MI-incidens: mit kell tenni az első hetvenkét órában
Mit kell tenni az első hetvenkét órában egy MI-rendszernél történt incidens után? A tudomásszerzés rögzítése, a három bejelentési sáv, a négyórás elsősegély és a minősítő lap - kkv-méretben, a 2026 nyári jogi állapot szerint.
A hetvenkét órás határidő a tudomásszerzéstől számít, nem az esemény bekövetkezésétől – ezért az első teendő a tudomásszerzés időbélyeges rögzítése. Önálló „MI-incidens” jogi kategória nincs: a minősítés a következmény felől történik, és három sávot kell végignézni, az adatvédelmit, a hálózatbiztonságit és a magas kockázatú rendszerekre vonatkozót. Az első négy óra teendői megelőzik a bejelentést: a hatás megállítása, a naplók megőrzése a javítás előtt, a kör lehatárolása és a felelős értesítése. A hibás kimenet önmagában nem incidens: a minősítés első kérdése az, sérült-e személyes adat, vagy született-e döntés személyről. Ami nem bejelentendő, azt is nyilván kell tartani.
Miért a hetvenkét óra az első kérdés?
Az óra a tudomásszerzéstől ketyeg
A hetvenkét óra nem az esemény bekövetkezésétől számít, hanem attól, hogy az a cég tudomására jut. Ez a különbség a gyakorlatban napokat jelent: egy hibás kimenet hetekig futhat észrevétlenül, a határidő mégis csak akkor indul, amikor valaki jelzi. Ebből következik, hogy a felismerés képessége maga is védelmi kérdés.
A tudomásszerzés pillanata bizonyítás kérdése, ezért érdemes rögzíteni. Egy e-mail, egy jegyzet a dátummal és azzal, ki mit észlelt, elég. Ennek hiányában a hatóság a legkorábbi lehetséges időpontot fogja alapul venni, ami a cégnek kedvezőtlenebb.
A hetvenkét óra nem türelmi idő, hanem felső korlát. A rendelet szövege indokolatlan késedelem nélküli bejelentést ír elő, és a hetvenkét óra ennek a külső határa. Aki a harmadik nap végén jelent be olyat, amit az első órában is tudott, azt a késedelmet meg kell indokolnia.
A gyakorlatban a legtöbb kkv nem a határidőt lépi túl, hanem a minősítést hagyja ki: nem dönti el, hogy az esemény egyáltalán bejelentendő-e. Ez a mulasztás akkor is számít, ha utóbb kiderül, hogy nem kellett volna bejelenteni.
Mi számít MI-incidensnek?
Nincs önálló jogi kategória arra, hogy „MI-incidens”. Ami van: adatvédelmi incidens, hálózatbiztonsági esemény, és a magas kockázatú rendszerekre vonatkozó súlyos váratlan esemény. Egy MI-rendszernél előforduló hiba ezek közül egyet, többet vagy egyet sem érint. A minősítés mindig az következmény felől történik, nem a technológia felől.
| Az esemény | Mi sérül | Jellemzően melyik sáv |
|---|---|---|
| A rendszer olyan kimenetet adott, amely téves, és amely alapján döntés született egy személyről | Az érintett jogai és jogos érdekei. Ha a döntés hátrányos, a kár közvetlen. | Adatvédelmi, ha személyes adat kezelése is érintett; egyébként belső minőségi ügy |
| Munkatárs személyes adatot tartalmazó dokumentumot másolt a rendszer bemenetébe | A személyes adat bizalmassága: az adat kikerült a cég ellenőrzése alól. | Adatvédelmi incidens, akkor is, ha a szolgáltató szerződése szerint nem tanul belőle |
| A rendszer hozzáférését illetéktelen szerezte meg | A bizalmasság és a rendelkezésre állás egyszerre. A kár mértéke attól függ, milyen adathoz fért hozzá. | Adatvédelmi és hálózatbiztonsági egyszerre, ha a szervezet a hatálya alá esik |
| A rendszer napokig elérhetetlen volt, és emiatt a szolgáltatás akadozott | A rendelkezésre állás. Személyes adat nem sérült, de a működés igen. | Hálózatbiztonsági, ha jelentős a zavar; adatvédelmi rendszerint nem |
| A rendszer belső, nem ügyfélérintő anyagban adott hibás összefoglalót | Semmi olyan, amit jogszabály véd. Minőségi kérdés. | Egyik sem. Belső hibanaplóba tartozik, bejelentési kötelezettség nélkül |
Az utolsó sor legalább annyira fontos, mint az első négy. A bejelentési kötelezettség nem automatikus: a hibás kimenet önmagában nem incidens. Ha minden hibát bejelentésként kezelünk, a rendszer használhatatlanná válik, és a valódi esetek elvesznek a zajban.
