NIS2 képzés 2026: kötelező vezetői kiberbiztonsági képzés, határidők és jogszabályok

(A kiberbiztonság már nem kizárólag az IT-osztály feladata)

A kibertámadások, adatszivárgások, zsarolóvírusok, adathalász támadások és ellátási láncot érintő incidensek ma már közvetlen üzleti kockázatot jelentenek. Egy komolyabb kiberbiztonsági esemény nemcsak technikai problémát okozhat: működésleálláshoz, pénzügyi veszteséghez, adatvesztéshez, reputációs károkhoz és akár hatósági következményekhez is vezethet.

Éppen ezért az Európai Unió NIS2 irányelve, vagyis az (EU) 2022/2555 irányelv a kiberbiztonságot szervezeti és vezetői felelősségi szintre emelte. Magyarországon a szabályozás egyik legfontosabb alapja a 2024. évi LXIX. törvény Magyarország kiberbiztonságáról. A magyar törvény kifejezetten előírja, hogy a szervezet vezetőjének gondoskodnia kell többek között a kiberbiztonsági feladatok, felelősségi körök, valamint saját maga és a szervezet munkatársainak megfelelő kiberbiztonsági képzéséről és továbbképzéséről.

Ez azt jelenti, hogy a NIS2-megfelelés már nem kezelhető kizárólag informatikai projektként.

A vezetőnek is értenie kell, milyen kiberbiztonsági kockázatokért és döntésekért visel felelősséget.

2026 egyik legfontosabb NIS2-határideje: december 31.

A 17/2025. (VII. 24.) EM rendelet külön követelményeket határoz meg a szervezetek vezetőinek kiberbiztonsági képzésére.

Az érintett szervezet vezetőjének a vezetővé válásától számított egy éven belül legalább 8 órás kiberbiztonsági alapképzésen kell részt vennie.

Az alapképzést követően pedig évente legalább 4 órás kiberbiztonsági továbbképzés szükséges.

Különösen fontos átmeneti szabály vonatkozik azokra a vezetőkre, akiket 2025. december 31. előtt neveztek ki: számukra az első, legalább 8 órás vezetői kiberbiztonsági képzés teljesítésének határideje 2026. december 31.

Ezért azoknak a szervezeteknek, amelyek a Kiberbiztonsági törvény hatálya alá tartoznak, érdemes még időben megtervezniük a vezetők képzését, és nem az év utolsó heteire hagyni a teljesítést.

Mit kell megtanulnia egy vezetőnek a NIS2 képzésen?

A jogszabály célja nem az, hogy a vállalatvezetőből informatikai szakember legyen.

A vezetői képzésnek sokkal inkább azt kell biztosítania, hogy a döntéshozó értse a szervezetét érintő aktuális kiberbiztonsági fenyegetéseket, a legfontosabb kockázatokat és védekezési stratégiákat, az európai uniós és magyar jogszabályi kötelezettségeket, a kiberbiztonsági incidensek megfelelő kezelésének alapelveit, valamint a vezetői szinten alkalmazható jó gyakorlatokat.

Ez különösen fontos azért, mert egy kibertámadás során gyakran nem pusztán technikai, hanem üzleti döntéseket kell gyorsan meghozni. Ki jogosult dönteni egy rendszer leállításáról? Mikor kell hatóságot értesíteni? Ki kommunikál az ügyfelekkel? Hogyan működik tovább a vállalkozás, ha egy kulcsfontosságú rendszer elérhetetlenné válik?

A megfelelő vezetői NIS2 képzésnek ezekre a helyzetekre is fel kell készítenie.

Kinek lehet kötelező a NIS2 és a vezetői kiberbiztonsági képzés?

A pontos érintettséget mindig a 2024. évi LXIX. törvény alapján kell megvizsgálni.

A szabályozás többek között számos, kiemelten kockázatos vagy kockázatos ágazatban működő szervezetre terjed ki. Ilyen lehet például az energetika, közlekedés, egészségügy, ivóvíz- és szennyvízszolgáltatás, digitális infrastruktúra, egyes elektronikus hírközlési és bizalmi szolgáltatások, irányított ICT-szolgáltatások, postai és futárszolgáltatás, hulladékgazdálkodás, vegyipar, élelmiszeripar, egyes gyártóipari területek, digitális szolgáltatók és kutatási szervezetek.

