NIS2 KKV checklist.

01Mi a NIS2 röviden

A NIS2 (Directive (EU) 2022/2555 — Network and Information Security 2) az EU 2023 januárjában hatályba lépett kiberbiztonsági irányelve, amely a 2016-os első NIS-irányelvet váltja le. Magyarországon 2025. január 1-je óta a 2024. évi LXIX. törvény (Magyarország kiberbiztonságáról, „Kiberbiztonsági tv.”) ülteti át; ez váltotta fel a 2023. évi XXIII. törvényt, amely 2024. október 18-tól írta elő a NIS2-kötelezettségeket.

A NIS2 célja, hogy az EU-tagállamokban működő kritikus szektorokban egységes, kötelező kiberbiztonsági minimumszint legyen — a banki, egészségügyi, energetikai, közlekedési, vízgazdálkodási, digitális szolgáltatási és más alapvető infrastruktúra-szektorokban. A korábbi NIS-hez képest a hatókör drasztikusan kibővült: 7 szektor helyett 18 szektor, és a kötelezettek köre is sokszorosára nőtt.

A megfelelés három pilléren áll: (1) műszaki és szervezeti kontrollok a 21. cikk szerinti területeken (gyakorlati keretünkben 14 terület), (2) incidensbejelentési kötelezettség szigorú határidőkkel, és (3) felső vezetői felelősség — a vezetőkkel szemben személyes szankció (eltiltás, kötelező továbbképzés) szabható ki.

02Kit érint Magyarországon

A NIS2 két kategóriát különböztet meg, és Magyarországon a Kiberbiztonsági tv. ezt finomítja:

• Alapvető szervezet (essential entity): 250+ fő VAGY 50 M€+ árbevétel, kritikus szektorban (energia, közlekedés, banki, pénzügyi piaci infrastruktúra, egészségügy, ivóvíz, szennyvíz, digitális infrastruktúra, közigazgatás, űr).
• Fontos szervezet (important entity): 50+ fő VAGY 10 M€+ árbevétel, fontos szektorban (postai szolgáltatás, hulladékgazdálkodás, vegyipar, élelmiszer-gyártás, gyártóipar nagy része, digitális szolgáltatás, kutatás).

Magyar specialitás: a Kiberbiztonsági tv. a kiemelten kockázatos ágazatokban már a középvállalkozást (50+ fő, vagy 10 M€ feletti árbevétel és mérlegfőösszeg) is alapvető szervezetnek tekinti, és a méretkorlát alatti szervezeteket is bevonja, ha:

• Elektronikus hírközlési szolgáltató, bizalmi szolgáltató, DNS-szolgáltató, legfelső szintű doménnév-nyilvántartó vagy doménnév-regisztrációt végző szolgáltató (méretétől függetlenül)
• Legalább 5, a törvény hatálya alá tartozó szervezetnek nyújt szolgáltatást, vagy alapvető/fontos szervezet számára adatkezelést végez (hatósági azonosítás alapján)
• Legalább 20 000 személynek nyújt szolgáltatást a törvény szerinti ágazatokban (hatósági azonosítás alapján)
• Magyarországon egyedüli szolgáltatója egy kritikus társadalmi vagy gazdasági tevékenységhez elengedhetetlen szolgáltatásnak (hatósági azonosítás alapján)
• Kritikus szervezetként jelölték ki (a kritikus szervezetek ellenálló képességéről szóló 2024. évi LXXXIV. törvény alapján)

Beszállítói lánc-kötelezettség: ha egy nagy ügyfeled (bank, közmű, állami szerv, EU vagy nemzeti regulator-felügyelt cég) NIS2 alá tartozik, akkor téged is mint beszállítót átvilágíthat, és kötelezően elvárja a NIS2-szintű kontrollokat. Ez a gyakorlatban azt jelenti, hogy egy 15 fős magyar SaaS-cégnek, amely banknak ad SaaS-szolgáltatást, szerződésben rögzítetten NIS2/DORA-szintű kontrollokat kell tartania (a bank a DORA miatt írja elő), akkor is, ha méretileg nem esne bele.

