Közérthető útmutató kisvállalkozóknak, jogi és informatikai szakzsargon nélkül
Ha az utóbbi időben olvasott híreket a kiberbiztonságról, biztosan találkozott furcsa betűszavakkal: NIS2, GDPR, DORA, CRA. Ezek mind európai uniós szabályok, és elsőre úgy tűnhet, csak a bankokra, az áramszolgáltatókra és a nagy multikra vonatkoznak.
A jó hír: ezeknek a szabályoknak a nagy része valóban nem közvetlenül az Ön cégére vonatkozik.
A kevésbé jó hír: attól még el fogják érni Önt, a megrendelőin, a biztosítóján és a vásárlásain keresztül. Ebben a cikkben elmagyarázom, mire kell figyelnie, és mit érdemes most megtennie.
1. Ami már most is közvetlenül vonatkozik Önre
Az adatvédelem (GDPR): ez mindenkire vonatkozik
Ezt a szabályt valószínűleg ismeri, 2018 óta érvényes. Ha a cége bármilyen személyes adatot kezel, például ügyfelek nevét, telefonszámát, e-mail-címét vagy a dolgozók adatait, akkor az Ön cégére is vonatkozik. Méretre tekintet nélkül.
Kiberbiztonsági szempontból két dolog fontos belőle:
Védenie kell az adatokat. Nem kell tökéletesnek lennie, de észszerű óvintézkedésekre szükség van: jelszavak, mentések, frissített gépek.
Ha baj történik, gyorsan kell lépnie. Ha például ellopják a laptopot az ügyféllistával, vagy vírus titkosítja a gépeket, az ilyen adatvédelmi incidenst 72 órán belül be kell jelenteni a Nemzeti Adatvédelmi és Információszabadság Hatóságnak (NAIH).
A 72 óra rövid idő. Ha előre nem tudja, kit kell ilyenkor felhívnia, könnyen kicsúszhat belőle.
A mesterséges intelligencia használata
Az EU mesterséges intelligenciáról szóló rendelete 2025 februárja óta előírja, hogy aki a munkájában MI-eszközt használ (például ChatGPT-t, Copilotot vagy egy MI-alapú ügyfélszolgálati programot), annak a munkatársai értsék, mit csinál az eszköz, és mire kell vigyázni.
A gyakorlatban ez nem bonyolult. Elég egy rövid, közérthető belső szabály arról, hogy milyen adatot szabad beírni ezekbe a programokba és milyet nem. Ügyfélnevet, árajánlatot vagy személyes adatot például ne. Mellé jöhet egy rövid megbeszélés a munkatársakkal. Ez egyben kiberbiztonsági kérdés is, mert ami egyszer bekerült egy ilyen programba, az kikerült az Ön ellenőrzése alól.
NIS2: ha 50 főnél többen dolgoznak Önnél
A NIS2 az EU fő kiberbiztonsági szabálya, amelyet Magyarországon a 2025. január 1. óta hatályos kiberbiztonsági törvény vezetett be. Ez a szabály szigorú: regisztrációt, rendszeres külső ellenőrzést (auditot) és belső biztonsági szabályokat ír elő, a felügyeletet pedig a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) látja el.
A kisvállalkozásokra általában nem vonatkozik. Akkor kell mégis figyelnie, ha:
a cég legalább 50 főt foglalkoztat, vagy az árbevétele és a mérlegfőösszege is meghaladja a 10 millió eurót, és
olyan területen működik, amelyet a törvény felsorol. Ilyen például az energia, a szállítás, az egészségügy, az élelmiszer-előállítás és -forgalmazás, bizonyos gyártóipari ágazatok, a hulladékgazdálkodás, a futárszolgálat és a digitális szolgáltatások.
Figyelem: ha a cége egy cégcsoport tagja, vagy más cégekkel közös a tulajdonos, a létszámot és az árbevételt gyakran össze kell számítani. Így egy papíron 20 fős cég is a szabály alá kerülhet.
Az ellenőrzés határidői már lejártak, és a hatóság 2025 ősze óta ellenőrzi, ki mulasztotta el a regisztrációt. Ha nem biztos benne, hogy rá vonatkozik-e a cégére, kérdezze meg mielőbb a könyvelőjét vagy egy szakembert.
