Lejárt a NIS2 audit határideje: mit kell tenniük a cégeknek 2026-ban?

2026. június 30-án lejárt az első kiberbiztonsági audit elvégzésének határideje. De az audit vége nem az audit után teendők vége — sokkal inkább a következő, most már működő megfelelési szakasz kezdete.

Sok vállalkozás számára ez komoly mérföldkő volt. Hónapokon keresztül készültek dokumentációk, leltárak, kockázatelemzések és technikai intézkedések. Megtörtént az audit, elkészült a jelentés, és ezzel könnyű úgy érezni, hogy a NIS2-feladat végére értek.

Valójában most kezdődik a következő szakasz.

Az audit nem egy lezárható adminisztratív projekt, hanem pillanatfelvétel arról, hogy egy adott időpontban mennyire működnek a szervezet kiberbiztonsági intézkedései. A feltárt hiányosságokat kezelni kell, a megfelelően működő kontrollokat pedig fenn kell tartani és rendszeresen bizonyítani kell.

Az SZTFH 2026. július 10-i közleménye szerint a nyilvántartásban szereplő 2520 auditkötelezett szervezetből 2132 teljesítette határidőben az auditkötelezettségét. Az addig feldolgozott 1511 auditjelentésből mindössze 170 szervezet érte el a legmagasabb, „elhanyagolható kockázattal megfelelt" minősítést.

Ez jól mutatja, hogy az audit elvégzése és a lehető legjobb biztonsági állapot elérése nem ugyanaz.

Mit jelent valójában, hogy lejárt az audit határideje?

A határidő lejárta nem azt jelenti, hogy a NIS2-projektet le lehet zárni. Sokkal inkább azt, hogy a felkészülési időszak után megkezdődött a működő megfelelés időszaka.

A következő hónapokban a vállalkozásoknak három dolgot kell egyszerre kezelniük:

1. Az audit során feltárt hiányosságok kijavítása.
2. A már bevezetett intézkedések folyamatos működtetése és bizonyítása.
3. A következő audit, illetve egy esetleges hatósági ellenőrzés előkészítése.

A kiberbiztonsági követelmények nemcsak szabályzatokat jelentenek. Az auditor dokumentumokat vizsgál, interjúkat készíthet, teszteket végezhet, és azt is ellenőrzi, hogy a leírt folyamatok a gyakorlatban valóban működnek-e.

Nem elegendő tehát leírni, hogy a vállalkozás rendszeresen teszteli a biztonsági mentéseket. Bizonyítani is kell tudni, hogy mikor történt visszaállítási próba, mi volt az eredménye, ki ellenőrizte, és mit tettek az esetleges hibák után.

Melyik helyzetben van most a vállalkozásod?

Az audit határideje után nem minden cég ugyanonnan folytatja. Az első feladat annak tisztázása, hogy az alábbi három helyzet közül melyik vonatkozik rátok.

1. Az audit elkészült, és megkaptátok az auditjelentést

Ez a legjobb kiinduló helyzet, de önmagában még nem jelenti azt, hogy nincs további feladat.

Az auditjelentést nem érdemes egyszerűen elmenteni a dokumentumtárba. Vezetői és technikai szinten is át kell nézni:

• milyen összesített minősítést kapott a szervezet;
• mely elektronikus információs rendszereket vizsgálták;
• milyen hiányosságokat és kockázatokat találtak;
• mely intézkedésekhez hiányzik megfelelő bizonyíték;
• milyen feladatokat kell azonnal elvégezni;
• mely fejlesztések ütemezhetők későbbre;
• ki felel az egyes feladatok végrehajtásáért.

Az audit módszertana különbséget tesz az elhanyagolható, alacsony, közepes, magas és kritikus kockázati szintek között. Ezért nem elég annyit tudni, hogy „megvolt az audit". A tényleges kockázati besorolást és a részletes megállapításokat is érteni kell.

Mit tegyetek az első két hétben?

Készítsetek az auditjelentésből vezetői feladatlistát. Minden megállapítás mellé kerüljön:

• a kockázat rövid, üzleti nyelvű leírása;
• a javításhoz szükséges intézkedés;
• a felelős személy;
• a tervezett határidő;
• a szükséges költség vagy erőforrás;
• az elkészülést igazoló bizonyíték helye.

Ezzel az auditjelentés többé nem egy nehezen értelmezhető szakmai dokumentum lesz, hanem végrehajtható fejlesztési terv.

2. Az audit elkészült, de jelentős hiányosságok maradtak

Ez nem ritka helyzet. Az audit egyik célja éppen az, hogy láthatóvá tegye azokat a kockázatokat, amelyek a napi működésben addig rejtve maradtak.

