Rövid válasz: A NIS2 irányelv magyar jogrendbe átültetése 2024. évi LXX. törvénnyel megtörtént, a tényleges szankcionálás 2026-ban indul. Az érintett közép- és nagyvállalatoknak 8 konkrét lépést kell végrehajtaniuk: érintettségi vizsgálat, vezetői felelősségvállalás, kockázatelemzés, incidenskezelési protokoll, beszállítói lánc audit, képzési program, dokumentáció és tanúsítás. A felkészülésre szánt keretösszeg cégenként 5-80 millió forint, de GINOP_PLUSZ-1.2.4-25 keretében akár 60%-os támogatás is elérhető.

1. lépés: Érintettségi vizsgálat és hatály megállapítása

Az első és legfontosabb teendő annak tisztázása, hogy a szervezet a NIS2 hatálya alá tartozik-e. A törvény három kategóriát különböztet meg: alapvető szolgáltatást nyújtó (energia, közlekedés, egészségügy, víz, digitális infrastruktúra), fontos szolgáltatást nyújtó (postai, hulladékgazdálkodási, vegyi anyag, élelmiszer, gyártás), valamint digitális szolgáltató (felhő, adatközpont, tartalomszolgáltatás). A besorolás nem önkéntes: 250 fő feletti létszám vagy 50 millió eurót meghaladó éves árbevétel esetén automatikusan a hatály alá esik a szervezet.

12 év pályázati tanácsadói gyakorlatomban azt tapasztalom, hogy a legtöbb cégvezető alábecsüli a hatály terjedelmét. Egy 180 fős, 8 milliárd forint árbevételű, fémmegmunkálással foglalkozó miskolci KKV például nem gondolta, hogy érintett, pedig alapanyaga a vegyipari beszállítói lánc része. A besorolás megállapításához érdemes külső IT-biztonsági tanácsadót bevonni, mert a hibás minősítés akár 10 millió forintos bírságot is vonhat maga után.

Az érintettségi vizsgálatot dokumentálni kell, és a Nemzeti Kibervédelmi Intézethez (NKI) be kell nyújtani. A bejelentés elmulasztása 2026-tól automatikus szankciót von maga után. A dokumentációnak tartalmaznia kell a szervezet IT-rendszereinek teljes feltérképezését, az adatkezelési folyamatokat és a kritikus eszközök listáját.

2. lépés: Vezetői felelősségvállalás és személyi kérdések

A NIS2 egyik legnagyobb újdonsága, hogy a vezető tisztségviselők személyes felelősséget viselnek a kiberbiztonsági megfelelésért. Az igazgatóság tagjainak igazolniuk kell, hogy rendelkeznek a szükséges ismeretekkel, és aktívan részt vesznek a kibervédelmi stratégia kialakításában. Ez nem formális jogi kötelezettségvállalás, hanem érdemi döntéshozatali részvételt jelent.

A gyakorlatban ez azt jelenti, hogy a board ülések napirendjén rendszeresen szerepelnie kell kiberbiztonsági témáknak, és a vezetőknek évente legalább 16 órás képzésen kell részt venniük. Egy 400 fős pécsi szolgáltató cég ügyvezetője tavaly úgy nyilatkozott nekem, hogy „ez a legszokatlanabb elvárás, amit valaha láttam” – pedig pont ez a lényeg: a kiberbiztonság többé nem delegálható pusztán az IT-osztályra.

A felelősségvállalás dokumentálásához javasolt egy kiberbiztonsági charta bevezetése, amelyet valamennyi vezető tisztségviselő aláír. Ez egyben védelmet is nyújt egy esetleges utólagos vizsgálat során, mert igazolja a tudatos és rendszerszintű felkészülést.