A három bejelentési sáv
Ami elválasztja őket
Az adatvédelmi sáv akkor nyílik meg, ha személyes adat bizalmassága, sértetlensége vagy rendelkezésre állása sérül. A bejelentés címzettje a felügyeleti hatóság, a határideje hetvenkét óra a tudomásszerzéstől.
A hálózatbiztonsági sáv a szervezet jellegétől függ, nem az eseménytől: meghatározott ágazatokban működő, meghatározott méret feletti szervezeteket terhel. Kétlépcsős: előbb korai figyelmeztetés, majd részletes bejelentés, végül zárójelentés.
A harmadik sáv a magas kockázatú rendszerek súlyos váratlan eseményeire vonatkozik, és elsősorban a rendszer szolgáltatóját terheli. Az alkalmazó szerepe itt jellemzően az, hogy tájékoztatja a szolgáltatót, és együttműködik a vizsgálatban.
A gyakorlati következmény: egy tíz-ötven fős cégnél a legtöbb esetben az első sáv a releváns, a második csak ágazattól függően, a harmadik pedig ritkán közvetlenül. Ettől függetlenül mindhármat végig kell gondolni, mert a minősítés maga a kötelezettség.
Az első négy óra: amit előbb kell megtenni, mint a bejelentést
- 01
A hatás megállítása. Az érintett folyamat leállítása vagy a rendszer kimenetének kiiktatása a döntésből. Nem a rendszer törléséről van szó: a cél az, hogy a kár ne nőjön tovább, amíg a helyzet tisztázódik.
- 02
A naplók megőrzése. Az első ösztön a hiba javítása, ami gyakran felülírja a nyomokat. A naplókról másolatot kell készíteni, mielőtt bárki hozzányúl a rendszerhez. Enélkül a későbbi vizsgálat találgatás lesz.
- 03
A tudomásszerzés rögzítése. Ki, mikor, mit észlelt, és kinek jelezte. Egy időbélyeges feljegyzés, amely később a határidő számításának alapja.
- 04
A kör lehatárolása. Melyik rendszer, milyen adatkör, hány érintett, milyen időszakban. A pontos szám nem kell azonnal, a nagyságrend igen.
- 05
A felelős értesítése. Az MI-felelős vagy a vezetés. Ez az a pont, ahol a műszaki esemény szervezeti üggyé válik, és ahol a bejelentésről szóló döntés megszületik.
A sorrend nem cserélhető fel. A leggyakoribb hiba a második pont kihagyása: a cég javít, és közben elveszti a bizonyítékot arról, mi történt. A javítás egy óra türelmet elbír, a napló viszont felülíródik.
A minősítés: kell-e bejelenteni?
A bejelentési kötelezettség nem minden incidensnél áll fenn. Az adatvédelmi sávban a mérce az, hogy az esemény valószínűsíthetően kockázattal jár-e a természetes személyek jogaira. Ha nem, a bejelentés elmarad, de a belső nyilvántartásba akkor is be kell kerülnie. Ez a nyilvántartás önálló kötelezettség, és a hatóság kérheti.
Négy kérdés a döntéshez
Milyen adat érintett? Különleges adat, pénzügyi adat vagy azonosításra alkalmas kombináció esetén a kockázat eleve magasabb. Egy céges e-mail-cím önmagában más megítélés alá esik.
Hány érintettről van szó? A szám nem dönt önmagában, de a kockázat mértékét befolyásolja. Egyetlen érintett is lehet magas kockázatú eset, ha az adat érzékeny.
Milyen könnyen használható fel az adat? Titkosított, hozzáférés-védett vagy nyílt formában került ki. A titkosítás nem szünteti meg a kötelezettséget, de a kockázatértékelésben súlyozó tényező.
Van-e visszafordítási lehetőség? Ha az adat visszaszerezhető és igazolható, hogy nem másolták, a kockázat csökken. Ha az adat nyilvános felületre került, a visszafordítás gyakorlatilag lehetetlen.
