Biztonsági osztályba sorolás eljárás

Utolsó frissítés: 2026. 08. 28.

Tartalomjegyzék

---

1. Az adatosztályozás bizalmasság szerinti értékének megállapításához elérhető valamilyen segédlet vagy iránymutatás?

Igen. Az adatosztályozás elvégzésekor elsődlegesen a Kiberbiztonsági tv. és a Kiberbiztonsági vhr. vonatkozó rendelkezéseit, valamint a Kiberbiztonsági vhr. mellékleteiben meghatározott szempontokat kell figyelembe venni. Ezen túl, a Kiberbiztonsági vhr. indokolása hasznos információkat tartalmaz az egyes bizalmassági szintek értelmezéséhez:

• B1 szintű adatok közé sorolhatók pl. közérdekű adatok, közérdekből nyilvános adatok, sajtóközlemények, nyilvánosságnak szánt tudatosító anyagok, cikkek stb.
• B2 szintű adatok közé sorolhatók pl. napi operatív munkavégzéshez szükséges levelezés, megbeszélésmeghívók, belső intézményi használatra szánt dokumentumok, irányelvek, harmadik félhez tartozó adatok, amelyek nem képezik titoktartási megállapodás tárgyát, olyan dokumentumok/adatok, amelyek intézményi/kormányzati körön belül terjeszthetők, stb.
• B3 szintű adatok közé sorolhatók pl. szervezeti szintű szabályzatok, projektdokumentumok, kis értékű beszerzések dokumentumai, árazási dokumentumok, ajánlatok, stb.
• B4 szintű adatok közé sorolhatók pl. különleges vagy tömeges személyes adatok, üzleti titok, előkészítési fázisban lévő törvénytervezetek, költségvetési számok, HR listák, fizetésjegyzékek, vezetői döntés-előkészítő anyagok, pénzügyi és kontrollingadatok, műszaki tervdokumentációk, biztonsági incidensekhez, azok kivizsgálásához kapcsolódó dokumentumok, stb..

---

2. Ha az általam képviselt szervezet a Kiberbiztonsági tv. hatálya alá tartozik, akkor kötelező adatosztályozást is végeznem?

Nem feltétlenül. A Kiberbiztonsági tv. hatálya alá különböző jogcímeken tartozó szervezeteknek eltérő esetben kötelező adatosztályozást végezniük a tv. 9. § rendelkezései alapján.

• A tv. 1. § (1) a) pontja szerinti ─ azaz a tv. 1. melléklete szerinti, közigazgatás ágazatba tartozó ─ szervezetek esete egyszerű, számukra minden EIR esetében kötelező az adatosztályozás elvégzése.
• A tv. 1. § (1) b) és c), illetve a honvédelmi célú elektronikus információs rendszerei vonatkozásában az f) pontja szerinti szervezetek csak nem privát felhőszolgáltatás alkalmazása vagy külföldi adatkezelés megvalósítása esetén kötelezettek az adatosztályozás elvégzésére az érintett EIR-ek, illetve adatcsoportok tekintetében.

---

3. „ALAP” biztonsági osztályba sorolnám egy EIR-emet, de az adatosztályozás során megállapítottam, hogy magas védelmi igényű ─ például „F3”, „F4” besorolású ─ adatcsoportot is kezelek benne. A Hatóság jóváhagyja ezt?

Nem. Az adatosztályozás során megállapított értékek hatást gyakorolnak a biztonsági osztályba sorolásra. Az „F3”, „F4” adatosztályoknál vagy a bizalmasság (B) érték magas, vagy a sértetlenség/rendelkezésre állás (SR) érték, ami meg kell jelenjen a biztonsági osztályba sorolásnál feltett kérdésekre adott válaszokban is, másképpen ellentmondás keletkezne a megállapítások között.

