Adatszivárgás 2026-ban: kötelező lépések az első 72 órában

Aki 2026-ban adatvédelmi incidenst észlel, ne a tetteset keresse. A NAIH gyakorlatában a bejelentés nem azonos a kivizsgálás lezárásával; az elvárás az, hogy a hatóság az első 72 órában a rendelkezésre álló tényeket és azonnali intézkedéseket lássa. Ez a hozzáállás a GDPR 33. cikk (3) bekezdéséből következik, amely kifejezetten megengedi, hogy a bejelentést szakaszosan, az információk rendelkezésre állásával kiegészítsük.

Három feladatot kell azonnal, órákon belül elvégezni. Az első: a hatókör (scope) gyors felmérése — milyen adatok, hány érintett, milyen kockázat. A második: a bizonyítékok mentése — logok (rendszernaplók), hálózati mentések, mentési pontok (snapshotek), hogy a későbbi vizsgálat rekonstruálható legyen. A harmadik: az izoláció (a fertőzött rendszer leválasztása a hálózatról, jelszavak cseréje, hozzáférések zárolása). A három lépés sorrendje felcserélhető, de egyik sem maradhat el: a NAIH az elmúlt években több eljárásban rótta ki a bírságot, mert az adatkezelő nem tudta hitelt érdemlően igazolni az incidens bekövetkezésének időpontját és az azonnali intézkedéseket.

A NAIH-hoz benyújtandó bejelentésnek az alábbiakat kell tartalmaznia: az incidens jellegét, az érintett személyek kategóriáit és hozzávetőleges számát, az adatvédelmi tisztviselő (DPO) vagy kapcsolattartó elérhetőségét, a várható következményeket és a megtett vagy tervezett intézkedéseket. A GDPR ezeket a 33. cikk (3) bekezdésében sorolja fel. A gyakorlatban a NAIH online bejelentőfelülete strukturált űrlapot (előre megadott mezőket tartalmazó online adatlapot) kínál, amelyben az egyes elemek külön blokkokba kerülnek.

A bejelentés nyelve magyar, de uniós szintű incidenst érintő vállalkozás esetén az angol nyelvű változat megküldése az ENISA felé is indokolt lehet. A NAIH tájékoztatása a 2025-ös gyakorlat szerint visszaigazoló e-mailben történik, amelyben a hivatal jelzi a szükséges kiegészítéseket, illetve az ügy iktatószámát. A bejelentést nem a válaszra kell várni: a 72 óra a beküldéssel teljesül.

A NIS2 irányelv (EU 2022/2555) háromlépcsős bejelentési rendszert vezetett be, amelyet a 2024. évi kiberbiztonsági törvény ültetett át. A magyar szabályozás az alapvető és a fontos szervezetekre egyaránt vonatkozik, eltérés csak a felügyeleti szigorban és a bírságtételben van. Az alapvető szervezet a SZTFH-nál, a fontos szervezet jellemzően az NKIH-nál jelent — a pontos besorolás a kormányrendelet mellékleteiből állapítható meg.

A korai figyelmeztetés a tudomásszerzéstől számított 24 órán belül esedékes. Ez nem azonos a GDPR 72 órás bejelentéssel: a NIS2-es bejelentésben a műszaki hatás és a szolgáltatásfolytonosság áll a középpontban. Aki mindkét hatóság felé jelent, az a két űrlapot párhuzamosan töltse ki, és ne próbálja az egyiket a másikkal helyettesíteni. A 2024. évi kiberbiztonsági törvény ezt kifejezetten megerősíti.

A GDPR 34. cikke szerint az érintetteket közvetlenül is értesíteni kell, ha az incidens valószínűsíthetően magas kockázattal jár. Az angol-magyar szakirodalomban high-risk néven emlegetett küszöb magasabb, mint a NAIH-bejelentésé: nem minden adatvédelmi incidens kerül a 34. cikk hatálya alá. A NAIH 2025-ös tájékoztatója szerint a magyar hatóság akkor tekinti indokoltnak az érintetti értesítést, ha az adatok visszaélést tesznek lehetővé — tipikusan jelszavak, biometrikus (testi jellemzőkön alapuló, egyedi azonosításra szolgáló) vagy pénzügyi adatok.

Ha az érintetti értesítés aránytalan erőfeszítést igényelne, a NAIH engedélyezheti a nyilvános közzététellel való helyettesítést. A gyakorlatban ez ritka: a magyar KKV-k jellemzően 50 000 érintett alatti adatbázisokkal dolgoznak, ahol az egyéni értesítés e-mailben megvalósítható. A lényeg: az érintetti értesítés szövege konkrét, a megtett intézkedéseket és az érintett teendőit is tartalmazza.

A 2024. évi kiberbiztonsági törvény a NIS2-es szervezetek számára ezt kiegészíti az incidenskezelési terv (incident response plan) fogalmával, amelyet az ISO/IEC 27001 információbiztonsági szabvány A.16.1.1. vezérlője is előír. Aki 2026-ban magyar székhelyű KKV-ként NIS2 hatálya alá esik, annak az incidenskezelési terv nem ajánlás, hanem jogszabályi előírás. A terv nélküli szervezetnél a hatóság a felügyeleti díj megemelésével is élhet.

A tudomásszerzés pillanatában indítsunk incidensórát (az incidens kezdetétől számított visszaszámlálható időmérőt), és osszuk fel a 72 órát három szakaszra. Az első 6 óra a lokalizálás és a bizonyítékok mentése. A 6–24. óra a NAIH- és NIS2-bejelentés előkészítése, a DPO vagy külső adatvédelmi tanácsadó bevonásával. A 24–72. óra a bejelentés beküldése, az érintetti értesítés megtervezése, valamint a belső nyilvántartás véglegesítése.

Az ENISA 2025-ös ajánlása egy war room (dedikált, jellemzően videóhívásban ülésező kríziscsapat) felállítását javasolja, amelyben a CIO (informatikai vezető), a DPO, a jogi tanácsadó és a kommunikációs vezető egyszerre dolgozik. Magyar KKV-knál ez gyakran a cégvezetőből és két külső szakértőből áll. A lényeg nem a szervezet mérete, hanem a döntési jogkör: a war room tagjainak a 72 óra alatt önálló intézkedési jogot kell kapniuk.