- Egy kontroll-mag, három jogi csomagolás — a NIS2, a DORA és az ISO 27001 nagyrészt ugyanazt kéri.
- NIS2 — kritikus szektorok, EU-irányelv (Kiberbiztonsági tv.), SZTFH-felügyelet.
- DORA — pénzügyi szektor, EU-rendelet, MNB-felügyelet, lex specialis a pénzügyi ICT-re.
- ISO 27001 — önkéntes, tanúsítható ISMS; egy működő ISMS a NIS2/DORA ~70-80%-át előfedi.
- A hatékony út: egy közös ISMS-alap + control mapping, nem háromszoros munka.
01A lényeg 30 másodpercben
A NIS2, a DORA és az ISO 27001 nem három külön világ, hanem nagyrészt ugyanaz a kontroll-mag, eltérő jogi csomagolásban. A NIS2 és a DORA jogi kötelezés (mit kell elérni), az ISO 27001 a tanúsítható, operacionalizálható keret (hogyan).
- NIS2 — kritikus szektorok széles köre, EU-irányelv (Kiberbiztonsági tv.), SZTFH-felügyelet.
- DORA — pénzügyi szektor, EU-rendelet (közvetlenül alkalmazandó), MNB-felügyelet, mélyebb és pénzügy-specifikus.
- ISO 27001 — önkéntes, tanúsítható ISMS-szabvány; egy működő ISMS a NIS2/DORA ~70-80%-át előfedi.
A hatékony út: egy közös ISMS-alap, amelyre ráépíted a keret-specifikus modulokat — nem háromszoros munka.
02A három keret röviden
NIS2 (Directive (EU) 2022/2555): EU-irányelv, Magyarországon 2025. január 1-je óta a 2024. évi LXIX. tv. (Kiberbiztonsági tv.) ülteti át, a vállalati szektorban SZTFH-felügyelettel. A kritikus és fontos szektorok (energia, egészségügy, közlekedés, digitális szolgáltatás, gyártás stb.) kötelező kiberbiztonsági minimuma — részletek a NIS2 KKV-checklistben.
DORA (Regulation (EU) 2022/2554): EU-rendelet, 2025.01.17 óta közvetlenül alkalmazandó, MNB-felügyelettel. A pénzügyi szektor digitális rezilienciájának mély, pénzügy-specifikus szabályozása (5 pillér) — részletek a DORA-cikkben.
ISO/IEC 27001:2022: önkéntes, nemzetközi, tanúsítható szabvány az információbiztonsági irányítási rendszerre (ISMS), 93 részletes kontrollal (Annex A) négy témában (szervezeti, emberi, fizikai, technológiai). Nem jogszabály — de a leggyakoribb implementációs sablon a jogi keretekhez.
A NIS2 és a DORA megmondja, mit kell elérni; az ISO 27001 megmutatja, hogyan. Ezért a három együtt kezelhető egy közös ISMS-alappal.
03Melyik vonatkozik rád
| Helyzeted | Elsődleges keret |
|---|---|
| Pénzügyi entitás (bank, biztosító, befektetés, pénzforgalmi, kripto) | DORA (lex specialis a pénzügyi ICT-re) |
| Más kritikus/fontos szektor (energia, egészségügy, gyártás, digitális szolgáltatás…) | NIS2 |
| ICT-szolgáltató pénzügyi/kritikus ügyféllel | Közvetve mindkettő (átvilágítás) |
| Bárki, aki igazolható érettséget akar | ISO 27001 (önkéntes alap) |
Egy szervezet több tevékenysége eltérő keret alá eshet. A DORA a pénzügyi ICT-re elsőbbséget élvez a NIS2-vel szemben (lex specialis), de a két jogi keret és az ISO alap összehangolható.
04Az átfedés-térkép
A három keret nagyrészt fedi egymást — a középső közös zóna az, amit egyszer kell jól felépíteni, és mindhárom felé igazolni:
05A közös mag — egyszer építsd fel
Ezek a kontrollok mindhárom keretben megjelennek, csak más szóhasználattal — ezeket egyszer kell jól felépíteni, és mindháromhoz leképezni (control mapping):
- Kockázatkezelési keretrendszer — asset-leltár, kockázatértékelés, kezelési terv, éves felülvizsgálat.
