NIS2- és KSC-megfelelőségi ellenőrzés: dokumentumok, nyilvántartások és tesztek egységes bizonyítási rendszerben

A NIS2- és KSC-megfelelőségi ellenőrzés nem merül ki a szabályzatok és eljárások bemutatásában. A felügyeleti szerv azt is vizsgálhatja, hogy a szervezet megfelelően határozta-e meg kötelezettségeinek hatályát, egyértelműen kijelölte-e a felelősségeket, bevezette-e a szükséges kontrollokat, és naprakész nyilvántartásokkal, teszteredményekkel, valamint vezetői döntésekkel igazolni tudja-e azok működését. A felkészülést ezért bizonyítási láncként célszerű felépíteni: a kötelezettségtől és a kockázattól a bevezetett intézkedésen át a végrehajtási feljegyzésig, az eredményesség értékeléséig és az eltérésre adott reakcióig.

Az ellenőrzés a működő rendszert vizsgálja, nem az iratgyűjtőt

A kiindulópont nem a szabályzatok és eljárások száma, hanem a kötelezettségek hatályának helyes meghatározása. A szervezetnek meg kell tudnia nevezni, hogy mely szolgáltatások, folyamatok, információs rendszerek, telephelyek és beszállítói függőségek tartoznak a KSC követelményei alá, továbbá azt is, hogy ezt milyen alapon állapította meg. A dokumentáció rendezése előtt ezért a vezetésnek meg kell erősítenie a szervezet jogállását és az érintett szolgáltatások körét, majd ki kell jelölnie az ellenőrzésre való felkészülés felelősét.

A legnagyobb bizonyítási kockázat akkor keletkezik, ha a dokumentáció olyan megoldásokat ír le, amelyeket a szervezet ténylegesen nem alkalmaz, vagy amelyek működését nem tudja feljegyzésekkel igazolni. Ez különösen a jogosultság-felülvizsgálatokra, a kockázatértékelésekre, a biztonsági mentésekre, a beszállítók felügyeletére és az üzletmenet-folytonossági tesztekre jellemző. A bizonyítékoknak összefüggő láncot kell alkotniuk: követelmény vagy kockázat, döntés, alkalmazott kontroll, felelősség, végrehajtási feljegyzés, eredményességértékelés, valamint a feltárt eltérésre adott válasz.

A hatóság egy felső szintű dokumentumból kiindulva operatív mintavételig is eljuthat. Ha például az incidenskezelési eljárás meghatározza az események osztályozását és eszkalációját, számítani kell a bejelentések, reakcióidők, döntések, kommunikáció, lezárások és az incidens utáni tanulságok vizsgálatára is. A rendszer hatályát nemcsak leírással, hanem szolgáltatási és függőségi térképpel, eszköznyilvántartással, kijelölt tulajdonosokkal, valamint ezek operatív nyilvántartásokkal való összhangjával kell igazolni.

NIS2- és KSC-dokumentáció az ellenőrzés előtt: milyen szabályzatokra, nyilvántartásokra és bizonyítékokra van ténylegesen szükség — a dokumentációnak egy működő irányítási mechanizmust kell tükröznie, nem pedig sablonok katalógusát. A felügyeleti ellenőrzést ugyanakkor meg kell különböztetni az irányítási rendszer auditjától. Mindkettő támaszkodhat hasonló bizonyítékokra, de a hatósági ellenőrzés az alkalmazandó jogszabályokból és a felügyelet hatályából eredő kötelezettségek teljesítését vizsgálja, míg az audit az irányítási rendszer megfelelőségét és eredményességét értékeli meghatározott kritériumok alapján. Az egyik eljárás kedvező eredménye nem helyettesíti a másikat.

A hatály és a felelősségi rend kiemelt vizsgálati terület

A bizonyítékok első csoportjának azt kell egyértelművé tennie, hogy a szervezet miért tartozik meghatározott kötelezettségek alá, és hol húzódnak a felügyelt környezet határai. A hatóság kérheti a szervezet besorolásának indokolását, a szabályozás alá tartozó szolgáltatások azonosítását, valamint a kapcsolódó folyamatok, információs eszközök, rendszerek, telephelyek és beszállítók bemutatását. A hatály nem írható le pusztán a tevékenység megnevezésével. Lehetővé kell tennie a szolgáltatás nyomon követését az üzleti folyamattól az azt támogató eszközökön át a külső függőségekig.

