Az IT az adatot védi, az OT a gépet: miért nem működik ugyanaz a recept

Az irodai IT-ben jó reflex a frissítés, az újraindítás és a hálózat lekapcsolása. Egy gyártósoron, erőműben vagy raktárirányító rendszernél ugyanez leállást, selejtet vagy balesetet okozhat. A NIST ipari rendszerekről szóló útmutatója szerint minden olyan védelmi intézkedés elfogadhatatlan, amely rontja az élet- és üzembiztonságot (safety).

Az OT (operational technology) a NIST szerint programozható rendszerek és eszközök széles köre. Ezek a fizikai környezettel állnak kapcsolatban, vagy ilyen eszközöket kezelnek. Eszközök, folyamatok és események megfigyelésével és vezérlésével észlelnek vagy okoznak közvetlen változást. Ide tartoznak a programozható vezérlők (PLC), az elosztott irányítórendszerek (DCS) és a felügyeleti rendszerek (SCADA).

Ez a cikk a NIST, az NSA, a CISA és az ENISA dokumentumaira, két eredeti esetjelentésre és a vonatkozó jogszabályokra épül. A CISA AI-ról szóló útmutatóját 2026. október 29-én, a többit 2026. október 27-én olvastam el. Üzemben vagy hálózaton semmit nem teszteltem.

Mást véd az IT, és mást az OT

A NIST szerint az IT az adatot kezeli, az OT a fizikai világot vezérli. Az IT-ben az adat bizalmassága és sértetlensége a fő szempont. A fő kockázat az üzleti műveletek késése.

Az OT-ben az emberi biztonság az első, utána a folyamat védelme. A fő kockázat a szabályozási megfelelés hiánya, a környezeti kár, valamint az élet, a berendezés vagy a termelés elvesztése.

A sorrend nem egyszerűen fordított

Gyakori egyszerűsítés, hogy az OT-ben a bizalmasság, sértetlenség, rendelkezésre állás hármasa fordított sorrendű. A NIST ennél pontosabb, és két helyen kétféleképpen fogalmaz.

• NIST, a kiberbiztonsági célokról: az OT-ben jellemzően a sértetlenség és a rendelkezésre állás az első, utána a bizalmasság. Az élet- és üzembiztonságot pedig mindenek fölött álló szempontnak kell tekinteni.
• NIST, a programok összehasonlításáról: az információbiztonsági programok a bizalmasság, sértetlenség, rendelkezésre állás sorrendet követik. Az OT környezet az élet- és üzembiztonságot teszi az élre, utána a rendelkezésre állás, a sértetlenség és a bizalmasság jön.

A közös pont: elöl az élet- és üzembiztonság áll, hátul a bizalmasság. A középső két tag sorrendje a két NIST-helyen más. Az üzembiztonság egyik helyen sem hanyagolható el. Ez az én olvasatom: vezetői döntésnél pontosabb kérdés, hogy mi áll le, ha egy védelmet bekapcsolunk.

Más az élettartam és a frissítés

A NIST szerint az IT-komponensek 3 és 5 évig élnek. Az OT-komponensek jellemzően 10 és 15 évig élnek, és az élettartam meg is haladhatja a 20 évet. A régi gépeken gyakran olyan operációs rendszer fut, amelyhez a gyártó már nem ad javítást.

A frissítés is más. A NIST szerint az OT-leállást napokkal vagy hetekkel előre kell tervezni. A javítást a gyártónak és az üzemeltetőnek is tesztelnie kell. A NIST a terepi tesztelés utáni, lehető leggyorsabb javítást ajánlja. A cél tehát a tervezett, tesztelt javítás.

A NIST összegyűjtött eseteket is közöl, és lábjegyzetben megadja az eredeti forrást. Ezeket megnyitottam: az egyik a NASA főfelügyelőjének 2017. február 8-i jelentése, a másik kettő a Sandia National Laboratories 2005. márciusi tanulmánya. Az esetek tehát nem újak, az egyik több mint húszéves. Azt mutatják, hogyan romlik el a gyakorlatban egy IT-reflex:

