2026-07-28
NIS2 megfelelés 2026: 8 kötelező lépés közép- és nagyvállalatoknak
Rövid válasz: A NIS2 irányelv 2024 októberi magyar átültetése óta a közép- és nagyvállalatokra konkrét kötelezettségek hárulnak. 2026-ra a Nemzeti Média- és Hírközlési Hatóság, valamint a Szabályozott Tevékenységek Felügyeleti Hatósága már éles szankciókat alkalmazhat. A megfelelés 8 lépésben strukturálható: kockázatelemzés, incidenskezelés, üzletmenet-folytonosság, beszállítói lánc, kriptográfia, hozzáférés-kezelés, jelentési kötelezettségek és vezetői felelősségvállalás.
1. lépés: Szervezeti hatály és kockázatelemzés
Az első feladat annak tisztázása, hogy a vállalat a NIS2 hatálya alá tartozik-e. A magyar szabályozás – a 2024. évi LXXX. törvény – a 250 fő feletti, illetve 50 millió EUR éves árbevétel feletti szervezeteket, valamint a kritikus infrastruktúra szolgáltatókat sorolja ebbe a körbe. 12 év gyakorlatomban azt tapasztalom, hogy a legtöbb cégvezető nem tudja egyértelműen besorolni a saját szervezetét. Pedig a besorolás elmulasztása önmagában szankciót von maga után.
A kockázatelemzés során azonosítani kell az összes hálózati és információs rendszerelemet, fel kell mérni azokat a fenyegetéseket, amelyek érinthetik az üzletmenetet, és priorizálni kell a kezelendő kockázatokat. A dokumentációnak tartalmaznia kell az értékelés módszertanát, a feltárt sebezhetőségeket és a kezelési tervet. Ez a dokumentum lesz a későbbi hatósági ellenőrzések egyik alapdokumentuma.
2. lépés: Incidenskezelési eljárásrend kialakítása
A NIS2 értelmében minden jelentős incidensről 24 órán belül korai figyelmeztetést kell küldeni a hatóságnak, 72 órán belül részletes jelentést, egy hónapon belül pedig zárójelentést. Ez a tempó teljesen más működést igényel, mint amit a legtöbb KKV vagy nagyvállalat ma működtet. A 24 órás ablak alatt ugyanis a SOC csapatnak kell reagálnia, nem a menedzsmentnek.
Az eljárásrendben rögzíteni kell az incidens osztályozását, a szükséges reakcióidőket, az értesítendő személyek listáját és a hatósági kapcsolattartó kijelölését. Egy 2025 nyarán készült felmérésem szerint a magyar középvállalatok 38%-ánál ez a folyamat nincs dokumentálva – ez 2026-ban már komoly bírságkockázatot jelent.
3. lépés: Üzletmenet-folytonosság és katasztrófa-helyreállítás
A kibertámadás ma már nem „ha”, hanem „mikor” kérdés. Az üzletmenet-folytonossági terv (BCP) és a katasztrófa-helyreállítási terv (DRP) NIS2-kompatibilis verzióját évente tesztelni kell. A tesztelés nem elég papíron: asztali gyakorlat, szimulált incidens és valós átállás is szükséges a különböző súlyosságú forgatókönyvekre.
Itt érdemes figyelembe venni a hazai finanszírozási lehetőségeket is. A DIMOP_PLUSZ-1.3.30-25 kódszámú konstrukció kifejezetten a digitális szolgáltatások fejlesztését támogatja KKV-knál, és a NIS2-megfeleléshez szükséges IT-biztonsági fejlesztések is elszámolhatók benne. Középvállalatoknál jellemzően 30-80 millió forint vissza nem térítendő támogatás érhető el.
