A magyar vállalkozásoknak egyre komolyabban kell venniük a kiberbiztonságot, mert egy új SZTFH-rendelet jelentősen átalakítja az ellenőrzések rendszerét és a piac működését. Az uniós NIS2-irányelv hazai végrehajtása során született szabályok mostantól több céget érintenek, ugyanakkor a verseny is élénkülhet az auditorok között. Érdemes időben tájékozódni, mert a felkészülés elmulasztása nemcsak bírságot, hanem üzleti kockázatot is jelenthet.
“A korábbi szigorú kategóriák eltörlésével tíz független auditor közül is választhatnak a vállalkozások, ami jelentősen erősítheti a versenyt és mérsékelheti az árakat a magasabb kockázatú vizsgálatoknál.”
A friss magyar rendelet alapjaiban változtatja meg a kiberbiztonsági auditok piacát az országban.
A változás mögött az uniós NIS2 irányelv áll, amely egységesen magasabb szintű védelmet ír elő a digitális rendszerek számára. Magyarországon a szabályozást a helyi sajátosságokhoz igazították, és az elmúlt időszakban egy konkrét rendelet tovább finomította az auditok menetét. A cégeknek ezért alaposabban kell átgondolniuk saját felkészültségüket és a lehetséges következményeket. Aki most lép, az előnybe kerülhet a versenytársakkal szemben.
Az európai unió már évekkel ezelőtt felismerte, hogy a technológiai rendszerek védelme ugyanolyan fontos, mint a személyes adatoké.
Ezért jött létre először a NIS, majd annak továbbfejlesztett változata, a NIS2. A magyar hatóságok saját utat választottak, és a pénzügyi szektorban már korábban is alkalmazott alapos módszertant vették alapul. Ez a megközelítés részletes és sokrétű, ezért a piacnak időbe telt, mire felkészült rá. A szabályozás így szigorúbb kereteket ad, ugyanakkor nagyobb biztonságot is ígér a gazdaság egészének.
Az új előírások elsősorban a kritikus infrastruktúrákat és a fontosabb gazdasági szereplőket érintik Magyarországon.
Ide tartozik a közlekedés, az egészségügy, az élelmiszergyártás, a közművek és több más terület. Jelenleg körülbelül négyezer cég tartozik a hatály alá, bár a szám várhatóan még emelkedni fog. A regisztráció önbevallásos alapon történik az SZTFH honlapján elérhető nyomtatvány segítségével. Aki késlekedik, azzal nemcsak saját magát, hanem a többi piaci szereplőt is hátrányos helyzetbe hozhatja. A hatóság már több mint ezerháromszáz céget szólított fel a regisztrációra.
Sok közepes méretű vállalkozás is érintett lehet, pedig sokan még mindig csak a nagyvállalatokat tartják lehetséges célpontnak.
A valóság azonban az, hogy a támadók gyakran a leggyengébb láncszemet keresik a beszállítói láncban. Egy kisebb cég elavult rendszerei vagy hiányos védelme így az egész ellátási láncot veszélybe sodorhatja. Számos példa mutatja, hogy még ma is előfordulnak évtizedes operációs rendszerek vagy ingyenes levelezőszolgáltatások használata üzleti levelezésre. Ezek a megoldások rendkívül vonzó célpontot jelentenek a támadók számára. A felkészülés ezért nem méret kérdése, hanem alapvető üzleti érdek.
A kiberbiztonsági auditok korábbi rendszere erősen korlátozta a versenyt és szűkítette a cégek választási lehetőségeit.
Korábban mindössze tíz auditor dolgozhatott a területen, miután nemzetbiztonsági átvilágításon estek át. Ezeket három kockázati kategóriába sorolták, és csak kevesen férhettek hozzá a jelentősebb vagy magas kockázatú megbízásokhoz. Az árakban is nagy különbségek mutatkoztak, a legalacsonyabb kategóriában másfél-két millió forint körül mozogtak a díjak, míg a legmagasabb szinteken akár tízszeres szorzó is érvényesült. Ez a felállás sok céget korlátozott abban, hogy több ajánlatot kérjen be. A rendszer így nem ösztönözte igazán az árversenyt.
A legutóbbi rendeletmódosítás eltörölte a korábbi kategóriákat, így mostantól minden auditor bármely szinten végezhet kiberbiztonsági auditot.
