# Az ügyvezetés felelőssége IT-biztonsági rések esetén

> Az ügyvezetői felelősség IT-biztonsági rések esetén általánosan magyarázva: gondossági kötelezettségek, NIS2, és a döntések szabályos dokumentálása.

Forrás: https://phpsos.de/hu/compliance/geschaeftsfuehrer-haftung/  
Állapot: 2026. 10. 25.  
Szolgáltató: PHP SOS, PHP-vészhelyzeti segítség és szerverbiztonság. Azonnali segítség WhatsAppon: https://wa.me/491736494914?text=%C3%9Cdv%C3%B6zl%C3%B6m%2C%20PHP%20SOS%21%20Seg%C3%ADts%C3%A9gre%20van%20sz%C3%BCks%C3%A9g%C3%BCnk%20a%20PHP-szerver%C3%BCnkkel.%20C%C3%A9g%3A%20%E2%80%A6%20Weboldal%3A%20%E2%80%A6

**Röviden:** Az IT-biztonság az ügyvezetés feladatai közé tartozik. Az ügyvezetői felelősségről IT-biztonsági rések esetén főként akkor szokás vitatkozni, ha ismert kockázatokat nem kezeltek megfelelően, az illetékességeket nem szabályozták, vagy a döntéseket nem követhetően hozták. A PHP2Shellhez hasonló helyzetekben a rendelkezésre álló tényeken alapuló, egyértelmű, dokumentált döntés segít. Ez az oldal általános tájékoztatás, nem jogi tanácsadás.

> **Fontos:**
> Nem jogi tanácsadás: a felelősségi kérdések erősen függenek az egyedi esettől, a jogi formától és a szerződéses szabályozásoktól. Konkrét kérdéseit értékeltesse egy társasági jogi ügyvéddel.

## Ügyvezetői felelősség és IT-biztonság: az általános keret

Egy GmbH (német korlátolt felelősségű társaság) ügyvezetőitől a GmbHG (német GmbH-törvény) 43. §-a a rendes üzletember gondosságát követeli meg. Egy részvénytársaság (AG) vezetőségi tagjaira az AktG (német részvénytörvény) 93. §-a hasonló szabályt tartalmaz; az AktG 91. §-ának (2) bekezdése ezenfelül megfelelő intézkedéseket kíván a fennmaradást veszélyeztető fejlemények korai felismerésére. Ezekből az általános kötelezettségekből a szakmai vita azt vezeti le, hogy az IT-kockázatokat is megfelelően kell kezelni.

A vállalkozói döntésekre mérlegelési mozgástér áll fenn. Aki megfelelő információ alapján és a társaság javára dönt, az az ún. Business Judgment Rule szerint általában kötelességszerűen jár el, akkor is, ha a döntésről később kiderül, hogy kedvezőtlen. Ebből gyakorlati tanulság adódik: gyakran kevésbé az eredmény a döntő, mint az a kérdés, hogy a döntést tájékozottan és követhetően hozták-e.

## Mit tesz hozzá a NIS2

A NIS2 hatálya alá tartozó vállalkozásoknál a vezetés felelőssége kifejezetten szabályozott. Az ügyvezetésnek jóvá kell hagynia a kockázatkezelési intézkedéseket, felügyelnie kell a megvalósításukat, és képeztetnie kell magát a kiberbiztonságban. Németországban az átültetést a NIS2UmsuCG (német törvény) végzi. Hogy a vállalkozását érinti-e, és milyen kötelezettségek érvényesek egyenként, azt a BSI tájékoztatásából ismerheti meg. Általános áttekintést ad a [NIS2 és a webszerverek biztonsága](https://phpsos.de/hu/compliance/nis2/).

Ehhez jönnek az adatvédelemből eredő kötelezettségek. A GDPR szerint a vállalkozásnak megfelelő műszaki és szervezési intézkedéseket kell hoznia, és a személyes adatok védelmének megsértését a 33. cikk szerint értékelnie, dokumentálnia és adott esetben bejelentenie kell.

## Mit kíván a vezetéstől egy PHP2Shellhez hasonló helyzet

A PHP2Shell két kritikus rést jelöl magában a PHP-ban (CVE-2026-109618 és CVE-2026-109619, egyenként CVSS v4.0 9,2). A BSI a 3-as figyelmeztetési szintet (narancs) hirdette ki, és azonnali frissítést javasol, és ha az nem lehetséges, a webszerverek ideiglenes leválasztását a hálózatról. A vezetés számára ezzel tipikus mérlegelés áll elő: forgalom és elérhetőség egy magas, nyilvánosan ismert kockázattal szemben.

Senki nem várja el, hogy az ügyvezetők maguk javítsák a szervereket. Elvárható viszont, hogy tudomásul vegyék a helyzetet, tisztázzák az illetékességeket, beszámolót kérjenek, és döntést hozzanak. Kérdések, amelyeket a vezetésnek fel kell tennie:

- Mely rendszereink használnak PHP-t, és ki felel értük, belsőleg vagy a szolgáltatónál?
- Telepítették a frissítéseket és újraindították a folyamatokat, és van erről igazolás?
- Ha nem: miért nem, milyen átmeneti intézkedések futnak, és levesszük-e a rendszert a hálózatról?
- Vannak-e jelek betörésre, és ki értékeli az esetleges bejelentési kötelezettségeket?

