Ki végezhet sérülékenységvizsgálatot Magyarországon?

Aki rákeres, ki végezhet sérülékenységvizsgálatot, néhány kattintás után az SZTFH nyilvántartásánál köt ki, és azt a következtetést vonja le, hogy szolgáltatót csak onnan választhat. A törvény szövege ennél pontosabb. Az 57. § valóban három körre szűkíti a sérülékenységvizsgálat végzését, csakhogy az 1. § (9) bekezdése külön megmondja, mely szervezetek rendszereire kell ezt a rendet alkalmazni – és a magánszektor nagy része nincs köztük. A különbség nem elméleti: egy középvállalatnál eldönti, hogy hónapokig keres nyilvántartásba vett céget, vagy jövő héten elindítja a tesztet. Alább végigvesszük, kit mi köt, honnan ered a félreértés, és mit érdemes kérdezni a szolgáltatótól szerződés előtt.

Ki végezhet sérülékenységvizsgálatot a törvény szerint?

Magyarországon egyetlen kiberbiztonsági törvény van hatályban: a Magyarország kiberbiztonságáról szóló 2024. évi LXIX. törvény (a továbbiakban: Kiberbiztonsági tv.), amely 2025. január 1-jén lépett hatályba. Az 57. § (1) bekezdése három kört sorol fel:

• a) a honvédelmi célú elektronikus információs rendszerek kivételével a Kormány rendeletében kijelölt állami szerv;


• b) a honvédelmi célú elektronikus információs rendszerek vonatkozásában a honvédelmi kiberbiztonsági incidenskezelő központ;


• c) „a telephely biztonsági tanúsítvánnyal, továbbá a feladat ellátásához szükséges infrastrukturális feltételekkel és szakértelemmel rendelkező gazdálkodó szervezet, amely szerepel a sérülékenységvizsgálat lefolytatására jogosult gazdálkodó szervezetek SZTFH által vezetett nyilvántartásában”.

Az első két pont intézményt jelöl, a harmadik a piaci utat nyitja meg. A felsorolás zárt, tehát ebben a körben tényleg nincs negyedik lehetőség. A kérdés csak az, mikor kell ezt a felsorolást elővenni – és erre nem az 57. §, hanem az 1. § (9) bekezdése válaszol.

Melyik szerv áll az a) és a b) pont mögött?

A törvény egyiket sem nevezi néven, a végrehajtási rendelet viszont igen. A 418/2024. (XII. 23.) Korm. rendelet 48. § (1) bekezdése a Nemzetbiztonsági Szakszolgálatot (NBSZ) jelöli ki az a) pont szerinti állami szervnek, a 48. § (2) bekezdése pedig a honvédelmi célú rendszerekre a Katonai Nemzetbiztonsági Szolgálatot (KNBSZ) jelöli ki honvédelmi kiberbiztonsági incidenskezelő központnak. Aki tehát a törvényből indul ki, és nem megy tovább a rendeletig, két üres kategóriát talál.

Az NBSZ ezt a feladatot a Nemzeti Kiberbiztonsági Intézete (NKI) útján látja el, és az NKI tájékoztatása szerint a szolgáltatás térítésmentes. Ez a kör azonban nem fedi le az egész közszférát: az 57. § (5) bekezdése az 1. melléklet 1–9., 11., 14. és 15. pontja szerinti szervezetekre szabja, az 57. § (6) bekezdése pedig arra ad lehetőséget, hogy kapacitáshiány esetén az érintett szervezet nyilvántartásba vett kereskedelmi szolgáltatóhoz forduljon. Az önkormányzatok és a többségi állami befolyás alatt álló cégek egy része emiatt kívül marad a térítésmentes szolgáltatáson.

A c) pont: mit kell teljesítenie egy cégnek?

A törvény két dolgot kér egyszerre: telephely biztonsági tanúsítványt, valamint a feladathoz szükséges infrastruktúrát és szakértelmet – és mindezek meglétét a nyilvántartásba vétel igazolja. A részleteket az 5/2025. (VI. 20.) SZTFH rendelet 3. § (1) bekezdése bontja ki. A cégnek legalább két szakértőt kell foglalkoztatnia, információbiztonsági szabályzattal és tanúsított információbiztonsági irányítási rendszerrel kell rendelkeznie, olyan kommunikációs eszközökkel és szoftverekkel, amelyek megőrzik a vizsgálati adatok bizalmasságát, sértetlenségét és hitelességét, végül olyan törlési eljárásrenddel, amellyel ezek az adatok visszaállíthatatlanul eltávolíthatók a rendszereiből és az archív mentéseiből is. Azt, hogy ezeket a feltételeket mivel kell igazolni, ugyanennek a rendeletnek a 3. § (3) bekezdése rendezi.