Ez a lépés jelentősen bővíti a cégek mozgásterét, mert tíz helyről is kérhetnek ajánlatot. A magasabb kockázatú vizsgálatoknál így reális esély nyílik az árak csökkenésére anélkül, hogy a minőség rovására menne. A változás egyúttal átláthatóbbá teheti a piacot és csökkentheti az esetleges korábbi torzulásokat. A cégeknek érdemes élniük ezzel a lehetőséggel és több ajánlatot bekérniük. Így nemcsak költséget takaríthatnak meg, hanem függetlenebb képet is kaphatnak saját rendszereik állapotáról.
Az új keretek között a kiberbiztonsági audit függetlensége és minősége is jobban garantálható, mint korábban.
A hatóság gépi feldolgozásra alkalmas formátumban kéri be a jelentéseket, így könnyebben ellenőrizhető a teljesség és a követelmények betartása. Emellett a rendszeres rotáció, vagyis hogy két év múlva más auditor végezze a vizsgálatot, szintén csökkenti az összefonódás kockázatát. A hatóság maga is végezhet utóellenőrzéseket az auditorok munkáján. Mindez együttesen azt szolgálja, hogy a cégek valóban értékes és megbízható képet kapjanak saját kiberbiztonsági helyzetükről. A függetlenség így nem csak elvárás, hanem a rendszer szerves része lett.
A vállalatoknak ugyanakkor még számos gyakorlati akadályt kell leküzdeniük a sikeres megfeleléshez.
Gyakran hiányoznak az átfogó eljárásrendek krízishelyzetekre vagy a rendszer redundanciája. Sok helyen nincsenek egyértelműen kijelölt felelősök az információbiztonságért, pedig ez alapvető lenne a hatékony működéshez. A technológiai lemaradások mögött pedig gyakran nem anyagi okok, hanem egyszerűen emberi mulasztás vagy halogatás áll. Ezek a hiányosságok nemcsak az audit során derülnek ki, hanem valós támadási felületet is jelentenek. A felkészülés ezért egyszerre jogi, szervezeti és technológiai feladat.
Hosszú távon a szabályozás hozzájárulhat egy átláthatóbb és biztonságosabb kiberbiztonsági környezethez Magyarországon.
Ehhez azonban szükséges, hogy minden érintett cég valóban regisztráljon és megtegye a szükséges lépéseket. A szakértők szerint érdemes lenne a kritériumrendszert is egyszerűsíteni, hogy a vállalkozások kevésbé riadjanak meg a feladattól. Aki időben cselekszik, az nemcsak a bírságot kerülheti el, hanem az üzleti bizalmat is megőrizheti egy esetleges incidens után. A kiberbiztonság így nem pusztán kötelezettség, hanem hosszú távú versenyelőny forrása is lehet. A mostani rendelet ebben a folyamatban fontos mérföldkő.
Mi az a NIS2 és miért kell vele foglalkozniuk a magyar cégeknek? A NIS2 az uniós kiberbiztonsági irányelv továbbfejlesztett változata, amely a korábbi NIS1-nél szigorúbb követelményeket támaszt a kritikus infrastruktúrák és fontos szervezetek elektronikus rendszereivel szemben. Magyarországon körülbelül négyezer cég érintett, és a nem megfelelés komoly bírságot vagy üzleti kockázatot jelenthet, ezért érdemes időben felkészülni az auditra és a szükséges intézkedésekre.
Milyen gyakorlati változást hoz az új rendelet a kiberbiztonsági auditok piacán? A korábbi kategóriákat eltörölték, így most már mind a tíz jóváhagyott auditor bármely kockázati szinten végezhet vizsgálatot. Ez növeli a versenyt, bővíti a cégek választási lehetőségeit és várhatóan mérsékli az árakat különösen a magasabb kategóriás auditoknál, miközben a függetlenség és az átláthatóság is erősödik.
Melyek a leggyakoribb hiányosságok, amelyekkel a magyar vállalatoknál találkoznak a felkészülés során? Sok cégnél hiányoznak az átfogó eljárásrendek, a krízishelyzetekre vonatkozó tervek és a kijelölt felelősök az információbiztonság területén. Emellett gyakran elavult rendszerek és szoftverek használata jellemző, ami nemcsak az auditot nehezíti meg, hanem valós támadási kockázatot is jelent.
A diákmunka piaca Magyarországon izgalmas átalakuláson megy keresztül. A fiatalok már nem csupán a pénzkereset miatt vállalnak munkát nyáron, hanem egyre tudatosabban építik vele a jövőbeli karrierjüket is. A cégeknek azonban egyre nehezebb betölteni a szükséges pozíciókat, mert a diákok elvárásai a rugalmasság és a szakmai tartalom felé tolódtak el. Az iskolaszövetkezetek adatai szerint az érdeklődés magas, de a kínálatban dominálnak a szakmai és gyakornoki jellegű lehetőségek a betanított munkák […]