4. lépés: Beszállítói lánc biztonsági felmérése
A NIS2 egyik legkritikusabb újdonsága, hogy a szervezetek felelősséget kapnak a beszállítói láncuk biztonságáért. Ez gyakorlatilag azt jelenti, hogy minden olyan külső szolgáltatót – felhőszolgáltató, IT-outsourcing partner, szoftverbeszállító – auditálni kell, amely hozzáfér a kritikus rendszerekhez. Az audit nem egyszeri feladat, hanem folyamatos monitoring.
A beszállítói szerződésekbe 2026-tól kötelező beépíteni a biztonsági követelményeket, az auditjogosultságot, az incidensbejelentési kötelezettséget és a kilépési klauzulákat. Aki ezt elmulasztja, az a saját kockázati besorolását rontja, és hatósági eljárás esetén nem hivatkozhat a beszállító mulasztására.
5. lépés: Kriptográfiai intézkedések és adatvédelem
Az adatok titkosítása, a kulcskezelés és a kommunikációs csatornák védelme ma már alapkövetelmény. A NIS2 konkrétan előírja az állami szintű kriptográfiai algoritmusok alkalmazását ott, ahol az adat bizalmassága ezt indokolja. Ez különösen igaz a személyes adatokra, a pénzügyi információkra és a szellemi tulajdonra.
A gyakorlatban ez a lépés hardveres tokenek bevezetését, tanúsítványkezelési rendszer kialakítását, valamint a végpontok közötti titkosítás (E2EE) implementálását jelenti a kritikus kommunikációs csatornákon. Egy 150 fős logisztikai vállalatnál például ez 8-15 millió forint beruházás, amely a DIMOP_PLUSZ keretből 70-80%-os intenzitással támogatható.
6. lépés: Hozzáférés-kezelés és jogosultság-felülvizsgálat
A zero-trust modell implementálása nem divathóbort, hanem NIS2-követelmény. Minden hozzáférést rendszeresen felül kell vizsgálni, a jogosultságokat a legkisebb jogosultság elve alapján kell kiosztani, és a kritikus rendszerekhez való hozzáférést többfaktoros azonosítással kell védeni. A rendszeres jogosultság-felülvizsgálat negyedéves ciklusban működtethető hatékonyan.
A személyzeti változások kezelése különösen fontos: kilépő munkatársak esetén 24 órán belül vissza kell vonni a hozzáféréseket, és ezt dokumentálni kell. A belső auditok során a hatóság kiemelt figyelmet fordít a privilegizált fiókok kezelésére – ezek legalább fele jellemzően problémás a hazai szervezeteknél.
7. lépés: Vezetői szintű felelősségvállalás és képzés
A NIS2 egyik legnagyobb újdonsága a személyes vezetői felelősség bevezetése. Az ügyvezető és az IT-vezető személyesen is felelősségre vonható mulasztás esetén – akár a jóváhagyás megtagadásával, akár a megfelelő intézkedések elmaradásával. Ezért a vezetői képzés nem „good to have”, hanem kötelező elem.
Évente legalább egy alkalommal a teljes felsővezetésnek kiberbiztonsági tudatossági képzésen kell részt vennie, és ezt dokumentálni kell. A képzés kiterjed a fenyegetési környezetre, a szabályozói kötelezettségekre és a válságkommunikáció alapjaira. Az AzarX Pro itt abban segít, hogy a szervezetedre szabott, naprakész képzési tervet generál, és a hatósági auditokra azonnal elő tudja állítani a megfelelőségi dokumentációt.
8. lépés: Jelentési kötelezettségek és audit-nyomvonalak
A NIS2 komplex jelentési kötelezettségeket ír elő: éves önértékelés, kockázatkezelési jelentés, incidenstatisztika és hatósági adatszolgáltatás. Ezeket a jelentéseket egységes formátumban, határidőre kell benyújtani. A hatóság az ENISA egységesített űrlapjait alkalmazza, amelyek magyar nyelvű verziója 2025 végétől elérhető.