2. Ami a megrendelőin keresztül éri el Önt
Ez a legfontosabb rész.
A NIS2 alá tartozó nagyobb cégeknek, illetve a bankoknak és biztosítóknak (rájuk a DORA nevű szabály vonatkozik) nemcsak a saját biztonságukért kell felelniük, hanem a beszállítóik biztonságáért is. Ha egy hacker a kisebb beszállítón keresztül jut be egy nagy cég rendszerébe, az a nagy cég felelőssége is.
Ezért a nagy cégek továbbadják a követelményeket a beszállítóiknak. A gyakorlatban ez így néz ki:
Egy nap e-mail érkezik a legnagyobb megrendelőjétől: „Kérjük, töltse ki a mellékelt beszállítói biztonsági kérdőívet.” Harminc kérdés: van-e kétlépcsős bejelentkezés, hogyan mentenek, mikor frissítették utoljára a gépeket, van-e incidenskezelési terv. A következő szerződésben pedig megjelenik egy új pont: ha biztonsági incidens történik, 24 órán belül értesíteni kell a megrendelőt.
Ha Ön nagyobb cégeknek szállít, dolgozik be vagy szolgáltat (például alkatrészt gyárt, könyvel, karbantart, informatikai szolgáltatást nyújt, takarít vagy szállít), erre a levélre számítson. Aki erre fel tud készülni, versenyelőnyhöz jut. Aki nem, az elveszítheti a megrendelést.
3. Ami a vásárlásainál számít
Az EU nemcsak a cégektől, hanem a termékektől is elvárja a biztonságot.
2025 augusztusa óta az EU-ban árult vezeték nélküli eszközöknek (wifi-router, kamera, okoseszközök) alapvető biztonsági követelményeknek kell megfelelniük. Például nem lehet minden eszközön ugyanaz a gyári jelszó.
2027 decemberétől a Kiberreziliencia-rendelet (CRA) alapján szinte minden szoftverre és digitális eszközre vonatkozik, hogy a gyártónak éveken át biztonsági frissítést kell adnia hozzá, és ezt az időszakot közölnie is kell a vásárlóval.
Ezzel párhuzamosan megújul a termékfelelősségi szabály is, amelyet 2026 végéig kell beépíteni a magyar jogba. Eszerint a szoftver is terméknek számít, és ha a gyártó nem ad ki biztonsági frissítést, és ebből kár keletkezik, felelősségre vonható.
Mit jelent ez Önnek vásárlóként? Ha új eszközt vagy programot vásárol, kérdezze meg: „Meddig kap biztonsági frissítést?” Kerülje a márkanév nélküli, ismeretlen eredetű, nagyon olcsó kamerákat és routereket. Az előző cikkben láttuk: a frissítést már nem kapó eszköz nyitott ajtó a betörők előtt.
Ha Ön szoftvert vagy elektronikus eszközt fejleszt, gyárt vagy forgalmaz, akkor a CRA közvetlenül vonatkozik Önre, cégmérettől függetlenül. Az első kötelezettségek, például a súlyos biztonsági hibák bejelentése, már 2026 szeptembere óta érvényesek. Ebben az esetben feltétlenül kérjen szakmai segítséget.
4. Ami még változhat
Az EU tudja, hogy a sok szabály sok adminisztrációval jár, ezért 2025 végén és 2026 elején egyszerűsítést javasolt. A legfontosabb elemek:
Egy közös uniós bejelentési pont, ahol egy helyen lehetne bejelenteni egy incidenst, ahelyett hogy több hatóságnak külön kellene;
Az adatvédelmi incidenseket csak a komolyabb esetekben kellene a hatóságnak bejelenteni, és erre a jelenlegi 72 óra helyett 96 óra állna rendelkezésre.
Fontos: ezek egyelőre csak javaslatok, még nem kötelező szabályok. És az egyszerűsítés a papírmunkát csökkentené, a védekezés kötelezettségét nem.
5. Merre tart a világ? Öt változás, amire érdemes számítani
A szerződésekben egyre több lesz a biztonsági előírás. A kérdőív és a 24 órás értesítési kötelezettség hamarosan a hétköznapok része lesz.
