2026-os kiberbiztonsági audit KKV-knak: öt kritikus rés

Egy KKV-nál a leggyengébb láncszem 2025-ben a végpontok és a távoli elérés: az ENISA Threat Landscape 2025 jelentése szerint a kezdeti hozzáférés 38 százalékát ellopott vagy gyenge VPN-jelszó, illetve nem frissített távoli asztal-szolgáltatás adja. A Microsoft 365 és a Google Workspace elterjedtsége miatt a támadók már nem a levelezőszervert törik, hanem a dolgozói fiók felett szereznek ellenőrzést, és onnan lépnek tovább a belső hálózatra. Az audit első lépése ezért a távoli hozzáférés minden csatornájának leltára, MFA-kötelezettséggel.

A gyakorlati minimum: hardveres token vagy push-alapú MFA minden rendszergazdai és távoli fiókra, jelszókezelő a felhasználóknak, a távoli asztal 25-ös portjának zárolása a nyilvános internetről, valamint a végpontokon központi EDR (végponti észlelő és reagáló) szoftver. Az ISO/IEC 27001 A.8.1 és A.8.16 kontrollpontjai pontosan ezt írják elő, a 2024. évi kiberbiztonsági törvény 11. §-a pedig a kritikus szolgáltatók beszállítóitól is elvárja. So what: ha a távoli hozzáférés nincs auditálva, a NIS2 szerinti beszállítói minősítés 2026-ban nem szerezhető meg.

A zsarolóvírus 2025-ben már nem csak titkosít: a Sophos State of Ransomware 2025 szerint az incidensek 96 százalékában a támadó megpróbálja a mentést is elérhetetlenné tenni vagy törölni. A pécsi logisztikai cég esete tipikus: a mentés ugyanazon a NAS-on futott, amelyet a támadó a belső hálózaton keresztül elért. A 3-2-1 szabály (3 példány, 2 különböző adathordozón, 1 fizikailag elkülönített helyszínen) ma már nem elég — a mentést kriptográfiailag is ellenőrizni kell, és a visszaállítást legalább negyedévente tesztelni kell dokumentáltan.

Az NKI 2025-ös mentési útmutatója immár kifejezetten kéri a „tesztelt visszaállítás” bizonyítékát: időbélyeg, visszaállított adatmennyiség, RTO/RPO (helyreállítási idő- és adatvesztési cél) érték. Az audit során nem a mentés meglétét, hanem a visszaállítási gyakorlat jegyzőkönyvét kérik számon. So what: felhőalapú, immutable (nem módosítható) mentési tároló AWS S3 Object Lock vagy Azure Blob Immutable Storage szolgáltatással 2026-ra alapelvárás a 30+ fős KKV-knál.

A NIS2 implementációt segítő ENISA-útmutató 2025-ös frissítése kiemeli: a sikeres KKV-támadások 68 százaléka adathalász e-mailből indul, és a célpontok 23 százaléka 60 másodpercen belül rákattint a linkre. A képzés önmagában nem elég — az audit mérhető viselkedést kér: szimulált phishing kampány, százalékos kattintási arány, jelentési arány. A KnowBe4, az AhaCy vagy a Hoxhunt magyarországi partnerein keresztül 50-150 dollár/fő/év költséggel mérhető a haladás.

A második védelmi vonal a technológia: DMARC, DKIM és SPF rekordok az e-mail tartományon, valamint a Microsoft Defender for Office 365 vagy a Google Workspace Phishing Protection bekapcsolása. Az ISO/IEC 27001 A.8.23 kontrollpontja a webes szűrést is előírja. So what: a phishing-ellenállás auditálható mérőszáma a „jelentési arány” — ha a dolgozók 10 százaléka sem jelenti a gyanús levelet, az audit piros jelzést ad.

A jogosultság-kezelés a KKV-knál jellemzően kaotikus: a dolgozó 4 év után is megőrzi a volt beszállítói hozzáférést, a rendszergazda jelszava 2019 óta nem változott. Az audit itt konkrét bizonyítékot kér: hozzáférési lista, utolsó jelszócsere dátuma, multi-factor auth állapota. A NIST SP 800-53 AC-2 kontroll és az ISO/IEC 27001 A.5.16 azonos logikát követ: a legkisebb jogosultság elve és annak dokumentált felülvizsgálata.

A patch-kezelés 2026-ban a CISA KEV (Known Exploited Vulnerabilities) katalógusára épül: az aktívan kihasznált sebezhetőségeket 14 napon belül kell javítani. Egy 50 fős cégnél ez automatizálható a Microsoft Intune, a ManageEngine Endpoint Central vagy a NinjaOne eszközzel, havi 4-12 ezer forint/fő költséggel. A patch-késedelem auditmutatója: kritikus CVE-k 14 napon túli jelenléte a végpontok 5 százalékánál. So what: a jogosultság-audit egyetlen táblázatot kér — és ha az nem létezik, a NIS2-beszállítói minősítés megbukik.

A NIS2 irányelv (EU 2022/2555) 2024. október 18. óta alkalmazandó, a magyar szabályozás a 2024. évi kiberbiztonsági törvényben implementálódott. Az irányelv 21. cikke a létfontosságú és fontos szervezetek beszállítóira is kiterjeszti az alapvető kiberbiztonsági követelményeket — tehát egy 30 fős KKV is érintett, ha kritikus szolgáltatónak (energia, közlekedés, egészségügy, digitális infrastruktúra) szállít. Az audit itt nemzeti szinten az NKI önkéntes keretrendszerére támaszkodik, amely 2025-ben 18 kontrollterületet és 81 szubkontrollt tartalmaz.

A gyakorlatban a NIS2-audit 2026-ban három dolgot kér írásban: incidensjelentési eljárás (24 órás előzetes értesítés az NKI-nak), kockázatkezelési terv (dokumentált, évente felülvizsgált), és az alapvető intézkedések (higiéniai kontrollok) teljesítésének bizonyítéka. A SZTFH mint nemzeti kiberbiztonsági hatóság 2026-tól várhatóan piacfelügyeleti ellenőrzéseket is végez. So what: a NIS2-audit nemzeti certifikáció nélkül is működik, ha az önkéntes keretrendszer teljesül — de a beszállítói szerződések 2026-ban már kérik az igazolást.

Az audit első két hete a leltár és a hatókör meghatározása: eszközök, fiókok, külső kapcsolatok, adatfolyamok. A 3-6. hét a technikai felmérés — MDM/EDR-telepítés, mentési visszaállítási teszt, phishing-szimuláció, jogosultság-lista kinyerése. A 7-10. hét a dokumentáció: kockázatkezelési terv, incidenskezelési eljárás, mentési jegyzőkönyvek. A 11-12. héten az auditor független felülvizsgálatot végez, és kiadja a megfelelőségi jelentést.

A költségkeret 2025-ös piaci árakon: külső auditori napidíj 280-450 ezer forint + áfa, belső csapat 4-8 hetes részmunkaidős ráfordítása, valamint az eszközbérlés (EDR, MDM, mentési tárhely) 80-180 ezer forint havonta. Az NKI által ajánlott önkéntes keretrendszer használata 30-50 százalékkal csökkenti a tanácsadói napokat. So what: a 8-12 hetes terv nem sprint, hanem üzem — a siker kulcsa a belső tulajdonosi felelős kijelölése, aki heti szinten számonkéri az előrehaladást.