---

4. Megállapítottam, hogy az EIR-ben különleges személyes adatokat kezelek, azonban a mennyiséget tekintve gondban vagyok, hogy mi számít csekély vagy nagy mennyiségnek. Elérhető valamilyen segédlet vagy iránymutatás a megfelelő értékeléshez?

Igen, javasoljuk a Nemzeti Adatvédelmi és Információszabadság Hatóság által 2016. december 13. napján kiadmányozott “Iránymutatás az adatvédelmi tisztviselőkkel kapcsolatban” című iránymutatás mellékletének 3. pontjában szereplő információk és példák figyelembevételét az adatok mennyiségének értékelésénél.

---

5. A támogató rendszereknél is kell adatosztályozást végezni?

Alapesetben a támogató rendszereknél sem biztonsági osztályba sorolást, sem adatosztályozást nem kell végezni. DE!

Ha a támogató rendszer nem privát felhőben működik, vagy azon keresztül külföldi adatkezelés valósul meg, az érintett adatcsoportokat a támogatott EIR adatosztályozása során meg kell jeleníteni, és a nem privát felhőszolgáltatás igénybevételére, illetve külföldi adatkezelésre vonatkozó kötelezettségeket teljesíteni kell.

---

6. Az általam képviselt szervezet a Kiberbiztonsági tv. hatálya alá tartozik, kötelező biztonsági osztályba sorolást végeznem?

Nem feltétlenül.

Nem kötelezettek biztonsági osztályba sorolás elvégzésére a Kiberbiztonsági tv. 1. § (1) a) és c) pontja szerinti fontos, illetve a törvény 1. § (1) b) pontjának hatálya alá tartozó, nem a 2. és 3. melléklet szerinti szervezetek. Számukra az „alap” biztonsági osztályhoz tartozó követelmények teljesítése az előírás, erről rendszeresen adatot kell szolgáltatniuk a Hatóságnak.

Önkéntesen az arra nem kötelezettek is elvégezhetik a biztonsági osztályba sorolást (lásd bővebben: Jogszabályi alapon nem vagyok kötelezett biztonsági osztályba sorolást végezni, mégis megtehetem ezt?).

---

7. Jogszabályi alapon nem vagyok kötelezett biztonsági osztályba sorolást végezni, mégis megtehetem ezt?

Igen, de az NBSZ-OVI űrlap „Adatlap” munkalapján, a szervezeti nyilatkozatnál jelezni kell, hogy az ügyfél önkéntesen végezte el a biztonsági osztályba sorolást.

Az önkéntesen elvégzett besorolásnak is dokumentáltnak, következetesnek és a választott módszertan alapján igazolhatónak kell lennie.

---

8. A biztonsági osztályba sorolást elvégezhetem saját szempontok alapján is?

Igen. A szervezet saját hatáselemzési módszertan alapján is elvégezheti a biztonsági osztályba sorolást, feltéve, hogy a módszertan dokumentált, következetesen alkalmazható, figyelembe veszi a bizalmasság, sértetlenség és rendelkezésre állás szempontjait, és alkalmas a Kiberbiztonsági tv. szerinti „alap”, „jelentős” vagy „magas” biztonsági osztály megállapítására.

Ebben az esetben az NBSZ-OVI űrlap megfelelő részében a saját módszertant, illetve az azt tartalmazó dokumentumot kell bemutatni vagy hivatkozni, továbbá csatolni kell a biztonsági osztályba sorolás eredményét megalapozó elemzést.

Ha a szervezet saját módszertant alkalmaz, ügyelni kell arra, hogy a módszertani elemek és az eredmény közötti kapcsolat ellenőrizhető legyen.

---

9. Saját szempontrendszer alapján végezném el a biztonsági osztályba sorolást, mire kell figyelnem?

A saját szempontrendszer szerinti besorolás esetén ismertetni kell az alkalmazott hatáselemzési módszertant, aminél elvárás, hogy figyelembe vegye a bizalmasság, sértetlenség és a rendelkezésre állás szempontjait, továbbá az eredményeként a törvény szerinti háromfokozatú skálán történjen a biztonsági osztályba sorolás.

