NIS2 hatálya IT-szolgáltatóknál: mikor érintett maga a szolgáltató?

Egy ügyfél kiberbiztonsági kérdőívet küld, auditálási jogot kér, vagy NIS2-megfelelést ír elő a szerződésben. Ilyenkor sok IT-cégvezető két kérdést tesz fel egyszerre: ránk is vonatkozik a törvény? és mit kell most tennünk?

Ez a cikk erre a két kérdésre segít választ találni. Végigvesszük:

1. mi a NIS2, és hogyan lett belőle magyar törvény;
2. mikortól mi lépett hatályba;
3. melyek azok a pontok, amelyeken eldől, hogy egy IT-szolgáltató maga is a törvény hatálya alá tartozik-e, és mi következik az egyes válaszokból;
4. milyen eredményre juthat egy előzetes vizsgálat, és melyik eredménynél nagyjából milyen teendőkre kell számítani;
5. mikor érdemes külső szakértőhöz fordulni, és kihez.

A cikk a hatályos jogszabályokra hivatkozik, de nem helyettesíti az egyedi jogi értékelést: a végső választ mindig a konkrét cég, a ténylegesen nyújtott szolgáltatás és a vizsgálat napján hatályos szöveg együtt adja meg.

Kinek szól ez a cikk? Egy „átlagos”, magántulajdonú magyar IT-vállalkozásnak: rendszerüzemeltetőnek, fejlesztőnek, felhő- vagy hosztingszolgáltatónak, biztonsági szolgáltatónak. A Kiberbiztonsági törvény más szervezeti köröket is a hatálya alá von, és azokra részben eltérő, szigorúbb szabályok vonatkoznak: a közigazgatási szervekre (1. § (1) a) pont), a többségi állami befolyás alatt álló gazdálkodó szervezetekre (1. § (1) b) pont) és a honvédelmi érdekhez kapcsolódó tevékenységet folytató gazdasági társaságokra (1. § (1) f) pont). Ezekkel a cikk nem foglalkozik. Ha a céged ezek közé tartozik, a lenti útmutató nem elegendő, kérj szakértői véleményt.

Röviden: miről szól ez a szabályozás?

A NIS2 az Európai Unió kiberbiztonsági irányelve, hivatalos nevén az (EU) 2022/2555 irányelv. Azt írja elő, hogy a gazdaság és a társadalom szempontjából fontos ágazatokban működő szervezetek kezeljék a kiberbiztonsági kockázataikat, és a jelentős incidenseket jelentsék a hatóságnak. Az irányelv a korábbi, 2016-os NIS-irányelvet váltotta fel, és annál jóval több ágazatra és szervezetre terjed ki. Bevezette a felső vezetés felelősségét is a kockázatkezelési intézkedések betartásáért.

Az irányelv nem közvetlenül kötelezi a cégeket: a tagállamoknak kellett beépíteniük a saját jogukba. Magyarországon ezt a szerepet ma a 2024. évi LXIX. törvény Magyarország kiberbiztonságáról (a továbbiakban: Kiberbiztonsági törvény) tölti be. Ehhez kapcsolódik a végrehajtását részletező 418/2024. (XII. 23.) Korm. rendelet, valamint a törvény felhatalmazása alapján kiadott miniszteri és SZTFH-elnöki rendeletek (például a kockázatmenedzsment és a védelmi intézkedések részletszabályairól). Ezek aktuális listáját a Nemzeti Jogszabálytárban a Kiberbiztonsági törvényre hivatkozó jogszabályok között, illetve az SZTFH kiberbiztonsági felügyeleti oldalán találod.