A módszer és a korlátok
- 01
A határidők és a bejelentési kötelezettségek a hatályos uniós rendeletek szövegéből ellenőrizve, nem másodkézből vett összefoglalóból.
- 02
A hálózatbiztonsági sáv hazai átültetése és a hatásköri kérdések ágazatfüggők; ahol a szöveg erre támaszkodik, azt közepes konfidenciával jelöli.
- 03
Az esettanulmány valós helyzetből származik, anonimizálva. A számok a valós arányokat tükrözik, de nem azonosítható cégre vonatkoznak.
- 04
A cikk nem foglalkozik az ágazati többletkötelezettségekkel (pénzügyi szektor, egészségügy) – azok önálló témák.
- 05
Időbélyeg: a 2026 nyári jogi állapot. Az éves felülvizsgálat során frissül.
Esettanulmány: a naplók, amelyek nem maradtak meg
Négy nap, egy elveszett bizonyíték
Anonimizált eset 2026 tavaszáról. Egy huszonöt fős szolgáltató cégnél kiderült, hogy egy munkatárs hónapok óta teljes ügyféllevelezést másolt be egy szövegértő rendszerbe kontextusként. A felismerés véletlen volt: egy másik kolléga látta a képernyőt.
| Szakasz | Mi történt | Szám |
|---|---|---|
| 1. nap | A felismerés megtörtént, de nem jelezte senki hivatalosan | 0 feljegyzés |
| 2. nap | A vezetés értesült, az érintett fiókot lezárták | 1 fiók |
| 2. nap | A hozzáférési naplókat a rendszergazda törölte a takarítás során | elveszett |
| 3. nap | Kiderült: a bemásolt anyag ügyfelek nevét és pénzügyi adatait tartalmazta | 9 ügyfél |
| 4. nap | Bejelentés a felügyeleti hatóságnak, hiányos tényállással | 72 óra túllépve |
| 4. nap | A tudomásszerzés időpontja bizonyíthatatlanná vált | vitás |
Eredmény. A cég nem azért került nehéz helyzetbe, mert az incidens megtörtént, hanem mert a tudomásszerzést nem rögzítette, és a naplókat elvesztette. A bejelentés így hiányos volt, a határidő számítása pedig vitássá vált. Az érdemi tanulság: az első nap egyetlen időbélyeges feljegyzése, és a naplók félretétele a javítás előtt, a teljes ügy megítélését megváltoztatta volna. Mindkettő tizenöt perc.
A legerősebb ellenérv
Az állítás: Minden MI-eseményt minősíteni kell, és a minősítést dokumentálni.
Ami ellene szól: Egy huszonöt fős cégnél ez a gyakorlatban azt jelenti, hogy minden hibás kimenetről papír készül. A generatív rendszerek természetüknél fogva hibáznak: a kimenet néha pontatlan, néha félrevezető. Ha mindegyikre eljárás indul, a cég a saját adminisztrációjába fullad, és a valóban súlyos esetek pont ugyanabban a kupacban landolnak, mint a jelentéktelenek.
Amit erre mondani lehet: Az ellenérv abban téved, hogy a minősítést azonosítja az eljárással. A minősítés első lépése egyetlen kérdés: sérült-e személyes adat, vagy született-e döntés személyről? A hibás kimenetek túlnyomó többségénél a válasz nemleges, és ott a minősítés véget is ér. Dokumentáció csak akkor keletkezik, ha a válasz igen. A cikkben leírt eljárás tehát nem minden hibára vonatkozik, hanem arra a néhány esetre évente, ahol a válasz igen. Ami valóban aránytalan lenne: minden hibás mondatról jegyzőkönyvet írni.
