Az európai és a hazai vállalatok az elmúlt időszakban elsősorban a szervezeti biztonságot fókuszba helyező előírásokra, mint a NIS2 és a DORA követelményeire összpontosítottak . A jogalkotási és technológiai hullám azonban nem áll meg: a 2027-es év igazi vízválasztó lesz a hazai IT-üzemeltetők, szoftverfejlesztők és cégvezetők számára. Ekkorra érnek be azok a többéves átmeneti időszakok, amelyek a digitális termékek és intelligens rendszerek alapvető működését írják újra .
A hangsúly a belső szabályzatok szintjéről átkerül a tervezett biztonság (Security by Design) és a termékfelelősség területére . 2027-re már nem lesz elegendő csupán a céges tűzfalakat konfigurálni vagy incidenskezelési szabályzatot írni: minden forgalomba hozott vagy üzemeltetett digitális eszköznek, hálózati berendezésnek és szoftvernek garantálnia kell a beépített kiberbiztonsági ellenállóképességet .
Magyarországon mindez szorosan összefonódik a hatósági felügyelet szigorodásával, a mesterséges intelligencia kockázatkezelésével és a beszállítói láncok átvilágításával . A felkészülést nem lehet az utolsó negyedévre hagyni, mivel a fejlesztési folyamatok és a szerződéses rendszerek átalakítása akár 12-18 hónapot is igénybe vesz .
A 2027-es mérföldkövek: termékbiztonság és MI-szabályozás
A következő év legfontosabb változásait négy nagy szabályozási és technológiai pillér határozza meg, amelyek közvetlen kötelezettségeket rónak az európai piac szereplőire:
| Szabályozási terület / Trend | Határidő | Fő kötelezettség és fókusz | Érintett célcsoport |
|---|---|---|---|
| Cyber Resilience Act (CRA) | 2027. december 11. | Teljes körű megfelelőségértékelés, műszaki dokumentáció és kötelező kiberbiztonsági CE-jelölés a digitális elemet tartalmazó termékeknél . | Szoftver- és hardverfejlesztők, gyártók, importőrök és disztribútorok . |
| EU AI Act (Nagy kockázatú rendszerek) | 2027. december 2. | A III. melléklet szerinti önálló, nagy kockázatú MI-rendszerek szigorú kockázatértékelése, robusztussági és emberi felügyeleti megfelelése . | MI-fejlesztők, HR- és hitelbírálati algoritmusokat használó vállalatok . |
| NIS2 hatósági auditok | Folyamatosan 2027-ben | A 2024. évi LXIX. törvény szerinti kétéves auditciklusok éles ellenőrzése, a beszállítói lánc és a kihelyezett IT-szolgáltatók kötelező vizsgálata . | Kiemelten kockázatos és fontos ágazatokban működő közép- és nagyvállalatok . |
| Posztkvantum kriptográfia (PQC) | 2027 során esedékes | Kriptográfiai leltár készítése és a kvantumbiztos titkosítási algoritmusok (pl. NIST FIPS szabványok) tesztelése és migrációs terve. | Banki rendszerek, titkosított kommunikációt és hosszú élettartamú adatot kezelő IT-cégek. |
A Cyber Resilience Act (CRA) tekintetében lényeges elem, hogy a gyártók 24 órás sérülékenység- és incidensbejelentési kötelezettsége az ENISA és a nemzeti CSIRT (Magyarországon az NBSZ) felé már 2026 szeptemberében életbe lépett . 2027 decembere a termékek alapvető kiberbiztonsági követelményeinek teljesítését és a piaci forgalmazhatóságot zárja le: CE-jelölés nélkül termék nem maradhat az uniós piacon .
Mit jelent ez a gyakorlatban?