A leggyakoribb hiba ilyenkor az, hogy a szervezet egyszerre próbál mindent kijavítani. A feladatlista gyorsan kezelhetetlenné válik, a napi működés pedig háttérbe szorítja a megfelelési munkát.

Érdemes kockázati sorrendben haladni.

Elsőként a közvetlen támadási lehetőségeket zárjátok le

Ilyenek lehetnek például:

• többtényezős hitelesítés nélküli adminisztrátori fiókok;
• nyilvánosan elérhető, nem megfelelően védett szolgáltatások;
• indokolatlanul széles VPN- vagy távoli hozzáférések;
• megszűnt munkaviszony után is aktív felhasználói fiókok;
• nem támogatott vagy hosszú ideje nem frissített rendszerek;
• közös, több ember által használt rendszergazdai fiókok;
• nem menedzselt laptopok és mobil eszközök;
• nem ellenőrzött külső beszállítói hozzáférések.

Ezután következzen a helyreállíthatóság

Egy technikai védelem sem jelent százszázalékos biztonságot. Ezért azt is bizonyítani kell, hogy egy támadás, hardverhiba vagy emberi tévedés után a vállalkozás képes helyreállítani a működését.

Ellenőrizzétek:

• készül-e minden kritikus rendszerről biztonsági mentés;
• van-e a mentésből elkülönített vagy módosíthatatlan példány;
• történt-e dokumentált visszaállítási teszt;
• ismert-e a helyreállításhoz szükséges idő;
• meghatározták-e, mely rendszereket milyen sorrendben kell visszaállítani;
• elérhetők-e a szükséges jelszavak, licencek és dokumentációk akkor is, ha a központi rendszer leáll?

Végül tegyétek működővé a folyamatokat

Gyakran nem az a probléma, hogy nincs szabályzat, hanem az, hogy a dolgozók nem ismerik, vagy a gyakorlatban másképp dolgoznak.

Tipikus példa, hogy létezik belépési és kilépési folyamat, de a HR nem jelzi időben az IT-nak a munkaviszony megszűnését. Papíron rendben van a jogosultságkezelés, a valóságban viszont napokig aktív marad a volt munkatárs hozzáférése.

A megfeleléshez a dokumentumnak, a technikai beállításnak és a napi működésnek ugyanazt kell mutatnia.

3. Nem készült el az audit, vagy a szervezet még nem jelentkezett be

Ebben a helyzetben a legrosszabb döntés a további várakozás.

Az SZTFH közleménye szerint a Hatóság a közhiteles nyilvántartások adatai alapján azokat a szervezeteket is vizsgálja, amelyek a bejelentkezési kötelezettségüknek nem tettek eleget. Ha a hatósági ellenőrzés során derül ki a regisztráció vagy az audit elmaradása, a szervezet figyelmeztetésben részesülhet, illetve a vonatkozó feltételek alapján akár 150 millió forintos bírság is kiszabható.

Ez nem jelenti azt, hogy minden késedelem automatikusan ekkora bírságot eredményez. A lehetséges következményeket mindig az adott ügy körülményei alapján kell megítélni. A mulasztás figyelmen kívül hagyása azonban tovább növeli a kockázatot.

Javasolt azonnali lépések

1. Ellenőrizzétek, hogy a vállalkozás valóban a jogszabály hatálya alá tartozik-e.
2. Pontosan azonosítsátok, mely kötelezettségek és határidők maradtak el.
3. Vegyétek fel a kapcsolatot nyilvántartott auditorral és szükség esetén az SZTFH-val.
4. Dokumentáljátok a jelenlegi állapotot és a késedelem rendezésére tett lépéseket.
5. Kezdjétek el a kritikus technikai és szervezeti hiányosságok javítását.
6. Készítsetek reális, vezető által jóváhagyott intézkedési tervet.

Egy utólag elkészített dokumentumcsomag nem helyettesíti a valós intézkedéseket. A cél annak bizonyítása, hogy a szervezet felismerte a helyzetet, felelőst és erőforrást rendelt hozzá, és ténylegesen megkezdte a kockázatok csökkentését.

Miért nem ér véget a NIS2 az audittal?

A hatályos kiberbiztonsági törvény a szervezet vezetésére folyamatos feladatokat ró. Ezek közé tartozik:

• a védelmi intézkedések rendszeres értékelése;
• a feltárt hiányosságok orvoslása;
• az információbiztonsági szabályzat felülvizsgálata;
• az elektronikus információs rendszerek biztonsági osztályának rendszeres és változás esetén soron kívüli felülvizsgálata;
• a munkatársak kiberbiztonsági oktatása;
• az események nyomon követhetőségének biztosítása;
• az incidensek gyors kezelése és szükséges bejelentése;
• a külső szolgáltatókkal szembeni kiberbiztonsági követelmények szerződéses rögzítése.

