Nem elég, hogy működik: az irodai eszközöknek már biztonságosnak is kell lenniük

Egy átlagos irodában ma már tucatnyi hálózatra kapcsolt hardver működik: hálózati nyomtatók, Wi-Fi hozzáférési pontok, IP-kamerák, okos tárgyalótermi kijelzők és beléptető terminálok. Ezek az eszközök kényelmessé teszik a mindennapi munkát, miközben a legtöbb cégnél a kiberbiztonság leggyengébb láncszemeivé váltak. A gyárilag beállított egyszerű jelszavak, a soha nem frissített belső vezérlőprogramok (firmware-ek) és a láthatatlanul maradó biztonsági rések évek óta nyitott kaput jelentenek a zsarolóvírusos támadások előtt.

Az Európai Unió ezt az állapotot számolja fel véglegesen a kiberrezilienciáról szóló jogszabálycsomaggal. A rendelet közvetlenül kötelező érvényű valamennyi tagállamban, és gyökeresen megváltoztatja, milyen hardvereket és szoftvereket hozhatnak forgalomba a gyártók, illetve mit vásárolhatnak meg a hazai vállalkozások.

A szabályozás lényege egyetlen egyszerű alapelvre épül: a biztonság nem lehet a végfelhasználó opcionális feladata, annak már a tervezőasztalon meg kell születnie.

A jogszabályi háttér: a digitális termékek új szabályai

Az Európai Parlament és a Tanács hivatalosan kihirdette a digitális elemeket tartalmazó termékek horizontális kiberbiztonsági követelményeiről szóló (EU) 2024/2847 rendeletet, közismertebb nevén a Cyber Resilience Actet (CRA) . A jogszabály célja, hogy egységes és kötelező biztonsági minimumot írjon elő minden olyan hardver- és szoftvertermékre, amely közvetlenül vagy közvetve adatkapcsolatra képes egy hálózattal vagy más eszközzel .

A szabályozás fokozatosan lép érvénybe, a felkészülési időszak mérföldkövei pedig már most meghatározzák a gyártók és az importőrök stratégiáját .

Dátum	Szabályozási mérföldkő	Gyakorlati jelentőség a piacon
2024. december 10.	A rendelet hivatalos hatálybalépése	Elindult az átmeneti felkészülési időszak a teljes európai piacon .
2026. szeptember 11.	Sérülékenység- és incidensjelentési kötelezettség	A gyártóknak 24 órán belül korai riasztást kell küldeniük az aktívan kihasznált résekről az ENISA és a nemzeti CSIRT felé .
2027. december 11.	A rendelet teljes körű alkalmazása	Kizárólag a CRA követelményeinek megfelelő, CE jelöléssel ellátott termékek hozhatók forgalomba az EU-ban .

Irodai eszközök a célkeresztben: termékkategóriák és követelmények

A CRA nem kezeli egyformán az összes hardvert: kockázatalapú megközelítést alkalmaz . Minél kritikusabb szerepet tölt be egy berendezés a hálózat védelmében vagy a bizalmas adatok kezelésében, annál szigorúbb ellenőrzési folyamaton kell átesnie a forgalomba hozatal előtt .

Az irodai környezetben megtalálható eszközök három fő osztályba sorolhatók:

Kategória	Tipikus irodai eszközök	Megfelelőségértékelési eljárás	Gyártói követelmények
Alapeset (Default)	Hálózati nyomtatók, MFP gépek, okostévék, projektorok, egyszerű vezeték nélküli perifériák	Belső gyártói önértékelés (Module A) harmonizált szabványok alapján	Tervezéskori biztonság, alapértelmezett jelszavak tiltása, biztonsági frissítések garantálása
Fontos termékek – I. osztály (Class I)	Irodai Wi-Fi routerek, switchek, VPN-kliensek, jelszókezelők, beléptető és biometrikus olvasók, irodai biztonsági kamerák	Harmonizált európai szabványok hiányában kötelező bejelentett szervezeti (Notified Body) tanúsítás	Részletes kiberbiztonsági kockázatelemzés, szigorú hozzáférés-kezelés, szoftverösszetevők listája (SBOM)
Fontos termékek – II. osztály (Class II)	Tűzfalak, behatolásmegelőző (IPS/IDS) központi rendszerek, virtualizációs hipervizorok	Független külső audit és bejelentett szervezet általi típusvizsgálat kötelező	A legmagasabb szintű integritásvédelem, manipulációvédett hardveres titkosító modulok vizsgálata

A mindennapi irodai eszközök zöme – mint a nagy teljesítményű hálózati nyomtatók és szkennerek – az alapkategóriába esik . Ugyanakkor ezek sem mentesülnek az alapvető műszaki elvárások alól: tilos a jól ismert univerzális adminisztrátori jelszóval szállítani őket, a hálózati kommunikációjukat titkosítani kell, és a távoli elérésük nem maradhat gyárilag nyitva .

