Sok szervezetnél az adatvédelmi vagy információbiztonsági megfelelés első és egyben utolsó lépése egy szabályzat elkészítése. A dokumentumot a vezető jóváhagyja, feltöltik egy belső tárhelyre, esetleg megküldik a munkatársaknak, majd éveken keresztül alig kerül elő.
A szervezet ettől még nem feltétlenül működik a szabályzat szerint.
Lehet részletes adatvédelmi szabályzata úgy, hogy az adatkezelési nyilvántartás hiányos, a hozzáférések nincsenek felülvizsgálva, az adatfeldolgozói szerződések elavultak, és az incidenseket senki nem jelenti. Ugyanígy lehet professzionális információbiztonsági szabályzata egy olyan szervezetnek, amely nem rendelkezik naprakész eszköznyilvántartással, nem teszteli a biztonsági mentéseit, és nem szünteti meg időben a kilépő munkatársak jogosultságait.
A szabályzat fontos. Sok esetben kifejezetten szükséges, egyes szervezeteknél jogszabályi kötelezettség is. Önmagában azonban nem bizonyítja, hogy a benne foglalt követelmények a szervezet mindennapi működésében valóban érvényesülnek.
A szabályzat azt határozza meg, hogyan kellene működnie a szervezetnek. A megfeleléshez azonban azt is biztosítani, ellenőrizni és bizonyítani kell, hogy a meghatározott folyamatok, felelősségi körök és védelmi intézkedések a gyakorlatban ténylegesen működnek.
Egy megfelelően elkészített adatvédelmi vagy információbiztonsági szabályzat több fontos feladatot is elláthat:
A szabályzat ezért nem felesleges adminisztráció. A probléma akkor keletkezik, amikor a szervezet a dokumentum elkészítését összetéveszti a szabályok végrehajtásával.
Egy biztonsági mentési szabályzat nem készít mentést. Egy incidenskezelési szabályzat nem észleli az incidenst. Egy jogosultságkezelési eljárás nem szünteti meg a kilépő munkatárs fiókját. Egy adatvédelmi szabályzat pedig nem teszi automatikusan jogszerűvé az adatkezeléseket.
A GDPR alapján az adatkezelő nemcsak köteles betartani az adatkezelési alapelveket, hanem képesnek kell lennie a megfelelés bizonyítására is. Ezt nevezzük az elszámoltathatóság elvének. GDPR 5. cikk (2) bekezdés.
Az Európai Adatvédelmi Testület szerint az elszámoltathatóság a gyakorlatban azt jelenti, hogy a szervezet dokumentálja adatvédelmi gyakorlatait és döntéseit, valamint megfelelő technikai és szervezési intézkedéseket vezet be a megfelelés biztosítására és igazolására.
Egy szabályzat az elszámoltathatóság egyik bizonyítéka lehet, de nem helyettesíti azokat a nyilvántartásokat, döntéseket, szerződéseket, ellenőrzéseket és technikai intézkedéseket, amelyekből megállapítható, hogy az előírásokat valóban alkalmazzák.
Az adatkezelőnek az adatkezelés jellege, hatóköre, körülményei, céljai és kockázatai alapján megfelelő technikai és szervezési intézkedéseket kell végrehajtania. Ezeknek biztosítaniuk és bizonyíthatóvá kell tenniük a megfelelést, továbbá az intézkedéseket szükség szerint felül kell vizsgálni és aktualizálni kell. GDPR 24. cikk (1) bekezdés.
A GDPR 24. cikk (2) bekezdése szerint az intézkedések – az adatkezelési tevékenységgel arányosan – megfelelő adatvédelmi szabályzatok alkalmazását is magukban foglalhatják. A rendelet tehát a szabályzatot a megfelelési intézkedések egyik elemeként kezeli, nem pedig a teljes megfelelési rendszer helyettesítőjeként.
