A kiberbiztonság szervezeti szintű vezetői felelősség

Egy kiberbiztonsági incidens következményei ma már messze túlmutathatnak az informatikai rendszerek működésén. A termelés leállása, az üzleti adatok elvesztése, a szolgáltatások kiesése vagy a szerződéses kötelezettségek megsértése közvetlenül befolyásolhatja a szervezet üzleti működését és pénzügyi stabilitását.

A NIS2 irányelv és az annak hazai követelményeit meghatározó 2024. évi LXIX. törvény ezért a kiberbiztonságot nem pusztán technikai, hanem szervezeti szintű felelősségként kezeli.

A törvény 6. §-a részletesen meghatározza a szervezet vezetőjének feladatait, beleértve a kockázatmenedzsment működtetését, a biztonsági szerepkörök kijelölését, a szükséges védelmi intézkedések biztosítását és azok rendszeres ellenőrzését.

A vezetői felelősség tehát nem merül ki egy információbiztonsági felelős kijelölésében vagy a szükséges szabályzatok jóváhagyásában. A megfelelőség fenntartásához aktív vezetői részvételre, megfelelő erőforrásokra és rendszeres döntéshozatalra van szükség. Ami egyben azt is jelenti, hogy a NIS2-megfelelőség nem tekinthető az első sikeres kiberbiztonsági audittal lezáruló projektnek. A kiberbiztonsági követelmények teljesítését a szervezet mindennapi működésébe kell beépíteni.

A vezető személyes bírságot is kaphat a NIS2-kötelezettségek elmulasztásáért

A kiberbiztonsági törvény egyik legfontosabb üzenete a vezetők számára, hogy a jogszabályi kötelezettségek elmulasztása nem feltétlenül áll meg a szervezet szintjén.

A 2024. évi LXIX. törvény 30. § (3) bekezdése alapján a nemzeti kiberbiztonsági hatóság a szervezet vezetőjével szemben is bírságot szabhat ki, amennyiben nem teljesíti a jogszabályban meghatározott kötelezettségeit. Ismételt jogsértés esetén a bírság kiszabása kötelező.

A kiberbiztonsági feladatok elhanyagolása, a szükséges vezetői intézkedések elmulasztása vagy a jogszabályi követelmények figyelmen kívül hagyása tehát közvetlen következményekkel járhat a vezető számára.

A vezetői felelősség nem pusztán elvi kérdés: a hatóság személyesen is számon kérheti a jogszabályban előírt kötelezettségek teljesítését.

Különösen fontos ezért tisztában lenni azzal, hogy mely kiberbiztonsági feladatok tartoznak közvetlenül a vezetőség felelősségi körébe, és milyen intézkedésekkel biztosítható azok megfelelő teljesítése.

Milyen konkrét kötelezettségeket határoz meg a törvény a vezetők számára?

A kiberbiztonsági törvény számos olyan feladatot nevesít, amelyek teljesítéséért a szervezet vezetője felelős. Bár a gyakorlati végrehajtásban az informatikai szakemberek és az információbiztonsági felelős meghatározó szerepet tölthetnek be, a vezetői döntések és jóváhagyások nem helyettesíthetők a feladatok egyszerű delegálásával.

1. Kockázatmenedzsment-keretrendszer kialakítása és működtetése

A 2024. évi LXIX. törvény 6. § (2) bekezdése alapján a szervezet vezetője felel a kockázatmenedzsment-keretrendszer létrehozásáért és működtetéséért, a törvényben meghatározott alkalmazási kör és kivételek figyelembevételével. Ez nem kizárólag a kiberbiztonsági kockázatok egyszeri felmérését jelenti. A kockázatkezelésnek folyamatosan támogatnia kell a szervezet működését és a vezetői döntéshozatalt.

A vezető feladata többek között:

• az elektronikus információs rendszerek és a kapcsolódó támogató rendszerek felmérésének biztosítása;
• a rendszerekhez kapcsolódó üzleti hatások és kiberbiztonsági kockázatok értékelése;
• a kockázatokkal arányos védelmi intézkedések meghatározása;
• a feltárt hiányosságok kezelésének és a szükséges intézkedések végrehajtásának biztosítása;
• a fennmaradó kockázatokkal kapcsolatos, megfelelően megalapozott vezetői döntések meghozatala.

Különösen fontos a vezetői szerep azokban az esetekben, amikor egy feltárt kockázat megszüntetése jelentős beruházást vagy szervezeti változtatást igényel. Ilyenkor nem elegendő az informatikai terület szakmai javaslata. A vezetőségnek mérlegelnie kell a kockázat lehetséges üzleti következményeit, és döntést kell hoznia annak megfelelő kezeléséről.

