Sok cégvezető úgy hallott először a NIS2 irányelvről, hogy jött egy e-mail: „Önök érintettek, regisztráljanak.” Aztán jött a második: „auditálni kell.” A harmadik pedig már egy ajánlat volt, hatszámjegyű összeggel.
Nézzük meg józanul, mi ez, kire vonatkozik valójában, és mi az, amit tényleg meg kell csinálni.
Mi az a NIS2, és mit akar?
Uniós irányelv, amely egységes kiberbiztonsági minimumot ír elő a kritikus ágazatokban. Az Európai Bizottság összefoglalója szerint 18 ágazatra terjed ki: az energiától és a közlekedéstől az egészségügyön és a vízgazdálkodáson át a digitális infrastruktúráig, a postai és futárszolgáltatásokig, a közigazgatásig és a gyártásig.
Három dolgot vár el: kockázatkezelési intézkedéseket, a jelentős biztonsági események bejelentését a hatóságnak, és – ez a legkellemetlenebb rész – a felső vezetés személyes felelősségét a megfelelésért.
Kire vonatkozik a NIS2?
A fő szabály szerint a felsorolt ágazatokban működő közepes és nagy szervezetekre. Vagyis nem minden cégre – de többre, mint amennyien gondolják, mert a beszállítói láncon keresztül közvetetten a kisebbeket is eléri.
Ez az a pont, ahol a legtöbb félreértés keletkezik. Ha a céged nem érintett közvetlenül, attól még egy érintett megrendelő elvárhatja tőled szerződésben ugyanazokat a garanciákat. A gyakorlatban tehát a kérdés nem az, hogy „kötelező-e”, hanem az, hogy „kérni fogják-e”.
Jó hír a kisebbeknek: a Bizottság 2026 januárjában célzott módosításokat javasolt, amelyek több tízezer cég – köztük mikro- és kisvállalkozások – adminisztrációs terhén könnyítenének.
Mi a helyzet Magyarországon?
A hazai végrehajtást a Szabályozott Tevékenységek Felügyeleti Hatósága felügyeli. Az SZTFH tájékoztatása szerint az auditkötelezett szervezeteknek 2026. június 30-ig kellett elvégeztetniük a kiberbiztonsági auditot, és a hatóság szerint az érintettek túlnyomó része határidőre teljesített.
A hatóság emellett nyilvántartásokat vezet a megfelelőségértékelő szervezetekről és az auditorokról, valamint kkv-knak szóló ismeretterjesztő programot is indított. Ha bizonytalan vagy az érintettségben, itt érdemes kezdeni – nem egy tanácsadói hideghívásnál.
Amit a NIS2 nélkül is érdemes megcsinálni
A követelmények nagy része olyasmi, ami minden cégnek használ. Öt lépés, ami a legtöbbet adja:
- Eszköz- és hozzáférés-nyilvántartás. Ki milyen géppel és milyen fiókkal dolgozik. Enélkül semmilyen incidens nem kezelhető.
- Kétlépcsős azonosítás mindenhol, ahol lehet – erről a jelszókezelésről szóló cikkünkben írtunk.
- Működő, tesztelt mentés. A mentés akkor ér valamit, ha a visszaállítást is kipróbáltátok – lásd a 3-2-1 szabályt.
- Incidenskezelési eljárás. Fél oldal arról, ki dönt, ki értesít, ki beszél az ügyfelekkel.
- Beszállítói átvilágítás. A támadások jelentős része partneren keresztül érkezik – ahogy a számlás csalásnál is láttuk.
Mire figyelj a NIS2-ajánlatoknál?
A szabályozás körül felfutott egy piac, és nem minden szereplő korrekt. Néhány jel, amire érdemes figyelni:
- „Ön kötelezett” – bizonyíték nélkül. Kérd, hogy mutassa meg, melyik ágazati besorolás alapján.
- Csomagár konzultáció nélkül. Az érintettség és a szükséges intézkedések cégenként eltérnek.
- Audit és tanácsadás egy kézben. Érdemes szétválasztani, ki javasol és ki ellenőriz.
- Határidős pánik. A hatósági határidők nyilvánosak, ellenőrizhetők.
Három gyakori kérdés
Bírságolható a vezető személyesen?
Az irányelv a felső vezetés felelősségét kifejezetten nevesíti. A konkrét szankciókat a tagállami jog rendezi, ezért ebben érdemes szakjogászt kérdezni.
Elég egy tanúsítvány?
A papír önmagában nem véd meg. A NIS2 folyamatokat vár el: kockázatkezelést, bejelentést, felülvizsgálatot – nem egyszeri állapotot.
Mi számít jelentős incidensnek?
Nagy vonalakban az, ami komoly működési zavart vagy kárt okoz. A pontos küszöböket a hazai szabályozás és a hatósági útmutatók rögzítik.
A lényeg
A NIS2 nem egy termék, amit meg lehet venni, hanem működési igény: legyen rálátásod arra, mid van, ki fér hozzá, mi történik baj esetén.
Ha nem vagy biztos az érintettségben, kezdd a hatóság tájékoztatóival, és csak utána kérj ajánlatot. Az alapokat – nyilvántartás, kétlépcsős azonosítás, tesztelt mentés – pedig érdemes megcsinálni akkor is, ha kiderül, hogy nem vagy kötelezett.
Ez a cikk tájékoztató jellegű, nem jogi tanácsadás.
A Pixela Internet Kft. 2008 óta foglalkozik webfejlesztéssel, üzemeltetéssel és rendszergazdai szolgáltatásokkal. Ha a céges hozzáférések, mentések és eszköznyilvántartás rendbetételével kezdenéd, keress minket.