Lejárt az első kiberbiztonsági audit határideje – mi következik most?

Sok céget kellemetlen meglepetésként ért, amikor pár éve az Európai Unió NIS2 irányelvét átültető hazai jogszabályok alapján a kiberbiztonsági szabályozás hatálya alá kerültek. Volt, akit a cégbíróság által nyilvántartott tevékenységi körei alapján közvetlenül a hazai hatóság értesített erről a váratlan körülményről, volt, ahol a cégcsoporton belüli compliance osztály, vagy éppen a cég külsős jogi tanácsadója jelezte az ügyvezetésnek az ezzel kapcsolatos teendőket. Míg a korábbi európai szabályozás csak a szolgáltatások és cégek sokkal szűkebb körére vonatkozott és csak korlátozott feladatokat eredményezett, a 2025-ben hatályba lépett új rezsim szigorú, részletes, költséges és újdonságként a szabályok betartásáért az ügyvezetés személyes felelősségét is felvető kötelezettségeket írt elő. Mivel az új törvényhez hatósági díjfizetés is kapcsolódik, ezen felül a szabályok betartásához nemcsak kiberbiztonsági, de jogi közreműködés is szükséges, így összességében elég drága mulatságnak minősül majd a jogszabályi megfelelés.

Érdekességképpen megemlítendő, hogy alighanem ez az első olyan eset a hazai digitális technológiákkal kapcsolatos jogi szabályok között, ami gyakorlatilag csak egy ISO szabványhoz hasonlíthatóan összetett eljárásrend bevezetését, üzemeltetését és rendszeres auditálását írja elő. Az első kötelező audit lebonyolítására megszabott határidő nemrég járt le, és mivel az elmúlt időben rengeteg olyan kérdés merült fel az auditra vonatkozó szabályok gyakorlati alkalmazásával kapcsolatban, amelyre sem a jogszabály, sem a hatóság nem adott választ, az Oppenheim Data, Technology, Cyber & AI csapatának oszlopos tagjával, Szilágyi Krisztián kollégámmal úgy döntöttünk, hogy összefoglaljuk az ügyfeleink által feltett leggyakrabban felmerülő kérdésekkel kapcsolatos tudnivalókat.

A kiberbiztonsági audittal kapcsolatos kötelezettségek és kérdések

2026. június 30-ig kellett első alkalommal lefolytatniuk a kiberbiztonsági auditot azoknak az érintett szervezeteknek, amelyek 2025. január 1-je előtt megkezdték működésüket, és a Magyarország kiberbiztonságáról szóló 2024. évi LXIX. törvény („Kiberbiztonsági törvény”) alapján auditkötelezettség terheli őket. Ez a határidő sok szervezetnél hónapokon át a megfelelési projekt legfontosabb mérföldköve volt, a június végi dátum azonban valójában nem lezárta, hanem új szakaszba fordította a történetet. Bár a törvény szerinti felügyeleti rendszer nem egységes, a piaci szereplők jelentős körében a Szabályozott Tevékenységek Felügyeleti Hatósága („SZTFH”) jár el kiberbiztonsági felügyeleti hatóságként, ezért a 2026. június 30-i audit határidőt követő gyakorlati kérdések kapcsán is elsősorban az SZTFH megközelítése került a szakmai fókuszba.

A legtöbb érintett szervezet számára most már az a fő kérdés, hogy mit kezdjen az audit eredményével. Mit jelent a gyakorlatban egy „megfelelt” vagy „nem megfelelt” audit? Mi a teendő, ha az audit csúszásban van, vagy nem zárult le határidőben? Milyen felügyeleti reakcióval érdemes számolni? Hogyan kell most úgy nekifutni a következő két évnek, hogy a következő audit ne ismét egy újabb egyszeri rohamprojekt legyen?

