Egy webáruház ma már ritkán működik önálló rendszerként. A háttérben készletkezelés, számlázás, online fizetés, futárszolgálati kapcsolatok, ERP-rendszer, külső API-k és különböző felhasználói jogosultságok kapcsolódnak hozzá. Ami a vásárló számára egyszerű webshopnak látszik, valójában egy jóval összetettebb informatikai környezet része.
Ahogy növekszik egy e-kereskedelmi vállalkozás, egyre nehezebb élesen elválasztani egymástól a webshopot és a mögötte működő infrastruktúrát. Ezért van az, hogy egy biztonsági probléma nem feltétlenül magán a webáruházon keresztül jelentkezik: kiindulhat egy kompromittált felhasználói fiókból, hibás jogosultságkezelésből vagy sérülékeny külső integrációból is. A kiberbiztonsági szabályozás ezért a vállalkozás működését jóval tágabban vizsgálja.
A NIS2 esetében ezért nem az a legjobb első kérdés, hogy „megfelel-e a webshopom a NIS2 követelményeinek?” Előbb azt kell tisztázni, hogy a webáruházat működtető vállalkozás egyáltalán a szabályozás hatálya alá tartozik-e. Ha igen, külön meg kell vizsgálni azt is, milyen kötelezettségek vonatkoznak rá, és ezek között szerepel-e a kötelező kiberbiztonsági audit. A NIS2 hatálya alá tartozás és az auditkötelezettség ugyanis nem ugyanaz.
Nem minden webshop NIS2-köteles
A NIS2 jelentősen kibővítette az Európai Unió kiberbiztonsági szabályozását. A szabályozás ágazatok és szervezettípusok alapján határozza meg az érintettek körét. A törvény 2. és 3. melléklete többek között energetikai, közlekedési, egészségügyi, digitális infrastruktúrával foglalkozó, postai, élelmiszeripari, vegyipari és egyes gyártó vállalkozásokat nevesít, a digitális szolgáltatók között pedig az online piacterek is megjelennek. Ez azonban nem jelenti azt, hogy minden interneten értékesítő vállalkozás automatikusan NIS2-köteles. Egy kereskedő, aki a saját termékeit a saját webshopjában értékesíti, önmagában még nem minősül online piactérnek.
Az online piactér olyan felület, amely más kereskedők vagy felhasználók számára is lehetővé teszi, hogy azon keresztül távollevők közötti szerződéseket kössenek. Tipikusan tehát több eladó kínálata jelenik meg ugyanazon a platformon, ami lényegesen eltér egyetlen kereskedő saját webáruházának működésétől. Ez az egyik legfontosabb különbség, amit egy webshop üzemeltetőjének tisztán kell látnia.
Mikor érintett egy webáruház?
Nem azt kell elsősorban vizsgálni, hogy van-e kosár és online fizetés az oldalon, hanem azt, milyen gazdasági tevékenységet végez a webáruház mögött álló vállalkozás.
Előfordulhat például, hogy egy cég saját gyártású termékeket értékesít online, miközben maga a gyártási tevékenység a Kiberbiztonsági törvény valamely érintett ágazatába tartozik. Más vállalkozás online piacteret működtet, vagy olyan digitális szolgáltatást nyújt, amelyet a jogszabály külön nevesít.
A törvény 3. mellékletében több, e-kereskedelmi szempontból is releváns terület szerepel. Ide tartozhatnak bizonyos élelmiszeripari vállalkozások, vegyi anyagok gyártói és forgalmazói, orvostechnikai eszközök gyártói, egyes ipari gyártók, postai szolgáltatók és az online piacterek. Az érintettséget azonban mindig a vállalkozás tényleges tevékenysége alapján kell megítélni.
Egy műszaki cikkeket forgalmazó webshop tehát nem válik automatikusan érintetté csak azért, mert olyan termékeket értékesít, amelyek gyártása szerepel a törvényben. A kereskedelmi és a gyártási tevékenység ebből a szempontból nem azonos.
A méret is számít
Az ágazati besorolás önmagában nem minden esetben határozza meg a kötelezettséget. A jelenlegi magyar szabályozás főszabály szerint azokat a 2. és 3. melléklet szerinti szervezeteket érinti, amelyek elérik a törvényben meghatározott vállalatméretet vagy más méretfeltételeket.
