# NIS2 és a webszerverek biztonsága

> A NIS2-kötelezettségek vállalkozásoknak általánosan magyarázva: kockázatkezelés, bejelentések, a vezetés felelőssége és mit jelent mindez a webszerverekre.

Forrás: https://phpsos.de/hu/compliance/nis2/  
Állapot: 2026. 10. 25.  
Szolgáltató: PHP SOS, PHP-vészhelyzeti segítség és szerverbiztonság. Azonnali segítség WhatsAppon: https://wa.me/491736494914?text=%C3%9Cdv%C3%B6zl%C3%B6m%2C%20PHP%20SOS%21%20Seg%C3%ADts%C3%A9gre%20van%20sz%C3%BCks%C3%A9g%C3%BCnk%20a%20PHP-szerver%C3%BCnkkel.%20C%C3%A9g%3A%20%E2%80%A6%20Weboldal%3A%20%E2%80%A6

**Röviden:** A NIS2 uniós irányelv a korábbinál lényegesen több vállalkozást kötelez kockázatkezelési intézkedésekre és a jelentős biztonsági incidensek bejelentésére. Németországban a NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG, német törvény) ülteti át; az illetékes hatóság a BSI (a német Szövetségi Információbiztonsági Hivatal). A webszerverekre ez elsősorban azt jelenti: a frissítéseket, a sebezhetőségkezelést és az incidensek kezelését szervezetten és igazolhatóan kell végezni. Ez az oldal általános tájékoztatás, nem jogi tanácsadás.

> **Fontos:**
> Nem jogi tanácsadás: hogy a vállalkozására vonatkozik-e a NIS2, és milyen kötelezettségek érvényesek egyenként, azt a BSI tájékoztatása alapján és jogi tanácsadással tisztázza. Tudatosan nem nevezünk meg olyan küszöbértékeket vagy határidőket, amelyek az Ön besorolásától függnek.

## Mi a NIS2

A NIS2 a hálózati és információbiztonságról szóló második uniós irányelv. A korábbi szabályozáshoz képest lényegesen kibővíti a kötelezett vállalkozások körét, és megkülönbözteti a kiemelten fontos és a fontos szervezeteket. Hogy mely ágazatokat és méretkategóriákat érint, azt a jogszabály határozza meg.

Németországban a NIS2UmsuCG ülteti át az irányelvet, és ennek keretében többek között újraszabályozza a BSI-törvényt. A BSI a kapcsolattartó a regisztrációhoz, a bejelentésekhez és a felügyelethez, és a weboldalán tájékoztatást és segédeszközöket nyújt a besoroláshoz. A határidőkre és az eljárásokra vonatkozó megbízható, aktuális adatokat ott talál, nem általános összefoglalókban.

## A NIS2-kötelezettségek vállalkozásoknak: áttekintés

Az érintett vállalkozásoknál a kötelezettségeket nagyjából három területre lehet bontani:

**Kockázatkezelés.** A vállalkozásoknak megfelelő és arányos műszaki és szervezési intézkedéseket kell hozniuk. Ide tartoznak jellemzően a kockázatelemzési és információbiztonsági koncepciók, a biztonsági incidensek kezelése, az üzemmenet fenntartása mentésekkel és válságkezeléssel, az ellátási lánc biztonsága, a beszerzés, a fejlesztés és a karbantartás biztonsága a sebezhetőségek kezelésével együtt, a hozzáférés-szabályozás és a kriptográfia.

**Bejelentések.** A jelentős biztonsági incidenseket be kell jelenteni a BSI-nek. Az irányelv erre fokozatos eljárást ír elő, a korai első bejelentéstől a záró jelentésig. A Németországra érvényes pontos határidőket és bejelentési utakat a BSI tájékoztatásából ismerheti meg.

**A vezetés felelőssége.** Az ügyvezetésnek jóvá kell hagynia az intézkedéseket, felügyelnie kell a megvalósításukat, és képeztetnie kell magát a kiberbiztonsági kérdésekben. Erről többet itt talál: [Az ügyvezetés felelőssége](https://phpsos.de/hu/compliance/geschaeftsfuehrer-haftung/).

## Mit jelent ez a webszerverekre

A webszerverek gyakran egy vállalkozás legszélesebben nyitott rendszerei. A PHP2Shell megmutatja, milyen gyorsan érintheti egy alapkomponens rése az összes rajta futó alkalmazást. A CVE-2026-109618 és a CVE-2026-109619 rés bejelentkezés nélküli kódfuttatást tesz lehetővé; a BSI a 3-as figyelmeztetési szintet (narancs) hirdette ki, és azonnali frissítést javasolt.

Egy NIS2-kötelezett vállalkozás számára ebből gyakorlati kérdések adódnak: tudjuk-e, mely szerverek használnak PHP-t, és milyen verzióban? Ki követi a biztonsági közleményeket, és ki dönt a sürgősségi frissítésekről? Fel tudunk-e ismerni egy támadást, és ki értékeli, hogy egy incidens jelentős-e, és ezáltal bejelentésköteles-e? Szabályozva van-e, mit vállal át a tárhelyszolgáltató és a szolgáltató?

A javítás nem távolítja el a korábban bejuttatott kártevőt, és nem bizonyítja, hogy nem történt semmi. Ez is az incidensértékeléshez tartozik.

