NIS2 érthetően: kiket érint valójában, és miért nem érdemes pánikolni?

Utoljára frissítve: 2026-06-15  |  Olvasási idő: kb. 14 perc

A NIS2 nem egy minden vállalkozást fenyegető büntetési csomag, hanem egy kiberbiztonsági megfelelési keretrendszer azoknak a szervezeteknek, amelyek méretük, ágazatuk vagy szolgáltatásuk miatt nagyobb társadalmi vagy gazdasági kockázatot hordoznak. Ebben a cikkben tisztán, riogatás nélkül megmutatjuk, kit érint valójában, mi a 2026-os magyar határidő, és miért nem hátrány, ha a szoftverbeszerzésed ráadásként öt további nemzetközi keretrendszernek is megfelel.

Miért lett ennyi zaj a NIS2 körül?

A szabályozás körüli pánik nagyrészt félrekommunikációból ered, nem a szabályozás valódi tartalmából. Sok cég csak annyit hall: „NIS2, audit, bírság, kötelezettség”, és ebből azt szűri le, hogy holnaptól mindenkit büntetnek. Ez félrevezető, mert a szabályozás nem minden kisvállalkozásra vonatkozik, hanem egy pontosan meghatározott szervezeti körre.

A piacon több szereplő is a félelemre épít. Minél nagyobb a bizonytalanság, annál könnyebb gyorsan eladni egy auditcsomagot vagy egy „mindenre jó” megoldást. Mi a másik utat választjuk: elmagyarázzuk, hogyan működik a rendszer, és te magad döntöd el, hogy érint-e.

Mi az a NIS2 pontosan?

Ez a hálózati és információs rendszerek biztonságáról szóló második uniós irányelv, amely a korábbi NIS1 szabályozást váltja fel és jelentősen kibővíti. Az Európai Bizottság leírása szerint 18 ágazatban hoz létre közös jogi keretet, hogy a digitális és fizikai infrastruktúra ellenállóbb legyen a kibertámadásokkal szemben.

A bővülés mértéke jól mutatja a léptéket. Becslések szerint az irányelv nagyjából 160 000 szervezetet von hatálya alá az EU-ban, szemben a NIS1 körülbelül 15 000 érintettjével. Ez közel tízszeres növekedés, ami érthetővé teszi, hogy miért beszél róla mindenki, és miért keletkezik közben sok félreértés is.

A lényeg viszont egyszerű. A szabályozás nem azt mondja meg, milyen szoftvert vegyél, hanem azt, milyen eredményt kell elérned: ismerd a kockázataidat, kezeld őket arányosan, jelentsd az incidenseket időben, és a vezetőség vállaljon felelősséget a kiberbiztonságért.

Kikre vonatkozik valójában a NIS2?

A szabályozás az ágazat és a méret kombinációja alapján sorolja be a szervezeteket. Az érintetteket két csoportra osztja: alapvető (essential) és fontos (important) szervezetekre. A besorolás dönti el, milyen szigorú felügyelet alá esel, és mekkora bírság fenyeget.

Kiemelten kockázatos ágazatok (alapvető szervezetek)

A magyar Kiberbiztonsági törvény 2. melléklete sorolja fel a kiemelten kockázatos ágazatokat. Ezek jellemzően a társadalom alapműködéséhez köthetők:

• energia, közlekedés, egészségügy
• ivóvíz és szennyvíz, hírközlés
• digitális infrastruktúra, felhőszolgáltatás, adatközpont, DNS-szolgáltatás
• kihelyezett vagy irányított IKT-szolgáltatás, irányított kiberbiztonsági szolgáltatás

Kockázatos ágazatok (fontos szervezetek)

A 3. melléklet a kockázatos ágazatokat tartalmazza. Ezek is fontosak, de a felügyelet jellemzően reaktívabb:

• postai és futárszolgálatok, hulladékgazdálkodás
• élelmiszer előállítása, feldolgozása, nagykereskedelme
• vegyszerek előállítása és forgalmazása, több gyártási terület
• online piacterek, keresőszolgáltatók, közösségi média platformok
• domainnév-regisztráció, kutatóhelyek

A méretküszöb

Az ágazat önmagában nem elég, a méret is számít. A főszabály az uniós kkv-definíciót követi. A magyar szabályozás szerint érintettséget jelenthet, ha a szervezet középvállalkozásnak minősül, vagyis eléri az 50 főt, vagy a 10 millió eurónak megfelelő éves árbevételi és mérlegfőösszeg-küszöböt.

Mikor lehet egy kisebb cég is érintett?

Egy kisebb cég is lehet NIS2-köteles a mérete ellenére, ha kifejezetten nevesített, kritikus digitális szolgáltatást nyújt. A szabályozás itt szándékosan eltér a méretküszöbtől, mert ezek a szereplők akkor is rendszerszintű kockázatot hordoznak, ha kicsik.

