Haladékot kapott több ezer magyar cég: kitolják a kiberbiztonsági audit határidejét

„A NIS2 irányelv kiberbiztonsági követelményeinek teljesítése érdekében, további fél év felkészülési időt kaphatnak az érintett vállalkozások” – jelentette be hétfői közleményében a területért felelős Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH).

Ez a szárazul hangzó mondat több ezer magyar cégnek lehet örömhír.

Az eredeti határidő szerint ugyanis az érintetteknek év végéig kellett volna először elvégeztetniük az idéntől kétévente kötelező kiberbiztonsági auditot, szakértők szerint azonban ez a határidő több okból is irreális volt. Az SZTFH most azt írja, hogy a Magyar Kereskedelmi és Iparkamarával (MKIK) egyeztetve, azzal közösen azt javasolják, hogy

• a kiberbiztonsági audit teljesítésének határideje fél évvel, azaz 2026. június 30-ig kitolódjon; és ehhez
• az érintett cégeknek idén augusztus 31-ig legyen lehetőségük megkötni a szerződést egy erre jogosult auditorral.

A szerződéskötésre egyébként eredetileg tavaly év végéig lett volna lehetőség, de azt a határidőt már korábban kitolták, mert a szerződéskötéshez részletszabályok sem jelentek meg időben. (Ez végül egy hónappal később történt meg.)

„Az SZTFH és az MKIK közös érdeke, hogy a meghosszabbított határidő lehetőséget biztosítson az érintett szervezeteknek az elvárt védelmi intézkedések magasabb szintű megvalósítására és ez által a sikeresebb auditra” – írja közlemény. A változásokat a kormány tudja véghez vinni, ezért a két szervezet kezdeményezi náluk az ehhez szükséges módosító javaslat benyújtását.

Ezer sebből vérzett

A NIS2-ről, annak jelentőségéről és az arra való felkészülésről tavaly nyáron írtunk részletesen. Az uniós irányelv célja, hogy összehangolt tagállami szabályozással garantálja a legfontosabb ágazatok szereplőinek kiberbiztonságát az egyre szaporodó kiberfenyegetések korában. Ennek része az a kiberbiztonsági audit, amely azt hivatott igazolni, hogy az érintett cégek rendszerei biztonságosan működnek. Ezt az auditot kétévente kell majd elvégeztetni, a már működő, tavaly regisztrált cégeknek az eredeti jogszabály szerint először 2025-ben – ennek felülírását jelentette most be az SZTFH.

Jó oka volt erre. Áprilisban részletesen írtunk arról, hogy komoly problémák adódtak az auditok lebonyolításával. A kritikák szerint a NIS2 irányelv magyar megvalósítása példaszerűen indult, de mostanra ezer sebből vérzett, és a problémák mind összekapcsolódnak: tarthatatlanul szűk volt a több ezer cég auditálására fennálló év végi határidő; miközben fölöslegesen szigorú a hozzá kiadott módszertan; a munkáért elkérhető díjak viszont olyan alacsonyak, hogy az auditoroknak meg se éri belevágni, mert nem fedezi a költségeiket; ráadásul nincs is elég auditor, aki a munkát elvégezné. Mindez szerintük azért alakulhatott így, mert az SZTFH a kiberbiztonsági szakmával egyáltalán nem egyeztetett a részletekről, miközben maga is szakemberhiánnyal küzd. Az eredmény: hiába kellett volna több ezer céget az év végéig leauditálni, akkori információink szerint az auditok nagyrészt még el se kezdődtek.

Tanácsadást is indítanak

„Ebből a kritikusai szerint több szempontból elhibázott szabályozói környezetből most három kiút látszik. Vagy megoldják az auditorok okosban, automatizált eszközök fejlesztésével valahogy lefaragva az audithoz szükséges időt és költségeket, és sikerül megtalálni az egyensúlyt a gyorsaság és a minőség között. Vagy nem sikerül, hanem ledarálják az auditot, hogy minél többen beleférjenek a határidőbe, és elsikkad az eredeti cél. Vagy pedig a hatóság végül mégis meghosszabbítja a határidőt, mint tette azt októberben és decemberben is” – írtuk április cikkünkben.

Az SZTFH ezek szerint a harmadik utat választotta, és hosszabbít. Közleményük szerint nem a kiberbiztonsági szakma, hanem az MKIK jelzése alapján döntöttek így: „a szabályozás szakmai tartalmát méltató, döntően pozitív piaci visszajelzésekből is kiolvasható az – a jelenlegi egyeztetések keretében – az MKIK által közvetített észrevétel, miszerint az időbeli mérföldkövek felülvizsgálata nagyban elősegítené az érintetti kötelezettségek megfelelő és eredményes teljesítését”.

A határidők kitolása mellett azzal is segítenék a felkészülést, hogy „kifejezetten a kisebb vállalkozások számára az MKIK személyes és online formában is tanácsadói segítséget nyújt majd. A tanácsadók az audit felkészülést támogatják és a felmerülő kérdések tisztázásában is segítenek. A leggyakoribb kérdésekben az SZTFH-val egyeztetett állásfoglalások közzététele is várható”.