Mit kérhet a NIS2-köteles partner a beszállítótól?

Röviden

A NIS2-köteles szervezetnek a magyar szabályok szerint gondoskodnia kell arról, hogy a rendszereivel kapcsolatos munkát végző partnerei a kockázatokkal arányos biztonsági követelményeket szerződéses kötelemként teljesítsék. Ezért nem minden beszállító van ugyanabban a helyzetben, és az elvárás partnerenként eltérhet.

Kire vonatkozik elsősorban?

A törvény a közreműködőről szól: aki az elektronikus információs rendszer létrehozásában, üzemeltetésében, auditálásában, karbantartásában vagy javításában vesz részt, felhőszolgáltatást nyújt, kiberbiztonsági incidenst kezel, vagy a rendszerrel kapcsolatos adatkezelést és adatfeldolgozást végez (2024. évi LXIX. törvény 6. § (5) bekezdés d) pont).

A gyakorlatban ide tartozhat például a rendszergazda cég, a szoftverszállító, a felhőszolgáltató és a rendszerhez hozzáférő karbantartó. Más beszállítónál a kérdést elsősorban a partner szerződése és saját kockázatértékelése dönti el.

Mit kell a köteles szervezetnek megtennie?

• A kockázatokkal arányos követelményeket a szerződésbe foglalja.
• Rögzíti a szükséges védelmi intézkedéseket és a felelősségmegosztást.
• Külső és belső eszközökkel ellenőrzi a külső rendszer szolgáltatóját.
• Gondoskodik arról, hogy a követelmények az alvállalkozók szerződéseibe is bekerüljenek.
• Meghatározott gyakorisággal értékeli az ellátási lánc kockázatait; ez a kötelezettség a biztonsági osztálytól függ.

Ezért találkozhat Ön is kérdőívvel, szerződésmódosítással vagy ellenőrzési kéréssel.

Mit köthet ki ezen felül?

A kötelező minimumon túl a szerződésben további elvárások is szerepelhetnek:

• a megrendelő vagy megbízottja által végzett audit joga,
• tanúsítvány vagy jelentés, például ISO/IEC 27001, ISAE 3402 vagy SOC 2,
• rendszeres sérülékenységvizsgálat és független behatolásteszt,
• szigorúbb rendelkezésre állási vállalás (SLA),
• egyedi szoftvernél forráskód-letét és szoftverkomponens-lista (SBOM).

Mit tegyen, ha ilyen kérés érkezik?

1. Olvassa el pontosan, mit kérnek. Más teendő a kérdőív, a tanúsítvány és a független vizsgálat.
2. Kérdezzen vissza a határidőről és a bizonyítékról. Elfogad-e a partner javítási tervet egy még hiányzó intézkedésre?
3. Csak igaz választ adjon. A nem teljesülő pontot jelölje, és írja mellé a javítás tervezett időpontját.
4. Nézze át a saját alvállalkozóit is. Az elvárás tovább gyűrűzhet.

Amiben segíteni tudunk

A NIS2 gyorsfelmérés megmutatja a helyzetet, és javítási tervet ad. Független behatolástesztet is vállalunk. Tanúsítványt és hivatalos auditot viszont nem tudunk helyettesíteni: ha a partner ezt kéri, a felmérés csak a felkészülésben segít.

Források

2024. évi LXIX. törvény 6. § (5) d); 7/2024. (VI. 24.) MK rendelet 2. melléklet 15.5., 16.7., 16.49., 19.7. és 19.16. pont, az MKIK NIS2-programjának 2026/18. számú jogi állásfoglalása (2026. február 20.) szerint. A cikk tájékoztató jellegű, nem jogi tanács. A hatályos szöveget egyedi esetben ellenőrizni kell.