Hogyan kényszeríti ki a NIS2 a Zero Trust bevezetését a magyar KKV-knál 2026-ban?
2024. január elsejétől a magyar vállalkozások egy új, szigorúbb korszakba léptek: a 2024. évi kiberbiztonsági törvény hatálya alá tartozó cégeknek – köztük számos középvállalatnak és egyes KKV-nak is – 2026. június 30-ig kell megfelelniük a NIS2-irányelv hazai szabályainak. Ez a határidő nem adminisztrációs formaság: a jogszabály kockázatalapú, szigorú hozzáférés-kezelést vár el, ami lényegében a Zero Trust, vagyis az „egyetlen kérés, egyetlen ellenőrzés” elvének bevezetését jelenti a gyakorlatban. A felkészülés elmulasztása hatósági bírságtól a vezetők személyes felelősségre vonásáig terjedhet.
A tét állítás: 2026-ban a magyar KKV-k számára a hagyományos, tűzfalra és VPN-re épülő hálózati határvédelem üzemeltetése már nem elégséges. A NIS2 hazai implementációja – a 2024. évi kiberbiztonsági törvény és a kapcsolódó SZTFH (Szabályozott Tevékenységek Felügyeleti Hatósága) rendeletek – az identitást, az eszközt és a hozzáférési jogosultságot teszik meg az új védelmi határnak. Aki 2026 második felére nem áll át folyamatos hitelesítésre és jogosultság-ellenőrzésre, az nemcsak auditkockázatot, hanem működési és biztosítási kockázatot is vállal.
A NIS2-irányelv (EU 2022/2555) a „biztonsági intézkedések” között kockázatalapú hozzáférés-kezelést ír elő, ami a gyakorlatban a Zero Trust magját jelenti: minden hozzáférést azonosítani, ellenőrizni és naplózni kell. A magyar szabályozás ezt a 2024. évi kiberbiztonsági törvénnyel és a SZTFH végrehajtási rendeleteivel tette ültette át.
A KKV-knak – különösen az alapvető szolgáltatók és fontos szervezetek beszállítóinak – 2026. június 30-ig kell kockázatkezelési, incidenskezelési és hozzáférési politikát elfogadniuk, és bizonyítaniuk kell a folyamatos felügyeletet. Az ENISA 2024-es jelentése szerint ez a kontrollkészlet 70-80 százalékban átfed a Zero Trust referenciaarchitektúrával, tehát a megfelelés és a Zero Trust bevezetése egyszerre oldható meg.
- Kötelező határidő
- 2026. június 30. (fontos szervezetek, NIS2 hazai implementáció)
- Érintett KKV-k becsült köre
- tartomány: 2 500–8 000 magyar szervezet (becslés: SZTFH-nyilvántartás és Iparági minősítés alapján)
- Belső felelősség
- Ügyvezető/vezető testület közvetlen kötelezettsége (2024. évi kiberbiztonsági törvény)
- Szabályozó
- SZTFH mint hatóság, NKI mint technikai referencia (Nemzeti Kibervédelmi Intézet)
- Technikai referencia
- NIST SP 800-207 (Zero Trust Architecture) és ISO/IEC 27001:2022 A.5.16
- Becsült bírságtartomány
- maximum 10 millió EUR vagy az éves árbevétel 2%-a (fontos szervezetek, NIS2)
1. Mi változott 2024-ben, és miért pont 2026 a vízválasztó?
A NIS2-irányelv (EU 2022/2555) 2024. január 16-án lépett hatályba az Európai Unióban, a magyar jogrendbe pedig a 2024. évi kiberbiztonsági törvény ültette át. Az irányelv két új kategóriát hozott létre: az alapvető szolgáltatókat (essential entities) és a fontos szervezeteket (important entities). Az utóbbi csoportba számos magyar KKV és beszállító tartozik, különösen az energia, közlekedés, egészségügy, digitális infrastruktúra, űrtechnológia, gyártás és postai szolgáltatások ágazatában.
