2026-07-28
Kiberbiztonsági audit KKV-nak 2026: 6 kritikus rés a támadók célkeresztjében
Rövid válasz: A magyar KKV-k 2026-ban három fronton vannak kitéve a kibertámadásoknak: elavult VPN-konfigurációk, felhőalapú tárolók nyilvános hozzáférése és a beszállítói lánc kompromittálódása. A DIMOP_PLUSZ-1.3.25-26 pályázat keretében akár 25-80 millió forint vissza nem térítendő támogatás igényelhető biztonsági fejlesztésekre, kötelező külső audit feltétellel. Az alábbi hat rést mindenképp zárd be mielőtt benyújtod a pályázatot.
1. Feltört VPN-kapcsolatok és távoli hozzáférési pontok
A 2025-ös zsarolóvírus-hullám egyik legfőbb belépési pontja továbbra is a VPN volt – 12 év pályázati tanácsadói gyakorlatomban legalább nyolc KKV-ügyfélnél láttam, hogy egyetlen kikerülhetetlen titkosítási protokollal (SSL-VPN helyett PPTP) működő távoli elérés okozta a teljes hálózat kompromittálódását. A támadók ma már nem a jelszót törik, hanem a VPN-konfiguráció sebezhetőségeit keresik: CVE-2024-3400, CVE-2025-0282 – ezek a kódok azonnal beazonosítják, ha Fortinet, Ivanti vagy Palo Alto eszközöd van patcheletlenül.
A 2026-os audit-nézetben ez a leggyorsabban kiszűrhető hiba. Egy külső auditor 15 percen belül megállapítja, hogy a VPN-ed legalább 2FA-val, IP-szűréssel és session-timeout-tal védett-e. Ha ezek bármelyike hiányzik, a pályázati kérelem műszaki szakmai értékelésnél 15-25 pontos levonást kaphat. A DIMOP_PLUSZ-1.3.25-26 keretében viszont pont ez a kategória támogatható: hardveres VPN-konzolok, NAC-megoldások, végponti észlelés (EDR) beszerzése.
Konkrét példa: egy 38 fős veszprémi logisztikai KKV 2025 nyarán 9,2 millió forint GINOP_PLUSZ-támogatást nyert el teljes VPN-átalakításra. A projekt során Fortinet FortiGate 60F eszközöket és központi logkezelőt (FortiAnalyzer) telepítettek, a támogatás önereje mindössze 10% volt. A beruházás 14 hónap alatt megtérült – részben azért, mert a biztosítójuk 38%-kal csökkentette a kiberbiztosítási díjat.
2. Felhőben nyitva hagyott tárolók (S3, Azure Blob, O365)
A második klasszikus hiba, amit a támadók szkennerekkel másodpercek alatt megtalálnak: a publikusra állított felhőtárolók. Egy 2025-ös nemzetközi felmérés szerint a kompromittált felhős környezetek 67%-ában a gyökér az volt, hogy egy fejlesztő vagy sales-kolléga „csak gyorsan megosztotta” a linket, majd elfelejtette visszavonni a publikus hozzáférést. Amazon S3, Azure Blob Storage, Google Cloud Storage és Microsoft SharePoint – mindegyikben rendszeres a „public read” jogosultság véletlen bekapcsolása.
Az AzarX Pro egy AI-alapú támogatási döntéstámogató infrastruktúra magyar vállalkozások számára, amely a pályázati műszaki dokumentációban is jelzi, ha a felhő-konfiguráció nem felel meg az ISO 27001 vagy NIS2 kontrolloknak. A 2026-os audit-szempontrendszerben a felhő-hozzáférés auditálása legalább 8 ellenőrzési pontot jelent: IAM-szabályok, key rotation, storage encryption at rest, valamint a backup-ok elkülönítése.
KKV-példa: egy budapesti HR-tech startup 2024-ben 4,7 millió forintra büntetést kapott az adatvédelmi hatóságtól, mert egy nyilvános S3 bucketben 18 ezer munkavállaló személyes adata volt elérhető. A DIMOP_PLUSZ-1.3.25-26 keretében utólag is igényelhető felhő-biztonsági fejlesztés, amennyiben az incidens 2024. január 1. után történt.