- Hozzáférés-szabályozás és MFA — least-privilege, RBAC, JML-folyamat, többtényezős hitelesítés.
- Kriptográfia — titkosítás átvitelben és nyugalmi állapotban, kulcskezelés.
- Incidenskezelés — playbook, súlyossági osztályozás, eszkaláció, gyakorlat.
- Beszállítói / harmadik fél biztonság — átvilágítás, szerződéses követelmények, nyilvántartás.
- Logging és monitoring — központi log-retenció, riasztás (lásd NOC).
- Üzletmenet-folytonosság — BCP/DRP, RTO/RPO (lásd RTO/RPO cikk).
- Vezetői elkötelezettség és képzés — dokumentált jóváhagyás, éves továbbképzés.
06A keret-specifikus rész — amit külön rá kell tenni
| Keret | Egyedi, nem-átfedő elem |
|---|---|
| NIS2 | SZTFH-regisztráció, 24/72 órás incidensbejelentés, all-hazards megközelítés |
| DORA | Register of information, reziliencia-tesztelés / TLPT, ICT-szerződéses minimumok, exit-stratégia, MNB-jelentés |
| ISO 27001 | Akkreditált tanúsítás, Statement of Applicability, 93 Annex A kontroll formális kezelése, belső audit + tanúsító audit |
Ezek a rétegek azok, amiket a közös ISMS-magra ráépítesz — nem újraépíted az egészet keretenként.
07ISO 27001 mint közös alap — mennyit fed le
Egy működő ISO 27001 ISMS előfedi a jogi keretek nagy részét. Az alábbi indikatív ábra mutatja, mennyit — és mennyi marad keret-specifikus teendő:
Egy működő ISMS a NIS2/DORA követelmények ~70-80%-át előfedi, de a keret-specifikus 20-30% külön ráépítendő: NIS2-nél az SZTFH-regisztráció és a 24/72 órás incidensbejelentés, DORA-nál a register of information, a reziliencia-teszt/TLPT és az exit-stratégia.
08Egységes ISMS-megközelítés
A hatékony stratégia egy közös ISMS, amelyre a jogi keretek modulként ráépülnek:
- Közös alap: egy kockázatkezelési keret, egy kontroll-katalógus (ISO 27001:2022 Annex A), egy dokumentációs rendszer, egy incidens- és BCP/DRP-folyamat.
- Control mapping: minden kontrollt leképezel a NIS2 14 területére és a DORA 5 pillérére — egy mátrix, amely megmutatja, melyik kontroll melyik jogi követelményt teljesíti.
- Keret-specifikus modulok: NIS2 → SZTFH-regisztráció + incidens-folyamat; DORA → register of information + reziliencia-teszt + exit-stratégia.
- Egy audit-ciklus: egy belső audit és egy bizonyíték-tár szolgálja mindhárom felé az igazolást és a beszállítói kérdőíveket.
Ez a megközelítés elkerüli a háromszoros munkát és az egymásnak ellentmondó dokumentációt — a governance és architektúra rétegen múlik, nem külön projekteken.
Egyetlen kontroll-katalógust építs (ISO 27001:2022 Annex A), és mindegyik kontrollt képezd le a NIS2 területeire és a DORA pilléreire. Így egy bizonyíték-tár szolgálja mindhárom felé az auditot és a beszállítói kérdőíveket.
09GYIK
Ha van ISO 27001-em, megfelelek a NIS2-nek és DORA-nak?
Nagyrészt, de nem teljesen. Az ISO 27001 a követelmények ~70-80%-át lefedi; a keret-specifikus réteget (NIS2 regisztráció + jelentés; DORA register + reziliencia-teszt + exit) külön rá kell tenni. Az ISO viszont remek alap és a beszállítói átvilágításnál előny.
A DORA felülírja a NIS2-t a banknál?
A pénzügyi ICT-re igen — a DORA lex specialis, elsőbbséget élvez. Az általános kiberbiztonsági higiénia viszont mindkettőt szolgálja, és egy közös ISMS-alapon kezelhető.