Az eredményt az NBSZ-OVI űrlap „Osztályba sorolás” munkalapjának alján kell rögzíteni, és itt kell bemutatni a szempontrendszert vagy meghivatkozni az ezt tartalmazó dokumentumot, továbbá csatolni kell a biztonsági osztályba sorolás eredményét megalapozó elemzést.

Itt hívjuk fel a figyelmet arra, hogy a biztonsági osztályt az elektronikus információs rendszer védelmi igénye határozza meg, értékét nem befolyásolják a már bevezetett védelmi intézkedések.

---

10. Hogyan tudom megállapítani, hogy egy EIR az én szervezetem rendelkezésében van-e?

Egy EIR használata, üzemeltetése, menedzselése, stb. mögött nagyon sokféle érvényes jogcím állhat, amely kizárólag a rendszerre vonatkozó jogosultságot vagy kötelezettséget előíró egyedi szerződésből vagy jogszabályi rendelkezésből állapítható meg, és ezek alapján tudja a szervezet eldönteni, hogy mely rendszereket kell a Kiberbiztonsági tv. 6.§ (3) bekezdés 1. pont a) pontjába tartozó rendszerként felmérni és nyilvántartásba venni.

A Kiberbiztonsági tv. azt a szervezetet nevezi meg az ügyfél-jogok és kötelezettségek címzettjeként, amely szervezet „rendelkezni jogosult”, azaz jogi hatalmat gyakorol az adott rendszer felett.

A rendelkezési jogosultság a Ptk. 5:13 §-a alapján törvényi analógia útján a tulajdonjog egyik szelvényjogának minősülő rendelkezési jogból kerül levezetésre a Kiberbiztonsági törvényben, ahogy az a törvény indoklásában is szerepel. A Hatóság a „rendelkezésében lévő” kifejezést ennek megfelelően alkalmazza, és ezt várja el a hatáskörébe tartozó szervezetektől is.

Az EIR-t alkotó minden elemnek van „gazdája”. Minden elem tekintetében van olyan jogképességgel rendelkező szervezet vagy személy, amely vagy aki rendelkezni jogosult az adott rendszerelem felett, vagyis jogi hatalma van felette.

A Ptk. 5:13. § (2) bekezdése szerint a tulajdonost megilleti különösen a birtoklás, a használat, a hasznosítás, a hasznok szedésének és a rendelkezés joga.
A tulajdonos rendelkezési joga kiterjed a birtok, a használat, illetve a haszonszedési jog átengedésére, a dolog megterhelésére, biztosítékul adására és a tulajdonjog átruházására is. Az, hogy mely szervezet rendelkezésében van az adott elektronikus információs rendszer azon múlik, hogy a tulajdonjog szerves részét képező rendelkezési jogosultságok többségét ki gyakorolja. Ez kizárólag egyedileg, az adott EIR és az érintett szervezet közötti jogi kapcsolat sajátosságainak ismeretében dönthető el. Jogi értelemben a rendelkezési jog fent megjelölt „szelvényjogainak” gyakorlására érvényes jogcímmel rendelkező szervezet tekintendő a Kiberbiztonsági tv. 6.§ (1) bekezdésében megjelölt szervezetnek.

• Ha a szervezet EIR felett tulajdonjoggal rendelkezik, úgy a rendelkezési jog teljessége is megilleti.
• Ha a szervezet nem tulajdonosa az EIR-nek, de tényleges és meghatározó jogi hatalommal rendelkezik felette, úgy szintén rendelkezésében lévőnek minősül.
• Ha a szervezet kizárólag egy megosztott, pl.: Shared Responsibility Modell keretében csupán felhasználóként lát el bizonyos funkciókat, de tényleges és meghatározó jogi hatalommal a rendszer felett nem rendelkezik, úgy az EIR nem tekinthető a szervezet rendelkezésében lévő rendszernek.

