- Bírság-plafon alapvető entitásnál 10 M € vagy az árbevétel 2%-a (a magasabb), fontos entitásnál 7 M € vagy 1,4%.
- A NIS2 a vezetőség személyes felelősségévé teszi a kiberbiztonságot — a vezető akár ideiglenesen eltiltható.
- A pénzbírság csak a skála teteje: figyelmeztetés, kötelező utasítás, audit, nyilvánosságra hozatal és tanúsítvány-felfüggesztés is jöhet.
- Magyarországon a vállalati szektorban a felügyelet az SZTFH (2024. évi LXIX. törvény – Kiberbiztonsági tv.).
- Összevetésül a GDPR plafonja magasabb (20 M € / 4%) — a két jogalap külön, halmozódhat.
01A lényeg 30 másodpercben
A NIS2 nem ajánlás, hanem kötelezettség — és van foga. A közigazgatási bírság felső határa alapvető (essential) entitásnál legalább 10 millió euró vagy az éves világméretű árbevétel 2%-a (a magasabb), fontos (important) entitásnál 7 millió euró vagy 1,4%. De a pénzbírság csak a skála teteje: előtte kötelező utasítás, biztonsági audit, a jogsértés nyilvánosságra hozatala, alapvető entitásnál pedig akár a tanúsítvány felfüggesztése és a vezető ideiglenes eltiltása is jöhet.
A legfontosabb üzenet a döntéshozóknak: a NIS2 kifejezetten a vezetőség személyes felelősségévé teszi a kiberbiztonságot. Magyarországon a vállalati szektorban a felügyeletet és a szankcionálást az SZTFH látja el. A jó hír: a dokumentált, jóhiszemű felkészülés a leghatékonyabb védekezés — és enyhítő körülmény.
| Kategória | Bírság felső határa |
|---|---|
| Alapvető (essential) entitás | min. 10 M € vagy az árbevétel 2%-a (a magasabb) |
| Fontos (important) entitás | min. 7 M € vagy az árbevétel 1,4%-a (a magasabb) |
| Összevetésül: GDPR | 20 M € vagy az árbevétel 4%-a |
02Mekkorák a bírságok valójában?
A NIS2 irányelv (EU 2022/2555) két szankciós sávot határoz meg, attól függően, hogy a szervezet alapvető vagy fontos entitásnak minősül-e (ezt az ágazat és a méret dönti el). Mindkét sávban a felső határ egy fix euró-összeg vagy az árbevétel egy százaléka — és mindig a magasabb érték az irányadó. A százalékos plafon azonban csak nagyon nagy cégeknél lép a fix összeg fölé (kb. 500 M€, azaz ~200 milliárd Ft éves világpiaci árbevétel felett); egy KKV-nál a fix 10 M€ / 7 M€ a felső határ — ami egy 1 milliárd forintos árbevételű cégnél az éves forgalom többszöröse.
KKV-nál a fix euró-összeg a felső határ; az árbevétel-arányos plafon csak nagyon nagy cégeknél lép fölé.
A tényleges összeget a hatóság mérlegeli: a jogsértés súlyossága és időtartama, a szándékosság vagy gondatlanság, az okozott (vagy potenciális) kár, a korábbi jogsértések, és az együttműködés mértéke mind számít. Ugyanaz a hiányosság egy jóhiszemű, bizonyíthatóan készülő cégnél jóval enyhébben esik latba, mint egy a kötelezettségeit tudatosan elmulasztónál.
03NIS2 vs GDPR — a bírság-plafonok
Sokan a GDPR-hoz mérik a NIS2-t. A NIS2 felső határai alacsonyabbak, de a két jogalap külön — egy adatszivárgással járó támadás egyszerre indíthat GDPR- és NIS2-eljárást, így a kockázatok nem helyettesítik, hanem kiegészítik egymást.
