NIS2 kkv-knak: érint-e, és mit kell tenned?

Rövid válasz: ha a céged legalább középvállalat, és a törvény által felsorolt ágazatok valamelyikében működik, a NIS2 rád is vonatkozik, és a meglévő szervezetek első auditjának határideje 2026. június 30-án lejárt. Ha kisebb vagy, valószínűleg nem vagy közvetlenül érintett. Ez azonban nem jelenti, hogy megúszod: ha a nagy ügyfeleid érintettek, ők szerződésben fogják rád hárítani a biztonsági követelményeket. A NIS2 ezért a kkv-knak elsősorban beszállítói kérdés.

A téma körül sok a félinformáció. Egy részük túloz („minden cégnek auditálnia kell”), más részük alábecsül („ez csak a kritikus infrastruktúra”). Ebben a cikkben végigmegyünk azon, hogyan döntheted el, érint-e, és mi a teendő mindkét esetben.

Mi a NIS2?

A NIS2 az Európai Unió 2022/2555-ös irányelve a kiberbiztonság egységesen magas szintjéről. Az elődje, a NIS1 szűk kört érintett, a NIS2 viszont jóval több ágazatra és cégre terjed ki. A tagállamoknak 2024. október 17-ig kellett átültetniük, és ugyanettől a naptól váltotta fel a NIS1-et. Az irányelv egyik fontos újítása, hogy a kiberbiztonságért a cég felső vezetése személyesen felel.

Magyarországon a 2024. évi LXIX. törvény Magyarország kiberbiztonságáról ülteti át az irányelvet. A törvény 2025. január 1-jén lépett hatályba.

Érint-e? Két kérdés dönt

1. Melyik ágazatban működsz?

A törvény mellékletei sorolják fel az érintett ágazatokat, az irányelv mellékleteihez hasonlóan. Néhány példa:

kiemelten kritikus ágazatok: energia, közlekedés, bankszektor, egészségügy, ivóvíz és szennyvíz, digitális infrastruktúra, IKT-szolgáltatások kezelése (vállalkozások közötti), űripar;
egyéb kritikus ágazatok: postai és futárszolgálat, hulladékgazdálkodás, vegyi anyagok, élelmiszer-előállítás és -forgalmazás, bizonyos gyártóágazatok (például orvostechnikai eszközök, elektronika, gépek, járművek), digitális szolgáltatók (online piacterek, keresőmotorok, közösségi oldalak) és kutatás.

Ha a fő tevékenységed nincs a listán, a törvény jellemzően nem vonatkozik rád közvetlenül.

2. Mekkora a céged?

Az ágazati listán szereplő cégek közül főszabályként a középvállalatok és a nagyvállalatok érintettek. A törvény a kkv-törvény méretkategóriáit használja: középvállalat az, amelynél a foglalkoztatottak száma legalább 50 fő, vagy az éves nettó árbevétel és a mérlegfőösszeg is meghaladja a 10 millió eurót.

Vannak kivételek, ahol a méret nem számít. Ilyenek például a távközlési szolgáltatók, a bizalmi szolgáltatók, a DNS-szolgáltatók és a domainnév-nyilvántartók. A mikrovállalkozások az SZTFH tájékoztatója szerint mentesek az audit alól.

Az NKI külön segédletet adott ki a törvény hatályának értelmezéséhez. Ha bizonytalan vagy, érdemes azzal kezdeni.

Ki felügyel?

A törvény négy felügyeleti hatóságot nevez meg, ágazatonként:

SZTFH (Szabályozott Tevékenységek Felügyeleti Hatósága): a legtöbb ágazat, a bankszektor kivételével;
MNB: a bankszektor (itt a DORA-rendelet is számít);
NBSZ NKI: a közigazgatás;
honvédelmi szerv: a védelmi terület.

A kkv-k szempontjából szinte mindig az SZTFH az illetékes.

A határidők

A rendszer két csoportot különböztet meg.

A 2025. január 1-je előtt már működő érintettek:

a regisztráció eredeti határideje 2024. június 30. volt;
auditort 2025. augusztus 31-ig kellett szerződtetni;
az első auditot 2026. június 30-ig kellett elvégezni. Ezt a határidőt a 2025. évi XXXII. törvény tolta ki az eredeti 2025. december 31-ről.

Akik később válnak érintetté (új cég, új tevékenység, a méret átlépése):

30 napon belül regisztrálni kell az SZTFH-nál;
a regisztrációtól számított 120 napon belül auditort kell szerződtetni;
az első auditot két éven belül kell elvégezni, utána kétévente ismétlődik.

Hol tart most a rendszer?

A Telex beszámolója szerint az SZTFH nyilvántartásában 2520 szervezet szerepel, és közülük 2132 határidőre elvégezte az auditot. Augusztusig 2194 audit zárult le, és a cégek nagyjából 90%-a megfelelt. A leggyakoribb hiányosság a távoli hozzáférések dokumentálása volt.