---

11. Új információbiztonsági felelős vagyok egy Kiberbiztonsági tv. hatálya alá tartozó szervezetnél, és nem tudom, hogy a korábbi IBF jelentett-e be EIR-eket a Hatóság részére. Hogyan juthatnék információhoz?

A hatósági nyilvántartásba bejegyzett felelősként lehetősége van adatokat, ún. hatósági bizonyítványt kérnie a nyilvántartásunkban szereplő EIR-ekről.
Az adatszolgáltatás tartalmazni fogja az EIR-ek megnevezését, a megállapított biztonsági osztály értékeket. A kérelmet az IBF ügyfélkapujáról, vagy a szervezet hivatali/cégkapujáról kell benyújtani.

---

12. A Hatóság elfogadja, ha a biztonsági osztályba sorolás eredményét nem az NBSZ-OVI űrlapon nyújtom be?

Nem. Ráadásul a Hatóság csak a honlapján (https://nki.gov.hu) közzétett verziójú űrlapot vagy az abból generált XML-állományt fogadja be. Módosított űrlap vagy eltérő sémával generált XML-állomány is visszautasítást von maga után.

---

13. Kötelező minden EIR-hez külön OVI táblát készítenem?

Főszabály szerint az EIR-ek biztonsági osztályba sorolását EIR-enként kell elvégezni, mivel a besorolás az adott EIR-ben kezelt adatokhoz, rendszerfunkciókhoz, működési környezethez és védelmi igényhez kapcsolódik.

Lehetőség van azonban az EIR-ek csoportosítására, ami akkor lehet indokolt, ha azok azonos kockázati környezetben működnek, azonos védelmi igényűek, a védelmi intézkedések megegyező módon teljesíthetők, és a csoportosítás módszertana dokumentáltan alátámasztható.

A csoportosítás nem eredményezheti az egyes rendszerek sajátos kockázatainak elfedését vagy a magasabb védelmi igény figyelmen kívül hagyását.

---

14. Hogyan kell kérelmet benyújtanom a hatóságnak?

A benyújtható kérelem űrlapokat a Hatóság weboldalán a Hatóság / Ügyfajták, Űrlapok menüpont alatt találja:

A kérelmek benyújtásával kapcsolatos minden fontos információ a Hatóság weboldalán a Hatóság / Elektronikus ügyintézés menüpont alatt érhető el:

---

15. A jogszabály lehetőséget ad arra, hogy eltéréssel teljesítsek egy védelmi intézkedést?

Igen, amennyiben az Ügyfél nem tudja a 7/2024. MK rendeletben leírtak szerint bevezetni a védelmi intézkedéseket, lehetőség van eltérések alkalmazására.

Lehetséges helyettesítő védelmi intézkedés bevezetése, ebben az esetben be kell mutatni az alkalmazott intézkedést, valamint azt, hogy az milyen mértékben csökkenti a kockázatokat.

Lehetőség van a védelmi intézkedés mellőzésére, amennyiben az alkalmazása nem értelmezhető vagy nem lehetséges az EIR működtetési környezete vagy használati módja miatt, illetve nem használják az adott technológiát, pl. WI-FI. Ebben az esetben a védelmi intézkedés értékelésénél a „nem releváns” a megfelelő választás.

Az első esetben a 7/2024. MK rendelet 1. mellékletének „3. Eltérések” és
„4. Helyettesítő védelmi intézkedések” alcímeiben foglaltak szerint kell eljárni. Az Ügyfélnek az NBSZ-OVI táblával egyidejűleg be kell nyújtania a Hatóság részére a helyettesítő intézkedések leírását, annak alátámasztására, hogy a bevezetett intézkedések milyen módon biztosítják az eredetivel egyenértékű védelmi szintet. 