• A NASA-jelentés szerint egy biztonsági javítás és az utána következő újraindítás leállította egy nagy, műszaki célú sütő (engineering oven) vezérlését. Tűz keletkezett, és a benne lévő űreszköz-hardver megsemmisült. Az újraindítás a riasztást is akadályozta, így a tüzet 3,5 óráig nem vették észre.
• A Sandia-tanulmány szerint egy pingsöprés (ping sweep: a hálózat címeinek végigkérdezése, hogy mely eszközök válaszolnak) közben egy 9 láb (kb. 2,7 méter) hosszú robotkar 180 fokot fordult. A kar vezérlője készenléti módban volt, a teremben lévő személy szerencsére a kar hatótávolságán kívül állt. Egy másik esetben a söprés miatt 50 000 dollárnyi lapka ment tönkre.
• Egy gázszolgáltató a vállalati IT-hálózat tesztelésére bízott meg tanácsadót. A tanácsadó gondatlanul átlépett egy olyan részbe, amely közvetlenül a SCADA-hoz kapcsolódott. A teszt négy órára lefagyasztotta a SCADA-rendszert, és a szolgáltató nem tudott gázt szállítani.

⚠ Figyelem: a NIST szerint az OT-n a behatolásteszt csak óvatosan végezhető, lehetőleg másolt vagy szimulált rendszeren, tervezett leállás idején. A leltárkészítő eszközt is érdemes offline rendszeren előbb kipróbálni, mert az aktív szkennelés ártalmas lehet.

Más a gazda: a beszállító

A NIST szerint az OT-ben a támogatást általában egyetlen gyártó adja, és a komponensek lehetnek elszigeteltek és távoliak. Egyes esetekben a harmadik fél biztonsági megoldása nem engedélyezett a gyártói szerződés miatt. A támogatás elveszhet, ha valaki a gyártó jóváhagyása nélkül telepít valamit.

Az NSA és a CISA közös közleménye szerint a modern vezérlőrendszerek többsége távoli hozzáférést ad gyártóknak, integrátoroknak és szolgáltatóknak. A híd gyakran nem ismert a tulajdonos előtt. Sok ilyen elérés nem több gyártói betárcsázós modemnél és hálózati kapcsolónál, amelyet csak jelszó és az ismeretlenség véd. Ez a 2022. szeptember 22-i közlemény, az oldal archivált jelölésű.

A CISA 2020-as ajánlása szerint távoli, tartós gyártói vagy munkatársi kapcsolat nem engedhető a vezérlőhálózatra. A 2025. május 6-i anyag szerint, ha a távoli hozzáférés nem nélkülözhető, VPN, adathalászat-álló többfaktoros azonosítás és legkisebb jogosultság kell. A NIST ehhez annyit tesz: a távoli hozzáférés csak indokolt esetben adható, és nem kerülheti meg a biztonsági vezérléseket.

Az AI is beszállítói kérdés. A CISA és nemzetközi partnerei 2025. december 3-i közös útmutatója szerint egyes OT-eszközök beépített AI-val érkeznek. Ehhez internetkapcsolat is kellhet. Az útmutató azt ajánlja, hogy a szerződés részletezze az AI-funkciókat. Arról, hogy mikor kapcsolhatók ki vagy be, az üzemeltető döntsön. Az adat lehetőleg kifelé menjen az OT-hálózatból, tartós befelé irányuló hozzáférés nélkül. Az AI ember bevonása nélküli aktív irányítását az útmutató korlátozni javasolja. A Loop korábbi cikke az AI-ügynököt is üzemi berendezésként kezeli. A gyártósoron is ugyanaz a kérdés: kinek van hozzáférése, és ki tud róla?

