Fenntartás — a PDCA-ciklus
A megfelelőség nem projekt, hanem ciklus: tervezz, valósíts meg, ellenőrizz, javíts — évente újra. Egy egyszeri felkészülés eredménye fél év múlva már elavult kép; a kockázatok, a technológia és a szabályok folyamatosan változnak. Ez a modul megmutatja, hogyan tartod életben a megfelelőséget a PDCA-ciklussal, élő szabályzatokkal és a hatékonyság mérésével — egy kis cégnél is, túlbonyolítás nélkül.
Mi a fenntartás?
A fenntartás azt jelenti, hogy a megfelelőséget nem egyszer „letudod", hanem életben tartod. Felkészülni nem olyan, mint felépíteni egy falat, amit aztán békén hagysz — inkább olyan, mint karbantartani egy élő rendszert. A világ körülötted változik: új programokat vezetsz be, új beszállítókkal dolgozol, megjelennek új fenyegetések. Ha a védelmed nem mozdul velük, lassan elavul. Ezért a megfelelőség nem projekt, hanem ciklus: tervezz, valósíts meg, ellenőrizz, javíts — és kezdd elölről.
A gyakorlatban ez egy ismétlődő kört jelent. Először megtervezed, mire van szükség (mi a kockázat, milyen intézkedés kell). Aztán megvalósítod — tényleg bevezeted, nem csak papíron. Majd ellenőrzöd: működik-e, amit beállítottál, tényleg csökken-e a kockázat. Végül javítasz azon, ami nem vált be, és frissíted a dokumentumaidat. Ezután kezdődik elölről — jellemzően évente. A buktató, ha a felkészülést egyszeri projektnek hiszed: a fiókba tett szabályzat fél év múlva már nem írja le, hogyan működtök valójában.
Miért NIS2-szempont?
A NIS2 nem egy egyszeri vizsga, amit leteszel és kész. A megfelelőség folyamatos kötelezettség: nemcsak bevezetni kell az intézkedéseket, hanem mérni is a hatékonyságukat, és a vezetésnek rendszeresen felül kell vizsgálnia az egészet. Ezért a fenntartás — a PDCA-ciklus működtetése — nem extra, hanem a megfelelőség természetes állapota.
Mi ez?
Ismétlődő irányítási kör (PDCA): tervezel, megvalósítasz, ellenőrzöl és javítasz, majd újrakezded. A kimenete élő dokumentumrendszer (szabályzatok, kockázati regiszter) és a hatékonyság mérésének nyilvántartása — nem egy lezárt projektmappa.
Miért NIS2-kötelező elem?
A NIS2-t átültető szabályozás folyamatos megfelelőséget, a hatékonyság mérését és a vezetői felülvizsgálatot várja el. A pontos elvárás a szervezet érintettségétől függ — itt szándékosan nem idézünk konkrét paragrafust; az értelmezés mindig egyedi.
Hogyan segít?
Ha ciklusban dolgozol, a védelmed együtt mozog a valós kockázataiddal, nem avul el két audit között. Egyúttal bizonyíthatóvá teszi, hogy a megfelelőség él: dátumozott, verziózott szabályzatok és mérési eredmények mutatják, mikor és mit tettél.
Mi felkészítünk, nem mi auditálunk. Ez az oldal általános tájékoztatás, nem jogi tanácsadás és nem hatósági állásfoglalás. A kötelező, független megfelelőségi auditot a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) által nyilvántartásba vett auditor végzi, külön díjért — ezt nem helyettesítjük. A jogszabályi adatok a tájékoztatás időpontjában (2026. június) hatályos állapotot tükrözik.
A PDCA-ciklus — négy fázis, évente újra
A PDCA (Plan-Do-Check-Act, azaz Tervezz-Valósíts meg-Ellenőrizz-Javíts) egy egyszerű, ismételhető kör. Nem kell hozzá drága rendszer; a lényeg, hogy a négy fázis tényleg körbeérjen, és legalább évente — vagy nagyobb változáskor — újrainduljon.
Plan — tervezz
Frissítsd a kockázatértékelést, és határozd meg, milyen intézkedések kellenek. Minden ponthoz tartozzon cél, felelős és határidő. A terv válaszol arra: mit akarunk elérni, és miből tudjuk majd, hogy sikerült.
Do — valósítsd meg
Vezesd be a tervezett intézkedéseket a gyakorlatban: konfiguráció, eljárás, munkatársak oktatása, dokumentáció. Itt dől el, hogy a szabályzat élő gyakorlat lesz-e, vagy csak egy fiókba tett papír. Ne csak leírd — csináld is meg.
