Auditfelkészítés: bizonyítékkeretrendszer
A NIS2 audit nem a szabályzatok számán múlik, hanem azon, hogy minden követelményhez tartozik-e bizonyíték, és minden hiányhoz tartozik-e lezárt, mért hatásosságú intézkedés. Ez az oldal azt a keretrendszert adja közre, amit ehhez használunk, a munkafüzetekkel együtt.
Négy azonosító, egy lánc
A keretrendszer négy azonosítótípusra épül. Az azonosítók önmagukban nyilvántartási technikák; az értéket a köztük lévő kötelező kapcsolat adja.
| Azonosító | Formátum | Mit azonosít | Kapcsolati szabály |
|---|---|---|---|
| CTRL | CTRL-M03.04-## | Kontroll a kontrollmátrixban | Zárt lista, auditciklustól független |
| FND | FND-2026-### | Auditmegállapítás | Pontosan egy kontrollhoz kötődik |
| CAPA | CAPA-2026-### | Javító, megelőző vagy azonnali intézkedés | Pontosan egy megállapításhoz kötődik |
| EVID | EVID-2026-#### | Konkrét bizonyítékdarab | Kontrollhoz és intézkedéshez is köthető |
A szabály ugyanaz, mint a NIS2 auditterületeknél: ha egy bizonyítékot nem lehet egy héten belül előállítani, az nem bizonyíték, hanem terv.
Munkafüzetek kérésre
Három munkafüzet, amelyet e-mailben küldünk el. A gomb egy előre kitöltött levelet nyit a saját levelezőjében; a válasszal egy munkanapon belül megkapja a fájlt. Ugyanazt az azonosítósémát használják, tehát együtt egy rendszert alkotnak, de külön-külön is használhatók.
Minta a 96 tételes auditkörből: egy terület nyolc tétele, tételspecifikus kérdéssel, várt bizonyítéktípussal és vizsgálati módszerrel. A teljes listával a felkészítés során dolgozunk.
Javító intézkedések összesítő nézete: állapot- és öregedési metrikák, területi bontás, és a két tiltott állapot külön kimutatása nulla célértékkel. Hét munkalap.
Intézkedésnyilvántartás és bizonyíték-hozzárendelés: gyökérok, felelős, határidő, hatásosság-ellenőrzés, valamint a CTRL–FND–CAPA–EVID kereszthivatkozás. Tizenkét mintasorral.
A 96 tételes auditkör
Tizenkét terület, területenként nyolc tétel. Minden tételhez egy eldönthető kérdés tartozik — nem „megvan-e a szabályzat”, hanem például: dokumentált-e a szegmentációs architektúra, és igazolták-e éles forgalmi mintával.
| Terület | Tétel | Jellemző bizonyíték |
|---|---|---|
| GOV | Irányítás — 8 tétel | Testületi határozat, kijelölő okirat, politika, vezetői review jegyzőkönyv |
| EIR | EIR és osztályba sorolás — 8 tétel | Rendszerleltár-kivonat, besorolási döntés, függőségi térkép |
| RISK | Kockázat — 8 tétel | Kockázati regiszter, módszertan, kezelési terv, maradékkockázat-elfogadás |
| IAM | Hozzáférés — 8 tétel | Jogosultsági mátrix, fiókegyeztetés, kiváltságos hozzáférés naplói |
| OPS | Üzemeltetés — 8 tétel | Hálózati terv, tűzfalexport, mentési és visszaállítási jegyzőkönyv |
| VULN | Sérülékenység — 8 tétel | Sérülékenységi jelentés, javítási határidők, firmware-leltár |
| IR | Incidens — 8 tétel | Incidensnapló, bejelentési nyomvonal, gyakorlat jegyzőkönyve |
| BCP | Folytonosság — 8 tétel | BIA, helyreállítási célértékek, manuális üzemmódi eljárás, teszteredmény |
| SUP | Beszállító — 8 tétel | Biztonsági szerződésmelléklet, beszállítói értékelés, távoli hozzáférés naplói |
| HRTR | HR és képzés — 8 tétel | Belépési és kilépési checklist, oktatási jelenléti ív, lefedettségi kimutatás |
| PHYS | Fizikai — 8 tétel | Beléptetési naplók, zónakiosztás, gépházak és vezérlőszekrények védelme |
| AUD | Auditfolyamat — 8 tétel | Auditterv, mintavételi napló, megállapításkezelés, utóellenőrzés |
Öt vizsgálati módszer
Minden tételhez hozzá van rendelve, mivel vizsgálható. Egy tétel több módszert is kaphat; a módszer határozza meg, mit kell előkészíteni.
