A NIS2 irányelvet Magyarországon a 2024. évi LXIX. törvény ülteti át, és 2026-ban ez a jogszabály a rendszergazdák és IT-üzemeltető cégek napi munkáját is közvetlenül meghatározza. A törvény hatálya alá tartozó szervezeteknek 2026. június 30-ig kell elvégezniük az első kiberbiztonsági auditot, ezután pedig kétévente meg kell ismételniük azt. A rendszergazda felelőssége itt nem korlátozódik a szerverek karbantartására: a jogosultságkezelés, a mentési stratégia, a naplózás és az incidenskezelés dokumentált, ellenőrizhető formában kell működjön. Az alábbiakban azt mutatjuk be, mit jelent ez a gyakorlatban egy KKV informatikai üzemeltetése szempontjából, és hol tud segíteni a kiszervezett IT-üzemeltetés.
Mi a NIS2 és mely cégeket érinti 2026-ban
A NIS2 az Európai Unió 2022/2555 számú irányelve, amelyet a 2024. évi LXIX. törvény ültetett át a magyar jogrendbe 2025. január 1-jei hatállyal. A törvény az érintett szervezeteket alapvető és fontos kategóriába sorolja, és mindkét kör számára kockázatalapú kiberbiztonsági intézkedéseket ír elő. A besorolás elsősorban a cég méretétől és ágazatától függ: a középvállalkozási méret felett működő, kritikus vagy fontos ágazatban tevékenykedő szervezetek szinte biztosan a törvény hatálya alá esnek, míg a mikro- és kisvállalkozások csak kivételes esetben, például kritikus beszállítói szerepkörben érintettek.
Ki felügyeli a megfelelést Magyarországon
A Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) ellenőrzi a törvényben foglalt kötelezettségek teljesítését, a hadiipari tevékenységek kivételével, ahol a Nemzetbiztonsági Szakszolgálat jár el. Az esetek jelentős részében az érintett cégek először egy nyilvántartásba vételi kötelezettséggel szembesülnek, amelyet a törvény szerint 120 napon belül kell teljesíteni. A mi tapasztalatunk szerint sok KKV vezető csak az auditra készülve szembesül azzal, hogy a szervezet ténylegesen a törvény hatálya alá tartozik, ezért érdemes már 2026 elején tisztázni a besorolást, nem az audit-határidő közeledtével.
Mit jelent ez a rendszergazda napi munkájában
A rendszergazda felelőssége a NIS2 megfelelésben túlmutat a hagyományos hibaelhárításon: dokumentált kockázatkezelési intézkedéseket, hozzáférés-szabályozást, naplózást és incidensbejelentési folyamatot kell fenntartania. Az esetek jelentős részében ez azt jelenti, hogy egyetlen belső rendszergazda kapacitása már nem elegendő a folyamatos felügyelethez és a dokumentációs kötelezettségekhez egyszerre. Ezt az összefüggést több KKV-ügyfélnél is megfigyeltük: amikor a rendszergazda egyedül próbálja ellátni mind az üzemeltetést, mind a megfelelési dokumentációt, valamelyik terület óhatatlanul háttérbe szorul, ami a NIS2 auditon hiányosságként jelenik meg. A kiberbiztonsági képzési kötelezettségről és a vezetői felelősségről a kiberbiztonsági képzési kötelezettség NIS2 megfelelésben cikkben olvashatsz részletesen.
Kinek nem való, ha a cég egyértelműen mikrovállalkozásként működik, és nem tartozik kritikus vagy fontos ágazatba: ekkor a NIS2 közvetlen kötelezettségei nem vonatkoznak rá, bár a jó gyakorlatok (mentés, jogosultságkezelés) alkalmazása akkor is ajánlott. Mielőtt eldöntenéd, hogy szükséges-e a felkészülés, érdemes tisztázni, hogy a cég ágazata szerepel-e a törvény mellékletében meghatározott kritikus vagy fontos szolgáltatói körben, mert ez alapvetően befolyásolja a további lépéseket.
Hogyan készüljön fel a rendszergazda a NIS2 auditra 2026-ban
A NIS2 audit nem egyetlen technikai ellenőrzés, hanem a dokumentáció, a valós működési gyakorlat és az informatikai rendszerek védelmének együttes vizsgálata. A rendszergazdának ezért nem elég a rendszereket biztonságosan üzemeltetnie, a intézkedéseket dokumentálnia is kell, méghozzá olyan formában, amely az auditor számára is követhető. Az alábbi lépések logikus sorrendben mutatják be a felkészülés folyamatát.