A törvény bizonyos szervezeteknél méretkritériumokat is alkalmaz. A szabályozás hatálya ezért nem pusztán attól függ, hogy egy vállalkozás „nagyvállalatnak” nevezi-e magát. A létszám, az árbevétel, a mérlegfőösszeg, a tevékenységi kör, illetve egyes szolgáltatások esetében maga a tevékenység is meghatározó lehet. Bizonyos szolgáltatóknál – például egyes elektronikus hírközlési, DNS- vagy bizalmi szolgáltatóknál – a törvény mérettől függetlenül is alkalmazandó lehet.

Ezért a NIS2-érintettséget célszerű mindig a konkrét szervezet tevékenysége és mérete alapján megvizsgálni.

A munkatársak kiberbiztonsági oktatása nem ugyanaz, mint a vezetői NIS2 képzés

Ez az egyik legfontosabb különbség.

A 7/2024. (VI. 24.) MK rendelet a biztonsági osztályba sorolás és a konkrét védelmi intézkedések mellett a biztonságtudatosság és a képzés területére is meghatároz követelményeket.

Egy szervezeten belüli általános kiberbiztonsági vagy security awareness tréning azonban nem jelenti automatikusan a 17/2025. (VII. 24.) EM rendelet szerinti vezetői képzési kötelezettség teljesítését.

A két képzés célja és jogszabályi szerepe eltérő.

Egy adathalász levelek felismeréséről szóló munkatársi oktatás rendkívül fontos, de nem helyettesíti azt a vezetői felkészítést, amelynek során a döntéshozónak a stratégiai kockázatokat, a jogi felelősséget, az incidenskezelést és a szervezeti kiberbiztonsági működést is át kell látnia.

Nemcsak a vezetőknek vannak képzési kötelezettségeik

A kiberbiztonsági szabályozás az elektronikus információs rendszer biztonságáért felelős személy – gyakran IBF-ként említett szakember – szakmai felkészültségére is különös hangsúlyt helyez.

A 17/2025. (VII. 24.) EM rendelet alapján az érintett IBF-eknek évente összesen legalább 20 órányi szakmai továbbképzést kell teljesíteniük, több szakmai tématerület érintésével.

A szabályozás tehát egyértelműen abba az irányba mutat, hogy a NIS2-megfelelés nem egyszeri feladat, hanem folyamatos szervezeti működés.

Milyen NIS2 képzést érdemes választani?

Nem minden „NIS2 tréningként” meghirdetett oktatás jelenti automatikusan a jogszabály szerinti vezetői képzés teljesítését.

A 17/2025. (VII. 24.) EM rendelet a képzés megszervezésével kapcsolatban is konkrét követelményeket határoz meg. A képzést a felnőttképzésről szóló 2013. évi LXXVII. törvény szabályai szerint kell megszervezni. A képzést szervező felnőttképzőnek megfelelő szakmai tapasztalattal rendelkező oktatót kell biztosítania, képzési programmal kell rendelkeznie, és a képzés teljesítéséről tanúsítványt kell kiállítania.

A jogszabály arra is hangsúlyt helyez, hogy a tananyag ne évekkel korábbi információkra épüljön: annak követnie kell az aktuális kiberbiztonsági fenyegetéseket és trendeket.

A képzés kiválasztásakor ezért nemcsak az ár vagy az óraszám a fontos, hanem az is, hogy a képzés dokumentálható, szakmailag naprakész és a vonatkozó jogszabályi követelményekhez igazodó legyen.

A NIS2 audit határideje lejárt – de a megfelelés nem ért véget

Az első kiberbiztonsági audit fontos mérföldköve 2026. június 30. volt az erre a határidőre auditkötelezett szervezetek számára. Az SZTFH 2026 júliusában közzétett adatai szerint a nyilvántartásában szereplő 2520 auditkötelezett szervezetből 2132 teljesítette határidőben az auditkötelezettségét.

A később teljes körűen feldolgozott adatok szerint 2026. június 30-ig összesen 2194 szervezet teljesítette az első kiberbiztonsági auditot, és az érintett szervezetek közel 90%-a megfelelt az audit követelményeinek. Az SZTFH külön kiemelte, hogy a vezetői elkötelezettség és a megfelelő szakmai felkészültséggel rendelkező információbiztonsági felelős kulcsszerepet játszik a sikeres megfelelésben.

Az audit tehát nem a NIS2-folyamat lezárása.

