Kávé mellé · Cybersec
Csütörtök délután. Az IT azt mondja: „Izoláltuk, naplózzuk, még nem tudjuk, kire ment ki adat.” A sales inboxban viszont már ott az első üzenet: „Hallottuk, hogy baj van nálatok — érint minket?”
Ilyenkor két rossz reflex szokott jönni. Az egyik: hallgatás, amíg „minden tiszta”. A másik: gyors nyugtatás — „Nincs gond, minden rendben” — amit két nappal később vissza kell vonni. Mindkettő rosszabb, mint egy rövid, őszinte mondat.
Mit nem kell megírni most
Nem kell press release. Nem kell technikai leírás. Nem kell megígérni, hogy „senkit nem érintett” — amíg ezt tényleg nem tudod.
A NAIH felé személyes adat esetén 72 óra van a bejelentésre (NAIH adatvédelmi incidens). A NIS2 alatti szervezetnél a kiberincidens 24 órán belüli előzetes jelzése a hatóság felé külön sáv (NIS2 közös sablon). Ezek hatósági határidők — az ügyfélnek szóló szöveg nem ugyanaz, és nem várhat rájuk.
Egy mondat, ami működik
„Tudomásunkra jutott egy biztonsági esemény; vizsgáljuk, érint-e ügyféladatot, és 24 órán belül írásban jelzünk, ha igen — addig kérjük, ne ossz meg velünk új érzékeny adatot e-mailben.”
Miért jó?
- Nem tagad, nem ígér hamis nyugalmat.
- Van határidő — az ügyfél tudja, mikor vár választ.
- Van teendő — ideiglenes óvatosság, nem pánik.
Ha exfiltrációs zsarolás gyanúja van (lopás + közzétételi fenyegetés, nem titkosítás), a mondat más hangsúlyt kap: „Vizsgáljuk, milyen adat kerülhetett ki; ha személyes adat érintett, a jogszabály szerinti értesítést megtennénk.” Részletesen: exfiltrációs zsarolás.
Ki írja alá
Ne az IT ticketje legyen az ügyfél e-mailje. Egy név kell — cégvezető, operatív vezető, vagy a sales/account owner, akit az ügyfél ismer. Az IT adja a tényállást; a vezető adja az aláírást.
Ha nagyobb ügyfélről van szó, egy rövid hívás előbb is mehet: „Látod a híreket / hallottad? Vizsgálunk, holnap reggel írok részleteket.” — de az írásos mondat ettől még kell.
Mit mondasz holnap reggel
„Van-e egy be nem küldött mondatunk az ügyfeleknek — ki adja ki, és ki írja alá?”
Ha a válasz „majd, ha tiszta a helyzet” — akkor ma még nincs incidens-terv, csak incidens.
Jogi megjegyzés: Tájékoztatás, nem tanácsadás. Személyes adat érintettségénél a GDPR és a magyar gyakorlat szerinti értesítési kötelezettség külön vizsgálandó.
AI-közreműködés: AI-asszisztált szöveg — emberi szerkesztés, forrás-ellenőrzés (NAIH, Loop NIS2 sablon, 2026-07-06). Loop Magazin, 2026.