A dokumentációnak tartalmaznia kell, hogy mely biztonsági kontrollok helyett alkalmaztak egyedi intézkedéseket, melyek ezek az egyedi intézkedések, mi a bevezetésük oka, valamint ezekkel hogyan tudják elérni az elvárt célokat.

Továbbá lehetőség van a védelmi intézkedés mellőzéséből fakadó kockázat, illetve a helyettesítő intézkedések bevezetése után is fennálló maradványkockázatok felvállalására a szervezet vezetője vagy a kockázatok kezeléséért felelős szerepkört betöltő személy által. Ebben az esetben kockázatelemzéssel kell alátámasztani a védelmi intézkedés mellőzésének kockázatát, az alacsony kockázatok indoklás nélkül felvállalhatók, az ettől eltérőket indokolni szükséges.

---

16. Egyes védelmi intézkedéseket az általam képviselt szervezet csak részben teljesít, de intézkedési terv már készült az adott védelmi intézkedés teljesítéséhez. Elfogadható így teljesítettként az adott védelmi intézkedés?

Nem, egy védelmi intézkedés csak akkor minősül teljesítettnek, ha az ténylegesen bevezetésre került és működik. A tervezett, bevezetés alatt álló védelmi intézkedések esetében a „nem teljesíti” a helyes értékelés.

---

17. Az általam képviselt szervezetnél adott EIR esetében másik szervezet látja el az üzemeltetési feladatokat. Ebben az esetben az NBSZ-OVI űrlap 1-19 munkalapjain állíthatom „nem relevánsra” azon védelmi intézkedéseket, amelyek felett az üzemeltető gyakorolja a kontrollt?

Nem. A Hatóság egy védelmi intézkedésre csak abban az esetben fogadja el a „nem releváns” választ, amennyiben környezeti, infrastrukturális, technológiai stb. körülmények bizonyítható módon nem teszik lehetővé az adott intézkedés megvalósítását.

A felvetett esetben az üzemeltetővel kötött szerződésben rögzíteni kell a szervezet elvárásait, majd rendszeresen, szolgáltatói nyilatkozat, üzemeltetési dokumentáció vagy más megfelelő bizonyíték útján meg kell győződni a védelmi intézkedések teljesüléséről.

---

18. A „nem releváns” védelmi intézkedés esetében mi a jogszabályi elvárás?

A „nem releváns” státuszú védelmi intézkedések esetében részletesen be kell mutatni azokat a környezeti, infrastrukturális, technológiai stb. körülményeket, amik nem teszik lehetővé az adott intézkedés megvalósítását, és az indoklást az NBSZ-OVI űrlap „Megjegyzés, indoklás” oszlopában fel kell tüntetni. Amennyiben az adott intézkedés alkalmazható lenne, de a szervezet bizonyos körülményeknél fogva eltekint annak bevezetésétől, akkor a „nem releváns” helyett a „kockázat(ok) felvállalása” státusz megjelölése a megfelelő. Amennyiben az indoklás nem megfelelő, a Hatóság a tényállás tisztázását hiánypótlás keretében végzi.

---

19. Mi a különbség a „privát” és a „nem privát” felhő között?

A Kiberbiztonsági tv. és a kapcsolódó jogszabályok a nem privát felhőszolgáltatások igénybevételét szabályozzák, ezért a Kiberbiztonsági tv. a 4. § 75. pontban csak ezt a fogalmat határozza meg:

„Olyan szolgáltató által nyújtott felhőszolgáltatás, amelyet a szolgáltató bárki számára elérhető módon vagy kizárólag a szervezetek egy meghatározott köre számára nyújt.” ─ azaz ez nem egyetlen szervezet számára fenntartott szolgáltatás, hanem több használó szerv vagy magánszemély adatai megtalálhatóak az adott fizikai infrastruktúrán. Ilyen például a klasszikus Microsoft O365, AWS, Azure, Google Cloud. (Megjegyzendő, hogy a példában szereplő szolgáltatásoknak lehetnek privát verziói.)