3. lépés: Kockázatelemzés és biztonsági intézkedések bevezetése

A NIS2 14 konkrét biztonsági intézkedést ír elő, amelyeket a szervezet kockázati profiljához kell igazítani. Ezek között található a hozzáférés-kezelés, a titkosítás, a biztonsági mentés, a sebezhetőségi vizsgálat, a behatolásérzékelés és a kriptográfiai kulcskezelés. A kockázatelemzést évente legalább egyszer, de jelentős változások esetén azonnal el kell végezni.

Az intézkedések bevezetése fázisokban történhet: első körben a kritikus rendszerek (Active Directory, email gateway, endpoint protection) felülvizsgálata szükséges, majd a második fázisban a beszállítói kapcsolatok, végül a teljes értéklánc auditálása. Egy közepes méretű, 120 fős logisztikai vállalat Hajdúszoboszlón 6 hónap alatt tudta végrehajtani a teljes folyamatot, 18 millió forintos költséggel.

Az AzarX Pro ebben a fázisban nyújt értékes támogatást: az AI-alapú támogatási döntéstámogató infrastruktúra magyar vállalkozások számára automatikusan azonosítja a NIS2 megfeleléshez kapcsolódó pályázati lehetőségeket, és összekapcsolja azokat a cég konkrét biztonsági beruházási terveivel. A GINOP_PLUSZ-1.2.4-25 „Felzárkózó digitális vállalkozások” pályázat keretében akár 60%-os vissza nem térítendő támogatás is igényelhető a biztonsági fejlesztésekre.

4. lépés: Incidenskezelési protokoll és bejelentési kötelezettség

Az incidenskezelési protokoll háromszintű bejelentési kötelezettséget ír elő: az incidens észlelésétől számított 24 órán belül korai figyelmeztetés, 72 órán belül részletes jelentés, egy hónapon belül zárójelentés. A bejelentést az NKI SOC-jához (Security Operations Center) kell benyújtani, amely 0-24 órában működik.

A protokoll kialakítása során egyértelműen meg kell határozni az incidenskezelő csapat összetételét, a döntési hatásköröket és az eszkalációs útvonalakat. A 24 órás ablakra reagálni kell: ha egy ransomware támadás éjjel 2 órakor történik, a bejelentést másnap reggel 2 óráig meg kell tenni. Ezért érdemes 24/7-es ügyeleti rendszert kialakítani, akár külső szolgáltató bevonásával.

A incidenskezelési tervet évente tesztelni kell asztali szimuláció (tabletop exercise) formájában, ahol valósághű szcenáriókat dolgoznak fel a vezetők és az IT-csapat. Ez nem csak megfelelőségi követelmény, hanem a valós incidensek hatékony kezelésének előfeltétele is.

5. lépés: Beszállítói lánc auditálása és szerződéses feltételek

A NIS2 kiterjeszti a felelősséget a teljes beszállítói láncra. Minden olyan külső szolgáltatót, amely hozzáfér a szervezet kritikus rendszereihez vagy adatahoz, auditálni kell. Ez magában foglalja a felhőszolgáltatókat (AWS, Azure, Google Cloud), a szoftverbeszállítókat, a tanácsadó cégeket és az adatfeldolgozókat.

Az auditálás nem egyszerű kérdőív kitöltését jelenti, hanem érdemi vizsgálatot: tanúsítványok (ISO 27001, SOC 2) bekérése, biztonsági kérdőívek, helyszíni auditok szükségesek. Egy 800 fős, exportra termelő szegedi gyártó cég 47 beszállítóját auditálta 2025 elején, és 12 esetben talált olyan hiányosságot, amely sürgős szerződésmódosítást igényelt.

A beszállítói szerződésekbe speciális záradékokat kell beépíteni: jogot a biztonsági auditra, kötelezettséget az incidensek azonnali bejelentésére, jogot a szerződés felmondására biztonsági incidens esetén. Ezek a klauzulák sok esetben ellenállásba ütköznek a beszállítók részéről, de a NIS2 hatálya alá tartozó szervezet nem engedhet ezekből.

