# VdS 10000: információbiztonság a kis- és középvállalkozásoknak

> A VdS 10000 magyarázata: mit követel a kkv-irányelv, mi új a 2025-ös változatban, és mely követelmények érintik a weboldalát és a webszerverét.

Forrás: https://phpsos.de/hu/blog/vds-10000-kmu/  
Állapot: 2026. 10. 25.  
Szolgáltató: PHP SOS, PHP-vészhelyzeti segítség és szerverbiztonság. Azonnali segítség WhatsAppon: https://wa.me/491736494914?text=%C3%9Cdv%C3%B6zl%C3%B6m%2C%20PHP%20SOS%21%20Seg%C3%ADts%C3%A9gre%20van%20sz%C3%BCks%C3%A9g%C3%BCnk%20a%20PHP-szerver%C3%BCnkkel.%20C%C3%A9g%3A%20%E2%80%A6%20Weboldal%3A%20%E2%80%A6

**Röviden:** A VdS 10000 a VdS Schadenverhütung irányelve a kis- és középvállalkozások információbiztonságára. A VdS szerint az ISO 27001-en és a BSI-alapvédelmen (Grundschutz) alapul, de lényegesen karcsúbb, és a közép- és kisvállalkozásokra van szabva. A weboldalaknál és webszervereknél főként a leltár, a sebezhetőségek kezelése, a többfaktoros bejelentkezésű távoli hozzáférések, az adatmentés és a biztonsági incidensek kezelése fontos.

## Miért érdekes a VdS 10000 a közép- és kisvállalkozásoknak

Sok vállalkozás tudja, hogy az információbiztonságot strukturáltabban kellene megközelítenie, de visszariad az ISO 27001 ráfordításától. Éppen erre való a VdS 10000. A VdS ágazatsemleges intézkedéskatalógusként írja le, amely a kis- és középvállalkozásokat, valamint településeket sem szervezeti, sem pénzügyi szempontból nem akarja túlterhelni.

A VdS két megállapítása segít a besorolásban. A ráfordítás az ISO 27001-hez képest körülbelül 20 százalék. És a BSI (a német Szövetségi Információbiztonsági Hivatal) a VdS 10000 követelményeit az IT-alapvédelem (IT-Grundschutz) alapbiztosításának részhalmazaként értékeli. Az irányelv tehát nem pótolja a nagy szabványokat, hanem reális belépő, amely a VdS szerint felfelé kompatibilis.

A biztosítók számára a VdS 10000-nek különös súlya van, mert a VdS szorosan kapcsolódik a biztosítási szektorhoz. A VdS hangsúlyozza, hogy a tanúsítás bizalmat kelthet a biztosítóknál, és segíthet a maradványkockázat átvitelében. Hogy ez konkrétan mit jelent az Ön kötvényére nézve, azt tisztázza a biztosítójával vagy a közvetítőjével; a káresetre vonatkozó tudnivalók a [Kiberbiztosítás: mi számít kár esetén](https://phpsos.de/hu/compliance/cyberversicherung/) oldalon állnak.

## Mi új a VdS 10000 2025-ös változatában

A VdS 2025-ben átdolgozta az irányelvet. A VdS szerint ennek során többek között a következő pontok kerültek hozzá vagy változtak:

1. **Világosabb nyelv**, hogy a kezdők is megértsék a követelményeket.
2. **Kötelező felelősségek:** az információbiztonsági megbízottakat és a hozzájuk tartozó csapatot hivatalosan ki kell nevezni.
3. **A távoli hozzáférések többfaktoros hitelesítése** kötelezővé válik.
4. **Adatmentés a többgenerációs elv szerint**, különböző helyeken és különböző adathordozókon.
5. **Átdolgozott kockázatkezelés** az értékelési kritériumokra és azokra a határokra vonatkozó előírásokkal, amelyektől egy kockázatot elfogadnak.
6. **Egy közös „Biztonsági incidensek” fejezet**, amely egyesíti a zavarokról, kiesésekről és incidensekről szóló korábbi fejezeteket.
7. **Fizikai hozzáférések**, mint a kulcsok és transzponderek, a személyügyi folyamatokban is szabályozottak.