A felkészülés alapja a vezetés által jóváhagyott, naprakész hatályleírás, amelyet a szolgáltatások és folyamatok térképe, a kritikus eszközök jegyzéke, valamint a felelősségi struktúra egészít ki. A szerepköröket létrehozó dokumentumoknak nemcsak a munkakörök megnevezését kell tartalmazniuk, hanem a kockázatelfogadásra, vészhelyzeti intézkedések elrendelésére, incidensek eszkalálására és beszállítókkal kapcsolatos döntések meghozatalára vonatkozó jogosultságokat is. A szolgáltatások, eszközök és kockázatok tulajdonosait a tényleges hatáskörmegosztással összhangban kell kijelölni.

Tipikus ellentmondás, amikor a nyilvántartás formálisan megnevez egy kockázattulajdonost, de a kockázat elfogadásáról más személy dönt megfelelő felhatalmazás és dokumentált nyom nélkül. Ugyanez a probléma jelentkezhet a kontrolloktól való eltérések, az üzletmenet-folytonosság és a beszállítók jóváhagyása esetén. Az ülések jegyzőkönyveinek, a határozatoknak, a kockázatértékelések jóváhagyásainak, a költségvetési döntéseknek és a vezetőségi átvizsgálásoknak azt kell igazolniuk, hogy a vezetés ismeri a lényeges kockázatokat, dönt az operatív hatáskört meghaladó kérdésekben, és felügyeli a meghozott döntések végrehajtását.

A besorolás módját, a megfelelő jegyzékbe történő bejegyzést és a hatóság hatáskörét minden esetben az aktuális jogszabályi környezet és az adott szervezet helyzete alapján kell meghatározni. A téma gyakorlati kifejtését a NIS2: önértékelés és bejegyzés a KSC-jegyzékbe – mit kell tennie egy termelővállalatnak? című anyag tartalmazza. Ha a szervezet alapvető szervezetnek minősül, a hatály értékelését az Kötelező KSC-audit: mely alapvető szervezeteknek kell felkészülniük az első megfelelőségértékelésre? című anyaggal is össze kell kapcsolni. A státusz önmagában azonban nem bizonyítja, hogy a vezetés jóváhagyta a felelősségi határokat és gondoskodott azok rendszeres felülvizsgálatáról.

A nyilvántartások a tényleges működést mutatják meg

Egy nyilvántartás csak akkor igazolja a folyamatos irányítást, ha a folyamatokban meghozott döntéseket és elvégzett tevékenységeket tükrözi, nem pedig időszakosan kitöltött eljárásmellékletként működik. Az eszköz kiválasztása előtt meg kell határozni a kötelező adatmezőket, az adatforrásokat, a feljegyzések gazdáit és a módosítások jóváhagyási szabályait. Egy táblázat is megfelelő lehet, ha biztosított a hozzáférés-szabályozás, a változástörténet, az egyértelmű felelősség és a jogosulatlan módosítással szembeni védelem. Egy összetett szoftver sem teszi hitelessé az adatokat, ha nem tisztázott, hogy ki, mikor és milyen esemény alapján frissíti a nyilvántartást.

A kockázati nyilvántartásnak össze kell kapcsolnia a fenyegetési forgatókönyveket a szolgáltatásokkal és eszközökkel, továbbá tartalmaznia kell a tulajdonost, a meglévő kontrollokat, az értékelés eredményét, a kockázatkezelési döntést és az intézkedések végrehajtási állapotát. A hatóság ellenőrizheti, hogy a csökkentendőként megjelölt kockázathoz tartozik-e feladat, határidő és végrehajtási bizonyíték, az elfogadott kockázatot pedig megfelelő jogosultsággal rendelkező személy hagyta-e jóvá. Hasznos vezetői mutató lehet a nyitott kockázatok, a befejezetlen intézkedések és az ismételt felülvizsgálatra váró döntések száma. Ezek a szervezet által kialakított mutatók, nem jogszabályban rögzített küszöbértékek.

Az incidens- és eseménynyilvántartásnak lehetővé kell tennie a teljes folyamat rekonstruálását: az észlelést, az incidens osztályozását, az eszkalációt, a bejelentésről szóló döntést, a kommunikációt, a helyreállítást és a tanulságokkal együtt dokumentált lezárást. A kapcsolódó bizonyítékok közé tartozhatnak a sérülékenységek, javítások és jóváhagyott kivételek nyilvántartásai, a jogosultság-felülvizsgálatok, a biztonsági mentések és visszaállítások feljegyzései, a konfigurációváltozások, a rendszergazdai tevékenységek, a képzések és a gyakorlatok dokumentumai.