Uniós szinten a digitális szolgáltatók egy részére közvetlenül alkalmazandó szabály is van: az (EU) 2024/2690 végrehajtási rendelet a kockázatkezelési intézkedések műszaki és módszertani követelményeit határozza meg, és pontosítja, mikor minősül egy biztonsági esemény jelentősnek. A rendelet a DNS-szolgáltatókra, a legfelső szintű doménnév-nyilvántartókra, a felhő-, adatközpont- és tartalomszolgáltató hálózati szolgáltatókra, az irányított szolgáltatókra és irányított biztonsági szolgáltatókra, az online piacterek, keresőprogramok és közösségimédia-platformok szolgáltatóira, valamint a bizalmi szolgáltatókra vonatkozik. Az uniós „irányított szolgáltató”, illetve „irányított biztonsági szolgáltató” (NIS2 6. cikk 39–40. pont) a magyar törvényben kihelyezett (irányított) infokommunikációs szolgáltatást nyújtó szolgáltatóként, illetve kihelyezett (irányított) infokommunikációs biztonsági szolgáltatást nyújtó szolgáltatóként szerepel. Ha tehát a magyar törvény szerint ilyen szolgáltató vagy, a végrehajtási rendelet követelményei is rád vonatkoznak.

Mit jelent ez egy IT-szolgáltatónak? Két, egymástól független hatás érheti:

• Közvetlen érintettség: a cég maga is a Kiberbiztonsági törvény hatálya alá tartozik. Ekkor nyilvántartásba vételi, kockázatkezelési, incidensbejelentési és auditálási kötelezettségei vannak a hatóság felé.
• Közvetett érintettség: a cég nem tartozik a törvény hatálya alá, de az ügyfele igen, és a törvény az ügyfélnek előírja, hogy a beszállítóival szerződésben rögzítse a biztonsági követelményeket. Ekkor a kötelezettségek az ügyfélszerződésből erednek, nem a hatóság felől.

A legtöbb kisebb IT-cég a második helyzettel találkozik először. Mindkét kérdést külön kell megvizsgálni, mert az egyikből nem következik a másik.

Idővonal: mikortól mi hatályos?

Ha a céged most kerül a törvény hatálya alá (például mert új szolgáltatást indítasz, vagy átlépted a méretküszöböt), a határidők nem a fenti naptári dátumokhoz, hanem a hatály alá kerülés napjához kötődnek. Ezeket lásd lent.

Mikor érintett maga az IT-szolgáltató? A sarkalatos pontok

A Kiberbiztonsági törvény hatálya egy átlagos IT-vállalkozásnál négy kérdésen dől el. Mindegyiknél leírjuk, miért számít, és mi következik belőle.

1. Mit nyújtasz ténylegesen?

Miért számít: a törvény nem „IT-cégekre” vonatkozik, hanem meghatározott szolgáltatástípusokra. A 2. melléklet („Kiemelten kockázatos ágazatokban működő szolgáltatók és szervezetek”) a digitális infrastruktúra és a kihelyezett IKT-szolgáltatások között a következőket nevesíti: felhőszolgáltató, adatközponti szolgáltatást nyújtó szolgáltató, legfelső szintű doménnév-nyilvántartó, DNS-szolgáltató, tartalomszolgáltató hálózat szolgáltatója, valamint a kihelyezett (irányított) infokommunikációs szolgáltatást nyújtó szolgáltató és a kihelyezett (irányított) infokommunikációs biztonsági szolgáltatást nyújtó szolgáltató. A 3. melléklet („Kockázatos ágazatokban működő szolgáltatók és szervezetek”) a digitális szolgáltatók között az online piactér, az online keresőprogram és a közösségimédia-platform szolgáltatóját, valamint a doménnév-regisztrációt végző szolgáltatót sorolja fel.

Egy IT-szolgáltatónál a leggyakoribb kérdés, hogy kihelyezett (irányított) infokommunikációs szolgáltatást nyújtó szolgáltatónak minősül-e. A törvény 4. § 53. pontja szerint ilyen az a szervezet, amely

• IKT-terméket, hálózatot, infrastruktúrát, alkalmazást vagy bármely más elektronikus információs rendszert érintően (a megcélzott rendszer),
• telepítéssel, kezeléssel, üzemeltetéssel vagy karbantartással kapcsolatos szolgáltatást nyújt (a szolgáltatás jellege),
• a szolgáltatást igénybe vevő telephelyén vagy távolról (a nyújtás módja).