Fontos különbség, hogy a GDPR nem minden adatkezelő számára ír elő általános megnevezésű, egységes „GDPR-szabályzatot”. A szükséges belső dokumentáció tartalmát az adatkezelések jellege, kockázata és összetettsége alapján kell kialakítani.
Egy kisebb szervezetnél elegendő lehet néhány világos, egymással összehangolt eljárás. Egy több telephellyel, nagyszámú érintettel vagy érzékeny adatokkal dolgozó szervezetnél viszont összetettebb szabályozási és ellenőrzési rendszer indokolt.
A GDPR 30. cikke az adatkezelő és az adatfeldolgozó számára – a rendeletben meghatározott feltételek szerint – adatkezelési tevékenységek nyilvántartását írja elő. A nyilvántartásban többek között az adatkezelési célokat, az érintettek és személyes adatok kategóriáit, a címzetteket, az adattovábbításokat, a törlési határidőket és a biztonsági intézkedések általános leírását kell szerepeltetni.
Az adatvédelmi szabályzat általánosan rögzítheti, hogy a szervezet nyilvántartja az adatkezeléseit. Ettől azonban még külön fel kell mérni és dokumentálni kell például:
A szabályzat rendszerint nem tartalmazhat minden adatkezelésre vonatkozó, rendszeresen változó részletet. Ehhez naprakész adatkezelési nyilvántartás, szerződéses dokumentáció és folyamatspecifikus tájékoztatás szükséges.
A GDPR 32. cikke megfelelő technikai és szervezési intézkedéseket követel meg az adatkezelés kockázatával arányos biztonsági szint biztosításához. Ezek közé tartozhat a titkosítás, a rendszerek folyamatos bizalmasságának, sértetlenségének, rendelkezésre állásának és ellenálló képességének biztosítása, a helyreállíthatóság, valamint az intézkedések hatékonyságának rendszeres tesztelése és értékelése.
Egy adatbiztonsági fejezet előírhatja például:
A követelmény azonban csak akkor érvényesül, ha a beállításokat valóban végrehajtották, a kivételeket nyilvántartják, a kontrollokat ellenőrzik, és a hiányosságokat kijavítják.
A „biztonsági mentést kell készíteni” mondat nem bizonyítja, hogy:
A GDPR 25. cikke szerint az adatvédelmi elveket és a szükséges garanciákat már az adatkezelés eszközeinek meghatározásakor, majd az adatkezelés teljes időtartama alatt érvényesíteni kell. Alapértelmezés szerint csak az adott célhoz szükséges személyes adatok kezelhetők.
Az Európai Adatvédelmi Testület 4/2019. számú iránymutatása a beépített és alapértelmezett adatvédelmet folyamatos kötelezettségként kezeli, amelynek már a tervezési szakaszban, majd az adatkezelés teljes életciklusa során érvényesülnie kell.
Egy általános adatvédelmi szabályzat nem képes önmagában biztosítani, hogy adatvédelmi szempontból megfelelő döntés szülessen például:
Ehhez olyan belső döntési folyamat kell, amelyben az adatvédelmi követelményeket még a szerződéskötés, fejlesztés vagy rendszerbevezetés előtt megvizsgálják.
A Kiberbiztonsági törvény hatálya alá tartozó szervezetek vezetője kockázatmenedzsment keretrendszert köteles létrehozni és működtetni. Ennek részeként fel kell mérni a rendszereket, meg kell határozni a felelősöket, ki kell adni az információbiztonsági szabályzatot, biztosítani kell a védelmi intézkedések teljesülését, és rendszeresen értékelni kell azok hatékonyságát. 2024. évi LXIX. törvény 6. § (2)–(4) bekezdés.
A törvény az információbiztonsági szabályzat legalább kétévenkénti, illetve meghatározott változások esetén történő felülvizsgálatát írja elő. A szabályzat mellett ugyanakkor külön kötelezettségként jelenik meg a védelmi intézkedések végrehajtása, időszakos értékelése és az értékelés során feltárt hiányosságok kijavítása.