04Vezetői és személyes felelősség
Ez a NIS2 egyik leglényegesebb újdonsága. Az irányelv a vezető testület (management body) feladatává teszi, hogy jóváhagyja a kiberbiztonsági kockázatkezelési intézkedéseket, felügyelje a végrehajtásukat, és maga is részt vegyen rendszeres képzésen. A kiberbiztonság nem delegálható le „az informatikának" — a felelősség a legfelső szinten marad.
Alapvető entitásnál a hatóság a megfelelés kikényszerítéséig ideiglenesen eltilthatja a vezérigazgatói vagy törvényes képviselői szintű természetes személyt a vezetői feladatok ellátásától. Egy ügyvezetőnek ez a személyes kockázat gyakran meggyőzőbb érv, mint maga a pénzbírság.
05Nem csak bírság — az egyéb szankciók
A pénzbüntetés a végállomás, nem az első lépés. A hatóság eszköztára fokozatos, és a legtöbb cégnél a nem pénzügyi következmények fájnak igazán:
- Figyelmeztetés és kötelező utasítás a hiányosságok határidős megszüntetésére.
- Kötelező biztonsági audit elrendelése (akár a cég költségére), helyszíni ellenőrzés.
- A jogsértés tényének (és a felelős nevének) nyilvánosságra hozatala — közvetlen reputációs kár.
- Alapvető entitásnál a releváns tanúsítvány vagy engedély ideiglenes felfüggesztése — ami akár a működést is ellehetetlenítheti.
- A vezető ideiglenes eltiltása a vezetői feladatoktól.
Ehhez jön a piaci hatás: partner- és ügyfélbizalom-vesztés, közbeszerzési és nagyvállalati beszállítói kizárás (a nagy cégek egyre inkább megkövetelik a NIS2-megfelelést a láncban). Ez a közvetett kár sokszor nagyságrenddel nagyobb, mint a bírság.
06A szankciók eszkalációja
A hatóság jellemzően nem a maximummal kezd. A felügyeleti reakció arányos és fokozatos — minél később reagálsz, annál feljebb lépsz a lépcsőn.
07Magyar kontextus — SZTFH és a Kiberbiztonsági tv.
Magyarországon a NIS2 átültetése 2025. január 1-je óta a 2024. évi LXIX. törvény (Magyarország kiberbiztonságáról, „Kiberbiztonsági tv.”) és végrehajtási rendelete (418/2024. (XII. 23.) Korm. rendelet) mentén történik; ez váltotta fel a 2023. évi XXIII. törvényt („Kibertan. tv.”). A vállalati szektorban a felügyeleti hatóság a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH), a közigazgatásban a Nemzetbiztonsági Szakszolgálat (NBSZ NKI), a banki és pénzügyi piaci szektorban az MNB. Az érintett szervezeteknek regisztrálniuk kell, kockázatarányos biztonsági intézkedéseket kell bevezetniük, és incidens-bejelentési kötelezettségük van.
A felügyelet nem csak papíron létezik: az SZTFH auditokkal, helyszíni ellenőrzésekkel dolgozik, a megfelelést pedig kétévente az SZTFH-nál nyilvántartott független auditor kiberbiztonsági auditja igazolja. A bírság- és szankciótételeket a magyar jogszabályi keret (418/2024. Korm. rendelet) konkretizálja, az irányelvi felső határok mentén. A pontos érintettség és határidők szervezetfüggők — ezt érdemes egyedileg tisztázni.
08Hogyan kerüld el a bírságot?
A felügyelet nem a tökéletességet, hanem a kockázatarányos, dokumentált, jóhiszemű megfelelést várja el. A leghatékonyabb védekezés:
- Mérd fel a kiindulópontot — gyorsteszt, majd részletes gap-önaudit (0–4 érettség 14 területen).
- Vezesd be a kötelező alapokat: kockázatértékelés, MFA, titkosítás, mentés (3-2-1), sebezhetőség-kezelés, beszállítói kockázat.
- Építsd ki az incidensbejelentési képességet (24/72 órás határidők).
- Szerezz vezetői jóváhagyást és tarts képzést — ez jogszabályi elvárás.