Mindhárom feltételnek teljesülnie kell; az egyes feltételeken belül elég egy elem. A „biztonsági” változat (4. § 52. pont) ugyanez, kiegészítve azzal, hogy a szolgáltató a kiberbiztonsági kockázatok kezelését végzi, vagy azzal összefüggő szolgáltatást nyújt. A hatály szempontjából elegendő az 53. pont szerinti fogalmat vizsgálni, mert a törvény a kettőt mindig együtt kezeli.

Mi következik belőle: a szolgáltatás tartalma dönt, nem a neve. Egy fejlesztési vagy támogatási szerződés az első két feltételt jellemzően a természeténél fogva teljesíti, hiszen a felsorolt rendszerek valamelyikére irányul, és telepítést, kezelést vagy karbantartást is tartalmaz. Ezért náluk a döntő kérdés a harmadik: dolgozol-e az ügyfél telephelyén, vagy éred-e el távolról a rendszereit. Ha egyik sem történik, a szolgáltatás fogalmilag nem tartozik ide. Határeset, ha nincs közvetlen távoli hozzáférés, de telefonon vagy más módon beavatkozol a telepítésbe, üzemeltetésbe, vagy tanácsot adsz hozzá; ezt érdemes szakértővel mérlegelni.

A táblázat harmadik oszlopa tájékoztató jellegű; a besorolást a konkrét szerződés és a tényleges munkavégzés alapján kell elvégezni.

2. Mekkora a vállalkozásod, a cégcsoporttal együtt?

Miért számít: a 2. és 3. melléklet szerinti szervezetekre a törvény főszabályként méretfüggően vonatkozik (1. § (1) d) pont). Két, egymás melletti feltétel van; elég, ha az egyik teljesül:

• a cég a kis- és középvállalkozásokról szóló 2004. évi XXXIV. törvény (kkv-törvény) szerint középvállalkozás, vagy
• a cég önállóan átlépi a Kiberbiztonsági törvény saját küszöbét: a foglalkoztatotti létszám eléri vagy meghaladja az 50 főt, vagy az éves nettó árbevétel és a mérlegfőösszeg is meghaladja a 10 millió eurónak megfelelő forintösszeget.

A két feltétel küszöbei hasonlóak, a különbség a számításban van: a kkv-törvény szerinti besoroláshoz a partner- és kapcsolódó vállalkozások adatait is figyelembe kell venni, a Kiberbiztonsági törvény saját küszöbénél viszont a cég saját adatai számítanak. Az euróban megadott összegeket a Magyar Nemzeti Bank által közzétett hivatalos devizaárfolyamon kell forintra átszámítani (1. § (1a)).

Mi következik belőle: egy 20 fős cég is lehet középvállalkozás, ha egy cégcsoport tagja, és a csoport adataival együtt számolva átlépi a kisvállalkozási határt. Fordítva: a saját létszámod alapján nem zárhatod le a kérdést, amíg a csoport adatait nem nézted meg.

3. Vonatkozik-e rád a törvény mérettől függetlenül?

Miért számít: az 1. § (1) e) pontja szerint a 2. és 3. mellékletben szereplő szervezetek közül néhány méretétől függetlenül a törvény hatálya alá tartozik: az elektronikus hírközlési szolgáltató, a bizalmi szolgáltató, a DNS-szolgáltató, a legfelső szintű doménnév-nyilvántartó és a doménnév-regisztrációt végző szolgáltató. Emellett a nemzeti kiberbiztonsági hatóság vagy a honvédelmi kiberbiztonsági hatóság egyedi döntéssel alapvető vagy fontos szervezetként is azonosíthat egy céget (1. § (1) c) pont); ilyenkor a méret szintén nem számít.

Mi következik belőle: a kis létszám nem automatikus „nem”. Ha a fenti speciális szolgáltatások valamelyikét nyújtod, vagy hatósági értesítést kaptál az azonosításodról, ezt külön kell megnézni.

