Megfelelőségi kompetenciák iparáganként: DORA, NIS2, AI Act, CRA

Milyen szabályozásoknak való megfelelésben segít a BlackBelt?

A BlackBelt Technology olyan szoftvereket tervez, fejleszt, integrál és üzemeltet, amelyeknek az EU-s és hazai szabályozásoknak is meg kell felelniük. Pénzintézeteknek a DORA, a NIS2 hatálya alá tartozó szervezeteknek a NIS2 követelményei szerint dolgozunk. Fejlesztési folyamatainkat a „security-by-design” elv mentén építjük fel.

A megfelelés nem egy utólagos audit. Egy szabályozás a rendszer architektúrájában, a naplózásban, az incidenskezelésben, a beszállítói szerződésekben és a dokumentációban dől el. Az alábbiakban iparáganként mutatjuk be, mely szabályozások érintik az Ön szoftvereit, és hol tudunk ebben segíteni.

Milyen tanúsítványokkal rendelkezik a BlackBelt?

A BlackBelt információbiztonsági irányítási rendszere ISO/IEC 27001:2023, minőségirányítási rendszere ISO 9001:2015 szerint tanúsított. Mindkét tanúsítvány a teljes szoftveres életciklusra vonatkozik: a tervezéstől és fejlesztéstől az integráción át az üzemeltetésig.

Ez azért számít, mert a DORA és a NIS2 is elvárja, hogy a szervezet a beszállítói láncot is ellenőrizze. Egy ISO/IEC 27001 szerint tanúsított fejlesztőpartner ezt az ellenőrzést egyszerűsíti.

Pénzügy, bank és biztosítás: milyen szabályozások érintik a szoftvereket?

A pénzügyi szektorban a DORA, az MNB elvárásai, a PSD3 és a PSR, az eIDAS 2.0, az AI Act és a GDPR együtt határozza meg, hogyan épülhet fel egy banki vagy biztosítói rendszer. A BlackBelt ICT-szolgáltatóként a DORA beszállítói követelményei szerint dolgozik pénzintézeti ügyfeleinek.

• DORA (Digital Operational Resilience Act): 2025. január 17. óta alkalmazandó. Az ICT-kockázatkezelést, az incidensjelentést, a rezilienciatesztelést és a külső ICT-szolgáltatók kontrollját szabályozza. A szoftverbeszállítónak szerződésben kell vállalnia a DORA szerinti együttműködést, auditálhatóságot és üzletmenet-folytonosságot.
• PSD3 és PSR: a PSD2-t váltó csomag végleges szövegeit 2026. április 23-án tették közzé. Az erős ügyfél-hitelesítést (SCA), a csalásmegelőzést és az open bankinget érinti. A kötelezettségek döntő része a jelenlegi becslések szerint 2028-tól alkalmazandó, a fejlesztési felkészülés most kezdődik.
• eIDAS 2.0 és EUDI Wallet: a bankoknak, biztosítóknak és fizetési szolgáltatóknak 2027. december 24-ig el kell fogadniuk az európai digitális személyazonosító tárcát az ügyfél-azonosításnál és az erős ügyfél-hitelesítésnél. Ez az onboarding- és hitelesítési rendszerek integrációs fejlesztése.
• AI Act: a hitelbírálatban és a biztosítási kockázatértékelésben használt MI magas kockázatú rendszernek minősül. A Digital Omnibus módosítás után ezek a kötelezettségek 2027. december 2-től alkalmazandók.
• MNB-elvárások és GDPR: az MNB ajánlásai és a GDPR adatvédelmi követelményei minden banki fejlesztés alapfeltételei.

Hogyan segít a BlackBelt: core banking és legacy modernizáció a működés megszakítása nélkül, biztonságos API- és open banking integráció, valamint csalásmegelőzési és hitelbírálati rendszerek fejlesztése.

NIS2: mit jelent a szoftverbeszállítónak?

A NIS2 irányelvet (EU 2022/2555) Magyarországon a 2025. január 1-jétől hatályos 2024. évi LXIX. törvény (Kiberbiztonsági törvény) ültette át, a versenyszférában az SZTFH felügyeli. A BlackBelt a NIS2 hatálya alá tartozó ügyfeleinek a NIS2 követelményei szerint fejleszt és üzemeltet.

Az érintett szervezetek köre széles: energetika, közlekedés, egészségügy, ivóvíz, digitális infrastruktúra, közigazgatás, posta és futárszolgálat, élelmiszer- és vegyipar, valamint a feldolgozóipar több ága, köztük a gépjármű-, az elektronikai, a gépgyártó és az orvostechnikai eszközöket gyártó ágazat. A szankció alapvető szervezetnél 10 millió eurónak megfelelő összeg vagy az éves globális forgalom 2%-a, fontos szervezetnél 7 millió euró vagy 1,4%, amelyik magasabb.