A törvényi szerkezet önmagában is világossá teszi, hogy a szabályzat kiadása csak egy feladat a teljes információbiztonsági irányítási rendszerben.
A Kiberbiztonsági törvény alapján az elektronikus információs rendszerek védelme során nemcsak a hardvert és a hálózatot, hanem az eljárásokat, a kapcsolódó folyamatokat és az azokat kezelő személyeket is védeni kell. A védelemnek zártnak, teljes körűnek, folytonosnak és a kockázatokkal arányosnak kell lennie. 2024. évi LXIX. törvény 5. § (1)–(2) bekezdés.
Ezt egy statikus dokumentum nem tudja önmagában megvalósítani. A folytonos védelem folyamatos működtetést, felügyeletet és fejlesztést feltételez.
A NIS2 alapján az alapvető és fontos szervezetek vezető testületeinek jóvá kell hagyniuk a kiberbiztonsági kockázatkezelési intézkedéseket, felügyelniük kell azok végrehajtását, és felelőssé tehetők az irányelvi követelmények megsértéséért. A vezetők számára képzési kötelezettséget is elő kell írni. NIS2 irányelv 20. cikk.
A NIS2 21. cikke megfelelő és arányos technikai, működési és szervezési intézkedéseket követel meg. A szabályozás mellett ide tartozik az incidenskezelés, az üzletmenet-folytonosság, az ellátási lánc biztonsága, a biztonságos beszerzés és fejlesztés, a kontrollok hatékonyságának értékelése, a kiberhigiénia, a képzés, a humánerőforrás-biztonság, a hozzáférés-kezelés és az eszközgazdálkodás is.
A NIS2-megfelelés ezért nem merülhet ki egy „NIS2-szabályzat” elkészítésében. A dokumentumnak egy ténylegesen működtetett, vezetői irányítás alatt álló kockázatkezelési rendszer részét kell képeznie.
| Dokumentumalapú megközelítés | Működésalapú megközelítés |
|---|---|
| Van szabályzat | A szabályzatban foglalt folyamatokat végrehajtják |
| Megnevezték a felelősöket | A felelősök ismerik a feladataikat és rendelkeznek hatáskörrel |
| Előírták a képzést | A képzés megtörténik, dokumentált és szerepkörhöz igazított |
| Szerepel a jogosultságkezelés | A hozzáféréseket engedélyezik, felülvizsgálják és megszüntetik |
| Előírták a mentést | A mentések elkészülnek és a visszaállítást tesztelik |
| Van incidenseljárás | Az eseményeket felismerik, jelentik, értékelik és kezelik |
| Előírták a beszállítók ellenőrzését | A szolgáltatókat értékelik és megfelelő szerződéseket kötnek |
| Meghatározták a felülvizsgálatot | A felülvizsgálat ténylegesen megtörténik és intézkedési terv készül |
| A dokumentum megfelel a jogszabálynak | A szervezet működése megfelel a dokumentumnak és a jogszabálynak |
Az ellenőrzés során nemcsak azt kell vizsgálni, hogy mit tartalmaz a szabályzat, hanem azt is, hogy a szabályozott folyamatokból milyen bizonyítékok keletkeztek.
A sablon jó kiindulópont lehet, de nem ismeri automatikusan:
Ha a dokumentum olyan feladatot ír elő, amelynek nincs felelőse, vagy olyan technológiára hivatkozik, amelyet a szervezet nem használ, akkor nem irányítja, hanem csak látszólag írja le a működést.
A szabályzatnak a tényleges működésből kell kiindulnia. Ehhez előzetesen fel kell mérni például:
A Kiberbiztonsági törvény szerinti kockázatmenedzsment keretrendszer a védelmi intézkedések azonosítását, bevezetését, értékelését, működtetését és nyomon követését egyaránt magában foglalja.
Gyakori probléma, hogy az adatvédelmi vagy információbiztonsági szabályzat eltér:
Az egymásnak ellentmondó dokumentumok nem erősítik, hanem gyengítik a bizonyítható megfelelést.