Nem egyszeri, hanem ismétlődő kötelezettség

A kérdés azért is fontos, mert a kiberbiztonsági auditot nem érdemes egyszeri adminisztratív kötelezettségként kezelni. A hazai szabályozási logika – a Kiberbiztonsági törvény, a 7/2024. (VI. 24.) MK rendelet szerinti védelmi intézkedések, valamint az 1/2025. (I. 31.) SZTFH rendelet audit módszertana – nem pusztán bizonyos dokumentumok meglétét várja el, hanem azt, hogy a szervezet az elektronikus információs rendszereit érintő kockázatkezelési, védelmi és incidenskezelési intézkedéseket ténylegesen működtesse, és ezt auditálható módon alá is tudja támasztani. Ebből következően az audit jelentősége sem merül ki abban, hogy egy adott napon milyen eredménnyel zárul: sokkal inkább azt mutatja meg, hogy a szervezet mennyire képes a kiberbiztonsági követelményeket a saját működésébe tartósan és igazolható módon beépíteni.

2026. június 30. nem célvonal volt, hanem fordulópont

A Kiberbiztonsági törvény szerinti auditkötelezettség nem egyszeri megfelelési feladat. A szabályozás alapján az érintett szervezeteknek főszabály szerint kétévente kell kiberbiztonsági auditot lefolytatniuk, és bizonyos esetekben a hatóság is elrendelheti annak elvégzését. A 2025. január 1-je előtt már működő szervezetek esetében az első audit határideje 2026. június 30. volt, vagyis most zárult le a magyar szabályozás szerinti első nagy auditkör.

Ez azonban nem azt jelenti, hogy a szervezetek „túl vannak” a Kiberbiztonsági törvény szerinti legfontosabb feladatokon. Sokkal inkább arról van szó, hogy most válik el igazán, ki tekintette az auditot egyszeri projektnek, és ki használja arra, hogy tartós, fenntartható megfelelési működést építsen.

A június 30-i határidő után ugyanis a szervezetek tipikusan három helyzet valamelyikében találják magukat – és mindhárom esetben más, de nagyon is konkrét utómunka következik.

Három tipikus helyzet a határidő után

Az audit lezajlott, és „megfelelt” eredménnyel zárult

Ez első ránézésre a legkényelmesebb és egyben legkellemesebb helyzet: az audit lezajlott, a szervezet „megfelelt” eredményt kapott, túl van a határidőn, és nem merültek fel olyan hiányosságok, amelyek a megfelelőséget az audit időpontjában kizárták volna. Könnyen kialakulhat az az érzés, hogy a megfelelési projekt lezárult, és a következő auditig nincs különösebb teendő.

A gyakorlatban azonban a „megfelelt” eredmény inkább kedvező kiindulópontot jelent a következő két évre, mintsem a compliance-feladatok végét jelzi.

A sikeres audit után is szükség van arra, hogy a szervezet összerendezze az audit során használt dokumentumokat, lezárja az esetleges kisebb észrevételeket, és tudatosan karbantartsa azokat a nyilvántartásokat, kontrollokat és belső folyamatokat, amelyekre a következő audit is épülni fog. Sokszor ugyanis nem a nagy hiányosságok, hanem a kisebb adminisztratív, nyilvántartási vagy felelősségi kérdések nőnek két év alatt újra komoly problémává.

Az audit lezajlott, de hiányosságokat tárt fel

Sok szervezetnél ez a második lehetséges eset lehet a valódi fordulópont. A „nem megfelelt” eredményt ugyanis nem érdemes pusztán formális „bukásként” értelmezni. A gyakorlatban ez az eredmény jellemzően azt jelzi, hogy az auditor a szervezet kockázatkezelési, dokumentációs vagy kontrollkörnyezetében olyan hiányosságokat azonosított, amelyek mellett a jogszabályi követelményeknek való megfelelés az audit időpontjában nem volt igazolható.

Ilyenkor a fókusz gyorsan áttevődik az audit lefolytatásáról az audit eredményének kezelésére. A lényeg már nem az, hogy az audit lement-e határidőben, hanem az, hogy a szervezet mit kezd a feltárt hiányosságokkal. Mely megállapítások kritikusak? Melyek kezelhetők rövidebb időn belül? Ki felel az egyes korrekciós intézkedésekért? Milyen sorrendben érdemes haladni? Hogyan dokumentáljuk mindezt? 

