Az első auditkör lezárultával ugyanakkor új kérdés került előtérbe azoknál a szervezeteknél, amelyek auditja Nem megfelelt eredménnyel zárult: mit jelent pontosan ez a minősítés, hogyan kell értelmezni az auditjelentésben szereplő eredményeket, és mit mutat meg valójában a szervezet információbiztonsági megfelelőségéről?

Az első auditkör eredményeiről az SZTFH közleménye további részleteket tartalmaz:

Lezárult a kiberbiztonsági auditok határideje – SZTFH közlemény

Mit jelent pontosan a Nem megfelelt minősítés?

A NIS2 audit során az auditor nem egyszerűen egy Megfelelt vagy Nem megfelelt döntést hoz, hanem a szervezet és az auditált elektronikus információs rendszerek megfelelőségét több értékelési szinten vizsgálja.

A Nem megfelelt kifejezés emiatt az auditjelentésben nem feltétlenül jelenti azt, hogy maga a teljes audit sikertelen volt.

Az egyes elemi követelmények és követelménycsoportok önálló értékelést kapnak, egy követelménycsoport pedig már akkor is Nem megfelelt minősítésű lehet, ha valamely releváns elemi követelménye nem teljesül megfelelően. A szervezet összesített auditminősítése ettől még lehet megfelelő.

A teljes szervezet szintjén akkor beszélünk Nem megfelelt eredményről, ha a szervezet nem éri el a megfeleléshez szükséges legalább 71 összesített SZEKI-pontot.

Az auditjelentés értelmezésekor tehát külön kell választani az elemi követelmények és követelménycsoportok értékelését, az auditált EIR-ek eredményét, valamint a szervezet összesített minősítését.

A Nem megfelelt követelmény még nem jelent sikertelen auditot

Az auditjelentések értelmezésének egyik legfontosabb sajátossága, hogy egy szervezet auditjelentésében akár több Nem megfelelt követelménycsoport is szerepelhet úgy, hogy a szervezet összesített eredménye továbbra is megfelelt minősítésű.

A teljes szervezeti megfelelőség nem egyetlen követelmény eredményéből következik, hanem az auditált EIR-ek, az egyes követelménycsoportok és a kapcsolódó eltérések összesített értékeléséből.

Két külön kérdést érdemes tehát megvizsgálni:

• Talált-e az auditor nem megfelelő követelményeket? Egy sikeres audit esetében is lehet a válasz igen.
• Elérte-e a szervezet a megfeleléshez szükséges összesített SZEKI-értéket? A szervezet szintjén ez határozza meg, hogy az audit eredménye megfelelőnek minősül-e.

A sikeres audit tehát nem feltétlenül jelent hibátlan működést, a feltárt eltérések kezelése pedig a megfelelt szervezetek számára is további információbiztonsági feladatokat jelenthet.

VMI és SZEKI – mit érdemes nézni az auditjelentésben?

Az audit eredményének értelmezéséhez két fontos mutatót érdemes megkülönböztetni. A VMI az auditált elektronikus információs rendszer szintjén, míg a SZEKI a szervezet egészére vonatkozóan mutatja meg a megfelelőség szintjét.

Egy Nem megfelelt audit értelmezésekor nem elegendő kizárólag a végső SZEKI-értéket megvizsgálni; annak feltárására is szükség van, hogy mely EIR-ek, mely követelménycsoportok és milyen eltérések vezettek az összesített eredményhez.

Nem minden Nem megfelelt eltérés egyformán súlyos

Az egyes követelmények megfelelősége mellett a feltárt eltérés mértéke is fontos információt hordoz.

Az auditjelentésben többek között az alábbi kategóriák jelenhetnek meg:

• elhanyagolható mértékű eltérés;
• kis mértékű eltérés;
• kiemelt mértékű eltérés;
• kritikus mértékű eltérés.

A kategóriák közötti különbség azért lényeges, mert egy szervezetnél előfordulhat több, kisebb jelentőségű hiányosság, míg egy másiknál kevesebb, ugyanakkor lényegesen nagyobb információbiztonsági kockázatot jelentő eltérés.