A privát felhő szolgáltatás azt jelenti, hogy minden hardver és szoftver a szervezet rendelkezésében áll, és ezek az erőforrások csak a felhasználó szervezet keretein belül hozzáférhetők. Közösségi felhőnek minősül egy vállalatcsoporton belül létrehozott, kizárólag a csoport tagjai által igénybe vehető felhőszolgáltatás. Két utóbbi típusú felhőszolgáltatás esetében a Kiberbiztonsági tv. és a vhr. nem támaszt előírásokat, azonban a külföldi adatkezelésre vonatkozó korlátokat figyelembe kell venni.

---

20. Van teendőm, ha felhőszolgáltatást veszünk igénybe?

Amennyiben a szervezet nem valósít meg külföldi adatkezelést, és nem vesz igénybe nem privát felhőszolgáltatást (lásd bővebben: Mi a különbség a privát és a nem privát felhő között?), akkor nincs teendője.

Azonban, ha a szervezet bármely EIR-je vagy támogató rendszere vonatkozásában külföldi adatkezelés vagy nem privát felhő használat valósul meg, a Kiberbiztonsági tv. és a Kiberbiztonsági vhr. több kötelezettséget ír elő a szervezet számára:

1. Az adatosztályozás elvégzése

Mindazon, a szervezet rendelkezésében lévő EIR-ek és támogató rendszerek tekintetében, amelyeknél külföldi adatkezelés vagy nem privát felhőhasználat valósul meg, kötelezően el kell végeznie az adatosztályozást Kiberbiztonsági vhr. 1. mellékletében meghatározott szempontok alapján.

Az adatosztályozás során figyelembe kell vennie a logikailag együtt, egységben kezelt elektronikus adatok – ideértve az adatbázist, adattárat, egyedi dokumentumot és egyéb adatállományt – együttes biztonsági igényét.

(Az adatosztályozásban meg kell jelölni, hogy mely adatcsoportok érintettek a felhős/külföldi adatkezelésben.)

2. Költség-haszon elemzés, kilépési terv készítése

Attól függően, hogy a szervezet milyen jogcímen tartozik a Kiberbiztonsági tv. hatálya alá, költség-haszon elemzés és kilépési terv készítése tekintetében eltérő kötelezettség vonatkozik rá:

• a Kiberbiztonsági tv. 1. § (1) bekezdés a) pontja szerinti szervezetnek költség-haszon elemzést és kilépési tervet,
• a Kiberbiztonsági tv. 1. § (1) bekezdés b) és c) pontja, valamint a honvédelmi célú elektronikus információs rendszerei vonatkozásában az f) pontja szerinti szervezetnek, legalább kilépési tervet

kell készítenie.

3. Döntés a nem privát felhőszolgáltatás igénybevételéről, illetve a külföldi adatkezelésről

A Kiberbiztonsági tv. 1. § (1) a) szerinti szervezet vezetője abban az esetben dönthet a külföldi adatkezelés vagy a nem privát felhőszolgáltatás igénybevétele mellett, amennyiben a költség-haszon elemzés és a kilépési terv eredményei alapján a külföldi adatkezelés vagy a nem privát felhőszolgáltatás igénybevétele a szervezet számára megalapozottan előnyökkel jár.

4. A felhőszolgáltatás bejelentése

A bejelentés a biztonsági osztályba sorolás – vagy amennyiben a szervezet arra nem kötelezett, a védelmi intézkedések nyilvántartásba vétele – eljárás keretében történik, a Hatóság weboldalán található űrlapok megküldésével.

A bejelentésben ezeken túl nyilatkozni kell az adatkezelés helyszínéről és az igénybe vett felhőszolgáltatásokra vonatkozó adatokról, és amennyiben szükséges, a harmadik fél általi tanúsításról, a titkosításról és az adat Magyarországon történő rendelkezésre állásáról.

