A DÁP Integrált eAláírás lehetővé teszi, hogy a szervezetek saját digitális ügyintézési vagy szerződéskötési folyamataikba integrálják a DÁP digitális aláírási szolgáltatását. A felhasználó így az adott folyamat részeként, a DÁP mobilalkalmazás segítségével hagyhatja jóvá és írhatja alá a számára előkészített dokumentumot.

Az újonnan hatályba lépett Csatlakozási szabályzat azonban a szolgáltatásban részt vevő rendszerekkel szemben a korábbinál lényegesen szigorúbb kiberbiztonsági elvárásokat támaszt. A szabályzat 9. fejezete szerint mindazon EIR-ek esetében, amelyek a szolgáltatásban részt vesznek, a 7/2024. MK rendelet szerinti JELENTŐS biztonsági osztálynak való megfelelést legalább 95%-os, megfelelt eredménnyel kell igazolni. Emellett az ETSI TS 119 101 releváns biztonsági és szolgáltatásminőségi kontrolljait is figyelembe kell venni.

A DÁP Integrált eAláírás aktuális Csatlakozási szabályzata és a kapcsolódó dokumentáció a SZEÜSZ portálon érhető el:

DÁP Integrált eAláírás – hivatalos csatlakozási dokumentáció

Itt már nem elég a 70% – 95% kell

A változás egyik legfontosabb következménye, hogy a DÁP Integrált eAláírással érintett rendszerek esetében nem elegendő a NIS2 kiberbiztonsági audit sikeres teljesítéséhez szükséges 70%-ot meghaladó összesített SZEKI mutató: a Csatlakozási szabályzat 95%-os megfelelést vár el a jelentős biztonsági osztály követelményei tekintetében.

Ez különösen fontos azoknak a szervezeteknek, amelyek elektronikus információs rendszerüket korábban sikeresen auditáltatták. Egy ilyen rendszer attól még, hogy sikeresen teljesítette a NIS2 auditot, nem feltétlenül teljesíti a DÁP eAláírás követelményeit. A JELENTŐS biztonsági osztály további védelmi intézkedések alkalmazását követelheti meg, a 95%-os elvárt eredmény pedig a megfelelés szintjével kapcsolatban is jóval magasabbra helyezi a lécet.

A változás ezért nem egyszerűen egy adminisztratív átsorolást jelent. A jelentős biztonsági osztály követelményeinek teljesítéséhez szükség lehet új szervezeti, szabályozási és technikai intézkedések bevezetésére, a meglévő szabályzatok és eljárások továbbfejlesztésére, valamint az audit során bemutatandó bizonyítékok körének bővítésére is.

Az új csatlakozóknak már az éles indulás előtt igazolniuk kell a megfelelést

Az újonnan csatlakozó szervezetek számára a követelmény közvetlenül az éles csatlakozás feltételeként jelenik meg. A Csatlakozási szabályzat ugyanis kimondja, hogy a szolgáltatás igénybevételéhez igazolni kell a meghatározott műszaki követelmények teljesítését, amelyhez az érintett rendszerre vonatkozó auditjelentést, audit tanúsítványt vagy auditigazolást kell benyújtani az IdomSoft részére. Az átadott dokumentációnak egyértelműen tartalmaznia kell az előírt követelmények vizsgálatát, teljesítését és a vizsgálat eredményét.

Az információbiztonsági felkészülés ezért nem kezelhető a DÁP-integráció végén elvégzendő külön feladatként. Ha egy szervezet a DÁP Integrált eAláírást saját rendszerébe szeretné beépíteni, már a fejlesztés és a csatlakozás tervezése során érdemes felmérnie, hogy az érintett EIR jelenlegi megfelelőségi szintje milyen távol van a jelentős biztonsági osztály szerinti 95%-os elvárástól.

A DÁP bevezetésével kapcsolatos gyakorlati kérdésekről, köztük a folyamatba épített eAláírás auditálási kérdéseiről a FinTechZone összefoglalója is további hasznos információkat tartalmaz:

DÁP 2026 a pénzügyi szektorban – 18 kérdés és válasz

A már sikeresen auditált rendszereket is érintheti a változás

Az új követelményekre nemcsak azoknak érdemes figyelniük, akik most tervezik a DÁP Integrált eAláírás bevezetését. Különösen érintettek lehetnek azok a szervezetek is, amelyek már használják vagy beépítették a szolgáltatást, miközben az érintett EIR-t korábban még „alap” biztonsági osztály szerint auditálták sikeresen.

Ezeknél a szervezeteknél a következő, megújító audit előtt szükségessé válhat az EIR magasabb követelményszintre történő felkészítése. Ehhez fel kell mérni a jelentős biztonsági osztályban alkalmazandó további védelmi intézkedéseket, azonosítani kell a jelenlegi állapothoz képest fennálló hiányosságokat, majd végre kell hajtani a szükséges szervezeti, dokumentációs és technikai fejlesztéseket. Mindezt ráadásul úgy, hogy az audit során ne csupán a megfelelőség, hanem a DÁP által elvárt 95%-os eredmény is igazolható legyen.

Éppen ezért nem érdemes a következő auditig várni a felkészüléssel. Minél korábban ismert, hogy egy EIR esetében a DÁP eAláírás miatt „alap” helyett JELENTŐS biztonsági osztályra kell felkészülni, annál tervezhetőbben hajthatók végre a szükséges fejlesztések.

Segítünk felkészülni a DÁP eAláírás új követelményeire

A Régens szakértői csapata mindkét helyzetben támogatást nyújt:

• az újonnan DÁP Integrált eAláíráshoz csatlakozó szervezetek felkészítésében,
• valamint azoknál a már sikeresen auditált szervezeteknél is, amelyeknek az érintett EIR-t a következő, megújító audit során már JELENTŐS biztonsági osztály szerint kell auditáltatniuk.

A felkészítés során:

• felmérjük a jelenlegi állapot és a jelentős biztonsági osztály követelményei közötti eltéréseket,
• meghatározzuk a 95%-os megfelelési szint eléréséhez szükséges feladatokat,
• támogatjuk a szükséges szabályzatok, eljárások, nyilvántartások és auditbizonyítékok kialakítását,
• szakmai javaslatokat adunk a szükséges technikai intézkedések megvalósításához,
• valamint támogatjuk az auditfelkészülést.

Kapcsolódó NIS2 szolgáltatások