NIS2: megjelent az auditrendelet

Amilyen jól indult a NIS2 uniós irányelv bevezetése Magyarországon, az elmúlt bő fél évben annyira lelassult a haladás. Nemrégiben megjelent egy fontos rendelet a kötelező auditokról, de ettől a szakmai közvélemény még nem nyugodott meg, sőt. Az továbbra is kérdéses, hogy az év végén elfogadott kiberbiztonsági törvényben lefektetett határidők tarthatók lesznek-e.

◼︎ A szakember és az idő is kevés

Január 31-én végre ismét történt valami a NIS2 háza táján: a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) kiadta a szakma által régen várt rendeletét a kiberbiztonsági audit lefolytatásának rendjéről és az audit legmagasabb díjáról. A jogszabály azért rendkívül fontos, mert a NIS2 biztonsági előírásainak való megfelelést piaci szereplők esetében külső, független, az SZTFH nyilvántartásában szereplő auditoroknak kell igazolniuk – ennek menetét és díjait rögzíti a mostani rendelet.

Sávok és díjak

A rendelet több mint száz oldalon keresztül fejti ki az elektronikus információs rendszerek (EIR-ek) ellenőrzésénél követendő módszertant és a szükséges ellenőrzési pontokat. Ami pedig a díjszabást illeti, az alapdíj (ÁFA nélkül) 1 750 000 forint, amit a cég árbevétele, valamint az auditálandó elektronikus információs rendszerek biztonsági osztálya és száma szerint különféle szorzószámokkal kell megszorozni, 0,9 és 5 között. (Az árbevétel alapján alkalmazandó szorzószámokról lásd táblázatunkat!)

A rendelet szövegéből következően, ha a szervezetben akár csak egy rendszer is a jelentős vagy magas osztályba tartozik, a teljes díjat a magasabb szorzóval kell számítani. A legmagasabb kategóriában (40 milliárd forint feletti árbevétel, 16-nál több elektronikus információs rendszer, amelyek közül legalább egy magas biztonsági osztályba sorolandó), akkor a fizetendő díj 1 750 000×4×4×5 azaz pontosan 140 millió forint. A legkisebb cégnek másfél millió forintot kell elkülönítenie a NIS2 kiberbiztonsági auditra.

Az általunk megkérdezett kiberbiztonsági szakértők (akik között olyan is van, aki auditorként regisztrált cégnél dolgozik) egyöntetűen üdvözlik, hogy végre megjelent a rendelet, még ha jókora késéssel is lett elfogadva. Az eredeti, a már hatályon kívül helyezett Kibertantv-ben is szereplő ütemterv szerint 2024. december 31-ig minden érintett vállalkozásnak már szerződnie is kellett volna valamelyik auditorral, hogy aztán 2025. december 31-ig lefolytatható legyen az első audit. December 27-én került ki egy nyúlfarknyi közlemény az SZTFH oldalára, amely szerint a legmagasabb díjról még egyeztetések zajlanak a Magyar Kereskedelmi és Iparkamarával, így csak 2025-ben jelenik meg a rendelet.

Ez azt  is jelentette, hogy az érintett szervezetek mostanáig nem tudtak szerződni az auditorokkal a munka elvégzésére; de az auditorok keze is meg volt kötve, mert még előzetes tárgyalásokat sem tudtak folytatni a potenciális ügyfelekkel, hiszen díjszabás híján nem volt mivel tervezniük, az SZTFH pedig nem vonta be őket a szakmai egyeztetésekbe.

Sok vagy kevés?

Ilyen előzmények után azt hihetnénk, hogy a rendelet megjelenését egyöntetű öröm és megkönnyebbülés fogadja az auditori szakma részéről. Erről azonban szó sincs, sőt: számos kifogásuk akad a díjazást és az audit módszertant illetően.

Az MKIK-val való egyeztetés egyik célja az volt, hogy a kisebb cégekre ne rójon aránytalanul nagy terhet az audit – ennek eredménye lett a már említett, az árbevételtől (is) függő sávos rendszer. Forrásaink szerint a szándék abszolút érthető és nemes, hiszen a NIS2 hatálya alá tartozik számos kis internet- és hírközlési szolgáltató, amelyek pár tízmillió forintos éves árbevétellel rendelkeznek. Nem lett volna szerencsés, ha nekik 5-10 millió forintot kellett volna fordítani az auditra.