A kiberbiztonság a vezető felelőssége. A nagy cégeknél a törvény a vezetőket teszi felelőssé, és ez a szemlélet lefelé is terjed. Nem elég annyit mondani, hogy „ezt az informatikus intézi”.
Gyorsan kell reagálni. Minden szabály órákban méri a határidőket. Előre kell tudni, ki mit csinál, ha baj van.
Egyre több alapvédelmet várnak el kötelezően. Kétlépcsős bejelentkezés, mentés, frissítés: ami eddig ajánlott volt, az mostantól elvárás lesz.
A biztosítók is szigorítanak. Kiberbiztosítást egyre nehezebb kötni alapvédelem nélkül, és ha baj van, a biztosító megnézi, mit tett Ön a megelőzésért.
Mit tegyen most? Tízpontos teendőlista
Tisztázza, vonatkozik-e Önre a NIS2. Kérdezze meg a könyvelőjét vagy egy szakembert, különösen akkor, ha 50 főnél többen dolgoznak Önnél, vagy a cég egy cégcsoport tagja.
Kapcsolja be a kétlépcsős bejelentkezést az e-mailen, a banki és a felhőszolgáltatások fiókjain. Ilyenkor a jelszó mellé egy telefonra érkező kód vagy jóváhagyás is kell. Ez az egyik leghatékonyabb és legolcsóbb védelem.
Frissítse a gépeket. Ha még Windows 10 fut rajtuk, tervezze meg a váltást.
Készítsen biztonsági mentést, legalább egy példányt a hálózattól leválasztva, és próbálja ki, hogy vissza is lehet-e állni belőle.
Írja össze, milyen gépei, eszközei és programjai vannak. A router, a kamera és a nyomtató is beletartozik.
Legyen egy egyoldalas vészhelyzeti terve: kit hív, ha baj van (informatikus, biztosító, NAIH), és ki dönt.
Állítson fel egy egyszerű szabályt az MI-eszközök használatáról, és beszélje meg a munkatársakkal.
Tartson rövid oktatást a csaló e-mailekről. A legtöbb támadás egy rossz kattintással kezdődik.
Vásárláskor kérdezzen rá a frissítésekre, és kerülje az ismeretlen eredetű eszközöket.
Készüljön fel a megrendelői kérdőívekre. Egy szakember segítségével állítsa össze egyszer a válaszokat, és utána csak frissítenie kell őket.
Összefoglalva
| Szabály | Kire vonatkozik? | Mit jelent Önnek? |
| GDPR (adatvédelem) | Mindenkire | Védje az adatokat, incidens esetén 72 órán belül jelentsen |
| MI-rendelet | Aki MI-eszközt használ | Belső szabály és tájékoztatás a munkatársaknak |
| NIS2 (kiberbiztonsági törvény) | Legalább 50 fős cégekre, bizonyos ágazatokban | Ellenőrizze, hogy Önre vonatkozik-e. Ha nem, a megrendelőin keresztül akkor is elérheti |
| DORA | Bankokra, biztosítókra | Ha nekik szállít, szigorúbb szerződésekre számítson |
| CRA (Kiberreziliencia-rendelet) | Szoftverek és eszközök gyártóira | Vásárlóként: kérdezzen rá a frissítésekre. Gyártóként: kérjen segítséget |
| Egyszerűsítési javaslatok | Mindenkire | Kevesebb papírmunka lehet, de a védekezés kötelezettsége marad |
Az uniós szabályok elsőre ijesztőnek tűnhetnek, de a lényegük egyszerű: mindegyik ugyanazt a néhány alapvető védelmet várja el. Aki rendben tartja a gépeit, ment, kétlépcsős bejelentkezést használ, és tudja, mit kell tennie baj esetén, az a legtöbb elvárásnak már megfelel. Ehhez nem kell informatikusnak lennie, elég egy megbízható szakember és néhány óra odafigyelés. Ez sokkal kevesebbe kerül, mint egy elveszített megrendelés vagy egy zsarolóvírus-támadás.
Ha kérdése van a cég informatikai biztonságával kapcsolatban, forduljon bizalommal szakemberhez: a megelőzés mindig olcsóbb, mint a kár helyreállítása.
Vélemény, hozzászólás?