NIS2: kire vonatkozik, és mit kell tenni 2026-ban?
A NIS2 nem minden cégre vonatkozik – de aki érintett, annak nyilvántartásba kell vetetnie magát, auditot kell teljesítenie, és bizonyítania kell a védelmi intézkedéseket. Ebből az útmutatóból megtudod, kire vonatkozik a NIS2, és mi a következő lépésed.
Mi a NIS2?
Irányelv és törvény.
A NIS2 az Európai Unió kiberbiztonsági keretszabálya. Két szinten találkozol vele, és a kettőt gyakran összekeverik.
NIS2 irányelv
Az (EU) 2022/2555 irányelv. A tagállamoknak szól: megmondja, milyen szektorokat és milyen minimális intézkedéseket kell előírniuk. Közvetlenül a cégeket nem köti.
NIS2 törvény
A 2024. évi LXIX. törvény a kiberbiztonságról (Kibertv.), 2025. január 1-jétől hatályos. Ezt kell betartanod. A részleteket rendeletek adják: a 7/2024. (VI. 24.) MK rendelet a biztonsági osztályokról és a védelmi intézkedésekről, az 1/2025. (I. 31.) SZTFH rendelet az audit rendjéről.
A magánszektor kötelezettjeit a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) felügyeli. A közigazgatási és az állami befolyás alatti szervezeteknél a törvény szerinti nemzeti kiberbiztonsági hatóság jár el. A NIS2 megfelelés részleteit a kiberbiztonsági törvény útmutatójában is összefoglaltuk.
Kire vonatkozik
a NIS2?
Két kérdés dönt: milyen ágazatban dolgozol, és mekkora a cég.
Szektorok
Az irányelv két csoportot ismer, a magyar törvényben ezeket a 2. és 3. melléklet tartalmazza.
- Kiemelten kritikus ágazatok: energia, szállítás, banki és pénzügyi szolgáltatások, egészségügy, ivóvíz, szennyvíz, digitális infrastruktúra, IKT-szolgáltatásirányítás, közigazgatás, világűr.
- Egyéb kritikus ágazatok: postai és futárszolgáltatás, hulladékgazdálkodás, vegyszerek, élelmiszer-termelés és -forgalmazás, gyártás, digitális szolgáltatók, kutatás.
Méretküszöb
Alapesetben a közép- és nagyvállalatok kötelezettek: a közepes vállalkozás jellemzően legalább 50 főt foglalkoztat, vagy éves árbevétele meghaladja a 10 millió eurót. A pontos számítás – kapcsolt vállalkozások, árfolyam – a törvény szerint történik, ezért érdemes dokumentáltan elvégezni.
Kivételek és beszállítók
A mikro- és kisvállalkozások főszabály szerint kívül esnek. Néhány szolgáltató – például az elektronikus hírközlés, a bizalmi szolgáltatás vagy a DNS-szolgáltatás – mérettől függetlenül érintett. Ha nem vagy kötelezett, akkor is érezheted a hatását: a NIS2 az ellátási lánc biztonságát is elvárja, ezért a kötelezett ügyfeleid szerződésben kérhetnek tőled biztonsági garanciákat.
Mit kell tenni,
ha érintett vagy?
- Nyilvántartásba vétel. A kötelezett szervezetnek a hatálya alá kerülésétől számított 30 napon belül be kell jelentkeznie az SZTFH-nál.
- Biztonsági osztályba sorolás. Minden elektronikus információs rendszert az alap, a jelentős vagy a magas osztályba kell sorolni. Az osztály dönti el, mekkora védelem kell hozzá.
- Információbiztonsági felelős (IBF). Ki kell jelölnöd a felelőst, aki az információbiztonsági irányításért felel. Kis cégnél ez kiszervezhető.
- Védelmi intézkedések. Kockázatelemzés, információbiztonsági szabályzat, hozzáférés-kezelés, mentés, naplózás, titkosítás, sérülékenységkezelés és ellátásilánc-biztonság.
- Incidensbejelentés. Az irányelv szakaszos jelentést ír elő: korai figyelmeztetés 24 órán belül, bejelentés 72 órán belül, záró jelentés legfeljebb egy hónappal később. A magyar törvény haladéktalan jelentést vár el, a pontos határidőket végrehajtási rendelet adja meg; ezeket a hatóság oldalán érdemes ellenőrizni.
- Oktatás. A vezetőknek és a munkatársaknak rendszeres, igazolható képzés jár.
A NIS2-audit:
ki végezheti, és mikor?
A hatósági NIS2-auditot csak az SZTFH nyilvántartásában szereplő auditor végezheti. Az ABSEC nem auditor, ezért nem végzünk hatósági auditot: mi felkészítünk rá. Az auditort te választod ki a hatóság hivatalos nyilvántartásából. Nem auditorképzést adunk, hanem felkészítést.
Hogyan zajlik?
A nyilvántartásba vételtől számított 120 napon belül szerződést kell kötnöd egy nyilvántartott auditorral. A NIS2 auditorok listája nyilvános, és a 2026. júniusi szabálymódosítás óta bármelyik nyilvántartott auditort választhatod, a rendszereid biztonsági osztályától függetlenül. Az auditor dokumentált bizonyítékok alapján ellenőrzi a besorolást és a védelmi intézkedéseket, rendszerekből mintát véve. A jelentést legkésőbb 7 napon belül megküldi a hatóságnak; a bizonyítékokat öt évig meg kell őrizned.
