IT biztonság · NIS2 · Budapest és Pest megye
NIS2 és a magyar KKV-k: vonatkozik-e Önre, és mit kérnek a megrendelői?
A NIS2 – Magyarországon a 2024. évi LXIX. törvény – alapesetben a felsorolt ágazatokban működő, legalább 50 fős vagy 10 millió eurót meghaladó árbevételű szervezetekre vonatkozik. A legtöbb budapesti KKV ezért nem közvetlenül, hanem NIS2-köteles megrendelőinek beszállítói elvárásain keresztül érintett. A NIS2-felkészítés műszaki részét az IWS IT-biztonsági és üzemeltetési szolgáltatása keretében vállaljuk – MFA, mentés, végpontvédelem, jogosultságkezelés, beszállítói kérdőívek –, auditot viszont nem végzünk: azt kizárólag az SZTFH által nyilvántartásba vett auditor végezheti.
Kire vonatkozik a NIS2 Magyarországon?
A NIS2 az Európai Unió 2022/2555 irányelve, amelyet a 2024. évi LXIX. törvény ültet át. A törvény alapesetben a mellékleteiben felsorolt ágazatokban működő közepes és nagyobb szervezetekre vonatkozik; a méretet a létszám és az éves árbevétel alapján kell megítélni. Mikro- és kisvállalkozás csak néhány digitális szolgáltatásnál kötelezett, például nyilvános elektronikus hírközlési, bizalmi, DNS- vagy domainregisztrációs szolgáltatóként. A legtöbb kötelezett nyilvántartásba vételét és auditját a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) felügyeli.
Egy kisebb budapesti szolgáltató vagy tanácsadó cég ezért többnyire nem NIS2-köteles, a NIS2-köteles megrendelők azonban a beszállítóiktól is biztonsági intézkedéseket kérhetnek, szerződésben vagy kérdőívben. A három tipikus helyzet:
| Helyzet | Kire jellemző | Mi a teendő |
|---|---|---|
| Közvetlenül NIS2-köteles | Közepes vagy nagyobb szervezet a felsorolt ágazatokban; mikro- és kisvállalkozás a felsorolt digitális szolgáltatásoknál | Nyilvántartásba vétel, kétévenkénti audit, incidensbejelentés, a védelmi intézkedések fenntartása |
| Beszállítóként érintett | KKV, amely NIS2-köteles megrendelőtől beszállítói kérdőívet vagy biztonsági záradékot kapott | A megrendelő elvárásainak igazolható teljesítése: MFA, mentés, hozzáférés-kezelés, incidens-kapcsolattartó, dokumentáció |
| Nem érintett | Cég, amely sem méret és ágazat, sem digitális szolgáltatás alapján nem kötelezett, és NIS2-köteles megrendelője sincs | Nincs törvényi kötelezettség; az alapvető védelem (MFA, mentés, frissítések) üzleti okból indokolt |
A besoroláshoz érdemes jogász vagy SZTFH által nyilvántartásba vett auditor véleményét kérni; a törvény szövege a Nemzeti Jogszabálytárban olvasható.
Mit kérhetnek Öntől a NIS2-köteles megrendelői?
Ha NIS2-köteles cégnek szállít, a megrendelő beszállítói kérdőívet küldhet, és a válaszokat szerződéses vállalássá teheti. A NIS2-höz kapcsolódó beszállítói kérdések többsége műszaki és szervezési, nem jogi:
- Beszállítói biztonsági kérdőív: milyen rendszereken kezelik a megrendelő adatait, ki fér hozzájuk, milyen védelem működik.
- Többfaktoros hitelesítés (MFA) a levelezésben, a távoli elérésben és a felhőszolgáltatásokban.
- Rendszeres mentés és igazolt visszaállítás: a visszaállítási próba eredményét is kérhetik.
- Incidensbejelentési elérhetőség: kit és hogyan értesít a beszállító a megrendelőt érintő biztonsági eseménynél.
- Hozzáférés-kezelés: névre szóló fiókok, a kilépők hozzáféréseinek megszüntetése, korlátozott rendszergazdai jogok.
- Frissítések és végpontvédelem: támogatott operációs rendszerek, központilag felügyelt védelem a munkaállomásokon.
Ezekre nem a törvény, hanem a megrendelő szerződése szab határidőt.
Milyen NIS2-határidők és következmények vannak 2026-ban?
A legfontosabb tények
- Az első audit határideje 2026. június 30. volt; az SZTFH 2026. július 10-i közleménye szerint 2 520 auditkötelezett szervezetből 2 132 teljesítette határidőben.
- Az audit kétévente ismétlődik, a következő kör 2028-ban esedékes.