Az új kiadás emellett figyelembe veszi a VdS 10100 irányelvet, amely a NIS2-követelményeket írja le. A VdS a VdS 10000-et olyan alapnak tekinti, amelyre ezek később ráépíthetők.

## VdS 10000 és a webszerver: mi a konkrét teendő

Az irányelv nem beszél a PHP-ról vagy egyes webszerverekről. A követelményei azonban közvetlenül átvihetők a webes infrastruktúrára. A következő táblázat megmutatja, hogyan nézhet ez ki. Fordítási segédlet, nem hivatalos értelmezés.

| Követelményterület | Jelentése a weboldalra és a webszerverre | Példa a PHP2Shell-helyzetből |
|---|---|---|
| Áttekintés az IT-rendszerekről és kockázatokról | A weboldalak, webshopok, portálok és szervereik fel vannak mérve és értékelve | Azonnal tudni, mely rendszerek használnak PHP-t, és milyen verzióban |
| Sebezhetőségek és frissítések | A biztonsági frissítéseket időben telepítik és dokumentálják | Javítás a 8.5.12, 8.4.27, 8.3.36 vagy 8.2.35 verzióra, az összes worker újraindítása |
| Távoli hozzáférések többfaktoros bejelentkezéssel | Az SSH, a tárhelypanel és a CMS-admin további védelmet kap | Az ellopott jelszavak önmagukban nem nyitnak admin-hozzáférést |
| Adatmentés | Több generáció, elkülönített helyek és adathordozók | Visszanyúlás a 2026. 10. 17. előtti mentésre, ha szükséges |
| Biztonsági incidensek | Jelentési út, értékelés, dokumentálás | A webshellre vonatkozó gyanút jelentik és ellenőrzik, nem csendben törlik |
| Szolgáltatók | A tárhelyszolgáltató és az ügynökség szerződésben be van vonva | A tárhelyszolgáltató írásbeli javítási megerősítése |

Az adatmentéshez érdemes megnézni a [Mentések a 3-2-1 szabály szerint](https://phpsos.de/hu/ratgeber/backups-3-2-1/) cikket, a távoli hozzáférésekhez pedig a [Kétfaktoros bejelentkezés admin-hozzáférésekhez](https://phpsos.de/hu/ratgeber/zwei-faktor-admin/) cikket. Mindkettő jól egyezik a 2025-ös változat új kötelezettségeivel.

## Hogyan járnak el reálisan a kkv-k?

A VdS 10000 tanúsítási cél nélkül is használható útmutatóként. Egy pragmatikus út a leltárral kezdődik, mert áttekintés nélkül semmilyen más követelmény sem teljesíthető rendesen. Ezután jönnek azok a pontok, amelyeknek a legnagyobb a hatásuk a ráfordításhoz képest: a többfaktoros bejelentkezés, a működő mentések helyreállítási teszttel és egy egyértelmű jelentési út gyanú esetén.

Csak ha ezek az alapok megvannak, éri meg a formális oldal irányelvekkel, kinevezett felelősökkel és kockázatértékeléssel. Aki később tanúsításra törekszik, az eljárást a VdS dokumentumaiban találja; magát a vizsgálatot a tanúsító szervezet végzi, nem egy olyan szolgáltató, mint mi.

A közép- és kisvállalkozásoknál gyakori megbotlási pont az a kérdés, ki vállalja az információbiztonsági megbízott szerepét. A 2025-ös változat hivatalos kinevezést követel. A kis vállalkozásoknál a feladat gyakran az IT-vezetőnél vagy magánál a cégvezetésnél köt ki. Ez lehetséges, amíg az idő és a jogkörök reálisan vannak méretezve. Fontos, hogy ez a személy átlássa azokat a weboldalakat is, amelyeket a marketing vagy egy ügynökség gondoz. Éppen ezek esnek szívesen ki a rostán az első állapotfelmérésnél, mert nem a saját adatközpontban futnak. Egy egyszerű szabály segít: minden domainnek, amelynek a vállalkozás a tulajdonosa, van egy felelős személye és egy bejegyzése a leltárban.