A jogszabály többek között az 50 főt elérő foglalkoztatotti létszámmal, illetve egyes esetekben a 10 millió eurónak megfelelő árbevételi és mérlegfőösszeg-határral számol. Ez már számos nagyobb forgalmú e-kereskedelmi vállalkozás számára is releváns nagyságrend lehet.
A besorolás ugyanakkor nem mindig intézhető el az adott kft. alkalmazotti létszámának és éves árbevételének ellenőrzésével. Vállalatcsoportoknál, kapcsolódó és partnervállalkozásoknál a KKV-minősítés külön vizsgálatot igényelhet. Egy több országban működő, saját gyártással rendelkező vagy több jogi személyen keresztül működtetett webshopnál ezért nem szabad kizárólag a webáruház saját forgalmából kiindulni.
Van néhány mérettől független kategória is
Bizonyos szervezeteknél a szabályozás nem a klasszikus vállalatméretből indul ki. Ilyen lehet például az elektronikus hírközlési szolgáltató, a bizalmi vagy DNS-szolgáltató, a legfelső szintű doménnév-nyilvántartó, illetve a doménnév-regisztrációt végző szolgáltató, amelyekre speciális szabályok vonatkozhatnak.
Ezért a gyakran emlegetett „50 fős NIS2-határ” könnyen félrevezető. Nem igaz az az egyszerűsítés, hogy ötven fő alatt biztosan nincs teendő, ötven fő felett pedig biztosan van. Az ágazatot, a vállalkozás méretét, tényleges tevékenységét és az esetleges speciális jogállását együtt kell vizsgálni.
És kinek kötelező maga az audit?
Ez egy újabb fontos választóvonal. A magyar Kiberbiztonsági törvény alapján az auditköteles szervezeteknek rendszeresen, független auditor bevonásával kell igazolniuk, hogy megfelelnek az előírt kiberbiztonsági követelményeknek.
A főszabály kétévenkénti kiberbiztonsági auditot ír elő. Az újonnan nyilvántartásba vett szervezeteknek 120 napon belül megállapodást kell kötniük a megfelelő nyilvántartásban szereplő auditorral, az első auditot pedig főszabály szerint a nyilvántartásba vételtől számított két éven belül kell elvégeztetniük.
Az SZTFH 2026. július 10-i tájékoztatása szerint a nyilvántartott 2520 auditköteles szervezetből 2132 határidőben teljesítette ezt a kötelezettségét.
Az audit nem egyszerű weboldal-biztonsági ellenőrzés
Webshopos környezetben könnyű úgy elképzelni a kiberbiztonsági auditot, hogy egy szakember átvizsgálja a webáruházat, lefuttat néhány sérülékenységvizsgálatot, majd kiállít egy igazolást. A valóság ennél jóval összetettebb.
A NIS2 nem egyetlen weboldal védelmére koncentrál, hanem a szervezet működéséhez használt hálózati és információs rendszerek egészének kockázatait vizsgálja. Ide tartozik többek között a kockázatelemzés, az incidenskezelés, az üzletmenet-folytonosság, a biztonsági mentés és helyreállítás, az ellátási lánc biztonsága, a hozzáférések kezelése, a kriptográfia, a munkatársak képzése, valamint indokolt esetben a többfaktoros hitelesítés is.
Egy webáruháznál ezért nemcsak maga a webshop kerülhet a vizsgált körbe, hanem az ERP, a raktár- és ügyviteli rendszer, a vállalati e-mail, a munkatársak eszközei, az adminisztrátori hozzáférések, az API-k és a külső szolgáltatásokhoz kapcsolódó integrációk is. Ez már jóval több annál, mint annak ellenőrzése, hogy van-e SSL-tanúsítvány az oldalon.
Egy bérelt webshop sem „veszi le” a NIS2-t a kereskedő válláról
Itt fontos különválasztani a webshopplatform és az azt használó vállalkozás felelősségét. Egy korszerű SaaS-rendszer számos technikai feladatot átvesz a kereskedőtől: nem neki kell saját webszervert üzemeltetnie, biztonsági frissítéseket telepítenie vagy a teljes alkalmazáskódot felügyelnie. Ez komoly előny, de nem jelenti azt, hogy egy NIS2 hatálya alá tartozó vállalkozás automatikusan megfelel a követelményeknek csak azért, mert biztonságos bérelt webshoprendszert használ. A megfelelés ugyanis a szervezet egészére vonatkozik.