---

21. Hol találom a felhőszolgáltatásokra vonatkozó harmadik féltől származó kiberbiztonsági tanúsításra vagy auditra elfogadható kontroll keretrendszerek és szabványok listáját?

Nem privát felhőszolgáltatás igénybevétele esetén, az adatosztályozás eredményének függvényében, előírás lehet a kiberbiztonsági hatóság honlapján közzétett lista szerinti, harmadik fél általi kiberbiztonsági tanúsítással, audittal vagy engedélyezéssel rendelkező (a továbbiakban: harmadik fél által tanúsított) szolgáltatás használata.

A lista a Hatóság weboldalán, a Hatóság / Felhő menüpont alatt érhető el:

---

22. Mi számít központi rendszernek?

A Kiberbiztonsági tv. 4. § 60. pontjában szereplő definíció szerint központi rendszer: „egyes állami, önkormányzati feladatok ellátását segítő, zárt ügyfélkör számára központosítottan fejlesztett vagy működtetett elektronikus információs rendszer, amelyen keresztül megvalósított funkciókat egy adott intézményi körben kötelezően vagy opcionálisan vesznek igénybe a felhasználó szervezetek”. Fontos, hogy a definícióban szereplő összes kritériumnak teljesülnie kell!

Ezek a rendszerek a közigazgatásban jellemzőek, a felhasználók általában valamilyen jelentési, adatszolgáltatási kötelezettséget teljesítenek benne, gyakran jogszabály is előírja a használatukat.

Nem minősülnek központi rendszernek az azonos funkcionalitással bíró, de elkülönítetten kezelhető (önálló futtatókörnyezettel és tárhellyel rendelkező) EIR-ek (pl. elektronikus dokumentumkezelő).

---

23. Központi rendszert használunk, ez esetben mi a teendő?

A használó szervezetnek teljesítenie kell a központi rendszer felett rendelkezési jogot gyakorló szervezet által meghatározott elektronikus információbiztonsági követelményeket, illetve az ezekre vonatkozó előírásokat be kell építenie a saját szabályozói környezetébe, továbbá a központi rendszert érintő kiberbiztonsági incidenseket be kell jelentenie az illetékes kiberbiztonsági incidenskezelő központ és a központi rendszer felett rendelkezési jogot gyakorló szervezet részére.

---

24. Mit kezdjek a biztonsági osztályba sorolásnál azokkal a rendszerekkel, amik biztonsági intézkedéseire nincs rálátásom és befolyásom ?

Ebben az esetben több helyzet állhat elő:

1. Az EIR nem a szervezet saját üzleti-, adatkezelési céljait teljesíti, és beazonosítható más, rendelkezési joggal bíró szervezet. Lehetséges, hogy ez más szervezet (központi) rendszere (pl. MÁK KIRA), vagy anyavállalat rendszere, ezeket nem kell biztonsági osztályba sorolni, ez a feladat a rendelkezési joggal bíró szervezetet terheli.

2. Az EIR a szervezet saját üzleti-, adatkezelési céljait szolgálja, mégis úgy tűnik, hogy nincs rendelkezési jogunk felette. Előfordulhat, hogy az EIR külső üzemeltetésben van, estleg dobozos szoftvert használunk vagy külső szolgáltatást veszünk igénybe a működéséhez.

Ezek egyike sem jelenti a rendelkezési jog megszűnését.

A külső üzemeltetésnél a szerződésben kell kikötni a szervezetnek az EIR biztonsági intézkedéseivel kapcsolatos elvárásait, amelyek teljesülését a későbbiekben nyomon kell követni. A védelmi intézkedések állapotának felmérésénél az üzemeltető nyilatkozatára vagy egyéb bizonyító erejű dokumentumokra lehet támaszkodni.

