Vállalati kiberbiztonság: a NIS2 kötelezettségei magyar cégeknek

A NIS2 nem csak a bankokat és az energiacégeket érinti: Magyarországon az élelmiszer-előállítótól a gépgyártón és a futárszolgálaton át a felhőszolgáltatóig több ezer középvállalat tartozik a kiberbiztonsági törvény hatálya alá. Az érintett cégnek nyilvántartásba kell vetetnie magát, kétévente külső auditon kell átmennie, és egy súlyos incidenst 24 órán belül jelentenie kell. Aki kimarad, annak a bírság a 150 millió forintot is elérheti.

Mi a NIS2, és melyik magyar jogszabály ülteti át?

A NIS2 az Európai Unió 2022/2555-ös irányelve, amely az egész unióban egységesebb kiberbiztonsági minimumot ír elő a társadalom és a gazdaság szempontjából fontos ágazatoknak. Irányelvként nem közvetlenül alkalmazandó, a tagállamoknak saját törvényben kellett átültetniük.

Magyarországon ezt a 2024. évi LXIX. törvény (a továbbiakban: Kiberbiztonsági tv.) végzi, amely a 82. § (1) bekezdése szerint 2025. január 1-jén lépett hatályba. A végrehajtás részleteit, köztük a bejelentési határidőket és a bírságokat, a 418/2024. (XII. 23.) Korm. rendelet (Vhr.) tartalmazza. A törvényt azóta többször módosították: az audit határidejét a 2025. évi XXXII. törvény, a hatály alá tartozás méretfeltételeit (1. § (1) b) és d) pont) a 2025. évi CXXXV. törvény állapította meg új szöveggel 2026. január 6-tól, ezért mindig a hatályos szöveget érdemes nézni.

Kit érint: ágazat és méret

Két feltételnek kell egyszerre teljesülnie: a cég tevékenysége szerepeljen a törvény 2. vagy 3. mellékletében, és elérje a törvényben meghatározott méretet.

Melléklet	Ágazatok (példák)
2. melléklet (kiemelten kockázatos ágazatok)	energetika (villamos energia, távfűtés, kőolaj, földgáz, hidrogén), közlekedés, egészségügy, ivóvíz és szennyvíz, hírközlés, bizalmi szolgáltatás, digitális infrastruktúra (felhő, adatközpont, DNS), kihelyezett IKT-szolgáltatások, űralapú szolgáltatás
3. melléklet (kockázatos ágazatok)	postai és futárszolgálat, élelmiszer-előállítás, -feldolgozás és -forgalmazás, hulladékgazdálkodás, vegyipar, egyes gyártási tevékenységek (orvostechnikai eszköz, elektronika, gép, jármű, cement), online piactér, keresőszolgáltatás, közösségi média, kutatóhelyek

A méretküszöb a törvény 1. § (1) bekezdés d) pontja szerint: a cég a kkv-törvény szerint középvállalkozásnak minősül, vagy legalább 50 főt foglalkoztat, vagy éves nettó árbevétele meghaladja a 10 millió eurónak megfelelő forintösszeget, és ha számviteli beszámolót készít, a mérlegfőösszege is meghaladja a 10 millió eurót. Az átszámításnál az üzleti év zárásakor érvényes MNB-árfolyam számít (1. § (1a)). A kis- és mikrovállalkozás tehát főszabályként kimarad. Kivétel az elektronikus hírközlési szolgáltató, a bizalmi szolgáltató, a DNS-szolgáltató, a legfelső szintű doménnév-nyilvántartó és a doménnév-regisztrátor: ők méretüktől függetlenül érintettek.

A törvény két kategóriát különít el. Alapvető szervezet (1. § (4)) többek között a közigazgatás nagyobb része, az érintett többségi állami cégek, a 2. melléklet szerinti ágazatok legalább közepes méretű cégei, valamint méretüktől függetlenül a minősített bizalmi szolgáltatók, a DNS-szolgáltatók és a legfelső szintű doménnév-nyilvántartók; fontos szervezet (1. § (5)) a 2. melléklet többi érintettje és a 3. melléklet szerinti cégek. A különbség főleg a felügyelet módjában és a bírság felső határában jelentkezik. Ha nem biztos, hogy beleesel, nézd meg a cég TEÁOR-kódjait és a fő tevékenységet a cégkivonatban (ehhez segít a cégellenőrzési adatbázisokról szóló összefoglalónk), és vesd össze a mellékletekkel.