Egy szabályzat belső tárhelyen történő közzététele nem feltétlenül biztosítja, hogy a munkatársak:
A Kiberbiztonsági törvény hatálya alá tartozó szervezetek vezetőjének gondoskodnia kell a védelmi feladatok és felelősségi körök oktatásáról, valamint saját maga és a munkatársak kiberbiztonsági képzéséről. 2024. évi LXIX. törvény 6. § (5) bekezdés a) pont.
A NIS2 szintén előírja a vezetők képzését, és ösztönzi a munkavállalók rendszeres kiberbiztonsági képzését.
A szabályzat nem működik, ha a vezetés:
A NIST Cybersecurity Framework 2.0 külön „Govern” funkcióban kezeli a kiberbiztonsági irányítást, ideértve a kockázatvállalás, a felelősségi körök, a szabályzatok, a felügyelet és a vállalati kockázatkezeléssel való összhang kérdéseit. A keretrendszer hat, egymással párhuzamosan és folyamatosan működő funkcióból áll: irányítás, azonosítás, védelem, észlelés, reagálás és helyreállítás.
A szervezetnek ismernie kell, milyen személyes adatokat, milyen célból, milyen jogalapon, mennyi ideig és milyen rendszerekben kezel.
Az érintetteknek az egyes adatkezelésekről érthető, pontos és ténylegesen hozzáférhető tájékoztatást kell kapniuk.
Meg kell határozni, ki fogadja, értékeli és teljesíti a hozzáférési, törlési, helyesbítési, tiltakozási vagy más kérelmeket.
A szolgáltatók kiválasztását, szerződését, további adatfeldolgozóit, biztonsági intézkedéseit és szerződés megszűnése utáni kötelezettségeit is rendezni kell.
Szükséges az incidensek felismerésének, belső bejelentésének, kockázatértékelésének, dokumentálásának és – ha indokolt – hatósági vagy érintetti bejelentésének folyamata.
A magas kockázattal járó adatkezeléseknél még a megkezdés előtt meg kell vizsgálni a kockázatokat és az azok csökkentésére szolgáló intézkedéseket.
Az adatvédelmi szempontokat be kell építeni a beszerzési, fejlesztési, szerződéskötési és folyamatváltoztatási döntésekbe.
A munkatársaknak a saját feladataikhoz kapcsolódó gyakorlati ismeretekre van szükségük, a végrehajtást pedig rendszeresen ellenőrizni kell.
E követelmények különböző GDPR-rendelkezésekből – különösen az 5., 24., 25., 28., 30., 32–35. és adott esetben a 37–39. cikkből – együttesen következnek. A megfelelés ezért nem vezethető vissza egyetlen szabályzat meglétére.
A szervezetnek ismernie kell a használt eszközöket, szoftvereket, felhőszolgáltatásokat, adatállományokat, hálózatokat és külső szolgáltatókat.
Fel kell tárni a rendszerek értékét, sérülékenységeit, fenyegetéseit, az események valószínűségét és lehetséges következményeit.
A feltárt hiányosságokhoz felelőst, határidőt, prioritást, erőforrást és elvárt eredményt kell rendelni.
A jogosultságokat engedélyezni, dokumentálni, felülvizsgálni és a szükség megszűnésekor haladéktalanul vissza kell vonni.
Ide tartozhat többek között a biztonságos konfiguráció, a frissítéskezelés, a végpontvédelem, a naplózás, a többtényezős hitelesítés, a titkosítás és a hálózati védelem.
Nemcsak mentési eljárásra, hanem működő mentésekre, elkülönített tárolásra és rendszeresen tesztelt visszaállításra is szükség van.
Meg kell határozni az észlelés, jelzés, értékelés, korlátozás, bizonyítékmegőrzés, bejelentés, kommunikáció és helyreállítás rendjét.
