Megvolt az első NIS2 audit — mi a teendő a hiányosságokkal?

/tudastar/nis2-audit-hianyossagok · Célkifejezés: NIS2 audit hiányosság · Elsődleges modul: Governance

Hol tart most a piac

Az első auditciklus 2025 végén lezárult. Ez a szakasz tehát véget ért, és ezzel a „NIS2 felkészülés" kifejezés is elavult. A releváns kérdés ma nem az, hogyan készüljünk fel, hanem az, hogy mi lesz azzal, ami kiderült.

Ez a különbség a második auditon élesen látszik. Az elsőn még elfogadható volt, hogy egy folyamat frissen indult. A másodikon már azt kérdezik, hogy azóta lefutott-e, és ha igen, hányszor.

A hiányosság nem bűn, a kezeletlen hiányosság igen

Ez a legfontosabb mondat az egész témában, és a legtöbb szervezetben pont fordítva él. A félelem az, hogy „ha kiderül, bajban vagyunk" — holott a szabályozási logika nem ezt mondja. A kockázatalapú megközelítés abból indul ki, hogy tökéletes állapot nincs; ami számít, hogy a szervezet ismeri-e a saját hiányosságait, és kezeli-e őket.

Ebből egy nagyon gyakorlatias következtetés jön: az eltitkolt hiányosság rosszabb, mint a feltárt. A feltárt hiányosságból intézkedési terv lesz; az eltitkoltból viszont az auditor szemében hiteltelenség.

Mit kell tartalmaznia az intézkedési tervnek

Négy elem nélkül nem terv, csak lista:

A negyedik elem az, ami a leggyakrabban hiányzik, és ami miatt a tervek nem valósulnak meg. Ha egy intézkedéshez nincs pénz és munkaóra rendelve, akkor az nem terv, hanem szándéknyilatkozat — és a következő auditon ugyanott lesz.

Rangsorolás: mivel kezdje

Nem minden hiányosság egyforma sürgős. Három szempont mentén érdemes sorrendet állítani:

1. Kockázat. Mekkora kárt okozhat, ha nem kezelik. Ez nem azonos azzal, hogy az auditor mennyire hangsúlyozta.
2. Ráfordítás. Van, ami egy szabályzat kiadásával lezárható, és van, ami beruházást igényel. Az olcsó és gyors tételeket érdemes előre venni, mert javítják az összképet.
3. Függőség. Néhány hiányosság másokat blokkol. A hiányos eszköznyilvántartás például szinte minden más kontroll bizonyítását ellehetetleníti, ezért azt előre kell hozni, akkor is, ha önmagában nem tűnik súlyosnak.

A hat legtipikusabb hiányosság, és mit kezdjen velük

Mi történik a következő auditig

A terv önmagában nem elég: teljesülnie is kell. Érdemes negyedéves státuszt vezetni arról, hogy hol tart, és ezt a vezetés felé is kommunikálni. Ha egy határidő csúszik, azt dokumentált döntéssel kell módosítani — a csendben lejáró határidő rosszabb, mint a nyíltan átütemezett.

Hogyan segít ebben a Cybersensei

A Governance modul a nem megfelelő kontrollokból automatikusan előállítja az intézkedési és erőforrástervet, felelőssel és határidővel, és figyelmeztet a lejáró tételekre. Az Audit modul pedig lehetővé teszi, hogy a következő ciklus előtt következmények nélküli előauditot futtasson: ugyanaz a kérdéssor, tét nélkül.

Ha a teljes felkészülést kiszervezné, arról az SZTFH audit felkészülés oldalon olvashat.

Gyakori kérdések

Meddig kell elkészíteni az intézkedési tervet? Az auditot követően, a szervezet belső rendje szerint, de a következő ciklus előtt mindenképp — és a terv léte önmagában is vizsgált elem.

Bírságolnak a hiányosság miatt? A hiányosság ténye önmagában nem azonos a szankcióval. A kezeletlenség, az együttműködés hiánya és a bejelentési kötelezettség elmulasztása súlyosabban esik latba.

Mi van, ha nincs pénz a javításra? Akkor az erőforrásigényt dokumentálni kell, és a döntést a vezetéshez kell felvinni. A vezetői döntés — akár az elutasítás is — dokumentált kockázatvállalás, ami kezelhető állapot; a döntés hiánya nem az.