NIS2 2026: lejárt a június 30-i audithatáridő — mi vár a későkre

Az (EU) 2022/2555 NIS2 irányelv 2023 januárjában lépett hatályba, és a tagállamoknak 2024. október 17-ig kellett átültetniük azt nemzeti jogba. Magyarország ezt a 2024. évi LXIX. törvénnyel teljesítette, amely 2025. január 1-jén lépett hatályba, és egyúttal hatályon kívül helyezte a korábbi, 2023. évi XXIII. törvényt — ez a korábbi, „bejelentéskötelezetti" rendszert váltotta fel a mostani, „audit- és felügyelet-központú" modellel. A törvény az ENISA által koordinált európai keretrendszer részeként működik: azonos terminológiát, jelentési kötelezettségeket és incidenskezelési elveket követel meg minden tagállamtól.

A felügyeleti hatóság az SZTFH, amely egyben az auditeljárás rendjét, a díjakat és a szorzókat is rendeletben szabályozza. A szakmai hátteret a Nemzeti Kibervédelmi Intézet biztosítja: az NKI működteti a nemzeti incidenskezelő központot, és a technikai irányelvek (így az audit kritériumrendszerének) egyik forrása. A gyakorlatban ez a kettősség azt jelenti, hogy a szabályozási kérdések az SZTFH-hoz, a technikai-támogatási kérdések az NKI-hoz futnak be.

A törvény 1–3. melléklete sorolja fel az érintett szektorokat: az energia, közlekedés, banki szolgáltatások, egészségügy, ivóvíz, digitális infrastruktúra és a közigazgatás az „alapvető" kategóriába tartozik; a „fontos" kategóriába a digitális szolgáltatók, a postai szolgáltatások, a hulladékgazdálkodás és egyes gyártási, vegyipari ágazatok kerülnek. Az érintettség megállapítása nem önbevallás: a hatóság a törvény mellékletei és a létszám-, valamint árbevétel-küszöbök alapján dönt.

Az átültetés lényege, hogy a kiberbiztonság nem esemény, hanem folyamat — az audit pedig nem egyszeri engedély, hanem kétéves ciklus ismétlődő mérőpontja. Ez a felépítés szakít a korábbi, „bejelentés és kész" szemlélettel: a szervezetnek bizonyítania kell, hogy a védelmi intézkedések nemcsak léteznek, hanem működnek is. Ezt a működési bizonyítékot az ISO/IEC 27001-es keretrendszer is hasonlóan kezeli — azaz a magyar rendszer nemzetközileg illeszkedik.

So what: a szabályozás nem egyedi magyar találmány, hanem az EU-szintű NIS2-logika magyar leképezése. Akinek uniós szintű megfelelési tapasztalata van, annak a hazai audit nyelvezete és kritériumrendszere ismerős lesz — a különbség elsősorban a hazai díjszabás és a kétéves ciklus kötelező jellege.

2026. június 30-ig kétévente kötelező kiberbiztonsági auditnak kellett lezárulnia minden érintett szervezetnél. Az audit eljárásrendjét és maximalizált díját az 1/2025. (I. 31.) SZTFH rendelet szabályozza: „alap" biztonsági osztályú rendszerek esetén az auditalapdíj 1 750 000 Ft. E felett szorzószámok emelik a végső összeget, az érintett elektronikus információs rendszerek száma és a nettó árbevétel-sáv alapján.

Az audithárom szintje az elektronikus információs rendszerek biztonsági osztálya (alap, jelentős, kiemelt) — ez határozza meg a vizsgálat mélységét, a szorzók kiindulópontját és a szükséges auditori kompetenciát. A vizsgálat kiterjed a kockázatkezelési dokumentációra, az incidenskezelési és jelentési folyamatokra, a hozzáférés-kezelésre, a beszállítói lánc biztonságára, valamint a kontrollok tényleges működésére.

Az audit nem „megfelelőségi pecsét", hanem a működés bizonyítéka: a dokumentumok megléte mellett az is kell, hogy a szervezet bizonyítani tudja a kontrollok hatékonyságát — a tesztelési, naplózási és incidenskezelési nyomvonalak alapján. Ez az ISO/IEC 27001-es logikával azonos filozófia, és egyben a NIS2 egyik legfontosabb eltérése a korábbi „önbejelentős" rendszerhez képest.

