A) Hatály, szervezeti felelősségek
☐ NIS2 érintettség és besorolás tisztázva (árazat + méret + szerep).
☐ Kijelölt felelős / projektgazda (nem csak IT).
☐ Vezetőségi jóváhagyás: NIS2 program elindítva (határidőkkel).
☐ Kapcsolattartó pont kijelölve (hatósági kommunikációra).
B) Rendszerleltár és kritikus rendszerek
☐ Elektronikus információs rendszerek leltára (rendszerek, szolgáltatások).
☐ Üzletkritikus rendszerek azonosítva (BIA vagy kritikalitás szerint).
☐ Fő adatvagyonok azonosítva (személyes adat, üzleti titok, stb.).
☐ Rendszerek besorolása (biztonsági osztály / kockázati szint).
C) Kockázatmenedzsment
☐ Kockázatkezelési módszertan dokumentálva.
☐ Kockázatértékelés elkészült és vezetői szinten elfogadott.
☐ Kezelési terv: intézkedések, felelős, határidők.
☐ Kockázatok felülvizsgálati ciklusa meghatározva.
D) Technikai és szervezeti kontrollok (minimum csomag)
☐ MFA kritikus rendszereken.
☐ Jogosultságkezelés: igénylés–jóváhagyás–visszavonás–felülvizsgálat.
☐ Patch menedzsment / frissítési rend.
☐ Mentések rendje (offline/immutable is) + rendszeres restore teszt.
☐ Naplózás + logmegőrzés alapelvek.
☐ Alap hálózati védelem (szegmentáció, tűzfal szabályok).
☐ Végpontvédelem (EDR/AV) + felügyelet.
☐ Sérülékenységkezelés (scan, eredmények kezelése).
E) Incidenskezelés és bejelentés
☐ Incidenskezelési eljárás dokumentálva.
☐ Incidens minősítési logika: mi jelentendő és mi nem.
☐ Eszkalációs rend: ki értesít kit és mikor.
☐ Gyakorlat / teszt megtörtént az elmúlt 12 hónapban.
F) Beszállítók és külső partnerek
☐ Kritikus beszállítók listája + kockázati értékelés.
☐ Szerződéses biztonsági követelmények (SLA, DPA, logging, audit jog).
☐ Külső hozzáférések kontrollja (VPN, MFA, jogosultság felülvizsgálat).
G) Auditálhatóság és bizonyítékok
☐ Információbiztonsági szabályzat + mellékletek naprakészen.
☐ Dokumentált evidenciák: logok, jegyzőkönyvek, riportok, ellenőrzések.
☐ Belső audit / vezetői áttekintés működik.
A) Dokumentumok és rendszerlogika
☐ ISMS scope tiszta és indokolt.
☐ Politika jóváhagyott, kommunikált.
☐ ISMS célok és mérés (KPI-k).
☐ Kockázatkezelési módszertan naprakész.
☐ Kockázatértékelés frissítve (utolsó 12 hónap).
☐ Kockázatkezelési terv létezik (tulajdonosokkal).
☐ SoA elkészült és összhangban van a kockázatokkal.
B) Kötelező evidenciák (audit kedvencek)
☐ Asset leltár / információvagyon nyilvántartás.
☐ Hozzáféréskezelési folyamat működik + minták.
☐ Jogosultság felülvizsgálat elvégezve és dokumentálva.
☐ Kilépési folyamat (offboarding) bizonyítékokkal.
☐ Mentési rend + restore teszt jegyzőkönyv.
☐ Patch rend + minták (ticket / change).
☐ Incidens napló + eseménykezelési szabályok.
C) Beszállítók
☐ Beszállító nyilvántartás + kritikus besorolás.
☐ DPA / security követelmények szerződésekben.
☐ Felhős szolgáltatók kockázatai dokumentálva.
D) Tudatosság és HR
☐ Belépő oktatás megvan.
☐ Éves tudatossági kampány megvan.
☐ Titoktartás / NDA-k rendben.
E) Auditképesség
☐ Belső audit lezajlott.
