Az Ön NIS2-megfelelőségi
dossziéja 5 nap alatt

Többtényezős hitelesítés (MFA)

„Mely szolgáltatásoknál írja elő az MFA-t? E-mail, VPN, RDP, hálózati-felhőalapú adminisztráció, kiemelt jogosultságú fiókok."

E-mail-biztonság

„Milyen ellenőrzéseket alkalmaz az e-mail-megszemélyesítés ellen (SPF, DKIM, DMARC)? Letiltotta az örökölt protokollokat (IMAP, POP3, nem biztonságos SMTP)?"

Incidenskezelési terv

„Mi az incidenskezelési terve, és mennyi időn belül értesítene bennünket egy kiberbiztonsági incidensről?"

Alvállalkozás és ellátási lánc

„Vesz igénybe 4. szintű alvállalkozókat? Elfogad olyan szerződéses kikötéseket, amelyek az NIS2-megfelelést írják elő (ellenőrzések, adatvédelmi incidens bejelentése, auditjog)?"

Biztonsági mentés és üzletmenet-folytonosság

„Készülnek biztonsági mentések? A sértetlenséget és a visszaállítási eljárásokat legalább évente egyszer tesztelik?"

Biztonsági irányítás

„Az információbiztonsági szabályzata elismert keretrendszerre (NIST, ISO 27001) épül?"

Kire vonatkozik?

Az irányelv az (európai jog értelmében) „közepes" vagy „nagy" vállalkozásokat célozza, amelyek kritikusnak minősített ágazatok listáján szereplő területeken működnek: egyfelől energia, közlekedés, egészségügy, bankok, víz, digitális ágazat, közigazgatás; másfelől posta, hulladék, vegyipar, élelmiszeripar, gyártás, kutatás. Egy tagállam kisebb szervezeteket is bevonhat, ha kulcsszerepet töltenek be.

Mit ír elő valójában az NIS2

Érthetően: „arányos" biztonsági intézkedések bevezetése, a kockázatok azonosítása, az adatok védelme, a támadások észlelése, az arra adott reagálás és az utólagos újraindulás. Ehhez társul a helyiségek fizikai biztonsága, a hozzáférések és jogosultságok ellenőrzése, valamint a szolgáltatók és beszállítók biztonságának ellenőrzése.

Baj esetén pontos időzítés

„Jelentős" incidens esetén a hatóságot három lépésben kell értesíteni: gyors előzetes figyelmeztetés 24 órán belül, részletesebb bejelentés 72 órán belül, majd záró jelentés egy hónapon belül. Az érintett ügyfeleket is haladéktalanul tájékoztatni kell a saját oldalukon megteendő intézkedésekről.

A szankciók, túldramatizálás nélkül

A bírságok felső határát az irányelv rögzíti: legfeljebb 10 M€ vagy a világszintű árbevétel 2 %-a (a magasabb összeg) az „alapvető" szervezeteknél; legfeljebb 7 M€ vagy a világszintű árbevétel 1,4 %-a a „fontos" szervezeteknél. Ezek jogszabályi felső határok, nem automatikus számla, és a bírság csak a korrekciós intézkedések létrájának végén jön - a részleteket lásd lejjebb.

A megjegyzendő időpontok

Az irányelv 2023. január 16. óta hatályos. Minden tagállamnak legkésőbb 2024. október 17-ig át kellett ültetnie a kötelezettségeket a nemzeti jogába, tényleges alkalmazással 2024. október 18-tól, amely napon a régi NIS1 szöveget hatályon kívül helyezték.

Franciaországban ki irányítja az ügyet

Az ANSSI a kijelölt hatóság az NIS2-megfelelés támogatására. Közzétett egy „Référentiel Cyber France" keretrendszert (ReCyF, 2026. március 17. óta elérhető), és működtet egy „MonEspaceNIS2" platformot, valamint egy „ClubSSI"-t, hogy segítse a vállalkozások eligazodását.

Ami már a szomszédainknál is zajlik

Németországban a BSI hatóság közli, hogy az érintett vállalkozások törvényes regisztrációs határideje már lejárt: akik ezt még nem tették meg, haladéktalanul pótolják. Ez konkrét jele annak, hogy az európai mozgás a szövegeken túl is már elindult.

