IBF továbbképzés 2026: 20 órás kiberbiztonsági továbbképzés, határidők és jogszabályok

(A kiberbiztonságban a naprakész tudás már jogszabályi követelmény is)

A kibertámadások módszerei folyamatosan változnak. Ami egy évvel ezelőtt megfelelő védelemnek számított, ma már nem feltétlenül elegendő.

Új sérülékenységek jelennek meg, fejlődnek a zsarolóvírusok, egyre összetettebbek az ellátási láncot érintő támadások, terjednek a mesterséges intelligenciával támogatott visszaélések, miközben a kiberbiztonsági jogszabályi környezet is folyamatosan fejlődik.

Ebben a környezetben kiemelt szerepe van az elektronikus információs rendszer biztonságáért felelős személynek, vagyis az IBF-nek.

A hatályos magyar szabályozás már nemcsak megfelelő szakmai felkészültséget vár el az IBF-től, hanem rendszeres továbbképzési kötelezettséget is előír.

A 17/2025. (VII. 24.) EM rendelet alapján az érintett IBF-nek évente összesen legalább 20 órás kiberbiztonsági továbbképzésen kell részt vennie, a rendeletben meghatározott hét tárgykör közül legalább háromban.

2026. december 31.: fontos IBF továbbképzési határidő

Az egyik legfontosabb dátum:

2026. december 31.

A 2025. december 31. előtt kinevezett vagy megbízott elektronikus információs rendszer biztonságáért felelős személyeknek első alkalommal 2026. december 31-ig kell teljesíteniük a 17/2025. (VII. 24.) EM rendelet szerinti továbbképzést.

Ezért azoknál a szervezeteknél, ahol a szabályozás hatálya alá tartozó IBF működik, érdemes még jóval az év vége előtt ellenőrizni:

• megtörtént-e már a szükséges továbbképzés;
• teljesül-e a legalább 20 órás követelmény;
• a képzés érinti-e a szükséges számú jogszabályi témakört;
• rendelkezésre áll-e a teljesítést igazoló dokumentáció.
  
  

A továbbképzést nem érdemes december utolsó heteire hagyni.

Mit jelent az IBF?

Az IBF rövidítés alatt a gyakorlatban az elektronikus információs rendszer biztonságáért felelős személyt értjük.

A 2024. évi LXIX. törvény Magyarország kiberbiztonságáról meghatározza az IBF szervezeten belüli szerepének alapjait.

A szervezet vezetője az elektronikus információs rendszerek védelméhez kapcsolódó feladatok ellátása, a kockázatmenedzsment keretrendszer működtetése, a kiberbiztonsági incidensek bejelentése és az incidenskezelő központtal történő kapcsolattartás érdekében kijelöli az IBF-et, vagy külső személlyel köt megállapodást a feladat ellátására.

Ez már önmagában mutatja, hogy az IBF munkája jóval több egyszerű informatikai felügyeletnél.

Miért ennyire fontos az IBF szerepe?

Egy szervezet kiberbiztonsága nem pusztán azon múlik, hogy milyen tűzfalat, vírusvédelmet vagy informatikai rendszert használ.

Ugyanilyen fontos, hogy legyen olyan megfelelően felkészült szakember, aki átlátja a szervezet elektronikus információs rendszereit, érti a kockázatokat, részt vesz a védelmi döntések előkészítésében, figyelemmel kíséri a megfelelőséget, és szükség esetén kapcsolatot tart a hatóságokkal és az incidenskezelő szervezetekkel.

A Kiberbiztonsági törvény szerint a szervezet vezetőjének azt is biztosítania kell, hogy az IBF részt vehessen az elektronikus információs rendszerek védelmét érintő döntések előkészítésében, hozzáférjen a feladatellátáshoz szükséges információkhoz, rendszerekhez és erőforrásokhoz, továbbá teljesítse a számára előírt továbbképzési követelményeket.

Hány órás az IBF továbbképzés?

