Az amerikai Belbiztonsági Minisztérium (DHS) elrendelte, hogy a szövetségi végrehajtó hatalom polgári szervei zárják ki az érintett Acronis-termékeket a beszerzéseikből, és távolítsák el azokat informatikai rendszereikből. A rendelkezés az Acronis AG-ra, kapcsolt vállalkozásaira és az általuk közvetlenül vagy közvetve szállított, a rendelkezés hatálya alá tartozó termékekre vonatkozik. A közlemény az Acronis Inc. és az Acronis SCS által fejlesztett technológiát is nevesíti. A döntést a szövetségi beszerzések biztonságáért felelős tanács, a Federal Acquisition Security Council (FASC) ajánlásának és az azt alátámasztó bizonyítékoknak a felülvizsgálata előzte meg. A DHS közleménye a Federal Registerben.
Az intézkedés végrehajtása két, egymástól eltérő feladatot jelent. Először azt kell megállapítani, hol működik Acronis-technológia – akár egy másik vállalat neve alatt vásárolt szolgáltatás részeként. A mentési rendszereknél ezt követi a nehezebb művelet: úgy kell lecserélni a szoftvert, hogy egy üzemzavar vagy támadás után a korábban elmentett adatok továbbra is helyreállíthatók legyenek.
Az eltávolításra 180 napot ír elő a rendelkezés
Az aláírt rendelkezés eredeti kiadási dátuma 2026. július 31. A beszerzési kizárás azonnali: kiterjed a folyamatban lévő és a jövőbeli beszerzésekre, a jóváhagyott terméklistákra és az érintett beszerzési csatornákra. A már használatban lévő termékeket a rendelkezés kiadásától számított 180 naptári napon belül kell eltávolítani az érintett informatikai rendszerekből. A kivételt kérő szervek számára a dokumentum 60 napos kérelmezési határidőt ad meg. A DHS aláírt rendelkezése a közlemény mellékletében
A közlemény október 30-án jelent meg a Federal Registerben. Ezért félrevezető volna azt írni, hogy a szervek ettől a naptól kaptak újabb 180 napot. A végrehajtás ütemezésénél az érintett szerveknek a rendelkezés kiadását és a rájuk vonatkozó hivatalos utasításokat kell alapul venniük. A hivatalos közzététel adatai
A jogi hatály is lényeges. Ez a DHS-rendelkezés a szövetségi polgári rendszereket érinti. A nemzetbiztonsági rendszerek, valamint a Sensitive Compartmented Information (SCI) kategóriájú hírszerzési információkat kezelő rendszerek nem ennek a rendelkezésnek a hatálya alá tartoznak. Ez nem jelent általános mentességet: az amerikai hírszerző közösségnél már korábban külön intézkedés született.
Miért számít a mentőszoftver kiemelt jogosultsága?
A DHS nyilvános indoklása szerint az Acronis kiberbiztonsági és mentési eszközei emelt szintű, akár root jogosultsággal férhetnek hozzá az ügyfelek biztonsági rendszereihez. A minisztérium ezt jelentős kockázatnak ítélte a kormányzati informatikai környezetben. Egy mentőszoftvernél a hozzáférés mértéke különösen fontos: a feladatához olyan adatokat is olvasnia vagy helyreállítania kellhet, amelyekhez az adott rendszer hétköznapi felhasználói nem férnek hozzá. A DHS nyilvános kockázati indoklása
A nyilvános rendelkezés nem nevez meg konkrét sérülékenységet, nem ír le igazolt behatolást, és nem mutat be bizonyítékot szándékosan beépített kártékony kódra. A döntés azt rögzíti, hogy a kormányzat nem kívánja vállalni az adott beszállítóhoz és annak hozzáféréséhez kapcsolódó kockázatot. Ebből nem következik, hogy az Acronis termékeivel szövetségi hálózatokat törtek volna fel, vagy hogy más ügyfelek rendszerei kompromittálódtak.