Öt döntés a vezetőnek

1. Eszközleltár. A NIST szerint a pontos és teljes leltár a kockázatértékelést, a sérülékenységkezelést és az elavulás követését is segíti. A CISA is leltárt kér. A Kibertv. 6. § (3) bekezdés 1. pontja szerint a szervezet vezetője gondoskodik az elektronikus információs rendszerek felméréséről és nyilvántartásba vételéről. A törvény az elektronikus információs rendszer fogalmába a kiber-fizikai rendszereket is beleérti.
2. Hálózatszegmentálás. A CISA 2025-ös anyaga az IT és az OT hálózatának szétválasztását ajánlja, köztük demilitarizált zónával. A NIST szerint jó gyakorlat az IT- és OT-eszközöket jellemezni, szegmentálni és elszigetelni. Szegmentálási modellként például a Purdue-modellt említi.
3. Távoli hozzáférés szabálya. Ki, mikor, milyen jogosultsággal és milyen naplózással léphet be. Tartós távoli gyártói kapcsolat ne legyen, ez egyezik a CISA 2020-as ajánlásával. A konkrét szabály az én javaslatom, a források nem írják elő ilyen formában. Ha a cég a törvény hatálya alá tartozik, a karbantartási szerződésről a Kibertv. 6. § (5) bekezdés d) pontja is rendelkezik. Ez arra az esetre szól, ha a szervezet közreműködőt vesz igénybe a rendszer többek között üzemeltetéséhez, karbantartásához vagy javításához. Ilyenkor gondoskodnia kell róla, hogy a szükséges kiberbiztonsági követelmények szerződéses kötelemként teljesüljenek.
4. Közös IT és OT incidenskezelés. A CISA azt ajánlja, hogy a reagálási folyamatok kapcsolják össze az IT-t és az OT-t. A NIST szerint a terv a nyújtott szolgáltatáshoz mérendő, és érdemes papíron vagy offline rendszeren is tartani, hogy támadás közben is elérhető legyen. A CISA 2025-ös anyaga a kézi üzemeltetés gyakorlását is kéri.
5. Jogi keret. A NIS2 szerint a vezető testület jóváhagyja a kockázatkezelési intézkedéseket, felügyeli a végrehajtást, és felelősségre vonható. A Kibertv. 6. § (6) bekezdése szerint a szervezet vezetője felel a 6. § (3), (4) és (5) bekezdés feladataiért. Ez akkor is így van, ha közreműködőt vesz igénybe. Kivétel, ha kötelezően igénybe veendő központi szolgáltatót vagy központi rendszert használ: ott az igénybe vett szolgáltatás mértékéig nem felel. Ha a vezető ezeket a feladatokat nem teljesíti, a nemzeti kiberbiztonsági hatóság bírságot szabhat ki rá (30. § (3) bekezdés). A végrehajtó rendelet szerint ez 15 millió forintig terjedhet (418/2024. Korm. rendelet 42. § (4) bekezdés).

Magára a szervezetre is kiszabható bírság. A Kibertv. 1. § (1) bekezdés d) és e) pontja szerinti vállalkozásokra az SZTFH szabja ki (418/2024. Korm. rendelet 42. § (1) bekezdés). A Kibertv. két kategóriát használ: a „fontos” szervezetét és egy annál szigorúbb besorolásút (a törvény szóhasználatában: „alapvető szervezet”). A szigorúbb kategória törvényi besorolás, nem értékelés a cég súlyáról. Az általános felső határ a szigorúbb kategóriába sorolt szervezetnél 10 millió euró megfelelő forintja vagy az előző évi globális éves forgalom 2%-a, ha ez magasabb. A „fontos” szervezetnél 7 millió euró megfelelő forintja vagy 1,4%, ha ez magasabb (42. § (2) bekezdés). A rendelet 3. melléklete szerint ezt a határt a kockázatkezelési keretrendszer létrehozásának vagy működtetésének elmulasztása éri el. A többi tételnél alacsonyabb a sáv:

• a bejelentés elmulasztása 500 000 és 5 000 000 Ft között bírságolható;
• az audit határidőn belüli elvégzésének elmulasztása 1 000 000 Ft-tól az előző üzleti évi nettó árbevétel legfeljebb 2%-áig, de legfeljebb 150 000 000 Ft-ig bírságolható.

A 2. melléklet szerinti, legalább közepes méretű cég a szigorúbb kategóriába tartozik (1. § (4) bekezdés f) pont). A 3. melléklet szerinti cég főszabályként „fontos” szervezet (1. § (5) bekezdés d) pont). A 2. melléklet szerinti besorolás szigorúbb a NIS2 alapszabályánál. Ott az I. melléklet szerinti szervezet csak akkor tartozik a szigorúbb kategóriába, ha meghaladja a középvállalkozási küszöböt. A hatóság a bíróságnál a vezető ideiglenes eltiltását is kezdeményezheti (30. § (6) bekezdés b) pont). 2026-ban a törvény a cégbíróságot nevezi meg, 2027. január 1-jétől a bíróságot. Ezt csak a szigorúbb kategóriába sorolt cég vezetőjével szemben teheti meg. Erre akkor kerülhet sor, ha a cég a hatósági kötelezést határidőn belül nem teljesíti.