Bejelentkezés az SZTFH-nál és az audit

A magáncégek kiberbiztonsági felügyeletét a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) látja el. Az állami és közigazgatási szervezeteknél a nemzeti kiberbiztonsági hatóság a Nemzetbiztonsági Szakszolgálat (Kiberbiztonsági tv. 23. § (1), Vhr.), amelynek szakmai egysége a Nemzeti Kibervédelmi Intézet (NKI).

A legfontosabb határidők:

• Bejelentkezés: aki most kerül a hatály alá vagy most kezdi a működését, 30 napon belül megküldi az adatait az SZTFH-nak (Kiberbiztonsági tv. 8. § (5)). A 2025 előtt már működő cégek bejelentkezési határideje 2025-ben lejárt.
• Auditor kiválasztása: a nyilvántartásba vételtől számított 120 napon belül szerződést kell kötni egy, az SZTFH nyilvántartásában szereplő auditorral (16. § (2)).
• Első audit: új szervezetnél a nyilvántartásba vételtől számított két éven belül; a 2025 előtt működő cégeknél a határidő 2026. június 30. volt (89. § (2)). Ezt a határidőt a 2025. évi XXXII. törvény állapította meg; az auditorral való szerződéskötés határideje ezeknél a cégeknél 2025. augusztus 31. volt (89. § (1a)).
• Ismétlés: az audit kétévente esedékes (16. § (1)), és a hatóság soron kívül is elrendelheti. A méretüktől függetlenül érintett digitális szolgáltatók közül a mikrovállalkozásoknak nem kell auditot végeztetniük.

A Telex 2026. júliusi beszámolója szerint az SZTFH nyilvántartásában 2520 szervezet szerepelt, közülük 2132 teljesítette határidőre az auditot. A hatóság ugyanakkor azt is jelezte, hogy jelentős számú érintett még be sem jelentkezett, és ezeket a közhiteles nyilvántartásokból maga keresi meg. Aki tehát eddig kimaradt, ne várja meg a hatóság levelét.

Mit kell belül megcsinálni?

Az audit azt méri, hogy a cég teljesíti-e a törvény belső követelményeit. Ezek fő elemei:

• Felelős személy: a vezető kijelöli az elektronikus információs rendszer biztonságáért felelős személyt, vagy külső szakemberrel köt szerződést (11. §). A szerepre a törvény feltételeket ír elő (cselekvőképesség, büntetlen előélet, az állami és közigazgatási szervezeteknél végzettség is). Az összeférhetetlenségi szabály (gazdasági vezető, informatikai üzemeltető vagy fejlesztő nem lehet a felelős) a 11. § (4)–(5) szerint a közigazgatási és állami alapvető szervezetekre vonatkozik; a mellékletek szerinti magáncégekre (1. § (1) d) és e) pont) nem.
• Biztonsági osztályba sorolás: a rendszereket „alap”, „jelentős” vagy „magas” osztályba kell sorolni (10. § (1)), a döntést a vezető hozza, és legalább kétévente felül kell vizsgálni.
• Kockázatkezelés és szabályzat: kockázatelemzés, információbiztonsági szabályzat, hozzáférés-kezelés, mentési és helyreállítási terv, beszállítói (ellátási lánc) kockázatok kezelése.
• Incidenskezelési eljárás: ki észlel, ki dönt, ki jelent, és milyen csatornán.

A NIS2 egyik lényeges újítása, hogy a felelősség a vezetőségé. A Kiberbiztonsági tv. 8. §-a a szervezet vezetőjére telepíti az együttműködés és az adatszolgáltatás kötelezettségét, a 11. § szerint pedig ő jelöli ki a biztonsági felelőst. Az állami és közigazgatási szervezeteknél a 30. § (3) bekezdése alapján a vezetőt külön is bírságolni lehet, ismételt jogsértésnél kötelezően. A kiberbiztonság így nem tolható át teljesen az informatikai beszállítóra: a szerződést és a jelentéseket a vezetésnek is értenie kell. Ha a rendszereid felhőben futnak, érdemes a szolgáltatói szerződést is átnézni (erről bővebben: felhő vagy saját szerver).

