Miért most? — üzleti és jogi kockázat, nem IT-apróság
A kiberbiztonság ma nem az informatikus magánügye, hanem üzleti és jogi kockázat: ha baj van, a cég veszít pénzt, ügyfelet és jó hírnevet — és a felelősség a vezetésé. A NIS2 ezt ki is mondja: a kockázatkezelés jóváhagyása és felügyelete a felső vezetés átruházhatatlan felelőssége. Ez a nyitómodul megmutatja, miért épp most kell cselekedni, és mit tegyél elsőként vezetőként.
Miért üzleti és jogi kockázat?
Sokáig úgy gondoltunk a kiberbiztonságra, mint informatikai apróságra: „majd a rendszergazda beállít valamit". Ez ma már nem igaz. Egy zsarolóvírus napokra megállíthatja a céget, egy adatszivárgás ügyfeleket és jó hírnevet visz el, egy kiesés alatt nem érkezik bevétel. Ezek mind üzleti károk — és a felelősség jogilag is a vezetésé, nem az informatikusé.
A digitális világban az „épület" a céged működése, a „tűz" a kibertámadás vagy adatvesztés, a „menekülési terv" pedig az, hogy felkészültél-e: tudod-e, mi a legértékesebb, mi fenyegeti, és mit teszel, ha baj van. A NIS2 ezt a vezetői felelősséget nem javasolja, hanem kötelezővé teszi: a kockázatkezelés jóváhagyása és felügyelete a felső vezetés átruházhatatlan feladata. Vagyis a „ezt bízzuk az IT-sra és felejtsük el" hozzáállás ma már nemcsak üzletileg kockázatos, hanem jogilag is tartható.
Miért épp most?
A kiberbiztonság éveken át „majd egyszer" téma volt. Most három dolog egyszerre futott össze, és ezek együtt teszik sürgőssé: a szabályozás hatálya kiterjedt és határidők futnak, a partnereid nyomást gyakorolnak, és a tétlenségnek kézzelfogható ára van. Nézzük ezeket sorban.
Futnak a határidők
A NIS2-t átültető magyar szabályozás (a 2024. évi LXIX. törvény és végrehajtási rendeletei) hatálya kiterjedt, a felkészülési, regisztrációs és intézkedési határidők pedig futnak. A felkészülés hónapokat vesz igénybe — aki most kezd, időben végez. Hogy a céged pontosan érintett-e, az egyedi mérlegelés; nem minden cégre kötelező.
Az ellátási lánc nyomása
Ha egy NIS2-érintett nagyvállalat ügyfele vagy beszállítója vagy, ő számon kéri rajtad a saját megfelelését: egyre több partner és ügyfél kér megfelelési igazolást a szerződéshez. Aki nem tudja megadni, kiesik a versenyből — még akkor is, ha közvetlenül nem tartozna a hatály alá.
A tétlenség ára
Nem cselekedni is döntés — csak rossz. Egy incidens üzletkiesést, helyreállítási költséget és reputációs kárt okoz, a meg nem felelés pedig hatósági következményt és partnervesztést. A felkészülés költsége szinte mindig kisebb, mint egy komoly incidens vagy egy elveszített nagy ügyfél ára.
Mit tegyél elsőként? Ne ess pánikba, és ne akarj egyszerre mindent. Az első lépés nem szoftver vásárlása, hanem egy vezetői döntés: kézbe veszed a témát, kijelölsz egy felelőst, és felméreted, hol a céged legnagyobb kockázata. Innen már lépésekben haladhatsz — ezt mutatja meg a következő szakasz.
Mi felkészítünk, nem mi auditálunk. Ez az oldal általános tájékoztatás, nem jogi tanácsadás és nem hatósági állásfoglalás. A kötelező, független megfelelőségi auditot a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) által nyilvántartásba vett auditor végzi, külön díjért — ezt nem helyettesítjük. A jogszabályi adatok a tájékoztatás időpontjában (2026. június) hatályos állapotot tükrözik.
Hogyan kezdj hozzá vezetőként? — öt lépés
Nem kell hozzá kiberbiztonsági végzettség, és nem kell elsőre tökéletesnek lennie. A lényeg, hogy vezetőként elindulj, és a döntéseid ne megérzésen, hanem egy átlátható folyamaton alapuljanak.
