- Nagy ügyfél (bank, közmű, állami szerv) beszállítójaként kapod a 80–150 kérdéses biztonsági kérdőívet — a NIS2/DORA beszállítói lánc-követelmény miatt.
- Akkor is megérkezhet, ha nem vagy közvetlen NIS2-kötelezett — a lánc-követelmény von elvárás-szint alá.
- Nem kell tanúsítvány, de kell valódi, dokumentált kontroll a válaszok mögött.
- Egy előre összerakott security overview csomag a kitöltést hetekről napokra rövidíti (5–8 nap → fél–1 nap).
- A kérdések több mint felét három terület adja: irányítás/policy, hozzáférés/MFA, incidens/BCP.
01A lényeg 30 másodpercben
Ha egy nagy ügyfeled (bank, közmű, állami szerv, vagy más szabályozott cég) beszállítója vagy, előbb-utóbb kapsz egy biztonsági kérdőívet — a NIS2 és a DORA beszállítói lánc-követelménye miatt. Nem kell tőle megijedni, és nem kell hozzá feltétlenül tanúsítvány — kell viszont valódi, dokumentált kontroll mögötte, és egy előre összerakott csomag, ami a kitöltést hetekről napokra rövidíti.
Ez a klasszikus nagyvállalati reflex — „légy mindig audit-kész" — KKV-léptékben: egyszer felépíted, utána rutin.
02Miért kapod a kérdőívet
A NIS2 és a DORA kötelezi a nagy szervezeteket, hogy felmérjék és kezeljék a beszállítói láncuk kockázatát. Ennek leggyakoribb eszköze a beszállítónak kiküldött security questionnaire (80–150 kérdés), gyakran kiegészítve tanúsítvány-kéréssel, right-to-audit záradékkal és éves felülvizsgálattal.
A lényeg: akkor is megérkezhet, ha te magad nem vagy közvetlen NIS2-kötelezett. A beszállítói lánc-követelmény miatt egy 8 fős SaaS-cég vagy egy könyvelőiroda is elvárás-szint alá kerül, ha banki vagy közmű ügyfele van. A kérdőív a belépő a szerződéshez vagy annak megújításához.
A biztonsági kérdőív ma a belépő: nincs kitöltött kérdőív, nincs szerződés.
03Mit kérdez egy kérdőív
A kérdések ugyanazokat a kontroll-területeket fedik, mint a NIS2 14 pontja és az ISO 27001 — csak vevő-specifikus szóhasználattal. Egy tipikus, 80–150 kérdéses kérdőív indikatív területi megoszlása:
Ne egyenként küzdj a kérdésekkel: kezdd a három legnehezebb blokkal — irányítás/policy, hozzáférés/MFA, incidens/BCP —, mert ezek adják a kérdések felét, és minden vevőnél visszatérnek. Ha ezeket egyszer jól dokumentálod, a többi már gyorsan megy.
04Mit tegyél, ha nincs ISO 27001 tanúsítványod
Jó hír: a kérdőívek többsége önnyilatkozat-alapú — nem feltétel a tanúsítvány. Ami számít, hogy a válasz mögött valódi, dokumentált kontroll legyen. Egy KKV is hitelesen kitölthet egy kérdőívet, ha megvan:
- Írott információbiztonsági politika (akár 3–5 oldal), vezetői jóváhagyással.
- MFA az admin- és VPN-fiókokon, dokumentált hozzáférés-kezelés (ki, mihez, mióta).
- Dokumentált incidens-eljárás és mentési/helyreállítási rend (RTO/RPO — lásd a DR-cikket).
- Központi logolás és alap sebezhetőség-kezelés.
Ahol még nincs kontroll, ott ne hazudj — jelöld a tervezett bevezetést dátummal. A vevők a haladást és az őszinteséget is értékelik; a túlígérés viszont a következő auditnál visszaüt. Hosszabb távon az ISO 27001 megéri, mert egyetlen dokumentummal igazol mindent.