Az IWS rendszergazda szolgáltatás keretében pontosan ez a kettősség – üzemeltetés és dokumentáció egyszerre – az, amit kiszervezéssel old meg a legtöbb ügyfelünk.
- A szervezet besorolásának tisztázása: alapvető, fontos vagy nem érintett kategória meghatározása az ágazat és a méret alapján.
- Nyilvántartásba vétel a törvény szerinti 120 napos határidőn belül, ha a cég a hatály alá esik.
- Kockázatértékelés elvégzése és a biztonsági osztályba sorolás szerinti védelmi intézkedések kialakítása.
- Mentési stratégia kialakítása és folyamatos monitorozása, hogy adatvesztés esetén is helyreállítható legyen a működés.
- Jogosultságkezelési rendszer bevezetése, amely naplózza, ki férhet hozzá az egyes rendszerekhez és adatokhoz.
- Incidenskezelési terv összeállítása a 24 órás korai jelzési és 72 órás bejelentési határidők betartásához.
- Auditor kiválasztása és a 2026. június 30-i első kiberbiztonsági audit lebonyolítása.
Miben különbözik a belső és a kiszervezett rendszergazdai megoldás
A NIS2 megfelelés szempontjából a döntés nem csupán költségkérdés, hanem kapacitás- és dokumentációs kérdés is. Az alábbi táblázat a két megoldás közötti fő különbségeket mutatja be.
| Szempont | Belső rendszergazda | Kiszervezett IT-üzemeltetés (IWS) |
|---|---|---|
| Felügyelet időtartama | Jellemzően munkaidőben | 0-24 órás folyamatos felügyelet |
| Dokumentációs kapacitás | Gyakran a napi hibaelhárítás mellett korlátozott | Dedikált riportkészítés és naplózás |
| Incidensre reagálás sebessége | Egy fő terheléstől függ | Csapat, azonnali riasztáskezelés |
| Biztonsági mentés felügyelete | Eseti, gyakran manuális | Folyamatosan monitorozott mentési stratégia |
| Költségtervezhetőség | Bérköltség + képzési kötelezettség | Fix havidíj, tervezhető IT-költés |
Milyen kockázatok maradnak fenn kiszervezés esetén is
A kiszervezés nem veszi le a felelősséget a szervezet vezetőjéről: a törvény szerint a vezető tisztségviselő személyesen felelős azért, hogy a szervezet a kiberbiztonsági kötelezettségeknek megfeleljen, és mulasztás esetén akár 15 millió forintig terjedő bírsággal sújtható. Ha a hatóság hiányosságot tár fel, és a szervezet a felszólítás ellenére nem hárítja el azt, a bírság alapvető szervezetnél elérheti a 10 millió eurónak megfelelő forintösszeget vagy az éves árbevétel 2%-át, a kettő közül a magasabbat. Az esetek jelentős részében a közreműködő IT-szolgáltatóval kötött szerződésben rögzíteni kell, hogy a szolgáltató is megfelel a biztonsági céloknak, ezért a szolgáltató kiválasztása önmagában is megfelelési kérdés, nem csupán technikai döntés.
Megéri-e az IWS-t választani a NIS2-felkészüléshez? Akkor éri meg leginkább, ha a cégnek nincs kapacitása egyszerre ellátni a napi üzemeltetést és a dokumentációs kötelezettségeket, és 2026. június 30-ig auditra kész állapotba kell kerülnie. Nem feltétlenül optimális megoldás azoknak a nagyvállalatoknak, amelyeknek már saját, dedikált információbiztonsági csapatuk van, mert ott a kiszervezés inkább kiegészítő szerepet tölthet be, nem helyettesítő szerepet.
Milyen konkrét kiberbiztonsági intézkedéseket vár el a törvény a rendszergazdától 2026-ban
A 7/2024. (VI. 24.) MK rendelet 2. melléklete biztonsági osztályonként pontosan felsorolja, milyen védelmi intézkedéseket kell bevezetni, és ez a lista jóval túlmutat a hagyományos vírusirtón és tűzfalon. Az esetek jelentős részében a rendszergazdának ezeket az intézkedéseket nem csak megvalósítania kell, hanem dokumentálnia is, mert az audit során a hatóság a papíron rögzített és a ténylegesen működő gyakorlat egyezését vizsgálja.