A törvény főszabály szerint kétévente írja elő a kiberbiztonsági követelményeknek való megfelelés audit útján történő bizonyítását. Emellett egy új rendszer, jelentős átalakítás, telephelybővítés, felhőbe költözés, cégfelvásárlás vagy súlyos incidens soron kívüli felülvizsgálatot és új intézkedéseket is indokolhat.

Az audit során átadott bizonyítékokat a szervezetnek legalább öt évig meg kell őriznie. Ezért már most érdemes kialakítani egy egységes bizonyítéktárat, nem pedig a következő audit előtt újra összegyűjteni mindent.

Gyakorlati 30 napos terv az audit után

Az alábbi ütemezés abban segít, hogy az auditjelentésből ténylegesen végrehajtott intézkedések szülessenek.

Időszak	Fő feladat	Kézzelfogható eredmény
1–5. nap	Auditjelentés vezetői és technikai áttekintése	Jóváhagyott, kockázat szerint rendezett feladatlista
6–10. nap	Kritikus hozzáférések, adminfiókok, VPN és nyilvános szolgáltatások ellenőrzése	A közvetlen támadási lehetőségek csökkentése
11–15. nap	Mentések és helyreállítási képesség tesztelése	Dokumentált visszaállítási próba és javítási terv
16–20. nap	Jogosultságkezelési, incidenskezelési és beszállítói folyamatok rendezése	Működő, felelősökkel ellátott eljárások
21–25. nap	Hiányzó dokumentáció és bizonyítékok rendezése	Egységes, visszakereshető bizonyítéktár
26–30. nap	Vezetői felülvizsgálat és következő negyedéves terv	Jóváhagyott költségkeret, felelősök és mérföldkövek

Milyen bizonyítékokat érdemes folyamatosan gyűjteni?

• frissítési és sérülékenységkezelési riportok;
• végpontvédelmi és monitoringjelentések;
• biztonsági mentési és visszaállítási tesztek jegyzőkönyvei;
• felhasználói és adminisztrátori jogosultság-felülvizsgálatok;
• belépő és kilépő munkatársak hozzáférés-kezelési nyomvonalai;
• incidensnaplók és az incidensek után elvégzett intézkedések;
• munkatársi oktatások és tesztek igazolásai;
• beszállítói hozzáférések és szerződéses követelmények felülvizsgálata;
• tűzfal-, VPN- és hálózati változtatások dokumentációja;
• vezetői döntések, kockázatelfogadások és jóváhagyások.

Mit kérdezzen a cégvezető havonta?

A vezetőnek nem kell minden technikai részletet ismernie. Arra viszont szüksége van, hogy rendszeresen átlássa a vállalkozás tényleges kockázatait.

Egy rövid havi kiberbiztonsági riport legalább az alábbi kérdésekre válaszoljon:

1. Hány magas vagy kritikus kockázatú auditmegállapítás van még nyitva?
2. Mely feladatok csúsznak, és miért?
3. Van-e többtényezős hitelesítés nélküli kiemelt jogosultságú fiók?
4. Mekkora a frissített és központilag felügyelt végpontok aránya?
5. Sikeres volt-e a legutóbbi biztonsági mentés és visszaállítási próba?
6. Történt-e biztonsági incidens vagy incidensközeli esemény?
7. Felülvizsgálták-e a kilépő dolgozók és külső partnerek hozzáféréseit?
8. Mely üzleti vagy informatikai változás érintheti a jelenlegi kockázati besorolást?

Ha ezekre a kérdésekre nincs gyors és ellenőrizhető válasz, akkor valószínűleg a megfelelőség fenntartása sem megfelelően irányított.

Öt hiba, amit érdemes elkerülni az audit után

1. Az auditjelentés bekerül a fiókba

Az audit értéke nem maga a dokumentum, hanem az abból elindított javítás. Felelősök és határidők nélkül a megállapítások rövid idő alatt elvesznek a napi feladatok között.

2. Csak a dokumentációt javítják

Egy szép szabályzat nem kapcsolja be az MFA-t, nem frissíti a tűzfalat, és nem teszteli a mentést. A dokumentációnak a tényleges működést kell leírnia.

3. Az IT-ra hagyják az egész megfelelést

A NIS2 nem kizárólag informatikai feladat. Érinti a vezetést, a HR-t, a beszerzést, a jogi területet, a beszállítói szerződéseket és az üzletmenet-folytonosságot is.