Incidensbejelentés: 24 óra, 72 óra, egy hónap

A Vhr. 77. § (1) bekezdése háromlépcsős jelentést ír elő a nemzeti kiberbiztonsági incidenskezelő központ felé (ezt a feladatot a Nemzetbiztonsági Szakszolgálat látja el, a bejelentő felület az NKI oldalán érhető el):

Lépés	Határidő	Tartalom
Első bejelentés	24 órán belül a tudomásszerzéstől	az addig ismert alapadatok a rendeletben előírt adattartalommal (mi történt, mikor, mely rendszereket érinti)
Eseménybejelentés	72 órán belül	az incidens első értékelése, súlyossága és hatása
Közbenső jelentés	a központ kérésére	helyzetkép
Zárójelentés	egy hónapon belül az eseménybejelentés után	ok, megtett intézkedések; ha az incidens még tart, előrehaladási jelentés, majd zárójelentés a lezárás után egy hónapon belül

Az SZTFH felügyelete alá tartozó cégeknek a törvény 66. § (2) bekezdése szerint a súlyos működési zavart, pénzügyi veszteséget vagy másoknak jelentős kárt okozó incidenst kötelező bejelenteni, a kisebbeket önkéntesen jelenthetik. Jelentős incidensnél a Vhr. 78. §-a szerint telefonon is haladéktalanul értesíteni kell a központot. Ha az incidensben személyes adat is érintett, a NAIH felé külön, 72 órás GDPR-bejelentés is jár. A gyakorlati teendőket a zsarolóvírus-támadás első óráiról szóló cikkünk foglalja össze.

Bírságok

A Vhr. 42. § (2) bekezdése az uniós irányelvvel egyező felső határokat rögzít:

• alapvető szervezet: legfeljebb 10 millió eurónak megfelelő forintösszeg vagy az előző év globális árbevételének 2 százaléka, a kettő közül a magasabb;
• fontos szervezet: legfeljebb 7 millió euró vagy a globális árbevétel 1,4 százaléka, a magasabb;
• vezető: a nemzeti kiberbiztonsági hatóság (vagyis az állami és közigazgatási szervezeteknél) a kötelezettségét elmulasztó vezetőt legfeljebb 15 millió forintra bírságolhatja (42. § (4)).

Az SZTFH által kiszabható konkrét összegeket a Vhr. 3. melléklete tartalmazza. Eszerint például az audit határidőre való elvégzésének elmulasztása legalább 1 millió forint, legfeljebb az árbevétel 2 százaléka, de legfeljebb 150 millió forint; az incidensbejelentési kötelezettség elmulasztása 500 ezer és 5 millió forint közötti, a nyilvántartásba vételhez szükséges adatszolgáltatás elmaradása pedig az árbevétel 0,5–2 százaléka közötti (legalább 1 millió, legfeljebb 150 millió forint) bírsággal járhat. A Telex által idézett SZTFH-tájékoztatás szerint aki elmulasztotta a bejelentkezést vagy az auditot, figyelmeztetést kaphat, de bírság is kiszabható.

Ellenőrzőlista vezetőknek

1. Vesd össze a cég fő és jelentős tevékenységeit a törvény 2. és 3. mellékletével.
2. Ellenőrizd a méretet: létszám, nettó árbevétel, mérlegfőösszeg, a kapcsolt vállalkozásokkal együtt.
3. Ha érintett vagy, és még nem jelentkeztél be, tedd meg az SZTFH-nál, és dokumentáld a dátumot.
4. Jelölj ki biztonsági felelőst (belsőt vagy külsőt), és ellenőrizd az összeférhetetlenségi szabályokat.
5. Végezd el a rendszerek biztonsági osztályba sorolását és a kockázatelemzést.
6. Köss szerződést az SZTFH nyilvántartásában szereplő auditorral, és ütemezd a kétéves auditciklust.
7. Írj incidenskezelési eljárást a 24/72 órás és egyhónapos határidőkkel, nevesített felelősökkel és tartalék kommunikációs csatornával.
8. Nézd át a kritikus beszállítók (IT-üzemeltető, felhő, szoftver) szerződéseit: incidensjelentés, hozzáférés, audit joga.
9. Tarts évente legalább egy vezetői tájékoztatót és gyakorlatot; a felelősség a vezetőségé.

A szabályok 2026 novemberi állapotot tükröznek; konkrét ügyben kérd jogász véleményét.