A biztonsági követelményeket a szolgáltatók kiválasztásakor és a szerződésekben is érvényesíteni kell.
A munkatársakat fel kell készíteni a saját szerepükre, az incidenskezelési és helyreállítási folyamatokat pedig gyakorolni kell.
A kontrollok működését mérésekkel, tesztekkel, belső ellenőrzésekkel, sérülékenységvizsgálatokkal vagy – ahol szükséges – független auditokkal kell értékelni.
A Kiberbiztonsági törvény a szabályzat mellett a védelmi intézkedések teljesítését, értékelését, a hiányosságok orvoslását, a képzést, a beszállítói követelményeket, az incidenskezelést és a helyreállítást is a vezető feladatává teszi.
Először a tényleges működést, adatkezeléseket, rendszereket, felelősségi köröket és kockázatokat kell megismerni.
A dokumentációt a valós működéshez, a jogi követelményekhez és az elfogadott kockázati szinthez kell igazítani.
A vezetésnek nemcsak aláírnia kell a szabályzatot, hanem biztosítania kell a végrehajtáshoz szükséges személyi, technikai és pénzügyi feltételeket is.
Ki kell alakítani a szabályzatban meghatározott űrlapokat, nyilvántartásokat, technikai beállításokat, jelentési csatornákat és munkafolyamatokat.
A munkatársaknak nem a teljes dokumentumot kell feltétlenül megtanulniuk, hanem a munkakörükhöz kapcsolódó konkrét teendőket.
Vizsgálni kell, hogy a szabályozott folyamatok működnek-e, és keletkeznek-e a végrehajtást igazoló bizonyítékok.
A feltárt hiányosságokhoz intézkedési tervet, felelőst és határidőt kell rendelni.
A szabályzatot jogszabályváltozás, szervezeti átalakulás, új rendszer, új szolgáltató, incidens vagy más lényeges változás esetén aktualizálni kell.
A Kiberbiztonsági törvény a szabályzat legalább kétévenkénti felülvizsgálata mellett a védelmi intézkedések rendszeres értékelését is megköveteli. A részletes kockázatmenedzsment-keretrendszer a szerepkörök, a stratégia, a biztonságfelügyelet és a kontrollok folyamatos ellenőrzésének dokumentálását is előírja.
A HR azonban csak napokkal később értesíti az informatikust, ezért az e-mail-fiók és a felhőszolgáltatások továbbra is elérhetők.
A képzés nem történik meg, vagy megtörténik, de nincs jelenléti ív, tudásellenőrzés és szerepkörspecifikus tartalom.
A mentési feladat fut, de évek óta senki nem próbálta meg visszaállítani az adatokat.
A szervezeti egységek közben új online űrlapokat, felhőtárhelyeket és mesterséges intelligencián alapuló alkalmazásokat kezdtek használni.
A munkatársak azonban nem tudják, mi minősül incidensnek, kinek kell jelezniük, és attól tartanak, hogy a bejelentés miatt őket vonják felelősségre.
A szervezet évekkel korábbi szerződéseket használ, amelyek nem rendezik az incidensbejelentést, az auditálhatóságot, az adattörlést vagy a szolgáltatás megszűnését.
A folyamatnak nincs kijelölt gazdája, a vezetők nem kapnak jogosultsági listát, ezért a felülvizsgálat ténylegesen elmarad.
Ezekben az esetekben nem feltétlenül a szabályzat tartalma hibás. A hiányosságot az okozza, hogy a dokumentum nem kapcsolódik megfelelő felelősséghez, technikai végrehajtáshoz, ellenőrzéshez és vezetői számonkéréshez.
A szervezet megfelelési dokumentációjához a szabályzaton kívül többek között az alábbi bizonyítékok tartozhatnak:
A megfelelés bizonyításához nem az a cél, hogy a szervezet indokolatlan mennyiségű dokumentumot termeljen. Olyan bizonyítékokat kell megőrizni, amelyekből rekonstruálható, hogy ki, mikor, milyen kockázat alapján, milyen döntést hozott, és az intézkedést hogyan hajtották végre.
