáltatónak.

Mit bizonyít a mentési rend?

A „van backup” mondat kevés. A mentési rend nevezze meg, mi kerül mentésbe, milyen gyakran, meddig őrzöd, ki fér hozzá, és mikor indítod a visszaállítást.

A legerősebb bizonyíték egy dokumentált visszaállítási próba. Itt két fogalmat érdemes ismerned: az RTO azt mutatja meg, mennyi idő alatt kell helyreállnia a szolgáltatásnak, az RPO pedig azt, mennyi adatvesztés fogadható el. Ezeket a rendszer fontosságához igazítsd, ne általános ígéretként írd le.

Külön kezeld a szolgáltatói és az alkalmazásszintű mentést. Ha az alkalmazás külső fájltárolót, adatbázist vagy API-t használ, a tárhelyszolgáltató mentése nem feltétlenül fedi le a teljes rendszert. Az ügyfélnek a mentési kör és a felelősségi határ a fontos.

Szeretnéd tudni, hogyan kezeljük a mentéseket a Sybell Hostingnál? Nézd meg erről részletes útmutatóinkat: Biztonsági mentés

Mit kérnek hozzáférés-kezelésből?

A hozzáférési mátrix megmutatja, ki, milyen szerepkörben, melyik rendszerhez és milyen szinten fér hozzá. Egészítsd ki az utolsó felülvizsgálat dátumával, valamint azzal, hogyan kezeled a belépést, a szerepkörváltást és a kilépést.

Külön sorban szerepeljenek az éles hozzáférések, az adminfiókok, az SSH-kulcsok és a külső eszközök. Ahol lehet, rögzítsd a kétlépcsős azonosítás és a naplózás használatát is. A jó bizonyíték nem azt mondja, hogy „mindenki csak a szükségeshez fér hozzá”, hanem megmutatja a tényleges listát.

Hogyan kezeld a saját beszállítóidat?

Készíts nyilvántartást a használt tárhelyről, szerverről, felhőről, levelezésről, monitorozásról és a külső fejlesztőkről. Mellé egy rövid adatáramlási térképet: milyen adat melyik rendszerből hová kerül, és ki fér hozzá.

A szolgáltatóidnál nézd meg, mit vállalnak a biztonsági követelmények, a sérülékenységkezelés és az incidensértesítés terén. Egy auditált szolgáltató értékes bizonyíték, de nem váltja ki a saját kontrolljaidat.

A minimum bizonyítékcsomagod legyen rövid és átadható:

• rendszer- és adatáramlási térkép,
• incidenskezelési eljárás,
• mentési és visszaállítási összefoglaló,
• hozzáférési lista,
• beszállítói nyilvántartás,
• felelősök és felülvizsgálati dátumok.

Mit várj el a tárhely- és infrastruktúra-szolgáltatódtól?

A szolgáltató a technikai kontrollokban és azok dokumentálásában segít, de a saját folyamataidért és ügyfélkapcsolataidért nem vállalhatja át a felelősséget. A jó szolgáltató azt is megmondja, meddig terjed a szolgáltatása, és milyen igazolást tud adni róla.

Mielőtt szolgáltatót választasz vagy igazolást kérsz, tedd fel ezeket a kérdéseket:

• Melyik kontrollt fedi le a szolgáltatás, és melyik marad a te feladatod?
• Mit érint a mentés, és meddig őrzik meg?
• Ki fér hozzá a mentésekhez, és hogyan kérhető visszaállítás?
• Hogyan kérhető ki a kapcsolódó dokumentáció, és milyen gyakran frissül?
• Kihez fordulsz technikai eseménykor, és milyen tájékoztatást kapsz az okról és a helyreállításról?

Nálunk ezekre a kérdésekre konkrét válasz van. Tárhelyeinken automatikus mentés készül a weboldalról, az adatbázisról és az e-mailről, amelyből az utolsó 6 napi és 4 heti mentést őrizzük meg. Az oldalakat az Imunify360 valós idejű malware-szűrése, webalkalmazás-tűzfala és behatolásvédelme védi, és minden domainhez ingyenes SSL tartozik.

