„A magyar NIS2⁠-⁠audit kész.” Amit a csoportközpontnak még meg kell kérdeznie

Egy vállalatcsoport jogi igazgatója hírt kap Budapestről: „A NIS2-audit kész.” Bármilyen megnyugtatóan hangzik, nem válaszolja meg a lényeges kérdéseket: pontosan mit auditáltak, mit talált az auditor, mit vállalt a vezetés, és ki viseli a költségeket?

A NIS2, az Európai Unió kiberbiztonsági irányelve, messze túlnyúlik az erőműveken és a távközlési cégeken: több ezer hétköznapi vállalatot kötelez, a gyártóktól az informatikai szolgáltatókig, hogy közös biztonsági követelményeknek feleljen meg, mindegyik tagállam saját nemzeti joga szerint. Magyarország eddig a legtöbb tagállamnál tovább ment: a hatály alá tartozó cégeknek 2026. június 30-ig kötelező külső auditon kellett igazolniuk a kiberbiztonságukat.

Nem minden magyar leányvállalat tud ilyen üzenetet küldeni. Egyesek regisztráltak a hatóságnál, de lekésték a határidőt; mások meg sem jelentek a csoport megfelelési nyilvántartásában, mert egykor tévesen azt gondolták, hogy az 50 főnél kisebb helyi létszám mentességet ad. A három akta három különböző választ kíván: a megállapítások áttekintését, helyreállítási tervet vagy a hatály felmérését. A jogi kötelezettség azonban mindhárom esetben a magyar társaságot terheli, miközben a rendszerek, a bizonyítékok és a költségkeret gyakran Európa más pontjain vannak.

Nincs egyablakos ügyintézés: a leányvállalat már késésben lehet, amikor a központ még készül

A NIS2-irányelv közös minimumot teremtett, nem egységes menetrendet. A GDPR-ral ellentétben nincs általános egyablakos mechanizmusa: egyes digitális szolgáltatók szűk kivételével minden vállalat annak az országnak a hatóságához tartozik, ahol letelepedett. 2026. július 8-án, nyolc nappal a magyar határidő után, az Európai Bizottság közölte, hogy Franciaország, Írország, Spanyolország és Hollandia még nem ültette át teljesen az irányelvet a nemzeti jogába. Egy magyar leányvállalat tehát már jogsértésben lehet, miközben a csoport anyaországa még a saját törvényét írja.

Amit Magyarország hozzátesz a NIS2-höz

Az audit csak a leglátványosabb magyar többlet. A kiberbiztonsági törvény és végrehajtási rendeletei olyan réteget tesznek rá, amilyet a legtöbb tagállam nem ír elő:

• A regisztráció és a hatósággal való teljes kapcsolattartás egy erre szolgáló kormányzati elektronikus felületen zajlik.
• Minden hatály alá tartozó rendszert alap, jelentős vagy magas biztonsági osztályba kell sorolni.
• Kötelező a kijelölt információbiztonsági felelős, évi 20 óra tanúsított képzéssel.
• A vezetői felelősség személyes; az alapvető szervezeteknél tartós mulasztás esetén a törvény lehetővé teszi a vezető eltiltásának kezdeményezését.
• A beszállítói szerződésekben kötelezőek a kiberbiztonsági kikötések, így ez beszerzési feladat is.
• Kiszervezett incidenskezelést csak nyilvántartott szolgáltatói körből lehet igénybe venni, a törvényi kötelezettségekkel a szerződésben.
• Az audit kétévente megismétlődik, és az auditor közvetlenül a hatóságnak jelent, magyarul.

Az informatika, a HR, a beszerzés, a pénzügy és a helyi ügyvezető e lista egy-egy darabját tartja a kezében; egyetlen asztalról nem zárható le.

Mit mondanak a június 30-i számok

A Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) közlése szerint a 2520 regisztrált, auditra kötelezett szervezetből 2132, vagyis nagyjából 85% teljesített határidőben; a nem regisztrált szervezeteket a hatóság közhiteles nyilvántartásokból azonosítja. A június 30-i határidő a már 2025 előtt is működő cégekre vonatkozott; egy újabb cég a saját indulásától számol: 30 nap a regisztrációra, 120 nap az auditorral való szerződéskötésre és két év az első auditra. Egy régebbi cég, amely későn jelentkezik, egyszerűen késésben van.

