- Háromfázisú jelentés: 24 órán belül korai figyelmeztetés, 72 órán belül incidens-jelentés, 1 hónapon belül záró jelentés.
- A 24 óra naptári idő az észleléstől, és csak első jelzés, nem teljes elemzés.
- Bejelentés a nemzeti CSIRT-hez (NBSZ NKI); az SZTFH-regisztráció és a kijelölt kapcsolattartó legyen meg előre.
- Élesben ne kelljen gondolkodni: kész playbook (osztályozás, eszkaláció, előre kitöltött sablonok) tartja a határidőt.
- A NIS2 all-hazards: nem csak kibertámadás, hanem áramkimaradás, tűz vagy emberi hiba is incidens lehet.
01A lényeg 30 másodpercben
Egy jelentős incidensről a NIS2 háromfázisú jelentést kér: 24 órán belül korai figyelmeztetés, 72 órán belül incidens-jelentés, 1 hónapon belül záró jelentés. A 24 órás határidő nem teljes elemzést vár — csak egy első jelzést. A kulcs az, hogy élesben ne kelljen gondolkodni: legyen kész playbook, osztályozási kritérium és előre kitöltött sablon. Ez a banki incidenskezelési reflex — KKV-léptékben, egyszer felépítve.
02Mi számít jelentős incidensnek
Az incidens jelentős, ha:
- súlyos üzemzavart vagy a szolgáltatás kiesését okozza (vagy okozhatja), vagy
- jelentős vagyoni vagy nem vagyoni kárt okozhat más természetes vagy jogi személyeknek.
A gyakorlatban mérlegelt mutatók: az érintett felhasználók/ügyfelek száma, a kiesés időtartama, a földrajzi kiterjedés, és az adatok bizalmasságának/sértetlenségének sérülése. Fontos a NIS2 „all-hazards" szemlélete: nem csak kibertámadás — fizikai esemény (áramkimaradás, tűz, beázás), emberi hiba és természeti katasztrófa is incidens lehet. Ezért a playbook ne csak cyber-fókuszú legyen.
A NIS2 nem csak a kibertámadást tekinti incidensnek: áramkimaradás, tűz vagy emberi hiba is lehet jelentős esemény. Az all-hazards szemlélet nem opció.
03A háromfázisú határidő
A jelentés idő-tengelye az incidens észlelésétől indul:
- Észlelés+ osztályozás
- Korai figyelmeztetés24 órán belül
- Incidens-jelentés72 órán belül
- Záró jelentés1 hónapon belül
Ugyanez a logika a DORA-nál is megvan (pénzügyi szektor, MNB) — ha mindkettő érint, a két folyamatot hangold össze egy közös eljárásba.
04Kihez kell bejelenteni
Magyarországon a nemzeti kiberbiztonsági incidenskezelő központhoz (CSIRT), azaz a Nemzetbiztonsági Szakszolgálat Nemzeti Kiberbiztonsági Intézetéhez (NBSZ NKI) — nem a felügyeleti hatósághoz (SZTFH). Ehhez két dolog kell előre:
- Előzetes regisztráció az SZTFH-nál (ez amúgy is NIS2-kötelezettség — lásd a NIS2 checklistet).
- Kijelölt kapcsolattartó (és helyettes) névvel, elérhetőséggel, aki jogosult a bejelentésre.
Pénzintézeti szektorban a DORA-incidensjelentés az MNB felé történik — a két csatorna párhuzamosan élhet, ezért érdemes egyetlen incidens-eljárásban kezelni mindkettőt.
Az SZTFH-regisztrációt és a kijelölt kapcsolattartó (plusz helyettes) kinevezését intézd el most, békeidőben. Élesen, a 24 órás óra ketyegése közben ezekre már nincs idő.
05Az incidens-playbook — mit tartalmazzon
A 24 órás határidő csak előre elkészített eljárással tartható. A minimum playbook-tartalom:
- Súlyossági osztályozás — konkrét kritériumok, mikor „jelentős" (érintettek száma, kiesés-idő, kiterjedés, adat-sérülés).