A gyakorlati képlet: ha az ügyfeleid közül akár egyetlen alapvető vagy fontos szervezet, akkor a beszállítói átvilágítás miatt neked is teljesítened kell a 14 területet — még ha nem is regisztrált NIS2-érintett vagy hivatalosan.

Egy 15 fős SaaS-cég, amely banknak szállít, ugyanúgy NIS2/DORA-szintű kontrollokat tart. A méret nem mentesít, ha a beszállítói láncban vagy.

03Határidők 2024–2026

0414 területű kontroll-keret

A NIS2 21. cikk (2) bekezdése 10 minimum-intézkedési területet sorol fel; a gyakorlati keretünk ezt — a bejelentési, naplózási, sebezhetőség-kezelési és vezetői elemekkel kiegészítve — 14 területre bontja. A „hogyan teljesítsd” nyitva van — a NIS2 risk-based, nem prescriptive. A gyakorlatban az ISO 27001:2022 Annex A kontrollok adják a leggyakoribb implementációs sablont.

1. Kockázatelemzési és információbiztonsági szabályzat — éves felülvizsgálat, vezetői jóváhagyás, asset inventory
2. Incidenskezelés — playbook, eszkalációs út, dokumentált gyakorlat évente min. 1×
3. Üzletmenet-folytonosság és válságkezelés — BCP, DRP, RTO/RPO definiálva, helyreállítási teszt évente
4. Beszállítói lánc biztonság — beszállítói átvilágítás, DPA, kritikus beszállítók listája
5. Hálózati és információs rendszerek beszerzése, fejlesztése és üzemeltetése — secure SDLC, change management
6. A kockázatkezelési intézkedések hatékonyságának értékelése — KPI-k, audit-trail
7. Kiberbiztonsági higiénia és képzés — éves phishing-szimuláció, security awareness training
8. Kriptográfia és titkosítás használata — TLS 1.3, encryption at rest, kulcskezelés
9. Emberi erőforrás biztonság, hozzáférés-szabályozás, eszközkezelés — RBAC, least-privilege, JML-folyamat (joiner-mover-leaver)
10. Többtényezős hitelesítés (MFA), folyamatos hitelesítés, vészhelyzeti kommunikáció — admin- és VPN-fiókokon MFA kötelező
11. Bejelentési, regisztrációs kötelezettségek — SZTFH regisztráció, kapcsolattartó kijelölve
12. Logging és monitoring — legalább 12 hónap központi log-retenció, SIEM vagy log-aggregátor
13. Sebezhetőség-kezelés — vulnerability scan havonta, patch SLA (critical 7 nap)
14. Felső vezetői felelősség és képzés — vezetők éves kiberbiztonsági továbbképzése, dokumentálva

05Incidensbejelentés 24/72 óra

A legfeszesebb kötelezettség a háromfázisú incidensbejelentés. Egy „jelentős incidens” (significant incident) az, amely (a) a szolgáltatás súlyos zavarát vagy üzemkimaradását okozza, vagy (b) jelentős vagyoni vagy nem vagyoni kárt okozhat más természetes vagy jogi személyeknek.

06Felső vezetői felelősség

A NIS2 20. cikk és a Kiberbiztonsági tv. egyaránt kimondja, hogy a felső vezetők (ügyvezető, igazgatóság, részvénytársaságnál a felügyelőbizottság tagjai is) személyes felelősséget viselnek azért, hogy a kiberbiztonsági intézkedéseket jóváhagyták, felügyelték és érvényesítették.

A személyes szankciók köre:

• Kötelező kiberbiztonsági továbbképzés (a vezetők részére, dokumentálva)
• Vezetői tisztségtől való ideiglenes eltiltás (alapvető szervezetnél, ha a hatósági kötelezést nem teljesítik)
• A vezető személyes bírságolása (legfeljebb 15 millió Ft) — ezt a jogszabály a nemzeti kiberbiztonsági hatóság (NBSZ NKI) által felügyelt szervezeteknél írja elő

Gyakorlati következmény: a vezetőnek igazolható, dokumentált képzésen kell részt vennie, és a kiberbiztonsági szabályzatot, intézkedési tervet, éves audit-jelentést aláírnia. Nem elég a CTO-ra hárítani.