A 17/2025. (VII. 24.) EM rendelet egyértelmű követelményt állapít meg:

Évente legalább 20 óra.

Az IBF-nek a kiberbiztonsági és jogszabályi ismereteit bővítő továbbképzésen kell részt vennie, évente összesen legalább 20 órában.

Emellett nem elegendő egyetlen szűk témakörrel foglalkozni.

A képzésnek a jogszabályban felsorolt témák közül legalább három tárgykört kell érintenie.

Milyen témákat határoz meg az IBF továbbképzéshez a jogszabály?

A 17/2025. (VII. 24.) EM rendelet hét tárgykört határoz meg.

1. Kiberbiztonsági trendek

A kiberbiztonsági környezet folyamatosan változik. Az IBF-nek ismernie kell az aktuális fenyegetéseket, támadási módszereket és szakmai tendenciákat.

2. Kiberbiztonsági kockázatok és szervezeti stratégiák

Az IBF egyik legfontosabb feladata annak támogatása, hogy a szervezet felismerje, értékelje és megfelelően kezelje kiberbiztonsági kockázatait.

3. Uniós és hazai kiberbiztonsági jogszabályi kötelezettségek változásai

A kiberbiztonsági jogi környezet gyorsan változik, ezért az IBF-nek követnie kell az új vagy módosuló magyar és uniós előírásokat.

4. Kiberbiztonsági incidenskezeléshez kapcsolódó feladatok

Egy kiberbiztonsági eseménynél gyors és megfelelő reakcióra van szükség.

Az IBF-nek értenie kell többek között az incidensek felismerésével, kezelésével, dokumentálásával és bejelentésével kapcsolatos folyamatokat.

5. Kiberbiztonsági technológiai ismeretek

A szakmai szerepkör megfelelő ellátásához a technológiai környezet változásait is követni kell.

6. Együttműködés a hatóságokkal és incidenskezelő központokkal

Az IBF fontos kapcsolattartói szerepet is betölthet, ezért ismernie kell a megfelelő együttműködési és kommunikációs folyamatokat.

7. Kiberbiztonsági jó gyakorlatok és tapasztalatok

A más szervezeteknél vagy szakmai környezetben megismert működő megoldások, tapasztalatok és bevált gyakorlatok jelentősen segíthetik a szervezet kiberbiztonsági fejlődését.

A jogszabály ezek közül legalább három témakör érintését követeli meg az éves legalább 20 órás továbbképzés során.

Nem elég egyszer elvégezni az IBF képzést

Ez az egyik legfontosabb különbség a vezetői alapképzéshez képest.

Az IBF-nél a jogszabály éves továbbképzési kötelezettségről rendelkezik.

Ennek nagyon egyszerű szakmai oka van: a kiberbiztonság olyan terület, ahol a néhány évvel korábban megszerzett tudás önmagában nem feltétlenül elegendő.

A fenyegetések és a technológia mellett a jogszabályi környezet is változik.

Ezért az IBF továbbképzés nem pusztán egy adminisztratív kötelezettség.

A célja az, hogy a szervezet egyik legfontosabb kiberbiztonsági szereplője folyamatosan naprakész maradjon.

Ki lehet IBF?

Az éves 20 órás továbbképzés és az IBF feladatellátásához szükséges alkalmasság két külön kérdés.

A 17/2025. (VII. 24.) EM rendelet szerint az érintett körben IBF felsőfokú végzettséggel rendelkező személy lehet. Az elfogadható szakképzettségek és akkreditált nemzetközi képzettségek listáját a Nemzeti Koordinációs Központ állítja össze és teszi közzé, a listát pedig legalább évente felülvizsgálják.

A Kiberbiztonsági törvény további feltételeket is meghatároz az érintett szervezeti köröknél, ideértve például a cselekvőképességet, a büntetlen előéletet, valamint az előírt végzettségi, szakképzettségi vagy szakmai tapasztalati követelményeket.