A soha fel nem mért leányvállalat azért sikkad el könnyen, mert a helyi létszám nem megbízható hatályteszt. A magyar szabályozás a tényleges tevékenységet méretbeli és pénzügyi feltételekkel kombinálja, egyes szolgáltatókra mérettől függetlenül kiterjed, és a kkv-törvény alapján a partner-⁠ és kapcsolódó vállalkozások adatait is beszámíthatja. A hatóság a cégjegyzéket is átvizsgálja, így egy rég nem gyakorolt, de bejegyzett tevékenységi kör is a látókörébe hozhat egy társaságot; a valóságot már nem tükröző tevékenységi köröket érdemes törölni.

A meglepetések a csoporton belüli szolgáltatásokból jönnek. Sok magyar leányvállalat a csoport szolgáltató-⁠ vagy informatikai központjaként működik, és a törvény nem kérdezi, hogy a megrendelő kapcsolt vállalkozás vagy harmadik fél: a csoporton belül nyújtott informatikai szolgáltatás önmagában is hatály alá tartozó tevékenység lehet, és egyes IKT-szolgáltatói kategóriák mérettől függetlenül alkalmazandók.

„Az audit kész” nem azt jelenti, hogy minden rendben van

Az auditjelentés hatósági irat, nem a projektet lezáró tanúsítvány. Maga a NIS2 nem ír elő ismétlődő külső auditot, Magyarország viszont kétévente megköveteli: az írás tárgyát képező hétköznapi magáncégeknél szűk kivételekkel ez a főszabály.

Az auditor minden rendszer biztonsági osztályba sorolását ellenőrzi, és a rendszerek legalább felében teszteli a védelmi intézkedéseket, magasabb osztályoknál nagyobb mintával; hiányzó bizonyíték vagy tesztelési hozzáférés esetén a követelmény akkor is nem megfelelő minősítést kap, ha maga az intézkedés működik. A magyar nyelvű jelentést nem a cég, hanem az auditor küldi meg hét napon belül az SZTFH-nak; a bizonyítékokat öt évig meg kell őrizni, a nem megfelelt rendszerek pedig a következő mintába visszakerülnek.

A keret ismerős lesz: a kötelező intézkedéskatalógust a 7/2024. (VI. 24.) MK rendelet tartalmazza, amely a Nemzeti Kibervédelmi Intézet szerint a NIST SP 800-53 Rev. 5 kiadványra épül, az auditmódszertan pedig az SP 800-53A Rev. 5 kiadványra. Egy csoportszintű NIST-, ISO/IEC 27001-⁠ vagy TISAX-program gyorsítja a megfeleltetést, de nem pótolja a magyar biztonsági osztályba sorolást és bizonyítékokat; mindenekelőtt pedig nem mentesít a kötelező audit alól.

A teljesítés keveset mond az eredményről. Az 1511 feldolgozott jelentés közül nagyjából minden kilencedik kapta a legjobb minősítést, amely elhanyagolható kockázat mellett állapít meg megfelelést. A többi nem feltétlenül bukás: az SZTFH szerint a feldolgozott jelentések alapján a szervezetek túlnyomó többsége sikeresen teljesítette a követelményeket, a minősítések megoszlását azonban nem közölte. Az igazi kérdés az, mit talált a jelentés, ki felel az egyes megállapításokért, milyen forrás tartozik hozzájuk, és mi bizonyítja majd a lezárásukat.

A kötelezettség a magyar társaságé. A választ a központ tartja a kezében

Előfordulhat, hogy egy leányvállalatnak nincs helyi adatközpontja, biztonsági műveleti központja, sőt jogosultsága sincs a csoportszintű ERP módosítására. Ez nem kevesebb, hanem több figyelmet kíván a központtól: az SZTFH megerősíti, hogy az audit akkor is kötelező maradhat, ha az összes informatikát az anyavállalat biztosítja.

A választóvonal a rendelkezési jog, nem a fizikai hely. Ha a társaság egy rendszer vagy annak egy rétege felett rendelkezik, például a helyi konfiguráció vagy a hozzáférések felett, akkor ez az elem önálló biztonsági osztályba sorolást és auditot igényelhet; egy csupán csoportszolgáltatásként igénybe vett platformot önmagában nem auditálnak, a társaság erre vonatkozó szabályzatait, szerződéseit és felügyeletét viszont igen, és a helyi vezetés felelős marad.

A bizonyíték még ezen a határon belül is gyakran épp ott van, ahol a kötelezettség nincs: az identitásbeállítások Londonban, a hozzáférés-felülvizsgálatok Amszterdamban, a felhőszolgáltatói igazolások Párizsban. Ahol a bizonyíték nem állítható elő vagy nem tesztelhető, a követelmény nem megfelelő minősítést kap, ezért a szerződéseknek biztosítaniuk kell a bizonyítékokhoz való hozzáférést, a tesztelést, az eszkalációt, a hibák javítását és a kilépést. A lezáráshoz így is kellhet platformváltás, a csoporton belüli szerződés módosítása vagy csoportszintű költségkeret.

