Megfelelőségi keretrendszer: 6 pillér, ami kritikus 2026-ban
A vállalati hitelesség ma már nem egyetlen megfelelőségi címkén áll vagy bukik. Ha tényleg auditbiztos, beszerzéstűrő és incidensekre felkészült működést szeretnél, akkor egyszerre több, egymást kiegészítő rendszerre van szükséged. Mutatjuk, melyik megfelelőségi keretrendszer mit fed le, hol végződik, és miért csak rétegezve adnak valódi védelmet.
Tartalomjegyzék
- Miért nem elég ma egyetlen megfelelőségi címke?
- ISO/IEC 27001: az információbiztonsági alap
- COBIT: irányítás és kontrollérettség
- ITIL 4: szolgáltatásminőség és működés
- GDPR: adatvédelmi kötelezettség
- SOX és SOC 2: bizalom auditbizonyítékkal
- NIS2: az európai kiberreziliencia kerete
- A rétegzett megfelelőségi keretrendszer ereje
- A hitelesség nem logó, hanem rendszer
Miért nem elég ma egyetlen megfelelőségi címke?
A vállalatok már régen nem egyszerűen szoftvert vagy szolgáltatást vásárolnak. A beszerzési kérdőívekben ma már átláthatóság, incidenskezelés, beszállítói lánc kockázatkezelése, adatvédelem és auditnyom is szerepel. Ezt sokszor egyetlen csapatnak kell egyszerre kezelnie.
Egy modern megfelelőségi keretrendszer ezért nem lehet egyetlen tanúsítvány vagy hivatkozás. Ha az IT-vezető, a jogi osztály, az adatvédelmi felelős és a pénzügyi audit ugyanattól a szolgáltatótól vár bizonyítékot, akkor a válaszoknak ugyanazt a kontrollkörnyezetet kell több nézőpontból megmutatniuk.
Ez a cikk pontosan ezért nem egyetlen szabályozást emel ki. Helyette végigvezetünk hat olyan keretrendszeren, amely 2026-ban a legtöbb beszerzési és audit szituációban előkerül. Mindegyiknél megnézzük, mire jó, hol végződik, és miért csak több réteggel együtt értelmezhető. A végén pedig megmutatjuk, miért éppen a rétegezés adja a valós piaci hitelességet.
ISO/IEC 27001: az információbiztonsági alap
Az ISO/IEC 27001 a legszélesebb körben elfogadott információbiztonsági irányítási rendszer (ISMS) szabvány. Kockázatalapú gondolkodást, dokumentált kontrollokat, rendszeres felülvizsgálatot és külső auditálhatóságot kínál. Ha egy szolgáltatónak van érvényes ISO 27001 tanúsítványa, akkor a beszerző már nem nulláról indul: tudja, hogy a folyamat szabályozott, mérhető és visszaellenőrizhető.
Ennek ellenére az ISO 27001 önmagában nem fed le mindent. Erős ISMS gerincet ad, de nem szolgáltatásmenedzsment-rendszer, nem teljes IT-irányítási modell és nem adatvédelmi jogi keret. Egy szervezet lehet ISO 27001 tanúsított és közben mégis hiányos lehet az adatvédelmi gyakorlata vagy a napi üzemeltetési érettsége.
Ezért az ISO 27001 a legtöbb felépített kontrollkörnyezetben az első réteg. Stabilan tartja az információbiztonsági alapot, de mellé kell állítani a működési és jogi rétegeket is, hogy a teljes megfelelőségi keretrendszer ne csak technikai szempontból legyen erős.
COBIT: irányítás és kontrollérettség
A COBIT az IT-irányítás (governance) felől közelít. Itt a fő kérdés nem az, hogy a tűzfal jól van-e konfigurálva, hanem az, hogy az IT mint funkció hogyan járul hozzá az üzleti célokhoz. A COBIT a felelősségi rendet, a mérhetőséget, a kontrollérettséget és a vezetői átláthatóságot helyezi a középpontba.