Fontos szám ez is: aki érintett, de nem regisztrált, figyelmeztetést vagy akár 150 millió forintos bírságot kaphat. A beszámolók szerint sok cég még ma sem tudja, hogy érintett.

Mennyibe kerül?

Két költség van.

Az audit díja. Az SZTFH 1/2025. (I. 31.) rendelete szabja meg a felső határt. A beszámolók szerint ez a legkisebb érintetteknél nettó kb. 1,575 millió forinttól a legnagyobbaknál nettó kb. 140 millió forintig terjed.

A felügyeleti díj. A törvény szerint legfeljebb az előző évi nettó árbevétel 0,015%-a, de szervezetenként legfeljebb 10 millió forint, csoportszinten legfeljebb 50 millió forint. A díjat január 31-ig kell bevallani és április 30-ig megfizetni.

A valódi költség persze nem ez, hanem a felkészülés: kockázatelemzés, szabályzatok, technikai intézkedések, és ami a legtöbb cégnél hiányzik, a dokumentáció.

Mire kell felkészülni?

Az irányelv 21. cikke sorolja fel azokat a kockázatkezelési intézkedéseket, amelyeket az érintett szervezeteknek meg kell tenniük. A magyar szabályozás és az audit is ezekre épül. Röviden:

kockázatelemzés és információbiztonsági szabályzatok: tudd, mik a fontos rendszereid és adataid, és mi fenyegeti őket;
incidenskezelés: legyen leírva, mi a teendő, ki dönt, kit kell értesíteni;
üzletmenet-folytonosság: mentés, helyreállítás, válságkezelés, és ami a legtöbbször elmarad: a helyreállítás kipróbálása;
az ellátási lánc biztonsága: a beszállítók és szolgáltatók kockázatai;
biztonság a beszerzésben, fejlesztésben és karbantartásban, beleértve a sérülékenységek kezelését;
a hatékonyság értékelése: mérd, hogy az intézkedések működnek-e;
kiberhigiénia és képzés: a munkatársak alapszintű tudása;
titkosítás, ahol indokolt;
személyi biztonság, hozzáférés-kezelés és eszközleltár;
többfaktoros hitelesítés és biztonságos kommunikáció.

Ez hosszú lista, de egy közepes cégnél a nagy része már valamilyen formában létezik. Az audit nem azt kérdezi, hogy van-e tökéletes rendszered, hanem azt, hogy ismered-e a kockázataidat, döntöttél-e róluk, és be tudod-e mutatni, mit tettél. Egy kisebb, de dokumentált és működő megoldás többet ér egy drága, de senki által nem ismert rendszernél.

Az ENISA útmutatója minden ponthoz ad példákat és bizonyítéktípusokat. Ha most kezded a felkészülést, érdemes ezzel összevetni, mi van meg, és mi hiányzik.

Incidensbejelentés: az óra a felismeréskor indul

A NIS2 azt is előírja, milyen gyorsan kell a jelentős incidenseket bejelenteni. Az irányelv 23. cikke szerint:

korai figyelmeztetés 24 órán belül attól számítva, hogy a szervezet tudomást szerzett a jelentős incidensről;
incidensbejelentés 72 órán belül, a súlyosság és a hatás első értékelésével;
zárójelentés egy hónapon belül, a kiváltó okkal és a megtett intézkedésekkel.

A 24 óra rövid idő. Ha senki sem tudja, ki dönti el, hogy egy incidens jelentős-e, ki írja meg a bejelentést, és hová kell küldeni, a határidő lejár, miközben mindenki a rendszerek helyreállításán dolgozik. Ezért az incidenskezelést előre kell előkészíteni: egyoldalas eljárás, megnevezett felelősök helyettesekkel, a hatóság elérhetősége és egy sablon az első bejelentéshez.

Hasznos gyakorlat egy évente egyszeri, rövid asztali gyakorlat. Válassz egy valószerű helyzetet (például zsarolóvírus a fájlszerveren péntek este), és menjetek végig rajta, ki mit csinál az első 24 órában. Egy óra az egész, és megbízhatóan megmutatja a hiányokat.

A vezető felelőssége nem ruházható át

Ez az a pont, amelyet a legtöbb ügyvezető alábecsül. A törvény szerint a megfelelésért a szervezet vezetője felel, és ez a felelősség nem ruházható át. Ha az informatikát egy külső cég üzemelteti, az üzemeltető felel a szerződésben vállalt feladatokért, de a törvényi felelősség a vezetőnél marad.

A gyakorlatban ez azt jelenti, hogy a vezetőnek értenie kell, milyen kockázatai vannak a cégnek, és dokumentáltan döntenie kell arról, mit tesz ellenük. Nem kell kiberbiztonsági szakértővé válnia, de nem is háríthatja el a kérdést.