4. Hol van a fő tevékenységi helyed?

Miért számít: a DNS-szolgáltatókra, a legfelső szintű doménnév-nyilvántartókra, a doménnév-nyilvántartási szolgáltatást nyújtókra, a felhőszolgáltatókra, az adatközpont-szolgáltatókra, a tartalomszolgáltató hálózati szolgáltatókra, a kihelyezett (irányított) infokommunikációs és infokommunikációs biztonsági szolgáltatókra, valamint az online piacterek, keresőprogramok és közösségimédia-platformok szolgáltatóira a törvény 2. § (1) c) pontja akkor vonatkozik, ha az üzleti tevékenységük fő helye Magyarországon van (a részletes meghatározást a 2. § (2) bekezdése adja). Nem az dönt, hogy az ügyfél magyar-e.

Mi következik belőle: ha egy külföldi cégcsoport magyar leánya vagy, vagy több országban nyújtasz szolgáltatást, előfordulhat, hogy egy másik tagállam hatósága illetékes. Ezt érdemes szakértővel tisztázni.

Előzetes döntési útmutató

Az alábbi sorrend adatgyűjtési segédlet, nem automatikus jogi teszt. Minden lépéshez szükséges adatot szerezz be, mielőtt továbblépsz: ha valamelyik adat hiányzik, azt a vizsgálat része pótolni, nem pedig átugorni vagy „nem”-nek tekinteni. Az első két lépés gyors ellenőrzés: ha bármelyikre „igen” a válasz, a méret már nem számít.

A vizsgálat lehetséges eredményei és a várható teendők

A) Nem vagy érintett, és az ügyfeleid sem kérnek semmit

Mire számíts: jelenleg nincs kötelező teendőd a Kiberbiztonsági törvény alapján.

Teendők:

• készíts rövid, dátumozott feljegyzést arról, miből jutottál erre az eredményre (lásd lent);
• vizsgáld felül, ha új szolgáltatást indítasz, nő a létszámod vagy az árbevételed, vagy cégcsoporthoz csatlakozol;
• évente legalább egyszer nézd át újra.

B) Nem vagy érintett, de az ügyfél ragaszkodik a NIS2-vállalásokhoz

Ez a leggyakoribb helyzet. Az ügyfél a törvény 6. § (5) d) pontja miatt köteles a rendszerei létrehozásában, üzemeltetésében, karbantartásában, javításában vagy az incidenskezelésben közreműködő partnereivel szerződésben rögzíteni a kiberbiztonsági követelményeket. Az ügyfél vezetése a partner tevékenységéért is felel (6. § (6)). Ezért kér kérdőívet, auditjogot és incidensbejelentést.

Mire számíts: a hatóság felé nincs kötelezettséged, de a szerződés alapján lehet. Ez jellemzően egy kiberbiztonsági melléklet, amely az adatfeldolgozói megállapodáshoz hasonló kiegészítése a szerződésnek.

Két út van:

• Lebeszélés vagy szűkítés: ha a kért vállalás aránytalan (például a teljes törvényi megfelelést kéri tőled, holott te nem vagy alanya), jelezd, hogy a törvény az ügyfélnek a saját beszállítói láncára vonatkozó kockázatkezelést írja elő. Kérj az ügyféltől a szolgáltatásodhoz illő, konkrét követelményeket a teljes „NIS2-megfelelés” helyett, hiszen a törvényi kötelezettségek őt terhelik.
• Vállalás: ha elfogadod az ügyfél követelményeit, kérd, hogy azok mérhetők legyenek (lásd lent).

Várható teendők: hozzáférés-kezelési szabályok és naplózás, incidensjelzési folyamat egyeztetett határidővel, mentési és helyreállítási terv, alvállalkozók listája, és egy bizonyítékcsomag (szabályzatok, jegyzőkönyvek), amelyet az ügyfél ellenőrizhet. Érdemes átnézni a szakmai felelősségbiztosításodat is, mert a szerződéses vállalások növelhetik a kitettségedet.

C) Érintett vagy

Mire számíts: a Kiberbiztonsági törvény hatósági kötelezettségeket ír elő. Az 1. § (1) d) és e) pontja alá tartozó szervezeteket, vagyis a cikk célcsoportját, a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) felügyeli (23. § (1) b) pont).