Az éremnek azonban ezúttal is van egy másik oldala – azt, amelyiket az auditorok nézik. Számukra a másfél millió forintos alsó határ meglehetősen alacsony, különösen az elvégzendő munka mennyiségéhez képest – a követendő módszertan ugyanis nem különbözik a nagyobb vállalatoknál alkalmazottól. A módszertan pedig rendkívül komplex és bonyolult (erről a későbbiekben még lesz szó), így annyi ráfordítást, tanácsadói munkaórát fog igényelni az auditoroktól, amit a fenti összeg messze nem fed le. Ha pedig több rendszert kell ellenőrizni (hogy magasabb szorzót lehessen alkalmazni), az értelemszerűen több munkával is jár.

Más a helyzet a jelentős és magas biztonsági osztályba sorolt elektronikus információs rendszerekkel, illetve az azokat üzemeltető vállalatokkal. Ott még úgyis megérheti elvállalni a munkát, hogy a magasabb osztályokban másféle ellenőrzéseket (például behatolási teszteket) is alkalmazni kell. Ugyanakkor jelentős osztályba sorolt rendszereket csak két auditor (a Certop és a Kürt), magasat pedig egyetlen (a Hunguard) ellenőrizhet.

Dokumentumok és indexek

Nem függetleníthetők a díjazástól az auditori módszertannal összefüggő kifogások sem. Az elvekkel itt is egyetértenek a szakértők: üdvözlendő, hogy részletes és alapos vizsgálatnak vetik alá a biztonsági szabályzatokat, kontrollokat – csak éppen a rendelkezésre álló szakember-, idő- és pénzügyi keretbe aligha fér bele az ilyen mindenre kiterjedő audit. Mert miről is van szó?

Az első lépés az információbiztonsággal összefüggő dokumentáció ellenőrzése. A rendelet taxatívan felsorolja, hogy milyen dokumentumokat kell bekérnie az auditornak az EIR-ek nyilvántartásától a beszerzési eljárásokkal kapcsolatos dokumentációig. Ezeket össze kell vetni a 7/2024. MK-rendelettel, hogy megfelelnek-e az abban foglaltaknak.

A dokumentumok ellenőrzése után kerülhet sor a személyes beszélgetésekre, amelyek során részletesebb képet alkothat az auditor a vállalat felkészültségéről. Ellenőrizni kell például, hogy helyesen definiálták-e az EIR-eket, nem történtek indokolatlan összevonások; azokat megfelelően sorolták-e be az egyes biztonsági osztályokba, és így tovább. Mindezen vizsgálatok eredményéből áll össze majd az úgynevezett VMI-index, amely azt mutatja meg, hogy az adott szervezet milyen mértékben felel meg a jogszabályokban lefektetett előírásoknak. Ha a VMI-index nem éri el a 70 százalékot, a szervezet megbukott az auditon.

Veszélyben a határidő

Mindez pedig komolyan kérdésessé teszi, hogy mennyire lesz teljesíthető a december 31-i határidő. A jelen állapotok szerint tíz auditor cégnek kellene több ezer cég auditálását elvégezni, nem egészen 11 hónap alatt. Mindezt úgy, hogy az érintettek között megtalálhatók a legnagyobb magyar társaságok is, ahol akár több tucatnyi EIR, és az alájuk besorolt nagyszámú alkalmazás megfelelőségét kell ellenőrizni; egy-egy rendszer auditja még a legjobb esetben is több hetet vesz igénybe; és közben nyomasztó az információbiztonsági szakemberek hiánya. Ahogy a piacon dolgozó szakértők már többször megfogalmazták: egyszerűen nem jön ki a matek – vagyis ennyi „hadra fogható” szakember a rendelkezésre álló idő alatt fizikailag is képtelen lenne minden rendszert az előírt, részletes módszertan szerint leauditálni.

Forrásunk egy másik problémára is felhívta a figyelmünket. A Digitális Állampolgárság Programról szóló törvényben több száz szervezetet (pénzintézetet, közszolgáltatót, távközlési társaságot) köteleztek arra, hogy június 1-től a DÁP-mobilalkalmazáson keresztül is tegyék lehetővé a belépést online ügyintézési rendszereikbe. Ezeknek a vállalatoknak már június 1-re végeznie kellene a kiberbiztonsági audittal – vagyis nekik még kevesebb idejük van, miközben jellemzően a legnagyobb, számos ellenőrizendő rendszert üzemeltető vállalatokról van szó.