Tisztázd, érintett-e a céged
Nézd meg, a tevékenységed és a méreted alapján a NIS2 hatálya alá eshet-e a céged — közvetlenül vagy egy érintett partner beszállítójaként. Ez nem minden cégre kötelező; az érintettség mindig egyedi. Erről bővebben a Megfelelőség modulban olvashatsz.
Vedd kézbe vezetőként és jelölj felelőst
A kockázatkezelés jóváhagyása és felügyelete a vezetés át nem ruházható felelőssége. Vond be magad, nevezz ki egy belső felelőst (vagy felelős kört), és tedd a témát rendszeresen napirendre — nem egyszeri projekt, hanem folyamatos feladat.
Mérd fel a legfontosabb értékeket és kockázatokat
Vedd számba, mi az értékes (adatok, rendszerek, folyamatok), mi fenyegeti, és mi lenne a kiesés üzleti hatása. Ebből lesz a prioritási sorrend. Ehhez ad keretet a Kockázatkezelés modul.
Készíts cselekvési tervet és ütemezést
Rendelj a legnagyobb kockázatokhoz konkrét intézkedést, felelőst és határidőt. Ne akarj egyszerre mindent — a fontossal kezdd, lépésekben haladj. Egy reális, ütemezett terv többet ér, mint egy tökéletes, de soha el nem indított elképzelés.
Dokumentálj és kérj felkészítő támogatást
Írd le a döntéseidet és intézkedéseidet — a megfelelést bizonyítani kell. Ahol kell, vonj be felkészítő szakértőt. A kötelező, független auditot ettől függetlenül az arra jogosult auditor végzi: mi felkészítünk, nem auditálunk.
Ha mélyebbre ásnál
Az alábbiak a vezetőnek és a NIS2-felkészülésért felelős kollégának szólnak — a laikus olvasó nyugodtan átugorhatja, a lényeg megértéséhez nem szükséges.
Az „átruházhatatlan" felelősség pontosan mit jelent?
Mi a magyar jogi háttér?
Hogyan kapcsolódik ez a Kisokos többi moduljához?
Gyors önellenőrzés
Három kérdés, amit ma fel tudsz tenni magadnak — nincs eszköz, nincs regisztráció. Ha bármelyikre „nem" vagy „nem tudom" a válasz, ott van a következő lépésed.
1 · Vezetői felelős
Van-e a cégnél kijelölt felelős a kiberbiztonságért, és tudja-e a vezetés, hogy a felelősség az övé? Ha a válasz „ezt az IT intézi", akkor a jogi felelősség még gazdátlan.
2 · Érintettség
Tisztáztátok-e már, hogy a NIS2 vonatkozik-e a cégre — közvetlenül vagy beszállítóként? Ha még senki nem nézte meg, ezzel érdemes kezdeni, mert ez szabja meg a tempót.
3 · Partner-igények
Kért-e már tőletek partner vagy ügyfél megfelelési igazolást? Ha igen, az ellátási lánc nyomása már megérkezett — és ez önmagában sürgeti a felkészülést.
Gyakori tévhit
„A kiberbiztonság az informatikus dolga, nem az enyém."
A technikai beállítások valóban az informatikusra tartoznak — de a döntés és a felelősség a vezetésé. A NIS2 ezt kifejezetten ki is mondja: a kockázatkezelés jóváhagyása és felügyelete a felső vezetés át nem ruházható feladata. Ahogy a tűzvédelemért sem a karbantartó felel, hanem a cégvezető, úgy a kiberbiztonságért is a vezetés tartozik számadással. Aki ezt „kiszervezi és elfelejti", nemcsak üzletileg kockáztat, hanem jogi felelősséget is vállal — anélkül, hogy tudná.
GYIK arról, miért most
Megvan a miért - hol álltok ma a felkészülésben?
A vezetői döntés és a kockázatfelmérés szervezeti munka, amit magadnak kell elindítanod — de a technikai kockázatok egy részét (kitett bejelentkező felületek, hiányzó biztonsági fejlécek, gyenge konfiguráció) egy ingyenes szivárgás-audit pár perc alatt megmutatja, konkrétan a saját domained alapján. Jó, kézzelfogható kiindulópont az első lépéshez.