Kiberbiztonsági törvény: mit kell tenned, és mikorra?
A kiberbiztonsági törvény – Magyarország kiberbiztonságáról szóló 2024. évi LXIX. törvény – a NIS2-irányelv magyar megfelelője, 2025. január 1. óta hatályos. Nyilvántartásba vételt, felelős kijelölését, kockázatelemzést, incidensbejelentést és kétévenkénti auditot ír elő. Itt egy helyen megtalálod, mit jelent ez a gyakorlatban.
Mi a kiberbiztonsági
törvény?
A kiberbiztonsági törvény (rövidítve Kibertv.) a 2024. évi LXIX. törvény Magyarország kiberbiztonságáról. 2025. január 1-jén lépett hatályba, és a 2023. évi XXIII. törvényt váltotta fel.
Az Európai Unió NIS2-irányelvét ((EU) 2022/2555) ülteti át a hazai jogba. Az irányelv egységesen magas kiberbiztonsági szintet vár el az EU-ban, a magyar törvény pedig számon kérhető szabályokká alakítja. A gyakorlatban a „NIS2-megfelelés” Magyarországon a Kibertv. és a végrehajtási rendeletek betartását jelenti. A teljes felkészítést a NIS2-megfelelés oldalon mutatjuk be.
A törvény nem csak az informatikusokról szól. A megfelelésért a szervezet vezetője felel, ezért ez vezetői döntés, nem IT-feladat.
A cikk tájékoztató jellegű. A jogszabályok gyakran változnak, a törvény személyi hatálya 2026-ban is módosult. A hatályos szöveget az njt.hu oldalon ellenőrizd, a hatósági teendőket pedig az SZTFH és az NKI honlapján.
Kire vonatkozik,
és ki felügyeli?
A hatályt a szektor és a méret együtt határozza meg. A törvény két mellékletben sorolja fel az ágazatokat:
- Kiemelten kockázatos ágazatok: energia, közlekedés, egészségügy, víz, gyógyszeripar, digitális infrastruktúrák, kihelyezett szolgáltatók, világűr.
- Kockázatos ágazatok: posta és futárszolgálat, hulladékgazdálkodás, elektronikai és járműgyártás, élelmiszer, digitális szolgáltatások, vegyipar, kutatóhelyek.
A magáncégek közül jellemzően a középvállalkozások és a náluk nagyobbak tartoznak a hatály alá. A mikro- és kisvállalkozások csak akkor, ha méretkorlát nélkül kötelezett szolgáltatók: elektronikus hírközlési szolgáltatók, bizalmi szolgáltatók, DNS-szolgáltatók, legfelső szintű doménnév-nyilvántartók és doménnév-regisztrátorok. A döntési segédet a „Kire vonatkozik a NIS2?” oldalon találod.
Melyik hatóság felügyel?
A kötelezettek többségét az SZTFH (Szabályozott Tevékenységek Felügyeleti Hatósága) tartja nyilván és felügyeli. Ő vezeti az auditorok nyilvántartását is. Az állami és közigazgatási körhöz tartozó szervezeteknél a Kormány rendeletében kijelölt nemzeti kiberbiztonsági hatóság, a Nemzetbiztonsági Szakszolgálat Nemzeti Kiberbiztonsági Intézete (NKI) jár el. Az incidensbejelentéseket is az NKI fogadja.
A kiberbiztonsági törvény végrehajtási
rendelete és a biztonsági osztályok
A törvény részletszabályait több rendelet tartalmazza. A legfontosabbak:
| Jogszabály | Mit szabályoz? |
|---|---|
| 418/2024. (XII. 23.) Korm. rendelet | A kiberbiztonsági törvény végrehajtási rendelete: eljárások, incidensbejelentés, hatósági felügyelet, bírságsávok. |
| 7/2024. (VI. 24.) MK rendelet | A biztonsági osztályba sorolás követelményei és az osztályonkénti konkrét védelmi intézkedések. Módosította: 18/2024. (XII. 30.) MK rendelet. |
| 1/2025., 2/2025., 3/2025. SZTFH rendelet | Az audit lefolytatásának rendje, a felügyeleti díj, a hatósági ellenőrzés szabályai. |
| 17/2025. (VII. 24.) EM rendelet | A felelős személy végzettségi és képzési követelményei. |
Alap, jelentős, magas: a biztonsági osztályok
Minden elektronikus információs rendszeredet be kell sorolnod egy biztonsági osztályba: „alap”, „jelentős” vagy „magas”. A besorolás a rendszer sértetlenségének és rendelkezésre állásának, valamint a kezelt adatok bizalmasságának kockázatán alapul. A besorolásról a szervezet vezetője dönt. Minél magasabb az osztály, annál szigorúbb védelmi intézkedések tartoznak hozzá, a magasabb osztályoknál az auditba például a behatolásvizsgálat is bekerül.