07Beszállítói lánc

A NIS2 új eleme, hogy a kötelezett szervezetnek a beszállítói láncot is fel kell mérnie és kezelnie. A gyakorlatban ez két irányban fut:

Mint érintett szervezet, neked:

• Beszállítói lista, kritikussági besorolással (high/medium/low)
• Magas kritikussági beszállítóktól tanúsítvány vagy önnyilatkozat NIS2-szintű kontrollokról
• Szerződéses biztonsági klauzula (DPA + biztonsági követelmények)
• Beszállító-incidens értesítési kötelezettség

Mint beszállító, te kapod:

• Kérdőívek, „security questionnaire”-ek a nagy ügyfelektől (gyakran 80–150 kérdés)
• Kérelmek tanúsítványokra (ISO 27001, SOC 2, NIS2 önaudit-jelentés)
• Right-to-audit klauzula a szerződésben
• Penetration test-jelentés kérelem évente

A megoldás: készíts egy „security overview” csomagot előre (kontroll-keret, ISMS-szabályzat, pen-test-jelentés összefoglaló, NIS2 önaudit-eredmény), és ezt küldd ki kérésre. Ez 1–2 hét meló, de tucatnyi átvilágítási folyamatot rövidít le hetek helyett napokra.

08Bírság-kockázatok

A „vagy az árbevétel 2%-a” kitétel a GDPR bírság-mintáját követi, de csak nagyon nagy cégeknél haladja meg a fix összeget: a 2% kb. 500 M€ (~200 milliárd Ft) éves világpiaci árbevétel felett nagyobb, mint a 10 M€. Egy 50 milliárd forintos forgalmú nagyvállalatnál is a fix 10 M€ (kb. 4 milliárd Ft) a felső határ — ekkora kockázatra nincs cégvezető, aki ne fordítana figyelmet.

A magyar piacon a gyakorlati kockázat nem feltétlenül a hatósági bírság, hanem a nagy ügyfél elvesztése: egy bank, közmű vagy állami szerv egyetlen beszállítói kérdőív nem-teljesítésével szerződést bonthat fel vagy nem újít meg.

0914 pontos gap-elemzés

Az alábbi mátrix a 14 területre 1 kérdést ad, amelyre konkrét, dokumentumra hivatkozható választ kell tudnod adni. Ha bármely sorra a válasz „nincs dokumentum” vagy „nem tudom”, az gap.

A tipikus gyakorlatban egy KKV az első menetben 14-ből 3–5 területen tud konkrét, dokumentumra hivatkozható választ adni — a többi gap. Ez az induló állapot, ez nem kudarc.

108–12 hetes roadmap

Egy reális, minimális, KKV-méretű NIS2-bevezetési ütemterv:

A 12. hét végén olyan állapotban vagy, hogy ha jön egy SZTFH-felülvizsgálat vagy egy nagy ügyfél security-kérdőíve, dokumentumokra hivatkozva tudsz válaszolni. Ez nem a végállomás — innen kell az érettséget évente növelni —, de ez a „minimum life-of-business” szint.

11Költségkeret

Indikatív magyar piaci árak 2026 első felében, 50–150 fős KKV-méretre számolva:

Egy közepes KKV (80 fő, közepes kockázati profil) reális teljes első éves NIS2-költsége 5–10 M Ft tartományban van, beleértve mind az egyszeri, mind a folyó tételeket. A második évtől ez ~3–5 M Ft/év szinten stabilizálódik.

Ez sok pénz, de érdemes a kockázatértékelést is mellé tenni: egy nagy ügyfél elvesztése a beszállítói átvilágítás miatt vagy egy hatósági bírság (még alacsony, 50–100 M Ft-os tételnél is) lényegesen drágább.

12NIS2 vs ISO 27001

Egy gyakori kérdés: ha már van ISO 27001 tanúsítványom, kell-e még NIS2-vel foglalkoznom? Igen, kell — de sokkal könnyebb dolgod van.

A gyakorlatban: ISO 27001 tanúsítvánnyal a NIS2-megfelelőség 70–80%-a automatikusan teljesítve. A maradék 20–30%: incidensbejelentési határidők formalizálása, SZTFH regisztráció, felső vezetői képzés dokumentálása, beszállítói lánc-felmérés. Ezek 4–6 hét alatt rárakhatók egy működő ISO-rendszerre.