- A nyilvántartásba vétel vagy az audit elmulasztása legfeljebb 150 millió forint bírsággal járhat.
- Jelentős incidensnél 24 órás korai figyelmeztetés és 72 órás bejelentés kötelező.
| Kötelezettség | Határidő vagy mérték |
|---|---|
| Szerződéskötés nyilvántartott auditorral | 2025. augusztus 31. |
| Első kiberbiztonsági audit (2025. január 1. előtt működő kötelezettek) | 2026. június 30. (lejárt) |
| Ismételt audit | Kétévente, legközelebb 2028-ban |
| Incidensbejelentés | 24 órás korai figyelmeztetés, 72 órás bejelentés |
| Bírság a nyilvántartásba vétel vagy az audit elmulasztásáért | Legfeljebb 150 millió Ft |
| Beszállítói elvárások KKV-knak | A megrendelő szerződése szerint |
A határidőket módosító törvénymódosítás 2025. május 31-én lépett hatályba.
Források
- 2024. évi LXIX. törvény Magyarország kiberbiztonságáról – Nemzeti Jogszabálytár
- SZTFH: Kiberbiztonsági felügyelet (nyilvántartásba vétel, auditkötelezettség, határidők)
- SZTFH: Lezárult a kiberbiztonsági auditok határideje (2026. július 10.; az első audit határideje, a 2 520 auditkötelezett és a 2 132 határidőben teljesítő szervezet adata, valamint a legfeljebb 150 millió forintos bírság)
- SZTFH: Haladékot kaphatnak a vállalkozások a kötelező kiberbiztonsági audittal kapcsolatban (2025. május 5.)
- SZTFH: nyilvántartásba vett kiberbiztonsági auditorok
- Az incidensbejelentési határidők és a 2025. május 31-i módosítás: RSM Hungary (2025. június 19.) és PassMan (2026. augusztus 18.) szakmai összefoglalói.
Tartalmi ellenőrzés: 2026. szeptember 24.; az oldal adatai 2026. szeptemberi állapot szerint érvényesek. Döntés előtt ellenőrizze az SZTFH aktuális közleményeit.
Önellenőrző lista: érintett-e a cége, és mennyire felkészült?
Válaszoljon igennel vagy nemmel: az első négy kérdés az érintettséget, a többi a felkészültséget méri.
- Van legalább 50 munkatársa, vagy meghaladja az éves árbevétele a 10 millió eurót?
- Szerepel a fő tevékenysége a 2024. évi LXIX. törvény mellékleteiben felsorolt ágazatok között?
- Nyújt a cége nyilvános elektronikus hírközlési, bizalmi, DNS- vagy domainregisztrációs szolgáltatást?
- Van NIS2-köteles megrendelője, vagy kapott már beszállítói biztonsági kérdőívet?
- Kötelező a többfaktoros hitelesítés (MFA) minden céges levelezési, távoli elérési és felhőfiókon?
- Készül rendszeres mentés, és az elmúlt tizenkét hónapban kipróbálták a visszaállítást?
- Van naprakész nyilvántartás az eszközökről, a felhasználókról és a hozzáférési jogokról?
- A kilépő munkatársak hozzáféréseit a kilépés napján megszüntetik?
- Le van írva, kit kell értesíteni egy biztonsági incidens esetén, és mit kell rögzíteni róla?
- Minden gépen támogatott operációs rendszer és végpontvédelem fut, és a biztonsági frissítések rendszeresen települnek?
Értékelés: ha az 1. és a 2. kérdésre is igen a válasz, vagy a 3. kérdésre igen, a cége közvetlenül NIS2-köteles lehet; ezt jogász vagy nyilvántartott auditor erősítheti meg. Ha a 4. kérdésre igen, beszállítóként érintett. Az 5–10. kérdésnél minden nemleges válasz egy konkrét műszaki teendő; ezekben tudunk segíteni.
Miben segítünk a NIS2-felkészítésben?
A NIS2-tanácsadás nálunk műszaki, nem jogi: az IT-biztonsági és biztonsági mentési szolgáltatásunk és az üzemeltetés keretében bevezetjük és karbantartjuk azokat az intézkedéseket, amelyeket a beszállítói kérdőívek és az auditorok számon kérnek. A felkészítés terjedelmét és díját a felmérés után, egyedi ajánlatban rögzítjük.
- Többfaktoros hitelesítés (MFA) bevezetése a levelezésben, a távoli elérésben és a felhőszolgáltatásokban.
- Mentési rend kialakítása és visszaállítási próba, dokumentált eredménnyel, amelyet a megrendelőnek is bemutathat.