05A „security overview" csomag — építsd fel egyszer
A profi megoldás nem az, hogy minden kérdőívet a nulláról töltesz, hanem hogy egyszer összeraksz egy csomagot, amit kérésre kiküldesz, és kérdőívenként csak hozzáigazítasz. A csomag tartalma:
- ISMS-politika kivonat — a biztonsági irányítás 1–2 oldalas összefoglalója.
- Kontroll-mátrix — a 14 NIS2-terület / ISO Annex A kontrollok és a tényleges megvalósításuk leképezése (control mapping).
- Hálózati és adat-folyamat vázlat — mi hol fut, hova megy az adat (egyszerű ábra).
- Mentés & DR összefoglaló — 3-2-1-1-0, RTO/RPO, utolsó teszt dátuma.
- Incidens-eljárás — playbook-kivonat, eszkaláció, értesítési kötelezettség.
- Tanúsítványok / pen-test összefoglalói (ha vannak).
Ez a csomag a nagyvállalati „légy mindig audit-kész" elv KKV-méretű változata — egyszeri 1–2 hét munka, ami utána minden átvilágítást napokra rövidít.
06Hetekről napokra — a felkészülés haszna
A különbség az ad-hoc kitöltés és az előre összerakott csomag között drámai. Indikatív ráfordítás egy átlagos kérdőívre:
Csomag nélkül minden kérdőív 5–8 munkanap, és a különböző vevőknek adott válaszok könnyen ellentmondanak egymásnak. Több banki vagy közmű ügyfélnél ez fenntarthatatlan — közös, karbantartott forrás nélkül a bizalom is sérül.
07Gyakori hibák
- Túlígérés: „minden megvan" — ami a következő auditnál vagy incidensnél kiderül. Inkább őszinte hiány + terv dátummal.
- Nincs dokumentum mögötte: a kérdőív válaszai jók, de nincs írott policy/eljárás — az első mélyebb átvilágítás megbuktatja.
- Mindent a nulláról: csomag nélkül minden kérdőív 5–8 nap; ez fenntarthatatlan, ha több ügyfél kéri.
- Ellentmondó válaszok a különböző kérdőívekben — ezért kell egy közös, karbantartott forrás (a csomag).
- Right-to-audit / SLA záradékok elnézése a szerződésben — ezeket jogi+IT szemmel kell átnézni.
08GYIK
Köteles vagyok kitölteni?
Jogilag a kérdőív a vevő átvilágítási folyamatának része; ha szerződni vagy szerződést megújítani akarsz vele, gyakorlatilag igen. A nem-válaszolás a szerződés elvesztését jelentheti — ez a tényleges „szankció".
Mennyi idő alatt rakható össze a csomag?
Egy KKV-nál tipikusan 1–2 hét, ha a kontrollok nagyrészt megvannak (csak dokumentálni kell); ha kontrollt is pótolni kell (MFA, logolás, policy), akkor 4–8 hét. Utána minden kérdőív fél–egy nap.
Elég egy kitöltött kérdőív, vagy kell ISO 27001?
Kezdéshez elég a dokumentált önnyilatkozat + a csomag. Az ISO 27001 tanúsítvány viszont a legtöbb kérdőívet „elintézi" egyetlen dokumentummal, és komoly versenyelőny a nagy ügyfeleknél — érdemes középtávon célozni (lásd a NIS2+DORA+ISO átfedést).
Mit tegyek, ha valamit nem értek a kérdésben?
A műszaki/megfelelőségi kérdéseknél (kontroll-mátrix, hálózati ábra, pen-test értelmezése) kérj IT/biztonsági partnert — egyszer felépíti veled a csomagot és pótolja a hiányt, onnantól rutin. Pont ezt csináljuk.
Miért kapok beszállítói biztonsági kérdőívet?