Ezért szeretik a könyvvizsgálók és a nagyvállalati audit szervezetek. A COBIT ad egy közös nyelvet a CIO és a CFO között: olyan kontrollkörnyezetet ír le, amelyben a felső vezetés is látja, melyik IT-folyamat milyen üzleti kockázatot kezel. Ezért egy jól kiépített megfelelőségi keretrendszer szinte mindig tartalmaz COBIT-szerű governance réteget.
A COBIT azonban önmagában nem napi működési kézikönyv. Nem mondja meg, hogyan kezelj egy konkrét incidenst, hogyan futtasd a release folyamatot, vagy hogyan dokumentáld egy adatfeldolgozási tevékenység jogalapját. Ez egy stratégiai szintű keret, amelynek a hétköznapi végrehajtáshoz további rétegre van szüksége. A legtöbb modern megfelelőségi keretrendszer ezért építi össze a COBIT-ot egy operatív szabványnal, jellemzően az ITIL 4-gyel.
ITIL 4: szolgáltatásminőség és működés
Az ITIL 4 ott folytatja, ahol a COBIT abbahagyja. A szolgáltatásmenedzsment, az incidens-, problem-, change- és release-folyamatok napi gyakorlata mind ide tartozik. Ha valaha bejelentettél egy ticketet, eskaláltál egy üzemzavart, vagy átestél egy szabályozott telepítésen, akkor már találkoztál ITIL elvekkel.
Az ITIL 4 különösen fontos, amikor egy szoftverforrás vagy IT-szolgáltató mögött nemcsak technika, hanem ügyfélélmény is áll. A ticketek átfutási ideje, a SLA betartása, a változáskezelés rendezettsége mind olyan tényező, amelyet egy beszerzési felelős konkrétan számon kér. Ez teszi kézzelfoghatóvá, hogy a megfelelőség nem csupán papírkérdés.
Ugyanakkor az ITIL 4 nem szabvány a szó tanúsítási értelmében és nem is jogi keret. Hiába tökéletes a szolgáltatásmenedzsment, ha nincs mögötte erős security governance vagy adatvédelmi szabályozás. Egy érett megfelelőségi keretrendszer ezért az ITIL 4-et nem önmagában futtatja, hanem ISO 27001-gyel és GDPR megfeleléssel együtt.
GDPR: adatvédelmi kötelezettség
A GDPR az Európai Unió kötelező adatvédelmi rendelete. Itt nem opció a megfelelés. Ha bármilyen módon érintenek személyes adatokat, akkor jogalapra, célhoz kötöttségre, adatminimalizálásra és átláthatóságra van szükség. Az érintetti jogok kezelése (hozzáférés, törlés, hordozhatóság) kötelező működési elem.
A GDPR azért is fontos egy megfelelőségi keretrendszer részeként, mert a legtöbb auditkérdés és beszerzési kérdőív ide vezet vissza. Hol tárolják az adatot? Ki fér hozzá? Mi történik incidens esetén? Mi a megőrzési idő? Ezek mind GDPR alapú kérdések.
Ezzel együtt a GDPR önmagában nem teljes kiberbiztonsági architektúra. A rendelet a személyes adatok kezelését szabályozza, nem az IT-rendszerek üzemeltetésének minden részletét. Egy szervezet lehet formailag GDPR-megfelelő úgy, hogy közben nincs érett incidenskezelése vagy beszállítói kockázatkezelése. Ezért kell mellé legalább információbiztonsági (ISO 27001) és működési (ITIL 4) réteg.
SOX és SOC 2: bizalom auditbizonyítékkal
A SOX (Sarbanes-Oxley) és a SOC 2 amerikai eredetű kontroll-logikák, amelyek a nemzetközi és nagyvállalati ügyfélkörben gyakran kérés szintjén előkerülnek. A SOX a pénzügyi kimutatásokhoz kapcsolódó belső kontrollokra fókuszál. A SOC 2 ezzel szemben a szolgáltatók kontrollkörnyezetét vizsgálja a Trust Services Criteria mentén: biztonság, elérhetőség, feldolgozási integritás, bizalmasság és adatvédelem.