- Végpontvédelem és frissítéskezelés a munkaállomásokon és a szervereken.
- Eszköz- és jogosultság-nyilvántartás: ki, mihez, milyen joggal fér hozzá; belépők és kilépők kezelése.
- Az incidenskezelési folyamat dokumentálása: kit kell értesíteni, mit kell rögzíteni, hogyan zajlik a helyreállítás.
- A beszállítói kérdőívek műszaki kérdéseinek előkészítése a rendszerek tényleges állapota alapján.
Mit nem vállalunk?
Kiberbiztonsági auditot nem vállalunk, mert azt csak az SZTFH auditori nyilvántartásában szereplő szakértő végezheti. Jogi tanácsot – például az érintettség hivatalos megállapítását vagy a szerződéses záradékok értelmezését – nem adunk; ehhez jogász vagy auditor bevonását javasoljuk, a műszaki oldalon pedig együttműködünk velük.
Gyakori kérdések a NIS2-ről és a KKV-król
Mi az a NIS2, és mit jelent a magyar KKV-knak?
A NIS2 az Európai Unió kiberbiztonsági irányelve (2022/2555), amelyet Magyarországon a 2024. évi LXIX. törvény ültet át. A kötelezettségek – nyilvántartásba vétel, védelmi intézkedések, kétévenkénti audit, incidensbejelentés – alapesetben a felsorolt ágazatokban működő közepes és nagyobb szervezeteket terhelik. A legtöbb KKV közvetetten, NIS2-köteles megrendelőinek beszállítójaként találkozik vele.
Vonatkozik-e a NIS2 egy 20 fős budapesti cégre?
Alapesetben nem: a 2024. évi LXIX. törvény a felsorolt ágazatokban a közepes és nagyobb szervezetekre vonatkozik, egy 20 fős cég pedig csak akkor számít annak, ha az éves árbevétele meghaladja a törvényi küszöböt. Kivétel néhány digitális szolgáltatás, például az elektronikus hírközlés, a bizalmi vagy a DNS-szolgáltatás, ahol kisebb cég is kötelezett lehet. A biztos válaszhoz jogász vagy nyilvántartott auditor véleményét érdemes kérni.
Mit tegyek, ha a megrendelőm NIS2 miatt beszállítói kérdőívet küldött?
Ne jelöljön meg olyan intézkedést, amely nincs bevezetve, és ne hagyja üresen a műszaki kérdéseket. Gyűjtse össze, hol tárolják a megrendelő adatait, ki fér hozzájuk, működik-e MFA és rendszeres mentés. A kérdőív műszaki részét a rendszerek tényleges állapota alapján készítjük elő, a hiányzó intézkedéseket pedig ütemezve vezetjük be; a szerződéses vállalásokat érdemes jogásszal átnézetni.
Ki végezhet NIS2-auditot, és Önök végeznek auditot?
Kiberbiztonsági auditot csak az SZTFH által nyilvántartásba vett auditor végezhet; a nyilvántartás az SZTFH honlapján nyilvános. Mi nem vagyunk auditorok, ezért auditot nem végzünk. A műszaki felkészítést viszont vállaljuk: MFA, mentés és visszaállítási próba, végpontvédelem, jogosultság-nyilvántartás és az incidenskezelési folyamat dokumentálása, amelyeket az auditor a vizsgálata során ellenőrizhet.
Mennyibe kerül a NIS2-felkészítés?
A díj attól függ, hány munkaállomást, szervert és felhőszolgáltatást érint a felkészítés, és mennyi intézkedés hiányzik. Ezért egyedi ajánlat alapján dolgozunk: a felmérés után az ajánlatban rögzítjük a feladatokat és a díjat. Az audit díja az auditorral kötött külön szerződés része. Ha az intézkedések fenntartása havidíjas üzemeltetés keretében történik, azt is az ajánlat tartalmazza.
Mi történik, ha egy NIS2-köteles cég elmulasztja a nyilvántartásba vételt vagy az auditot?
Az SZTFH figyelmeztetést adhat, súlyosabb esetben bírságot szabhat ki, amelynek felső határa 150 millió forint. Ha a cége kötelezett és lemaradt, nyilvántartott auditorral és jogásszal egyeztessen a teendőkről; a műszaki hiányok pótlásában mi segítünk.
Beszéljük át, mit kérnek Öntől, és mi hiányzik hozzá
Írja meg, hány munkatárssal dolgozik, milyen rendszereket használ, és mit kért a megrendelője vagy az auditora. A felmérés után az IWS ajánlatában tételesen látja a bevezetendő és fenntartandó műszaki intézkedéseket.
IT-biztonság és biztonsági mentés · Havidíjas csomagok és árak