A gyakorlatban a telephely biztonsági tanúsítvány a legnehezebb lépés. A minősített adat védelméről szóló 2009. évi CLV. törvény alapján a Nemzeti Biztonsági Felügyelet adja ki, iparbiztonsági ellenőrzést követően, a részletes szabályokat pedig a 92/2010. (III. 31.) Korm. rendelet tartalmazza. Az eljárás magyar gazdálkodó szervezethez igazodik, és hónapokban mérhető – ezért marad rövid a nyilvántartás, és ezért nem lehet egy külföldi szolgáltatót gyorsan „felvetetni” a nyilvántartásba.

Az adminisztráció ezután is folyamatos: a kérelmet az SZTFH-430 jelű űrlapon kell benyújtani, az adatváltozást 15 napon belül, a feltételek megszűnését 8 napon belül be kell jelenteni, az elutasított kérelmező pedig 90 napig nem nyújthat be azonos tartalmú kérelmet. A nyilvántartás nyilvános, és a névsor változik: érdemes a szerződéskötés napján megnézni az SZTFH oldalán, kik szerepelnek rajta és mikori az utolsó módosítás. Egy régi cikkből átvett darabszám ma már semmit nem igazol.

Milyen szakember végezheti a vizsgálatot?

A jogosultság nem áll meg a cégnél. Az 57. § (2) bekezdés b)–d) pontja arról szól, ki ülhet oda a billentyűzet mögé:

• b) aki rendelkezik a sérülékenységvizsgálat lefolytatásához szükséges szakértelemmel;


• c) aki a sérülékenységvizsgálati szakterületen legalább kétéves szakmai tapasztalattal rendelkezik;


• d) aki szerepel a sérülékenységvizsgálat lefolytatására jogosult személyek nyilvántartásában, amelyet szintén az SZTFH vezet.

Az 57. § (3) bekezdése ezt köti vissza a szervezethez: a nyilvántartásba vett cégnek legalább két ilyen szakembert kell foglalkoztatnia. Egyetlen emberre tehát nem lehet felépíteni a jogosultságot.

Egy részlet 2026-ban változott, és a régebbi összefoglalók még nem követték: a nemzetbiztonsági ellenőrzés követelménye 2026. január 6-án kikerült a törvényből, a 2025. évi CXXVIII. törvény 76. § a) pontja hatályon kívül helyezte az 57. § (2) bekezdés a) pontját. A telephely biztonsági tanúsítvány mint céges feltétel viszont maradt.

A szakértelem tartalmát az 5/2025. (VI. 20.) SZTFH rendelet 3. § (2) bekezdése írja körül: informatikai vagy műszaki felsőfokú végzettség hálózatbiztonsági, kiberbiztonsági vagy ezzel egyenértékű szakirányon, vagy olyan képesítés, amely legalább két területen igazol felkészültséget. A négy megnevezett terület a gyenge pontok feltárása és kihasználhatóságuk ellenőrzése, a webes alkalmazások sérülékenységeinek azonosítása, a vezeték nélküli hozzáférési pontok feltérképezése a titkosítás elemzésével együtt, valamint a „pszichológiai manipulációs (social engineering) támadások tervezése és kivitelezése”. Érdemes megállni ennél az utolsónál: a magyar szabályozás nevesítve ismeri el a social engineering vizsgálatot szakértői kompetenciaként.

Kire vonatkozik ez a rend, és kire nem?

Itt dől el a cikk címében feltett kérdés. Az 1. § (9) bekezdése szerint a törvény sérülékenységvizsgálatra vonatkozó rendelkezéseit az 1. § (1) bekezdés a)–c) és f) pontja szerinti szervezetek elektronikus információs rendszereire, valamint – a megállapodásban foglalt eltérésekkel – a 61. § szerinti megállapodásban meghatározott rendszerekre kell alkalmazni. A d) és e) pont ebből a felsorolásból hiányzik.