Ezek a keretek nem helyettesítik az európai jogi megfelelést, viszont kiváló auditbizonyíték-réteget adnak. Egy SOC 2 Type II jelentés lényegében azt mutatja meg, hogy a kontrollok nemcsak léteznek a papíron, hanem egy adott időszak alatt ténylegesen működtek is. Ez különösen fontos, ha a szolgáltató nemzetközi ügyfeleket szolgál ki, vagy egy nagyvállalat vendor risk értékelésén megy keresztül. Egy nemzetközileg is hiteles megfelelőségi keretrendszer szinte mindig tartalmaz ilyen attesztációt.
A korlát itt sem hiányzik. A SOX és a SOC nem ad teljes válasz az európai szabályozási környezetre, és nem helyettesíti az ISMS-t vagy a GDPR-t. Egy magyar piacon működő megfelelőségi keretrendszer esetén ezek inkább kiegészítő rétegként számítanak, nem fő pillérként.
NIS2: az európai kiberreziliencia kerete
A NIS2 (Network and Information Security 2 irányelv) az Európai Unió legfrissebb és egyik legszélesebb hatókörű kiberbiztonsági szabályozása. Kockázatkezelési intézkedéseket, kötelező incidensjelentést, vezetői felelősséget és ellátási lánc kontrollt ír elő, különösen az úgynevezett alapvető (essential) és fontos (important) ágazatokban. Magyarországon a NIS2 hazai átültetése komoly hatást gyakorol a kritikus infrastruktúrákra és sok közepes méretű vállalatra is.
A NIS2 ereje, hogy jogi kötelezettséggé teszi azt, ami eddig sokak számára csak ajánlott jó gyakorlat volt. A vezetői felelősség konkrét, az incidensjelentési határidők szigorúak, a beszállítói lánc pedig kifejezetten a fókuszban van. Egy mai megfelelőségi keretrendszer nem teljes NIS2 figyelembevétele nélkül.
Ugyanakkor érdemes józanul nézni: a NIS2 önmagában nem részletes üzemeltetési kézikönyv, nem teljes információbiztonsági szabvány és nem szoftverminősítési címke. Az irányelv azt mondja meg, mit kell elérni, de azt nem írja le aprólékosan, hogyan. Ehhez továbbra is szükség van ISO 27001 szintű ISMS-re, ITIL 4 alapú szolgáltatásmenedzsmentre, GDPR-megfelelésre és gyakran COBIT alapú governance-re.
Ezért egy olyan kommunikáció, amely kizárólag a NIS2-re hivatkozik, csak a teljes kép egyik szeletét mutatja. A NIS2 akkor kap valódi üzleti súlyt, ha a többi keret kontextusában jelenik meg, és nem önmagában áll. Egy érett megfelelőségi keretrendszer ezért nem NIS2-helyett, hanem NIS2-vel együtt épül fel.
Ha mélyebben szeretnéd megismerni a NIS2 hatókörét és a hazai szabályozási hátteret, érdemes az európai kiberbiztonsági ügynökség hivatalos forrásait használni: ENISA NIS2 áttekintő anyagok.
A rétegzett megfelelőségi keretrendszer ereje
Ha az eddigieket egymás mellé teszed, kirajzolódik a minta. Mindegyik szabvány vagy jogi keret más nézőpontból fedi le ugyanazt a működést. Az ISO 27001 az információbiztonsági kontrollokról beszél, a COBIT az irányításról, az ITIL 4 a napi szolgáltatásokról, a GDPR az adatvédelemről, a SOC 2 az auditbizonyítékról, a NIS2 pedig a kiberreziliencia jogi keretéről. Ugyanaz a kontroll sokszor mindegyikben megjelenik, csak más néven.