A sikertelen audit értelmezésekor tehát nem elegendő azt megvizsgálni, hány pont hiányzik a 71-es SZEKI-küszöbhöz. Ugyanilyen fontos annak feltárása, hogy mely követelmények okozták a pontvesztést, és milyen súlyosságú eltérések állnak az eredmény mögött.

Mit vizsgál valójában az auditor?

A NIS2 audit jóval több egy dokumentációs ellenőrzésnél.

Az auditor többféle vizsgálati módszer alkalmazásával győződhet meg arról, hogy az adott követelmény ténylegesen teljesül-e. A gyakorlatban ilyen módszer lehet többek között:

• dokumentumvizsgálat;
• interjú;
• helyszíni megfigyelés;
• egyes kontrollok vagy auditbizonyítékok tesztelése.

A megfelelőség igazolásához tehát nem elegendő, hogy egy információbiztonsági kontroll valamely szabályzatban vagy eljárásrendben megfelelően szerepeljen, a kontroll gyakorlati működésének és végrehajtásának is igazolhatónak kell lennie.

Előfordulhat például, hogy dokumentumvizsgálat alapján egy folyamat megfelelően szabályozottnak tűnik, a tényleges működés vizsgálata során azonban nem áll rendelkezésre elegendő bizonyíték arra, hogy a szervezet a meghatározott folyamatot valóban és rendszeresen végrehajtja.

A megfelelés egyik kulcseleme emiatt az auditálhatóság, vagyis annak képessége, hogy a szervezet megfelelő és visszakövethető bizonyítékokkal tudja igazolni az előírt intézkedések végrehajtását.

Nem minden auditjelentés néz ki ugyanúgy

Bár a kiberbiztonsági audit jogszabályi követelményrendszere egységes, az auditjelentések szerkezete, részletezettsége és az auditori megállapítások bemutatásának módja auditoronként eltérhet.

Egyes jelentések külön fejezetekben mutatják be az elemi követelmények értékelését, a követelménycsoportok eredményét, az EIR-ek VMI-értékét, a szervezet SZEKI-értékét és a felhasznált bizonyítékokat. Más jelentések vezetői összefoglalója közvetlenül a fő eredményeket és a feltárt eltérések megoszlását mutatja be, miközben a részletes auditori megállapítások külön mellékletben jelennek meg.

Az elemi követelmények dokumentálásának részletezettsége szintén eltérhet: egyes jelentések külön feltüntetik az alkalmazott vizsgálati módszert, az auditor indoklását, a vizsgálat időpontját és az adott kontroll értékelését is.

A forma és a részletezettség auditoronként változhat, az alapvető értékelési logika azonban azonos: a vizsgálat arra irányul, hogy a vonatkozó kiberbiztonsági követelmények a szervezet dokumentációjában és tényleges működésében megfelelően teljesülnek-e, és a teljesítés megfelelő bizonyítékokkal alátámasztható-e.

A SZEKI-pontszám csak a kiindulópont

A Nem megfelelt eredmény értelmezéséhez önmagában nem elegendő a végső pontszám ismerete. A SZEKI mellett az EIR-ek eredményeit, a nem teljesült követelményeket, az eltérések súlyosságát, az auditori indoklásokat és a rendelkezésre álló bizonyítékokat is együtt kell értékelni.

Egy 69 pontos eredmény mögött állhat néhány jól körülhatárolható hiányosság, míg egy lényegesen alacsonyabb SZEKI-érték több, egymással összefüggő dokumentációs, szervezeti és technikai problémára is utalhat.

A sikertelen audit valódi kérdése így nem pusztán az, hogy hány pont hiányzik, hanem az, hogy miért hiányzik, és pontosan mit kell kijavítani.

Cikksorozatunk következő részében azt mutatjuk be, hogyan érdemes a Nem megfelelt auditjelentést feldolgozni, az auditori megállapításokat konkrét korrekciós feladatokká alakítani, majd a szükséges intézkedéseket szakmailag megfelelően priorizálni.

Forrás: Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH): Lezárult a kiberbiztonsági auditok határideje, 2026. július 10.