Mérettől függetlenül érintett lehet például:

• elektronikus hírközlési szolgáltató
• bizalmi szolgáltató (trust service provider)
• DNS-szolgáltató
• legfelső szintű doménnév-nyilvántartó (TLD registry)
• domainnév-regisztrációt végző szolgáltató

Ha ezek közül egyik sem te vagy, a méreted komoly tényező marad a besorolásnál. Ezért nem igaz az az állítás, hogy „minden cégnek NIS2-auditra van szüksége”.

Kiket nem kell feleslegesen riogatni?

Ez talán a cikk legfontosabb része, mert itt a legtöbb a félreértés. Ha van egy kis online boltod vagy egy néhány fős szolgáltató céged, a puszta digitális jelenlét nem tesz kötelezetté. A jogszabály nem a honlapot bünteti, hanem a kritikus szolgáltatások biztonságát kéri számon.

A pontos érintettséghez mindig négy dolgot érdemes végignézned:

1. Beletartozol-e a törvényi mellékletek szerinti ágazatba?
2. Eléred-e a méretküszöböt?
3. Nyújtasz-e külön nevesített digitális vagy infrastruktúra jellegű szolgáltatást?
4. Azonosított-e a hatóság külön alapvető vagy fontos szervezetként?

Ha mind a négyre nem a válasz, akkor nagy valószínűséggel nem vagy közvetlen kötelezett. Ez nem jelenti azt, hogy a kiberbiztonság nem fontos neked, csak azt, hogy nem fenyeget hatósági audit és bírság ezen a jogcímen.

Mi a magyar határidő, és mi a tét?

A legfontosabb magyar dátum 2026. június 30. A Kiberbiztonsági törvény alapján auditra kötelezett, és 2025. január 1. előtt működő szervezeteknek eddig kell teljesíteniük az első kiberbiztonsági auditot. Aki 2025. január 1. után kezdte a működését, az a nyilvántartásba vételtől számított két éven belül köteles ezt elvégeztetni.

Volt egy korábbi mérföldkő is. Az érintett cégeknek 2025. augusztus 31-ig kellett SZTFH-nyilvántartott auditorral szerződniük, hogy az auditor időben le tudja bonyolítani a vizsgálatot. A szerződéskötés elmulasztása önmagában is mulasztásnak számít.

A tét valós, de arányos. A kiberbiztonsági audit határidőn belüli elmulasztása a magyar szabályok szerint 1 000 000 Ft és 150 000 000 Ft közötti bírságot vonhat maga után. Uniós szinten az alapvető szervezeteknél a bírság elérheti a 10 millió eurót vagy a globális éves árbevétel 2 százalékát, a fontos szervezeteknél a 7 millió eurót vagy az árbevétel 1,4 százalékát.

Miért fontos akkor is, ha nem vagy érintett?

A NIS2 a beszállítói láncon keresztül akkor is hatással lehet rád, ha nem vagy közvetlen kötelezett. Az irányelv 21. cikke kifejezetten nevesíti a beszállítói lánc biztonságát mint kockázatkezelési követelményt. Ez azt jelenti, hogy a kötelezett cégeknek vizsgálniuk kell a közvetlen beszállítóik és szolgáltatóik kiberbiztonsági gyakorlatát.

A gyakorlatban ez egy fontos következménnyel jár. Ha egy kórháznak, energiacégnek vagy nagyobb vállalatnak szállítasz terméket vagy szolgáltatást, a partnered elvárhatja tőled az alapvető kiberbiztonsági rendezettséget, akkor is, ha te magad nem esel a közvetlen hatálya alá. A megfelelés így versenyelőnnyé válik, nem csak kötelezettséggé.

Ezért érdemes a kiberbiztonságra nem fenyegetésként, hanem üzleti alapfeltételként tekinteni. A nagyobb cégek 2026-ban egyre tudatosabban válogatják meg a partnereiket, és a rendezett szoftverkörnyezet ebben egy konkrét, ellenőrizhető jel.

Hogyan kapcsolódik a szoftverlicenc a NIS2-höz?

A szoftverlicenc közvetlenül kapcsolódik a szabályozáshoz, mert a 21. cikk a hálózati és információs rendszerek beszerzését, fejlesztését és karbantartását is a kockázatkezelési intézkedések közé sorolja. Ide tartozik a sebezhetőségek kezelése és a frissítések biztosítása is. Egy szoftver, amelyhez nem jár igazolható licenc és garantált frissítés, pontosan ezen a ponton bukik el.

Gondolj bele a következőbe. Ha egy audit során meg kell mutatnod, hogy a használt szoftvereid jogtiszták, frissíthetők és nyomon követhetők, akkor a kérdés nem az, hogy „van-e kulcsod”, hanem az, hogy „bizonyítani tudod-e az eredetet”. Itt válik el a dokumentált beszerzés a szürke csatornától.