2. Az elektronikus információs rendszerek biztonsági osztályba sorolása

A szervezet által használt elektronikus információs rendszerek azonosítása és megfelelő biztonsági osztályba sorolása a kiberbiztonsági megfelelőség egyik alapvető feltétele.

A kiberbiztonsági törvény 10. § (1)–(2) bekezdése alapján az érintett rendszereket alap, jelentős vagy magas biztonsági osztályba kell sorolni, a jogszabályban meghatározott kockázati szempontok szerint. A biztonsági osztályba sorolásról pedig a szervezet vezetője dönt, és felel azért, hogy a besorolás megfeleljen a jogszabályi követelményeknek és a feltárt kockázatoknak. A döntésének minden esetben megfelelő hatáselemzésen és kockázatértékelésen kell alapulnia, hiszen a meghatározott biztonsági osztály közvetlenül befolyásolja az adott rendszerre vonatkozó védelmi követelményeket.

A biztonsági osztályba sorolást ráadásul legalább kétévente, illetve a jogszabályban meghatározott változások esetén soron kívül is felül kell vizsgálni.

Egy nem megfelelő besorolás nemcsak hiányos védelmi intézkedésekhez vezethet, hanem a vezetői döntés megalapozottságát is megkérdőjelezheti.

3. Információbiztonsági felelős kijelölése és támogatása

A kiberbiztonsági törvény 11. § (1) bekezdése alapján a szervezet vezetőjének gondoskodnia kell az elektronikus információs rendszer biztonságáért felelős személy (IBF) kijelöléséről vagy a feladatellátás jogszerű biztosításáról, amely a vonatkozó feltételek mellett külső szakértő megbízásával is megvalósulhat.

Az IBF feladata a szervezet kiberbiztonsági működésének szakmai támogatása, a kockázatmenedzsment-keretrendszer működtetésében való közreműködés, valamint az incidensbejelentési és kapcsolattartási feladatok ellátása.

A vezetői kötelezettség azonban nem ér véget a kijelöléssel.

A törvény 11. § (6) bekezdése alapján a vezetőnek biztosítania kell, hogy az IBF részt vehessen az elektronikus információs rendszerek védelmét érintő döntések előkészítésében, rendelkezzen a szükséges jogosultságokkal, információkkal és erőforrásokkal, valamint hozzáférjen a feladatai ellátásához szükséges rendszerekhez és adatokhoz.

Fontos: egy külső IBF megbízása önmagában nem mentesíti a vezetőt a jogszabályi felelősség alól. Ha a szervezet nem biztosítja a szükséges erőforrásokat, figyelmen kívül hagyja a feltárt kockázatokat, vagy elmulasztja a vezetői hatáskörbe tartozó döntéseket, a mulasztásokért a vezető is felelősségre vonható.

4. Információbiztonsági szabályozás és rendszeres ellenőrzés

A kiberbiztonsági törvény 6. § (3) bekezdésének 7–11. pontjai alapján a szervezet vezetője felel az információbiztonsági szabályzat (IBSZ) kiadásáért, a szükséges védelmi intézkedések teljesüléséért, azok értékeléséért és a feltárt hiányosságok kezeléséért.

Az információbiztonsági szabályzatot legalább kétévente, illetve a jogszabályban meghatározott esetekben felül kell vizsgálni. A vezetőségnek emellett rendszeresen meg kell győződnie arról, hogy a szervezetnél alkalmazott védelmi intézkedések valóban megfelelő biztonságot nyújtanak-e.

A törvény 6. § (4) bekezdése az előírt időszakos értékelésre legalább kétéves gyakoriságot határoz meg, mely összhangban van a kiberbiztonsági auditok elvárt megújítási idejével.

A megfelelőség fenntartása ezért nem merülhet ki a dokumentációk elkészítésében. A vezetőségnek a gyakorlatban is nyomon kell követnie, hogy a meghatározott intézkedések megvalósultak-e, megfelelően működnek-e, és a feltárt hiányosságok kezelése megtörtént-e.

5. A szükséges pénzügyi és humán erőforrások biztosítása

A kiberbiztonsági követelmények teljesítéséhez megfelelő erőforrásokra van szükség, amelyek biztosítása szintén vezetői feladat.

A gyakorlatban ez jelentheti a kritikus rendszerek védelmét szolgáló fejlesztések jóváhagyását, a biztonsági mentési és helyreállítási képességek fejlesztését, a sérülékenységek kezelését vagy a szükséges szakértői kapacitások biztosítását.

A törvény egyes szervezeti körök esetében konkrét pénzügyi követelményt is meghatároz.

