NIS2 gap-önaudit — 14 területű önértékelés

01A lényeg 30 másodpercben

A NIS2 gap-önaudit egy gyors önértékelés: a NIS2 elvárt intézkedéseit 14 területre bontod, mindegyiket pontozod egy 0–4 érettségi skálán, és a célszinthez (≥3) képest látod, hol a legnagyobb rés.

• Cél: olcsó, őszinte első kép — mire kell először költeni.
• Skála: 0 nincs · 1 ad-hoc · 2 részleges · 3 definiált · 4 optimalizált.
• Eredmény: egy profil, amiből priorizálsz (legnagyobb hiány × legnagyobb kockázat).
• Nem helyettesíti a hivatalos auditot — de utána sokkal célzottabb a munka.

A részletes teendőket a NIS2 14 pontos checklist adja; ez itt az önértékelő keret.

02Mi a gap-önaudit?

A gap-analízis a jelenlegi állapot és az elvárt állapot közti rés (gap) felmérése. NIS2-re alkalmazva: végigveszed az elvárt kockázatkezelési intézkedéseket, és területenként megnézed, mennyire vannak meg — nem „igen/nem", hanem érettségi fokozat szerint, mert a valóság árnyalt (sok minden „van, de hiányos").

Az önaudit előnye, hogy olcsó és gyors: pár óra alatt összeáll egy beszédes, egyoldalas kép, amit a vezetésnek is meg lehet mutatni. Hátránya, hogy elfogult lehet (hajlamosak vagyunk szebbnek látni magunkat) — ezért a pontozást bizonyíték-alapon érdemes végezni, és később egy külső felméréssel összevetni.

Az önaudit pár óra alatt beszédes, egyoldalas képet ad — amit a vezetésnek is meg lehet mutatni. De csak bizonyíték-alapon ér valamit.

A NIS2 hatályát és a vezetői felelősséget a checklist, az átfedő kereteket (DORA, ISO 27001) az átfedés-térkép tárgyalja.

03A pontozási skála (0–4)

Egy egyszerű, 5 fokú érettségi skála jól működik. A legtöbb területen a 3-as (definiált, működő) a reális NIS2-célszint:

04A 14 értékelt terület

A NIS2 kockázatkezelési intézkedéseit (és az irányítást) gyakorlati területekre bontva:

05Példa-profil — egy tipikus KKV első önauditja

Így néz ki egy gyakori kiindulási kép: néhány terület már rendben (mentés, MFA), sok viszont a célszint (3) alatt. A piros/sárga sávok mutatják a legnagyobb réseket:

06Priorizálás — mit csinálj az eredménnyel?

A profilból két szempont szerint priorizálj:

• Legnagyobb rés: ahol a pont a legtávolabb van a céltól (3).
• Legnagyobb kockázat: ahol egy incidens a legtöbb kárt okozná (üzleti hatás).

A kettő metszete a „most azonnal" lista. Készíts egy egyszerű cselekvési tervet — terület → célszint → felelős → határidő —, és néhány havonta ismételd meg az önauditot, hogy lásd a fejlődést. A gyakorlatban a leggyorsabb nyereség sokszor a beszállítói biztonság, a bejelentési készség (24/72h) és a BCM/DR tesztelése.

07Gyakori hibák

• Szépített pontozás: az önbecsapás a baj pillanatában lepleződik le — pontozz bizonyíték-alapon.
• Igen/nem szemlélet: az érettségi skála (0–4) árnyaltabb és hasznosabb.
• Mindent 4-esre hajszolni: a 3-as a reális célszint a legtöbb területen.
• Egyszeri felmérés: az önaudit akkor ér valamit, ha ismétled és követed a fejlődést.
• Ellátási lánc kihagyása: a NIS2 egyik leggyakrabban gyenge — és kötelező — területe.

08GYIK

Mennyi idő egy önaudit?

Egy fókuszált önaudit pár óra: a 14 terület végigpontozása a meglévő tudás és dokumentumok alapján. A bizonyítékok összegyűjtése (van-e tényleg policy, működik-e élesben) tovább tart, de ez már a felkészülés része.

Ki töltse ki?

Ideálisan az IT/biztonsági felelős + egy vezető együtt — a NIS2 a vezetői felelősséget külön nevesíti (13. terület), ezért fontos, hogy a vezetés is lássa a képet.

Mi van, ha közvetlenül nem vagyunk NIS2-hatály alatt?

Akkor is hasznos: a NIS2-érintett ügyfeleid a beszállítói láncon keresztül elvárhatják a biztonsági szintet — a kérdőívek jönni fognak, és az önaudit felkészít rájuk.

Kell hozzá külső szakértő?

Az önaudit kifejezetten önálló eszköz. De a hiányok bezárásához és egy elfogulatlanabb képhez egy külső felmérés sokat ad — utána sokkal célzottabb a munka. Pont ezt csináljuk: banki/nagyvállalati biztonsági mércével, KKV-léptékre szabva.

Mi az a NIS2 gap-önaudit?