Egy „nem megfelelt” eredménnyel zárult audit után ezért különösen felértékelődik a strukturált korrekciós munka fontossága. Nem elég általánosságban rögzíteni, hogy „javítani kell” egy szabályzatot, pontosítani kell egy nyilvántartást, rendezni kell egy hozzáféréskezelési folyamatot vagy dokumentálni kell egy kontroll működését. A szervezetnek azt is látnia kell, hogy az adott hiányosság pontosan miben állt, ki felel a rendezéséért, mikorra kell azt kezelni, és mivel fogja később igazolni, hogy a korrekció ténylegesen megtörtént.

Egy auditmegállapításból csak akkor lesz, akkor lehet valódi előrelépés, akkor tudjuk a látszólagos hátrányunkból előnyt kovácsolni, ha abból nyomon követhető intézkedési terv lesz.

Az audit nem valósult meg határidőben, vagy csúszásban van

A harmadik tipikus helyzet az, amikor a szervezet nem tudta határidőre lezárni az auditot, vagy az audit még folyamatban van. Ez nyilván a legkockázatosabb pozíció a három közül, de nem feltétlenül reménytelen – különösen akkor, ha a szervezet ténylegesen dolgozik a megfelelésen, és ezt dokumentáltan igazolni is tudja.

Ilyen helyzetben nagy jelentősége lehet annak, hogy a szervezet tudja-e bemutatni: szerződött auditorral, a felkészülést megkezdte, az érintett rendszereket és hiányosságokat feltérképezte, rendelkezik akciótervvel, és a csúszás ellenére nem passzívan várakozik. A határidő elmulasztása természetesen önmagában is jogi és felügyeleti kockázatot jelent, de az ilyen helyzetek megítélésénél felértékelődhet az együttműködés, az átlátható státuszkezelés és az igazolható előrehaladás.

A késedelem ráadásul sokszor nem önmagában álló probléma, hanem annak a jele, hogy a szervezetnél még nem álltak össze azok az alapvető nyilvántartások, felelősségi körök és belső folyamatok, amelyekre a kiberbiztonsági megfelelés épül. Ilyenkor ezért nemcsak a határidő elmulasztását kell kezelni, hanem azt is, hogy a szervezet mielőbb átlátható, auditálható és dokumentált állapotba kerüljön. 

Szerencsére ezeken a hiányosságokon is lehet segíteni, és a mi ügyfeleink között is több olyan cég van, ahol megkésve kezdték meg a felkészülést, de ilyenkor fontos, hogy megfelelően kezelnünk kell a határidők elmulasztásával kapcsolatos jogi kockázatokat, többek között a bírságnak való kitettségünket is.

Mire lehet számítani felügyeleti oldalról?

A június 30-i határidő után sok szervezet számára ez a legfontosabb kérdés: ha az audit hiányosságot tárt fel, vagy ha a szervezet csúszásban van, milyen felügyeleti reakcióval érdemes számolni?

Elsőként azt érdemes rögzíteni, hogy a határidő elmulasztása nem pusztán „belső compliance-probléma”. A 418/2024. (XII. 23.) Korm. rendelet 3. melléklete alapján önálló bírságkockázat kapcsolódhat ahhoz is, ha a szervezet nem köt határidőben megállapodást auditorral, illetve ahhoz is, ha a kiberbiztonsági auditot nem folytatja le határidőben. Más szóval: a csúszó audit nemcsak projektkockázat, hanem a végrehajtási szabályok alapján kifejezetten szankcionálható mulasztás is lehet.

Jobb későn, mint soha

Ugyanakkor az eddigi szakmai konferenciákon, egyeztetéseken és háttérbeszélgetéseken elhangzott hatósági kommunikáció alapján jelenleg nem az látszik, hogy a felügyelet elsődleges célja a mielőbbi és azonnali bírságolás lenne. A hatósági kommunikációból visszatérően kirajzolódó üzenet inkább az volt, hogy a hatóság azt várja az érintett szervezetektől: a megfelelési folyamatot ténylegesen indítsák meg, a hiányosságokat tárják fel, azokra készítsenek kezelhető és számonkérhető intézkedési tervet, és a megtett lépéseket dokumentáltan tudják bemutatni.