☐ Nemmegfelelőségek kezelése dokumentálva.
☐ Vezetőségi átvizsgálás megtörtént.
☐ Audit program / audit területfelelősök felkészítve.
Jogszabályi megfelelés – 12 pontos mini lista
☐ Jogszabályfigyelés módja meghatározva (ki, hogyan, milyen gyakran).
☐ Vonatkozó jogszabálylista / megfelelési mátrix elkészült.
☐ Követelmények értelmezése: mit kell teljesíteni telephelyenként.
☐ Felelősök kijelölve követelményenként.
☐ Megfelelés bizonyítékai rögzítve (mérés, jegyzőkönyv, engedély).
☐ Megfelelésértékelés évente minimum 1× megtörténik.
☐ Nemmegfelelőségek kezelése dokumentált (határidő, felelős).
☐ Környezetvédelmi engedélyek nyilvántartása naprakész.
☐ Adatszolgáltatások és hatósági bejelentések rendje tiszta.
☐ Hulladék nyilvántartások és szerződések rendezettek.
☐ Kibocsátások / mérések / monitoring dokumentált.
☐ Hatósági ellenőrzések tapasztalatai beépítve.
☐ Minden energiahordozót figyelembe vettetek (villany, gáz, üzemanyag, hő)?
☐ Megvannak 12–36 hónap fogyasztási adatok?
☐ Van telephely/folyamat bontás (nem csak összes)?
☐ Azonosítottátok a SEU-kat (Significant Energy Use)?
☐ A SEU-k legalább 80%-a mérhető (al-mérés / becslés dokumentáltan)?
☐ Tudjátok, mi befolyásolja a SEU-k fogyasztását (változók: termelés, hőmérséklet, műszak)?
☐ Van energia baseline (EnB) – és releváns?
☐ Használtok energia performance indicatorokat (EnPI)?
☐ Van energiaáramlási térkép / Sankey / energiafolyamat ábra?
☐ Azonosítottátok a fő veszteségpontokat (szivárgás, standby, túlzott hűtés-fűtés)?
☐ Készült rangsor: hol a legnagyobb megtakarítás (TOP 5)?
☐ Készült gazdasági értékelés (megtérülés / CAPEX / OPEX)?
☐ Van akcióterv: felelős, határidő, mérés?
☐ Az intézkedések után van visszamérés (verifikáció)?
☐ A review évente frissül (nem egyszeri projekt)?
A) Shadow AI feltérképezés
☐ Van lista az engedélyezett AI eszközökről.
☐ Tudjátok, hogy jelenleg milyen AI-t használnak a részlegek (Marketing, HR, Sales, IT, jog)?
☐ Van policy az AI használatra (tiltásokkal).
☐ Van kontroll az új AI eszköz bevezetésére (jóváhagyás, kockázatelemzés).
B) Prompt = adat (adatvédelem)
☐ Egyértelműen tiltva van személyes adat promptba vitele (különösen HR/egészségügy).
☐ Tiltva van szerződés, tenderanyag, ügyféllevelezés promptba másolása.
☐ Van anonimizálási/mintázási módszer biztonságos promptoláshoz.
C) Output kontroll (hallucináció elleni védelem)
☐ Az AI outputot kritikus területen mindig ellenőrzi ember (human-in-the-loop).
☐ Külön szabály van: ügyfélnek menő AI szöveg jóváhagyás nélkül nem mehet ki.
☐ Van verziókövetés és dokumentálás AI által létrehozott belső anyagokra.
D) Beszállító / modellkockázat
☐ Külső AI szolgáltatók szerződésében adatkezelési és titokvédelmi pontok vannak.
☐ Felhős AI esetén szabályozott a tenant / adatmegőrzés / training opt-out.
☐ Van kockázati besorolás: mely AI használat magas kockázat (HR, scoring, döntés).
E) Tudatosság + incidens
☐ AI tudatossági képzés megtörtént (prompt hygiene, adatvédelem).
☐ Van AI incidenskezelés: mi a teendő prompt leak vagy rossz output esetén?