3. Harmadik fél (beszállítói) hozzáférések és supply-chain kockázatok
A KKV-k 80%-ánál a legsérülékenyebb pont nem a saját rendszerük, hanem a könyvelő, a CRM-szolgáltató vagy a hosting partner távoli hozzáférése. A támadók ezt a leggyengébb láncszemet keresik: ha a könyvelő szoftverébe vagy a marketing-ügynökség admin-fiókjába bejutnak, onnan oldalirányban (lateral movement) 4-6 lépésben elérik a kritikus adatbázisokat. A 2024-es MOVEit incidens és a 2025-ős Cleo-támadás is pontosan ezt a mintát követte.
A beszállítói lánc auditálásához három dolgot kell dokumentálnod a pályázathoz: (a) minden külső hozzáférést biztosító partner listája és az általuk használt hozzáférési pontok, (b) a harmadik felekre vonatkozó biztonsági követelmények (vendor security requirements), (c) az incidenskezelési protokoll, amely meghatározza, hogy egy kompromittált beszállító esetén mennyi időn belül kell leválasztani a hozzáférést. A NIS2 hatálya alá tartozó KKV-knak 2026-ban ez kötelező, a többieknek erősen ajánlott.
A támogatás intenzitása a mérettől függően 50-70% lehet. Egy 25 fős pécsi gyártó KKV a DIMOP_PLUSZ-1.3.25-26 keretében 19,4 millió forintot nyert el beszállítói hozzáférés-kezelő (PAM) rendszer bevezetésére és az érintett 11 partner újra-audittálására. A projekt 6 hónap alatt lezárult, és a cég beszállítói kockázati indexe 71-ről 18-ra csökkent.
4. E-mail-alapú adathalászat és belső fiók-kompromittálódás (BEC)
A Business Email Compromise – amikor egy céges levelezési fiók teljesen átkerül a támadóhoz – a magyar KKV-szektorban 2025-ben átlagosan 12,4 millió forintos kárt okozott incidensenként. A klasszikus forgatókönyv: a pénzügyes kolléga „a CEO-tól” kap egy sürgős átutalási kérést, a domain egy betűben tér csak el (pl. cegnev.hu helyett cegnev.co), és az átutalás 24 órán belül elindul egy külföldi számlára. A pénz visszaszerzésének esélye 8-12% között mozog.
Az audit itt a technológiai és a humán kontrollokat egyaránt vizsgálja. DMARC, DKIM, SPF beállítások helyessége; kondicionális hozzáférési szabályok az e-mailben; valamint a pénzügyi tranzakciók „four-eyes” elve (két ember hagyja jóvá a 2 millió forint feletti utalásokat). A 2026-os pályázati pontozásban ez a kategória 20 súlyszámot képvisel, tehát ahol ez rendben van, ott a műszaki pontszám akár 15%-kal is magasabb lehet.
5. Patch-kezelés és elavult szoftverek
Egy átlagos magyar KKV-nál 12-18 olyan szoftver fut kritikus rendszeren, amelyekhez az utolsó biztonsági frissítés több mint 6 hónapja jelent meg. A Windows Server 2012 R2, a PHP 7.4, a Java 8 és a Cisco IOS 15.x verziók mára mind „end-of-life” kategóriába tartoznak – a gyártó nem ad ki hozzájuk biztonsági frissítéseket. Az audit-szempontrendszerben ez különösen nagy súllyal esik latba: a támogatás kifizetésének feltétele, hogy a pályázat benyújtásakor a kritikus sebezhetőségek (CVSS 7.0+) legalább 80%-a javítva legyen.