Mit jelent ez a NIS2 és a Kibertv. szerint

A NIS2 II. melléklete a gyártás egyes ágait és a postai, futárszolgáltatást, az I. melléklet az energiát és a szállítást sorolja fel. A magyar 2024. évi LXIX. törvény 1. § (1) bekezdés d) pontja szerint a 2. és 3. melléklet szerinti szervezetek közül a középvállalkozások tartoznak a hatálya alá. Idetartozik az is, amelynek legalább 50 alkalmazottja van. Idetartozik az is, amelynek az éves árbevétele meghaladja a 10 millió eurónak megfelelő forintot. Ha beszámolót kell készítenie, a mérlegfőösszegének is túl kell lépnie a 10 millió eurót. A 2. melléklet többek között energetikát és közlekedést, a 3. melléklet többek között gyártást, postai és futárszolgáltatást tartalmaz. A méret alapján érintett vállalkozások kiberbiztonsági felügyeletét főszabályként az SZTFH látja el.

A méret alapján érintett vállalkozásnak kétévente kiberbiztonsági auditot kell végeztetnie (16. § (1) bekezdés). A 2025. január 1. előtt működő szervezeteknél az első audit határideje 2026. június 30. volt (89. § (2) bekezdés). Ez a határidő már lejárt. A 2025. január 1-jén vagy később indult szervezetnél az auditor-megállapodást a nyilvántartásba vételtől számított 120 napon belül kell megkötni (16. § (2) bekezdés a) pont). Az első auditot a nyilvántartásba vételtől számított 2 éven belül kell elvégeztetni (16. § (2) bekezdés b) pont).

A bejelentési határidők a NIS2 szerint 24 óra a korai előrejelzésre, 72 óra az eseménybejelentésre, legfeljebb egy hónap a zárójelentésre. A 24 és a 72 órás határidő attól számít, hogy a szervezet az incidensről tudomást szerez. A zárójelentés az eseménybejelentés benyújtásától számított egy hónapon belül esedékes. A magyar szabály ugyanezt írja elő (418/2024. Korm. rendelet 77. §). Bejelenteni a nemzeti kiberbiztonsági incidenskezelő központnak kell, ez a Nemzetbiztonsági Szakszolgálat. A bejelentés felülete a Nemzeti Kiberbiztonsági Intézet oldalán érhető el. Jelentős vagy nagykiterjedésű incidensnél telefonon is be kell jelenteni (418/2024. Korm. rendelet 78. § (2) bekezdés). A méret alapján érintett vállalkozásoknál a bejelentést a Kibertv. 66. § (2) bekezdése szabályozza. A kötelezettség a súlyos zavart, vagyoni hátrányt vagy másoknak jelentős kárt okozó incidensekre (beleértve az üzemeltetési incidenst is), incidensközeli helyzetekre és fenyegetésekre áll fenn.

Logisztikai cégnél a szövegek alapján nem a „logisztika” szó dönt, hanem a melléklet szerinti tevékenység. Ilyen a postai szolgáltató. A törvény szerint postai küldemény a címmel ellátott, legfeljebb 40 kg tömegű küldemény. Ilyen egy közlekedési alágazat is, például a vasút, a vízi vagy a légi közlekedés egyes szereplői, a Kibertv. 2. melléklete szerint közúton pedig az intelligens közlekedési rendszerek üzemeltetői és a forgalomirányítást végző szervezetek. Közúti árufuvarozás, raktározás vagy szállítmányozás önmagában nem szerepel a mellékletekben. A besorolást jogásszal érdemes tisztázni.

Ördög ügyvédje

A források többsége amerikai: a NIST, az NSA és a CISA kormányzati szerv. Egyik sem magyar előírás. Az IT és az OT összehasonlító táblázata egyetlen forrásra, a NIST-re épül. A NIST sem mond mindenhol ugyanazt: a prioritási sorrend két helyen kétféleképpen szerepel, az élettartam pedig tartomány. A három esetet maga a NIST dátum nélkül közli, az eredeti jelentések 2005-ből és 2017-ből valók. Példának jók, de nem mutatják meg, hány mai üzemben fordulhatna elő ugyanez.