A webszerver számára ez azt jelenti: a keményítés és a javítási fegyelem nem az irányelv melletti kűr, hanem pontosan az, amit a mindennapokban követel. Hogy mi tartozik ide, azt a [PHP-webszerverek keményítése](https://phpsos.de/hu/leistungen/server-haertung/) írja le. A nagy szabványokkal való összehasonlítást az [ISO 27001 és TISAX: mit érintenek a webszerverek](https://phpsos.de/hu/blog/iso-27001-tisax-webserver/) cikk végzi el.

## Hogyan segít konkrétan a PHP SOS?

- Önnel együtt elkészítjük a weboldalai, szerverei és PHP-verziói leltárát, és megjelöljük a kritikus rendszereket.
- A webszerveren megvalósítjuk a műszaki követelményeket: frissítések igazolással, többfaktoros bejelentkezés a távoli hozzáférésekhez, keményítés és mentésellenőrzés.
- Úgy dokumentáljuk, hogy az információbiztonsági megbízottai átvehessék a VdS-dokumentumokba.
- Nem ígérünk tanúsítást. Hogy a követelmények teljesültek-e, azt a vizsgálati szervezet ítéli meg.

## Összegzés

A VdS 10000 komolyan veendő, de megvalósítható keret a közép- és kisvállalkozásoknak. A 2025-ös változat pontosan azokat a pontokat élezi ki, amelyek a PHP2Shell után is számítanak: felelősök, többfaktoros bejelentkezés, jó mentések és az incidensek szabályozott kezelése. Aki a webszervernél kezdi, gyorsan látható előrelépést és szilárd alapot kap továbbiakhoz.


## Gyakori kérdések

**Kiknek szól a VdS 10000?**  
A VdS szerint kis- és középvállalkozásoknak, valamint településeknek és önkormányzati vállalkozásoknak. Ágazatsemleges, és sem szervezeti, sem pénzügyi szempontból nem akar túlterhelni. A VdS szerint nagyobb szervezetek is alkalmazhatják.

**Mi a különbség a VdS 10000 és az ISO 27001 között?**  
A VdS 10000 a VdS szerint az ISO 27001-en és a BSI-alapvédelmen (Grundschutz) alapul, de kkv-kra van szabva és lényegesen karcsúbb. A VdS az ISO 27001-hez képest körülbelül 20 százalékos ráfordítást jelöl meg, és az irányelvet felfelé kompatibilisként írja le, vagyis az ISO 27000 sorozatba való lehetséges belépőként.

**Segít a VdS 10000 a NIS2-nél?**  
A VdS a 2025-ös új kiadást olyan alapként írja le, amelyre a NIS2-követelmények később ráépíthetők. Erre ott van a saját irányelv, a VdS 10100. Hogy a vállalkozása a NIS2 hatálya alá tartozik-e, és akkor mi érvényes, azt kérjük, külön tisztázza.

**Van változat gyártóberendezésekhez?**  
Igen. Az ipari automatizálási rendszerekhez a VdS kiadja a VdS 10020 útmutatót, amely erre a területre értelmezi a VdS 10000-et.

## Források

- [VdS: VdS 10000 információbiztonság kkv-knak](https://vds.de/kompetenzen/cyber-security/zertifizierungen/informationssicherheits-und-datenschutzmanagement/vds-10000-informationssicherheit-fuer-kmu)
- [VdS: VdS 10000, az új 2025-ös verzió](https://vds.de/kompetenzen/cyber-security/vds-10000-die-neue-version-2025)
- [BSI: IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)