Az orosz kapcsolatok korábban is figyelmet kaptak
Az Acronis körüli biztonsági vizsgálódás nem a mostani rendelkezéssel kezdődött. A The Washington Post 2022-ben arról számolt be, hogy az amerikai hírszerzés érdeklődését felkeltették egyes, Oroszországból külföldre költözött technológiai befektetők és vállalkozók kapcsolatai. A lap az Acronis alapítóját is megemlítette. Ez történeti háttér: a tudósítás önmagában nem bizonyít szabálytalanságot, és nem tárja fel a DHS későbbi döntésének teljes indoklását. A The Washington Post 2022-es tudósítása
Az Acronis a maga részéről nemzetközi vállalatként írja le magát: közlése szerint 2003-ban Szingapúrban alapították, majd 2008-ban Svájcban jegyezték be. Az oroszországi működés felfüggesztéséről szóló nyilatkozatában a vállalat azt írta, hogy 2017-ben leállította megoldásai értékesítését Oroszországban. Akkori tájékoztatása szerint szoftvereit Svájcban állította össze, tesztelte és tárolta, kibervédelmi szolgáltatásai és globális adatközpontjai pedig nem Oroszországban működtek. Az Acronis vállalati nyilatkozata
A vállalat szankciós és exportellenőrzési szabályzata szerint 2022 márciusában minden oroszországi tevékenységét felfüggesztette, és belső szabály tiltja az üzletkötést Oroszországban és Belaruszban. Ezek a társaság saját működésére vonatkozó közlései. A DHS nyilvános dokumentuma nem részletezi, hogyan értékelte ezeket az intézkedéseket, illetve milyen súlyt tulajdonított az esetleges korábbi kapcsolatoknak. Az Acronis szankciós és exportellenőrzési szabályzata
A hírszerző közösségnél már korábban korlátozták a használatot
Az amerikai hírszerzési igazgató hivatala (ODNI) 2025 szeptemberében hozta nyilvánosságra a Federal Acquisition Supply Chain Security Act (FASCSA) alapján kibocsátott első kizárási és eltávolítási rendelkezést. Az intézkedés az Acronis termékeinek és szolgáltatásainak beszerzését és használatát tiltotta meg a hírszerző közösségben. A szövetségi beszerzési hivatal, a General Services Administration (GSA) az Acronis termékeit és szolgáltatásait a több beszállítós keretszerződéseinek kínálatából is eltávolította. A GSA 2025-ös éves jelentése · A két rendelkezés előzményei
Az Acronis a Federal News Networknek adott válaszában azt közölte, hogy a korábbi szövetségi eljárás ismeretében számított a DHS lépésére, és továbbra is együttműködik az amerikai kormányzati szervekkel az aggályok tisztázásában. A vállalat hangsúlyozta, hogy a rendelkezés a szövetségi szervekre vonatkozik, nem a teljes ügyfél- és partnerkörére. A szövetségi megbízásokon dolgozó magánvállalatok számára ugyanakkor külön kérdés, hogy saját szerződésük teljesítésében mely termékeket használhatják. Az Acronis szóvivőjének válasza
Mit mond a tulajdonosváltás a beszállítói kockázatról?
Az EQT befektetési társaság 2024 augusztusában bejelentette, hogy megállapodott az Acronis többségi részesedésének megszerzéséről. A bejelentés szerint az alapítók, a menedzsment és a korábbi befektetők jelentős kisebbségi részesedést tartottak meg. Az EQT portfólióoldala 2025-öt tünteti fel a befektetés évének. A nyilvános adatokból nem állapítható meg, hogyan befolyásolta a tulajdonosváltás az amerikai hatóságok értékelését. Az EQT eredeti bejelentése · Az Acronis az EQT portfóliójában
A tulajdonosi háttér a beszállítói átvilágítás egyik eleme. A NIST átvilágítási útmutatója a külföldi tulajdon, ellenőrzés és befolyás mellett a technológia eredetét, a beszállító működési ellenálló képességét, alapvető kiberbiztonsági gyakorlatát és az ellátási lánc további szintjeit is vizsgálandó területként azonosítja. Biztonsági szoftvereknél ezért a tulajdonosi szerkezet mellett annak is jelentősége van, hol és hogyan készül a termék, ki juttathat el frissítést az ügyfelekhez, és ki férhet hozzá a telepített rendszerekhez támogatás címén. A NIST beszállítói átvilágítási útmutatója
Egy más néven vásárolt szolgáltatás mögött is állhat Acronis-technológia
Az EQT szerint az Acronis adatvédelmi, kiberbiztonsági, informatikai üzemeltetési és infrastruktúra-szoftvereket kínál vállalati informatikai részlegeknek és menedzselt szolgáltatóknak. Az EQT portfólióoldala több mint 20 000 menedzselt szolgáltatót említ az Acronis ügyfélkörében. Ez a szám a közvetett értékesítési modell jelentőségét mutatja, nem az érintett amerikai kormányzati telepítések számát. Az EQT vállalati adatlapja
Egy hivatal például vásárolhat teljes mentési szolgáltatást egy helyi üzemeltetőtől úgy, hogy a végpontokra telepített programot más vállalat fejlesztette. Hasonlóképpen, egyetlen néven értékesített végpontvédelmi csomag több szállító termékeiből állhat. Az Acronis nevére szűrt szerződéslista ezért nem feltétlenül mutat meg minden érintett rendszert.
