NIS2 megfelelés-GYIK
Az alábbiakban összegyűjtöttük a leggyakrabban felmerülő kérdéseket és az azokhoz kapcsolódó válaszokat, hogy segítsünk eligazodni az NI2 képzési kötelezettséggel kapcsolatos legfontosabb tudnivalókban.
1. Kire vonatkozik a kibervédelmi törvény, és ezáltal a kötelező képzéseken való részvétel?
Kire vonatkozik a törvény, és ezáltal a kötelező képzéseken való részvétel?
Azon szervezetre, amely:
- legalább 50 főt foglalkoztat;
- vagy éves nettó árbevétele meghaladja a 10 millió eurónak megfelelő forintösszeget;
- illetve a közigazgatási ágazathoz tartozó
- valamint a kiemelten kockázatos ágazatban működik
- Energetika (pl: villamosenergia, távfűtés- és hűtés, kőolaj, földgáz hidrogén),
- Közlekedés,
- Egészségügy (pl: gyógyszergyártás, gyógyszernagykereskedelem, laboratórium, orvostechnikai eszköz gyártás),
- Viziközmű szolgáltatás,
- Hírközlés,
- Digitális infrastruktúra (pl: felhőszolgálató, adatközpont, doménnév nyilvántartó, DNS szolgáltató) ,
- IKT szolgáltatók (outsourcing, itsecurity)
- Űralapú szolgáltatás
- továbbá ha kockázatos ágazatban működik
- Postai és futárszolgálat,
- Hulladékgazdálkodás
- Vegyipar
- Gyártóipar (pl. Autóipar, elektronika, gépgyártás)
- Digitális szolgáltatók (piactér, kereső, social platformok)
- Élelmiszeripar (előállítás, forgalmazás)
- Kutatás
2. Hány órás a kötelező NIS2 IBF továbbképzés?
A kötelező NIS2 képzések és a továbbképzések előírásait a 17/2025 EM rendelet tartalmazza, mely a Magyarország kiberbiztonságáról szóló törvény szerinti végzettségekre, szakképzettségekre, valamint képzésekre és továbbképzésekre vonatkozó követelményekről szól. A jogszabály egyik lényeges előírása szerint az elektronikus információs rendszer biztonságáért felelős személynek (IBF) évente legalább 20 órás továbbképzésen kell részt vennie.
3. Hány órás a kötelező NIS2 vezetői továbbképzés?
A kötelező NIS2 képzések és a továbbképzések előírásait a 17/2025 EM rendelet tartalmazza,mely a Magyarország kiberbiztonságáról szóló törvény szerinti végzettségekre, szakképzettségekre, valamint képzésekre és továbbképzésekre vonatkozó követelményekről szól
A jogszabály a szervezet vezetőjét is kötelezi:
- a vezetővé válását követő egy éven belül legalább 8 órás képzésen köteles részt venni;
- ezt követően évente legalább 4 órás továbbképzésen kell részt vennie.
4. Ki lehet IBF?
A rendelet szerint elektronikus információs rendszer biztonságáért felelős személy (IBF) az lehet, aki felsőfokú végzettséggelrendelkezik.
Emellett a rendelet meghatározza, hogy az IBF tekintetében a Kiberbiztonsági tv. alapján elfogadható szakképzettségek és akkreditált nemzetközi képzettségek listáját a nemzeti koordinációs központ állítja össze és teszi közzé.
5. Milyen végzettség kell az IBF és a vezetői kötelező NIS2 képzéshez?
IBF
A 17/2025 EM rendelet 2. § (1) szerint:„Elektronikus információs rendszer biztonságáért felelős személy felsőfokú végzettséggel rendelkező személy lehet.”
A rendelet ezen túl az elfogadható szakképzettségek és akkreditált nemzetközi képzettségek listájára utal, amelyet a nemzeti koordinációs központ állít össze és tesz közzé.
IBF esetén tehát: felsőfokú végzettség + a vonatkozó elfogadhatószakképzettség/akkreditált nemzetközi képzettség követelménye releváns.
Szervezeti vezető
A vezetői képzéshez/továbbképzéshez a rendelet nem ír elő végzettségi követelményt.A 4. § viszont kimondja, hogy a szervezet vezetője köteles részt venni a meghatározott képzésen és továbbképzésen.
6. Mik a fontos határidők a NIS2-vel kapcsolatban?
2026 december 31.
A 2025. december 31. előtt kinevezett vagy megbízott IBF első alkalommal 2026. december 31-ig köteles elvégezni a 17/2025 EM rendelet 3. § szerinti továbbképzést.
Ugyancsak a 2025. december 31. előtt kinevezett vagy megbízott szervezeti vezető a 8 órás vezetői képzést 2026. december 31-ig köteles elvégezni.