4. Minden feladat ugyanolyan prioritást kap

Egy hiányzó dokumentumsablon és egy internet felől elérhető, nem frissített rendszer nem jelent azonos kockázatot. Először azt kell kezelni, amiből valódi incidens vagy leállás lehet.

5. A következő audit előtt kezdik újra a felkészülést

Ha a bizonyítékok és ellenőrzések folyamatosan készülnek, a következő audit már nem több hónapos kapkodás lesz. A cél az, hogy az auditálható működés a napi folyamatok része legyen.

Hogyan tud ebben segíteni a BUSINESS-IT?

A független kiberbiztonsági auditot az SZTFH nyilvántartásában szereplő auditor végezheti. A BUSINESS-IT feladata nem az auditor helyettesítése, hanem a vállalkozás technikai és működési felkészültségének kialakítása, illetve az audit során feltárt hiányosságok kijavításának támogatása.

Segítünk többek között:

• az auditjelentés technikai megállapításainak értelmezésében;
• a teendők üzleti kockázat szerinti priorizálásában;
• a végpontok, szerverek és hálózat központi felügyeletének kialakításában;
• az MFA, a jogosultságkezelés és a biztonságos távoli hozzáférés rendezésében;
• a mentési és helyreállítási rendszer felülvizsgálatában;
• a naplózás, monitoring és incidenskezelés gyakorlati megvalósításában;
• a szükséges technikai bizonyítékok és riportok előállításában;
• a megfelelőség folyamatos fenntartásában.

Van auditjelentésetek, de nem világos, mivel kellene kezdeni?

Egy rövid egyeztetésen áttekintjük a jelenlegi helyzetet, elkülönítjük a valóban sürgős feladatokat az ütemezhető fejlesztésektől, és végrehajtható következő lépéseket határozunk meg.

→ Kérek NIS2 felkészítő egyeztetést

Gyakori kérdések

Lejárt a határidő. El lehet még végeztetni a kiberbiztonsági auditot?

A határidő elmulasztása nem szünteti meg a kötelezettséget. Az érintett szervezetnek érdemes haladéktalanul tisztáznia a státuszát, felvennie a kapcsolatot nyilvántartott auditorral, és szükség esetén az SZTFH-tól vagy jogi szakértőtől hivatalos iránymutatást kérnie. A további késlekedés növelheti a kockázatot.

Ha teljesítettük az auditot, mikor lesz a következő?

A kiberbiztonsági törvény főszabály szerint kétévente írja elő a megfelelés audit útján történő bizonyítását. A pontos következő esedékességet az előző audit időpontja, a szervezet státusza és az akkor hatályos szabályok alapján érdemes az auditorral ellenőrizni. Hatósági elrendelés vagy jelentős változás további vizsgálatokat is szükségessé tehet.

A sikeres audit azt jelenti, hogy a cég biztonságban van?

Nem. Az audit egy meghatározott időpontban és meghatározott vizsgálati körben értékeli a szervezetet. Új sérülékenységek, dolgozói változások, rendszerfejlesztések és beszállítói hozzáférések később új kockázatokat hozhatnak létre.

Ki felel a NIS2-megfelelés fenntartásáért?

A kiberbiztonság vezetői felelősség, amelyhez kijelölt szakmai felelős, belső munkatársak és külső szolgáltatók is kapcsolódhatnak. A feladat nem adható át teljes egészében sem az IT-részlegnek, sem egy külső rendszergazdának.

Meddig kell megőrizni az audit bizonyítékait?

Az 1/2025. (I. 31.) SZTFH rendelet alapján az auditor által átadott bizonyítékokat a kiberbiztonsági audit lezárásától számított öt évig kell megőrizni.

Összefoglalás

A 2026. június 30-i határidő fontos mérföldkő volt, de nem a NIS2-feladatok vége.

Annak a vállalkozásnak, amely teljesítette az auditot, most a megállapítások javítására és a működő megfelelőség fenntartására kell koncentrálnia. Aki lemaradt, annak nem érdemes tovább várnia: tisztázni kell a kötelezettségeket, fel kell venni a kapcsolatot a megfelelő szereplőkkel, és dokumentált intézkedési tervet kell indítani.

A következő audit akkor lesz lényegesen egyszerűbb, ha a kiberbiztonság addig nem külön projektként, hanem a napi működés részeként jelenik meg.

---

Fontos megjegyzés: Ez a cikk általános tájékoztatás. Egy konkrét vállalkozás jogi státuszát, határidőit és hatósági kötelezettségeit mindig az aktuális jogszabályok, az SZTFH tájékoztatása és szükség esetén megfelelő jogi vagy kiberbiztonsági szakértő bevonásával kell megítélni.