Az incidensek ugyanezt a rést mutatják meg. Egy bejelentendő incidens a magyar incidensszabályok szerint azonnal elindítja a határidőket: első bejelentés a tudomásszerzéstől számított 24 órán belül, részletesebb bejelentés 72 órán belül, általában egy hónapon belül zárójelentés, jelentős esetben pedig azonnali telefonos bejelentés. A lassú csoportszintű eszkaláció önmagában felemésztheti az első határidőt.

Az auditor számlája csak az első költség

A fő auditköteles kategóriákban az audit határidejének elmulasztása 1 millió forinttól az előző évi nettó árbevétel 2%-áig terjedő bírsággal járhat, legfeljebb 150 millió forintig; a regisztráció teljes elmulasztásánál a bírság 0,5%-tól indul, ugyanazzal az alsó és felső határral. Magának az auditdíjnak képlettel számított felső határa van, legfeljebb 140 millió forint, ami plafon, nem árajánlat, és erre jön még a társaságonként évente legfeljebb 10 millió forintos kiberbiztonsági felügyeleti díj.

Egy határidő a felső vezetés figyelmét is megérdemli. A képzési rendelet szerint a 2025. december 31. előtt kinevezett első számú vezetőnek, jellemzően a magyar leányvállalat ügyvezetőjének, általában 2026. december 31-ig nyolcórás kiberbiztonsági képzést kell elvégeznie, utána évente négy órát; az információbiztonsági felelősnek legalább három tárgykörben összesen 20 órát. Mentesség hiányában bizonyítékként csak az előírt tanúsítvány fogadható el.

Nyolc válasz, amelyet a központnak érdemes tíz munkanapon belül bekérnie

Minden, valószínűleg hatály alá tartozó magyar társaságról nyolc keltezett válasszal érdemes rendelkeznie a központnak:

1. Miért tartozik a társaság a hatály alá, vagy miért nem, és milyen tevékenységi, tulajdonosi és pénzügyi adatok támasztják alá a következtetést?
2. Melyik határidő vonatkozott rá, és egyeznek-e a regisztrációs és az auditori nyilvántartások a társaság történetével?
3. Mire terjedt ki az audit, mire jutott, és mikor érkezett meg a jelentés az SZTFH-hoz?
4. Mely megállapítások vannak még nyitva, ki felel értük, milyen forrást hagytak jóvá, és mi bizonyítja majd a lezárásukat?
5. Mely csoportszintű csapatok és szolgáltatók rendelkeznek a megállapítások lezárásához szükséges rendszerek vagy bizonyítékok felett?
6. Eljutnak-e az ellenőrzött tények időben a magyar döntéshozóhoz a 24 és a 72 órás bejelentésekhez?
7. Dokumentálva van-e a felügyeleti díj, a következő audit időpontja, a kötelező kijelölések és a képzési tanúsítványok?
8. Érti-e a helyi vezetés, hogy a felelősség személyes, és tudja-e a beszerzés, mely kikötéseknek kell minden új szerződésben szerepelniük?

A három akta három különböző probléma ugyanazzal az utolsó lépéssel: a magyar aktát össze kell kötni azokkal, akik a rendszerek, a szerződések, a bizonyítékok és a költségkeret felett rendelkeznek. A tíz munkanap vezetési mérce, nem törvényi határidő. Ha a válaszok ennyi idő alatt nem állnak össze, a legfontosabb megállapítás egyetlen auditjelentésben sem fog szerepelni: a felelősségi rés a magyar társaság és a csoport között. Addig a leányvállalat nem kaphat zöld jelzést.

Ezt a megállapítást kedvezőbben is lehet olvasni. Magyarország egyszerűen elsőként érkezett oda, ahová minden tagállam tart: egy olyan felügyelethez, amely bizonyítékot kér, nem megnyugtatást. Az a csoport, amely a magyar aktát helyi kellemetlenségként kezeli, országról országra ugyanazokkal a megállapításokkal fog találkozni. Az a csoport viszont, amely európai programja első, teljes körű próbájaként kezeli, már bizonyítékból válaszol majd, Magyarországon, és utána mindenütt máshol is.

Állapot 2026. augusztus 13-án: a számok, a határidők és a hivatkozott közlések ezt az állapotot tükrözik; idézés előtt érdemes ellenőrizni őket.