Végrehajtási sorrend és erőforrásigény
| # | Lépés | Ki | Ráfordítás | Kimenet |
|---|---|---|---|---|
| 1 | Az esemény rögzítése: ki, mikor, mit észlelt | aki észlelte | 10 perc | időbélyeges feljegyzés |
| 2 | A hatás megállítása, a naplók félretétele | informatika | 30-60 perc | naplómásolat, leállított folyamat |
| 3 | A kör lehatárolása: adat, érintettek, időszak | folyamatgazda | 1-2 óra | tényállás-vázlat |
| 4 | Minősítés: melyik sáv aktiválódik | MI-felelős | 1 óra | kitöltött minősítő lap |
| 5 | Ha bejelentendő: a bejelentés összeállítása | MI-felelős + vezetés | 2-3 óra | beadvány |
| 6 | Az érintettek tájékoztatása, ha magas a kockázat | vezetés | fél nap | értesítő levél |
| 7 | Utóelemzés és a megelőző intézkedés | MI-felelős | 2-4 óra | intézkedési lista határidővel |
Az első négy lépés együtt fél nap, és ez az, aminek a hetvenkét órán belül el kell készülnie. Az ötödik és hatodik csak akkor jön, ha a minősítés igent adott. A hetedik a leggyakrabban elmaradó lépés: enélkül ugyanaz az esemény fél év múlva megismétlődik.
Másolható: a minősítő lap
Incidens-minősítő lap – egy oldal, nyolc sor
- Mikor jutott tudomásra, és kinek. Dátum, óra, név. Ez a határidő kezdete.
- Mi történt. Két mondat, szakzsargon nélkül, ahogy egy kívülállónak elmondanánk.
- Melyik rendszer, melyik folyamat. A pontos megnevezés, hogy később azonosítható legyen.
- Érintett adatkör. Milyen adat, hány személyről, milyen időszakból.
- Sérült-e személyes adat? Igen vagy nem, egy mondat indoklással.
- Született-e döntés személyről a hibás kimenet alapján? Igen vagy nem.
- A minősítés eredménye. Bejelentendő vagy nem, és melyik sávban. Indoklás.
- Ki döntött, mikor, és mi a következő lépés határideje.
A lap akkor működik, ha előre elkészül, és mindenki tudja, hol van. Incidens közben senki nem fog formanyomtatványt tervezni. A nyolcadik sor a legfontosabb: e nélkül a lap kitöltése után az ügy megáll.
Fogalomtár
Amit ez a cikk nem tud
- Nem dönti el egy konkrét eseményről, hogy bejelentendő-e. A minősítés a tényállás ismeretét igényli, és felelősséggel jár.
- Nem tér ki az ágazati többletkötelezettségekre. A pénzügyi és az egészségügyi szektorban önálló bejelentési rend is él.
- A hálózatbiztonsági sáv hatálya és hazai eljárásrendje ágazatfüggő; a szöveg ezt közepes konfidenciával kezeli, nem tényként.
- Nem ad jogi képviseletet vagy beadványmintát. A bejelentés tartalmát a konkrét tényállás határozza meg.
Ami a hetvenkét óra után jön
A bejelentéssel az ügy nem zárul le. A hatóság kiegészítést kérhet, az érintettek kérdezhetnek, és a belső utóelemzésnek is el kell készülnie. A tapasztalat az, hogy a szervezetek a bejelentés után fellélegeznek, és a megelőző intézkedés elmarad – ugyanaz az esemény pedig fél éven belül megismétlődik.
Az utóelemzés három kérdésre keres választ. Miért történt meg? Miért nem vettük észre hamarabb? És mi az az egyetlen változtatás, amely a megismétlődést a legnagyobb valószínűséggel megakadályozza? A harmadik kérdés szándékosan egyetlen változtatást kér: a tízpontos intézkedési listákból a gyakorlatban egy sem valósul meg.
A leggyakoribb megelőző intézkedés nem technikai, hanem eljárási: egy megnevezett személy, akihez a gyanút jelezni kell, és egy egymondatos szabály arról, mit nem szabad a rendszer bemenetébe másolni. Ez a kettő a valós esetek nagy részét megelőzi, és egyik sem kerül pénzbe.
Végül egy szempont, amelyet a jogi keret nem ír elő: az érintettekkel való kommunikáció hangneme. Ha a tájékoztatás időben, érthetően és mentegetőzés nélkül érkezik, az ügyfelek többsége elfogadja. Ha késve és jogi fordulatokba csomagolva, akkor a bizalomvesztés nagyobb kárt okoz, mint maga az incidens.