Egy javítás elhalasztását végig kell vezetni az azonosított sérülékenységtől a hatásértékelésen és a kivétel jóváhagyásán át a kompenzáló kontrollokig, az ismételt értékelés határidejéig és a lezárás igazolásáig. A függőben lévő javítások listája önmagában nem mutatja meg, hogy a késedelem ellenőrzött keretek között marad-e.

Ugyanezt a következetességet igényli az ellátási lánc felügyelete. A szerződések listája nem helyettesíti a beszállítók osztályozását, a szolgáltatások és eszközök külső felektől való függőségének értékelését, a biztonsági követelmények meghatározását, a felülvizsgálati feljegyzéseket és a nem elfogadható hiányosságokról hozott döntéseket. A nyilvántartásból ki kell derülnie, hogy ki hagyta jóvá a beszállítót, milyen eltéréseket fogadtak el, és mikor esedékes az ismételt értékelés. Különösen a naprakész értékeléssel nem rendelkező beszállítókat és a felülvizsgálatok után nyitva maradt intézkedéseket kell figyelemmel kísérni. A kérdés a NIS2 bevezetése a KSC-jegyzékbe történő bejegyzés után – intézkedési terv 2027. április 3-ig program végrehajtásakor is lényeges.

A megőrzés, a hozzáférés és a módosítások jóváhagyásának szabályait a feljegyzés típusa, bizonyító ereje, a jogi és szerződéses követelmények, valamint az incidenselemzési igények szerint kell differenciálni. Ilyen elemzés nélkül nem célszerű minden nyilvántartásra egységes megőrzési időt meghatározni. Az incidensbejelentési határidőket és a bizonyítékok biztosításának módját minden esetben az alkalmazandó előírások és az illetékes hatóság aktuális útmutatásai alapján kell ellenőrizni. A szükséges anyagok szélesebb körét a NIS2- és KSC-dokumentáció az ellenőrzés előtt: milyen szabályzatokra, nyilvántartásokra és bizonyítékokra van ténylegesen szükség című anyag ismerteti. Az operatív érettséget azonban a napi munkavégzés során keletkező feljegyzések, valamint a követelménytől az ellenőrzési eredményig és a helyesbítő intézkedésig követhető lánc bizonyítja.

A tesztnek dokumentált döntéssel kell zárulnia

A felügyeleti szerv nemcsak az üzletmenet-folytonossági tervet, az incidensreagálási eljárást vagy a biztonsági mentések elkészítésének igazolását kérheti. Annak bizonyítéka is lényeges, hogy ezeket a megoldásokat a tényleges szolgáltatásoknak, technológiáknak és beszállítói függőségeknek megfelelő körülmények között tesztelték. A tesztprogramot a kockázatértékelésből, a szolgáltatás kritikusságából, a környezet változásaiból, valamint a jogi és szerződéses követelményekből kell levezetni. Nincs minden kontrollra egységesen megfelelő vizsgálati gyakoriság. Gyakrabban célszerű tesztelni a nagy hatású, gyorsan változó területeket, illetve azokat, ahol a korábbi tesztek jelentős eltéréseket tártak fel.

Minden teszt előtt meg kell határozni annak tárgyát és elfogadási kritériumait. A feljegyzésnek tartalmaznia kell a hatókört, a forgatókönyvet, a résztvevőket, a környezetet, a sikerességi kritériumokat és a megengedett tűréseket; a végrehajtás után pedig az eredményt, az eltéréseket, valamint a szolgáltatásra gyakorolt tényleges vagy lehetséges hatást. Hiányosság esetén a bizonyítási anyagnak meg kell neveznie a helyesbítő intézkedéseket, azok felelőseit, végrehajtási határidejét és az ismételt ellenőrzés időpontját.

Hasznos mérőszám lehet a tényleges helyreállítási idő, az elért helyreállítási pont, az eszkaláció ideje és a teszt után lezárt intézkedések aránya. Súlyos szervezési hiba, ha a teszteket rendszeresen végrehajtják, de nincsenek sikerkritériumok, vagy a feltárt nemmegfelelőségeket nem zárják le.

A kulcsfontosságú vizsgálatok közé tartozik az adatok biztonsági mentésből történő visszaállítása, a tartalék megoldásra való átkapcsolás, az incidenskezelési gyakorlat, a válságkommunikáció tesztje, a jogosultságok felülvizsgálata, a konfigurációk helyreállítása és a sérülékenységek műszaki vizsgálata, beleértve a sérülékenységvizsgálatot és — a kockázatnak megfelelően — a penetrációs tesztet. A szolgáltató eredménye a bizonyíték részét képezheti, de nem helyettesíti a szervezet saját tesztjét, ha az nem terjed ki annak folyamataira, integrációira, felelősségi rendjére és működési feltételeire.