A 2024. évi kiberbiztonsági törvény végrehajtási rendeletei – amelyeket a SZTFH és az NKI készített elő – 2026. június 30-át jelölték meg a fontos szervezetek megfelelési határidejeként. Ez a dátum nem önkényes: az ENISA 2024-es helyzetértékelése szerint az érintett szervezetek többsége ekkorra már nem tudja halogatni a kockázatalapú kontrollok bevezetését. Aki ezt a dátumot elszalasztja, az a felügyeleti hatóságnál automatikus auditeljárással számolhat.
A változás lényege: a szabályozó a megelőző védelem helyett a feltételezett sérülést (assume breach) vette alapul. Ez pontosan az a filozófiai fordulat, amelyre a Zero Trust épít. A 2024. évi törvény 11. §-a ugyanis kimondja, hogy a szervezetnek „a hozzáféréseket kockázatalapú megközelítéssel, a legkisebb jogosultság elve alapján kell kezelnie” – ez a Zero Trust egyik alappillére.
2. A Zero Trust anatómiája: mit vár el a szabályozó?
A Zero Trust nem termék, hanem biztonsági modell: a NIST SP 800-207 definíciója szerint „egy vállalati architektúra, amely a hálózatra vetett bizalom megszüntetésén alapul”. Három sarokköve van: az identitás-ellenőrzés (minden felhasználó és eszköz folyamatos azonosítása), a legkisebb jogosultság elve (just-in-time, just-enough access), valamint a feltételezett sérülésre épülő mikroszegmentáció. Az ENISA 2024-es ajánlása ezt egészíti ki a folyamatos monitorozás és a kontextusalapú döntéshozatal követelményével.
A magyar KKV-knak a gyakorlatban ez három dolgot jelent. Egy: a jelszó-alapú vagy egyszerű VPN-hozzáférés lecserélése többfaktoros hitelesítésre (MFA). Kettő: a felhasználói és eszköz-identitás központi nyilvántartása (Identity Provider, MDM). Három: a kritikus alkalmazások és adatok elkülönítése hálózati szegmensekre, ahol a hozzáférés feltételeit valós időben, kontextus (idő, hely, eszközállapot) alapján döntik el. Az ISO/IEC 27001:2022 A.5.16 kontrollpontja („identity management”) pontosan ezt a kontrollkészletet írja le.
| Kontrollterület | NIS2 / 2024. évi törvény | Zero Trust megfeleltetés |
|---|---|---|
| Hozzáférés-kezelés (Art. 21(1)(i)) | Kockázatalapú hozzáférés-kezelés | Identity Provider + MFA + least privilege |
| Incidenskezelés (Art. 21(1)(c)) | Folyamatos monitorozás, naplózás | SIEM + Zero Trust telemetry |
| Eszközkezelés (Art. 21(1)(e)) | Eszközállapot-ellenőrzés | MDM + device posture assessment |
| Harmadik fél (Art. 21(1)(d)) | Beszállítói hozzáférés szabályozása | Társzolgáltatói ZT, zero trust network access |
A cikk téziseA NIS2 2026-ra a Zero Trust bevezetését kényszeríti ki a magyar KKV-knál, és ezzel a hálózati határvédelem kora lezárul.
3. Milyen gyakorlati lépéseket kényszerít ki a 2026. június 30-i határidő?
A felkészülés nem sprint, hanem 12-18 hónapos átállás. Az NKI 2024-es tájékoztatója szerint a magyar szervezetek három érettségi szinten haladnak: dokumentált szabályzat (1. fázis), technikai kontrollok bevezetése (2. fázis), auditált, bizonyítékolt működés (3. fázis). A 2026-os határidőig a 3. fázis elérése a reális cél – ez jelenti, hogy a Zero Trust kontrollok nemcsak léteznek, hanem visszakereshető, naplózott bizonyítékkal is szolgálnak egy SZTFH-ellenőrzésen.