A NIS2 kifejezetten elvárja az ellátási lánc biztonságát, ezért a szoftverbeszállítót is ellenőrizni kell. A gyakorlatban ez a következőket jelenti:

• Naplózás és auditálhatóság: a rendszerben minden lényeges művelet visszakövethető, a naplók megőrzése és védelme megoldott.
• Hozzáférés-kezelés: szerepkör-alapú jogosultságok, többfaktoros hitelesítés és a jogosultságok rendszeres felülvizsgálata.
• Incidenskezelés: a szoftver támogatja a korai észlelést és a hatósági bejelentéshez szükséges adatok gyors előállítását.
• Beszállítói megfelelés: dokumentált fejlesztési és biztonsági folyamatok, amelyeket az ügyfél auditora ellenőrizni tud.

Hogyan segít a BlackBelt: NIS2-kompatibilis új rendszerek fejlesztése, meglévő alkalmazások felkészítése a kiberbiztonsági auditra, és az OT- és IT-rendszerek biztonságos integrációja.

Gyártás és ipar: CRA, Data Act, AI Act és GMP

A gyártóknál a NIS2 mellett három új EU-s szabályozás és az ágazati előírások szabják meg a szoftverek követelményeit: a Cyber Resilience Act, a Data Act, az AI Act, gyógyszeriparban pedig a GMP. Ezek a gyártott termékbe épített szoftvert és a gyártást irányító rendszereket egyaránt érintik.

• Cyber Resilience Act (CRA): 2026. szeptember 11. óta a digitális elemet tartalmazó termékek gyártóinak 24 órán belül jelenteniük kell az aktívan kihasznált sérülékenységeket és a súlyos incidenseket az ENISA-nak és a nemzeti CSIRT-nek. Ez a már forgalomban lévő termékekre is vonatkozik. A teljes követelményrendszer, köztük a CE-jelölés, 2027. december 11-től alkalmazandó. A bírság legfeljebb 15 millió euró vagy a globális éves forgalom 2,5%-a.
• Data Act: 2026. szeptember 12-től az újonnan forgalomba hozott okostermékeket és a kapcsolódó szolgáltatásokat úgy kell tervezni, hogy a keletkező adatok alapból, biztonságosan és ingyenesen elérhetők legyenek a felhasználónak (access by design). 2027. január 12-től megszűnnek a felhőszolgáltató-váltás díjai.
• AI Act: a szabályozott termékekbe (például orvostechnikai eszközökbe) épített magas kockázatú MI-re vonatkozó kötelezettségek a Digital Omnibus módosítás után 2028. augusztus 2-től alkalmazandók.
• Gyógyszeripar és orvostechnika: a gyártásirányító és minőségügyi szoftvereknek a GAMP 5 számítógépes rendszervalidálási (CSV) módszertanát, az EU GMP Annex 11 és az FDA 21 CFR Part 11 audit trail- és adatintegritási követelményeit is teljesíteniük kell.

Hogyan segít a BlackBelt: a szoftver biztonsági frissítéseit és sérülékenységkezelését támogató architektúra, az OT- és IT-rendszerek, PLC-k, SCADA- és MES-rendszerek biztonságos integrációja az ERP-vel, valamint Mendix és JUDO low-code alapú gyártási alkalmazások, validálható dokumentációval.

Kereskedelem, e-commerce és lakossági szolgáltatók: akadálymentesség és adatvédelem

A lakossági digitális felületeket üzemeltető cégekre 2025. június 28. óta az akadálymentességi követelmények is vonatkoznak, az adatvédelem mellett. Ez a webshopokat, mobilalkalmazásokat, online ügyfélszolgálatokat és a banki felületeket egyaránt érinti.

• Akadálymentesítés (European Accessibility Act, EAA): Magyarországon a 2022. évi XVII. törvény ültette át. A digitális felületeknek képernyőolvasóval használhatónak, állítható betűméretűnek és megfelelő kontrasztúnak kell lenniük. A műszaki mérce az EN 301 549 szabvány, amely a WCAG irányelvekre épül.
• GDPR: a személyes adatok kezelése, az adattakarékosság és az érintetti jogok kiszolgálása minden ügyfélrendszer alapkövetelménye.
• AI Act átláthatósági szabályai: a Digital Omnibus módosítás szerint az MI által generált tartalom jelölésének határideje 2026. december 2. Ez az ügyfélszolgálati chatbotokat és a generált termékleírásokat is érintheti.

Hogyan segít a BlackBelt: meglévő webes és mobilfelületek akadálymentességi átdolgozása, új felületek fejlesztése az EN 301 549 szerint, valamint ERP-, CRM- és raktári rendszerek integrációja adatvédelmi szempontból is ellenőrzött adatfolyamokkal.

Szabályozási határidők 2025 és 2028 között

2027 végéig hét határidő jár le, köztük az AI Act magas kockázatú rendszerekre vonatkozó szabályai, a CRA teljes alkalmazása és az EUDI Wallet kötelező elfogadása a bankoknál.

Gyakori kérdések