NIS2-audit 2026: lejárt a június 30-i határidő — így készüljenek a késők

A 2024. évi LXIX. törvény nem előzmény nélküli: a 2023. évi XXIII. törvényt váltotta fel, és egyben átülteti az (EU) 2022/2555 NIS2-irányelvet a magyar jogrendbe. Az irányelv célja, hogy az Európai Unió kritikus szolgáltatásait nyújtó szervezetek egységes, kockázatalapú kiberbiztonsági minimumokat alkalmazzanak — az egyes tagállamok ezt a saját közigazgatási nyelvükre fordítják. Magyarország a felügyelő hatóság szerepét a SZTFH-ra bízta, a szakmai hátteret pedig a Nemzeti Kibervédelmi Intézet (NKI) adja. Ez a kettős struktúra világos: az SZTFH a szankciók és az auditregiszter letéteményese, az NKI a szakmai támogatás és az eseménykezelés működtetője.

A törvény hatálybalépése 2025. január 1-je. Innentől a magyar szervezeteknek nem választható opció a megfelelés: a NIS2-érintettség megállapítása, a regisztráció és az első audit mind kötelező lépések. Az auditciklus kétéves, ami azt jelenti, hogy a 2026. június 30-i határidő tulajdonképpen az első kör záróakkordja, nem a folyamat vége. Aki 2026-ban teljesített, 2028-ban újra auditál; aki most késik, a 2028-as ciklust is hátrányból kezdi, és a kétéves ritmust a hatóság nem fogja a későkre igazítani.

Az irányelv és a magyar törvény egyik legfontosabb logikai eleme a kockázatalapú megközelítés: nem minden szervezetet auditálnak ugyanazzal a súllyal. A biztonsági osztályokba sorolás („alap", „jelentős", „kiemelt") a védendő rendszer értéke és a szervezet mérete alapján differenciál, és ehhez igazítja az audit díját és mélységét. A magyar szabályozás ezt az 1/2025. (I. 31.) SZTFH rendeletben pontosította: az „alap" osztály auditdíja 1 750 000 forint, és a díjszorzás a rendszerek számát és a nettó árbevétel sávját veszi alapul. Ez a struktúra teremti meg az összhangot a NIS2 európai logikája és a magyar végrehajtás között.

Döntéshozói szempontból a NIS2-bevezetés itt nem IT-projekt, hanem jogi megfelelési projekt. A felügyelő hatóság (SZTFH) jogosult hiánypótlást elrendelni, a regisztráció elmulasztását 150 millió forintig terjedő bírsággal szankcionálni, és az auditjelentések feldolgozásával folyamatosan felügyelni a megfelelést. Ez a felhatalmazás teszi a 2026. június 30-i határidőt tényleges határidővé, nem pedig formális dátummá.

A kötelező kiberbiztonsági audit nem egy auditáló cég önkéntes javaslata, hanem a 2024. évi LXIX. törvényben előírt, kétévente megismétlendő hatósági eljárás. Az audit az elektronikus információs rendszerek biztonsági osztályba sorolását, a védelmi intézkedések meglétét és működését, valamint a kockázatkezelési gyakorlatot vizsgálja. Az 1/2025. (I. 31.) SZTFH rendelet szabályozza az eljárásrendet és a maximalizált díjakat: az „alap" biztonsági osztályba tartozó rendszereknél az alapdíj 1 750 000 forint, és ehhez jönnek a szorzószámok a rendszerek száma és a nettó árbevétel sávja szerint.

A díjszorzás logikája a magyar szabályozás sajátossága: nem az auditáló cég szabadpiaci díja, hanem jogszabályban maximalizált összeg. A cél kettős — egyrészt a kiszámíthatóság a kötelezetteknek, másrészt a túlszámlázás kiszűrése. A „jelentős" és „kiemelt" biztonsági osztályoknál a díjak magasabbak, és a törvény 1. melléklete határozza meg a sávokat. Az auditot csak a hatóság által akkreditált auditor végezheti — a jogosultság a 2024. évi LXIX. törvény és a végrehajtási rendeletek alapján szűrik.

Az audit tartalmi mélysége a biztonsági osztályhoz igazodik. Az „alap" osztálynál a hangsúly a szervezeti és adminisztratív kontrollokon, a hozzáférés-kezelésen és az incidenskezelési eljárásrend meglétén van. A „jelentős" és „kiemelt" osztályoknál a technikai kontrollok (például a hálózati szegmentáció, a sebezhetőségkezelés, a kriptográfiai intézkedések) is vizsgálat alá esnek. Az ISO/IEC 27001 szabvány itt támpont: a magyar audit gyakorlata ezt a keretrendszert használja referenciaként, de a magyar törvény sajátos szempontokat is érvényesít, különösen a szankciórendszer és a felügyeleti eljárás tekintetében.

