Nagyító · Kibervédelem
2026. június 30-án lejárt az első magyar NIS2-audit időszak a 2025. január 1. előtt indult, auditkötelezett szervezeteknek. Az RSM Hungary által idézett SZTFH-számok szerint a nyilvántartásban szereplő 2520 auditkötelezettből 2132 határidőben teljesített — ez kb. 84,6% (RSM, 2026). A Jogászvilág / ICT Global összefoglalói ugyanerre a mérföldkőre mutatnak: a többség lezárt, de jelentős számú szervezet a bejelentkezést is elmulasztotta, és a hatóság közhiteles nyilvántartások alapján felszólít.
Peer: a júliusi „június 30. után — mit bizonyíts” a hiányzó auditot tárgyalta. Ez a cikk a lezárás utáni szakaszról szól — és arról, mi vár a 15–16 százalékra.
Ez tájékoztató, nem jogi tanács. A bírságkeretek és az eljárásrend a hatályos kormányrendeletek szerint változnak; a saját ügyedet auditorral / jogásszal érdemes nézni.
Három sáv — hol állsz
| Sáv | Állapot | Holnap reggel |
|---|---|---|
| A | Audit lezárva, jelentés be | Kontrollok működnek-e, nem csak a PDF |
| B | Audit folyamatban / késve | Felzárkózási terv + auditor státusz írásban |
| C | Bejelentés / audit hiányzik | Felszólítás kockázat; a sajtóban emlegetett bírságplafon akár 150 M Ft |
Az SZTFH üzenete egyértelmű: a kiberbiztonság nem egyszeri állapot. A következő auditnál a naprakészség, a kontrollok tényleges működése és a vezetői utánkövetés számít.
Mi a csapda
A csapda a „megúsztuk, zöld a jelentés”. A nyár utáni hónapokban az ellenőrzési figyelem a mulasztókra és a papíron szép, gyakorlatban üres rendszerekre megy. Ha a kockázatkezelési terv 2025-ös, az EIR-lista pedig nem követi a SaaS-cseréket, a következő körben a „sikeres audit” nem ismétlődik automatikusan.
Másik csapda: a be nem jelentkezők reménye, hogy „majd holnap”. A hatóság nyilvántartásból indított felszólítása után a figyelmeztetés és a bírság sávja már nem elmélet.
Döntési szabály
- Ha A sáv: 90 napos belső felülvizsgálat a kockázatkezelési tervre + EIR-listára; egy vezetői aláírás.
- Ha B sáv: írásos státusz az auditortól + felzárkózási dátum a vezetői naptárban.
- Ha C sáv: ma indíts bejelentést / auditor-szerződést — ne a bírságlevél után.
Mit jelent a 84,6% a board asztalán
A szám nem dicsekvés. Azt mondja: a többség formailag átment az első körön. A hatóság és az auditorok üzenete viszont az, hogy a következő kör a működésre megy. A vezetői elkötelezettség és a felkészült információbiztonsági felelős — a sajtóösszefoglalók szerint — a sikeres audit kulcsa volt. Ha a ti A sávos zöldetek mögött egyetlen ember áll, aki július óta távozott, a 84% nem a tiétek.
Kérdezd meg a következő vezetői órán:
- Ki a kinevezett információbiztonsági felelős név szerint?
- Mikor volt az utolsó kockázatkezelési felülvizsgálat a június 30-i audit óta?
- Hol van az EIR-lista — és benne van-e a nyáron bevezetett új SaaS?
Ellenőrzés és mulasztás — mit ír a sajtó
A Jogászvilág / ICT Global összefoglalói szerint a hatóság a bejelentkezést elmulasztókat is keresi, közhiteles nyilvántartások alapján. A mulasztás következménye lehet figyelmeztetés és bírság; a nyilvános beszámolók 150 millió forintos plafont említenek. Ez nem azt jelenti, hogy holnap mindenki megkapja — azt igen, hogy a C sáv nem „majd jövőre” stratégia.
Kapcsolat a CRA-val
A NIS2 és a CRA nem ugyanaz. Ha gyártó / forgalmazó is vagy, a szeptember 11-i CRA-jelentés külön órázik. Peer: 30 nap a CRA-jelentésig. A boardon ne egy „kiber” sor legyen — legyen két sor: NIS2 folyamatos bizonyítás + CRA 24 órás döntő.
90 napos felülvizsgálat — sablon a vezetőségnek
Másold a következő három pontot a következő board deckre:
- Audit státusz: A / B / C sáv (egy szó).
- Utolsó kockázat-felülvizsgálat dátuma + következő dátum.
- Egy ismert rés (például: nyári SaaS nincs az EIR-listán) + felelős + határidő.
Ha a decken csak „NIS2 OK” áll, az nem irányítás. A 84,6% a piacé — a ti bizonyítékotok a három pont.
A következő auditciklus kétévente jön — de a hatósági ellenőrzés nem várja a naptár végét. A tervezett és a rendkívüli ellenőrzés sávját a magyar végrehajtás ismeri; a panasz, az incidensjelzés vagy a nyilvántartási eltérés indíthat eljárást. Ezért az A sáv sem „pihenőév”.
Holnap reggel: „84 százalék lezárt — mi A, B vagy C sávban vagyunk, és ki felel a következő 90 napos felülvizsgálatért?”