Egy kisebb önkormányzatnak, intézménynek vagy vállalkozásnak nem feltétlenül van szüksége terjedelmes szabályzati kézikönyvre. A dokumentáció mélységét a szervezet méretéhez, adatkezeléseihez, rendszereihez, kockázataihoz és jogszabályi helyzetéhez kell igazítani.
Egy arányos, de működő rendszer például tartalmazhat:
A NIST Cybersecurity Framework 2.0 bármilyen méretű és ágazatú szervezet számára alkalmazható, és külön induló útmutatót biztosít a kisebb vállalkozásoknak is. A keretrendszer nem egyetlen előírt dokumentumot, hanem a kiberbiztonsági eredmények átfogó és folyamatos kezelését támogatja.
A GDPR nem minden szervezet számára ír elő egységes elnevezésű adatvédelmi szabályzatot. A 24. cikk (2) bekezdése szerint az intézkedéseknek az adatkezelési tevékenységekkel arányosan megfelelő adatvédelmi szabályzatokat is magukban kell foglalniuk. A szükséges dokumentáció tartalmát ezért a szervezet működése és az adatkezelési kockázatok alapján kell meghatározni.
A Kiberbiztonsági törvény hatálya alá tartozó szervezetek meghatározott körében a vezető köteles információbiztonsági szabályzatot kiadni, és gondoskodni annak rendszeres felülvizsgálatáról. A pontos kötelezettséget a szervezet törvényi besorolása és az alkalmazandó részletszabályok alapján kell megállapítani.
Nem feltétlenül. A megfeleléshez többek között jogszerű adatkezelésekre, megfelelő tájékoztatásra, naprakész nyilvántartásokra, biztonsági intézkedésekre, érintetti jogkezelésre, incidenskezelésre és a döntések bizonyíthatóságára is szükség lehet.
Az éves felülvizsgálat jó gyakorlat lehet, de önmagában nem mindig elegendő. Soron kívüli felülvizsgálatra lehet szükség jogszabályváltozás, új rendszer, új szolgáltató, szervezeti átalakulás, jelentős incidens vagy a kockázati környezet lényeges változása esetén.
A szabályzatnak folyamatonként kell meghatároznia a felelősöket. A teljes rendszer működésének biztosítása jellemzően vezetői felelősség, de az egyes feladatokban az adatvédelmi tisztviselő, az EIBF, az informatika, a HR, a beszerzés, a jogi terület és a folyamatgazdák egyaránt részt vehetnek.
Nem. A külső szakértő felmérheti a működést, kialakíthatja a dokumentációt, támogathatja a bevezetést és ellenőrizheti a végrehajtást. A belső döntések, erőforrások, technikai intézkedések és munkafolyamatok működtetését azonban a szervezetnek kell biztosítania.
A GDPR a szervezettől nem pusztán adatvédelmi dokumentációt, hanem megfelelő, rendszeresen felülvizsgált technikai és szervezési intézkedéseket, valamint a megfelelés bizonyíthatóságát követeli meg.
A Kiberbiztonsági törvény az információbiztonsági szabályzat kiadása mellett külön előírja a kockázatmenedzsment keretrendszer működtetését, a védelmi intézkedések végrehajtását és értékelését, a hiányosságok kijavítását, a képzést, az incidenskezelést és a beszállítói követelmények érvényesítését.
A szabályzat tehát szükséges iránytű, de nem maga az út.
A valódi megfeleléshez a szervezetnek:
A helyes megközelítés ezért nem az, hogy: „Elkészült a szabályzat, tehát megfelelünk.”
Hanem az, hogy: „A szabályzat alapján kialakítottuk, működtetjük, ellenőrizzük és folyamatosan fejlesztjük a megfelelési rendszerünket.”
Utolsó szakmai felülvizsgálat: 2026. július