Kiberbiztonság: Magyarország (2026)
Magyarország elfogadta a 2024. évi LXIX. számú, a kiberbiztonságról szóló törvényt, amely 2025. január 1-jén lépett hatályba, és felváltotta a korábbi részleges átültetést (a 2023. évi XXIII. számú törvényt), így a köz- és a magánszektor kiberbiztonsági kötelezettségeit egyetlen, a NIS2-vel összhangban álló átfogó jogszabályba foglalta össze. A törvény kötelező biztonsági besorolásokat, kiberbiztonsági auditokat, valamint többszintű incidensbejelentési kötelezettségeket ír elő a magas kockázatú és kockázatos ágazatokban működő alapvető fontosságú és fontos szervezetek számára. Két felügyeleti hatóság működik: az SZTFH felügyeli a kereskedelmi/magánszervezeteket és a piacfelügyeletet, míg az NBSZ nemzeti CERT-ként működik és felügyeli a közszektorbeli szerveket.
Alapvető keretrendszer
A magyarországi kiberbiztonságról szóló 2024. évi LXIX. törvény (hatályba lép: 2025. január 1.), amely az EU NIS2 irányelvét (2022/2555) ülteti át; végrehajtása a 418/2024. sz. kormányrendelettel (XII. 23.); felügyeletét az SZTFH (magánszektor) és az NBSZ/nemzeti CERT (közszektor) látja el
Főbb pontok
Elsődleges jogszabályok
A kiberbiztonságról szóló 2024. évi LXIX. törvény (Magyar Közlöny) 2025. január 1-jén lépett hatályba, hatályon kívül helyezve a 2023. évi XXIII. törvényt. Ez az egyetlen átfogó kiberbiztonsági törvény, amely kiterjed mind a köz-, mind a magánszektor hálózataira és információs rendszereire, és amelyet a végrehajtási részletekről szóló 418/2024. (XII. 23.) kormányrendelet egészít ki.
A tanulmány hatálya és az érintett ágazatok
A program a magas kockázatú ágazatokban (energia, közlekedés, egészségügy, digitális infrastruktúra, elektronikus hírközlés) és a kockázatos ágazatokban (postai szolgáltatások, élelmiszeripar, vegyipar, elektronikai gyártás, digitális szolgáltatások) működő közepes és nagyvállalatokra (≥50 alkalmazott vagy >10 millió euró forgalom/mérleg) terjed ki. A kkv-k általában kizárásra kerülnek, kivéve, ha azokat kritikusnak minősítik.
Biztonsági besorolás
A rendszereket a korábbi ötszintű rendszer helyett három biztonsági osztály egyikébe sorolják: „alap”, „jelentős” vagy „magas”. A „magas” osztály azokra a kritikus infrastruktúra-rendszerekre vonatkozik, amelyek megsértése a legsúlyosabb társadalmi vagy gazdasági következményekkel járhat.
Eseményjelentés és adatvédelmi incidensek bejelentése
A hatály alá tartozó szervezeteknek a jelentős incidens észlelésétől számított 24 órán belül előzetes figyelmeztetést kell benyújtaniuk az NBSZ-hez, amelyet 72 órán belül teljes körű incidensbejelentésnek kell követnie. Ezek a kötelezettségek párhuzamosan érvényesek a GDPR szerinti személyes adatvédelmi incidensek bejelentési kötelezettségeivel, és nem helyettesítik azokat.
Felügyeleti hatóságok és szankciók
Az SZTFH (Szabályozott Tevékenységek Felügyeleti Hatósága) a magánszektor NIS2-ért felelős illetékes hatósága; az NBSZ (Nemzetbiztonsági Szolgálat) felügyeli a közszektort és az állami tulajdonú szervezeteket, valamint működteti a nemzeti CERT-et. A kötelező kiberbiztonsági audit elmulasztása az éves világszintű árbevétel legfeljebb 2%-ának megfelelő bírságot vonhat maga után (minimum 1 millió HUF, maximum 150 millió HUF).
A kiberbiztonsági törvény és az ellenőrzési határidők
Magyarország elfogadta a 2025. évi CXXXV. törvényt az EU kiberbiztonsági törvényének végrehajtására, amelyet 2025 végén tettek közzé a Magyar Közlönyben. A szervezetek számára az első kötelező kiberbiztonsági audit elvégzésére előírt határidőt (a 2025. május 31-én hatályba lépő módosítás értelmében) 2026. június 30-ig meghosszabbították. Az Európai Bizottság 2025 májusában indokolt véleményt adott ki, amelyben a NIS2-irányelv hiányos átültetésére hivatkozott.
Ez az oldal kizárólag a kényelem érdekében készült fordítás; a hivatalos szöveg az angol nyelvű változat, és nem minősül jogi tanácsadásnak.