Egyszerűsítés van napirenden

Az Európai Bizottság 2026-ban javaslatot („omnibusz-csomag") terjesztett elő az NIS2-megfelelés könnyítésére, különösen a legkisebb szervezetek számára: nagyjából 28 700 vállalkozást érintene ez a könnyítés, ebből 6 200 mikro- és kisvállalkozást.

Magánklinika vagy elemzőlaboratórium

Az I. melléklet „Egészségügy" ágazatába tartozik, ha az európai jog értelmében egészségügyi szolgáltatóról van szó, és meghaladja a közepes méretküszöböt.

Autóipari beszállító vagy gépgyártó

A méretküszöb felett a II. melléklet „Feldolgozóipar" ágazatába tartozik (járművek, elektromos berendezések, gépek, elektronika).

Felhőszolgáltató vagy üzemeltetési cég (MSP/MSSP)

Az I. melléklet „Digitális infrastruktúra" vagy „IKT-szolgáltatások irányítása" ágazatába tartozik: a közepes mérettől érintett (fontos szervezet), nagy méret esetén alapvető szervezet. Az egyetlen jelentős kivétel: ha egyben minősített bizalmi szolgáltató, doménnév-nyilvántartó vagy DNS-szolgáltató is.

Önkormányzat vagy regionális közintézmény

Az I. melléklet „Közigazgatás" ágazatába tartozik, ha a tagállam kijelöli, különösen akkor, ha szolgáltatásainak leállása jelentős hatással lenne a kritikus társadalmi vagy gazdasági tevékenységekre.

Élelmiszer-feldolgozó vagy nagykereskedő

A II. melléklet „Élelmiszer-előállítás, -feldolgozás és -forgalmazás" ágazatába tartozik, ha nagykereskedelmi tevékenységet vagy ipari előállítást/ feldolgozást végez.

A „18 ágazaton kívüli" vállalkozás, amely egy érintett szervezet beszállítója

Közvetlenül nem tartozik az NIS2 hatálya alá, de szerződés útján bevonható: lásd az oldalon feljebb a „Továbbgyűrűző hatás" szakaszt.

K. Mi az NIS2 irányelv egy mondatban?

Ez az az európai szöveg, amely 2024. október 18. óta felváltotta a kiberbiztonságról szóló 2016-os régi jogszabályt: az Európai Bizottság úgy írja le, mint olyan szöveget, amely „emeli az EU kiberbiztonsági ambíciószintjét a tágabb hatály, az egyértelműbb szabályok és az erősebb ellenőrzési eszközök révén".

K. Kis- és középvállalkozás vagyok, valóban érintenek a méretküszöbök?

A szöveg elsősorban az európai értelemben vett „közepes" vagy „nagy" vállalkozásokat célozza, ez pontos jogi kritérium, amely a 2003/361/EK ajánlásra utal (a gyakorlatban: 50 munkavállalótól, vagy egyszerre 10 millió EUR feletti árbevétel és mérlegfőösszeg esetén), a 18 felsorolt ágazat egyikében. Ez alatt elvileg nem vonatkozik Önre közvetlenül, kivéve, ha az Ön tagállama kisebb, alapvetőnek ítélt szervezeteket is bevon, vagy ha alapvető szervezetet lát el (továbbgyűrűző hatás, lásd feljebb ezen az oldalon).

K. Vezetőként személyesen felelősségre vonható vagyok?

Igen, és ez a szöveg legkevésbé ismert pontja: az irányelv hivatalos jogi összefoglalója pontosítja, hogy a vezető testületnek jóvá kell hagynia a kockázatkezelési intézkedéseket és felügyelnie kell azok végrehajtását, és hogy mulasztás esetén felelősségre vonható. A kiberbiztonság tehát nem csupán informatikai kérdés: olyan irányítási kérdés, amely egészen a vezetőig felér.

K. Hogyan tudhatom meg konkrétan, hogy a vállalkozásomnak regisztrálnia kell-e?

Minden tagállamnak naprakészen kell tartania az alapvető és fontos szervezetek hivatalos listáját, amelyet kétévente felülvizsgálnak (első európai határidő: 2025. április 17.). Franciaországban az ANSSI ingyenes online önértékelő eszközt biztosít, a „MonEspaceNIS2"-t, amely közvetlenül megválaszolja az „érintett vagyok-e?" kérdést.