„Ha ez nem sikerül, az a Digitális Állampolgárság Programnak is komoly presztízsveszteséget okozna. Pedig a DÁP alapvetően rendkívül jó és praktikus fejlesztés, amely magasabb fokú biztonságot tud garantálni a felhasználó számára. Európa-szerte számos jó és működő példa van hasonló termékre, és Magyarországon külön üdvözlendő, hogy a DÁP által érintett cégeknek is kiemelten kell törődniük a kiberbiztonsággal”, mondja az általunk megkérdezett szakértő.

A könnyebb út csábítása

A fent említett nehézségek pedig azt eredményezhetik, hogy a NIS2 végső soron az eredeti célkitűzésével ellentétes hatást vált ki. A lényege pontosan az lett volna, hogy a korábbi kiberbiztonsági előírásokhoz képest konkrét és számon kérhető intézkedéseket követeljen meg az érintettektől, hogy aztán ezeket a követelményeket ne csak papíron, hanem a gyakorlatban, ténylegesen is ellenőrizzék, ezzel pedig magasabb szintre emeljék a cégek kiberbiztonsági szintjét.

Az új körülmények között viszont mind az érintett szervezetek, mind az auditorok késztetést érezhetnek, hogy a könnyebb utat válasszák. A kötelezően előírt szabályozások kapcsán a hazai cégek és vezetőik többségében amúgy is van hajlam arra, hogy „megúszni” próbálják a felkészülést, vagyis megelégednek azzal, hogy papíron megfelelnek az előírásoknak, és igazából meg sem próbálják azok szellemiségét is átvenni (emlékszik még valaki a GDPR-ra?). Jelen esetben ez azt fogja jelenteni, hogy a többség törekedni fog arra, hogy legfeljebb öt elektronikus információs rendszere legyen, és azok is mind az alap biztonsági osztályba tartozzanak.

A másik oldalról pedig az auditorcégek is azon lesznek, hogy csak annyi erőforrást allokáljanak egy-egy projektre, amennyi számukra még megéri – hiszen végső soron mindegyik piaci, profitra törekvő vállalkozás. Így az alapszinten alacsonyra nyomott díjak, a szakemberhiány és a túl szorosra vett határidő miatt elképzelhető, hogy az optimálisnál felületesebb vizsgálatokra kerül majd sor.

Ugyanakkor a megkérdezett szakemberek hangsúlyozták, hogy nekik egyáltalán nem ez a céljuk, sőt, nagyon is hisznek abban a célban, hogy az érintett szervezeteket ellenállóbbá kell tenni a kibertámadásokkal szemben. A teljes képhez az is hozzátartozik, hogy az auditor felelősséget vállal az általa ellenőrzött rendszerekért. Ha azoknál a későbbiekben (például egy támadás nyomán) olyan hiányosságra derül fény, amely elkerülte az auditorok figyelmét, az komoly következményekkel járhat. Ha az auditorcég szeretné megőrizni szakmai hitelességét, nem végezheti hanyagul a munkáját – fogalmazott egyik forrásunk.

Lehet könnyíteni

Mi lehet a kiút ebből a csapdahelyzetből? A szakértők az érintett cégeknek az alapos felkészülést tanácsolják. A júniusi MK-rendelet és az alapjául szolgáló NIST 800-53 szabvány részletesen felsorolja, hogy milyen kontrollokat és milyen módon kell alkalmazni. Ha a rendszerek felkészítése megfelelő alapossággal történt, az audit is gyorsabban mehet végbe, és kevesebb hiányosságot fog feltárni. És igen, a felkészülésre is el kell költeni minimum egy alap audit árát, de megéri – ha az audit során derülnek ki a hibák, azokat valószínűleg már csak nagyobb költséggel és hosszabb idő alatt lehet orvosolni.

Az auditorok számára az automatizáció és a mesterséges intelligencia jelenthet segítséget. Eszközöket kell fejleszteni és alkalmazni például a dokumentáció ellenőrzésére, a rendszerek vizsgálatára, hogy ezzel is gyorsítsák az audithoz szükséges időt. Bárhogy is lesz, a következő hónapok mind az érintettek, mind az auditorok számára a tanulás időszaka lesz.