Az audit-nyomvonalak (logok, konfigurációs mentések, változáskezelési dokumentumok) megőrzési ideje minimum 3 év, de kritikus infrastruktúra esetén 5 év. A logkezelő rendszer kiépítése, a SIEM implementálása és a hosszú távú archiválás megoldása mind ide tartozik. Az AzarX Pro ezen a területen a compliance riportok automatikus előállításával és a hatósági kommunikáció nyomon követésével támogatja a szervezetet.
Gyakori kérdések
Mikor kell alkalmazni a NIS2-t Magyarországon?
A magyar átültetés 2024 októberében hatályba lépett, a kötelezettségek 2025-től fokozatosan érvényesülnek, 2026-tól pedig a szankciók teljes spektruma alkalmazható. A közép- és nagyvállalatoknak 2026 első negyedévéig kell megkezdeniük az éves megfelelőségi jelentések benyújtását.
Mekkora bírságra számíthat egy nem megfelelő szervezet?
A magyar szabályozás a NIS2 keretein belül az éves árbevétel 2%-áig, de legalább 100 millió forintig terjedő bírságot alkalmazhat. Kritikus infrastruktúra szolgáltatóknál a felső határ az árbevétel 4%-a. A vezetők személyesen is felelősségre vonhatók.
Kapható pályázati támogatás a NIS2-megfelelésre?
Igen, a DIMOP_PLUSZ-1.3.30-25 konstrukció kifejezetten támogatja a digitális biztonsági fejlesztéseket, beleértve a NIS2-kompatibilis IT-biztonsági beruházásokat. KKV-knál 30-80 millió forint, középvállalatoknál 50-200 millió forint vissza nem térítendő támogatás érhető el.
Miben más a NIS2, mint az ISO 27001?
Az ISO 27001 önkéntes tanúsítási keretrendszer, míg a NIS2 jogilag kötelező a hatálya alá tartozó szervezeteknek. A NIS2 konkrét hatósági jelentési kötelezettségeket ír elő, személyes vezetői felelősséget vezet be, és a beszállítói láncra is kiterjed. A kettő jól kombinálható.
Mely iparágakat érinti leginkább a NIS2?
Az energia, közlekedés, egészségügy, víz, digitális infrastruktúra, űr, pénzügy, élelmiszer és hulladékgazdálkodás szektora kiemelt. Emellett minden 250 fő feletti vagy 50 millió EUR feletti árbevételű szervezet, függetlenül az iparágtól, a hatálya alá tartozhat.
Hogyan segít az AzarX Pro a NIS2-megfelelésben?
Az AzarX Pro a magyar szabályozói környezetre specializált AI-alapú döntéstámogató rendszer, amely automatikusan generálja a megfelelőségi dokumentációt, nyomon követi a határidőket, és személyre szabott intézkedési tervet készít. 12 év pályázati tanácsadói gyakorlatomra építve a hatósági auditokra való felkészülést is támogatja.
Kulcs megállapítások
- A NIS2 magyar átültetése 2024 októberében hatályba lépett, 2026-tól a szankciók teljes spektruma alkalmazható.
- A 8 kötelező lépés: kockázatelemzés, incidenskezelés, üzletmenet-folytonosság, beszállítói lánc, kriptográfia, hozzáférés-kezelés, jelentési kötelezettségek, vezetői felelősségvállalás.
- A 24 órás incidensjelentési kötelezettség új működési modellt igényel a SOC csapatoktól.
- A DIMOP_PLUSZ-1.3.30-25 konstrukció keretében 30-200 millió forint vissza nem térítendő támogatás érhető el a megfelelési fejlesztésekre.
- A vezetői személyes felelősség bevezetése alapjaiban változtatja meg a kiberbiztonság megítélését a hazai cégvezetőknél.
- Az AzarX Pro AI-alapú infrastruktúraként automatizálja a compliance folyamatokat és a hatósági kommunikációt.
Források: palyazat.gov.hu, kormany.hu
