Ellátási lánc biztonsága — a lánc a leggyengébb láncszemnél szakad
A támadás gyakran nem nálad kezdődik, hanem a gyengébb beszállítódon át jön be. A NIS2 ezért nem engedi, hogy a felelősséget kiszervezd: elvárja, hogy a partnereid kockázatát is felmérd és kezeld. Ez a modul megmutatja, hogyan listázod és kategorizálod a beszállítóidat kritikusság szerint, mit köss ki szerződésben, és hogyan tartsd kézben a partner-hozzáféréseket — egy kis cégnél is, túlbonyolítás nélkül.
Mi az ellátási lánc biztonsága?
Az ellátási lánc biztonsága azt jelenti, hogy nem csak a saját házad táját nézed, hanem azokét is, akik bejárnak hozzád: a beszállítóidat, az IT-szolgáltatódat, a könyvelődet, az alvállalkozóidat. Egy lánc mindig a leggyengébb láncszemnél szakad el — és a támadók pontosan ezt használják ki: ha hozzád nehéz bejutni, megkeresik a gyengébben védett partneredet, és rajta keresztül érkeznek.
A digitális világban a „kulcs" egy hozzáférés a rendszeredhez: az IT-cég távolról rácsatlakozik a szervereidre, a könyvelő látja a pénzügyi adataidat, a webáruház-üzemeltető hozzáfér a vásárlóid adataihoz. Mindegyik egy-egy láncszem. Ha bármelyiküket feltörik — vagy náluk hanyagul kezelik a hozzáférést —, az a te adataidat és működésedet is veszélybe sodorja. Az ellátási lánc biztonsága arról szól, hogy ezt tudatosan kezeld: tudd, kik a partnereid, melyikük mennyire kritikus, és hogyan tartod kordában, mihez férnek hozzá.
Miért NIS2-szempont?
A NIS2 egyik leghangsúlyosabb újdonsága éppen az ellátási lánc: a szabályozás kifejezetten elvárja, hogy a beszállítóid és partnereid kiberkockázatát is felmérd és kezeld, méghozzá a beszállítók közvetlen kapcsolataira is kiterjedően. A felelősséget nem lehet kiszervezni — a kár nálad csapódik le, így a megelőzés is a te dolgod.
Mi ez?
A beszállítói és partner-kockázat tudatos kezelése: felméred, kik férnek a rendszereidhez és adataidhoz, kategorizálod őket kritikusság szerint, szerződésben rögzíted a biztonsági elvárásokat és az incidens-értesítést, korlátozod és visszavonod a hozzáféréseket. A kimenete egy karbantartott beszállító-nyilvántartás.
Miért NIS2-kötelező elem?
A NIS2-t átültető szabályozás kifejezetten elvárja az ellátási lánc kockázatának kezelését — a beszállítók közvetlen kapcsolataira is kiterjedően. Ez nem pótlólagos extra: a kockázatkezelési intézkedések egyik nevesített eleme. A pontos elvárás a szervezet érintettségétől függ; az értelmezés mindig egyedi.
Hogyan segít?
Ha tudod, ki mihez fér hozzá, és a kritikus partnereknél elvárásokat is kötöttél ki, akkor egy beszállítói incidens nem ér készületlenül: tudod, kit érint, és gyorsan le tudod zárni a hozzáférését. Egyúttal bizonyíthatóvá teszi, hogy felmérted a lánc kockázatát — egy auditnál pontosan ezt kérik majd számon.
Mi felkészítünk, nem mi auditálunk. Ez az oldal általános tájékoztatás, nem jogi tanácsadás és nem hatósági állásfoglalás. A kötelező, független megfelelőségi auditot a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) által nyilvántartásba vett auditor végzi, külön díjért — ezt nem helyettesítjük. A jogszabályi adatok a tájékoztatás időpontjában (2026. június) hatályos állapotot tükrözik.
Hogyan mérd fel a beszállítóid kockázatát? — öt lépés
Nem kell hozzá drága rendszer; egy táblázattal és némi józan ésszel el lehet kezdeni. A lényeg, hogy tudd, kik a partnereid, melyikük mennyire kritikus, és mit vársz el tőlük — és hogy mindezt le is írd.
Beszállítók és partnerek listázása
Nem véded, amiről nem tudsz. Vedd számba, kik férnek hozzá a rendszereidhez, adataidhoz vagy folyamataidhoz: IT-szolgáltató, könyvelő, webáruház-üzemeltető, felhőszolgáltató, alvállalkozók, freelancerek. Mindenki, akinek „kulcsa" van a házadhoz, felkerül a listára.