A jogszerű, használt szoftverlicencek továbbértékesítése az EU-ban nem szürke zóna. Az Európai Unió Bírósága a UsedSoft kontra Oracle ügyben (C-128/11) kimondta, hogy a jogszerűen megszerzett szoftverlicencek tovább értékesíthetők az EGT-n belül. A kulcskérdés nem az, hogy új vagy használt a licenc, hanem az, hogy teljes és ellenőrizhető dokumentációs lánc tartozik-e hozzá.

Ezért fontos, hogy a beszerzéshez ne csak egy kulcs, hanem teljes papírnyom is tartozzon: eredetigazolás, számlalánc, átruházási nyilatkozat és jogi garancia. Ez az, ami egy auditon bizonyít, nem a marketingszöveg.

NIS2 plusz 5 keretrendszer: miért előny, nem teher?

A keretrendszerek nem versengenek egymással, hanem rétegződnek. Az irányelv a kiberbiztonsági kockázatkezelést írja elő, a többi keret pedig más szögből nézi ugyanazt a rendezettséget. Aki egyszer rendben tartja a szoftverbeszerzését, az egyszerre több követelménynek is megfelel. Nézzük végig, melyik mit ad hozzá.

ISO (27001 és 19770): információbiztonság és szoftvervagyon-kezelés

Az ISO/IEC 27001 az információbiztonsági irányítási rendszer (ISMS) nemzetközi szabványa. A NIS2 21. cikkének intézkedései jelentős átfedésben vannak a 27001:2022 mellékletének kontrolljaival, ezért aki már ISO 27001 szerint működik, annak a követelmények nagy részét is teljesíti.

Az ISO/IEC 19770 a szoftver- és IT-vagyon kezelésére (ITAM és SAM) vonatkozik. Kifejezetten arról szól, hogy a szoftvereszközökről auditnyom maradjon: ki, mikor, milyen verziót és milyen jogosultsággal használ. Ez a szabvány a 27001-gyel együtt is bevezethető, és pontosan a licenc-megfelelést teszi ellenőrizhetővé.

GDPR: adatvédelem és felelős adatkezelés

A GDPR az EU általános adatvédelmi rendelete, amely a személyes adatok kezelésének szabályait írja elő. A kapcsolat a szoftverrel egyértelmű: a személyes adatokat kezelő rendszereknek frissítettnek, biztonságosnak és nyomon követhetőnek kell lenniük. Egy nem támogatott, frissítés nélküli szoftver adatvédelmi kockázat is, nem csak kiberbiztonsági.

SOX: pénzügyi beszámolók integritása és IT-kontrollok

A SOX (Sarbanes-Oxley Act) elsősorban a tőzsdén jegyzett és amerikai kapcsolt vállalkozásokat érinti, és a pénzügyi beszámolók megbízhatóságát védi. Az úgynevezett IT general controls (ITGC) keretében elvárás a változáskezelés, a hozzáférés-kezelés és az auditnaplók nyomon követése. A licencelt, dokumentált szoftverkörnyezet ezeknek a kontrolloknak a stabil alapja.

ITIL4: szolgáltatásmenedzsment és eszközkezelés

Az ITIL4 az IT-szolgáltatásmenedzsment legelterjedtebb gyakorlati kerete. Külön gyakorlatként kezeli az IT-eszközkezelést, amelybe a szoftverlicencek nyilvántartása és életciklus-kezelése is beletartozik. Az ITIL4 logikája szerint a szoftver nem egyszeri vásárlás, hanem kezelendő eszköz, amelynek ismert az állapota és a jogcíme.

COBIT: IT-irányítás és kontrollcélok

A COBIT az ISACA IT-irányítási kerete, amely magas szintű kontrollcélokat fordít le konkrét folyamatokra. Sok cég a SOX IT-kontrolljait is COBIT-alapon építi fel, például a hozzáférés-kezelést és a változáskezelést. A COBIT szemszögéből a szoftvereszköz egy irányítandó erőforrás, amelyhez tiszta felelősség és nyomon követhetőség tartozik.

Mit tegyél most? Józan alapok

A teendő nem a pánik, hanem a felmérés. Először tisztázd, hogy egyáltalán érintett vagy-e a szabályozás hatálya alatt. Ha érintett vagy, a határidők és az auditor kiválasztása az első lépés. Ha nem vagy érintett, a kiberbiztonsági alapok rendbetétele akkor is megéri, mert a beszállítói lánc és a partnerek elvárásai egyre szigorodnak 2026-ban.

Egy kisebb cégnek nem teljes NIS2-auditban kell gondolkodnia, hanem az alapokban:

• frissített, támogatott rendszerek és szoftverek
• erős jelszavak és kétfaktoros azonosítás
• jogosultságkezelés és rendszeres biztonsági mentés
• egyszerű incidenskezelési alapfolyamat
• megbízható, dokumentált forrásból származó szoftverek és szolgáltatók

A szabályozás iránya egyértelmű: a kiberbiztonság már nem informatikai extra, hanem üzleti minimumfeltétel. A jó hír, hogy a rendezett szoftverbeszerzéssel egyszerre teszel jót a megfelelésnek és a saját nyugalmadnak.