A magyar első kiberbiztonsági audit határideje 2026. június 30. volt. Ha a cége NIS2 alá esik, és nincs lezárt jelentés, a hatóság szempontjából mulasztásban van — függetlenül attól, hogy „folyamatban van”.
Ez a cikk nem audit-útmutató. Azt írja le, mit dokumentáljon most, ha a határidő elmúlt, és mit vár el a gyakorlatban az SZTFH felügyelete.
A regisztráció dátuma nem ad plusz időt
Sok cég úgy számolt: ha későn került nyilvántartásba, az audit határideje is csúszik. A Régens az SZTFH-tól kért állásfoglalást — a válasz egyértelmű.
Ha 2025. január 1-jén már hatály alá tartozó tevékenységet végzett, az első audit határideje 2026. június 30., függetlenül attól, mikor nyújtotta be a regisztrációt, vagy mikor született a hatósági döntés (Régens / SZTFH állásfoglalás, 2026).
A határidőt nem az adminisztráció, hanem a tényleges érintettség határozza meg. A „két év a nyilvántartásba vételtől” értelmezés hibás.
Három külön mulasztás — három külön tét
A magyar rendszerben nem egy „audit lejárt” címke van. A gyakorlatban három dolog külön számít:
| Mulasztás | Mit jelent | Bírságkeret (forrás) |
|---|---|---|
| A nyilvántartási adatszolgáltatás elmulasztása (d) és e) pont) | Az adatszolgáltatást elmulasztotta | Az árbevétel 0,5%-a, legalább 1 millió Ft, legfeljebb 2%, de legfeljebb 150 millió Ft (3. melléklet 2. sor) |
| Késedelmes nyilvántartásba vétel | Későn regisztrált | 50 ezer Ft-tól legfeljebb az árbevétel 0,1%-a, de legfeljebb 15 millió Ft (3. melléklet 3. sor) |
| Nincs auditor-szerződés | 2025. augusztus 31. óta is hiányzik | 1 – 15 millió Ft (a 189/2025-tel módosított 418/2024. Korm. rendelet) |
| Nincs lezárt első audit | Június 30. után sincs jelentés | Legalább 1 M Ft. A d) és e) pont: árbevétel 2%-a, legfeljebb 150 M Ft. A b) pont és a 2–3. melléklet: legfeljebb 50 M Ft (a 189/2025-tel módosított 418/2024. Korm. rendelet) |
Frissítve 2026. október 10-én: a bírságsávok a 189/2025-tel módosított 418/2024. Korm. rendeletből valók. Az elmulasztott audit bírsága legalább 1 millió forint. A törvény 1. § (1) bekezdés d) és e) pontjánál a felső határ az előző évi nettó árbevétel 2 százaléka, de legfeljebb 150 millió forint. A b) pont és a 2–3. melléklet szerinti szervezeteknél a felső határ 50 millió forint.
Frissítve 2026. október 10-én: a nyilvántartási mulasztásnak két bírságsora van. A d) és e) pontnál a nyilvántartási adatszolgáltatás elmulasztása a 3. melléklet 2. sora: az árbevétel 0,5 százaléka, legalább 1 millió forint, legfeljebb 2 százalék, de legfeljebb 150 millió forint. A késedelmes regisztráció a 3. sor: 50 ezer forinttól legfeljebb az árbevétel 0,1 százaléka, de legfeljebb 15 millió forint.
A vezetőtestület tagjai a megfelelésért személyesen is felelősek — a felelősség nem vihető át teljesen az IT-re (NIS2 irányelv, 20. cikk).
A bírság gyakran a kisebb kár. A nagyobb: elutasított tender, partner due diligence, amit nem teljesít — lásd a belga ex-ante NIS2 példát.
Mit kell bizonyítani holnap reggel
Ha nincs lezárt audit, a hatóság nem azt nézi először, hogy „minden zöld-e”. Azt, hogy jóhiszeműen és dokumentáltan cselekedett.
1. Auditor-szerződés vagy írásos megállapodás. Ki a szerződött auditor (7/2024. SZTFH rendelet nyilvántartás)? Mikor kötötték? Van-e audit-időpont vagy ütemterv? Ha a szerződéskötés is elmaradt, az külön mulasztás — nem „csúszik” az audit határidejével (SZTFH kiberfelügyelet).
2. Gap-lista és intézkedési terv. Mi hiányzik ma: MFA a pénzügyi rendszeren, incidens-eljárás, beszállítói lista? Ki a felelős, mi a határidő? Az auditor ezt úgyis le fogja kérni — ha Ön előre dokumentálja, az jóhiszeműségi bizonyíték.
3. Vezetői nyilatkozat egy oldalon. Ki a kiberbiztonsági felelős a vezetőtestületben? Mikor tájékoztatták utoljára a testületet? Mi a nyitott kockázat, amit tudatosan vállal?
4. Incidens-eljárás — papír helyett név. Ki hívja az auditort, az SZTFH-t, az NKI-t 24 és 72 órán belül? Ha senki nem tudja fejből, az auditnál és valós incidensnél is bukás (NIS2 közös bejelentési sablon — két csatorna, két határidő).
5. Kommunikáció az SZTFH felé. Ha késésben van, a csend nem stratégia. A hatóság eddig is kooperatív hangot használt — a piaci tapasztalat szerint a dokumentált előrehaladás számít, nem a tökéletes zárójelentés egyik napról a másikra (Resiliently / SZTFH enforcement, 2026).
Mit ne csináljon most
- Ne „újraszámoljon” határidőt a regisztráció dátumából — az SZTFH állásfoglalása ezt kizárja.
- Ne delegáljon teljesen IT-re aláírás nélkül — a törvény a vezetőt nevezi meg.
- Ne várjon a tökéletes szabályzatra — az auditor a működést nézi, nem a 80 oldalas PDF-et (NIS2 három lépés).
- Ne keverje össze a magyar és az EU menetrendet — partner országban (pl. Belgium) más bizonyítékot kérhetnek, függetlenül a magyar audit státusztól.
Mi jön ezután
Az első audit nem végpont. Kétévente újra, incidens-bejelentés folyamatos, beszállítói kockázat frissül.
Július elsején a kérdés: van-e lezárt audit, vagy van-e dokumentált, jóhiszemű előrehaladás. Augusztus 2-ig más kérdés is élesedik: hol beszél AI az ügyfeleivel — de a kiber oldal ma is az Öné.
Ha még nem zárult le: ma reggel egy oldal — auditor státusz, gap-lista, vezetői aláírás. Holnap már bizonyíték.
Jogi megjegyzés Ez a cikk tájékozódás, nem jogi tanácsadás. A saját érintettséghez kérjen compliance-partnert. A Niviloop EU compliance-tanácsadó, nem ügyvédi iroda.
AI-közreműködés: AI-asszisztált váz — Gellai Róbert főszerkesztő lektorálta és jóváhagyta. Loop Magazin, 2026.