A díjszabás gyakorlati jelentősége kettős. Egyfelől kiszámíthatóságot ad — a szorzók előre ismertek, így a költségvetés tervezhető. Másfelől a kis-közepes szolgáltatók számára az 1 750 000 Ft-os alapdíj sem elhanyagolható, különösen a rendszerek számától és az árbevétel-sávtól függő szorzókkal együtt. A díj maximalizálása a hatóság oldaláról a visszaélések ellen véd, de a tényleges piaci ár a kijelölt auditori kör és a szolgáltatási piac függvénye.

So what: az audit tervezhető költség, de nem elhanyagolható. Az 1 750 000 Ft-os alapdíj csak a kiindulópont; a felkészülés (gap-analízis, dokumentáció, intézkedési terv) és az auditori díj együttesen a teljes auditköltség több duplája is lehet.

A határidő lejárta nem jelenti a folyamat végét — a hatóság a nem vagy hiányosan teljesítő szervezeteknek hıánypótlási lehetőséget biztosít. Ennek pontos kereteit az 1/2025. (I. 31.) SZTFH rendelet és a hatósági eljárásrend szabályozza; a hıánypótlási felszólítás kézhezvételétől számított határidő általában 30 nap, de a hatóság eseti hosszabbítást is adhat.

A bírság kiszabásának elvi kereteit a 2024. évi LXIX. törvény rögzíti: a maximális bírság 150 millió forint. Ezt a törvény a legsúlyosabb mulasztásokhoz — így a regisztráció vagy az audit teljes elmulasztásához — köti. A tényleges bírságtétel a mulasztás súlyától, ismétlődésétől, az érintett rendszerek számától és a szervezet méretétől függ; a hatóság mérlegelési jogköre széles.

A gyakorlatban a 150 millió forintos felső határ inkább elvi korlát, mint tipikus tétel. Az első ciklusban a hatóság várhatóan a kisebb, együttműködő szervezeteknek enyhébb, a rendszeresen vagy szándékosan mulasztóknak súkterőbb szankciót szab ki — de a mérlegelés transzparenciája egyelőre alacsony, mivel a hatóság nem hozott nyilvános szankciópolitikai iránymutatást.

@@GLASS

So what: a kimaradás nem automatikus bírság, de a kockázat valós. A legkisebb költségű reakció most a hıánypótlási felszólításra való gyors, teljes körű válaszadás — nem az audit megismétlése vagy a bírságvitatás.

Az ISO/IEC 27001 szabvány szerinti információbiztonsági irányítási rendszer (ISMS) a magyar NIS2-audit leggyakoribb előkészítési kerete. A szabvány A. mellékletének kontrolljai lefedik a 2024. évi LXIX. törvény és az 1/2025. SZTFH rendelet szerinti auditkritériumok döntő többségét — így az ISMS-sel rendelkező szervezetek a NIS2-auditot jellemzően a meglévő rendszer kiterjesztéseként, nem pedig nulláról építkezve teljesítik.

A híd három eleme: a kockázatkezelés, a kontrollok működési bizonyítéka és az incidenskezelési folyamat. Az ISO/IEC 27001 ezeket évente felülvizsgálja; a NIS2 audit most azt vizsgálja, hogy a felülvizsgálat ténylegesen megtörtént-e, és az eredmények beépültek-e a működésbe. A dokumentáció megléte önmagában nem elég — a hatóság a kontrollok hatékonyságát is méri.

A felkészülés gyakorlati lépései négy szakaszból állnak. Először az érintettségi besorolás pontosítása a törvény 1–3. melléklete és az 1/2025. SZTFH rendelet alapján. Másodszor a gap-analízis: a meglévő kontrollok összevetése a NIS2-követelményekkel. Harmadszor a dokumentáció frissítése, az intézkedési terv kidolgozása és a felelősök kijelölése. Negyedszer az auditra való felkészítés — ez utóbbi a legköltségesebb szakasz.

Annak a szervezetnek, amelyik 2025-ben vagy 2026 első felében nem teljesített, a 388 késő között van a helye — és a leggyorsabb út a hıánypótlás. Aki viszont most rendben van, annak a 2028-as ciklusra való felkészülést érdemes még 2026-ban elindítani, kihasználva a 1511 feldolgozott jelentésből származó hatósági tapasztakásokat.

So what: az ISO/IEC 27001 nem kötelező, de a legrövidebb út a NIS2-audit sikeres teljesítéséhez. Aki mostanra sem rendelkezik ilyen rendszerrel, annak a gap-analízis az első lépés — nem az audit megismétlése.