Mit jelent ez a gyakorlatban?

A vállalati felhasználók és irodavezetők számára a CRA átláthatóságot és valódi védelmet hoz. Korábban megszokott volt, hogy egy olcsóbb hálózati kamerához vagy dokumentumkezelőhöz egy-két év elteltével már semmilyen biztonsági javítás nem érkezett, a gyártó egyszerűen magára hagyta az eszközt.

A rendelet ezt a gyakorlatot szünteti meg négy kulcsfontosságú területen:

Terület	Korábbi piaci gyakorlat	Követelmény a CRA után
Biztonsági frissítések	Önkényes időtartam, gyakran a vásárlás után hamar leállt a támogatás	A gyártónak előre meg kell határoznia és közzé kell tennie a támogatási időszakot (várható élettartamhoz mérten)
Frissítések jellege	A funkcióbővítések és javítások gyakran egy csomagban érkeztek, ami instabilitást okozott	A biztonsági javításokat el kell különíteni a funkcionális frissítésektől, és díjmentesen kell biztosítani azokat
Alapértelmezett beállítások	Könnyen kitalálható gyári jelszavak (pl. admin/admin) és nyitott tesztportok	Alapértelmezetten biztonságos konfiguráció (secure-by-default), kötelező egyedi jelszóadás az első bekapcsoláskor
Átláthatóság (SBOM)	A beépített nyílt forráskódú komponensek összetétele rejtve maradt	Részletes szoftverösszetevő-jegyzék (SBOM) vezetése, ismert hibák azonnali vizsgálata

Ez a szemlélet közvetlenül kiegészíti a NIS2 irányelvet is . Azok a közép- és nagyvállalatok, amelyek a NIS2 hatálya alá tartoznak, a beszállítói láncuk védelme érdekében a jövőben kizárólag olyan irodai hardvereket szerezhetnek be, amelyek igazoltan megfelelnek a CRA elvárásainak .

Tennivalók az irodai beszerzésekben

Bár a hardverek kötelező CE kiberbiztonsági megfelelősége 2027 végén lép teljes hatályba, a felkészülést érdemes azonnal beépíteni a vállalati folyamatokba . Egy most megvásárolt szerver, router vagy többfunkciós irodai nyomtató átlagos életciklusa 4-6 év, vagyis ezek az eszközök 2027 után is aktívan üzemelni fognak.

A zökkenőmentes átállást az alábbi lépések biztosítják:

Lépés	Teendő	Gyakorlati szempont a döntéshozóknak
1. Eszközleltár auditálása	Készítsünk pontos nyilvántartást az irodai hálózaton lévő valamennyi digitális eszközről	Azonosítsuk a firmware-frissítéssel már nem rendelkező, elavult perifériákat és kamerákat .
2. Beszerzési szabályzat frissítése	Írjuk elő feltételként a gyártói támogatási időszak (support period) írásos garanciáját	Kerüljük a noname vagy támogatási kötelezettségvállalást nélkülöző eszközök megvásárlását .
3. Hálózati szegmentáció	Válasszuk le az irodai IoT berendezéseket a belső vállalati hálózatról	A nyomtatók, okostévék és beléptetők kerüljenek külön védett virtuális hálózatra (VLAN).
4. Automatikus frissítéskezelés	Alakítsunk ki központi rendszert a berendezések belső vezérlőprogramjainak naprakészen tartására	A gyártói biztonsági értesítések figyelése és a javítások rendszeres telepítése minimalizálja a kockázatot .

Összefoglalva

A Cyber Resilience Act véget vet a védelem nélküli, gyorsan elavuló digitális irodai eszközök korszakának. Az új európai uniós jogszabály garantálja, hogy a 2027 után forgalomba hozott nyomtatók, hálózati elosztók és okos kiegészítők már a gyárból beépített védelemmel érkezzenek, és éveken át ingyenes biztonsági javításokat kapjanak .

A hazai kkv-k és intézmények számára ez egyszerre jelent szigorúbb ellenőrzési szempontokat a beszerzések során, valamint lényegesen kiszámíthatóbb, biztonságosabb informatikai környezetet.