150 millió forint a tét — a NIS2-audit, amit egy gyártó cégvezető nem delegálhat A NIS2 kiberbiztonsági audit határideje 2026. június 30-án lejárt (SZTFH). Ha gyártó cége eléri az 50 főt, vagy az éves nettó árbevétel és a mérlegfőösszeg is meghaladja a 10 millió eurót, akkor ez Önről szól. Gyártó cégnél (a kiberbiztonsági törvény 1. § (1) d) pontja szerint) az elmulasztott audit bírsága legalább 1 millió forint, legfeljebb az árbevétel 2 százaléka, de legfeljebb 150 millió forint.
Frissítve 2026. október 10-én: a 2024. évi LXIX. törvény mérethatára az 50 foglalkoztatott, vagy a 10 millió eurót meghaladó éves árbevétel és a 10 millió eurót meghaladó mérlegfőösszeg együtt. Gyártó cégnél az elmulasztott audit bírsága a 189/2025-tel módosított 418/2024. Korm. rendelet szerint legalább 1 millió forint, legfeljebb az árbevétel 2 százaléka, de legfeljebb 150 millió forint.
Sok cégvezető azt hiszi, ez tisztán informatikai ügy. Nem az. A törvény a felelősséget a vezetőre telepíti, nem a rendszergazdára.
Miért az Ön asztalán van ez A NIS2 a felső vezetést teszi felelőssé a megfelelésért. A bírságot a cég kapja, a számonkérés pedig a vezetőé. Ezt nem lehet egy külsős IT-cégre áthárítani aláírás nélkül.
A magyar hatóság a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH). Három mulasztást is külön szankcionál: a nyilvántartási adatszolgáltatás elmulasztását a 189/2025-tel módosított 418/2024. Korm. rendelet 3. mellékletének 2. sora szerint akár 150 millió forintig, az auditor-szerződés hiányát 1–15 millió forintig, az audit elmaradását legalább 1 millió forinttól, legfeljebb az árbevétel 2 százalékáig, de legfeljebb 150 millió forintig.
Először döntse el: érintett-e egyáltalán Két feltételnek kell egyszerre teljesülnie. Az egyik a méret, a másik az ágazat.
A méret-küszöb: legalább 50 fő, vagy a 10 millió eurót meghaladó éves árbevétel és a 10 millió eurót meghaladó mérlegfőösszeg együtt. Aki ez alatt marad, az kieshet a hatály alól.
Az ágazat: a gyártás és az élelmiszer-feldolgozás nevesített, érintett szektor (NKI). Egy 60 fős fémmegmunkáló vagy egy 80 fős élelmiszeripari üzem tehát jó eséllyel benne van.
Gyors önteszt: gyárt vagy feldolgoz? Elérte az 50 főt, vagy az árbevétel és a mérleg is 10 millió euró felett van? Ha az ágazat és a méret is igen, akkor érintett.
A határidő, ami már lejárt Itt jön a kellemetlen rész. Az auditorral kötendő szerződés határideje 2025. augusztus 31. volt (RSM Hungary). Ez a nap elmúlt.
Aki nem kötött szerződést auditorral, az ma is mulasztásban van. A szerződés hiánya önmagában bírságalap, függetlenül az audit végeredményétől.
Az audit teljesítésének határideje viszont csúszott. Eredetileg 2025. december 31. volt, de az SZTFH és az MKIK közösen fél évvel kitolta 2026. június 30-ra (Telex). Ez a haladék lejárt.
Figyelem: A határidő-hosszabbítás csak az auditra vonatkozott, a szerződéskötésre nem. A két dátumot sokan összekeverik — és pont ezen buknak el.
A négy lépés – ha még nem készült el.
A folyamat négy lépésre bontható. Egyik sem igényel mély informatikai tudást a döntéshez.
Tisztázza az érintettséget. Nézze meg a létszámot, az árbevételt és a fő tevékenységi kört. Ha határeset, kérjen jogi vagy compliance-véleményt írásban.
Regisztráljon az SZTFH-nál. A nyilvántartásba vétel Cégkapun keresztül, az SZTFH 420 űrlappal történik (Infobiz). Ezzel egyidejűleg sorolja biztonsági osztályba a rendszereit — alap, jelentős vagy magas a 7/2024. (VI. 24.) MK rendelet szerint.
Szerződjön auditorral, és időzítse az auditot. Válasszon nyilvántartott auditort, kösse meg a szerződést. Aki még nem készült el, annak az auditornak idő kell a vizsgálatra: a június 30-i határidő már lejárt.
Készüljön a díjra és a ciklusra. Az éves felügyeleti díj a biztonsági osztályba sorolással áll be. Ezután már nem egyszeri feladat — az auditot kétévente meg kell ismételni (SZTFH).
Mibe kerül, és mi jön utána A felügyeleti díjnak felső korlátja van: legfeljebb az éves árbevétel 0,015%-a, de maximum 10 millió forint évente (Andersen). Egy középvállalatnak ez kiszámítható, tervezhető tétel.
A 2025. január 1. után indult cégekre enyhébb a naptár: az első auditot a nyilvántartásba vételtől számított két éven belül kell elvégeztetni (RSM Hungary). A régebbi cégekre viszont a június 30-i határidő lejárt.
A kétéves ciklus a lényeg. A NIS2 nem egy pecsét, amit egyszer beszerez. Visszatérő kötelezettség, amit érdemes a cég működésébe építeni.
Gyakori kérdések
Érintett-e egy gyártó cég a NIS2 alatt?
Két feltétel együtt: a méret (legalább 50 fő, vagy 10 millió euró feletti árbevétel és mérlegfőösszeg együtt) és a gyártás vagy élelmiszer-feldolgozás mint nevesített ágazat. Egy 60 fős fémmegmunkáló vagy 80 fős élelmiszeripari üzem jó eséllyel benne van.
Mi a különbség a szerződéskötési és az audit-határidő között?
Az auditorral kötendő szerződés határideje 2025. augusztus 31. volt, ez lejárt, és a hiánya önmagában bírságalap. Az első audit határidejét az SZTFH és az MKIK 2026. június 30-ra tolta; ez a határidő lejárt. A hosszabbítás csak az auditra vonatkozott.
Milyen gyakran kell megismételni a NIS2-auditot?
Kétévente. A 2025. január 1. után indult cégeknek az első auditot a nyilvántartásba vételtől számított két éven belül kell elvégeztetni. Az éves felügyeleti díj legfeljebb az árbevétel 0,015%-a, de maximum 10 millió forint.
Egy kérdés, amit holnap reggel feltesz magának Ne a teljes szabályozást próbálja fejben tartani. Tegye fel magának ezt az egy kérdést: ki felel nálam név szerint a NIS2-határidőért, és van-e aláírt auditor-szerződés a fiókban?
Ha nincs név és nincs szerződés, akkor ez a héten az Ön feladata. Az első audit határideje 2026. június 30-án lejárt, a szerződéskötési határidő pedig már korábban lejárt — aki még nem készült el, annak minden hét csúszás szűkíti a mozgásteret.