Kategorizálás kritikusság szerint
Rangsorold a partnereket aszerint, mekkora kárt okozna, ha náluk történik baj: kritikus (leállítaná a működésed vagy érzékeny adataidhoz fér), fontos, alacsony kockázatú. A figyelmedet és az elvárásaidat a kritikus partnerekre fókuszáld — nem mindenkivel kell ugyanúgy bánni.
Szerződéses biztonsági elvárások
A kritikus partnereknél rögzíts szerződésben minimális biztonsági elvárásokat és incidens-értesítési kötelezettséget: mit kell betartaniuk, és mennyi időn belül kell szólniuk, ha náluk olyan incidens történik, ami téged érinthet. A harmadik felek értesítési kötelezettsége nélkül egy beszállítói baj akár hetekig láthatatlan marad neked.
Hozzáférések korlátozása és visszavonása
Adj a partnernek csak annyi hozzáférést, amennyi a munkájához kell (ez a legkisebb jogosultság elve), saját, névre szóló belépéssel — ne közös jelszóval. A megbízás végén a hozzáférést azonnal vond vissza. A nyitva felejtett partner-fiók az egyik leggyakoribb belépő egy támadónak.
Nyilvántartás és rendszeres felülvizsgálat
Vezesd a beszállítóidat egy beszállító-nyilvántartásbanBeszállító-nyilvántartás: élő lista a partnerekről. Soronként egy beszállító, oszlopaiban a kritikussági besorolás, a hozzáférés köre, a szerződéses elvárások és a kapcsolattartó. A Szabályzat-csomag NYV-04 sablonja erre való. —, és vizsgáld felül legalább évente, illetve minden új partner belépésekor vagy egy kilépő partner távozásakor. A lista nem alszik el: a friss, frissen felvett partnerek a legkönnyebben felejtődnek el.
Ha mélyebbre ásnál
Az alábbiak a beszállítói kapcsolatokért és az IT-ért felelős kollégának szólnak — a laikus olvasó nyugodtan átugorhatja, az elv megértéséhez nem szükséges.
A NIS2 jogi alapja — mit ír elő pontosan?
Beszállítói átvilágítás és bizonyítékok (due diligence)
Technikai láncszem-kockázatok: szoftverfüggőségek és frissítés
Gyors önellenőrzés
Három kérdés, amit ma fel tudsz tenni magadnak — nincs eszköz, nincs regisztráció. Ha bármelyikre „nem" vagy „nem tudom" a válasz, ott van a következő lépésed.
1 · Beszállító-lista
Van-e leírt listátok arról, kik férnek hozzá a rendszereitekhez és adataitokhoz (IT-cég, könyvelő, üzemeltető, alvállalkozók)? Ha csak fejből tudjátok, akkor még nincs ellátásilánc-kezelés.
2 · Szerződéses elvárás
A kritikus partnereitekkel kötöttetek-e ki biztonsági elvárást és incidens-értesítést? A „bízunk benne, hogy szólnak, ha baj van" nem elvárás — a kötelezettséget le kell írni.
3 · Hozzáférés-visszavonás
Amikor egy partnerrel véget ér a munka, visszavonjátok-e azonnal a hozzáférését? Ha vannak évek óta nyitva felejtett külső fiókok, az kész belépő egy támadónak.
Gyakori tévhit
„A biztonság a szolgáltató dolga — én kiszerveztem, tehát az ő felelőssége."
A feladatot ki lehet szervezni, a felelősséget nem. Ha a beszállítódon keresztül ér támadás, a kár nálad csapódik le: a te adataid szivárognak, a te működésed áll le, és téged kérnek számon az ügyfeleid meg a hatóság. A NIS2 ezért kifejezetten elvárja, hogy a beszállítóid kockázatát is kezeld — a partnerek kiválasztása, a szerződéses elvárások és a hozzáférések kézben tartása mind a te dolgod marad. A kiszervezés a munkát viszi át, a számonkérhetőséget nem.
GYIK az ellátási lánc biztonságáról
Megvan az elv - melyik láncszemetek a leggyengébb?
A beszállító-nyilvántartás felépítése és a szerződéses elvárások szervezeti munka, amit magadnak kell elvégezned — de a technikai láncszemeid egy részét (kitett bejelentkező felületek, hiányzó biztonsági fejlécek, gyenge konfiguráció) egy ingyenes szivárgás-audit pár perc alatt megmutatja, konkrétan a saját domained alapján. Jó kiindulópont a lánc gyenge pontjainak felméréséhez.