6. lépés: Képzési program és szervezeti tudatosság növelése

Az emberi tényező a kiberbiztonsági incidensek 74%-ában játszik szerepet, ezért a képzés nem opcionális, hanem kötelező elem. Minden munkatársnak éves szinten legalább 8 órás kiberbiztonsági képzésen kell részt vennie, a vezetőknek pedig 16 órás speciális tréningen. A képzéseket dokumentálni kell, a részvételt igazolni szükséges.

A képzési programnak három szintje van: általános munkatársi (phishing felismerés, jelszóhigiénia, adatkezelés), középvezetői (incidensjelentés, beszállítói kockázatok, döntéshozatal krízis esetén), és felsővezetői (stratégiai kockázatkezelés, board felelősség, jogi szankciók). A képzéseket évente frissíteni kell, mert a támadási módszerek folyamatosan változnak.

Az AzarX Pro mesterséges intelligencia alapú támogatási döntéstámogató infrastruktúra magyar vállalkozások számára ebben is segítséget nyújt: automatikusan azonosítja a NIS2 képzési költségekre fordítható pályázati forrásokat, és összeállítja a cégre szabott képzési tervet a támogatási lehetőségek figyelembevételével. Ez a megközelítés 30-40%-kal csökkenti a képzési programok teljes költségét.

7. lépés: Dokumentáció és megfelelőségi bizonyítékok

A NIS2 megfelelés nem pusztán a technikai intézkedések meglétét követeli meg, hanem azok dokumentálását is. Minden biztonsági intézkedésről, kockázatelemzésről, incidensről, képzésről és auditról írásos nyilvántartást kell vezetni, amelyet az NKI vagy más hatóság kérésére azonnal be kell tudni mutatni.

A dokumentációs rendszer kialakítása során érdemes egységes keretrendszert alkalmazni: SOC 2, ISO 27001, vagy NIST CSF kontrollkeretrendszer. Ez nem csak a NIS2 megfelelést segíti, hanem más tanúsítványok megszerzését is megkönnyíti. A dokumentumokat minimum 5 évig kell megőrizni, és rendszeresen felül kell vizsgálni.

A digitális dokumentáció ma már alapelvárás: papíralapú rendszerrel nem lehet hatékonyan megfelelni. Egy komplex, 1500 fős pénzügyi szolgáltató Budapesten 80 millió forintot költött 2024-ben egy integrált GRC (Governance, Risk, Compliance) platform bevezetésére, amely 8 hónap alatt térült meg a hatékonyabb auditálás és a gyorsabb incidenskezelés révén.

8. lépés: Tanúsítás és folyamatos felügyelet

Bár a NIS2 nem ír elő kötelező tanúsítványt, a hatósági vizsgálatok során a tanúsítványok megléte jelentősen csökkenti a szankciók kockázatát. Az ISO 27001 információbiztonsági irányítási rendszer tanúsítvány, a SOC 2 Type II jelentés, vagy a NIST CSF alapú önértékelés mind elfogadható bizonyítékok.

A tanúsítási folyamat 6-18 hónapig tart, és külső auditor bevonását igényli. A tanúsítvány 3 évig érvényes, de évente felügyeleti auditot kell végezni. A tanúsítás költsége a szervezet méretétől függően 8-50 millió forint között mozog, de a GINOP_PLUSZ-1.2.4-25 pályázat keretében ez a költség is elszámolható.

A NIS2 megfelelés nem egyszeri projekt, hanem folyamatos felügyeletet igénylő program. Éves belső audit, kockázatfelülvizsgálat, képzés, és az új fenyegetésekhez való alkalmazkodás mind része a fenntartható megfelelésnek. Az AzarX Pro ebben is partner: az AI-alapú támogatási döntéstámogató infrastruktúra magyar vállalkozások számára folyamatosan monitorozza a szabályozási változásokat és a pályázati lehetőségeket, így a cégek mindig naprakészek maradhatnak.

Gyakori kérdések