Amennyiben dobozos szoftvert vásároltunk valamelyik EIR feladatainak támogatására (pl. dokumentumkezelő rendszer), amelyben a védelmi intézkedések egy részére esetleg nincs ráhatásunk, szintén nem jelenti a rendelkezési jogunk megszűnését. Ez a jog abban nyilvánul meg, hogy a beszerzés előtt meggyőződünk a biztonsági intézkedések illeszkedéséről a szervezet igényeihez, és ennek függvényében döntünk a használatáról. Természetesen ez azzal jár, hogy meg kell győződni a szoftver ilyen irányú megfelelőségéről is, akár a gyártó nyilatkoztatásával. A jövőben remélhetőleg megkönnyíti ezt a feladatot a tanúsított szoftverek elterjedése.

Külső szolgáltatások igénybevételénél hasonló a helyzet, azzal az eltéréssel, hogy a központi szolgáltatók (NISZ Zrt., IdomSoft Zrt., stb.) kötelezően tájékoztatják az igénybe vevőket, hogy a központi szolgáltatásokat megvalósító rendszerek milyen biztonsági osztály követelményeinek felelnek meg, és meghatározzák a felhasználó szervezet által az igénybevétel feltételeként betartandó elektronikus információbiztonsági követelményeket.

Mint látható, ezen esetekben másként – olykor közvetetten – nyilvánul meg a szervezet rendelkezési joga, de semmiképpen sem szűnik meg. Ezeknek az EIR-eknek a biztonsági osztályba sorolása a szervezet feladata.

---

25. Kinek a feladata az NBSZ-OVI táblák kitöltése, ha egy EIR esetében másik szervezet látja el az üzemeltetési feladatokat?

Az NBSZ-OVI űrlap kitöltéséért főszabály szerint az a szervezet felel, amely az adott EIR felett rendelkezési jogosultságot gyakorol, és amelyet a Kiberbiztonsági tv. alapján az adott EIR-rel összefüggő jogok és kötelezettségek terhelnek.

Az, hogy az EIR üzemeltetését vagy egyes technikai feladatait más szervezet látja el, önmagában nem mentesíti a rendelkezési jogosultságot gyakorló szervezetet a jogszabályi kötelezettségek teljesítése alól. Ilyen esetben a szükséges adatokat, igazolásokat és nyilatkozatokat az üzemeltetőtől vagy szolgáltatótól be kell szerezni.

Ha az EIR feletti rendelkezési jogosultság több szervezet között oszlik meg, a felelősségi köröket, a kötelezettségek teljesítésének módját és a Hatóság felé történő tájékoztatást a feleknek dokumentáltan rendezniük kell.

---

26. Mi számít támogató rendszernek?

A Kiberbiztonsági tv. 4. § 92. pontja szerint támogató rendszer a szervezet alapfeladatainak ellátásában közvetlenül nem részt vevő elektronikus információs rendszer, amely szükséges azon rendszerek működéséhez, amelyek alapfeladatot látnak el.

A gyakorlatban támogató rendszernek minősülnek azon rendszerek, amelyek elsődleges célja az ügyviteli, üzleti adatok kezelését végző rendszerek üzembiztos, biztonságos működésének támogatása, pl. végpontvédelmi szoftver, mentő rendszer.

A támogató rendszerek azonosítását segíti, ha megvizsgáljuk, hogy az adott rendszer esetében azonosítható-e önálló adatkezelési cél ─ mint például egy e-learning platformnál a szervezet belső képzési kötelezettségének teljesítése ─, mert amennyiben igen, az adott rendszer bizonyosan nem minősülhet támogató rendszernek.

Fontos kiemelni, hogy a támogató rendszereket nem kell biztonsági osztályba sorolni, de a védelmi képességeiknek a támogatott rendszerek elvárásaihoz kell igazítani.

A használt támogató rendszer(eke)t az érintett EIR(ek) NBSZ-OVI űrlapjának „Nyilatkozati adatok” munkalapján kell feltüntetni.