A 6. § (5) bekezdés i) pontja szerint a törvény 1. § (1) bekezdés a)–c) pontjai alá tartozó szervezeteknek az adott év informatikai fejlesztési költségeinek legalább 5%-ával megegyező összeget kiberbiztonsági fejlesztésekre kell fordítaniuk.

Bár ez az előírás nem vonatkozik általánosan valamennyi NIS2-kötelezett szervezetre, jól mutatja, hogy a kiberbiztonság fenntartása pénzügyi tervezést és tudatos vezetői erőforrás-allokációt is igényel.

Incidenskezelés: a vezetői felelősség kritikus helyzetekben is fennáll

Egy jelentős kiberbiztonsági incidens során a gyors reagálás és az összehangolt döntéshozatal meghatározó szerepet játszik a károk mérséklésében. A megfelelő incidenskezelés azonban nem kizárólag az informatikai szakemberek és az információbiztonsági felelős feladata, hanem vezetői felelősség is.

A kiberbiztonsági törvény 6. § (5) bekezdés e) pontja alapján az érintett szervezetek esetében a vezető feladata, hogy gondoskodjon a kiberbiztonsági fenyegetésekre és incidensekre történő gyors és hatékony reagálásról, a szükséges bejelentések megtételéről, az incidensek kezeléséről és a helyreállítás biztosításáról.

Ennek megfelelően a vezetőségnek gondoskodnia kell arról, hogy a szervezet rendelkezzen megfelelő incidenskezelési folyamattal, egyértelműen meghatározott felelősségi körökkel és bejelentési renddel, valamint a gyors reagáláshoz és helyreállításhoz szükséges erőforrásokkal.

Súlyosabb incidensek esetén a vezetőségnek közvetlenül is részt kell vennie az üzletmenet-folytonosságot érintő döntések meghozatalában, a helyreállítás prioritásainak meghatározásában és a szükséges erőforrások biztosításában. Az incidens lezárását követően pedig gondoskodnia kell a tapasztalatok értékeléséről és a szükséges megelőző intézkedések végrehajtásáról.

Egy jelentős incidens bekövetkezésekor már késő kialakítani a gyors reagáláshoz szükséges folyamatokat és felelősségi köröket. A megfelelő felkészülés és a működőképes incidenskezelés biztosítása vezetői felelősség, amelynek elmulasztása nemcsak a károkat növelheti, hanem jogszabályi következményekkel is járhat.

Kötelező kiberbiztonsági képzés a szervezetek vezetői számára

A vezetői felelősség hangsúlyozását jól mutatja, hogy a hazai szabályozás külön képzési kötelezettségeket is meghatároz.

A 17/2025. (VII. 24.) EM rendelet 4. § (1) bekezdése alapján az érintett szervezetek vezetőinek:

• a vezetővé válásukat követő egy éven belül legalább 8 órás szervezett kiberbiztonsági képzésen kell részt venniük;
• ezt követően évente összesen legalább 4 órás továbbképzést kell teljesíteniük.

A 2025. december 31-ét megelőzően kinevezett vagy megbízott vezetőknek ráadásul az első, legalább 8 órás képzést 2026. december 31-ig kell teljesíteniük.

A képzések célja, hogy a vezetők megfelelő ismeretekkel rendelkezzenek a kiberbiztonsági kockázatokról, a szervezeti stratégiákról, a jogszabályi kötelezettségekről és az incidenskezeléshez kapcsolódó feladatokról.

A rendelet 5. §-a a képzések szervezésére és igazolására is konkrét követelményeket határoz meg. A képzést megfelelő feltételekkel rendelkező, bejelentett felnőttképző szervezheti, teljesítését pedig a felnőttképzésről szóló törvény szerinti tanúsítvánnyal kell igazolni.

A vezetői képzés elmulasztása nem egyszerű adminisztratív hiányosság, hanem jogszabályi kötelezettség megsértése. A képzések teljesítésének igazolhatósága ezért a NIS2-megfelelőség fontos része, különösen a 2026. december 31-i határidő közeledtével.

Milyen jogkövetkezményekkel járhat a vezetői kötelezettségek elmulasztása?

A NIS2 egyik lényeges változása, hogy a kiberbiztonsági követelmények megsértése nem kizárólag szervezeti szintű következményekkel járhat.

A 2024. évi LXIX. törvény 30. §-a rendelkezik a jogszabályi követelmények megsértése esetén alkalmazható hatósági intézkedésekről és szankciókról.

A hatóság többek között felszólíthatja a szervezetet a hiányosságok megszüntetésére, kötelezheti a szükséges intézkedések végrehajtására, illetve a jogszabályi feltételek fennállása esetén bírságot szabhat ki.