A pontos kötelezettségek és határidők attól függnek, hogy az 1. § melyik pontja alapján vagy érintett, alapvető vagy fontos szervezetnek minősülsz-e, és mekkora a céged. Ezt egyedileg kell megvizsgálni. Áttekintésként, egy 2. vagy 3. melléklet szerinti magáncégre jellemzően az alábbi kötelezettségtípusok vonatkozhatnak:

• Bejelentés és nyilvántartásba vétel: a működés megkezdését vagy a hatály alá kerülést követő 30 napon belül meg kell küldeni a nyilvántartási adatokat az SZTFH-nak (8. § (5)). A méret miatt érintett cégnél a hatály alá kerülés főszabályként a feltétel teljesülését követő év első napja (8. § (6) b) pont). Az adatok változását 14 napon belül kell bejelenteni (8. § (3) a) pont).
• Kiberbiztonsági audit: a nyilvántartásba vételt követő 120 napon belül szerződést kell kötni egy nyilvántartott auditorral, az első auditot 2 éven belül, utána kétévente kell elvégeztetni (16. § (1)–(2)). A mérettől függetlenül érintett (1. § (1) e) pont szerinti) mikrovállalkozásokat ez a kötelezettség nem terheli.
• Kockázatkezelés és védelmi intézkedések: kockázatmenedzsment-keretrendszer, a rendszerek felmérése, biztonsági osztályba sorolása, információbiztonsági szabályzat, a biztonságért felelős személy kijelölése (6. § (2)–(3)).
• Incidenskezelés: a kiberbiztonsági incidensek bejelentése az illetékes incidenskezelő központnak, kezelésük és a helyreállítás (6. § (5) e) pont).
• Vezetői felelősség és képzés: a vezető maga is felel a kötelezettségekért, és gondoskodnia kell a saját és a munkatársak kiberbiztonsági képzéséről (6. § (5) a) pont).
• Felügyeleti díj: az SZTFH felé éves felügyeleti díjat kell fizetni, legfeljebb az előző évi nettó árbevétel 0,015 százalékát, de legfeljebb 10 millió forintot (7. §).

Ha a hatóság egyedi döntéssel azonosított (1. § (1) c) pont), a 8. § (4) bekezdése szerinti ütemezés is vonatkozik rád: 30 napon belül adatbejelentés és a biztonságért felelős személy bejelentése, 90 napon belül a használt rendszerek felmérése (8. § (4) c) pont), 180 napon belül az információbiztonsági szabályzat megküldése, a biztonsági osztályba sorolás és a védelmi intézkedések felmérése (8. § (4) e) és f) pont).

A mulasztás bírságot vonhat maga után. Az SZTFH a 418/2024. (XII. 23.) Korm. rendelet 3. melléklete szerinti mértékben bírságolhat; a legmagasabb összeg alapvető szervezetnél 10 millió euró vagy az előző évi globális éves forgalom 2 százaléka, fontos szervezetnél 7 millió euró vagy a forgalom 1,4 százaléka, ha ez a magasabb (Korm. rendelet 42. §).

D) Nem egyértelmű az eredmény

Ha a szolgáltatásod besorolása, a cégcsoport mérete vagy a fő tevékenységi hely kérdéses, ne döntsd el egyedül. Gyűjtsd össze az adatokat a lenti feljegyzés szerint, és kérj szakértői véleményt. A 30 napos határidő miatt ezt ne halogasd, ha reális esély van az érintettségre.

Ha az ügyfél kér NIS2-megfelelést

Az ügyfél kérdőíve vagy szerződéstervezete nem bizonyítja, hogy a szolgáltató közvetlenül a törvény hatálya alá tartozik. Az ügyfélnek viszont saját kötelezettsége, hogy a közreműködőivel szerződésben rendezze a kiberbiztonsági követelményeket (6. § (5) d) pont). Ha az ügyfél állami vagy hatóság által azonosított szervezet, a rendszerfejlesztésre irányuló szerződésekre további szabályok is vonatkoznak (13–14. §).

Az általános „NIS2-megfelelés” kérést bontsd ellenőrizhető vállalásokra:

• mely szolgáltatásra és rendszerekre vonatkozik az elvárás;
• ki kezeli a hozzáféréseket, és ki hagyja jóvá a változtatásokat;
• milyen eseményről, kinek és milyen egyeztetett határidővel kell jelezni;
• milyen dokumentumot vagy más bizonyítékot kérhet az ügyfél;
• hogyan történik az ellenőrzés, és hogyan védetek más ügyfelek adatait;
• milyen feltételekkel vonható be alvállalkozó;
• mi tartozik a szolgáltatóhoz, és mi marad az ügyfél felelőssége.