A NIS2 gap-önaudit (gap-analízis) egy önértékelő felmérés, amellyel a cég maga méri fel, hol tart a NIS2-megfeleléssel, és hol vannak a legnagyobb hiányok (gap-ek). A módszer: a NIS2 elvárt intézkedéseit néhány (itt 14) területre bontod, mindegyiket pontozod egy érettségi skálán (0 = nincs, 4 = optimalizált), majd a célszinthez (jellemzően legalább 3) képest látod, hol a legnagyobb a rés. A kapott profilból egyértelmű, mire kell először költeni. Ez nem helyettesíti a hivatalos auditot, de remek, olcsó első lépés a felkészüléshez — és a vezetésnek is beszédes, egyoldalas kép.

Mely 14 területet érdemes pontozni?

A NIS2 kockázatkezelési intézkedéseit (és a hozzájuk tartozó irányítást) gyakorlati területekre bontva: (1) kockázatelemzés és infobiztonsági politika; (2) incidenskezelés; (3) üzletmenet-folytonosság és katasztrófa-helyreállítás (BCM/DR); (4) ellátási lánc biztonsága; (5) beszerzés, fejlesztés és karbantartás biztonsága; (6) az intézkedések hatékonyságának mérése; (7) alapvető kiberhigiénia és képzés; (8) kriptográfia és titkosítás; (9) HR-biztonság és hozzáférés-kezelés; (10) többfaktoros hitelesítés (MFA) és biztonságos kommunikáció; (11) eszköz- és adatvagyon-leltár; (12) hálózat- és rendszerbiztonság (hardening); (13) vezetői felelősség és jóváhagyás; (14) incidensbejelentési készség (24/72h, NBSZ NKI). Ezek lefedik a NIS2 várt intézkedéseit, és minden terület külön pontozható.

Hogyan pontozzak egy területet?

Egy egyszerű 5 fokú érettségi skála jól működik: 0 = nincs (semmilyen intézkedés); 1 = ad-hoc (van valami, de esetleges, dokumentálatlan); 2 = részleges (létezik, de hiányos vagy nem következetes); 3 = definiált (dokumentált, bevezetett, működik); 4 = optimalizált (mérve, rendszeresen felülvizsgálva, fejlesztve). A NIS2-felkészültséghez a legtöbb területen a 3-as (definiált, működő) a reális célszint; a 4-est csak a legkritikusabb területeken kell hajszolni. A pontozást őszintén, bizonyíték-alapon (van-e dokumentum, működik-e élesben) érdemes végezni — a szépített önértékelés a baj pillanatában lepleződik le.

Mit kezdjek az eredménnyel?

A kapott profilból priorizálj: a legnagyobb hiányok (ahol a pont a legtávolabb van a céltól) ÉS a legnagyobb kockázatúak (ahol egy incidens a legtöbb kárt okozná) menjenek előre. A gyakorlatban a KKV-knál a leggyengébb területek tipikusan az ellátási lánc biztonsága, a hatékonyság-mérés és a BCM/DR tesztelése — míg a mentés vagy az MFA gyakran már részben megvan. Készíts egy egyszerű cselekvési tervet (terület → célszint → felelős → határidő), és néhány havonta ismételd meg az önauditot, hogy lásd a fejlődést. A részletes lépéseket a NIS2 14 pontos checklist cikkünk adja.

Az önaudit elég a NIS2-megfeleléshez?

Nem önmagában — az önaudit a felkészülés első, tájékozódó lépése: megmutatja, hol állsz és mire költs. A tényleges megfeleléshez a hiányokat be kell zárni (intézkedések bevezetése, dokumentálás, tesztelés), és a NIS2 a vezetés felelősségét, valamint a bejelentési és nyilvántartási kötelezettségeket is előírja. Sok cégnél egy külső, független felmérés pontosabb képet ad, mint az önértékelés (mert kevésbé elfogult), de az önaudit remek, olcsó kiindulás — és utána sokkal célzottabb a külső segítség. Mi pont ezt csináljuk: a banki/nagyvállalati biztonsági gyakorlatból hozott mércét a KKV-k léptékére szabva.

Kire vonatkozik egyáltalán a NIS2?

A NIS2 az alapvető és fontos szervezetek széles körére vonatkozik (energia, közlekedés, egészségügy, digitális szolgáltatók, gyártás, élelmiszer stb.), jellemzően közepes méret felett, de a beszállítói láncon keresztül kisebb cégeket is elér — egy nagyobb, NIS2-érintett ügyfél a beszállítóitól is elvárhatja a biztonsági szintet (lásd a beszállítói biztonsági kérdőívet). Ezért az önaudit akkor is hasznos, ha közvetlenül talán nem vagy hatály alatt: az ügyfeleid kérdezni fognak. A pontos hatály-besorolást a NIS2 14 pontos checklist és egy konkrét felmérés tisztázza.

09Konzultáció

Ha lefuttattad az önauditot, és látod a réseket — vagy elfogulatlanabb képet szeretnél —, egy felmérés a tényleges dokumentumaid és rendszereid alapján pontosítja a profilt és kijelöli a prioritásokat. Egy 30 perces ingyenes konzultáció után konkrét, priorizált cselekvési tervet adunk a célszint (≥3) eléréséhez.

A megvalósítást a Monitoring & NOC, az IT Infrastruktúra és az Enterprise Architecture szolgáltatásainkkal támogatjuk — banki és nagyvállalati biztonsági gyakorlatból, KKV-méretre szabva.

Ingyenes 30 perces konzultáció