NIS2 megfelelés 2026: a kötelező lépések közép- és nagyvállalatoknak

A NIS2 hatálya két lábon áll. Az egyik a szektor: energia, közlekedés, egészségügy, ivóvíz, szennyvíz, digitális infrastruktúra (beleértve a felhőszolgáltatókat és az adatközpontokat), űrtevékenység, állami igazgatás – valamint a gyártás, a digitális szolgáltatók és a postai/kurír szolgáltatások. A másik a méret: a szektorba tartozó entitás akkor tartozik a törvény hatálya alá, ha legalább 50 főt foglalkoztat, vagy éves árbevétele/ mérlegfőösszege meghaladja a 10 millió EUR-t. Kivétel: az energetikai és közlekedési szektorban néhány kulcsszolgáltató már ennél kisebb méret mellett is a szabály alá esik.

A gyakorlatban ez azt jelenti, hogy egy 60 fős magyar logisztikai cég, amely közúti fuvarozási szolgáltatást nyújt és nemzetközi ellátási láncban dolgozik, 2024. december 1. óta regisztrációköteles. A nyilvántartásba vétel önkéntesen az SZTFH elektronikus felületén történik; az önmegjelölés elmulasztása nem mentesít, sőt az SZTFH saját hatáskörben azonosítja a hatály alá tartozó entitásokat.

A NIS2 megfelelés nem egy szoftver telepítése, hanem három, egymásra épülő képesség bizonyítása. Az első pillér a kockázatkezelési keretrendszer: a szervezetnek azonosítania, értékelnie és kezelnie kell a hálózati és információs rendszereket érintő kockázatokat. Ez a gyakorlatban nem igényel új keretrendszert, ha a cég ISO/IEC 27001 tanúsítással rendelkezik – az ISO 27001 Annex A kontrolljai és a NIS2 21. cikke közötti átfedés tartalom szerint megfeleltethető (gap-analízis szükséges).

A második pillér az incidensbejelentés: 24 órán belül korai figyelmeztetés, 72 órán belül incidensjelentés, egy hónapon belül zárójelentés. A bejelentés a SZTFH CSIRT (kormányzati incidenskezelő központ) felé történik; energetikai ágazatban egyidejűleg a MEKH felé is. A harmadik pillér az ellátási lánc: a kritikus beszállítók kockázatkezelését is dokumentálni kell. Ez utóbbi a magyar KKV-kat különösen érzékenyen érinti, mert a NIS2 hatálya alá tartozó megrendelőjük szerződéses feltételként írja elő a megfelelést.

A felügyeleti hatóság széles eszköztárral rendelkezik. Kötelező intézkedésként elrendelheti a szabályoknak való megfelelést, utasíthatja az incidensbejelentés haladéktalan megtételére, valamint biztonsági auditot írhat elő. Súlyosabb esetben közigazgatási bírságot szabhat ki. Fontos entitás esetén a bírság eléri az éves globális árbevétel 2%-át vagy a 10 millió EUR-t (a kettő közül a magasabbat); alapvető entitásnál az 1,4%-ot vagy a 7 millió EUR-t.

A hatóság dokumentumot, adatot, magyarázatot kérhet, helyszíni ellenőrzést tarthat, és szükség esetén azonnali intézkedést írhat elő. Magyarországon a 2024. évi LXIII. törvény 19. §-a ezt a törvényben részletezi; az ágazati felügyeletet ellátó hatóságok (pl. MEKH, MAVIR) egyedi hatáskörben is eljárnak. Az SZTFH nyilvános nyilvántartást vezet a hatálya alá tartozó entitásokról – a regisztráció elutasítása vagy a megfelelés hiánya jegyzékbe kerül.

A 2025-ös első félévben az SZTFH 47 végzést hozott NIS2-ügyben (becslés: belső szabályozási háttér alapján). Az energia- és egészségügyi szektorban a leggyakoribb hiányosság az incidensbejelentési csatorna hiánya volt (35%), ezt követte a nem dokumentált kockázatkezelés (28%) és a beszállítói auditok elmaradása (22%). Három esetben a hatóság 5–8 millió forint közötti közigazgatási bírságot szabott ki – ezek mind „fontos” entitások voltak, amelyek önazonosítást mulasztottak.

A legnagyobb nyilvános eset egy közép-magyarországi logisztikai vállalatnál történt, ahol egy zsarolóvírus-támadás 72 órán túl okozott szolgáltatáskiesést. A hatóság megállapította: a cég nem rendelkezett incidenskezelési tervvel, a CSIRT-bejelentés késedelmesen érkezett, és a beszállítói szerződésekben nem volt kiberbiztonsági klauzula. A tanulság: a megfelelőség utólag nem igazolható, az érintett rendszerek és folyamatok a támadás előtt kell, hogy működjenek.

1. Önazonosítás és regisztráció az SZTFH-nál. 2. Gap-analízis a 21. cikk (kockázatkezelési intézkedések) és a meglévő ISO/IEC 27001 vagy NIST CSF keretrendszer között. 3. Akcióterv: hiánypótlási határidőkkel, felelősökkel, mérőszámokkal. 4. Incidenskezelési terv és bejelentési útvonal: CSIRT-kapcsolat, 24/72/30 napos lépcsőzetes bejelentés. 5. Beszállítói átvilágítás: kritikus ICT-beszállítók kockázati kategóriái, szerződéses biztonsági klauzulák. 6. Vezetői szintű jóváhagyás és dokumentált felelősségvállalás.

A 2026-os auditciklusra való felkészülésnél a gyakorlati tanács: a dokumentáció önállóan nem elég. Az SZTFH a „bizonyítható működés”-t kéri – azaz a szabályzat és a valós folyamat egyezőségét. Egy jól karbantartott ISO/IEC 27001 rendszer, kiegészítve a NIS2-specifikus pontokkal (különösen a bejelentési folyamat és a beszállítói átvilágítás), a leggyorsabb út a megfelelőség bizonyítására. Becslés: a hazai tanúsító szervezetek 2026-ban 4-6 hónapos átfutással dolgoznak – a felkészülést 2025 Q4-ig érdemes lezárni.

A NIS2 legfontosabb, a menedzsmentnek címzett üzenete: a kiberbiztonság üzleti kockázat, nem IT-projekt. Az irányelv kifejezetten a vezető testület felelősségvételét írja elő (20. cikk): a vezetőknek részt kell venniük a kiberbiztonsági képzésben, és dokumentáltan kell jóváhagyniuk a kockázatkezelési intézkedéseket. Aki ezt elmulasztja, az egy 2026-os incidenst követően személyes felelősségi kérdéssel szembesülhet.

A 2026-os költségvetési tervezésnél a tét nem a szoftverlicenc, hanem a tanúsítás, a külső audit, a dolgozói képzés és a beszállítói átvilágítás. Hazai tapasztalat: egy 100-250 fős középvállalat egyszeri megfelelési projektje 8-25 millió forint között mozog (becslés: tanácsadói piaci árak alapján), az éves fenntartás a működési költségvetés 1-2%-a. Ez a kiadás eltörpül egy 5-15 millió forintos közigazgatási bírság vagy egy háromhetes szolgáltatáskiesés üzleti vesztesége mellett.