eSI – eSystem Integration in SolutionseSI – eSystem Integration in Solutions
Megfelelőség · NIS2

NIS2 felkészítés és audit

Végigvezetünk a NIS2-megfelelésen a magyar Kiberbiztonsági törvény (2024. évi LXIX. tv.) szerint: tisztázzuk az érintettséget, 14 területen felmérjük a hiányokat, intézkedési tervet és dokumentációt készítünk, felépítjük az incidens-eljárást, és felkészítünk a kötelező kiberbiztonsági auditra. Érintett kis- és középvállalatoknak, valamint NIS2-érintett ügyfelek beszállítóinak.

A szabályzat mögé működő kontroll kerül: MFA, tesztelt mentés, naplózás, riasztás. Az auditor és az ügyfeleid is ezt fogják kérdezni.

  • 30 nap az SZTFH-regisztrációra a hatály alá kerüléstől
  • 24 / 72 óra korai figyelmeztetés és incidens-jelentés az NBSZ NKI-nak
  • 2 évente kötelező kiberbiztonsági audit
Kérj NIS2-felméréstGyorsteszt, 2 perc
A szabály röviden

Mit ír elő a NIS2 Magyarországon?

A hatály részletes szabályait a NIS2 KKV checklist, a szankciókat a bírságokról szóló cikk tárgyalja.

NIS2 Magyarországon: a fő tények
KérdésRöviden
Jogszabály(EU) 2022/2555 irányelv; Magyarországon a 2024. évi LXIX. törvény (Kiberbiztonsági tv.) 2025. január 1. óta, a 2023. évi XXIII. tv. helyett. Végrehajtási rendelet: 418/2024. Korm. rendelet.
FelügyeletVállalati szektorban az SZTFH; a közigazgatásban az NBSZ Nemzeti Kiberbiztonsági Intézet (NKI); a pénzügyi szektorban az MNB.
IncidensbejelentésA nemzeti CSIRT-nek, az NBSZ NKI-nak: korai figyelmeztetés 24 órán, incidens-jelentés 72 órán, záró jelentés 1 hónapon belül.
HatáridőkSZTFH-regisztráció a hatály alá kerüléstől 30 napon belül. A már működő érintetteknél auditori szerződés 2025. augusztus 31-ig, az első kötelező audit 2026. június 30-ig, utána kétévente.
BírságplafonAlapvető szervezetnél 10 millió euró vagy az éves árbevétel 2%-a, fontos szervezetnél 7 millió euró vagy 1,4% (a magasabb). A vezetők személyesen is felelnek.
A munka menete

Hat lépés az érintettségtől az auditig

  1. Érintettség-vizsgálat

    Ágazat, méret, szolgáltatási kör és ügyfélkör alapján megállapítjuk, alapvető vagy fontos szervezet vagytok-e, vagy beszállítóként közvetve ér el a szabály. Közvetlen érintettségnél előkészítjük az SZTFH-regisztrációt és a kapcsolattartó kijelölését.

  2. Hiányelemzés 14 területen

    Mindegyik területet 0–4 érettségi skálán pontozzuk, dokumentumok és ténylegesen működő beállítások alapján. A reális célszint a legtöbb területen a 3-as: definiált, bevezetett, működik.

  3. Intézkedési terv

    A legnagyobb rés és a legnagyobb üzleti kockázat metszete adja a sorrendet. Minden tételhez célszint, felelős és határidő tartozik, hogy a vezetés jóvá tudja hagyni.

  4. Dokumentáció

    Információbiztonsági politika, kockázatelemzés, hozzáférés-szabályozás, folytonossági és helyreállítási terv, beszállítói nyilvántartás: annyi és olyan részletes, amennyit a méret és a kockázat indokol.

  5. Incidens-eljárás

    Súlyossági kritériumok, eszkalációs lánc, ügyeleti felelős, és előre kitöltött bejelentő-sablonok a 24 órás, 72 órás és egyhónapos fázisra. Egy asztali (table-top) gyakorlattal ki is próbáljuk.

  6. Felkészülés az auditra

    Bizonyíték-tár, belső előaudit és a feltárt hiányok zárása. A kötelező auditot az SZTFH-nál nyilvántartott független auditor végzi; mi azon dolgozunk, hogy minden kérdésére dokumentummal és működő gyakorlattal tudjatok válaszolni.

A hiányelemzés területei

A 14 terület, amelyet végigmérünk

A felosztás a NIS2 gap-önaudit keretét követi. Ha már kitöltötted, onnan folytatjuk.