Fontos: a 20 órás továbbképzés nem ad automatikusan IBF-képesítést

Ez kommunikációs és jogi szempontból is lényeges.

A 20 órás éves IBF továbbképzés nem azonos az IBF feladatainak ellátásához szükséges végzettség vagy szakképzettség megszerzésével.

Sőt, a 17/2025. EM rendelet kifejezetten kimondja, hogy az IBF alkalmassági feltételeként megszerzett végzettség vagy szakképzettség akkor sem szolgál automatikusan az éves továbbképzés alóli mentesítés alapjául, ha annak képzési tartalma egyébként érintette a rendeletben felsorolt témákat.

Van átmeneti szabály a szükséges szakképzettséggel még nem rendelkező IBF-ek számára

Igen.

A 17/2025. (VII. 24.) EM rendelet átmeneti szabálya szerint, ha az IBF nem rendelkezik az előírt szakképzettséggel, 2027. december 31-ig meghatározott területen szerzett legalább ötéves szakmai tapasztalat is elfogadható lehet az alkalmassági követelmény teljesítésénél.

Ilyen terület lehet például:

• információbiztonsági irányítási rendszer vagy kockázatmenedzsment keretrendszer tervezése, kialakítása vagy működtetése;
• információbiztonsági vagy kiberbiztonsági ellenőrzés és felügyelet;
• kiberbiztonsági kockázatelemzés;
• elektronikus információs rendszerek biztonsági tanúsítása;
• kiberbiztonsági tesztelés;
• etikus hacker tevékenység.
  

Ez azonban átmeneti szabály, amelyet nem szabad összekeverni az éves 20 órás továbbképzési kötelezettséggel.

Milyen képzés fogadható el az IBF éves továbbképzéseként?

A jogszabály a képzés megszervezésének módját is szabályozza.

Az IBF továbbképzést a felnőttképzésről szóló 2013. évi LXXVII. törvény szerinti képzési formában kell megvalósítani.

A képzést olyan, az Fktv. szerint bejelentett felnőttképző szervezheti, amely legalább 3 éves kiberbiztonsági oktatási vagy képzési tapasztalattal rendelkező szakembert tud oktatóként biztosítani.

A képzéshez megfelelő képzési programot kell készíteni, amelynek a 17/2025. EM rendeletre történő hivatkozást is tartalmaznia kell.

A tananyagnak naprakésznek kell lennie

A rendelet különösen érdekes követelménye, hogy a képzés tartalma nem lehet egyszerűen egy évekkel korábban elkészített és változatlanul használt tananyag.

A tananyagnak tükröznie kell a kiberbiztonsági szakterületen tapasztalható aktuális trendeket és fenyegetéseket, és legalább egy olyan fejezetet kell tartalmaznia, amelyet a képzés megkezdése előtti egy éven belül aktualizáltak.

Ez szakmailag is kulcsfontosságú.

Egy IBF továbbképzés akkor értékes, ha nem tegnapi problémákra készít fel, hanem a jelenlegi kiberbiztonsági környezetre.

Hogyan igazolható az IBF továbbképzés teljesítése?

A jogszabály szerinti képzés vagy továbbképzés elvégzéséről a felnőttképző a felnőttképzési törvény szerinti tanúsítványt állít ki.

Ez azért is fontos, mert a kiberbiztonsági hatóság vizsgálhatja:

• a képzés vagy továbbképzés teljesítését;
• a képzés tartalmát;
• a képzőre és oktatóra vonatkozó követelmények teljesülését;
• illetve az esetleges mentesülés jogalapját.
  

Hatósági vizsgálat során a továbbképzés teljesítését tanúsítvánnyal, mentesülés esetén pedig az azt igazoló dokumentummal kell alátámasztani.

Nem elég tehát azt mondani, hogy „részt vettem egy kiberbiztonsági tréningen”. A teljesítésnek igazolhatónak kell lennie.

Lehet mentesülni az éves IBF továbbképzés alól?

Bizonyos esetekben igen.