- Eszkalációs lánc és felelősök — ki dönt, ki jelent, ki kommunikál; on-call elérhetőséggel.
- Technikai lépések — detektálás → izolálás → felszámolás → helyreállítás (kapcsolódik a DR/RTO-RPO tervhez).
- Előre kitöltött bejelentő-sablonok a 24h / 72h / 1 hónapos fázisokhoz, a jogszabályi adatmezőkkel (418/2024. Korm. rendelet 77. §).
- Kommunikációs sablonok — belső és ügyfél felé.
- Bizonyíték-gyűjtés — logok, idővonal rögzítésének menete (a záró jelentés gyökérok-elemzéséhez).
Évente legalább egy table-top gyakorlattal élesítsd — papíron mindenki tudja a dolgát, élesben az 5 órás vita megbuktatja a 24 órát.
Sablon és table-top gyakorlat nélkül a „jelentős-e / ki jelentsen" vita percek helyett órákat visz el, és átcsúszik a 24 órán. A lekésett jelentés mulasztás, ezért kétség esetén jelents időben, és pontosíts a 72 órás fázisban.
06Felkészülve vs. ad-hoc — az első értesítésig
A különbség egy kész playbook és az improvizálás között az első értesítésig eltelő időben mutatkozik meg — és ez dönti el, tartod-e a 24 órát:
07Gyakori hibák
- A teljes kép kivárása: a 24h korai figyelmeztetés nem elemzés — a hallgatás a hiba, nem a hiányos jelzés.
- Nincs osztályozási kritérium: az „jelentős-e?" vita órákat eszik; előre rögzített küszöbök kellenek.
- Nincs kijelölt felelős / on-call: éjjel, hétvégén ki dönt és ki jelent? Ezt előre le kell írni.
- Csak cyber-fókusz: a NIS2 all-hazards — az áramkimaradás/tűz/emberi hiba is incidens lehet.
- Soha nem gyakorolt eljárás: a papíron jó playbook élesben megbukik table-top gyakorlat nélkül.
08GYIK
A 24 óra munkaidő vagy naptári idő?
Naptári idő, az észleléstől számítva — ezért kell az on-call és az éjszakai/hétvégi eszkaláció. A 24 órás korai figyelmeztetés csak első jelzés, nem teljes jelentés.
Mi van, ha kiderül, hogy mégsem volt jelentős?
Az időben elküldött korai figyelmeztetés visszavonható/pontosítható a következő fázisban. A túl-jelentés ritkán okoz gondot; a lekésett jelentés viszont mulasztás. Kétség esetén jelents időben, és pontosíts a 72 órás fázisban.
Kell külön incidens-csapat egy KKV-nál?
Nem feltétlenül külön csapat, de kijelölt szerepek igen (ki dönt, ki jelent, ki kommunikál) — akár a meglévő IT/vezetés körében, on-call rotációval. A mélyspecialista-támogatást (forensics, elhárítás éjjel) gyakran egy co-managed NOC adja.
Hogyan kapcsolódik ez a DORA-hoz?
A DORA hasonló háromfázisú logikát ír elő a pénzügyi szektorra (MNB felé). Ha mindkettő érint, egy közös incidens-eljárást építs, amely mindkét hatóság adatmezőit és határidőit kezeli — lásd a NIS2+DORA+ISO átfedést.
Mik a NIS2 incidensbejelentési határidők?
A NIS2 háromfázisú jelentést ír elő egy jelentős incidensről: (1) korai figyelmeztetés (early warning) az észleléstől számított 24 órán belül — gyanú a rosszindulatú szándékra, valószínű határon átnyúló hatás; (2) incidens-jelentés (incident notification) 72 órán belül — kezdeti értékelés, súlyosság, kompromittált rendszerek, eddigi intézkedések; (3) záró jelentés (final report) legkésőbb az incidens-jelentést követő 1 hónapon belül (ha az incidens még tart, addig előrehaladási jelentés, a záró jelentés pedig a kezelést követő 1 hónapon belül) — részletes leírás, gyökérok (root cause), enyhítő és megelőző intézkedések. Indokolt esetben időközi (intermediate) jelentés is kérhető.