Ez természetesen nem jelent garanciát arra, hogy szankció nem merülhet fel, de a jelenlegi kommunikáció alapján a látható, aktív és igazolható megfelelési törekvés érdemi jelentőséggel bírhat, még akkor is, ha ehhez időbeni csúszás is kapcsolódik.

Ez a megközelítés egyébként jól illeszkedik a végrehajtási rendelet logikájához is. A felügyeleti reakció ugyanis nem merül ki a bírságolásban: a hatóság ellenőrzést indíthat, felszólíthatja a szervezetet a hiányosságok megszüntetésére, kötelezheti meghatározott intézkedések megtételére, súlyosabb esetben pedig további felügyeleti eszközöket is alkalmazhat. A szabályozási rendszer tehát nem kizárólag a szankcióról, hanem a hiányosságok feltárásáról, nyomon követéséről és kikényszerített rendezéséről is szól.

A jogkövetkezmények alkalmazása ráadásul nem mechanikus. A 418/2024. (XII. 23.) Korm. rendelet alapján a hatóság többek között figyelembe veszi a hiányosság vagy megsértett védelmi követelmény súlyát, a jogsértés időtartamát, azt, hogy történt-e vagy fenyegetett-e jelentős kiberbiztonsági incidens, illetve milyen tényleges vagy lehetséges hatást gyakorolt az incidens az érintett szervezetre vagy más szervezetekre. Szintén értékelési szempont lehet az okozott vagyoni vagy nem vagyoni kár, ideértve a pénzügyi vagy gazdasági veszteséget és az egyéb szolgáltatásokra gyakorolt hatásokat is.

Kifejezetten fontos, hogy a rendelet a szervezet magatartását is értékelési szempontként kezeli: vagyis azt, hogy a szervezet milyen intézkedéseket tett a kár megelőzésére vagy mérséklésére, valamint milyen szinten működött együtt az illetékes hatóságokkal. Ez nem jelenti azt, hogy az aktív együttműködés vagy a korrekciós szándék önmagában kizárná a bírságot. Azt viszont igen, hogy felügyeleti szempontból sem közömbös, a szervezet passzívan elszenvedi-e az audit eredményét, vagy képes azt kontrollált, dokumentált és számonkérhető módon kezelni.

A végrehajtási rendelet külön nevesíti a súlyos jogsértések egyes eseteit is. Ide tartozhatnak különösen az ismételt jogsértések, a jelentős kiberbiztonsági incidensek bejelentésének vagy orvoslásának elmaradása, a hiányosságok orvoslásának elmaradása a hatóság kötelező erejű utasításait követően, az ellenőrzések akadályozása, valamint a hamis vagy súlyosan pontatlan információk közlése. Vagyis miközben az eddigi kommunikáció alapján nem feltétlenül az azonnali bírságolás tűnik az elsődleges felügyeleti fókusznak, a passzivitás, a rendezetlenség vagy a hatósággal való együttműködés hiánya már lényegesen kockázatosabb helyzetet teremthet.

Miért nem ér véget a NIS2 megfelelési folyamatunk az auditjelentéssel?

Az érdemi munka sok esetben csak a kiberbiztonsági audit után kezdődik. Az auditjelentés ugyanis nem lezárja, hanem inkább kijelöli a megfelelési projekt következő szakaszát: itt válik láthatóvá, hogy mely kontrollok működnek megfelelően, hol vannak tényleges hiányosságok, és mely pontokon szükséges célzott korrekciós intézkedéseket indítani.

Az audit eredményét mindenekelőtt le kell fordítani konkrét teendőkre. A hiányosságok listája önmagában még nem jelent megoldást: prioritásokra, felelősökre, határidőkre és nyomon követhető intézkedési tervre van szükség. Egy auditmegállapításból csak akkor lesz valódi előrelépés, ha a szervezet világosan meg tudja mondani, hogy a feltárt hiányosságot ki, mikor és milyen módon fogja kezelni, ezt később milyen dokumentumokkal tudja alátámasztani, és ténylegesen végig is csinálja ezt a folyamatot.