- Gyűjts bizonyítékot folyamatosan (policy-k, naplók, tesztek) — audit esetén ez számít.
A hatóság nem a tökéletességet díjazza, hanem a bizonyítható, jóhiszemű erőfeszítést: a dokumentált felkészülés és az együttműködés enyhítő körülmény. Egy felmérés és egy priorizált terv töredékébe kerül annak, amit egyetlen bírság jelentene.
Ha a NIS2, a DORA és az ISO 27001 is érint, érdemes az átfedéseket kihasználni, és egyszerre lefedni a közös kontrollokat. 25+ év banki és nagyvállalati biztonsági tapasztalattal, KKV-léptékre szabva végigvezetünk a felméréstől a bevezetésig és az auditra való felkészülésig.
09Gyakran ismételt kérdések
Mekkora bírság szabható ki a NIS2 alapján?
Alapvető entitásnál min. 10 M € vagy az éves árbevétel 2%-a (a magasabb), fontos entitásnál 7 M € vagy 1,4%. A tényleges összeget a hatóság a jogsértés súlyossága és az együttműködés alapján mérlegeli.
Felelős-e személyesen a vezetőség?
Igen — a vezető testületnek jóvá kell hagynia és felügyelnie kell az intézkedéseket, és képzésen kell részt vennie. Alapvető entitásnál a vezető ideiglenesen eltiltható a vezetői feladatoktól.
A NIS2-bírság és a GDPR-bírság halmozódhat?
Igen, külön jogalapok. Egy incidens egyszerre indíthat GDPR- és NIS2-eljárást; a bírságok a kétszeres büntetés tilalmának korlátai között elvileg halmozódhatnak.
Ki szabja ki a szankciókat Magyarországon?
A vállalati szektorban a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH), a 2024. évi LXIX. törvény (Kiberbiztonsági tv.) alapján; a közigazgatásban a Nemzetbiztonsági Szakszolgálat, a pénzügyi szektorban (DORA) az MNB.
A bírságon kívül milyen szankciók lehetnek?
A pénzbírság csak a skála teteje. Előtte/mellette a hatóság: figyelmeztetést adhat; kötelező utasítást adhat a hiányosságok meghatározott határidőn belüli megszüntetésére; biztonsági auditot rendelhet el; nyilvánosságra hozhatja a jogsértés tényét; alapvető entitásoknál ideiglenesen felfüggesztheti a releváns tanúsítványt vagy engedélyt, és ideiglenesen eltilthatja a vezetőt. A reputációs és üzleti hatás (ügyfél- és partnerbizalom, közbeszerzési kizárás) gyakran nagyobb, mint maga a bírság.
Hogyan kerülhető el a NIS2-bírság?
Igazolható, dokumentált megfeleléssel: kockázatértékelés, kiberbiztonsági intézkedések bevezetése (hozzáférés-kontroll/MFA, titkosítás, mentés, sebezhetőség-kezelés, beszállítói kockázat), incidenskezelési és 24/72 órás bejelentési képesség, vezetői jóváhagyás és képzés, valamint folyamatos bizonyíték-gyűjtés. A gyors első lépés egy felkészültségi gyorsteszt és egy gap-audit, amely megadja a priorizált teendőket. A hatóság az együttműködést és a jóhiszemű, bizonyított erőfeszítést enyhítő körülményként veszi figyelembe.
10Csökkentsd a kockázatot — beszéljünk
Egy felmérés és egy priorizált felkészülési terv töredékébe kerül annak, amit egyetlen bírság vagy egy elhúzódó incidens jelentene. Megnézzük, hol tart a céged, mi a kötelező minimum a te méretedben, és hogyan jutsz el oda — banki minőségben, arányos megvalósítással.
Ez a cikk tájékoztató jellegű, nem minősül jogi tanácsadásnak. A konkrét érintettséget, határidőket és kötelezettségeket egyedileg, a hatályos magyar jogszabályok alapján kell megállapítani.