A pontos felméréshez össze kell vetni a szolgáltató termékjegyzékét, az alvállalkozói nyilatkozatokat és a ténylegesen telepített összetevőket. A gyakorlati kérdés az, hogy melyik szoftver végzi a mentést vagy a végpontvédelmet, és ki üzemelteti annak felügyeleti rendszerét. Az ilyen ellenőrzés szükségessége önmagában nem jelenti azt, hogy valamely vállalkozó megsértette a rendelkezést.
A szövetségi beszállítóknál a szerződés szövege döntő
A DHS intézkedése nem általános amerikai magánpiaci tilalom. Egy magántulajdonban lévő cég azonban szövetségi szerződés teljesítésekor köteles lehet betartani a rá alkalmazandó FASCSA-korlátozásokat. A FAR 52.204-30 szerződéses kikötés tiltja az érintett termékek szállítását vagy használatát a szerződés teljesítésében, ha egy alkalmazandó FASCSA-rendelkezés ezt előírja. A FAR 52.204-30 hivatalos szövege
A kikötés a SAM.gov időszakos ellenőrzését is előírja. Ha a vállalkozó olyan új rendelkezést azonosít, amely érintheti az ellátási láncát, észszerű vizsgálatot kell végeznie annak megállapítására, hogy szállított-e a kormányzatnak vagy használt-e a szerződés teljesítésekor érintett terméket vagy szolgáltatást. A kikötésben meghatározott érintettség azonosítása vagy az arról kapott értesítés után az első jelentésre három munkanap áll rendelkezésre. A további előírt információkat az első jelentés benyújtását követő tíz munkanapon belül kell megadni. A jelentési kötelezettség részletei
Az ellenőrzési és jelentési kötelezettség nem azonos azzal, hogy egy új tilalom mikortól alkalmazandó egy adott szerződésre. A kikötés külön szabályozza az ajánlati felhívás után kibocsátott rendelkezések beépítését a felhívás vagy a szerződés módosításával. A beszállítónak ezért együtt kell vizsgálnia a konkrét rendelkezést, az aláírt szerződést és módosításait, valamint az illetékes szövetségi szerződéskötő tisztviselő utasításait.
A mentőrendszer cseréjét a sikeres visszaállítás igazolja
Egy mentési platform eltávolításakor a végponti ügynökprogramok törlése az utolsó lépések egyike. Előtte tisztázni kell, milyen formátumban maradnak meg a korábbi mentések, melyik rendszer tudja őket olvasni, és hozzáférhetők-e a szükséges titkosítási kulcsok és helyreállítási hitelesítő adatok. Attól, hogy az új platform sikeresen elkészíti az első mentését, egy három hónappal korábbi állapot még nem feltétlenül állítható vissza.
A váltás során ezért két külön próbának van értéke: visszaállítható-e egy megőrzendő régi mentés, és az új rendszerből a vállalt időn belül helyreállítható-e egy kritikus szolgáltatás. Ezek általános üzemeltetési szempontok, nem a DHS közleményében felsorolt további jogi követelmények.
A CISA StopRansomware útmutatója offline, titkosított mentéseket, valamint azok elérhetőségének és sértetlenségének rendszeres ellenőrzését ajánlja. A zsarolóprogramos támadók az elérhető mentéseket is keresik, és lopott hitelesítő adatokkal vagy sérülékenységeken keresztül a mentési rendszert is megtámadhatják. Egy platformcsere alatt ezért különösen fontos, hogy maradjon ellenőrzött, a termelési környezettől elkülönített helyreállítási lehetőség. A CISA StopRansomware útmutatója
Mit jelent a döntés más szervezetek számára?
A NIST ellátásilánc-kockázati útmutatója azzal is számol, hogy a vásárló csak részben látja, hogyan fejlesztik, építik be és telepítik az általa használt technológiát. Egy kritikus szolgáltatásnál ezért még egy esetleges kényszerű váltás előtt érdemes azonosítani a közvetlen szállító mögötti függőségeket, az emelt jogosultságú összetevőket, a hozzájuk férő szereplőket és a reális helyettesítési lehetőségeket. A NIST ellátásilánc-kockázatkezelési útmutatója
Az érintett szövetségi szervek számára a feladat az előírt kizárás és eltávolítás végrehajtása úgy, hogy közben az adatok helyreállíthatók maradjanak. Más ügyfelek számára a döntés indokolhat célzott beszállítói felülvizsgálatot, de nem bizonyítja saját rendszerük feltörését. A nyilvános rendelkezés egyértelművé teszi a korlátozást és megnevezi a kiemelt hozzáférést mint kockázatot; azt csak korlátozottan mutatja meg, milyen további bizonyítékok alapján ítélte szükségesnek a kormányzat az eltávolítást.
Eredeti cím: US Orders Acronis Removal From Federal Systems As Supply Chain Security Scrutiny Intensifies