Check — ellenőrizz
Mérd a hatékonyságot: néhány egyszerű mutató (KPI), egy belső auditBelső audit: saját, rendszeres ellenőrzés, amely megnézi, hogy az intézkedések a leírt módon működnek-e a gyakorlatban. Nem ugyanaz, mint a hatósági/független megfelelőségi audit. vagy a kockázatok újramérése. Tényleg működik, amit bevezettél? Például: hány gépen van bekapcsolva az MFA, sikerül-e visszaállítani a mentést, mennyi idő alatt javítjátok a kritikus hibákat.
Act — javíts
Az ellenőrzés tanulságai alapján korrigálj: javítsd, ami nem vált be, és frissítsd a szabályzatokat meg a kockázati regisztert. Ez zárja vissza a kört a tervezésbe — és ezért nem áll meg soha a folyamat, csak újraindul.
Két dolgot tarts észben a ciklus körül. Először: az éves felülvizsgálat nem elhagyható — legalább évente (vagy nagyobb változáskor: új rendszer, beszállító, incidens) a vezetés tekintse át az egészet. Másodszor: a szabályzatok élő dokumentumok. Mindegyiken legyen dátum, verziószám és jóváhagyás, hogy bizonyítható legyen, mikor és ki nézte át utoljára. A hatékonyság mérésének eredményeit pedig vezesd külön nyilvántartásban (a Szabályzat-csomag NYV-06 mérési nyilvántartása) — ez köti össze a élő szabályzatokat a bizonyítható működéssel.
Ha mélyebbre ásnál
Az alábbiak a megfelelőségért felelős kollégának szólnak — a laikus olvasó nyugodtan átugorhatja, az elv megértéséhez nem szükséges.
A NIS2 mint folyamatos kötelezettség
KPI-ok és a hatékonyság mérése
Belső audit, vezetői felülvizsgálat és a PDCA gyökerei
Gyors önellenőrzés
Három kérdés, amit ma fel tudsz tenni magadnak — nincs eszköz, nincs regisztráció. Ha bármelyikre „nem" vagy „nem tudom" a válasz, ott van a következő lépésed.
1 · Élő dokumentumok
Van-e a szabályzataitokon dátum, verziószám és jóváhagyás, és frissültek-e az elmúlt évben? Ha egy dokumentumon sincs dátum, vagy egyik sem mozdult, valószínűleg már nem azt írja le, ahogy ténylegesen működtök.
2 · Mérés
Mértek-e bármilyen mutatót a védelem működéséről (pl. MFA-lefedettség, mentés-visszaállítás, javítási idő)? Ha csak annyit tudtok, hogy „be van vezetve", de hogy működik-e, azt nem, akkor a Check-fázis hiányzik.
3 · Éves felülvizsgálat
Volt-e az elmúlt egy évben vezetői átnézés a kockázatokról és a szabályzatokról? Ha az utolsó komoly áttekintés a felkészülés óta nem ismétlődött meg, a ciklus megállt — és a megfelelőség lassan elavul.
Gyakori tévhit
„Megcsináltuk a NIS2-felkészülést, ezzel kész is vagyunk."
A felkészülés nem cél, hanem kiindulópont. A kockázatok, a technológia, a beszállítók és a jogszabályok folyamatosan változnak, ezért egy egyszeri projekt eredménye hónapok alatt elavul. A megfelelőség állapot, amit fenn kell tartani: mérni kell a hatékonyságot, frissíteni az élő szabályzatokat, és a vezetésnek rendszeresen felül kell vizsgálnia az egészet. A „kész vagyunk" gondolkodás épp ott bukik meg, ahol a legtöbbet számítana — a következő incidensnél vagy auditnál, ahol a friss, működő gyakorlatot kérik számon, nem a tavalyi papírt.
GYIK a fenntartásról
Megvan az elv - de él-e a gyakorlatban?
A PDCA-ciklus működtetése — élő szabályzatok, mérés, vezetői felülvizsgálat — szervezeti munka, amit magadnak kell életben tartanod. De a Check-fázis technikai részét egy ingyenes szivárgás-audit pár perc alatt megmutatja: a saját domained alapján láthatod a kitett felületeket, a hiányzó biztonsági fejléceket és a gyenge konfigurációt. Jó kiindulópont a következő körhöz.