Ki mit csinál: a szerepek incidens közben
Incidens közben a legnagyobb időveszteséget nem a döntés okozza, hanem az, hogy nincs eldöntve, ki dönt. A szerepeket előre kell kiosztani, mert az esemény pillanatában erre nincs idő. Egy tíz-ötven fős cégnél négy szerep elég, és egy ember több szerepet is vihet – a lényeg, hogy mindegyiknek legyen neve.
| Szerep | Mit csinál | Mit NEM csinál | Ki lehet |
|---|---|---|---|
| Bejelentő | Észleli és jelzi az eseményt. Nem kell eldöntenie, hogy incidens-e: az ő dolga a jelzés, nem a minősítés. | Nem javít, nem töröl, nem próbálja helyrehozni egyedül. A jóindulatú javítás semmisíti meg leggyakrabban a bizonyítékot. | Bárki a cégnél. Ezért kell mindenkinek tudnia, kihez szóljon. |
| Koordinátor | Összefogja az ügyet: rögzíti az időbélyeget, hívja a többieket, vezeti a feljegyzést, és figyeli a határidőt. | Nem végzi a műszaki munkát és nem hozza a jogi döntést. Ha mindent ő csinál, a koordináció esik ki. | MI-felelős vagy az ügyvezető. Egy fő, helyettessel. |
| Műszaki | Elszigetel, naplót ment, feltárja a technikai tényállást. Az ő kimenete a tényállás-vázlat műszaki fele. | Nem minősít és nem kommunikál kifelé. A műszaki nyelv a bejelentésben félrevezető. | Rendszergazda vagy külső partner. Szerződésben rögzített elérhetőséggel. |
| Döntéshozó | Jóváhagyja a minősítést, dönt a bejelentésről és az érintettek tájékoztatásáról, és vállalja a következményt. | Nem az első órában lép be. Ha a vezetés azonnal beszáll a műszaki munkába, a folyamat lelassul. | Ügyvezető. Helyettesítése előre rögzítve, mert az incidens nem várja meg a szabadságot. |
A négy szerep közül a bejelentőé a legfontosabb, és egyben a leggyakrabban elhanyagolt. Ha a munkatársak nem tudják, kihez szóljanak, vagy tartanak a következménytől, az esemény napokkal később kerül elő. A hetvenkét órás határidő ilyenkor formálisan még tartható, de a kár már megnőtt.
Az öt leggyakoribb hiba az első napon
Amit utólag nem lehet helyrehozni
A napló felülírása. A javítás során a rendszer újraindul, a napló körbefordul, és a nyom eltűnik. Ez az egyetlen hiba, amely bizonyíthatatlanná teszi a tényállást. Megelőzése: másolat félretétele mindenhez való hozzányúlás előtt.
A tudomásszerzés rögzítésének elmaradása. Ha nincs időbélyeg, a hatóság a legkorábbi lehetséges időpontot veszi alapul. Egy kétsoros feljegyzés a különbség a határidőn belüli és a késedelmes bejelentés között.
A kör túl szűk lehatárolása. Az első benyomás rendszerint azt sugallja, hogy kevesebb adat érintett, mint a valóságban. A lehatárolást a naplóból kell levezetni, nem emlékezetből.
A korai kifelé kommunikáció. Ügyfélnek, partnernek küldött részleges információ, amelyet később helyesbíteni kell. A tájékoztatás akkor jó, ha egyszer megy ki, és pontos.
Az utóelemzés elhagyása. A bejelentéssel az ügy lezártnak érződik, és a megelőző intézkedés elmarad. Ugyanaz az esemény fél éven belül megismétlődik, immár ismételt mulasztásként megítélve.
Mire számítson, ha a hatóság megkeresi?
A bejelentés nem indít automatikusan bírságolási eljárást. A tipikus menet az, hogy a hatóság a beadvány alapján kiegészítést kér, és a válaszok alapján dönt arról, indít-e vizsgálatot. A megkeresések többsége ugyanarra a néhány dologra kérdez rá.
- 01
A tudomásszerzés körülményei. Mikor, hogyan, kitől. Ha az időpont bizonyítható, a határidő kérdése lezárul. Ha nem, a levelezés dátumai lesznek az alap.
- 02
Miért nem derült ki hamarabb. Ez a kérdés a felügyeleti intézkedésekre irányul: volt-e egyáltalán olyan mechanizmus, amely az eseményt észlelhette volna.
- 03
Milyen intézkedés történt, és mikor. Az elszigetelés, a naplómentés és a lehatárolás időpontjai. Az azonnali reagálás enyhítő körülmény.