Melyek a leggyakrabban hiányzó alapkövetelmények
Tapasztalataink alapján KKV-knál leggyakrabban a következő elemek hiányoznak vagy hiányosak a NIS2 felkészülés kezdetén:
- kétfaktoros hitelesítés bevezetése a kritikus rendszerekhez való hozzáférésnél
- rendszeres, dokumentált biztonsági mentés és a helyreállítás tesztelése
- naplózási rendszer, amely visszakövethetővé teszi a jogosultsághasználatot
- incidenskezelési terv, amely rögzíti a 24 órás korai jelzés és a 72 órás bejelentés lépéseit
- rendszeres, dokumentált kiberbiztonsági képzés a munkatársak és a vezetők számára
A legtöbb ügyfél akkor használja sikeresen ezt a listát kiindulópontként, ha nem egyszerre próbálja mind az öt területet bevezetni, hanem a kockázatértékelés alapján rangsorolja őket.
Mit jelent ez a vezetői felelősség szempontjából
A törvény 6. § (5) bekezdése szerint a szervezet vezetője személyesen felel azért, hogy gondoskodjon a védelmi feladatok oktatásáról és a kiberbiztonsági képzésről, saját maga és a munkatársak vonatkozásában egyaránt. Ez azt jelenti, hogy a rendszergazda technikai intézkedései önmagukban nem elegendők, ha a vezetői képzési kötelezettség nem teljesül. A kinevezést követő egy éven belül egy 8 órás alapképzést, majd azt követően évente egy 4 órás továbbképzést kell elvégeznie az érintett vezetőknek és az információbiztonsági felelősöknek.
Mire figyelj, ha először szembesülsz ezzel a kötelezettséggel? Érdemes már 2026 első felében ütemtervet készíteni a képzésekre, mert a 2025. december 31. előtt kinevezett vezetőknek az első alapképzést 2026 folyamán kell teljesíteniük, és ez a határidő gyakran háttérbe szorul a technikai feladatok mögött.
Mennyibe kerül a NIS2-megfelelés kiszervezése egy KKV-nak
A NIS2-megfelelés költsége nem egyetlen tétel, hanem több elem összege: a kockázatértékelés, a technikai intézkedések bevezetése, az auditor díja és a folyamatos üzemeltetés. Az esetek jelentős részében a kiszervezett IT-üzemeltetés fix havidíjas modellje kiszámíthatóbb, mint a belső rendszergazda bérköltsége plusz a képzési és eszközfejlesztési kiadások összessége.
Milyen tételekből áll össze a megfelelés költsége
A különbség akkor vált egyértelművé, amikor összehasonlítottuk egy 30 fős KKV belső üzemeltetési költségeit egy kiszervezett modellel: a belső megoldásnál a bérköltség mellett külön tételként jelentkezett a képzés, a mentési infrastruktúra és az eseti szakértői tanácsadás, míg a kiszervezett modellben ezek egy csomagba integrálódtak. Az IT költések folyamatos kontrollja és a tervezés segítése egyébként is szorosan kapcsolódik ahhoz, hogy a rendszergazdai szolgáltatás mit fed le a napi feladatok mellett.
Mikor nem éri meg kiszervezni a megfelelést
Nem minden esetben indokolt a teljes kiszervezés. Ha a cégnek már van saját, több fős IT-biztonsági csapata és dedikált információbiztonsági felelőse, a kiszervezés inkább kiegészítő auditelőkészítési vagy technikai tanácsadói szerepet tölthet be, nem teljes körű helyettesítést. Ebben az esetben a belső csapat és a külső szolgáltató feladatmegosztását előre, írásban kell rögzíteni, hogy az audit során ne legyen felelősségi átfedés vagy hiányosság.
Milyen gyakori hibákat követnek el a rendszergazdák NIS2 felkészülés közben
Az általunk vizsgált esetekben a NIS2 felkészülés során visszatérő mintázatok rajzolódtak ki, amelyek jellemzően nem technikai tudás hiányából, hanem prioritási és kapacitási problémákból fakadnak.
A dokumentáció és a valós gyakorlat közötti eltérés
A leggyakoribb hiba, hogy a rendszergazda bevezeti a technikai intézkedést, de nem dokumentálja megfelelően, vagy fordítva: a dokumentáció létezik, de a gyakorlat már elavult. Az audit során a hatóság pontosan ezt a kettőt veti össze, ezért egy jól működő, de dokumentálatlan mentési rendszer ugyanolyan hiányosságnak számít, mint egy dokumentált, de valójában nem tesztelt helyreállítási folyamat.
A határidők alábecslése
Az esetek jelentős részében a cégek a 2026. június 30-i audit-határidőt későn kezdik komolyan venni, miközben az auditorral való szerződéskötést jóval korábban, gyakorlatilag már 2025 nyarán el kellett volna kezdeni. Ez az összefüggést több projekten, több iparági kontextusban is megfigyeltük: azok a szervezetek, amelyek fél évvel az audit előtt kezdték a felkészülést, jellemzően kapkodva, hiányos dokumentációval érkeztek a vizsgálatra.
