NIS2 bírságok és szankciók Magyarországon: mennyit kockáztat a cége?

Mit szabályoz a magyar NIS2-törvény?

A 2024. évi LXIX. törvény (Magyarország kiberbiztonságáról) határozza meg azokat a kiberbiztonsági kötelezettségeket, amelyeket az érintett szervezeteknek teljesíteniük kell, valamint a hatósági felügyelet és a szankciók rendszerét.

A törvény hatálya alá azok a szervezetek tartoznak, amelyek középvállalkozásnak minősülnek, vagy amelyek összes foglalkoztatotti létszáma eléri vagy meghaladja az 50 főt, illetve éves nettó árbevétele meghaladja a 10 millió eurónak megfelelő forintösszeget (§ 1). Bizonyos szolgáltatók (például elektronikus hírközlési, bizalmi, DNS- és doménnév-szolgáltatók) méretüktől függetlenül a hatály alá esnek.

A szervezetek két kategóriába sorolódnak:

• alapvető szervezet – többek között a 2. melléklet szerinti, középvállalkozást elérő vagy meghaladó szervezetek, valamint a minősített bizalmi szolgáltatók, a legfelső szintű doménnév-nyilvántartók és a DNS-szolgáltatók méretüktől függetlenül;
• fontos szervezet – a 2. melléklet szerinti, alapvető szervezetnek nem minősülő szervezetek, valamint a 3. melléklet szerinti szervezetek.

Ez a besorolás közvetlenül befolyásolja a kiszabható bírság maximumát.

Milyen jogkövetkezmények léteznek?

A törvény szerint (§ 30) a hatóság nem azonnal bírságol, hanem fokozatos eszközöket alkalmaz. Ha a szervezet nem teljesíti a biztonsági követelményeket vagy nem hárítja el a hiányosságokat, a kiberbiztonsági hatóság:

• figyelmezteti a szervezetet, és megfelelő határidő tűzésével felszólítja a hiányosságok elhárítására;
• kötelezheti a jogsértő magatartás megszüntetésére;
• a szervezet költségére információbiztonsági felügyelőt rendelhet ki;
• ha az intézkedések ellenére sem teljesül a követelmény, bírságot szabhat ki.

A törvény kifejezetten rögzíti, hogy a hatóság az arányosság és a fokozatosság szempontjait figyelembe véve jár el (§ 30).

A bírságok maximális összegei: alapvető vs. fontos szervezet

A konkrét bírságösszegeket a végrehajtási rendelet (418/2024. Korm. rendelet § 42) határozza meg. A kiszabható legmagasabb bírság a szervezet besorolásától függ:

A legmagasabb bírság forintösszegének meghatározásánál a bírságot kiszabó határozat meghozatalának napján a Magyar Nemzeti Bank által közzétett euró-árfolyamot kell alapul venni (§ 42).

Fontos, hogy a százalékos alap a globális éves forgalom – tehát nemzetközi cégcsoport esetén ez az összeg jelentősen meghaladhatja a fenti euróösszegeket.

A vezető személyes felelőssége

A magyar szabályozás nemcsak a szervezetet, hanem a vezetőt is felelőssé teszi. A törvény a legtöbb kulcskötelezettséget kifejezetten a szervezet vezetőjéhez rendeli: a kockázatmenedzsment keretrendszer létrehozása és működtetése, az információbiztonsági szabályzat kiadása, a felelős személy kijelölése és a hatósággal való együttműködés is a vezető feladata (§ 6, § 8, § 11).

A végrehajtási rendelet ehhez konkrét szankciót is fűz: ha a szervezet vezetője a jogszabályban előírt kötelezettségének nem tesz eleget, a nemzeti kiberbiztonsági hatóság 15 millió forintig terjedő bírsággal sújthatja, ismételt jogsértés esetén pedig sújtja (418/2024. Korm. rendelet § 42).

A jogkövetkezmények mértékének megállapításakor a hatóság több szempontot mérlegel (418/2024. Korm. rendelet § 38), többek között:

• a megsértett védelmi követelmény súlyát és a jogsértés időtartamát;
• történt-e jelentős vagy nagyszabású kiberbiztonsági incidens, és annak hatását;
• az okozott vagyoni vagy nem vagyoni kárt;
• az esemény egyedi vagy ismételt jellegét és a korábbi jogsértéseket;
• a szándékosságot vagy gondatlanságot, valamint a kár mérséklésére tett intézkedéseket.

Súlyos jogsértésnek minősül többek között az ismételt jogsértés, a jelentős incidensek bejelentésének vagy orvoslásának elmaradása, a hatósági utasítások figyelmen kívül hagyása, az ellenőrzések akadályozása, valamint a hamis vagy súlyosan pontatlan információk közlése (§ 38).

Melyik hatóság szab ki bírságot?

A felügyeletet és a bírságkiszabást a szervezet típusától függően különböző hatóságok látják el (§ 23, 418/2024. Korm. rendelet § 42):

• az 1. § (1) bekezdés a)–c) és f) pontja szerinti szervezetek esetében a nemzeti kiberbiztonsági hatóság (a végrehajtási rendelet szerint a Nemzetbiztonsági Szakszolgálat);
• az 1. § (1) bekezdés d) és e) pontja szerinti szervezetek esetében a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH).

A bejelentés és a nyilvántartásba vétel pontos elektronikus csatornáját [TÁPSUSTAB PARTNER-JURIST].

Hogyan csökkentheti a kockázatot? A bírságok elkerülésének legjobb módja a megelőzés: mérje fel, hogy cége a hatály alá tartozik-e, és melyik kategóriába (alapvető vagy fontos szervezet) esik. Használja ingyenes felmérő- és hiányelemző eszközünket, hogy azonosítsa a legfontosabb tennivalókat, mielőtt a hatóság megteszi.