- 04
A hatásvizsgálat megléte. Ha az adott adatkezeléshez kellett volna, és nem készült, az önálló mulasztás, függetlenül az incidenstől.
- 05
A megelőző intézkedés. Mit változtatott a cég azért, hogy ne ismétlődjön meg. A konkrét, határidős intézkedés többet ér, mint az általános ígéret.
A tapasztalat az, hogy a dokumentált, időben megtett és őszinte bejelentés kimenetele lényegesen kedvezőbb, mint a késedelmes vagy szépített. A hatóság nem a hibátlan működést várja el, hanem azt, hogy a szervezet felismerje, kezelje és tanuljon belőle.
Hogyan készüljünk fel arra, ami még nem történt meg?
Az incidenskezelés akkor működik, ha nem az esemény pillanatában találjuk ki. A felkészülés nem gyakorlatozást jelent: négy dolog elég hozzá, és mindegyik elkészíthető egy délelőtt alatt. A mérce egyszerű: ha holnap reggel kiderül, hogy baj van, van-e valaki, akit hívni kell, és van-e egy lap, amit kitölteni.
| Amit elő kell készíteni | Mit tartalmaz | Hol legyen | Mennyi idő |
|---|---|---|---|
| A jelzési út | Egy megnevezett személy és egy elérhetőség. Mellette egy mondat: mit kell jelezni, és mit nem kell egyedül megoldani. | A belső tudásbázisban és kinyomtatva. Incidens közben a hálózat is lehet elérhetetlen. | 30 perc |
| A minősítő lap | A cikkben leírt nyolc sor, üresen. Kitöltésre kész formában, nem szerkeszthető sablonként, amit még össze kell rakni. | Ugyanott, ahol a jelzési út. Egy fájl, nem egy mappa. | 1 óra |
| A naplómentési utasítás | Melyik rendszerből mit kell menteni, hova, és milyen paranccsal vagy melyik menüpontból. A rendszergazda írja meg, hogy más is végre tudja hajtani. | A műszaki dokumentációban, de a koordinátor is tudjon róla. | 1-2 óra |
| A szerepek és helyettesek | Négy szerep, négy név, négy helyettes. Szabadság és betegség esetére is. | A szabályzat mellékletében, évente felülvizsgálva. | 30 perc |
A négy elem együtt egy délelőtt. Ehhez képest az utólagos rekonstrukció – amikor a naplót keresik, a felelőst hívogatják, és közben ketyeg a határidő – napokat visz el, és a megítélést is rontja. A felkészülés léte önmagában is bizonyíték arra, hogy a szervezet gondossággal járt el.
Egy szempont, amely a felsorolásból hiányzik, mert nem dokumentum: a próba. Nem kell hozzá forgatókönyv vagy külső szakértő. Elég egyszer végigmondani a négy szereplővel, mit tennének, ha holnap kiderülne, hogy egy munkatárs hónapok óta ügyféladatot másol a rendszerbe. A beszélgetés fél óra, és rendszerint az derül ki belőle, hogy a naplómentési utasítást senki nem tudja végrehajtani a rendszergazdán kívül.
A szolgáltatóval való viszony
A legtöbb kkv nem saját fejlesztésű rendszert használ, hanem szolgáltatást vesz igénybe. Ez az incidenskezelést két ponton befolyásolja: honnan szerzünk tudomást az eseményről, és milyen gyorsan kapunk információt hozzá. Mindkettő szerződéses kérdés, és mindkettőt érdemes a szerződéskötéskor rendezni, nem az első incidensnél.
- 01
Értesítési kötelezettség és határidő. A szolgáltató hány órán belül köteles jelezni, ha nála történt esemény. A hetvenkét órás saját határidőnk csak akkor tartható, ha az ő értesítése ennél lényegesen rövidebb.
- 02
Az információ tartalma. Nem elég a tény közlése: kell hozzá az érintett adatkör, az időszak és a lehetséges következmény. E nélkül a minősítést nem tudjuk elvégezni.
- 03
Együttműködés a vizsgálatban. A szolgáltató kötelezettsége, hogy a naplókat és a technikai tényállást rendelkezésre bocsássa, ésszerű határidőn belül.
- 04
A saját naplóink. A szolgáltatói naplóktól függetlenül a cégnek is látnia kell, ki mit vitt be a rendszerbe. Ha ez csak a szolgáltatónál van meg, kiszolgáltatottá válunk.