Hogyan illeszkedik az IT biztonság és a biztonsági mentés a NIS2 megfelelésbe
A NIS2 megfelelés gerince az adatvédelem és a biztonsági mentés, mert ezek hiánya vezet a leggyakrabban súlyos incidensekhez és ezáltal bírsághoz. A dokumentumok védelme, a hozzáférések szabályozása és a biztonsági mentések folyamatos felügyelete nem elszigetelt feladat, hanem a teljes megfelelési rendszer alapja.
Miért nem elég az eseti mentés
Egy komolyabb szerverhiba vagy adatvesztés esetén nem az számít, hogy egyáltalán készült-e valaha mentés, hanem hogy a helyreállítás ténylegesen működik-e a bejelentési határidőn belül. Az IWS IT biztonsági és biztonsági mentési szolgáltatás áttekintése keretében a mentési stratégia kialakítása és folyamatos monitorozása pontosan azt a hiányosságot célozza meg, amely a legtöbb auditon felszínre kerül: a mentés létezik, de a helyreállítás sosem lett tesztelve éles körülmények között.
A rendszergazda szerepe a NIS2 megfelelés fenntartásában hosszú távon
A NIS2 megfelelés nem egyszeri projekt, hanem folyamatosan fenntartandó állapot, amelyet a kétévente ismétlődő audit rendszeresen ellenőriz. A rendszergazda feladata ezért nem ér véget az első audit sikeres teljesítésével: a jogosultságkezelést, a mentési stratégiát, a naplózást és az incidenskezelési tervet folyamatosan aktuális állapotban kell tartania, mert a hatóság soron kívüli ellenőrzést is végezhet, ha jelentős kiberbiztonsági incidens vagy annak veszélye merül fel. Az esetek jelentős részében a cégek az első audit után lazítanak a fegyelmen, majd a második, kétévente esedékes ellenőrzésre már felkészületlenül érkeznek, mert időközben új munkatársak léptek be, új rendszerek kerültek bevezetésre, és a dokumentáció nem követte ezeket a változásokat. A mi tapasztalatunk szerint a fenntartható megfelelés kulcsa egy folyamatosan karbantartott, élő dokumentáció, nem egy egyszeri, audit előtt összeállított papírcsomag.
Mi történik, ha a szervezet nem tartja fenn a megfelelést
Ha a hatóság az időszakos vagy soron kívüli ellenőrzés során hiányosságot tár fel, először felszólítást küld, amelyben határidőt tűz a hiányosságok elhárítására. Csak ha a szervezet ezt a felszólítást is figyelmen kívül hagyja, kerül sor a kormányrendeletben meghatározott mértékű bírságra, amely alapvető szervezetnél a 10 millió eurónak megfelelő forintösszeget vagy az éves árbevétel 2%-át is elérheti. A vezető tisztségviselő ismételt jogsértés esetén automatikusan bírságot kap, mert a hatóságnak ekkor már nincs mérlegelési joga. Kinek nem ajánlott a megfelelést egyszeri feladatként kezelni? Azoknak a cégeknek biztosan nem, amelyeknek nincs kijelölt felelőse a folyamatos karbantartásra, mert náluk a dokumentáció és a valóság idővel szükségszerűen eltávolodik egymástól.
Hogyan lehet fenntartható rendszert kialakítani
A fenntartható megfelelés gyakorlati alapja egy rendszeres, negyedéves belső felülvizsgálat, amely nem várja meg a következő auditot ahhoz, hogy észrevegye a hiányosságokat. Ez az összefüggés több projekten is megerősítést nyert: azok a szervezetek, amelyek a rendszergazdai vagy kiszervezett IT-üzemeltetési feladatok közé beépítették a rendszeres önellenőrzést, lényegesen kevesebb hiányossággal érkeztek a második, kétévente esedékes audithoz, mint azok, amelyek csak az audit közeledtével kezdtek foglalkozni a témával. Mielőtt eldöntenéd, hogy belső erőforrásból vagy kiszervezéssel tartod fenn a megfelelést, érdemes reálisan felmérni, hogy a rendszergazdai kapacitás a napi hibaelhárítás mellett képes-e folyamatosan karbantartani a dokumentációt is, mert ez a kettősség az, ami a leggyakrabban okoz lemaradást a NIS2 fenntartásában 2026-tól kezdve.