Fordítva is igaz: aki most a NIS2-re készül, érdemes ISO 27001:2022 kontroll-katalógussal kezdeni, mert ez 14 terület helyett 93 részletes kontrollra bont — sokkal könnyebb operacionalizálni, és egy — KKV-nál jellemzően 4–9 hónapos — bevezetés után tanúsítást is szerezhetsz, ami minden beszállítói kérdőívnél +1 előnyt jelent.

13GYIK

Mi a különbség az alapvető és a fontos szervezet között?

Az alapvető szervezetek (essential entities) az EU-szintű kritikus infrastruktúra-szektorokban működnek — energia, banki, pénzügyi piaci infrastruktúra, egészségügy, ivóvíz, közlekedés, digitális infrastruktúra, közigazgatás, űr. A fontos szervezetek (important entities) más szektorokban — postai szolgáltatás, hulladékgazdálkodás, vegyipar, élelmiszer, gyártóipar, kutatás, digitális szolgáltatások. A bírságok is eltérőek (10 M€ vs 7 M€).

Ki a NIS2 felügyeleti hatóság Magyarországon?

A vállalati szektorban a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) — pontosabban a Kiberbiztonsági Igazgatóság; a közigazgatásban és az állami többségű cégeknél a Nemzetbiztonsági Szakszolgálat (NBSZ NKI). A regisztráció az SZTFH-nál történik, az incidensbejelentés viszont a nemzeti CSIRT-hez, az NBSZ Nemzeti Kiberbiztonsági Intézetéhez (NKI) megy. A banki és pénzügyi piaci szektorban az MNB felügyel (DORA).

Mi van, ha nem regisztrálok az SZTFH-nál?

Ha kötelezett vagy és nem regisztrálsz, az önmagában bírságolható mulasztás. Az SZTFH proaktívan is azonosíthatja a kötelezetteket cégbírósági adatok és a TEÁOR-tevékenység alapján, és felszólíthat regisztrációra.

Kell-e DPO (adatvédelmi tisztviselő) is?

A NIS2 nem ír elő DPO-t, az a GDPR követelménye. Viszont a NIS2 előírja egy kiberbiztonsági kapcsolattartó kijelölését az SZTFH felé. Sok cégnél ugyanaz a személy (CISO vagy IT-vezető) látja el a NIS2 kapcsolattartó + GDPR DPO szerepet.

Mit jelent az „all-hazards approach”?

A NIS2 az összes kockázattípust kezelni rendeli: nemcsak a kibertámadásokat, hanem a fizikai biztonsági incidenseket (tűz, áramkimaradás, beázás), az emberi mulasztásokat, és a természeti katasztrófákat is. A BCP-nek tehát „all-hazards” jellegűnek kell lennie, nem csak cyber-fókuszú DRP-nek.

Mi a NIS2 irányelv?

A NIS2 (Directive (EU) 2022/2555) az EU kiberbiztonsági irányelve, amely a tagállamokat kötelezi arra, hogy az alapvető és fontos szervezetek számára kötelező kiberbiztonsági kontrollokat, incidensbejelentési kötelezettséget és felső vezetői felelősséget vezessenek be. Magyarországon 2025. január 1-je óta a 2024. évi LXIX. törvény (Kiberbiztonsági tv.) ülteti át, amely a 2024 októberétől alkalmazott 2023. évi XXIII. törvényt váltotta fel. A KKV-szegmenst is jelentősen érinti, ha kritikus szektorban működik vagy nagyobb szervezet beszállítója.

Kit érint a NIS2 Magyarországon a KKV-szegmensben?

A NIS2 alapesetben a 50+ fős vagy 10 M€+ árbevételű szervezeteket érinti 18 kritikus szektorban (energia, közlekedés, banki, egészségügy, ivóvíz, digitális szolgáltatások stb.). Magyar specialitás: a Kiberbiztonsági tv. a kiemelten kockázatos ágazatokban már a középvállalkozást is alapvető szervezetnek tekinti; méretüktől függetlenül érintettek az elektronikus hírközlési és bizalmi szolgáltatók, a DNS-szolgáltatók, a doménnév-nyilvántartók és a kijelölt kritikus szervezetek, a hatóság pedig azonosítással kisebb szervezetet is bevonhat (pl. ha legalább 5 érintett szervezetnek nyújt szolgáltatást, vagy alapvető/fontos szervezet számára adatkezelést végez). A beszállítói lánc-követelmény miatt sok 10–50 fős IT-szolgáltató, könyvelőiroda, gyártó- és kereskedő-cég is érintett közvetetten.