A szervezeteknek továbbra is fenn kell tartaniuk a szükséges kiberbiztonsági intézkedéseket, kezelniük kell a kockázatokat, gondoskodniuk kell a dokumentációkról, a képzésekről, az incidenskezelésről és a későbbi auditokra való felkészülésről. Az audit részletes szabályait az 1/2025. (I. 31.) SZTFH rendelet határozza meg.

A NIS2-megfelelés elmulasztásának komoly pénzügyi következményei lehetnek

A NIS2 kapcsán sokszor esik szó a bírságokról – nem véletlenül.

A 418/2024. (XII. 23.) Korm. rendelet alapján az alapvető szervezetnek minősülő szervezeteknél a kiszabható kiberbiztonsági bírság legmagasabb összege 10 millió eurónak megfelelő forintösszeg, vagy – ha ez magasabb – az előző pénzügyi év globális éves forgalmának 2%-a lehet.

Fontos szervezet esetén a felső határ 7 millió eurónak megfelelő forintösszeg, vagy – ha ez magasabb – a globális éves forgalom 1,4%-a lehet.

A magyar végrehajtási rendelet emellett azt is kimondja, hogy ha a szervezet vezetője a számára jogszabályban előírt kötelezettségnek nem tesz eleget, a nemzeti kiberbiztonsági hatóság akár 15 millió forintos bírságot is kiszabhat rá; ismételt jogsértés esetén a rendelet szerint bírságot kell kiszabni.

A képzés célja azonban nem pusztán egy esetleges bírság elkerülése.

Egy jól felkészült vezető hamarabb felismeri, hogy egy kiberbiztonsági esemény mikor válik üzleti kockázattá, milyen intézkedésekre van szükség, és hogyan lehet a szervezet működését egy incidens során is fenntartani.

Miért érdemes már most teljesíteni a vezetői NIS2 képzést?

A 2026. december 31-i határidő közeledtével várhatóan egyre több érintett szervezet kezdi el egyszerre megszervezni a vezetői képzéseket.

A képzés időben történő teljesítése lehetőséget ad arra, hogy a vezetők ne csupán egy kötelező feladatként tekintsenek a NIS2-re, hanem a megszerzett ismereteket a szervezet saját kiberbiztonsági működésében is felhasználják.

Egy vezető számára különösen értékes annak megértése, hogy milyen felelősségi köröket kell kialakítani, milyen kockázatokra kell a vezetésnek figyelnie, hogyan kapcsolódik össze a kiberbiztonság az üzletmenet-folytonossággal, milyen szerepe van az IBF-nek, és milyen döntésekre lehet szükség egy valós kibertámadás során.

A NIS2 vezetői képzés ezért egyszerre jogszabályi kötelezettség és üzleti kockázatkezelési eszköz.

A legfontosabb NIS2 jogszabályok és kapcsolódó előírások

• (EU) 2022/2555 irányelv – NIS2 irányelv: az Európai Unió kiberbiztonsági követelményeinek egyik alapja; a kiberbiztonsági kockázatkezelés, vezetői felelősség és incidenskezelés keretrendszerét határozza meg.
• 2024. évi LXIX. törvény Magyarország kiberbiztonságáról: a jelenlegi magyar kiberbiztonsági szabályozás egyik legfontosabb alapjogszabálya, amely a NIS2 irányelvnek való megfelelést is szolgálja.
• 17/2025. (VII. 24.) EM rendelet: meghatározza többek között a vezetők és az elektronikus információs rendszer biztonságáért felelős személyek képzési, továbbképzési követelményeit. Ez tartalmazza a legalább 8 órás vezetői alapképzés, az évi legalább 4 órás továbbképzés és a 2026. december 31-i átmeneti határidő szabályait.
• 418/2024. (XII. 23.) Korm. rendelet: a Kiberbiztonsági törvény végrehajtásának több részletszabályát, valamint a kiberbiztonsági bírságokra vonatkozó rendelkezéseket tartalmazza.
• 7/2024. (VI. 24.) MK rendelet: a biztonsági osztályba sorolás és az egyes biztonsági osztályoknál alkalmazandó konkrét védelmi intézkedések követelményeit szabályozza.
• 1/2025. (I. 31.) SZTFH rendelet: a kiberbiztonsági audit lefolytatásának rendjét és a kiberbiztonsági audit legmagasabb díját szabályozza.
• 7/2024. (VI. 24.) SZTFH rendelet: a kiberbiztonsági auditorok nyilvántartására és az auditorokkal szembeni követelményekre vonatkozó szabályozás.
• 2013. évi LXXVII. törvény a felnőttképzésről: a 17/2025. EM rendelet szerinti képzések megszervezésénél is releváns felnőttképzési keretszabály.
• (EU) 2024/2690 bizottsági végrehajtási rendelet: egyes digitális és ICT-szolgáltatói körök esetében részletes technikai és módszertani kiberbiztonsági kockázatkezelési követelményeket, valamint a jelentős incidensek megítélésére vonatkozó részletesebb szabályokat állapít meg.