A 60. § (1) bekezdése ugyanezt mondja a másik irányból, amikor arról rendelkezik, hogy „az 1. § (1) bekezdés d) és e) pontja szerinti szervezetek kivételével” a törvény hatálya alá tartozó szervezet vezetője hatósági kötelezés nélkül is kezdeményezhet sérülékenységvizsgálatot. A két rendelkezés együtt olvasva ugyanoda mutat: az 57. § jogosultsági rendje a közszférát és az állami befolyás alatt álló, illetve honvédelmi érdekű kört fogja át.

Ebből egy mondat következik, és ez a cikk legfontosabb mondata. Ha egy magáncég a 2. vagy a 3. melléklet szerinti ágazatban dolgozik, és a d) vagy az e) pont alapján tartozik a törvény hatálya alá, akkor a megrendelt kereskedelmi penetrációs teszt nem az 57. § szerinti eljárás, és a szolgáltatójának nem kell szerepelnie az SZTFH nyilvántartásában. A megfelelési kötelezettségek – a nyilvántartásba vétel, a biztonsági osztályba sorolás, a védelmi intézkedések, a kétévenkénti audit – természetesen ettől függetlenül élnek. Hogy pontosan kire terjed ki a hatály a 2026-os szűkítés után, arról külön cikkben írtunk.

Miért terjedt el, hogy nyilvántartásba vett céget kell keresni?

A tévedés nem rosszindulatból ered, hanem három egymásra csúszó okból.

• A nyilvántartás látszik, a hatálya nem. Az SZTFH közzéteszi a listát, a keresőben ez jön elő elsőként, és nincs mellette egy mondat arról, mely szervezetekre kell alkalmazni. Aki innen indul, természetes módon veszi általánosnak azt, ami valójában az 1. § (9) bekezdéséhez kötött.


• Az audit oldalán a nyilvántartás tényleg dönt. A 21. § (2) bekezdése összekapcsolja a két listát: a kiberbiztonsági auditot lefolytató auditornak egyben az 57. § (1) bekezdés c) pontja szerinti, sérülékenységvizsgálatra jogosult szervezetnek is kell lennie. Az [audit](/hu/cikkek/kiberbiztonsagi-audit-felkeszules) beszerzésénél tehát valóban a nyilvántartásból kell választani – és innen terjed át a szabály a hétköznapi tesztekre, ahol már nem áll meg.


• Egy szó két jelentéssel. A „sérülékenységvizsgálat” egyszerre a piac szolgáltatásneve és a törvény eljárásneve. Ráadásul a 4. § 11. pontja a behatolásvizsgálatot sérülékenységvizsgálati módszerként határozza meg, tehát aki behatolásvizsgálatot rendel meg, első olvasásra mintha a szabályozott eljárást rendelné meg. A [két munka különbségét](/hu/cikkek/serulekenysegvizsgalat-vagy-penetracios-teszt) külön is összeszedtük.

Egy szóhasználati részlet idekívánkozik, mert megbízhatóan elárulja, ha egy összefoglaló másolatból dolgozik. A „sérülékenységkeresés” nem jogi fogalom: sem a törvényben, sem a vonatkozó rendeletekben nem szerepel. Ugyanez a helyzet a széles körben idézett auditori jogosultsággal is, ahol a 22. § (1) bekezdés a) pontja „belső” informatikai biztonsági vizsgálatot ír, a másolt változatok jelentős része viszont „külsőt”. Ha egy tanácsadói anyagban ezekbe belefut, érdemes a többi állítását is ellenőrizni.

Mit érdemes kérdezni, mielőtt szerződik?

A sorrend számít, mert az első kérdés válasza dönti el a többit.

• Melyik pont alá tartozik a szervezet? Az a)–c) és az f) pont más világ, mint a d) és az e). Ez a besorolás nem a szolgáltató dolga: a szervezetnél kell rendelkezésre állnia, mielőtt bárkitől ajánlatot kér.


• Ha az a)–c) vagy az f) pont alá tartozik: a jogosultság nem tárgyalási kérdés. Ilyenkor az NBSZ, a honvédelmi rendszereknél a KNBSZ, illetve a nyilvántartásba vett gazdálkodó szervezetek köre jön szóba, és először érdemes megnézni, hogy az NKI térítésmentes szolgáltatása kiterjed-e a szervezetre.