Ne vállalj korlátlan vagy meghatározatlan kötelezettséget anélkül, hogy tisztáznád a hatókört, a felelősségeket és a teljesíthetőséget. Például az „azonnali incidensértesítés” előtt egyeztessétek, mi minősül értesítendő eseménynek, mikor indul az időmérés, ki fogadja a jelzést, és hogyan kezelitek a munkaidőn kívüli helyzeteket.

Mikor és kihez fordulj külső szakértőhöz?

Kérj szakértői segítséget, ha:

• a döntési útmutató valamelyik lépéséhez szükséges adatot nem tudod megbízhatóan beszerezni vagy értékelni;
• cégcsoport tagja vagy, és a csoportszintű adatok a küszöb közelében vannak;
• több országban nyújtasz szolgáltatást;
• hatósági értesítést kaptál;
• érintett vagy, de a jogszabály alapján kétséged van, hogy mely kötelezettségek vonatkoznak rád;
• az ügyfél olyan szerződést küldött, amely a teljes törvényi megfelelést vagy korlátlan felelősséget hárítaná rád.

Kihez fordulhatsz:

Ha nem az SZTFH, hanem a nemzeti kiberbiztonsági hatóság az illetékes (például hatósági azonosítás esetén), ez a 418/2024. (XII. 23.) Korm. rendelet 16. § (1) a) pontja szerint a Nemzetbiztonsági Szakszolgálat.

Mit tartalmazzon a hatályvizsgálati feljegyzés?

A rövid, dátumozott feljegyzésből később is legyen követhető, hogyan jutottatok az eredményre. Ha az ügyfél vagy a hatóság rákérdez, ezt tudod megmutatni. Rögzítsd benne:

• a vizsgált jogi személyt és a ténylegesen nyújtott szolgáltatásokat;
• a felhasznált létszám-, pénzügyi, tulajdonosi és ügyféladatokat, azok időszakát és forrását;
• a vizsgált jogszabályi kategóriát és a releváns joghelyeket (pl. a Kiberbiztonsági törvény 1. §, 2. §, 2. és 3. melléklet);
• a hatósági döntéseket vagy azok hiányát;
• a közvetlen jogi hatályra és a szerződéses elvárásokra adott külön választ;
• a nyitott kérdéseket, a tisztázás felelősét és a következő felülvizsgálat időpontját.

Vedd elő újra a feljegyzést, ha a szolgáltatásaid, tulajdonosi háttered, méreted, ügyfélköröd vagy a hatósági státuszod érdemben változik. Különösen vizsgáld meg újra, ha a szoftverfejlesztés mellé üzemeltetést, biztonsági felügyeletet vagy digitális infrastruktúra-szolgáltatást is vállalsz.

Források

• (EU) 2022/2555 irányelv (NIS2)
• Európai Bizottság, NIS2-áttekintés
• (EU) 2024/2690 végrehajtási rendelet
• ENISA, műszaki végrehajtási útmutató
• 2024. évi LXIX. törvény Magyarország kiberbiztonságáról
• 418/2024. (XII. 23.) Korm. rendelet a Kiberbiztonsági törvény végrehajtásáról
• 2004. évi XXXIV. törvény a kis- és középvállalkozásokról, fejlődésük támogatásáról
• SZTFH, kiberbiztonsági felügyelet
• SZTFH, auditorok nyilvántartása

A hivatkozott jogszabályhelyeket a Kiberbiztonsági törvény 2026. október 1-jétől és a 418/2024. (XII. 23.) Korm. rendelet 2026. szeptember 11-étől hatályos szövegével egyeztettük, 2026. november 12-én.

Ez az útmutató az előzetes vizsgálatot segíti. Az egyedi érintettség megállapításához a vállalkozás tényleges működését és a vizsgálatkor hatályos szabályokat együtt kell értékelni.