A vezetői képzési kötelezettség szempontjából tehát nem egy külön „NIS2-határozat” a meghatározó: a kötelezettséget az uniós és magyar jogszabályi rendszer, ezen belül különösen a 2024. évi LXIX. törvény és a 17/2025. (VII. 24.) EM rendelet alapozza meg.

Gyakori kérdés: elég, ha az IT-s vagy az IBF ismeri a NIS2 követelményeit?

Nem.

A kiberbiztonsági szakembereknek természetesen kiemelt szerepük van a megfelelésben, de a szabályozás tudatosan helyez felelősséget a szervezet vezetésére is.

A vezető dönt a költségvetésről, az erőforrásokról, a szervezeti felelősségi körökről, a külső szolgáltatók igénybevételéről, a kockázatok elfogadásáról és számos olyan kérdésről, amely közvetlenül befolyásolja a szervezet kiberbiztonsági ellenálló képességét.

Ezért a NIS2-megfelelés sikeréhez az IT-szakértelem mellett vezetői kiberbiztonsági tudatosságra is szükség van.

Gyakori kérdés: egyszer kell csak elvégezni a vezetői képzést?

Nem.

A jelenlegi szabályozás szerint az első, legalább 8 órás vezetői képzést követően évente legalább 4 órás továbbképzésre is szükség van.

Ennek szakmai oka is van: a kibertámadási módszerek, a technológia és a jogszabályi környezet folyamatosan változik.

Gyakori kérdés: mi történik a képzés után?

A megfelelő képzés teljesítése dokumentálható, és a felnőttképzési szabályok szerint tanúsítvány kapcsolódhat hozzá. Ez azért fontos, mert egy hatósági ellenőrzés vagy audit során nemcsak az számít, hogy a szervezet azt állítja, hogy megtartotta a képzést, hanem az előírt kötelezettségek teljesítésének igazolhatósága is lényeges.

A kiberbiztonságban a vezetői döntések számítanak

A NIS2 egyik legfontosabb üzenete, hogy a kiberbiztonság nem egyetlen informatikus vagy külső szolgáltató feladata.

A megfelelő védelemhez technológia, folyamatok, dokumentáció, felelősök, rendszeres felülvizsgálat és képzett munkatársak szükségesek – mindehhez pedig elengedhetetlen a vezetés támogatása.

Aki megérti a saját szervezete kiberbiztonsági kockázatait, nemcsak egy jogszabályi követelményt tud teljesíteni, hanem gyorsabban, tudatosabban és megalapozottabban képes dönteni akkor is, amikor valódi incidens történik.

Ne hagyja az év végére a kötelező vezetői képzést!

Amennyiben szervezete a kiberbiztonsági szabályozás hatálya alá tartozik, és Önre vonatkozik a vezetői képzési kötelezettség, érdemes időben gondoskodni annak teljesítéséről.

A 2025. december 31. előtt kinevezett érintett vezetők számára a legalább 8 órás első vezetői kiberbiztonsági képzés teljesítésének határideje 2026. december 31.

Jelentkezzen az EduSmart NIS2 vezetői kiberbiztonsági képzésére, és készüljön fel időben a kiberbiztonsági követelmények vezetői oldalára.

Ne csak megfeleljen a szabályozásnak – értse is, hogyan védheti meg szervezetét, munkatársait, ügyfeleit és üzleti működését a digitális kockázatokkal szemben.

Jelentkezés és további információ:

EduSmart Hungary Oktatási és Felnőttképzési Kft.

A cikk tájékoztató jellegű, nem minősül egyedi jogi tanácsadásnak. A NIS2- és kiberbiztonsági érintettséget minden szervezet esetében annak konkrét tevékenysége, mérete, jogállása és az aktuálisan hatályos jogszabályok alapján szükséges megvizsgálni.