A jogszabályok száraz paragrafusai a napi informatikai üzemeltetésben és a szoftverfejlesztésben azonnali és konkrét feladatokat teremtenek:
| Terület | Napi gyakorlati kihívás | Elvárt üzleti és technológiai válasz |
|---|---|---|
| Szoftverfejlesztés és kódvédelem | A beépített nyílt forráskódú könyvtárakért (open source) a forgalmazó viseli a közvetlen felelősséget . | Részletes szoftver-összetevő jegyzék (SBOM) kötelező vezetése és automatizált sebezhetőségvizsgálat (DevSecOps) . |
| IT-beszerzés és üzemeltetés | Nem vásárolható olyan hardver vagy hálózati eszköz, amely nem rendelkezik igazolt támogatási idővel és CE-jelöléssel. | Beszerzési szabályzatok frissítése: csak garantált biztonsági frissítési ciklussal rendelkező eszközök jóváhagyása . |
| Adatvédelem és MI-eszközök | A toborzásban, értékelésben vagy ügyfélkiszolgálásban futó MI-modellek nem lehetnek ellenőrizetlen fekete dobozok. | Adatminőségi audit, döntési naplózás és emberi felügyeleti protokollok integrálása . |
| Beszállítói szerződések | A megbízók megkövetelik a biztonsági osztályba sorolást, az auditjogot és a gyors hibajavítást. | Céges szerződéssablonok átírása, a felelősségi körök és SLA-k egyértelmű rögzítése . |
A hibás vagy nem megfelelő termékek forgalmazása komoly pénzügyi kockázattal jár: a CRA megszegése akár 15 millió eurós vagy a globális árbevétel 2,5%-át kitevő bírságot, valamint a termék azonnali piacról történő visszahívását vonhatja maga után .
Tennivalók
A zökkenőmentes megfeleléshez és a kiberbiztonsági szint emeléséhez az alábbi lépések végrehajtása javasolt a 2027-es határidők előtt:
| Fázis | Feladat | Cél és konkrét megvalósítás |
|---|---|---|
| 1. Leltár és besorolás | Termék- és infrastruktúra-leltár | Minden szoftver, hálózatra kapcsolt hardver és MI-komponens azonosítása; CRA és AI Act kockázati osztályba sorolás . |
| 2. SBOM bevezetése | Géppel olvasható összetevőlista | CycloneDX vagy SPDX formátumú SBOM előállítása a CI/CD folyamatokban minden szoftververzióhoz . |
| 3. Biztonságos fejlesztési életciklus (SSDLC) | Tervezett biztonság megvalósítása | Threat modeling, automatikus kódvizsgálat (SAST/DAST) és rendszeres penetrációs tesztelés beépítése . |
| 4. Sérülékenységkezelési eljárásrend | Bejelentési és javítási csatornák | Koordinált sebezhetőség-kezelési (CVD) folyamat és 24/72 órás hatósági jelentési lánc felállítása . |
| 5. Kriptográfiai felkészülés | Kripto-agilitás és PQC-tervezés | A rendszerekben használt titkosítási kulcsok és algoritmusok felmérése, felkészülés a kvantumbiztos alternatívákra. |
Összefoglalva
| Kérdés | Lényegi válasz |
|---|---|
| Mi történt? | Az Európai Unió kiberbiztonsági szabályozási keretrendszere a termékbiztonság (CRA) és a mesterséges intelligencia (AI Act) kötelező érvényű műszaki követelményeivel válik teljessé 2027 végére . |
| Miért fontos? | A digitális termékek kiberbiztonsági CE-jelölése kötelező piaci belépési feltétellé válik, miközben az ellátási láncok ellenőrzése és a sebezhetőségkezelés elmaradása súlyos bírságokat és piacvesztést okozhat . |
| Kiket érint? | Minden hazai és nemzetközi szoftverfejlesztőt, hardvergyártót, importőrt, valamint az IT-infrastruktúrát és MI-megoldásokat üzemeltető vállalkozást . |
| Mit kell tenni? | Elkészíteni az eszköz- és szoftverleltárakat (SBOM), bevezetni a biztonságos fejlesztési folyamatokat, megerősíteni az incidensbejelentési láncot és felülvizsgálni a beszállítói szerződéseket . |
Források
- Európai Unió Hivatalos Lapja – A digitális elemeket tartalmazó termékek kiberbiztonságáról szóló rendelet (Cyber Resilience Act - (EU) 2024/2847)
- Európai Bizottság – A mesterséges intelligenciára vonatkozó harmonizált szabályok (EU AI Act)
- Nemzeti Jogszabálytár – 2024. évi LXIX. törvény a kiberbiztonsági felügyeletről és tanúsításról
- NIST – Post-Quantum Cryptography szabványok (FIPS 203, FIPS 204, FIPS 205)
- Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) – Kiberbiztonsági követelmények és felügyelet