A 17/2025. EM rendelet lehetőséget biztosít arra, hogy valaki az aktuális éves továbbképzési kötelezettség alól mentesüljön, ha a kötelezettséget megelőző egy éven belül olyan képzést teljesített, amely megfelel a rendelet szerinti tárgyköri követelményeknek.

A mentesülést azonban megfelelő okirattal igazolni kell.

Ha az okiratból nem derül ki egyértelműen, milyen tárgykörök szerepeltek a képzésben, további dokumentummal kell igazolni, hogy a képzés tartalma és óraszáma megfelelt a követelményeknek.

Éppen ezért az érintettséget és az esetleges mentesülést mindig konkrétan, a rendelkezésre álló dokumentumok alapján érdemes megvizsgálni.

Az általános kiberbiztonsági oktatás nem automatikusan IBF továbbképzés

Fontos különbséget tenni a munkavállalóknak szóló általános kiberbiztonsági tudatossági képzés és az IBF éves szakmai továbbképzése között.

A szervezeten belüli kibertudatossági képzésekre külön szabályozás vonatkozik, többek között a 7/2024. (VI. 24.) MK rendelet.

A 17/2025. EM rendelet pedig külön kimondja, hogy az ilyen, más jogszabály alapján teljesített képzés önmagában nem mentesít automatikusan az IBF-re vonatkozó képzési vagy továbbképzési kötelezettség alól.

Belső vagy külső IBF is lehet?

A Kiberbiztonsági törvény lehetővé teszi, hogy a szervezet vezetője az IBF-et a szervezeten belül kijelölje, vagy a feladat ellátására szervezeten kívüli személlyel kössön megállapodást.

Külső közreműködő esetén is meg kell jelölni azt a természetes személyt, aki ténylegesen ellátja az IBF feladatait.

Ez azért fontos, mert a kiberbiztonságért felelős funkció nem válhat személytelen, kizárólag „kiszervezett szolgáltatássá”.

A felelősségi és kapcsolattartási szerepnek egyértelműnek kell lennie.

IBF és IT-üzemeltető: ugyanaz a személy?

Nem minden esetben.

A Kiberbiztonsági törvény bizonyos szervezeti köröknél összeférhetetlenségi szabályt is meghatároz.

Főszabály szerint nem jelölhető ki IBF-nek többek között az a személy, aki a szervezeten belül informatikai üzemeltetési vagy fejlesztési munkakört lát el, vagy ilyen személy közvetlen alárendeltségébe tartozik; a törvény ugyanakkor meghatároz kivételeket is.

Ennek logikája egyszerű: bizonyos esetekben nem szerencsés, ha ugyanaz a személy működteti a rendszert, majd saját tevékenységének kiberbiztonsági megfelelőségét is ő ellenőrzi.

Létezik hivatalos IBF-névjegyzék is

A nemzeti kiberbiztonsági hatóság nyilvántartást vezet az elektronikus információs rendszer biztonságáért felelős személy feladatainak ellátására alkalmas személyekről.

Az NKI tájékoztatása szerint a névjegyzékbe történő jelentkezés nem kötelező, ugyanakkor lehetőséget biztosít arra, hogy a megfelelő képesítéssel rendelkező szakemberek elérhetősége megtalálható legyen a nyilvántartásban. Az elfogadható képzettségeket a Nemzeti Koordinációs Központ teszi közzé.

Milyen jogszabályokra érdemes figyelni IBF-ként?

Az IBF-ek munkáját és továbbképzését több egymással összefüggő szabály határozza meg.

(EU) 2022/2555 irányelv – NIS2 irányelv

Az Európai Unió egész területén magas közös kiberbiztonsági szint kialakítását célzó szabályozás, amely a magyar kiberbiztonsági szabályozás kialakításának egyik meghatározó uniós alapja.

2024. évi LXIX. törvény Magyarország kiberbiztonságáról

Meghatározza többek között az elektronikus információs rendszerek védelmének, az IBF kijelölésének, feladatainak és alkalmasságának fő szabályait.