Ha nem vagy érintett: beszállítóként mégis az leszel

A NIS2 egyik legfontosabb, mégis kevésbé ismert eleme az ellátási lánc biztonsága. Az irányelv előírja, hogy az érintett szervezetek kezeljék a beszállítóikból fakadó kockázatokat is. Ez lefelé gyűrűzik: az érintett ügyfeleid kérdőíveket küldenek, biztonsági követelményeket írnak a szerződésbe, és bizonyítékot kérnek.

Ha IT-szolgáltatást, szoftvert, felhőszolgáltatást, karbantartást nyújtasz egy érintett cégnek, erre számíts. Az ENISA a digitális és IKT-szolgáltatóknak részletes útmutatót adott ki arról, milyen bizonyítékok és intézkedések felelnek meg a követelményeknek. Ez jó kiindulópont, akkor is, ha a te céged közvetlenül nem érintett.

A jó hír: ha egyszer felkészülsz, minden ügyfélnél ugyanazt a csomagot tudod megmutatni. A rossz hír: aki nem tud megfelelni, az kieshet a beszállítói körből.

Mi változhat még?

Az Európai Bizottság 2026. január 20-án módosítást javasolt az irányelvhez. A javaslat létrehozna egy „kis közepes vállalkozás” (small mid-cap) kategóriát a 750 főnél kevesebb foglalkoztatottal és legfeljebb 150 millió euró árbevétellel működő cégeknek, amelyek csak „fontos”, nem „alapvető” szervezetnek számítanának, enyhébb, utólagos felügyelettel. Ez egyelőre javaslat. Elfogadása 2026 végén vagy 2027-ben várható, utána a tagállamoknak még át kell ültetniük. A mai kötelezettségeken nem változtat.

Amit mi látunk

A cégeknél, ahol erről beszélgetünk, ritkán a technika a fő hiányosság. A tűzfal, a vírusvédelem, a mentés általában valamilyen formában megvan. Ami hiányzik, az a dokumentáció: ki fér hozzá mihez, hogyan, ki hagyta jóvá, mi a teendő incidens esetén. Nem véletlen, hogy az első auditkör leggyakoribb hiányossága is a távoli hozzáférések dokumentálása volt.

A dokumentáció nem bürokrácia. Ha egy éjjel leáll a rendszer, ez dönti el, hogy reggel tudjátok-e, kit kell hívni. És ha egy kulcsember szabadságon van vagy elmegy a cégtől, ez dönti el, hogy a tudása vele megy-e.

Mit tegyél most?

Döntsd el, érintett vagy-e. Ágazat és méret alapján, az NKI segédletével. Ha bizonytalan vagy, kérdezz rá az SZTFH-nál.
Ha érintett vagy, és nem regisztráltál, tedd meg most. A bírság a mulasztást bünteti.
Ha már auditáltak, készülj a következő körre. Két év múlva ismétlődik, és az első kör hiányosságait addig javítani kell.
Ha beszállító vagy, készíts egy biztonsági csomagot: szabályzatok, hozzáférés-kezelés, mentés és helyreállítás, incidenskezelés. Az ENISA útmutatója jó kiindulás.
Dokumentáld a távoli hozzáféréseket. Ki, mihez, hogyan, milyen hitelesítéssel. Ez volt a leggyakoribb hiányosság.
Tájékoztasd a vezetést a felelősségéről. Egy rövid, évente frissített kockázati összefoglaló sokat segít.

Ha szeretnéd, hogy valaki átnézze, érint-e a céged, és mi hiányzik a felkészülésből, nézd meg az infrastruktúra és üzemeltetés és az IT tanácsadás szolgáltatásunkat.

GYIK

Kire vonatkozik a NIS2 Magyarországon?

A 2024. évi LXIX. törvény mellékleteiben felsorolt ágazatokban működő közép- és nagyvállalatokra, valamint néhány ágazatban (például távközlés, bizalmi szolgáltatások, DNS) mérettől függetlenül. A mikrovállalkozások az audit alól mentesek.

Mikor kellett elvégezni az első auditot?

A 2025. január 1-je előtt már működő érintetteknek 2026. június 30-ig. Akik később válnak érintetté, a regisztrációtól számított két éven belül auditálnak, utána kétévente.

Mennyi a bírság, ha nem regisztrálunk?

A beszámolók szerint akár 150 millió forint is lehet, illetve figyelmeztetés. A felügyeleti díj elmaradása is külön szankcióval jár.

Mennyibe kerül az audit?

Az SZTFH rendelete szerinti felső határ a legkisebb érintetteknél nettó kb. 1,575 millió forint, a legnagyobbaknál nettó kb. 140 millió forint. Ehhez jön a felügyeleti díj, amely legfeljebb a nettó árbevétel 0,015%-a, szervezetenként legfeljebb 10 millió forint.

Ha kiszervezzük az informatikát, átkerül a felelősség?

Nem. A törvény szerint a szervezet vezetőjének felelőssége nem ruházható át. Az üzemeltető a szerződésben vállalt feladatokért felel, a megfelelésért továbbra is a vezető.