Mi számít jelentős incidensnek a NIS2 alatt?
Az az incidens jelentős, amely (a) súlyos üzemzavart vagy a szolgáltatás kiesését okozza vagy okozhatja, illetve (b) jelentős vagyoni vagy nem vagyoni kárt okozhat más természetes vagy jogi személyeknek. A gyakorlatban olyan mutatókat néznek, mint az érintett felhasználók/ügyfelek száma, a kiesés időtartama, a földrajzi kiterjedés, és az adatok bizalmasságának/sértetlenségének sérülése. Fontos: a NIS2 'all-hazards' szemléletű — nem csak a kibertámadás, hanem a fizikai esemény (áramkimaradás, tűz), emberi hiba és természeti katasztrófa is incidens lehet.
Kihez kell bejelenteni az incidenst Magyarországon?
Magyarországon a nemzeti kiberbiztonsági incidenskezelő központhoz (CSIRT), azaz a Nemzetbiztonsági Szakszolgálat Nemzeti Kiberbiztonsági Intézetéhez (NBSZ NKI) — nem a felügyeleti hatósághoz (SZTFH). Az SZTFH-regisztráció és a kijelölt kapcsolattartó legyen meg előre. Pénzintézeti szektorban a DORA-incidensjelentés az MNB felé történik, párhuzamos átfedéssel — érdemes a két folyamatot összehangolni, ha mindkettő érint.
Hogyan tartható a 24 órás határidő?
Csak előre elkészített eljárással. Élesben nincs idő arról vitázni, hogy 'jelentős-e' vagy ki jelentsen — kell egy dokumentált incidens-playbook: súlyossági osztályozási kritériumok, eszkalációs lánc, on-call felelős, és egy előre kitöltött bejelentő-sablon a jogszabályi adatmezőkkel (418/2024. Korm. rendelet 77. §). Ezzel az első értesítésig eltelő idő percekre-órákra csökken, és bőven a 24 órás határidőn belül marad. Sablon és gyakorlat nélkül az 5 órás 'jelentős-e' vita megbuktatja a határidőt.
Mi a teendő, ha nem tudjuk 24 óra alatt felmérni az incidenst?
Pont ezért háromfázisú a rendszer: a 24 órás korai figyelmeztetés NEM teljes elemzés, csak egy első jelzés — gyanú, valószínű hatás, rosszindulatúság gyanúja. A részletek a 72 órás incidens-jelentésbe, a teljes elemzés a záró jelentésbe kerülnek. A hibázás itt a hallgatás: jobb határidőben egy hiányos korai figyelmeztetést küldeni (a 'tudjuk, hogy baj van, vizsgáljuk' jelzéssel), mint kivárni a teljes képet és lekésni a 24 órát.
Mit tartalmazzon egy incidens-playbook?
Minimum: (1) súlyossági osztályozási kritériumok (mikor 'jelentős'); (2) eszkalációs lánc és felelősök (ki dönt, ki jelent, ki kommunikál) on-call elérhetőséggel; (3) detektálás → izolálás → felszámolás → helyreállítás lépései; (4) előre kitöltött bejelentő-sablonok a 24h / 72h / 1 hónapos fázisokhoz a jogszabályi adatmezőkkel; (5) belső és ügyfél-kommunikációs sablonok; (6) a bizonyíték-gyűjtés (logok, idővonal) menete. Évente legalább egy gyakorlattal (table-top) érdemes élesíteni.
09Konzultáció
Ha még nincs élesíthető incidens-eljárásod, egy felmérés után összerakjuk veled a NIS2 incidens-playbookot (osztályozás, eszkaláció, bejelentési sablonok) és levezetünk egy table-top gyakorlatot — banki incidenskezelési tapasztalatból, KKV-méretre szabva. Egy 30 perces ingyenes konzultáció után konkrét tervet adunk.
A folyamatos felügyeletet és a 24/7 elérhetőséget a Monitoring & NOC, a megfelelőségi keretet az Enterprise Architecture szolgáltatásaink adják.
NIS2 megfelelőség magyar KKV-knak · NIS2 beszállítói kérdőív · DORA megfelelőség