2027. december 31.
Ha az IBF nem rendelkezik a rendelet szerinti szakképzettséggel, akkor 2027. december 31-ig meghatározott esetekben legalább 5 év szakmai tapasztalat fogadható el az alkalmassági követelmény teljesítéseként. A rendelet felsorolja, milyen információbiztonsági/kiberbiztonsági területeken szerzett tapasztalat fogadható el.
7. SZTFH ellenőrzések – hogyan működnek, mikor lehet rájuk számítani?
A rendelet azt mondja ki, hogy a kiberbiztonsági hatóság vizsgálhatja:
- a képzés/továbbképzés tananyagát;
- azt, hogy a képző teljesíti-e a rendeletben meghatározott feltételeket;
- a képzés/továbbképzés elvégzését;
- a mentesülésre okot adó körülmények fennállását.
Az ellenőrzés során a képzésben részt vevő személynek a teljesítést tanúsítvánnyal, mentesülés esetén pedig az azt igazoló okirattal kell igazolnia. Ha az igazoló okiratból nem derül ki a mentesülés alapjául szolgáló képzés tartalma, további dokumentummal kell igazolni, hogy az előírt tárgyköröket és óraszámot teljesítette.
8. Kiváltható-e az IBF továbbképzés CISA, CISM minősítéssel?
A rendelet kifejezetten kimondja, hogy az IBF továbbképzési kötelezettsége alól nem mentesít önmagában az IBF alkalmassági feltételeként meghatározott végzettség vagy szakképzettség megszerzése, még akkor sem, ha az adott képzés tartalmazta a 17/2025 EM rendelet 3. § szerinti tárgyköröket.
Ugyanakkor a rendelet szerint az elfogadható akkreditált nemzetközi képzettségek listáját a nemzeti koordinációs központ állítja össze és teszi közzé, és ezt a listát legalább évente felülvizsgálja.
Ezért a rendelet önmagában nem mondja ki, hogy a CISA vagy CISM kiváltja az éves 20 órás IBF továbbképzést. A CISA vagy CISM elfogadhatóságát az elfogadható szakképzettségek/akkreditált nemzetközi képzettségek aktuális listája alapján lehet megítélni.
9. Kötelező Magyarországon évente Információbiztonsági felelősként vagy vezetőként kiberbiztonsági képzésen ill. továbbképzésen részt venni?
Igen kötelező. A Magyarország kiberbiztonságáról szóló törvény szerinti végzettségekre, szakképzettségekre, valamint képzésekre és továbbképzésekre vonatkozó követelményekről szóló 17/2025. (VII. 24.) EM rendelet (Rendelet) nem írja elő, hogy a képzésnek Magyarországon, fizikailag jelenléti formában kell megtörténnie, így az online kontaktóra –, távoktatás vagy zárt rendszerű elektronikus távoktatás keretében megvalósult képzés is elfogadott.
A rendelet azt határozza meg, hogy az IBF továbbképzése, illetve a vezető képzése/továbbképzése a felnőttképzésről szóló törvényben meghatározott képzési forma szerint valósítható meg. A képzést olyan, az Fktv. szerint bejelentett felnőttképző szervezheti, amely rendelkezik a rendeletben meghatározott oktatói feltételekkel.
Figyelem! A 17/2025. EM rendelet előírása szerint a 2025. december 31-ét megelőzően kinevezett vagy megbízott elektronikus információs rendszer biztonságáért felelős személy a továbbképzést első alkalommal 2026. december 31-ig köteles elvégezni!
10. Milyen következménye lehet a NIS2 képzési kötelezettség elmulasztásának?
A NIS2 szabályozás hatálya alá tartozó szervezeteknél a kiberbiztonsági képzési és továbbképzési kötelezettségek teljesítését megfelelően igazolni kell. A hatóság ennek meglétét ellenőrizheti.A felnőttképzésről szóló törvényben meghatározottak szerint a képzést biztosító felnőttképző szervezetek adatszolgáltatási kötelezettsége van.
Amennyiben a kötelező NIS2 képzés vagy továbbképzés elvégzését igazoló dokumentum nem áll rendelkezésre, 418/2024. korm. rendelet alapján 200 000 Ft-tól akár 4 000 000 Ft-ig terjedő bírság is alkalmazható.
Oktatóink
- Lengré Tamás- Senior IT auditor és információbiztonsági szakember / oktató
CISA, CDPSE, ISO 27001 LA, ISO 42001 LA, CEH
- Kácz Diána-Információbiztonsági tanácsadó/ auditor
ISO 27001 LA, ISO 42001 LA
További információk a képzésekről
Számalk Zrt.
E-mail: training@szamalk.hu