Kell külön csapat mindháromhoz?
Nem. Egy ISMS-felelős / CISO és egy közös kontroll-katalógus elég, ha jól van leképezve (control mapping). A keret-specifikus modulokat ehhez illesztjük, nem külön szervezetként.
Hol kezdjük, ha mindhárom érint?
Egy gap-elemzéssel az ISO 27001:2022 kontroll-katalógus mentén — ez adja a közös alapot —, majd a NIS2 (checklist) és a DORA (5 pillér) specifikus rétegeit képezzük rá. Egy roadmap, egy bizonyíték-tár.
Mi a különbség a NIS2, a DORA és az ISO 27001 között?
A NIS2 EU-irányelv (Magyarországon a 2024. évi LXIX. törvény, a Kiberbiztonsági tv. ülteti át, SZTFH-felügyelet) a kritikus szektorok széles körének kötelező kiberbiztonsági minimuma. A DORA EU-rendelet (közvetlenül alkalmazandó, MNB-felügyelet) a pénzügyi szektor digitális rezilienciájának mély, pénzügy-specifikus szabályozása. Az ISO 27001 önkéntes, tanúsítható nemzetközi szabvány az információbiztonsági irányítási rendszerre (ISMS), 93 részletes kontrollal. A NIS2 és a DORA jogi kötelezés (mit kell elérni), az ISO 27001 a hogyan operacionalizálható, tanúsítható kerete — ezért a három együtt kezelhető egy közös ISMS-alappal.
Melyik vonatkozik rám — NIS2 vagy DORA?
Pénzügyi entitásnál (bank, biztosító, befektetési vállalkozás, pénzforgalmi/e-pénz intézmény, kriptoszolgáltató stb.) a digitális működési rezilienciára a DORA az irányadó lex specialis — ott a DORA elsőbbséget élvez a NIS2-vel szemben. Más kritikus szektorban (energia, egészségügy, közlekedés, digitális szolgáltatás, gyártás stb.) a NIS2 alkalmazandó. Egy szervezet több tevékenysége eltérő keret alá eshet. ICT-beszállítóként mindkettő közvetve érinthet a pénzügyi/kritikus ügyfeleid átvilágításán keresztül.
Egy ISMS-sel kezelhető mindhárom?
Igen, és ez a hatékony út. Egy közös információbiztonsági irányítási rendszer (ISMS) adja a kockázatkezelés, kontrollok, dokumentáció és audit közös alapját, amelyre ráépíthetők a keret-specifikus modulok (NIS2 hatósági regisztráció + incidens-folyamat; DORA register + reziliencia-tesztelés). Így nincs háromszoros munka és háromféle, egymásnak ellentmondó dokumentáció — egy kontroll-katalógus, több jogi megfeleléshez leképezve (control mapping).
Hol a legnagyobb átfedés a három keret között?
A közös magban: kockázatkezelési keretrendszer, hozzáférés-szabályozás és MFA, kriptográfia, incidenskezelési folyamat, beszállítói/harmadik fél biztonság, logging és monitoring, üzletmenet-folytonosság (BCP/DRP, RTO/RPO), valamint a felső vezetői elkötelezettség és képzés. Ezeket egyszer kell jól felépíteni, és mindhárom keret felé igazolni. Az eltérés a hatósági/jogi rétegben (regisztráció, jelentési határidők, register, tesztelési kötelezettség) és a felügyeletben (SZTFH vs MNB vs akkreditált tanúsító) van.
10Konzultáció
Ha egyszerre több keret (NIS2, DORA, ISO 27001) érint, egy egységes gap-elemzés megmutatja a közös magot és a keret-specifikus teendőket — háromszoros munka nélkül. Egy 30 perces ingyenes konzultáció után control-mapping vázlatot és egy közös roadmapet adunk.
A bevezetést az Enterprise Architecture governance-keretünkkel és banki éles megfelelőségi tapasztalattal támogatjuk — ISO 27001-tanúsított belső folyamatokkal.
NIS2 megfelelőség magyar KKV-knak · DORA megfelelőség pénzügyi cégeknek · RTO és RPO — DR-tervezés