A NIS2 külön figyelmet fordít az ellátási lánc és a külső szolgáltatók jelentette kockázatokra. Egy auditköteles e-kereskedelmi vállalkozásnak ezért azt is ismernie kell, milyen külső rendszerekre támaszkodik, azok milyen adatokhoz férnek hozzá, és mennyire kritikusak az üzletmenet szempontjából.
Mit jelent ez Sellvio webáruház használata esetén?
A Sellvio több olyan technikai lehetőséget kínál, amely jól illeszkedik egy tudatos kiberbiztonsági működéshez. Az adminisztrációs felületnél például bekapcsolható a kétfaktoros azonosítás, így a jelszó mellett egy egyszer használatos kód is szükséges lehet a belépéshez. Ez különösen fontos ott, ahol rendelésekhez, ügyféladatokhoz, árakhoz és a webshop működését befolyásoló beállításokhoz lehet hozzáférni.
A rendszer részletes jogosultságkezelést is biztosít. Az új felhasználók nem kapnak automatikusan teljes hozzáférést, a rendszergazda pedig felhasználói és csoportszinten szabályozhatja, ki mit láthat, szerkeszthet vagy törölhet. Így például egy tartalomszerkesztőnek nem kell hozzáférnie a felhasználói adminisztrációhoz vagy más, számára nem szükséges modulokhoz.
Ez jól követi azt az alapelvet, hogy minden felhasználó csak azokhoz a rendszerekhez és adatokhoz férjen hozzá, amelyekre ténylegesen szüksége van a munkájához.
Az API-knál különösen fontos a jogosultság
Egy nagyobb webshop ritkán működik elszigetelten. Az adatok folyamatosan mozognak a webáruház, az ERP, a raktárkezelő, a számlázó, a logisztikai rendszer és más külső alkalmazások között. Minél több ilyen kapcsolat épül ki, annál fontosabb pontosan szabályozni, hogy egy-egy integráció milyen adatokhoz férhet hozzá.
A Sellvio REST API OAuth 2.0 alapú hitelesítést használ, a hozzáférések pedig külön jogosultsági körökkel, úgynevezett scope-okkal szabályozhatók. Így egy integrációnak nem kell automatikusan hozzáférést kapnia a webshop teljes adatkészletéhez, hanem csak azokhoz az adatokhoz, amelyekre ténylegesen szüksége van. Kiberbiztonsági szempontból ez lényeges különbség. Minél szűkebb és pontosabban meghatározott egy külső rendszer hozzáférése, annál kisebb a kockázat egy hibás konfiguráció vagy kompromittált integráció esetén.
Négy kérdés, amit minden nagyobb webshopnak érdemes feltennie
A vállalkozás tényleges tevékenysége szerepel a Kiberbiztonsági törvény érintett ágazatai között? Nem önmagában a webshop léte számít, hanem a mögötte álló szervezet tevékenysége.
Eléri a vállalkozás a vonatkozó méretküszöböt, vagy olyan speciális kategóriába tartozik, amelyre eltérő szabályok érvényesek?
Milyen elektronikus információs rendszerektől függ az üzlet működése? A webshop mellett ide tartozhat az ERP, a CRM, a raktárkezelés, a számlázás, az e-mail és az API-integrációk is.
Bizonyítható-e, hogy a biztonsági intézkedések nemcsak papíron léteznek, hanem ténylegesen működnek is? Egy audit során ez alapvető kérdés.
Ha már az első két pontra sem adható egyértelmű válasz, érdemes szakértő bevonásával tisztázni a vállalkozás NIS2 szerinti besorolását.
Jogi megjegyzés: a cikk általános szakmai tájékoztatás, nem minősül jogi vagy hatósági állásfoglalásnak. A NIS2 és a Kiberbiztonsági törvény hatályát minden esetben az adott vállalkozás tevékenysége, mérete, vállalatcsoporton belüli helyzete és egyéb jogi körülményei alapján kell megítélni.