Kockázatkezelés — a fontosat véded, nem mindent
A kockázatkezelés a NIS2 motorja: nem mindent maximalizálsz, hanem a kockázat arányában döntöd el, mire költesz. Előbb felméred, mi az értékes és mi fenyegeti, majd a fenyegetés valószínűsége és hatása alapján rangsorolsz — és csak utána intézkedsz. Ez a modul megmutatja, hogyan végzel el egy egyszerű kockázatértékelést egy kis cégnél is, drága eszközök nélkül.
Mi a kockázatkezelés?
A kockázatkezelés azt jelenti, hogy nem próbálsz mindent egyformán megvédeni — hanem a kockázat arányában teszed. Először felméred, mi az értékes és mi fenyegeti, kiszámolod, hol a legnagyobb a baj esélye és súlya, és oda teszed a pénzt meg az időt, ahol a legtöbbet ér. A kockázatot egy egyszerű képlettel lehet elképzelni: kockázat = fenyegetés × valószínűség × hatás.
A digitális világban az „ajtók" a rendszereid (könyvelőprogram, webshop, e-mail), az „értékek" az adataid és folyamataid, a „betörő" pedig a zsarolóvírus, az adathalászat vagy egy emberi hiba. A valószínűség azt mondja meg, mekkora eséllyel következik be a baj; a hatás azt, mennyibe kerülne, ha mégis bekövetkezik (kiesés, bírság, jó hírnév, helyreállítás). A kettő szorzata adja a kockázat súlyát — és ez dönti el a sorrendet. A buktató, ha mindent egyformán fontosnak veszel: akkor vagy túlköltekezel, vagy épp a legfontosabbra nem marad erő.
Miért NIS2-szempont?
A kockázatkezelés nem egy a sok intézkedés közül — ez az a logika, amiből az összes többi következik. A NIS2 nem ad fix, mindenkire egyforma pipa-listát; kockázatarányos intézkedéseket vár el. Vagyis előbb fel kell mérned a kockázataidat, és ennek arányában eldöntened, mire költesz. Ezért hívjuk a kockázatkezelést a megfelelés motorjának.
Mi ez?
Folyamatos tevékenység, amely felméri (kockázatértékelés), rangsorolja és kezeli a kockázatokat: minden fontos kockázathoz döntést és — ahol kell — intézkedést rendel, majd rendszeresen felülvizsgálja. A kimenete jellemzően egy karbantartott kockázati regiszter.
Miért NIS2-kötelező elem?
A NIS2-t átültető szabályozás kifejezetten kockázatarányos intézkedéseket vár el, és a kockázatkezelési politika a vezetés átruházhatatlan felelőssége. A pontos elvárás a szervezet érintettségétől függ — itt szándékosan nem idézünk konkrét paragrafust; az értelmezés mindig egyedi.
Hogyan segít?
Ha a kockázat arányában döntesz, ugyanabból a keretből több valódi biztonságot kapsz: a fontosat erősen véded, a lényegtelenre nem pazarolsz. Egyúttal bizonyíthatóvá teszi a döntéseidet — egy auditnál pont ezt a logikát kérik majd számon.
Mi felkészítünk, nem mi auditálunk. Ez az oldal általános tájékoztatás, nem jogi tanácsadás és nem hatósági állásfoglalás. A kötelező, független megfelelőségi auditot a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) által nyilvántartásba vett auditor végzi, külön díjért — ezt nem helyettesítjük. A jogszabályi adatok a tájékoztatás időpontjában (2026. június) hatályos állapotot tükrözik.
Hogyan végezz kockázatértékelést? — hat lépés
Nem kell hozzá drága rendszer; egy táblázattal és némi józan ésszel el lehet kezdeni. A lényeg, hogy a döntéseid ne megérzésen, hanem egy ismételhető, leírt folyamaton alapuljanak.
Eszközök és adatok számbavétele
Nem véded, amiről nem tudsz. Vedd számba, mi az értékes: milyen rendszereid, adataid és folyamataid vannak, és mi lenne a kiesésük üzleti hatása. Ez a kockázatkezelés bemenete — és egyben a CIA triász kérdése: melyik adatnál fáj a legjobban a bizalmasság, a sértetlenség vagy a rendelkezésre állás sérülése.