  1. Kockázatelemzés és információbiztonsági politika
  2. Incidenskezelés
  3. Üzletmenet-folytonosság és katasztrófa-helyreállítás
  4. Ellátási lánc (beszállítók) biztonsága
  5. Beszerzés, fejlesztés és karbantartás biztonsága
  6. Az intézkedések hatékonyságának mérése
  7. Kiberhigiénia és képzés
  8. Kriptográfia és titkosítás
  9. HR-biztonság és hozzáférés-kezelés
  10. Többfaktoros hitelesítés és biztonságos kommunikáció
  11. Eszköz- és adatvagyon-leltár
  12. Hálózat- és rendszerbiztonság (hardening)
  13. Vezetői felelősség és jóváhagyás
  14. Incidensbejelentési készség (24/72 óra, NBSZ NKI)

Tipikus kiindulási kép

KKV-knál jellemzően az ellátási lánc, a hatékonyság-mérés és a helyreállítás tesztelése a leggyengébb, az MFA és a mentés gyakran már részben megvan.

Idő és költség

Mennyi idő, és mitől függ az ár?

A NIS2 KKV checklist ütemterve szerint nulláról egy KKV-nál a minimum kontrollkeret reálisan 8–12 hét. Ha már működik ISO 27001 szerinti rendszer, a NIS2-specifikus rész ennél kevesebb munka.

Árlistát nem teszünk közzé, mert a ráfordítást a hatókör, a kiindulási érettség és a pótolandó technikai kontrollok (MFA, naplózás, mentés) határozzák meg. Tájékozódásnak a checklist indikatív magyar piaci keretei egy 50–150 fős KKV-ra (2026 első fele):

  • hiányelemzés és 14 területű dokumentációs keret: 800 e – 1,8 M Ft egyszeri;
  • bevezetés-támogatás és tanácsadás (8–12 hét): 2,4–6 M Ft egyszeri;
  • folyamatos megfelelőség-üzemeltetés: 120–280 e Ft/hó.

Ezek piaci nagyságrendek, nem ajánlat, és a technikai eszközök költsége külön jön. A pontos számot felmérés után adjuk meg.

Önálló felkészüléshez

Eszközök és cikkek, ha magad kezdenéd

GYIK

Gyakori kérdések a NIS2-felkészítésről

Kit érint a NIS2, és honnan tudom, hogy a cégemre is vonatkozik?

A kiberbiztonsági törvényben felsorolt ágazatokban (például energia, közlekedés, egészségügy, gyártás, digitális szolgáltatások) jellemzően a középvállalati mérettől érint: legalább 50 fő, vagy 10 millió eurót meghaladó éves árbevétel és mérlegfőösszeg esetén; egyes szolgáltatókat méretüktől függetlenül is. Beszállítóként az érintett ügyfeleiden keresztül, szerződésben is elérhet. Első tájékozódásra a NIS2/DORA gyorsteszt való, a pontos besoroláshoz érintettség-vizsgálat kell.

Kötelező a NIS2-audit a mi cégünknek is?

Az alapvető és fontos szervezeteknek igen: a kötelező kiberbiztonsági auditot az SZTFH-nál nyilvántartott független auditor végzi. A már működő érintetteknél az első határideje 2026. június 30. volt, utána kétévente esedékes. Ha csak beszállítóként érint a NIS2, hatósági audit nincs, de az ügyfeled átvilágíthat és szerződésben kérheti a kontrollokat.

Kinek kell bejelenteni egy incidenst?

A nemzeti CSIRT-nek, vagyis az NBSZ Nemzeti Kiberbiztonsági Intézetnek, nem az SZTFH-nak. Korai figyelmeztetés 24 órán, incidens-jelentés 72 órán, záró jelentés 1 hónapon belül; ezt csak előre kész eljárással lehet tartani. A részleteket az incidensbejelentési playbook írja le.

Miben más a ti hiányelemzésetek, mint egy önaudit?

Az önaudit gyors belső önértékelés: jól mutatja az irányt, de hajlamos a szépítésre. A mi felmérésünk ugyanazon a 14 területen a meglévő dokumentumokat és a ténylegesen működő beállításokat nézi, és ebből priorizált intézkedési terv lesz.

Ha van ISO 27001 tanúsítványunk, kell még NIS2-vel foglalkozni?

Igen, de kevesebb a munka. Az ISO 27001 a közös kontrollok nagy részét lefedi; az SZTFH-regisztrációt, a 24/72 órás bejelentést és a vezetői képzés dokumentálását külön kell rárakni.

Mennyi ideig tart a felkészülés?

Nulláról egy KKV-nál a minimum kontrollkeret jellemzően 8–12 hét. Ahol a technikai alapokat (MFA, naplózás, mentés) is ki kell építeni, vagy több telephely és rendszer tartozik a hatókörbe, hosszabb.

Első lépés

Nézzük meg, hol tartotok a 14 területen

Írd le röviden, milyen ágazatban dolgoztok, mekkora a cég, és kapott-e már NIS2-kérdőívet valamelyik ügyfeletek. Ebből megmondjuk, mi az első lépés. Munkanapokon 24 órán belül válaszolunk.

Kérj NIS2-felméréstProjekt-előkészítés