Ez a rétegezés nem fölösleges papírmunka. Inkább fordítókulcs a szervezet különböző szereplői felé. A beszerző mást keres, mint az adatvédelmi felelős. A pénzügyi audit más bizonyítékot kér, mint az IT-üzemeltetés. Egy érett megfelelőségi keretrendszer mindegyik nézőpontnak ugyanazt a valóságot tudja megmutatni, csak más szótárral.
Ez az oka annak, hogy a piacon az utóbbi években megnőtt az érdeklődés a többszörös bizonyítékot felmutatni képes szolgáltatók iránt. Nemcsak Magyarországon, hanem az egész uniós B2B piacon. Egy modern beszerzési kérdőív már ritkán kérdezi azt, hogy „van-e ISO 27001 tanúsítványa”. Ehelyett azt kérdezi, hogy „mutassa be a teljes kontrollkörnyezetét több szabvány leképezésében”.
Hogyan illeszkednek a rétegek a gyakorlatban?
Egy konkrét példa segít megérteni. Tegyük fel, hogy egy szolgáltatónál előfordul egy adatvédelmi incidens. A GDPR megmondja, mit kell tenni a bejelentés és az érintettek értesítése terén. Az ISO 27001 előírja, hogyan kell dokumentálni a kontroll hibáját és a tanulságokat. Az ITIL 4 megadja a részletes incidens-folyamatot, a gyökérok-elemzést és a problem managementet. A COBIT megmutatja, hogyan kerüljön mindez vezetői reportingba. A NIS2 pedig kötelezővé teszi az illetékes hatóság értesítését és a vezetői felelősséget.
Egyetlen keret sem fedi le az egészet. Hat keret együtt viszont igen. Pontosan ezért működnek a sokrétegű megfelelőségi keretrendszer dokumentációk: nem egyetlen logót adnak, hanem egy teljes választérképet a felmerülő kérdésekre. Ha érdekel, hogyan kapcsolódik mindez a Microsoft licencvásárlás konkrét szempontjaihoz, érdemes megnézned a Microsoft 365 megoldásokat és a Windows 11 licencelést is, ahol ezek a kontrollok a gyakorlatban is megjelennek.
A hitelesség nem logó, hanem rendszer
A piac mozog. A beszerzési csapatok és az audit funkciók ma már nem a legmagasabbra tartott címkét keresik, hanem azt nézik, hogy egy szolgáltató mennyire tud egy összefüggő, dokumentált, több szabvány szerint is értelmezhető kontrollkörnyezetet felmutatni. Aki kizárólag egyetlen rövidítést hangoztat, csak a kép egy szeletét mutatja meg.
Egy modern megfelelőségi keretrendszer ezért nem azzal kezdődik, hogy melyik szabványra hivatkozunk leghangosabban. Ott kezdődik, hogy a háttérben futó működés átlátható, ismételhető és több nézőpontból is kiállja a vizsgálatot. A jogi, az információbiztonsági, az operatív és az adatvédelmi nézőpont mind ugyanannak a működésnek a tükörképei kell, hogy legyenek.
Ha szoftverforrást vagy partnert választasz, érdemes ebben a logikában gondolkodnod. Ne egyetlen címkét keress, hanem egy összehangolt rétegrendszert. A valódi értéket nem a marketingüzenet adja, hanem a mögötte álló dokumentált kontrollok láncolata. A jól felépített megfelelőségi keretrendszer pontosan ezt a láncolatot teszi láthatóvá az ügyfél és az auditor felé.
Audit-biztos Microsoft licencek MasterKeys-től
Egy átfogó megfelelőségi keretrendszer a beszállítóidnál kezdődik. A MasterKeys minden licencet auditálhatóan, EGT-n belüli forrásból, jogtisztán szerez be. Számlás, magyar nyelvű támogatással, dokumentált ellátási lánccal. Pontosan az a fajta beszállító, aki egyetlen címke helyett több keret nyelvén is válaszol.
Üzleti licencmegoldások