Legalább ennyire fontos az auditkori állapotot bemutató dokumentumok és alátámasztó anyagok megőrzése. Az 1/2025. (I. 31.) SZTFH rendelet alapján a kiberbiztonsági audit nem pusztán dokumentumvizsgálatból állhat: az auditor interjút, tesztet és más vizsgálati módszereket is alkalmazhat, az auditjelentést pedig – meghatározott formában – a hatóság részére is megküldi. Ugyanez a rendelet azt is rögzíti, hogy az érintett szervezetnek az auditor által átadott bizonyítékokat öt évig meg kell őriznie. 

Ennek jelentősége nem csupán adminisztratív, hanem nagyon is gyakorlati. Ha az audit hiányosságot tár fel, a szervezetnek később szüksége lehet arra, hogy bemutassa: mi volt az audit időpontjában fennálló eredeti állapot, ehhez képest milyen hiányosságokat azonosítottak, ezekre milyen korrekciós intézkedéseket tettek, és hova jutottak el a megfelelési folyamatban.

A dokumentáltság ebben a körben nem puszta adminisztráció, hanem a korrekciós munka igazolhatóságának alapja. A dokumentált információk egyébként az ISO szabványok által bevezethető irányítási rendszerek fontos jellemzői is.

Ez már nem csak compliance-kérdés

Ezen a blogon már viszonylag sokat írtam az AI felelős és biztonságos módon megvalósuló használatához és fejlesztéséhez elengedhetetlenül szükséges governance folyamatok fontosságáról. Nos, a helyzet a kiberbiztonság területén is ugyanez. 

A kiberbiztonsági audit utóélete ugyanis nemcsak szűkebb értelemben vett megfelelési (compliance), hanem nagyon is működési, operatív és üzleti kérdés. A Kiberbiztonsági törvényre épülő szabályozási logika ugyanis nem pusztán azt várja el, hogy a szervezet rendelkezzen bizonyos szabályzatokkal vagy nyilvántartásokkal, hanem azt, hogy a kockázatkezelési, védelmi és incidenskezelési intézkedések a gyakorlatban is működjenek, és az elektronikus információs rendszerek bizalmasságát, sértetlenségét és rendelkezésre állását ténylegesen támogassák.

Éppen ezért egy auditmegállapítás sokszor nem pusztán formai hiányosságra mutat rá. Ha például az audit azt tárja fel, hogy a szervezetnél a mentési és visszaállítási gyakorlat nem megfelelően dokumentált vagy nem kellően tesztelt, a hozzáférések felülvizsgálata nem rendezett, a sérülékenységek kezelése esetleges, vagy a kritikus külső IT-szolgáltatókhoz kapcsolódó kontrollok hiányosak, az nem csupán auditkockázat.

Ezek mind olyan hiányosságok lehetnek, amelyek egy későbbi incidens során közvetlen működési veszteségként jelennek meg.

A kiberbiztonsági kockázatok és káresemények kezelése

Egy gyártó vállalatnál például egy nem megfelelően védett termelési környezet, illetve a mentések és helyreállítási eljárások hiányosságai oda vezethetnek, hogy egy zsarolóvírus-támadás vagy súlyos rendszerhiba esetén a termelés több napra leállhat. Ilyenkor a veszteség nem az auditjelentésben jelentkezik, hanem az elmaradt gyártásban, a csúszó kiszállításokban, a kötbérigényekben és a sürgősségi helyreállítás költségeiben.

Egy logisztikai vagy disztribúciós szereplőnél ugyanez a probléma más formában jelenhet meg. Ha a raktárkezelési, fuvarszervezési vagy rendelésfeldolgozási rendszerhez kapcsolódó kontrollok gyengék, egy incidens következtében a szervezet akár átmenetileg elveszítheti a rálátását a készletekre, nem tud árut kiadni vagy fogadni, és nem tudja teljesíteni a vevői megrendeléseket. Itt a kiberbiztonsági gyengeség nagyon gyorsan ellátási lánc problémává, szerződéses késedelemmé és közvetlen bevételkieséssé fordulhat át.