A tipikus KKV-ütemezés: 2025 első félévében kockázatelemzés és szabályzatalkotás, 2025 második félévében az Identity Provider és MDM bevezetése, 2026 első negyedévében a mikroszegmentáció és a Zero Trust Network Access (ZTNA) élesítése, 2026 második negyedévében az audit és a bizonyítékszolgáltatás. Az ENISA 2024-es felmérése szerint a 25-250 fős szervezeteknél ez 8-15 millió forintos beruházással járhat (becslés: licence, integráció, képzés), de a működési kockázat csökkenése ennél nagyobb megtakarítást hozhat.
4. Miért nem elég a tűzfal és a VPN 2026-ban?
A hagyományos hálózati határvédelem modellje: a megbízható belső háló és a nem megbízható külvilág között tűzfalat, IDS/IPS-t és VPN-t üzemeltetünk. Ez a modell 1990-es évek óta működik, de a felhő, a home office, a mobileszközök és a beszállítói láncok korában megbukott. Az ENISA 2024-es Threat Landscape jelentése szerint a sikeres támadások 68%-a legitim, ellopott vagy visszaélt hitelesítő adatokkal történt – vagyis a „határ” már belül van.
A VPN-kiszolgáló maga is a határvédelem örökölt gyengesége: ha egyszer bejutott egy támadó a VPN-en, a teljes belső hálózathoz hozzáfér. A Zero Trust ezt fordítja meg: a felhasználó soha nem „kap” hálózati pozíciót, csak egy-egy konkrét alkalmazáshoz kap rövid idejű, kontextus-ellenőrzött hozzáférést. Az ISO/IEC 27001:2022 A.8.20 („networks security”) és A.8.21 („security of network services”) kontrollpontjai ezt a fordulatot kódolják.
5. Költségek, megtérülés és a „compliance versus security” csapdája
A Zero Trust bevezetése nem olcsó, de a „ne tegyünk semmit” forgatókönyv drágább. Az ENISA 2024-es adatai szerint egy KKV-t érintő incidens átlagos költsége Magyarországon 8-20 millió forintra becsülhető (becslés: incidens-kezelés, kiesés, helyreállítás, bírság). Ehhez képest egy 18 hónapos Zero Trust program 8-15 millió forintból megvalósítható – ez egy konzervatív ROI-számítással 1,5-2-szeres megtérülést jelent három éven belül.
A „compliance versus security” csapdát el kell kerülni: a NIS2-nek való megfelelés önmagában nem biztonság, csak keretrendszer. Az SZTFH 2024-es kommunikációja hangsúlyozza, hogy a hatóság a dokumentumok mellett a működési bizonyítékokat is vizsgálja. A Zero Trust kontrollok bevezetése akkor hiteles, ha a naplók, a riasztások és az incidenskezelési eljárások együttesen tanúsítják a folyamatos felügyeletet.
6. A magyar KKV öt lépése 2025-ben: döntéshozói checklist
Első lépés: kockázati besorolás és hatály-megállapítás. A 2024. évi kiberbiztonsági törvény mellékletei alapján a vállalkozásnak azonosítania kell, hogy alapvető szolgáltató, fontos szervezet vagy beszállítói lánc tagja. Az SZTFH weboldalán elérhető önellenőrzési kérdőív segíti a besorolást. Ez határozza meg a 2026. június 30-i vagy a korábbi határidő alkalmazhatóságát.
Második lépés: azonosítás és hitelesítés modernizálása. Központi Identity Provider (pl. Microsoft Entra ID, Okta, Keycloak) bevezetése, MFA-kötelezettség minden rendszergazdai és távoli hozzáférésre. Az NKI 2024-es útmutatója kiemeli: a jelszó önmagában 2026-ban már nem elfogadható kontroll a NIS2 hatálya alá tartozó szervezeteknél.