- 05
Az értesítés címzettje. Egy megnevezett személy, nem egy általános e-mail-cím. A gyakorlatban a legtöbb késedelem abból ered, hogy az értesítés egy senki által nem figyelt postafiókba érkezett.
Ezek a pontok a szállítói átvilágítás részei, és a szerződéskötés előtt kell felmerülniük. Utólag, egy futó szerződésbe beemelni őket rendszerint csak a megújításkor lehet, addigra pedig már megtörténhet az első esemény.
Amit a számok mutatnak, és amit nem
Az incidensek statisztikájáról sok szám kering, és a legtöbb félrevezető. A bejelentett esetek száma nem a kockázat mértékét mutatja, hanem a felismerési képességét: ahol több a bejelentés, ott jellemzően jobb az észlelés, nem rosszabb a védelem. Ezért a saját cég nulla bejelentése nem feltétlenül jó hír.
Két saját mérőszám viszont valóban használható. Az első az észlelési idő: hány nap telt el az esemény kezdete és a felismerés között. Ezt csak utólag, az incidens feltárásakor lehet megállapítani, de érdemes minden esetnél rögzíteni. Ha az érték nő, a felügyeleti mechanizmusok gyengülnek.
A második a jelzési arány: hány esemény érkezett a jelzési úton, szemben azzal, amennyi más úton derült ki. Ha a legtöbb eset véletlenül, ügyfélpanaszból vagy külső jelzésből kerül elő, akkor a belső út nem működik – hiába van leírva. Ez a mutató a szervezeti kultúráról többet mond, mint bármelyik szabályzat.
Mindkét mutató havonta egy sor egy táblázatban, és mindkettő ingyen van. A mérés értelme nem a jelentés, hanem az, hogy a romlás időben látszódjon: ha az észlelési idő fél év alatt megkétszereződik, az ok rendszerint egyszerű, és a javítás olcsó – amíg észreveszik.
Végül egy megfigyelés, amely a jogi kereten kívül esik, mégis minden vizsgált esetben visszatér: az incidensek túlnyomó része nem rosszindulatból, hanem sietségből keletkezik. Valaki gyorsan akart végezni egy feladattal, és ehhez bemásolt egy dokumentumot, amelyet nem kellett volna. A megelőzés ezért nem a szigorításban van, hanem abban, hogy legyen egy ugyanolyan gyors, de biztonságos út – egy előre elkészített, személyes adat nélküli minta, amellyel a munka ugyanannyi idő alatt elvégezhető. Ahol ez hiányzik, ott a tiltás önmagában nem tart ki: a határidő erősebb szabály lesz, mint a szabályzat.
Kulcs-megállapítások
- 01
A hetvenkét óra a tudomásszerzéstől számít, nem az esemény bekövetkezésétől – ezért a tudomásszerzés időpontját rögzíteni kell.
- 02
Nincs önálló „MI-incidens” kategória: a minősítés a következmény felől történik, és három sávot kell végignézni.
- 03
Az első négy óra teendői megelőzik a bejelentést: hatásmegállítás, naplómegőrzés, időbélyeg, lehatárolás, értesítés.
- 04
A naplók megőrzése a javítás előtt: a leggyakoribb és legdrágább mulasztás.
- 05
A hibás kimenet önmagában nem incidens. A minősítés első kérdése: sérült-e személyes adat, vagy született-e döntés személyről?
- 06
A be nem jelentett incidenst is nyilván kell tartani – ez önálló kötelezettség.
- 07
Az utóelemzés és az egyetlen megelőző intézkedés nélkül az esemény megismétlődik.
Gyakori kérdések
Mi van, ha a hetvenkét óra alatt nem derül ki minden?
A bejelentés szakaszosan is megtehető: a rendelet kifejezetten lehetővé teszi, hogy a hiányzó információt később pótolják. A késedelmes, de teljes bejelentés rosszabb, mint az időben megtett, részleges. A lényeg, hogy a határidőn belül a hatóság tudjon az eseményről.
Kell bejelenteni, ha a szolgáltató oldalán történt a hiba?
Az adatkezelői minőség dönt, nem az, hol keletkezett a hiba. Ha a cég az adatkezelő, a bejelentési kötelezettség őt terheli, akkor is, ha a hibát a szolgáltató okozta. A szolgáltatóval szemben ez szerződéses kérdés, nem mentesülés.