Hasonlóképpen, egy szolgáltató vagy üzletileg kritikus beszállító esetében a hiányos hozzáféréskezelés, a nem megfelelő naplózási és incidenskezelési gyakorlat, vagy egy kulcsfontosságú közreműködővel szembeni elégtelen szerződéses kontrollok azt eredményezhetik, hogy egy incidens az ügyfélkiszolgálás ellehetetlenüléséhez, SLA-sértéshez, ügyfélvesztéshez vagy akár a megrendelő oldalán fellépő károk miatti igényérvényesítéshez vezet. Különösen igaz ez olyan kisebb szervezeteknél, amelyek ugyan nem nagyvállalatok, de egy nagyobb ügyfél működésében nehezen helyettesíthető szolgáltatói vagy beszállítói szerepet töltenek be.

Éppen ezért a most feltárt hiányosságok kezelése nem pusztán arról szól, hogy a következő auditjelentés kedvezőbb legyen. Sokkal inkább arról, hogy a szervezet mennyire képes csökkenteni annak az esélyét, hogy egy jelenleg még „csak” auditmegállapításként látható gyenge pont később termeléskiesésben, szolgáltatásleállásban, szerződéses késedelemben, kötbérigényben vagy más közvetlen üzleti veszteségben materializálódjon.

Természetesen azt se feledjük el, hogy amennyiben a cégünk rendelkezik ISO 31000 szerinti vállalati kockázatkezelési rendszerrel, akkor a fentiekhez hasonló kiberbiztonsági kockázatok beazonosítását, értékelését, elfogadhatóságnak kritériumrendszerét, mérésének metrikáját és a kiválasztott kezelési megoldásokat is fontos elvégeznünk, illetve meghatároznunk, és érdemes ezeket az ISO szabvány szerinti eljárásrendünk keretén belül integráltan menedzselni. Ha ezt a feladatot is elvégezzük, akkor kontrolláltabb és tervezettebb választ tudunk adni a kiberbiztonsági kihívásokra is.

Van olyan ügyfelünk, ahol a fenti szabvány szerint kialakított kockázatelfogadási és kezelési szempontok körültekintő meghatározásával, és az egyes kockázatokhoz rendelt értékhatárok megállapításával sokkal kiszámíthatóbban tudtak reagálni egy az üzletmenet leállításával fenyegető veszélyhelyzetre egész egyszerűen azért, mert előre (proaktívan), és nem a fenyegetettséggel való szembesülésük idején (reaktívan) gondolták végig a lehetséges kockázatokat, az azok megvalósulása esetén jelentkező károkat, és az intézkedéseket kiváltó körülményeket.

A következő auditra való felkészülés időszaka már elkezdődött

Bár azon érintett szervezetek esetében, amelyeknél az első audit határideje most járt le, a következő rendes kiberbiztonsági audit főszabály szerint csak két év múlva esedékes, annak sikere valójában nem 2028-ban, az auditot megelőző hetekben dől el. Sokkal inkább azon múlik majd, hogy a szervezet a mostani audit utóéletét mennyire tudatosan kezeli, és mennyire képes a következő ciklusra is fenntartható megfelelési működést kialakítani.

Ha a most feltárt hiányosságok nincsenek valóban kezelve, azok jó eséllyel két év múlva is visszaköszönnek. Ha az EIR-nyilvántartás, a szoftver- és hardvernyilvántartás, a beszállítói háttér vagy a kapcsolódó szabályzati környezet az audit után újra szétesik, a következő audit felkészülése ismét ugyanazokkal a nehézségekkel fog indulni. Ha pedig a kontrollok gyakorlati működését a szervezet nem dokumentálja folyamatosan, illetve azokat ténylegesen nem alkalmazzák, akkor két év múlva megint az audit előtti kapkodás marad az egyetlen eszköz.

A következő audit szempontjából ezért már most érdemes tudatosan karbantartani mindazokat a területeket, amelyekre az audit épülni fog. Ide tartozik különösen az EIR-ek, szoftverek és hardverek nyilvántartása, a beszállítói és IT közreműködői háttér naprakész kezelése, a kockázatértékelésekhez és osztályba soroláshoz szükséges információk aktualizálása, a releváns szabályzatok és eljárásrendek frissítése, valamint a kontrollok gyakorlati működését alátámasztó evidenciák folyamatos gyűjtése és rendszerezése.