Harmadik lépés: eszköz- és hálózati szegmentáció. MDM (Mobile Device Management) bevezetése a céges és BYOD eszközökön, kritikus alkalmazások mikroszegmentálása. Negyedik lépés: folyamatos monitorozás és naplózás (SIEM vagy felhőalapú megfelelője). Ötödik lépés: incidensterv és Zero Trust szabályzat, évente felülvizsgálva.
7. Ami most bizonytalan – mit kell még figyelni 2026-ban?
A NIS2 magyar végrehajtási rendeletei egyes részletszabályokban még formálódnak. A SZTFH 2024 végi közleménye szerint a „fontos szervezetek” pontos besorolási kritériumait 2025 első felében véglegesítik, ami a KKV-k egy részénél változtathatja a határidőt. Az ENISA emellett 2025-re új Zero Trust referenciaarchitektúrát ígér, amely a felhőalapú és hibrid KKV-környezetekre is útmutatást ad majd.
A biztosítók és a beszállítói auditok oldaláról is gyorsul a tempó: a kiberbiztosítási piac 2025-től egyre gyakrabban kéri Zero Trust-kontrollok meglétét a díjkalkulációhoz. Ez azt jelenti, hogy a 2026-os határidőn túl a Zero Trust a piaci alkalmasság (vendor eligibility) feltételévé is válik – nemcsak a szabályozó, hanem a partnerek is megkövetelik.
Figyelem: a „Zero Trust bevezetése” nem termékvásárlás
Ha a KKV egyetlen eszközt (firewall, VPN, IAM) vásárol, és nem szervezeti folyamatot épít át, 2026-ban sem felel meg. A Zero Trust szabályzat, szervezeti kultúra és folyamatos felügyelet nélkül nem működik – a NIS2 hatósági auditja ezt vizsgálja először.
Kulcs-megállapítások
- 01
A NIS2 2026. június 30-i határideje a magyar KKV-knál a Zero Trust kontrollok bevezetésének de facto kötelezettségévé vált.
- 02
A hagyományos tűzfal-VPN modell 2026-ban már nem elégséges: a védelmi határ az identitás és az eszköz lett.
- 03
A Zero Trust bevezetése és a NIS2-megfelelés egyszerre oldható meg: a kontrollkészlet 70-80 százalékban átfed.
- 04
A bírság 10 millió EUR-ig vagy az árbevétel 2%-áig terjedhet, de a tényleges kockázat az auditkötelezettség és a vezetői felelősség.
- 05
A KKV-ra optimalizált Zero Trust program 8-15 millió forintból, 12-18 hónap alatt megvalósítható, és 1,5-2-szeres megtérülést hoz három év alatt.
- 06
2026 után a Zero Trust nemcsak jogi, hanem piaci (beszállítói, biztosítási) feltétellé is válik.
Gyakori kérdések
Mit jelent pontosan a Zero Trust egy 25 fős KKV számára?
A Zero Trust egy 25 fős KKV-nál nem teljes architektúra-projektet jelent, hanem három konkrét kontrollt: központi identitáskezelés többfaktoros hitelesítéssel (MFA), eszközállapot-ellenőrzés (MDM), és a kritikus alkalmazások elkülönített, kontextusalapú hozzáférése. Ezek együttesen 70-80 százalékban fedik a NIS2 kontrollkövetelményeit.
Mikor kell 2026-ra kész lenni?
A fontos szervezeteknek 2026. június 30-ig kell megfelelniük a 2024. évi kiberbiztonsági törvény végrehajtási rendeleteinek. Az alapvető szolgáltatókra szigorúbb, korábbi határidők vonatkozhatnak. A besorolást a SZTFH önellenőrzési kérdőívével érdemes indítani.
Mennyibe kerül a Zero Trust bevezetése egy magyar KKV-nak?
Az ENISA 2024-es adatai és a hazai integrátori tapasztalatok alapján egy 25-250 fős szervezetnél 8-15 millió forintos beruházással kalkulálható (becslés: licence, integráció, képzés). A működési kockázat csökkenése és a NIS2-bírság elkerülése 1,5-2-szeres megtérülést hozhat három éven belül.