Mekkora a NIS2 bírság Magyarországon?

Alapvető szervezet (essential entity): max. 10 M€ vagy az éves árbevétel 2%-a (amelyik magasabb). Fontos szervezet (important entity): max. 7 M€ vagy az árbevétel 1.4%-a. A magyar Kiberbiztonsági tv. (2024. évi LXIX.) ezen felül a szervezet vezetőjének személyes felelősségét is kimondja, ideértve a vezető kötelező kiberbiztonsági képzését és alapvető szervezetnél a vezetői tisztségtől való ideiglenes eltiltás lehetőségét. A vállalati szektorban az SZTFH (Szabályozott Tevékenységek Felügyeleti Hatósága) a hatáskörrel rendelkező hatóság.

Mennyi idő alatt bevezethető a NIS2 megfelelőség egy KKV-nál?

Egy közepes KKV (50–150 fő) esetén 8–14 hét reális keret a gap-elemzéstől a bevezethető szintű kontroll-keretig. Banki, energetikai vagy kritikus infrastruktúra esetén 6–9 hónap. A teljes ISMS (Information Security Management System) érettségi szint elérése (ISO 27001-tel kombinálva) 12–18 hónap. A gyakorlatban érdemes az első 12 hétben a 14 területű minimum-keretet lerakni, majd inkrementálisan fejleszteni.

Mibe kerül a NIS2 bevezetés egy KKV-nak?

Indikatív keretek: gap-elemzés + dokumentációs keret 800 e – 1.8 M Ft egyszeri; tanácsadás + bevezetés-támogatás 2.4–6 M Ft egyszeri (vállalat méretétől függően); folyamatos compliance-üzemeltetés (havi review, incidens-protokoll, audit-felkészülés) 120–280 e Ft/hó. Ehhez jönnek a technológiai költségek (MFA, EDR, SIEM/log-aggregátor, backup-upgrade) — ezek 600 e – 4 M Ft tartományban változnak a meglévő stack érettségétől függően. Ezek magyar piaci nagyságrendek; mi felmérés után, a ti hatókörötökre szabott ajánlatot adunk, az aktuális akcióinkat is beszámítva.

Mi a különbség a NIS2 és az ISO 27001 között?

A NIS2 jogszabályi kötelezés (EU irányelv + magyar Kiberbiztonsági tv.) a kockázatkezelési intézkedéseket előírja (21. cikk: 10 minimum-terület, amelyet mi 14 gyakorlati területre bontunk), de a HOGYAN-t nyitva hagyja. Az ISO 27001 egy önkéntes, nemzetközi szabvány, amely 93 részletes kontrollra (Annex A) bontja le ugyanezeket a területeket, és tanúsítható. Aki ISO 27001-szerint működik, az NIS2 előírásokat ~80%-ban automatikusan teljesíti — a maradék 20% az incidensbejelentési határidő (24 / 72 óra), a felső vezetői felelősség, és a beszállítói lánc-követelmény. ISO 27001 tanúsítvány nem helyettesíti a NIS2 hatósági regisztrációt.

14Konzultáció

Ha NIS2 gap-elemzésre vagy bevezetésre van szükséged, írj nekünk — munkanapokon 24 órán belül válaszolunk. Egy 30 perces ingyenes konzultáció után konkrét, számszerű ajánlatot adunk: méret, ágazati kontextus, határidő és költségkeret.

A bevezetést az Enterprise Architecture és 24/7 NOC szolgáltatásaink keretrendszerével támogatjuk — banki éles tapasztalatból, KKV-méretre szabva. 25+ év banki és nagyvállalati IT-integrátori háttér, ISO 27001-tanúsított belső folyamatok.

Ingyenes 30 perces konzultáció