Ingatlanszektor piacvezetői számára készült útmutató az olyan kritikus biztonsági kötelezettségekről, mint a bérlői adatok védelme, az épületmenedzsment-rendszerek hozzáférés-vezérlése és a szállítói biztonsági szűrés.
Az ingatlanszektor fontos intézményeinek minősülnek azok az ingatlanügynökségek, ingatlankezelő cégek és ingatlantechnológiai platformok, amelyek legalább 250 fő alkalmazottat foglalkoztatnak vagy éves forgalmuk meghaladja az 50 millió eurót. Ide tartoznak az integrált épületmechanizációs rendszereket (BMS) üzemeltető nagyvállalati ingatlankezelők, valamint szegmentált adatbázisokkal rendelkező proptech-megoldásokat kínáló online ingatlanpiacok.
Az ingatlanügynökségeknek és ingatlankezelőknek olyan vezérlési mechanizmusokat kell bevezetniük, amelyek megakadályozzák a bérlői és tulajdonosi személyes adatok (lakóhely, telefonszám, bankszámla adatok) jogosulatlan hozzáférésétől. Az adatokat titkosítással kell tárolni mind a nyugalmi, mind az átvitel során, és a hozzáférési jogosultságokat a felhasználók konkrét szerepkörei alapján kell korlátozni.
Az épületmenedzsment-rendszerek (például HVAC, zárrendszerek, kamerázás) hozzáféréseit szigorú, többtényezős hitelesítéssel kell biztosítani, és az ezekre utaló eszközöket nem szabad nyilvános internethez csatlakoztatni. Az ingatlankezelőknek végezniük kell a szállított okos eszközök (IoT-szenzorok, intelligens zárak) biztonsági felülvizsgálatát, mielőtt az épület infrastruktúrájához integrálnák azokat.
Az ingatlantechnológiai platform-üzemeltetőknek és nagyvállalati ingatlankezelőknek a szerződésekben és szállítóinak kiválasztási folyamataiban rögzíteniük kell a kiberbiztonsági követelményeket. Mielőtt az ingatlanközvetítő vagy építési irányítási szoftvert, valamint a bérleti vagy tulajdonosi adatokat feldolgozó felhőszolgáltatásokat üzembe helyeznék, formális biztonsági felülvizsgálatot és megfelelőségi igazolást kell kérniük.
Az ingatlanügynökségeknek és ingatlantechnológiai platformoknak olyan írásos incidensbejentési eljárásokat kell létrehozniuk, amelyek meghatározzák, hogy kik felelősek az első vizsgálatért, valamint milyen időkeretben (általában 72 órán belül) kell bejelenteniük a kiemelt biztonsági incidenst a SZTFH-nak. Az incidensbejegyzésekhez dokumentálniuk kell az érintett adatok típusát (bérlői-, tulajdonosi- vagy épületrendszer-adatok) és az eset súlyosságát.
Az ingatlanügynökségek és ingatlankezelő cégek évente legalább egy alkalommal kötelesek oktatást szervezni az alkalmazottaknak a jelszókezelésről, az adatkezelés biztonságos módjáról és a közösségmédia-alapú phishing támadások felismeréséről. Az olyan szenzitív adatokhoz (bérlői személyes adatok, épület-biztonsági hozzáférési kódok) hozzáféréssel rendelkező alkalmazottaknak alapvető kiberbiztonsági tanúsítvánnyal kell rendelkezniük.
Azok az ingatlantechnológiai platform-üzemeltetők, amelyek internetes bérleti piactérként vagy ingatlanközvetítési szoftverként működnek és legalább 250 alkalmazottal vagy 50 millió eurós éves forgalommal bírnak, illetve az integrált épületmechanizációs rendszereket működtető nagyvállalati ingatlankezelők kötelezett megfelelésre. Az olyan szegmentált adatbázisokkal rendelkező platformok, amelyek bérlői-, tulajdonosi- és épületbiztonsági adatokat feldolgoznak, mindig az A kategóriába tartoznak.
Az ingatlankezelőknek a szállítói szerződésekben tételesen rögzíteniük kell a kiberbiztonsági követelményeket (titkosítás, gyenge jelszavak vagy alapértelmezett jelszavak tilalma, biztonságifrissítések), valamint a szállítóktól formális biztonsági nyilatkozatot és megfelelőségi igazolást kell kérniük az üzembehelyezés előtt. Reglyze vagy hasonló szállítói auditrendszer segítségével dokumentálható a végzett felülvizsgálat.
Fontos intézmények esetén a SZTFH legfeljebb 7 millió eurós vagy az éves nettó forgalom 1,4%-ának megfelelő büntetést szabhat ki. A 2023. évi XXIII. törvény (NIS2) alapján a bejelentési kötelezettség megsértése vagy a szállítói biztonsági szűrés hiánya szintén szankciókat vonhat maga után, amelyeket a SZTFH eljárásában lehet kiszabni.