Minden teszt után a szolgáltatástulajdonosnak dokumentált döntést kell hoznia: elfogadja az eredményt, korrekciót vezet be, kompenzáló kontrollt rendel el, megismétli a vizsgálatot, vagy a kijelölt jogosultságok szerint elfogadja a kockázatot.

Az adatbázis sikeres biztonsági mentése önmagában még nem igazolja a szolgáltatás helyreállíthatóságát. A teszt során kiderülhet, hogy az alkalmazás egy nem dokumentált konfigurációverziót igényel, az identitáskezelési mechanizmus nem működik a tartalék környezetben, a kulcsok nem hozzáférhetők, vagy a komponensek indítási sorrendjét egyedül ismerő munkatárs nem vesz részt a helyreállításban. Csak a teljes függőségi lánc vizsgálata teszi lehetővé a tényleges helyreállítási idő és helyreállítási pont összevetését az elfogadott kritériumokkal, a szolgáltatási hatás értékelését, valamint a felkészültségről vagy a szükséges fejlesztésről szóló döntést.

A tesztek ilyen dokumentálása ágazattól függetlenül fontos, így a NIS2 termelővállalatok számára: kikre vonatkozik, milyen kötelezettségeket vezet be, és hogyan készíthető fel a szervezet anélkül, hogy a kérdést kizárólag IT-feladattá szűkítené témájának vizsgálatakor is. Az elvárt bizonyítékok körét mindig a szervezet kötelezettségeihez, szolgáltatásaihoz és az aktuális jogi környezethez kell igazítani. A legfontosabb az összefüggő lánc: azonosított kockázat, megtervezett teszt, mérhető kritérium, dokumentált eredmény, tulajdonosi döntés és az intézkedések eredményes lezárásának igazolása.

Az ellentmondások növelik az ellenőrzés költségét

A formailag teljes dokumentáció elveszíti értékét, ha nem felel meg a tényleges működésnek. A hatóság összevetheti a szabályzatokban szereplő kijelentéseket a rendszerkonfigurációkkal, hibajegyadatokkal, szerződésekkel, hozzáférési listákkal, vizsgálati eredményekkel, tesztjegyzőkönyvekkel és a folyamattulajdonosok magyarázataival. Nem szövegszerű egyezésre van szükség, hanem arra, hogy a döntés az azonosított kötelezettségtől és kockázattól a bevezetett kontrollon és annak működési feljegyzésén át az eltérésre adott válaszig végigkövethető legyen.

A hatósági eljárást megelőző belső próbaellenőrzésnek tudatosan kiválasztott szolgáltatási, incidens-, beszállítói és jogosultsági mintákból kell kiindulnia, majd a dokumentációtól a forrásadatokig kell haladnia. Így feltárható a nem naprakész eszközjegyzék, ugyanazon szolgáltatás eltérő elnevezése több dokumentumban, a tulajdonos nélküli kockázat, a nyilvántartásból kimaradt incidens, a dokumentált értékelés nélküli beszállító vagy az eredményesség ellenőrzése nélkül lezárt helyesbítő intézkedés. Az eltéréseket a tényállás és a feljegyzés felelősének tisztázásával kell megszüntetni, nem pedig a dokumentumok gyors, felületi egységesítésével.

Egy termelővállalatnál a felülvizsgálat nem állhat meg az irodai informatikai környezetnél. Egy kiválasztott szolgáltatás esetében ki kell terjednie például a karbantartásra, az automatizálásra, a távoli szervizhozzáférésre, a konfigurációkezelésre és a termelési rendszerek közötti függőségekre. Előfordulhat például, hogy a hozzáférési jegyzék nem tartalmazza a szerviztechnikus által használt fiókot, miközben annak létezését a szerződés, a kapcsolati napló és az eszköz konfigurációja egyaránt igazolja. E függőségek jelentőségét részletesebben a NIS2 termelővállalatok számára: kikre vonatkozik, milyen kötelezettségeket vezet be, és hogyan készíthető fel a szervezet anélkül, hogy a kérdést kizárólag IT-feladattá szűkítené című anyag tárgyalja.