A törvény 30. § (3) bekezdése kifejezetten a szervezet vezetőjének mulasztására is kitér. Amennyiben a vezető nem teljesíti a jogszabályban előírt kötelezettségeit, a nemzeti kiberbiztonsági hatóság az eset körülményeinek mérlegelésével bírságot szabhat ki vele szemben. Ismételt jogsértés esetén a bírság kiszabása kötelező.

Súlyosabb esetekben ennél jelentősebb következmények is felmerülhetnek. A törvény 30. § (6) bekezdése alapján, ha egy nem közigazgatási szervnek minősülő alapvető szervezet a hatóság által meghatározott határidőn belül nem teljesíti a kötelezést, a hatóság kezdeményezheti a jogsértéssel érintett szolgáltatás engedélyének vagy tanúsításának ideiglenes felfüggesztését, valamint a szervezet vezetőjének ideiglenes eltiltását az adott szervezetben betöltött vezető tisztségviselői feladatainak ellátásától.

Az eltiltás tehát nem automatikus jogkövetkezmény, hanem a törvényben meghatározott feltételek fennállása esetén kezdeményezhető intézkedés.

A vezetői felelősség nem csupán szervezeti vagy üzleti értelemben létezik: a jogszabály bizonyos mulasztások esetén közvetlen személyes jogkövetkezményt is kapcsol hozzá.

A kiberbiztonsági mulasztások üzleti következményei

A hatósági szankciókon túl egy nem megfelelően kezelt kiberbiztonsági kockázat jelentős működési, pénzügyi és reputációs károkat is eredményezhet. Egy súlyos incidens következtében a szervezet elveszítheti ügyfelei bizalmát, szerződéses kötelezettségeket sérthet meg, vagy akár hosszabb időre is kieshetnek üzletkritikus folyamatai. A kiberbiztonsági kockázatok figyelmen kívül hagyása ezért nem csupán megfelelőségi hiányosság, hanem üzleti kockázatvállalás is.

Hogyan valósítható meg a vezetői elkötelezettség a gyakorlatban?

A vezetői elkötelezettség nem igazolható kizárólag egy nyilatkozattal vagy a szükséges szabályzatok jóváhagyásával. A jogszabályi megfelelőség fenntartásához olyan működési gyakorlatra van szükség, amelyben a kiberbiztonsági szempontok rendszeresen megjelennek a vezetői döntéshozatalban.

Ehhez különösen fontos:

Rendszeres vezetői riportok készítése: A vezetőség kapjon átlátható tájékoztatást a szervezet kiberbiztonsági helyzetéről, a feltárt kockázatokról, a hiányosságokról és a folyamatban lévő intézkedésekről.

Dokumentált döntéshozatal: A jelentősebb kockázatok kezeléséről, a szükséges erőforrásokról és a védelmi intézkedések prioritásairól szóló döntések legyenek visszakövethetők.

Folyamatos együttműködés az IBF-fel: Az információbiztonsági felelős szakmai megállapításai és javaslatai épüljenek be a vezetői döntésekbe.

A szükséges erőforrások biztosítása: A kiberbiztonsági feladatok végrehajtásához álljon rendelkezésre megfelelő költségvetés, szakértelem és kapacitás.

A biztonságtudatos szervezeti kultúra támogatása: A vezetőség saját működésével is támogassa a szabályok betartását, a képzéseken való részvételt és a biztonsági események időben történő bejelentését.

A fenti gyakorlatok nemcsak a jogszabályi megfelelőség igazolását segítik, hanem hozzájárulnak a szervezet működési ellenálló képességének és üzleti stabilitásának erősítéséhez is.

A megfelelően dokumentált vezetői döntések emellett fontos bizonyítékul szolgálhatnak egy kiberbiztonsági audit vagy hatósági ellenőrzés során is.

A sikeres NIS2-megfelelőség alapja a tudatos vezetői szerepvállalás

A NIS2 követelményeinek teljesítése összetett feladat, amely informatikai, szervezeti, jogi és üzleti szempontok összehangolását igényli.

Bár a gyakorlati megvalósításban az informatikai terület és az információbiztonsági felelős meghatározó szerepet tölt be, a kiberbiztonsági működés irányításához és fenntartásához elengedhetetlen a vezetőség aktív részvétele.

A megfelelően kialakított vezetői kontroll nemcsak az auditokra történő felkészülést támogatja, hanem hosszú távon is biztosítja, hogy a kiberbiztonsági kockázatok kezelése a szervezet működésének szerves részévé váljon.

A NIS2-megfelelőség nem kizárólag az IT vagy az IBF feladata. A felelős kiberbiztonsági működés a vezetői döntésekkel kezdődik – a szükséges intézkedések elmulasztásának következményei pedig személyesen a vezetőt is érinthetik.