17/2025. (VII. 24.) EM rendelet

Az IBF szempontjából az egyik legfontosabb végrehajtási jogszabály. Meghatározza:

• a végzettségi és szakképzettségi követelményeket;
• az éves legalább 20 órás továbbképzést;
• a hét továbbképzési témakört;
• a képzőkkel szembeni követelményeket;
• a tananyag aktualitási követelményeit;
• a tanúsítvány szabályait;
• az esetleges mentesülést;
• valamint a 2026. december 31-i átmeneti határidőt.
  

7/2024. (VI. 24.) MK rendelet

A biztonsági osztályba sorolás követelményeit, valamint az egyes biztonsági osztályokhoz kapcsolódó konkrét védelmi intézkedéseket szabályozza. A szervezeti kibertudatossági követelmények szempontjából is jelentős.

418/2024. (XII. 23.) Korm. rendelet

A Magyarország kiberbiztonságáról szóló törvény több végrehajtási részletszabályát tartalmazza.

2013. évi LXXVII. törvény a felnőttképzésről

Az IBF továbbképzések megszervezésénél is meghatározó, hiszen a 17/2025. EM rendelet kifejezetten az Fktv. szerinti képzési formára és dokumentációra épít.

Miért érdemes jóval december előtt teljesíteni az IBF továbbképzést?

A továbbképzés elvégzésének nemcsak adminisztratív jelentősége van.

Az IBF olyan területekkel találkozik napi munkája során, amelyek közvetlenül befolyásolhatják egy szervezet működését:

incidensek, sérülékenységek, kockázatkezelés, ellátási láncok, hatósági kötelezettségek, új technológiák és jogszabályváltozások.

A képzés időben történő teljesítése lehetőséget ad arra, hogy a megszerzett tudás még az adott évben beépüljön a szervezet működésébe.

Nem az a cél, hogy december végén egy újabb kötelezettséget kipipáljunk.

A cél egy felkészültebb IBF és egy ellenállóbb szervezet.

A 20 óra nem adminisztráció – 20 óra a szervezet védelméért

Egy megfelelő IBF továbbképzés után a szakembernek nem pusztán több
jogszabályhelyet kell ismernie.

Jobban kell értenie:

• hogyan változik a fenyegetési környezet;
• milyen új kockázatokkal kell számolni;
• hogyan reagáljon a szervezet egy incidensre;
• milyen hatósági vagy jelentési folyamatok következhetnek;
• hogyan támogathatja a vezetői döntéseket;
• és milyen gyakorlati intézkedések csökkenthetik a szervezet kiberbiztonsági kitettségét.
  

Ez az a tudás, amely egy valódi kiberbiztonsági esemény során különösen értékessé válhat.

Ne hagyja az év végére az IBF továbbképzést!

Ha Ön vagy szervezetének elektronikus információs rendszer biztonságáért felelős személye a jogszabály hatálya alá tartozik, érdemes időben gondoskodni a továbbképzési kötelezettség teljesítéséről.

A legfontosabb számok:

20 óra
évente legalább ennyi továbbképzés

3 témakör
legalább ennyit kell érinteni a hét meghatározott területből

2026. december 31.
a 2025. december 31. előtt kinevezett vagy megbízott érintett IBF-ek első teljesítési határideje

EduSmart IBF továbbképzés

Maradjon naprakész. Készüljön fel időben.

Ismerje meg az EduSmart IBF kiberbiztonsági továbbképzését, és gondoskodjon időben a szakmai továbbképzési követelmény teljesítéséről.

Jelentkezzen az EduSmart IBF továbbképzésére!

A tájékoztató általános információkat tartalmaz, és nem minősül egyedi jogi tanácsadásnak. Az adott személyre vagy szervezetre vonatkozó kötelezettségeket mindig az aktuálisan hatályos jogszabályok és az egyedi körülmények alapján szükséges megvizsgálni.