• Ha a d) vagy az e) pont alá tartozik: a nyilvántartás nem szűrő. Helyette azt kérdezze, ami a teszt minőségét eldönti: milyen módszertan szerint dolgoznak, kézzel vagy eszközzel ellenőrzik-e a találatokat, mit tartalmaz a jelentés, és benne van-e az újratesztelés.


• Ha auditra készül: válassza szét a két beszerzést. Az auditort a nyilvántartásból kell választani, a technikai bizonyítékot viszont attól szerzi be, akitől akarja – és jobban jár, ha ez a jelentés hetekkel az audit előtt elkészül.


• Kérje el a jogosultság igazolását ott, ahol számít. Az a)–c) és f) körben a nyilvántartásbeli szereplés ellenőrizhető: a névsor nyilvános, a szolgáltatótól pedig kérhető a bejegyzés megnevezése. Egy általános „megfelelünk a NIS2-nek” mondat nem igazolás.

Hol illeszkedik ebbe a Haxoris?

A Haxoris kereskedelmi szolgáltatásként végez penetrációs tesztet és sérülékenységvizsgálatot; ez nem az 57. § szerinti eljárás, és az SZTFH nyilvántartásában nem szerepelünk. Ezt azért írjuk le nyíltan, mert a magyar piacon ezt szinte senki nem teszi meg, és mert egy megfelelési vezetőnek pontosan ez az első kérdése.

Amit adunk, az a technikai munka és a bizonyíték, amely belőle keletkezik. Egyetlen projektből előáll az a csomag, amelyet a megfelelési oldal is használni tud:

• Hatókör és időpont. Melyik rendszert, melyik felületet és melyik jogosultsági szintet vizsgáltuk, mikortól meddig, milyen modellben.


• Ellenőrzött megállapítások. Minden tétel mellett ott a reprodukció és a bizonyíték arra, hogy a hiba a gyakorlatban is kihasználható. A hamis riasztásokat előtte kiszűrjük.


• Kockázati besorolás a saját környezetére vetítve. A CVSS-pontszám mellett leírjuk, mit jelent a hiba ebben a szervezetben: ügyféladat, leállás, pénzügyi veszteség.


• Javítási sorrend. Nem „frissítse a rendszert”, hanem melyik komponenst, melyik verzióra, melyik beállítást hogyan – és mit érdemes elsőként megcsinálni.


• Írásos igazolás az újratesztelésről. A javítások után újra megnézzük a megállapításokat, és leírjuk, melyik zárult le.

A vizsgálatot elismert módszertanok szerint végezzük, webalkalmazásoknál az OWASP ASVS és a WSTG szerint, és a jelentés megnevezi, mi alapján dolgoztunk. A tesztelőink OSCP-tanúsítvánnyal rendelkeznek, a Haxoris ISO/IEC 27001 tanúsítványát pedig a TÜV SÜD adta ki – a szabvány tehát nálunk nemcsak vizsgálati mérce, hanem a saját működésünk kerete is. A rendszeres, eszközzel támogatott felderítést a sérülékenységvizsgálat oldalán írtuk le, a mélységi, kézi munkát pedig a penetrációs teszt oldalán.

Összefoglalva: előbb a besorolás, utána a szolgáltató

A „ki végezhet sérülékenységvizsgálatot” kérdésre két helyes válasz van, és az dönti el a választást, hogy a szervezet melyik pont alá tartozik. Az a)–c) és az f) körben a törvény zárt felsorolása és az SZTFH nyilvántartása szab határt. A d) és az e) körben – ahová a törvény hatálya alá tartozó magánvállalkozások esnek – a kereskedelmi teszt megrendelését nem a nyilvántartás korlátozza, hanem a szervezet saját kockázata és a kötelező védelmi intézkedések köre.

Aki tehát ma azért halogatja a tesztelést, mert nem talál nyilvántartásba vett szolgáltatót, jó eséllyel rossz kérdésre keresi a választ. Kérjen ingyenes konzultációt, és tisztázzuk, melyik pont alá tartozik a szervezete, és ebből milyen vizsgálat következik.

Ki végezhet sérülékenységvizsgálatot – gyakori kérdések

Kapcsolódó Haxoris-szolgáltatások: rendszerek és alkalmazások sérülékenységvizsgálata · webalkalmazások és infrastruktúra penetrációs tesztelése