Mit tegyünk, ha bizonytalan, hogy incidens történt-e?
A minősítést akkor is le kell futtatni, és az eredményt rögzíteni. A bizonytalanság nem indok a halogatásra: a tudomásszerzés órája a megalapozott feltételezéstől ketyeg, nem a bizonyosságtól.
Ki jelenti be egy kis cégnél?
Az adatkezelő nevében eljáró személy, a gyakorlatban a vezető vagy a kijelölt felelős. Ahol van adatvédelmi tisztviselő, ott az ő közreműködése kötelező, de a bejelentés az adatkezelő felelőssége marad.
Az érintetteket mindig tájékoztatni kell?
Nem. Csak akkor, ha az incidens valószínűsíthetően magas kockázattal jár az érintettek jogaira. A mérce szigorúbb, mint a hatósági bejelentésé. Ha az adat titkosított volt, és a kulcs nem került ki, a tájékoztatás rendszerint elmarad.
Mennyi ideig kell megőrizni az incidens dokumentációját?
A nyilvántartásnak alkalmasnak kell lennie arra, hogy a hatóság ellenőrizni tudja a megfelelést. A gyakorlati megközelítés: legalább addig, amíg az esetből eredő igény érvényesíthető. A konkrét időt a cég adatkezelési szabályzata rögzítse.
Elég egy e-mail a hatóságnak?
A hatóságok jellemzően formanyomtatványt vagy elektronikus űrlapot használnak. A forma nem mellékes: a hiányos beadvány kiegészítést von maga után, ami időt visz el. Érdemes előre megnézni, milyen adatokat kér a nyomtatvány.
Mi a teendő, ha az érintettek külföldiek?
A bejelentés a fő tevékenységi hely szerinti felügyeleti hatósághoz megy, és a határon átnyúló ügyekben az együttműködési eljárás lép be. Kkv-nál ez ritka, de ha felmerül, a bejelentésben jelezni kell.
Hibás kimenet miatt is lehet incidens?
Igen, ha a hibás kimenet alapján személyt érintő döntés született, vagy ha a hiba személyes adat pontatlanságához vezetett. A pontatlan adat kezelése önmagában is adatvédelmi kérdés, nemcsak a kiszivárgás.
Mit kezdjünk azzal, ha a munkatárs félve jelenti a hibát?
Ez a leggyakoribb működési akadály. A jelzési út akkor működik, ha a jelentés következménye nem szankció. Érdemes ezt írásban is kimondani: a késve jelzett hiba sokszorosába kerül a cégnek, mint az azonnal jelzett.
A biztosítás fedezi az incidens költségeit?
Van erre szakosodott fedezet, de a feltételek eltérők, és a legtöbb kizárja a szándékos vagy súlyosan gondatlan magatartásból eredő kárt. A dokumentált eljárásrend megléte a kárrendezésnél is előny.
Mi számít a legnagyobb hibának az első napon?
A naplók elvesztése. A javítás sürgető, de a napló felülíródik, és a bizonyíték helyreállíthatatlan. Egy másolat félretétele a javítás előtt tizenöt perc, és a teljes ügy megítélését megváltoztatja.
Források
- (EU) 2016/679 rendelet, 33. cikk – Az adatvédelmi incidens bejelentése a felügyeleti hatóságnak, a hetvenkét órás határidő és a belső nyilvántartási kötelezettség. (2016)
- (EU) 2016/679 rendelet, 34. cikk – Az érintettek tájékoztatása, ha az incidens valószínűsíthetően magas kockázattal jár. (2016)
- (EU) 2022/2555 irányelv, 23. cikk – A hálózatbiztonsági események kétlépcsős bejelentési rendje és a zárójelentés. (2022)
- (EU) 2024/1689 rendelet, 73. cikk – A magas kockázatú rendszerek súlyos váratlan eseményeinek bejelentése; elsősorban a szolgáltatót terheli. (2024)
- 2011. évi CXII. törvény – A hazai adatvédelmi keret és a felügyeleti hatóság eljárása. (2011)
Kapcsolódó elemzések
A felnőttképzés, az informatika és a mesterséges intelligencia metszetében dolgozik – a gyakorlati tapasztalatot köti össze a friss kutatással. Gyöngyös, Baranya és a Dél-Dunántúl.