Érdemes külön nyomon követni a hiányosságok kezelését is, például akcióterv formájában, amelyből bármikor látható, hogy egy-egy auditmegállapítás milyen státuszban van, ki a felelős érte, és milyen dokumentumok igazolják a lezárását. Ha a szervezet ezt a következő két évben fegyelmezetten karbantartja, a következő audit már nem egy újabb egyszeri „rohamprojekt” lesz, hanem egy folyamatosan fenntartott megfelelési működés ellenőrzése.

Javaslat a következő lépésekre

A 2026. június 30-i határidő után az érintett szervezeteknek célszerű rövid időn belül megtervezniük és végrehajtaniuk a következő lépéseket, függetlenül attól, hogy az audit rendben lezárult, hiányosságokat tárt fel, vagy még folyamatban van.

Az audit eredményének vagy – csúszás esetén – a jelenlegi megfelelési státusz kiértékelése

Fontos, hogy a szervezet világosan lássa, mely területek tekinthetők rendezettnek, hol vannak nyitott hiányosságok, és ezek közül melyek igényelnek azonnali beavatkozást.

Belső akcióterv készítése a hiányosságok kezelésére

 A feladatokat érdemes felelősökhöz és határidőkhöz rendelni, és nemcsak a „mit kell javítani”, hanem a „mivel fogjuk igazolni a javítást” kérdést is rögzíteni.

Az audit során keletkezett és az eredeti állapotot bemutató bizonyítékok megőrzése és rendszerezése

Ennek a lépésnek később kulcsszerepe lehet abban, hogy a szervezet be tudja mutatni, honnan indult, milyen hiányosságokat azonosított, és milyen korrekciós lépéseket tett.

A következő audit szempontjából kritikus nyilvántartások és kontrollok folyamatos karbantartásának megkezdése 

Az audit sikere hosszabb távon azon múlik, hogy a szervezet a nyilvántartásait, szabályzatait, kontrolljait és a kapcsolódó evidenciákat mennyire tudja naprakészen tartani.

Belső felelős kijelölése annak érdekében, hogy a korrekciós folyamat ne fulladjon ki az audit lezárása után 

Sok szervezetnél éppen az okozza a legnagyobb kockázatot, hogy az auditprojekt lezárásával a lendület is megszűnik. Ezt tudatos felelőskijelöléssel és rendszeres státuszkövetéssel érdemes megelőzni.

Vissza a jövőbe

A 2026. június 30-i határidő tehát nem lezárta a Kiberbiztonsági törvény szerinti megfelelési feladatok első körét, hanem sok szervezet számára éppen most tette igazán láthatóvá, hogy a kiberbiztonsági audit nem egyszeri projekt, hanem folyamatos megfelelési, bizonyítási és kockázatkezelési feladat.

A következő időszak valódi kérdése ezért már nem az, hogy „megvolt-e” az audit, hanem az, hogy a szervezet mit kezd az audit eredményével, hogyan kezeli a feltárt hiányosságokat, és képes-e tanulni a múlt hibáiból és a korrekciós munkát ténylegesen beépíteni a működésébe.

Ez a kérdés ráadásul nemcsak a következő audit szempontjából lényeges. Ha a most feltárt hiányosságok kezelése elmarad, vagy a kontrollok működése a gyakorlatban nem stabilizálódik, annak következményei könnyen túlmutathatnak a compliance-kereteken: termeléskiesésben, szolgáltatásleállásban, bevételkiesésben, szerződéses késedelemben vagy más közvetlen működési veszteségben jelenhetnek meg.

A következő két év ezért valójában nem egyszerűen a következő auditig hátralévő idő, hanem annak próbaideje, hogy a szervezet képes-e a kiberbiztonsági megfelelést adminisztratív kötelezettségből ténylegesen működő, az üzlet ellenállóképességét támogató kontrollrendszerré alakítani.

Amennyiben a hazai kiberbiztonsági szabályozással, az annak való megfeleléssel, kiberbiztonsági, általános, vagy AI kockázatkezelési rendszer kialakításával vagy működtetésével kapcsolatban bármilyen kérdésed lenne, vagy amennyiben külső jogi szakértői támogatást igényelnél a fenti feladatok megvalósítása során, szívesen segítek. Az elérhetőségeimet itt találod.