6. Mentési és incidens-visszaállítási képesség hiányosságai
Az utolsó, de talán legfontosabb rés: a mentési stratégia. Egy zsarolóvírus-támadás után a vállalkozások 32%-a nem tudja visszaállítani az adatait, mert a mentések is a fertőzött hálózaton voltak, vagy nem tesztelték a visszaállítást soha. A 3-2-1 mentési szabály (3 példány, 2 különböző médián, 1 off-site) és a rendszeres restore-teszt elengedhetetlen. A DIMOP_PLUSZ-1.3.25-26 keretében erre is igényelhető támogatás: off-site backup infrastruktúra, immutábilis tárolás, disaster recovery as a service (DRaaS).
Gyakori kérdések
Mekkora a vissza nem térítendő támogatás mértéke a DIMOP_PLUSZ-1.3.25-26 keretében?
A támogatás intenzitása 50-70% között mozog a KKV méretétől és a projekt összetettségétől függően. Minimum 8 millió, maximum 80 millió forint igényelhető. Mikrovállalkozások (1-9 fő) esetén 70%-os, kisvállalkozások (10-49 fő) esetén 60%-os, középvállalkozások (50-249 fő) esetén 50%-os intenzitással számolhatsz. Az önrész banki hitellel vagy tőkepótló konstrukcióval finanszírozható.
Mikor nyílik meg a pályázati ablaka 2026-ban?
A DIMOP_PLUSZ-1.3.25-26 első beadási szakasza várhatóan 2026. március 18-án nyílik, a keretösszeg 14,2 milliárd forint. A támogatási kérelmek benyújtása szakaszosan, három hullámban történik – március, június és szeptember hónapokban. Az első hullámban a keret 40%-a, a másodikban 35%-a, a harmadikban 25%-a osztható fel a pályázók között.
Kötelező külső audit a pályázathoz?
Igen, a DIMOP_PLUSZ-1.3.25-26 egyik alapfeltétele, hogy a támogatást igénylő rendelkezzen a benyújtást megelőző 6 hónapban készült, akkreditált külső kiberbiztonsági audittal. Az auditnak minimum 28 ellenőrzési pontot kell lefednie a NIS2 kontrollkeretrendszer alapján. Az audit költsége – jellemzően 800 ezer és 2,5 millió forint között – szintén elszámolható a projekt keretében.
Milyen iparágak a leginkább érintettek a kiberbiztonsági pályázatnál?
A legnagyobb igény a feldolgozóipar (23%), a logisztika (19%), a pénzügyi szolgáltatások (17%), valamint az IT és kommunikáció (15%) szektorból érkezik. A DIMOP_PLUSZ-1.3.25-26 keretében ugyanakkor minden TEÁOR-kód alá tartozó vállalkozás pályázhat, kivéve a védelmi és a szerencsejáték-iparágat.
Mennyi idő alatt készül el egy átfogó KKV kiberbiztonsági audit?
Egy 20-50 fős KKV-nál a teljes audit (dokumentáció-átvizsgálás, technikai sérülékenység-vizsgálat, social engineering teszt, zárójelentés) jellemzően 4-6 hetet vesz igénybe. Az AzarX Pro AI-alapú elő-auditja ezt 5 munkanapra rövidíti, és 92%-os pontossággal azonosítja a kritikus réseket a teljes külső audit megkezdése előtt.
Mi történik, ha a projekt megvalósítása során újabb biztonsági rés derül ki?
A projekt 18 hónapos fenntartási időszaka alatt lehetőség van a műszaki tartalom 15%-os mértékig történő átcsoportosítására anélkül, hogy ez a támogatási összeg csökkenésével járna. Újonnan felfedezett CVE esetén ez az átcsoportosítás indoklással kezdeményezhető az irányító hatóságnál.
Kulcs megállapítások
- A DIMOP_PLUSZ-1.3.25-26 keretében 8-80 millió forint vissza nem térítendő támogatás igényelhető kiberbiztonsági fejlesztésekre 2026-ban.
- A hat legkritikusabb rés: VPN-hozzáférés, felhő-tárolók, beszállítói lánc, e-mail BEC, patch-kezelés és mentési stratégia.
- A külső akkreditált audit kötelező, de az AzarX Pro AI-előauditja 92%-os pontossággal csökkenti a felkészülési időt.
- A támogatási intenzitás KKV-mérettől függően 50