Fenyegetések azonosítása
Sorold fel, mi fenyegeti ezeket az értékeket: zsarolóvírus, adathalászat, rendszerkiesés, kilépő munkatárs, elveszett laptop, beszállítói incidens. Nem kell teljesnek lennie — a leggyakoribb, legreálisabb fenyegetésekkel kezdd.
Valószínűség × hatás becslése
Minden kockázatnál becsüld meg, mekkora a bekövetkezés valószínűsége és mekkora lenne a hatása. Elég egy egyszerű alacsony / közepes / magas skála — a cél a rangsorolás, nem a tizedespontos pontosság.
Kockázati regiszter és mátrix
Vezesd egy táblázatba — ez a kockázati regiszterKockázati regiszter: élő nyilvántartás a kockázatokról. Soronként egy kockázat, oszlopaiban a leírás, a valószínűség, a hatás, a tervezett intézkedés, a felelős és a határidő. —, és helyezd el a kockázatokat egy valószínűség × hatás mátrixban. A jobb felső sarok (magas valószínűség, magas hatás) a piros zóna: ezekkel foglalkozz először.
Kezelési döntés
Minden kockázatnál dönts a négy lehetőség közül: elfogadod (tudatosan vállalod), csökkented (intézkedéssel, pl. MFA, mentés), áthárítod (pl. biztosítás, szerződéses felelősség) vagy megszünteted (elhagyod a kockázatos tevékenységet). A döntést a regiszterbe is írd be.
Maradványkockázat és éves felülvizsgálat
Az intézkedések után megmaradó maradványkockázatot a vezetésnek tudatosan el kell fogadnia. Utána a regiszter nem alszik el: vizsgáld felül legalább évente — vagy nagyobb változáskor (új rendszer, új beszállító, incidens után).
Ha mélyebbre ásnál
Az alábbiak a kockázatkezelésért felelős kollégának szólnak — a laikus olvasó nyugodtan átugorhatja, az elv megértéséhez nem szükséges.
Kvalitatív vs. kvantitatív kockázatértékelés
Kockázati étvágy és kockázattűrés
Keretrendszerek és a kontroll-leképezés
Gyors önellenőrzés
Három kérdés, amit ma fel tudsz tenni magadnak — nincs eszköz, nincs regisztráció. Ha bármelyikre „nem" vagy „nem tudom" a válasz, ott van a következő lépésed.
1 · Kockázati lista
Van-e leírt listátok arról, mik a legnagyobb kiberkockázataitok (pl. zsarolóvírus, adatszivárgás, kiesés)? Ha fejből, szóban tudjátok csak, akkor még nincs kockázatkezelés — csak érzés.
2 · Döntés a kockázathoz
A felismert kockázatokhoz tartozik-e tudatos döntés (elfogadjuk / csökkentjük / áthárítjuk / megszüntetjük) és felelős? A „tudunk róla, de nem csinálunk vele semmit" nem döntés.
3 · Felülvizsgálat
Mikor néztétek át utoljára a kockázataitokat? Ha az új rendszerek és beszállítók óta egyszer sem, valószínűleg elavult a kép — és pont a friss kockázatok a legveszélyesebbek.
Gyakori tévhit
„A biztonság az, ha mindent maximálisan levédünk."
Mindent egyformán, maximálisan védeni nem biztonság, hanem pazarlás — és a gyakorlatban kivitelezhetetlen. Véges a pénz, az idő és a figyelem: ha mindenre egyformán szórod, a fontosra sosem jut elég. A jó kockázatkezelés épp a választásról szól: a kockázat arányában a legnagyobb fenyegetéseket erősen véded, a kicsiket tudatosan elfogadod. A NIS2 is ezt várja — nem a „mindent maximalizálunk", hanem a „kockázatarányosan, bizonyíthatóan döntünk" hozzáállást.
GYIK a kockázatkezelésről
Megvan az elv - hol a legnagyobb kockázatotok?
A kockázati regiszter felépítése szervezeti munka, amit magadnak kell elvégezned — de a technikai kockázatok egy részét (kitett bejelentkező felületek, hiányzó biztonsági fejlécek, gyenge konfiguráció) egy ingyenes szivárgás-audit pár perc alatt megmutatja, konkrétan a saját domained alapján. Jó kiindulópont a kockázatértékeléshez.