Audit előtt a szervezetnek nem érdemes „papíron rendben lenni". Az auditor a dokumentumok mellett a folyamatokat és a technikai kontrollokat is vizsgálja: a tesztelt incidenskezelési forgatókönyveket, a mentési és helyreállítási gyakorlatokat, a hozzáférési jogosultságok időszakos felülvizsgálatát. Aki az audit előtt gap-analízist (réstesztesztet) végez, és az intézkedési tervét az audit előtt végrehajtja, az nem csak a megfelelést segíti elő, hanem a kétéves ciklus második felére is megalapozza a kontrollokat.

A NIS2-ciklus nem egyszeri projekt, hanem kétéves ritmus. A 2026. június 30-i határidő az első ciklus vége, de a 2028. június 30-i határidő már a második ciklus záróakkordja lesz — és a hatóság várhatóan szigorúbb auditmélységgel dolgozik majd. Aki 2026-ban „megúszta" a határidőt egy felszínes önellenőrzéssel, az 2028-ban nem számíthat ugyanerre a türelemre: a feldolgozott 1511 jelentés tanulságai beépülnek a hatósági gyakorlatba, és a kontrollok minősége a fókusz.

A kétéves ciklus közben a szervezetnek nem passzívnak kell lennie. Az ISO/IEC 27001 „PDCA" (tervezz–csináld–ellenőrizd–avatkozz be) logikája a magyar auditnál is elvárás: a kontrollokat évente belső auditon, a kockázatkezelési tervet pedig legalább évente felül kell vizsgálni. A 2024. évi LXIX. törvény és a végrehajtási rendeletek a belső auditciklusra nem írnak elő konkrét dátumot, de a hatóság a 2028-as auditnál várhatóan vizsgálja a belső auditok meglétét és dokumentáltságát.

A kétéves ciklus másik kulcskérdése a változáskezelés. A NIS2 nem „befagyasztja" a szervezetet: ha a szervezet új rendszert vezet be, új szolgáltatást indít, vagy a szervezeti struktúra változik, az a biztonsági osztályba sorolást és a kontrollkészletet is érintheti. Aki nem követi nyomon ezeket a változásokat, az a 2028-as auditnál nem a saját jelenlegi, hanem a hatóság által feltételezett állapothoz méri magát — és ez a különbség rendszerint bírságkockázat.

A 2028-as ciklusra való felkészülés most kezdődik. Az intézkedési tervet a 2026-os auditjelentés alapján kell összeállítani, és a belső auditokat 2027 első felében érdemes ütemezni. Aki ezt most nem teszi meg, az a 2028-as ciklus elején ugyanott lesz, mint 2026-ban: kapkodva, magasabb díjjal és nagyobb szankciókockázattal.

A 2026. június 30-i határidőt lekéső szervezet számára a teendő három lépésben összegezhető. Először: a hiánypótlási felhívás kézhezvétele után azonnal be kell nyújtani a hiányzó auditjelentést és a regisztrációt — a hatóság a hiánypótlásra általában 30 napos határidőt ad, de ez az eljárásrendben változhat. Másodszor: párhuzamosan el kell indítani egy belső vizsgálatot arról, hogy a késedelem miért következett be, és az okokat az intézkedési tervben kell dokumentálni. Harmadszor: a 2028-as ciklusra való felkészülést azonnal meg kell kezdeni, mert a kétéves ritmust a késedelem miatt nem a hatóság igazítja.

Aki 2026-ban teljesített, az ne dőljön hátra. A kétéves ciklus második felében a belső auditciklust, a kontrollok karbantartását és a változáskezelést kell ütemezni. A 2027-es év kulcsfontosságú: a belső auditot, a kockázatkezelési terv felülvizsgálatát és az incidenskezelési gyakorlatot ekkor kell frissíteni, nem pedig 2028 első felében kapkodva. Az ISO/IEC 27001 szerinti „PDCA" logika a magyar auditnál is elvárás, és a belső auditok dokumentáltsága a 2028-as audit egyik fókusza lesz.

A döntéshozói üzenet egyszerű: a NIS2 nem egyszeri projekt, hanem üzleti rezsim. Aki az auditot évente megismétlődő, tervezhető feladatként kezeli, az a 2026. június 30-i határidőnél nem fog meglepődni — és a 2028-as ciklusra sem. Aki viszont egyszeri „tűzoltásként" kezeli, az a 2026-os számok 15,4%-ában benne van, és a 2028-as ciklust hátrányból kezdi.

Végső soron a 2026. június 30-i határidő nem a magyar NIS2 történetének a vége, hanem az első felvonás zárójele. A későknek most a hiánypótlás és a bírságkockázat csökkentése a tét, a teljesítőknek a kétéves ciklus fenntartása. Aki mindkettőt most rendezi, az a 2028-as auditnál nem a határidő estéjén fog meglepődni.