| Kód | Módszer | Tételek | Amit elfogad |
|---|---|---|---|
| D | Dokumentumvizsgálat | 94 | Jóváhagyott, datált, hatályos dokumentum |
| M | Mintavétel | 65 | Konfigurációs vagy naplóexport a vizsgált időszakból |
| I | Interjú | 33 | Felelős személy válasza, a leírt folyamattal összevetve |
| T | Rendszerteszt | 28 | Teszt jegyzőkönyve mérhető eredménnyel |
| O | Helyszíni megfigyelés | 6 | Bejárási feljegyzés, fotódokumentáció |
Két állapot, ami auditon megbukik
A CAPA Dashboard két helyzetet külön kimutat, mindkettőnél nulla célértékkel. Azért külön, mert ezek nem apró adminisztrációs hibák, hanem a lezárás érvényességét kérdőjelezik meg.
Lezárt, de nem tesztelt hatásosság. A lezárás azt állítja, hogy a hiba megszűnt. Ezt mérni kell, nem kijelenteni.
Bizonyíték nélküli lezárás. Intézkedés, amihez nem tartozik EVID-azonosító. Auditon nem védhető, és belső felülvizsgálaton sem.
Hogyan dolgozunk
Alkalmazhatósági szűrésA 96 tételt közösen szűrjük a szervezetre, minden kihúzott tételhez rögzített indoklással.
BizonyítékleltárTételenként feltérképezzük, milyen bizonyíték áll ma rendelkezésre, hol, és ki a gazdája.
Hiányok és intézkedésekA hiányokat priorizáljuk, és mindegyikhez igazolt gyökérokkal, felelőssel és határidővel nyitunk intézkedést.
Auditra kész csomagLezárás előtt mérjük a hatásosságot, és az auditorhoz bizonyítékregiszterből adunk át.
Gyártócég? Üzemi átvilágítás: NIS2 és Lean egy bejárásból →
Auditfelkészítés kísérve
A felkészítés jellemzően a 96 tétel alkalmazhatósági szűrésével és a bizonyítékleltár első körével indul, majd a hiányok priorizálásával folytatódik.
Ingyenes NIS2 önértékelő felmérés → — 12 kérdés, azonnali eredmény, adattárolás nélkül.
info@just-b-ltd.comGyakori kérdések
- Mi az a bizonyítékkeretrendszer?
- Négy azonosítótípus és a köztük lévő kapcsolat: kontroll (CTRL), megállapítás (FND), javító intézkedés (CAPA) és bizonyíték (EVID). A keretrendszer azt teszi ellenőrizhetővé, hogy minden követelményhez tartozik-e bizonyíték, és minden hiányhoz tartozik-e lezárt, mért hatásosságú intézkedés.
- Mennyi kérdésből áll az auditkör?
- 96 tételből, tizenkét területre osztva, területenként nyolc tétellel. Minden tételhez tartozik egy konkrét, eldönthető kérdés, a várt bizonyíték típusa és a vizsgálati módszer.
- Mikor nem fogadható el egy lezárt javító intézkedés?
- Két esetben: ha a hatásossága nincs tesztelve, és ha nincs hozzá rendelt bizonyíték. A CAPA Dashboard mindkettőt külön kimutatja, nulla célértékkel.
- Használható a csomag NIS2 audit nélkül is?
- Igen. A tizenkét terület az ISO 27001 és az IEC 62443 kontrollcsoportjaival is átfedésben van, így belső felülvizsgálathoz és beszállítói auditra való felkészüléshez is használható.