A másik oldal érve komolyabb. Az ENISA szerint a gyártás a negyedik leggyakrabban célzott ágazat, az események 6,9%-ával. A pénzügyi motivációjú esetek között a zsarolóvírus aránya 82,8%. A nyilvánosan ismert esetekben az incidensek a központi IT-rendszereket érintették, és a legjelentősebbek szolgáltatás-romlást és üzemi zavart okoztak. Ebből az én következtetésem: a gyártást az irodai oldalon elkapott zsarolóvírus is megzavarhatja. A különbség valós, de nem ment fel az irodai védelem alól.

A saját korlátom: dokumentumokat olvastam, gyárat nem láttam, rendszert nem teszteltem.

Gyakori kérdések

Mi az OT?

A NIST szerint programozható rendszerek és eszközök, amelyek a fizikai környezettel állnak kapcsolatban. Megfigyeléssel és vezérléssel okoznak közvetlen változást. Ilyen a SCADA, a DCS és a PLC.

Miért nem frissíthető az OT automatikusan?

A NIST szerint a frissítést a gyártónak és az üzemeltetőnek is tesztelnie kell, és a leállást előre kell tervezni. A NIST szerint a szoftverváltozást alaposan tesztelni és fokozatosan bevezetni kell.

Mennyi egy OT-eszköz élettartama?

A NIST 10 és 15 évet ad meg. Szerinte az élettartam 20 év fölött is lehet.

Vonatkozik a NIS2 a gyártó cégre?

A NIS2 II. melléklete egyes gyártási ágakat tartalmaz. A magyar törvény 3. mellékletében a gyártásból hat ág szerepel: orvostechnikai eszközök; számítógép-, elektronikai és optikai termékek; villamos berendezések; gépek és berendezések; gépjárművek, pótkocsik és félpótkocsik; egyéb szállítóeszközök. Külön soron szerepel a cement-, mész- és gipszgyártás. Gyártó cég a 3. melléklet más soraiba is eshet. Ilyen például az ipari élelmiszer-előállítás, a vegyi anyagok előállítása és forgalmazása vagy a hulladékgazdálkodás. A hatálya a méretküszöbtől függ.

Ki felügyeli ezt Magyarországon?

A Kibertv. szerint a 2. és 3. melléklet szerinti, méret alapján érintett vállalkozások felügyeletét főszabályként az SZTFH látja el. Az incidenseket nem neki, hanem a nemzeti kiberbiztonsági incidenskezelő központnak kell jelenteni.

Kötelező az IEC 62443?

A Kibertv.-ben, a NIS2-ben és a végrehajtó rendeletekben (418/2024., 7/2024.) az IEC 62443 nem szerepel. A 7/2024. MK rendeletnek a 2025. január 2-i állapotát néztem meg. A Nemzeti Jogszabálytár szerint 2026. október 29-én is ez a hatályos állapot. A NIST az ISA/IEC 62443 sorozatot négy kategóriába szervezettként írja le: általános, szabályzatok és eljárások, rendszer, komponens.

Nyitott kérdések

• Hány magyar KKV-ra vonatkozik a NIS2 és a Kibertv. a gyártásban és a logisztikában. A források ilyen számot nem adnak.
• A NIS2-t az Európai Unió Hivatalos Lapjában kihirdetett magyar szövegből olvastam (EU Kiadóhivatal, Cellar). A Kiadóhivatal adatbázisa szerint 2026. október 29-én a NIS2-nek nem volt módosító jogi aktusa. A módosítására tett bizottsági javaslat (COM(2026) 13) ekkor az Európai Parlament illetékes bizottságánál tartott.
• A magyar végrehajtó szabályok közül a bejelentést, az auditot és a bírságot néztem meg (Kibertv. 16., 66., 89. §, 418/2024. Korm. rendelet 42., 77. és 78. §). A kockázatkezelési és védelmi intézkedési részletszabályokat nem néztem át.

Ez a cikk általános tájékoztatás, nem minősül jogi vagy informatikai biztonsági tanácsadásnak.

AI-közreműködés: AI-asszisztált. A cikk megírásában mesterséges intelligencia közreműködött. A tartalomért a Loop szerkesztősége felel. (2026)