K. Késésben van Franciaország? Mit változtat ez ma az én helyzetemen?

Igen: a francia átültető törvényt még mindig nem tették közzé, jóval az európai határidő után. 2026 júliusában az Európai Bizottság Franciaországot az EU Bírósága elé utalta, mert nem közölte átültetési intézkedéseit (lásd fent a részletes naptárat). A gyakorlatban: „francia NIS2-szankció" még nem szabható ki, amíg a rendelet meg nem jelenik, de amikor megjelenik, a már felkészült vállalkozásoknak nem lesz mit pótolniuk.

K. Mi változik valójában a régi NIS1 jogszabályhoz képest?

Az NIS1 (2016) az energiára, a közlekedésre, az egészségügyre, a pénzügyekre, a vízre és a digitális ágazatra korlátozódott. Az NIS2 jelentősen kibővíti ezt a hatályt: újonnan idetartoznak a nyilvános elektronikus hírközlés, a közösségi hálózatok és digitális platformok, a hulladékgazdálkodás, a kritikus termékek gyártása, a postai szolgáltatások és a közigazgatás. Sok, eddig radar alatt maradt vállalkozás most a hatály alá kerül.

K. Tervezik-e a könnyítést a kisebb szervezetek számára?

Igen, vizsgálat alatt: az Európai Bizottság 2026-ban egyszerűsítési csomagot terjesztett elő az NIS2-vel járó adminisztratív teher csökkentésére, különösen a legkisebb szervezetek számára. Nagyjából 28 700 vállalkozást érintene ez a könnyítés, ebből 6 200 mikro- és kisvállalkozást. A szöveget még nem fogadták el véglegesen: figyelendő, de ez nem ok a felkészüléssel való várakozásra.

Maximális közigazgatási bírság: legalább 10 000 000 EUR VAGY az előző pénzügyi év világszintű árbevételének legalább 2 %-a - a kettő közül a magasabb összeg alkalmazandó.

Maximális közigazgatási bírság: legalább 7 000 000 EUR VAGY az előző pénzügyi év világszintű árbevételének legalább 1,4 %-a - ugyanaz a logika, a magasabb összeget kell figyelembe venni.

Ki szankcionál?

Minden tagállam kijelöl egy vagy több „illetékes hatóságot", amely az irányelv felügyeletéért és végrehajtásáért felel. Franciaországban ez a szerep az ANSSI-ra hárul.

A végső eszköz - csak az alapvető szervezeteknél

Ha a korábbi intézkedések eredménytelenek maradnak, a hatóság bíróságtól kérheti egy tanúsítás vagy engedély átmeneti felfüggesztését, sőt egy vezető (vezérigazgató vagy törvényes képviselő) átmeneti eltiltását a tisztségétől, a megfelelés eléréséig. Ez a szélsőséges eszkalálás CSAK az alapvető szervezeteket érinti, a fontos szervezeteket nem.

Az összeg nem automatikus

A jogszabály esetenként figyelembe veendő szempontokat ír elő: a jogsértés súlya és időtartama, ismétlődés, okozott kár, szándékosság vagy gondatlanság, a kár enyhítésére tett intézkedések, magatartási kódexekhez vagy tanúsításokhoz való csatlakozás, az hatósággal való együttműködés szintje. Két, azonos helyzetben lévő vállalkozás nem kap automatikusan azonos bírságot.

A vezetők személyesen felelősek

A szöveg kifejezetten előírja, hogy a szervezetet vezető természetes személyek (vezérigazgató, törvényes képviselő) felelősségre vonhatók a megfelelési kötelezettségeik elmulasztása esetén - az alapvető és a fontos szervezeteknél egyaránt.

És ha egyben adatszivárgás is?

Ha az incidens egyben személyes adatok megsértését is jelenti, az NIS2-hatóságnak haladéktalanul tájékoztatnia kell az illetékes GDPR-hatóságot (Franciaországban a CNIL-t). A két rendszer összehangolódik - ez nem a szankciók automatikus halmozódása, hanem a hatóságok közötti kölcsönös tájékoztatás.

Számszerű példák? Még nincsenek, őszintén szólva

E figyelés időpontjában hivatalos forrásban nem találtunk nyilvánosságra hozott NIS2-szankciós döntést. A rendszer az egyes tagállamok átültető törvényétől függ, amelyek véglegesítés alatt állnak. Annak jele, hogy a folyamat elindult: Németországban a BSI hatóság közli, hogy az érintett szervezetek törvényes regisztrációs határideje már lejárt.