Elég egy tűzfalat és VPN-t vásárolni a megfeleléshez?
Nem. A NIS2 21. cikke kockázatalapú, szervezetszintű intézkedéseket vár el, nem eszközvásárlást. Az ENISA 2024-es jelentése szerint az incidensek 68%-a legitim, ellopott hitelesítő adatokkal történik – a tűzfal és a VPN ezt nem tudja megállítani. A Zero Trust kontrollkészlet (identitás, MFA, szegmentáció, monitorozás) nélkül a megfelelés nem lesz hiteles.
Ki a felelős, ha egy KKV nem felel meg 2026-ra?
A 2024. évi kiberbiztonsági törvény a vezető testületet (ügyvezető, igazgatóság) teszi közvetlenül felelőssé. Személyes felelősségre vonás, hatósági bírság (fontos szervezeteknél akár 10 millió EUR vagy az árbevétel 2%-a) és működési engedély visszavonása is lehetséges. Az incidenskezelési mulasztás ezen felül büntetőjogi kockázatot is hordozhat.
Honnan tudom, hogy a cégem a NIS2 hatálya alá tartozik-e?
A 2024. évi kiberbiztonsági törvény mellékletei és az SZTFH weboldalán elérhető önellenőrzési kérdőív alapján. Ágazat (energia, közlekedés, egészségügy, digitális infrastruktúra, gyártás, posta), méret (50+ FTE vagy 10+ millió EUR árbevétel/ mérlegfőösszeg) és szolgáltatás típusa (alapvető vagy fontos szolgáltatás) együttesen határozza meg a besorolást.
Érdemes saját erőből vagy külső partnerrel bevezetni a Zero Trust-ot?
25-50 fős KKV-nál jellemzően külső MSSP-vel (Managed Security Service Provider) vagy tanácsadóval érdemes indítani, mert a belső kompetencia hiányzik. 50+ FTE-nél már érdemes egy dedikált biztonsági felelőst (CISO-vagy megbízott) alkalmazni a NIS2 szerinti belső felelősségi struktúra részeként. Az NKI 2024-es képzési programja ingyenes kiindulópont lehet.
Források és hivatkozási alap
- 2024. évi kiberbiztonsági törvény – A NIS2 magyarországi implementációjának alapvető jogszabálya, határidők és felelősségi szabályok https://njt.hu/jogszabaly/2024-69-20-22
- NIS2 irányelv (EU) 2022/2555 – Az Európai Unió kiberbiztonsági irányelve, 21. cikk a biztonsági intézkedésekről https://eur-lex.europa.eu/legal-content/HU/TXT/?uri=CELEX:32022L2555
- ENISA Threat Landscape 2024 – Az éves európai kiberbiztonsági fenyegetettségi jelentés, kontrolllefedettségi statisztikák https://www.enisa.europa.eu/publications/enisa-threat-landscape-2024
- SZTFH Szabályozott Tevékenységek Felügyeleti Hatósága – Hatósági tájékoztatók, önellenőrzési kérdőív, végrehajtási rendeletek https://sztfh.hu
- NIST SP 800-207 Zero Trust Architecture – A Zero Trust architektúra amerikai referencia-dokumentuma https://csrc.nist.gov/publications/detail/sp/800-207/final
Kapcsolódó cikkek a Tudástárban
Több projekt szakmai vezetője. Az AZAR Menedzsment Consultingnál a szakértői és fejlesztői csapatért, valamint a projektmenedzsment-szolgáltatásokért felel: stratégiai tanácsadás, döntés-előkészítés, pályázatírás és pályázati előminősítés, folyamatirányítás, optimalizálás, ellenőrzés, érdekképviselet. Hozzá tartozik a teljes mesterségesintelligencia-kínálat is: AI-stratégia és AI-szoftverfejlesztés, az AZAR Digitális Kapacitás™ program, a digitális munkatársak, az AzarX Pro pályázati platform, valamint a marketingstratégia és a kampánytervezés.