🛡️ A saját működésünket is ellenőriztettük: a Sybell Hosting megfelelt a NIS2 auditon. Ha az ügyfeled azt kérdezi, milyen infrastruktúrán fut a rendszere, auditált szolgáltatót tudsz megnevezni. Az alkalmazásod saját kontrolljait ettől még neked kell dokumentálnod, de a tárhely-rétegre már kész, igazolható választ adhatsz a kérdőívben.

Mit lehet reálisan három hónap alatt összerakni?

Három hónap alatt összeállítható egy ügyfél előtt bemutatható beszállítói alapcsomag. Teljes tanúsítás vagy minden régi rendszer lecserélése viszont nem reális cél. A cél az, hogy tudd, mit védesz, ki felel érte, mivel bizonyítod, és mi maradt még nyitva.

Első hónap: hatókör és hiánytérkép

Írd össze az éles és tesztkörnyezeteket, a kezelt adatokat, a hozzáféréseket, az alvállalkozókat és az infrastruktúra-függőségeket. Ne csak a saját kódodat vedd fel: szerepeljen a tárhely, a szerver, a felhő, a levelezés és minden API, amely nélkül a szolgáltatás nem működik.

A hiánytérképen külön oszlopban jelöld a közvetlen jogszabályi érintettséget, az ügyfél szerződéses elvárását és a saját belső kontrollt. A hónap végére legyen hatóköri térképed, felelősi listád, kockázati sorrended és dokumentumjegyzéked.

Második hónap: minimum kontrollok és dokumentumok

Ne tökéletes szabályzatkönyvet írj, hanem olyan minimumot, amelyet a csapat tényleg használ: incidenskezelési eljárás, eszkalációs rend, mentési és visszaállítási szabályzat, hozzáférési mátrix, beszállítói nyilvántartás és sérülékenységkezelési folyamat.

A kritikus rendszerekhez tartozzon legalább egy dokumentált visszaállítási próba, a nyitott hiányosságokhoz pedig felelős és határidő. Így az ügyfélnek nem több száz oldalt küldesz, hanem megmutatod, melyik kérdésére melyik bizonyíték válaszol.

Harmadik hónap: próba és bizonyítékcsomag

Tarts egy asztali incidensgyakorlatot, ahol a csapat egy kitalált esetet beszél végig az észleléstől az ügyfél értesítéséig. Próbáld ki a visszaállítást, ellenőrizd újra az adminhozzáféréseket, és töltsd ki próbaként egy ügyfél beszállítói kérdőívét.

A kész csomag röviden mutassa meg a hatókört, a kontrollokat, a felelősöket, az utolsó ellenőrzés dátumát és a még nyitott kockázatokat. Ezt minden új ügyfél, rendszer vagy alvállalkozó belépésekor frissítsd, mert a beszállítói megfelelés nem egyszer elkészített PDF, hanem működő folyamat.

Gyakori kérdések

Összegzés

A NIS2-re készülő ügyfeled nem általános biztonsági ígéretet vár, hanem ellenőrizhető választ arra, hogyan kezeled az incidenseket, a mentéseket, a hozzáféréseket és a beszállítóidat. Három hónap alatt reálisan összeállítható egy használható alapcsomag, amelyet minden új projektnél csak frissítened kell.

A tárhely-réteget ebből megkönnyítjük: a Sybell Hosting megfelelt a NIS2 auditon, így az ügyfeled kérdőívében auditált szolgáltatót tudsz megnevezni, automatikus mentéssel és Imunify360 védelemmel. Ha olyan környezetet keresel, amelynél az infrastruktúra biztonsága már igazolt, nézd meg tárhelyszolgáltatásainkat.

Nézd meg tárhelycsomagjainkat »