## A döntések dokumentálása

Rögzítse röviden írásban a helyzetképet, a lehetőségeket, a döntést és az indoklást, dátummal és időponttal. Egy ilyen jegyzőkönyvnek nem kell hosszúnak lennie. Később megmutatja, hogy a vezetés tájékozott volt, és mérlegelt. Ez kifejezetten érvényes arra a döntésre is, hogy egy rendszert a kockázat ellenére korlátozott ideig tovább üzemeltetnek.

| Tartalom | Példa |
|---|---|
| Helyzetkép | BSI 3-as figyelmeztetési szint, javítások 2026. 10. 21. óta elérhetők |
| Érintett rendszerek | Webshop, ügyfélportál, belső wiki-telepítés |
| Lehetőségek | azonnali javítás, átmeneti intézkedések, leválasztás a hálózatról |
| Döntés | A webshop javítva, a wiki a frissítésig offline |
| Indoklás és felelősök | Igazolás a szolgáltatótól, ellenőrzés az IT-vezetés által |

A javítás nem távolítja el a már bejuttatott kártevőt. Az a döntés is a jegyzőkönyvbe tartozik, hogy keresnek-e nyomokat.

## Tartós szervezés a rögtönzés helyett éles helyzetben

A legjobb előrelátás a világos szervezet: kinevezett felelős az információbiztonságért, eljárás a biztonsági frissítésekre, rendszeres beszámolók a vezetésnek, egy tesztelt [IT-vészhelyzeti terv](https://phpsos.de/hu/compliance/notfallplan-erstellen/) és ésszerű időközönként egy független vizsgálat. Módszertani keretként a BSI IT-Grundschutz (német IT-alapvédelem) ajánlható.

A szervezéshez tartozik az is, hogy a beszámolókat úgy alakítsák ki, hogy a vezetés megértse őket. Gyakran elég egy rövid, rendszeres beszámoló kevés adattal: hány rendszer van aktuális állapotban, hol vannak kivételek és miért, mely incidensek vagy majdnem-incidensek történtek, mely döntések várnak. Aki ilyen beszámolókat átvesz, kérdéseket tesz fel, és rögzíti az eredményeket, később megmutathatja, hogy a felügyelet ténylegesen megtörtént. Ez attól függetlenül érvényes, hogy a technika belsőleg vagy egy szolgáltatónál van.

## Hogyan segít konkrétan a PHP SOS?

- Érthető helyzetképet készítünk a webszervereiről az ügyvezetésnek, világos lehetőségekkel.
- Megvalósítjuk a választott lehetőséget, és írásos műszaki igazolást szolgáltatunk.
- Egy [biztonsági audittal vagy penetrációs teszttel](https://phpsos.de/hu/leistungen/sicherheitsaudit-penetrationstest/) független alapot teremtünk a döntéseihez.
- Egy [biztonsági karbantartási szerződéssel](https://phpsos.de/hu/leistungen/security-wartungsvertrag/) tartósan szabályozzuk a frissítéseket és a beszámolókat.


## Gyakori kérdések

**Személyesen felel az ügyvezető egy hekkertámadásért?**  
Egy támadás önmagában nem alapoz meg személyes felelősséget. Felelősségről főként akkor szokás vitatkozni, ha gondossági kötelezettséget megsértettek, például ha ismert kockázatokat figyelmen kívül hagytak, vagy az illetékességeket nem szabályozták. Hogy az egyedi esetben ez így van-e, azt csak jogi tanácsadás ítélheti meg.

**Teljesen átadhatom az IT-biztonságot az IT-nek vagy egy szolgáltatónak?**  
A feladatok delegálhatók, de a kiválasztásért, a felszerelésért és a felügyeletért a felelősség a vezetésnél marad. Rendszeresen kérjen beszámolót, és rögzítse, mely döntéseket milyen alapon hoztak.

**Mit változtat a NIS2 az ügyvezetés felelősségén?**  
A NIS2 előírja az érintett vállalkozások vezetésének, hogy jóváhagyja a kockázatkezelési intézkedéseket, felügyelje a megvalósításukat, és vegyen részt képzéseken. A részletek a német átültető törvényből és a BSI (a német Szövetségi Információbiztonsági Hivatal) tájékoztatásából adódnak.

**Segít egy D&O-biztosítás?**  
A vezető tisztségviselői felelősségbiztosítás (D&O) fedezhet bizonyos, a vezetést érintő felelősségi kockázatokat, a feltételek azonban erősen eltérnek. A terjedelmet tisztázza az alkusszal vagy a biztosítóval.

## Források

- [BSI](https://www.bsi.bund.de/)
- [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [GDPR 33. cikk](https://dsgvo-gesetz.de/art-33-dsgvo/)