A szereplők
Az irányelvet Magyarországon a 2024. évi LXIX. törvény, a kiberbiztonsági törvény ültette át, a részletszabályokat kormányrendeletek, köztük a 418/2024. adják. A felügyeletet a kormányrendeletben kijelölt nemzeti kiberbiztonsági hatóság gyakorolja, a Nemzeti Kiberbiztonsági Intézet körül szervezett rendszerben, egyes tevékenységeknél a Szabályozott Tevékenységek Felügyeleti Hatósága érintett, a védelmi szférának pedig külön hatósága van.
A kötelezettségek sorrendje
Amit az audit valójában néz
A magyar auditgyakorlat a dokumentumok mellett a működést vizsgálja. Az osztályba sorolás megalapozottságát, a védelmi intézkedések tényleges meglétét, a naplózást, az incidenskezelés nyomait, a mentések és visszaállítások bizonyítékait. A vezetőnek nem auditornak kell lennie, de két dolgot tudnia kell. Mikor lesz a következő audit, és mi volt az előző megállapításainak sorsa, tételesen, felelőssel és határidővel.
A megfelelési munkát nem az auditra érdemes időzíteni, hanem az auditot érdemes a működő rendszer ellenőrzésének tekinteni. Aki az audit előtti hónapban kezd szabályzatot gyártani, az papírt vesz, nem biztonságot, és a különbség az első valódi incidensnél számla formájában érkezik.
Források és további olvasnivaló
Elsődleges források az EU 2022/2555 irányelv (NIS2), a 2024. évi LXIX. törvény Magyarország kiberbiztonságáról és a 418/2024. (XII. 23.) kormányrendelet. A határidők és számok a tananyag készültekor hatályos állapotot tükrözik, éles döntés előtt a Nemzeti Kiberbiztonsági Intézet oldalán érdemes ellenőrizni őket.