Egy irányítási rendszer tanúsítása rendezettebbé teheti a kockázatkezelést, a dokumentált információk szabályozását, az auditokat és a helyesbítő intézkedéseket, de nem helyettesíti a jogi hatály elemzését és a KSC szerinti kötelezettségek végrehajtási bizonyítékait. Ezt a határvonalat a NIS2 és MSZ EN ISO 27001: mit nyújt a tanúsítvány, és mi hiányozhat még a KSC-megfeleléshez? című anyag mutatja be. Egyetlen feljegyzés hiánya nem feltétlenül jelent automatikusan nemmegfelelőséget, de értékelni kell a bizonyíték jelentőségét, a hiány okát és azt, hogy a kontroll működése más hiteles feljegyzésekkel igazolható-e.

Az ellenőrzés költsége elsősorban akkor nő meg, ha a bizonyítékok szétszórtan találhatók, a felhatalmazások nem egyértelműek, és senki sem koordinálja a válaszokat, illetve az átadandó anyagok jóváhagyását. Ilyenkor a csapatok már az ellenőrzés alatt próbálják kézzel egyeztetni az ellentmondó adatokat. A koordinátor, az egyes bizonyítékok felelősei és az eltérések rendezési szabályainak előzetes kijelölése csökkenti a munkaráfordítást és az egymásnak ellentmondó hatósági tájékoztatás kockázatát.

A felkészültséget próbaellenőrzéssel kell igazolni

A belső próbaellenőrzést a szervezet jogállásának, a kötelezettségek alá tartozó szolgáltatások hatályának, valamint a vezetés és a folyamattulajdonosok felelősségének megerősítésével kell kezdeni. Ezt követően a hatósági kapcsolattartás koordinátorának olyan megfelelőségi mátrixot célszerű készítenie, amely minden kötelezettséget felelőshöz és bizonyítékhoz rendel. Csak ezután következhet a feljegyzések mintavételes vizsgálata, a felelősökkel folytatott interjú és egy kiválasztott incidens vagy teszt teljes folyamatának rekonstruálása. A koordinátori szerepet olyan személyre érdemes bízni, aki közvetlenül eléri a vezetést és képes az eltérések rendezésére, ugyanakkor nem veszi át a bizonyítékok szakmai tulajdonosainak felelősségét.

Minden kötelezettség gazdájának meg kell tudnia nevezni:

• a működési módot meghatározó felső szintű dokumentumot,
• a kötelezettség végrehajtását igazoló feljegyzést,
• az alkalmazott kontroll eredményességi mutatóját,
• a legutóbbi felülvizsgálat alapján meghozott döntést.

Bármelyik elem hiánya megszakítja a bizonyítási láncot. Az incidenskezelési eljárás önmagában nem elegendő, ha a szervezet nem tudja bemutatni az esemény nyilvántartását, a reakcióidőt, a hatásértékelést, a gyökérokelemzés eredményét és a kontrollok módosításáról hozott döntést. Az eset rekonstruálása azt is megmutatja, hogy a munkatársak magyarázatai összhangban vannak-e a feljegyzésekkel és a tényleges eseményekkel.

A próbának az ellenőrzés logisztikájára is ki kell terjednie: a megkeresés fogadására és nyilvántartásba vételére, a válasz határidejének és felelősének meghatározására, az anyagok jóváhagyására, az érzékeny információk védelmére, az átadott verziók azonosítására és a hatósággal tett megállapodások dokumentálására. Célszerű olyan helyzetet is gyakorolni, amelyben a kért feljegyzés az ellenőrzés tárgyán túlmutató adatokat tartalmaz, vagy a helyes értelmezéshez kiegészítő magyarázat szükséges. Ez előre tisztázza, hogy ki dönt a közlés terjedelméről, és hogyan őrzi meg a szervezet az anyagok átadásának nyomát.

A helyreállítási tervben a hiányosságokat a szolgáltatásra gyakorolt hatás, a jogi kitettség, a feltárás valószínűsége és a hiteles eredményességi bizonyíték megszerzéséhez szükséges idő alapján kell rangsorolni — nem pedig aszerint, hogy mennyire egyszerű újabb eljárást írni. A vezetés hagyja jóvá a prioritásokat, az erőforrásokat és az elfogadható kockázati szintet. Egy intézkedés csak a kontroll ismételt ellenőrzése után zárható le.

Az ütemezést a szervezet tényleges jogállásából, a hatósági levelezésből és a hatályos szabályozásból kell levezetni. A státusz megállapítását követően az elemzést a NIS2: önértékelés és bejegyzés a KSC-jegyzékbe – mit kell tennie egy termelővállalatnak? és a NIS2 bevezetése a KSC-jegyzékbe történő bejegyzés után – intézkedési terv 2027. április 3-ig című anyagok egészíthetik ki. Az ezekben szereplő határidőket és kötelezettségeket minden esetben az aktuális jogszabályi állapot alapján kell megerősíteni.