## Konkrét intézkedések a webes infrastruktúrához

A következő pontok nem kimerítő lista, de a leggyakoribb hiányosságokat lefedik:

| Intézkedés | Vonatkozás |
|---|---|
| Az összes webszerver, PHP-verzió és alkalmazás leltára | Kockázatelemzés |
| Rögzített eljárás a biztonsági frissítésekhez, újraindítással és igazolással | Sebezhetőségkezelés |
| Felügyelet és naplómegőrzés | Incidenskezelés |
| Tesztelt mentések és újraindulási terv | Üzletmenet-folytonosság |
| Feladatmegosztás a tárhelyszolgáltatóval és az ügynökségekkel írásban | Ellátási lánc |
| Többfaktoros bejelentkezés az adminisztrátori hozzáférésekhez | Hozzáférés-szabályozás |
| Előkészített bejelentési utak és illetékességek | Bejelentési kötelezettségek |

Módszertani keretként a BSI IT-Grundschutz (német IT-alapvédelem) ajánlható. A [webszerverek IT-vészhelyzeti terve](https://phpsos.de/hu/compliance/notfallplan-erstellen/) összekapcsolja a technikát, az illetékességeket és a bejelentési utakat.

## A NIS2 és az adatvédelem együtt gondolása

Egy webszerver elleni támadás egyszerre lehet NIS2-incidens és adatvédelmi incidens. Ilyenkor két eljárás fut egymás mellett, eltérő hatóságokkal és követelményekkel. Az adatvédelmi felügyeleti hatóság felé a GDPR 33. cikke szerinti bejelentést a [GDPR-bejelentési kötelezettség: 72 óra](https://phpsos.de/hu/compliance/dsgvo-meldepflicht-72-stunden/) írja le. Tervezze meg előre mindkét utat, hogy éles helyzetben senkinek ne kelljen rögtönöznie.

Egy további pont a szolgáltatókat érinti. Sok vállalkozás ügynökségekkel gondoztatja a weboldalait, és tárhelyszolgáltatókkal üzemelteti a szervereit. Az ellátási lánc kockázatainak figyelembevételére vonatkozó kötelezettség a gyakorlatban azt jelenti: szerződésben szabályozni, ki telepíti a biztonsági frissítéseket, milyen gyorsan kezelik a kritikus réseket, hogyan tájékoztatják Önt az incidensekről, és milyen igazolásokat kap. A PHP2Shell körüli helyzet jó próbakő arra, hogy ezek a szabályozások már megvannak-e, és éles helyzetben működtek-e. Ha egy válasz hiányzik, az a kockázatkezelés egyik pontja.

## Hogyan segít konkrétan a PHP SOS?

- Felmérjük a webes infrastruktúráját, és olyan formában értékeljük a kockázatokat és a hiányosságokat, amelyet a kockázatkezeléséhez felhasználhat.
- Igazolható eljárást állítunk be a biztonsági frissítésekhez, és kérésre átvesszük [biztonsági karbantartási szerződéssel](https://phpsos.de/hu/leistungen/security-wartungsvertrag/).
- A [biztonsági monitoringgal](https://phpsos.de/hu/leistungen/security-monitoring/) és a naplómegőrzéssel megteremtjük az alapot az incidensek felismeréséhez és értékeléséhez.
- Incidens esetén szolgáltatjuk a műszaki tényeket a BSI-nek szóló bejelentéséhez; a jogi besorolás Önnél és a jogi tanácsadójánál marad.


## Gyakori kérdések

**Érinti a vállalkozásomat a NIS2?**  
Ez többek között az ágazattól és a vállalkozás méretétől függ. A pontos kritériumok a német átültető törvényből adódnak. A BSI (a német Szövetségi Információbiztonsági Hivatal) a weboldalán tájékoztatást nyújt az érintettségről; kétség esetén tisztázza a kérdést jogi tanácsadással.

**Mit jelent a NIS2 egy vállalati weboldalra nézve?**  
A webszerverek, az ügyfélportálok és a webshopok azok közé a rendszerek közé tartoznak, amelyek kockázatait az érintett vállalkozásnak kezelnie kell. Ide tartoznak a frissítések, a sebezhetőségkezelés, a hozzáférés-szabályozás, valamint az incidensek felismerésének és bejelentésének képessége.

**Milyen bejelentési határidők érvényesek a NIS2 szerint?**  
Az irányelv a jelentős biztonsági incidensekre fokozatos bejelentési eljárást ír elő. A Németországra érvényes kötelező határidőket, utakat és űrlapokat a BSI tájékoztatásából és a jogszabály szövegéből ismerheti meg. Itt tudatosan nem nevezünk meg az Ön helyzetére való vonatkozás nélkül határidőket.

**Érvényes a NIS2 a beszállítókra is?**  
A NIS2 előírja az érintett szervezeteknek, hogy az ellátási láncuk biztonságát is figyelembe vegyék. Ezért sok ügyfél kérdez rá a szolgáltatóinál és beszállítóinál a biztonsági intézkedésekre, akkor is, ha ezek maguk közvetlenül nem tartoznak a törvény hatálya alá.

## Források

- [BSI](https://www.bsi.bund.de/)
- [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [GDPR 33. cikk](https://dsgvo-gesetz.de/art-33-dsgvo/)