Betartható ≠ kiszámítható: a mérlegelési tér, amiről a cégvezetők megfeledkeznek

A legtöbb cégvezető úgy gondol a megfelelésre, mint igen/nem kérdésre: betartottam a szabályt, vagy nem. A valóság kellemetlenebb. A „betartható szabály” és a „kiszámítható alkalmazás” két külön dolog — és a köztük lévő rés az, ahol a magyar KKV-k a legtöbbet veszítenek. Ez a cikk megmutatja, hol a rés, mennyibe kerül, és mit tehet ellene a héten.

Két cég, ugyanaz a szabály, más sors

Képzeljen el két hasonló méretű céget. Mindkettő ugyanazt a GDPR-előírást követi, ugyanúgy kezeli az ügyféladatokat. Az egyiknél évekig nem történik semmi. A másiknál egy ügyfélpanasz nyomán fél év alatt hatósági vizsgálat indul, és a végén ott a határozat.

A különbség nem a magatartásban van. A különbség az időzítésben és a figyelemben — és ezek fölött Önnek nincs közvetlen kontrollja.

A számok ezt alátámasztják. A NAIH 2024-ben összesen 335 millió forint adatvédelmi bírságot szabott ki Magyarországon (dmp.hu NAIH-elemzés, 2024). Néhány tipikus tétel ugyanebből az évből:

Forrás: NAIH 2024-es bírságos esetek elemzése; a hatóság döntései nyilvánosak a NAIH Határozatok/Végzések oldalán.

Egy 20 milliós bírság egy kisvállalkozásnak nem tétel — hanem létkérdés. És nem azért érkezik, mert a cég „nem felelt meg”. Hanem mert egy panasz épp odairányította a hatóság figyelmét.

A mérlegelési tér, amit a törvényszöveg nem mutat meg

Minden felügyeleti hatóságnak van mozgástere. Nem köteles minden ügyet azonnal vizsgálni, és nem köteles minden határidőt a leggyorsabban kihasználni. Ezt hívják mérlegelési térnek. Teljesen törvényes — és pont ezért nem tud rá előre tervezni.

Nézze a NIS2-t. A kiberbiztonsági felügyeletet a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) látja el (SZTFH kiberbiztonsági felügyelet). Az első kötelező audit határideje a 2025. január 1. előtt működő szervezeteknek 2026. június 30. volt (SZTFH). A mulasztás ára a 189/2025. (VII. 3.) Korm. rendelet szerint legalább 1 millió forint. Az 1. § (1) bekezdés d) és e) pontja alá tartozókra a felső határ az előző évi nettó árbevétel 2 százaléka, de legfeljebb 150 millió forint. A b) pont és a 2–3. melléklet szerinti szervezeteknél a felső határ 50 millió forint (NJT).

A csapda nem a határidőben van. Hanem ebben: a kötelezettség önértékelésen alapul, és nincs automatikus hatósági értesítés arról, hogy Önre vonatkozik-e. Ön dönti el, hogy érintett-e. Az SZTFH ellenőrzései viszont már elindultak (RSM Hungary). Ha rosszul döntött, arról a vizsgálat pillanatában értesül — nem előtte.

A lényeg: a „betartható szabály” az Ön kezében van. A „kiszámítható alkalmazás” nincs. Az időzítés, a figyelem és a hatósági mérlegelés Önön kívül dől el. A megfelelés akkor erős, ha nem csak a szabályra, hanem a kiszámíthatatlanságra is felkészül.

Az ellenérv: nem összeesküvés, hanem erőforrás

Itt érdemes megállni, mert a mérlegelési tér nem rosszhiszeműség. Egy hatóságnak véges kapacitása van. Nem tud mindenkit egyszerre vizsgálni, ezért rangsorol: a panaszok, a bejelentések és a kockázati jelzések irányítják a figyelmét.

Ez normális működés. Az Ön szempontjából viszont a hatás ugyanaz: nem Ön választja meg, mikor kerül sorra. Egy nagyvállalatnak van jogi osztálya, ami ezt a kiszámíthatatlanságot napi rutinként kezeli. Egy KKV-nak nincs — Önnél egyetlen vizsgálat is megállíthatja a működést. A kisebb cég tehát nem azért sérülékenyebb, mert többet hibázik, hanem mert kevesebb pufferrel állja a véletlent.

Három fogás, amivel a maga oldalára billenti

A jó hír: a mérlegelési tér ellen nem a törvény újraolvasásával védekezik. Hanem azzal, hogy bármikor be tudja bizonyítani a jóhiszeműségét.

1. Vezessen audit nyomot — ne csak feleljen meg, legyen bizonyítéka róla. A formális megfelelés kevés. Ha egy döntése később gyanúsan néz ki, az számít, van-e írásos nyoma: mikor, ki, milyen információ alapján döntött. A NAIH és az SZTFH eljárásában a dátumozott dokumentum a legjobb védőügyvéd. Bírság helyett jellemzően azt nézik, megtette-e az Öntől elvárhatót — és ezt papírral igazolja.

2. A „formálisan jogszerű” még nem nyugalom. Ha egy lépés betartja a betűt, de kívülről úgy fest, mintha kibújna valami alól, az kockázat — akkor is, ha védhető. Tegye fel a kérdést: hogyan nézne ez ki egy vizsgáló szemével három év múlva? A NIS2 önértékelésénél ez különösen éles. Ha „nem vagyok érintett” döntést hozott, írja le, mi alapján — ne a fejében tartsa.

3. Készülj fel előre, ne a baj pillanatában. A felkészülés nem akkor kezdődik, amikor megérkezik a hatósági levél. Akkor már késő nyomot gyártani. A rendben intézett dokumentáció előre — szabályzat, döntési napló, felelősök neve — billenti a mérlegelési teret az Ön oldalára. A NIS2 első auditjának határideje 2026. június 30. volt. A GDPR-nál nincs ilyen naptári határidő, viszont bármelyik nap jöhet a panasz.

Figyelem: ha a megfelelése csak a szabály betűjéig terjed, de nincs mögötte dátumozott nyom, akkor a kiszámíthatatlan alkalmazás ellen védtelen. A papír nem bürokrácia — a papír a pajzsa.

Holnap reggel

Nézze meg a legutóbbi három üzleti döntését, amelyik szabályozott területet érintett: adatkezelés, kiberbiztonság, közbeszerzés, szerződés. Tegye fel egyetlen kérdést mindegyiknél: ha valaki két év múlva rákérdez, van-e írásos nyomom, hogy jóhiszeműen döntöttem? Ahol nincs — ott a dolga a héten.

Hogyan készült ez a cikk Szerző: Loop Magazin szerkesztőség.

Frissítve 2026. október 10-én: a 2026. június 30-i első NIS2-audit határideje lejárt. AI-segéd használata: háttér-kutatás és forrás-pakk összeállítása (NAIH, SZTFH, DLA Piper), ténylektor a számokra, helyesírás- és stílus-ellenőrzés. A tartalmi döntéseket ember hozta. Forrás-megjegyzés: ez elvi compliance-magyarázat, nem egyedi jogi tanácsadás. Konkrét ügyben kérjen személyre szabott jogi véleményt.