A NIS2 beszállítói kérdőív 10 csapdája
Mit kérdeznek a NIS2-köteles partnerek a beszállítóiktól, és milyen hibákat látunk a leggyakrabban a válaszokban.
2026. november 3. · P1R4T3 Kutatás
A NIS2 szerint az érintett szervezeteknek az ellátási láncuk biztonságáról is gondoskodniuk kell. A gyakorlatban ez beszállítói biztonsági kérdőívet vagy szerződéses kontrollokat jelent, olyan kisebb cégeknél is, amelyek maguk nem NIS2-kötelesek. Az alábbi tíz hibát látjuk a leggyakrabban.
1. „Igen”-t írni bizonyíték nélkül
A kérdőív aláírt nyilatkozat. Ha egy incidens után kiderül, hogy a válasz nem volt igaz, az szerződéses és bizalmi kérdés is. Csak azt jelölje „igen”-nek, amit dokumentummal, képernyőképpel vagy naplóval alá tud támasztani.
2. Mentés, amelyet soha nem állítottak vissza
A „van mentésünk” nem ugyanaz, mint a „vissza tudunk állni”. A partnerek egyre gyakrabban kérdeznek rá a legutóbbi visszaállítási tesztre. Legyen egy jegyzőkönyvezett teszt, és legyen offline vagy módosíthatatlan másolat.
3. MFA csak a felhasználók egy részén
A kérdés általában nem az, hogy „van-e MFA”, hanem hogy minden fiókon, különösen az adminisztrátori és a távelérési fiókokon van-e. Egy kivételként hagyott admin fiók a leggyakoribb kritikus megállapítás.
4. A külső rendszergazda kimarad
Az ellátási lánc biztonsága Önre is vonatkozik: ki fér hozzá kívülről a rendszereihez, milyen fiókkal, MFA-val-e, és mi áll erről a szerződésben. A rendszergazda cég vagy a gépgyártó távkarbantartása tipikusan kimarad a válaszokból.
5. Nincs eszköz- és szoftverleltár
Amit nem ismer, azt nem tudja védeni és frissíteni. Egy egyszerű, naprakész lista is elég a kezdéshez: eszközök, operációs rendszerek, kritikus szoftverek, felelősök.
6. Kilépő dolgozó fiókja aktív marad
Kérdés lehet, mennyi idő alatt tiltják le egy kilépő dolgozó hozzáféréseit. Egy kilépési ellenőrzőlista, amely ugyanazon a napon lezárja a fiókokat, egyszerű és jól bizonyítható intézkedés.
7. Incidenskezelés csak fejben létezik
Ki kit hív, ki dönt a rendszerek leállításáról, és mikor kell a partnert értesíteni? A szerződés gyakran rövid bejelentési határidőt ír elő. Egy egyoldalas, kinyomtatott incidenskezelési lap már sokat segít.
8. Az e-mail-hitelesítés hiánya
SPF, DKIM és DMARC nélkül a cég nevében könnyű hamis e-mailt küldeni, például hamis számlával. Ezt a partner kívülről, egyetlen lekérdezéssel ellenőrizni tudja, ezért érdemes elsők között rendezni.
9. A tréning nincs dokumentálva
Ha volt tudatossági képzés, legyen jelenléti ív, anyag és dátum. A „szóban elmondtuk” nem bizonyíték.
10. A kérdőív egyszeri feladatnak tűnik
A partner jellemzően évente vagy szerződésmegújításkor újra kérdez, a NIS2-köteles szervezetek pedig kétévente auditálnak. Érdemes a válaszokat és a bizonyítékokat egy helyen tartani, és évente felülvizsgálni.
Hol érdemes kezdeni
Azokkal a kontrollokkal, amelyek a legtöbbet érnek és a legkönnyebben bizonyíthatók: MFA mindenhol, tesztelt mentés, e-mail-hitelesítés és kilépési ellenőrzőlista. NIS2-gyorsfelmérésünk mind a tíz területet lefedi 1–2 hét alatt, fix díjért. Nem hivatalos audit, hanem felkészítés rá.