Az NKI jogszabálylistája szerint igen, ez az alap. A rendeletek időnként módosulnak, ezért a hatályos szöveget az njt.hu-n nézd meg.
A legfontosabb
kötelezettségek.
Ez a lista a teendőket sorolja fel, a pontos feltételeket a hatályos szöveg adja.
- Nyilvántartásba vétel – a hatály alá kerülést követő 30 napon belül elektronikusan az SZTFH-nál, majd az adatváltozásokat 15 napon belül jelented.
- Felelős kijelölése (IBF) – a vezető kijelöli az elektronikus információs rendszer biztonságáért felelős személyt, belső munkatársat vagy külső megbízottat. A törvény végzettségi és képzési feltételeket ír elő.
- Biztonsági osztályba sorolás – minden rendszert besorolsz „alap”, „jelentős” vagy „magas” osztályba, és a besorolást legalább kétévente felülvizsgálod.
- Kockázatelemzés – feltérképezed a rendszereket és a fenyegetéseket, és működtetsz egy kockázatmenedzsment-keretrendszert.
- Szabályzatok – információbiztonsági szabályzat és eljárásrendek, kétévenkénti felülvizsgálattal. Részletek a szabályzatról.
- Védelmi intézkedések – a besorolt osztálynak megfelelő intézkedések bevezetése és igazolása.
- Incidensbejelentés – 24 órán belül korai figyelmeztetés, 72 órán belül incidensjelentés, egy hónapon belül záró jelentés – az NKI felé.
- Ellátásilánc-követelmények – a beszállítók és a beszerzett vagy fejlesztett rendszerek biztonságának kezelése, szerződéses követelményekkel. Biztonságos szoftverfejlesztés.
- Oktatás – a vezetők és a munkatársak rendszeres kiberbiztonsági képzése, bizonyítható formában.
- Kiberbiztonsági audit – kétévente, nyilvántartott auditorral (mikrovállalkozásoknak nem kötelező).
- Felügyeleti díj – a kiberbiztonsági felügyeleti díj megfizetése, a vállalatcsoporthoz tartozásról pedig minden év január 31-ig nyilatkozol.
- Hatósági együttműködés – ellenőrzéskor a vezetőnek és a felelősnek együtt kell működnie, a kért dokumentumokat rendezetten kell átadni.
Kiberbiztonsági audit:
kinek kell, ki végezheti?
A kiberbiztonsági audit a törvény szerinti megfelelés bizonyítéka. Kötelező, ha a kiemelten kockázatos vagy kockázatos ágazatban működő, SZTFH-felügyelet alá tartozó szervezet nem mikrovállalkozás. A gyakoriság kétévente, de a hatóság rendkívüli auditot is elrendelhet.
Határidők
- Új szervezetnél a nyilvántartásba vételt követő 120 napon belül szerződést kell kötni az auditorral, az első auditot pedig két éven belül kell elvégeztetni.
- A 2025. január 1. előtt működő szervezeteknek az SZTFH ütemezése szerint az első audit határideje 2026. június 30. volt. Ha ezt elmulasztottad, haladéktalanul egyeztess auditorral, és nézd meg a hatóság közleményeit.
Mit vizsgál az audit?
A vizsgálat köre a besorolástól függ: belső és távoli sérülékenységvizsgálat, kriptográfiai megfelelőség, „jelentős” és „magas” osztálynál behatolásvizsgálat, valamint kritikus, egyedileg fejlesztett szoftver forráskód-vizsgálata.
Kizárólag az SZTFH nyilvántartásában szereplő auditor. A kiberbiztonsági auditor cégek listáját a hatóság honlapja közli. Az ABSEC nem nyilvántartott auditor, ezért nem auditál: felkészítünk az auditra, az auditort pedig te választod a hatóság nyilvántartásából. Jó gyakorlat külön céget választani, mint aki a felkészítésben részt vett.
Mi történik hiányosság esetén?
Az auditor jelentést küld az SZTFH-nak és neked. A feltárt hiányosságokra intézkedési tervet kell készítened és végrehajtanod; a végrehajtási rendelet a terv elkészítésére 90 napot ír elő, ezt a hatályos szövegben ellenőrizd. A hatóság felszólíthat a hiányosságok megszüntetésére, súlyos esetben azonnali intézkedést is elrendelhet.