Mert egy nagyobb ügyfeled (bank, közmű, állami szerv, vagy más NIS2/DORA alá tartozó cég) köteles felmérni és kezelni a beszállítói láncának kockázatát. A NIS2 és a DORA előírja, hogy az érintett szervezet átvilágítsa a kritikus ICT-beszállítóit — ezt jellemzően egy 80–150 kérdéses security questionnaire formájában teszi. Ha ilyen ügyfeled van, a kérdőív akkor is megérkezik, ha te magad nem vagy közvetlen NIS2-kötelezett: a beszállítói lánc-követelmény miatt téged is elvárás-szint alá von.
Mit kérdez egy NIS2 beszállítói kérdőív?
Ugyanazokat a kontroll-területeket, mint a NIS2 14 pontja és az ISO 27001: információbiztonsági irányítás és policy, hozzáférés-szabályozás és többtényezős hitelesítés (MFA), incidenskezelés és üzletmenet-folytonosság (BCP/DRP), beszállítói lánc kezelése, logging és monitoring, titkosítás és kulcskezelés, sebezhetőség- és patch-kezelés, valamint a meglévő tanúsítványok (ISO 27001, SOC 2) és pen-test eredmények. Gyakran kér right-to-audit záradékot és éves felülvizsgálatot is.
Hogyan rövidíthető le a kérdőívekre fordított idő?
Egy előre összerakott 'security overview' csomaggal. Ahelyett, hogy minden kérdőívet a nulláról töltenél (5–8 munkanap kérdőívenként), készíts egyszer egy csomagot: ISMS-politika kivonat, kontroll-mátrix (a 14 NIS2-terület / ISO Annex A leképezése), hálózati és adat-folyamat vázlat, mentés/DR összefoglaló, incidens-eljárás, és a meglévő tanúsítványok/pen-test összefoglalói. Ezzel egy új kérdőív kitöltése fél–egy napra csökken, mert csak a vevő-specifikus mezőket kell hozzáigazítani. Ez a 'légy mindig audit-kész' nagyvállalati reflex, KKV-léptékben.
Mi történik, ha rosszul vagy hiányosan válaszolok?
A gyakorlati kockázat nem hatósági bírság, hanem üzleti: a nagy ügyfél a beszállítói átvilágítás nem-teljesítésével elhalaszthatja a szerződéskötést, kockázati feltételeket szabhat, vagy a megújításnál más beszállítót választhat. A hiányos vagy ellentmondó válasz pedig további audit-kört és bizalomvesztést szül. Ezért éri meg következetes, dokumentumra hivatkozható válaszokat adni — és inkább őszintén jelölni a hiányt tervvel, mint túlígérni.
Kell-e jogi vagy IT-partner a kitöltéshez?
Egyszerű kérdőívnél nem feltétlenül, de a műszaki és megfelelőségi kérdéseknél (kontroll-mátrix, hálózati ábra, incidens-eljárás, pen-test értelmezése) sokat ér egy IT/biztonsági partner — egyszer felépíti veled a security overview csomagot és a hiányzó kontrollokat, onnantól a kérdőívek rutinná válnak. Mi pont ezt csináljuk: banki átvilágítási tapasztalatból összerakjuk a KKV-méretű, de hiteles csomagot, és pótoljuk a hiányzó kontrollokat.
09Konzultáció
Ha beszállítói kérdőívet kaptál (vagy számítasz rá), egy felmérés után összerakjuk veled a hiteles, KKV-méretű security overview csomagot, és pótoljuk a hiányzó kontrollokat — banki átvilágítási tapasztalatból, KKV-méretre húzva. Egy 30 perces ingyenes konzultáció után konkrét tervet adunk.
A bevezetést az Enterprise Architecture, az IT Infrastruktúra és a 24/7 NOC szolgáltatásaink keretrendszerével támogatjuk — banki minőség, KKV- és mikrovállalkozói méretre szabva.
NIS2 megfelelőség magyar KKV-knak · NIS2 + DORA + ISO 27001 átfedés · DORA megfelelőség