NIS2 audit határidő
A 2025. január 1-je előtt működő szervezeteknek az első audit határideje 2026. június 30. volt. A később nyilvántartásba vetteknek a nyilvántartásba vételtől számított két év áll rendelkezésükre, az ismétlés pedig a törvény szerint kétévente esedékes. A hatóság a hiányzó nyilvántartást és auditot ellenőrzi, a szankció a figyelmeztetéstől a 150 millió forintig terjedő bírságig terjedhet. A jelenlegi szabályozás szerint ezek a határidők érvényesek; a hatóság oldalán érdemes ellenőrizni.
NIS2 audit checklist:
mit rendezz az audit előtt?
Az auditor dokumentumokat és bizonyítékokat kér. Ezek legyenek kéznél.
- Érintettségi döntés – ágazat, méret és indoklás írásban.
- Nyilvántartásba vétel – megtörtént, az adatok naprakészek.
- Rendszerleltár – minden elektronikus információs rendszer, tulajdonossal és adattípussal.
- Biztonsági osztályok – rendszerenként besorolva, indoklással.
- Kockázatelemzés – dokumentált keretrendszer és felülvizsgálati dátum.
- Információbiztonsági szabályzat – jóváhagyott és kihirdetett.
- IBF kijelölése – írásos megbízás, egyértelmű hatáskörrel.
- Védelmi intézkedések bizonyítékai – hozzáférési jogosultságok, mentés, naplózás, frissítések.
- Incidenskezelési eljárás – bejelentési lánc, kapcsolattartó, begyakorolt forgatókönyv.
- Beszállítói lista – kritikus szolgáltatók és a szerződéses biztonsági feltételek.
- Oktatási bizonyítékok – jelenléti ív, teszt, vezetői képzés.
- Sérülékenységvizsgálat – friss eredmények és javítási terv. A pentest segít a gyakorlati bizonyításban.
Teendők 2026-ban,
hogyan segít az ABSEC?
Érintettség és nyilvántartás
Eldöntjük, kötelezett vagy-e, és ellenőrizzük a nyilvántartásba vételt.
Gap-elemzés
Felmérjük, mi hiányzik a törvény és a rendeletek elvárásaihoz képest.
Szabályzatok és IBF
Megírjuk a dokumentumokat, és szükség esetén IBF-kiszervezéssel átvesszük a felelős szerepét.
Intézkedések és sérülékenységvizsgálat
Bevezetjük a hiányzó védelmet, és technikai vizsgálattal igazoljuk, hogy működik.
Auditra felkészítés
Próbaellenőrzés és rendezett bizonyítékmappa, hogy az auditor ne találjon váratlant.
Audit és fenntartás
Te választasz auditort a nyilvántartásból; mi mellette maradunk a javításokban és a kétévenkénti ismétlésben.
Olvasd tovább
Kire vonatkozik a NIS2?
A 2024. évi LXIX. törvény hatálya alá azok a közép- és nagyvállalati méretű szervezetek tartoznak, amelyek a törvény 2. és 3. melléklete szerinti ágazatban működnek – például energia, közlekedés, egészségügy, ivóvíz, digitális infrastruktúra, gyártás, élelmiszer vagy hulladékgazdálkodás. Egyes szolgáltatók mérettől függetlenül érintettek. Az érintettséget mindig ágazat és méret együtt dönti el.
Mi a különbség a NIS2 irányelv és a NIS2 törvény között?
A NIS2 irányelv az Európai Unió (EU) 2022/2555 irányelve, amely a tagállamoknak szól. A NIS2 törvény ennek magyar átültetése: a 2024. évi LXIX. törvény a kiberbiztonságról. A cégek a törvényt és a hozzá tartozó rendeleteket kötelesek betartani, nem az irányelvet.
Ki végezhet NIS2-auditot?
Csak az SZTFH nyilvántartásában szereplő auditor. Az ABSEC nem auditor: mi felkészítünk az auditra, az auditort pedig te választod ki a hatóság nyilvántartásából.
Mi a NIS2 audit határideje?
A 2025. január 1-je előtt működő szervezeteknek az első auditot 2026. június 30-ig kellett elvégeztetniük. A később nyilvántartásba vett szervezeteknél a nyilvántartásba vételt követő két év a határidő, utána kétévente kell ismételni. A jelenlegi szabályozás szerint ezek így érvényesek; a hatóság oldalán érdemes ellenőrizni.
Tartotok NIS2 auditor képzést?
Nem. Nem auditorképzést adunk, hanem felkészítést: gap-elemzést, szabályzatokat, IBF-szolgáltatást és próbaauditot azoknak a szervezeteknek, amelyeknek auditon kell megfelelniük. Ha auditor szeretnél lenni, az SZTFH nyilvántartásba vételi feltételeit érdemes megnézni.
Kell sérülékenységvizsgálat a NIS2-megfeleléshez?
A NIS2 a sérülékenységek kezelését minden érintett szervezettől elvárja. A vizsgálat mélysége a rendszerek biztonsági osztályától függ. Az eredmény az auditon is bizonyíték arra, hogy a védelmi intézkedések a gyakorlatban működnek.
Nem tudod, érintett vagy-e
a NIS2-ben?
Megnézzük az ágazatodat és a méretedet, és megmondjuk, mi a következő lépés. Az auditra felkészítünk – az auditort te választod a hatóság nyilvántartásából.