Szankciók
A bírság felső határa a szervezet besorolásától függ: alapvető szervezetnél legfeljebb 10 millió euró megfelelő forintösszege vagy az előző évi globális árbevétel 2%-a, fontos szervezetnél legfeljebb 7 millió euró vagy 1,4%. A pontos sávokat a végrehajtási rendelet 2. mellékletében ellenőrizd.
Hogyan készülj fel,
és miben segít az ABSEC?
Egy kiberbiztonsági szakértő bevonásával a felkészülés hat lépésre bontható.
Érintettség és státusz
Megvizsgáljuk, kötelezett vagy-e, melyik hatóság alá tartozol, és bejelentkeztél-e a nyilvántartásba.
Gap-elemzés
Összevetjük a jelenlegi állapotot a törvénnyel és a védelmi intézkedések katalógusával. Eredmény: rangsorolt hiánylista.
Szabályzatok és kockázatelemzés
Elkészítjük az információbiztonsági szabályzatot, az eljárásrendeket és a kockázatelemzést, a te működésedre szabva.
IBF-kiszervezés
Ha nincs belső felelősöd, kiszervezheted. Előre egyeztetjük a törvényi képesítési feltételeket.
Sérülékenységvizsgálat
Technikai ellenőrzés a valós állapotról: belső és külső sérülékenységvizsgálat, amelyre az audit is épül.
Auditra felkészítés
Összegyűjtjük a bizonyítékokat, átnézzük a dokumentációt. Az auditort te választod a hatóság nyilvántartásából.
Olvass tovább.
Mi a kiberbiztonsági törvény?
Magyarország kiberbiztonságáról szóló 2024. évi LXIX. törvény, amely a NIS2-irányelvet ülteti át a magyar jogba, és 2025. január 1-jén lépett hatályba. A kiemelten kockázatos és kockázatos ágazatok szervezeteire kötelezettségeket ír elő: nyilvántartásba vétel, felelős kijelölése, kockázatkezelés, incidensbejelentés és rendszeres audit.
Kinek kell kiberbiztonsági auditot végeztetnie, és milyen gyakran?
A kiemelten kockázatos és kockázatos ágazatokban működő, SZTFH-felügyelet alá tartozó szervezeteknek – a mikrovállalkozások kivételével – kétévente. A nyilvántartásba vételt követő 120 napon belül szerződést kell kötni az auditorral, az első auditot pedig két éven belül kell elvégeztetni. A hatóság rendkívüli auditot is elrendelhet.
Mi a kiberbiztonsági törvény végrehajtási rendelete?
A 418/2024. (XII. 23.) Korm. rendelet a törvény fő végrehajtási rendelete: az eljárási szabályokat, az incidensbejelentést és a bírságsávokat rögzíti. A biztonsági osztályok védelmi intézkedéseit a 7/2024. (VI. 24.) MK rendelet tartalmazza. A hatályos szöveget érdemes az njt.hu-n ellenőrizni.
Hol találom a kiberbiztonsági auditor cégeket?
Auditort csak az SZTFH nyilvántartásában szereplő cégek közül választhatsz; a lista a hatóság honlapján, a Nyilvántartások menüpont Auditorok oldalán érhető el. Az ABSEC nem nyilvántartott auditor, ezért nem auditál: felkészítünk az auditra, az auditort te választod.
Mikor kell kiberbiztonsági incidenst bejelenteni?
A végrehajtási rendelet szerint az incidens tudomásszerzésétől számított 24 órán belül korai figyelmeztetést, 72 órán belül incidensjelentést kell küldeni, a záró jelentést pedig egy hónapon belül. A bejelentést a Nemzeti Kiberbiztonsági Intézet fogadja. A pontos feltételeket a hatóság oldalán érdemes ellenőrizni.
Mekkora bírság járhat a kiberbiztonsági törvény megsértéséért?
A bírság felső határa a besorolástól függ: alapvető szervezetnél legfeljebb 10 millió euró megfelelő forintösszeg vagy az előző évi globális árbevétel 2%-a, fontosnál legfeljebb 7 millió euró vagy 1,4%. A hatóság általában előbb felszólít a hiányosságok megszüntetésére. A pontos sávokat a végrehajtási rendelet 2. mellékletében ellenőrizd.
Nem tudod, hol állsz
a törvényhez képest?
Gap-elemzéssel megmutatjuk, mi hiányzik, és mi a legkisebb lépés, amely már számít. Az auditig végigviszünk a teendőkön.