Kiberbiztonsági törvény hatálya 2026-ban: kikerült-e a cége?

2026. január 6-án megváltozott az a mondat, amelyik eldönti, hogy egy magánvállalkozás a magyar kiberbiztonsági törvény hatálya alá tartozik-e. A módosítás nem bővít, hanem szűkít. Aki 2025-ben azért jelentkezett be az SZTFH-nál, mert a kis- és középvállalkozásokról szóló törvény szerint „meghaladta a középvállalkozásokra előírt küszöbértékeket”, annak érdemes újraolvasnia a saját számait: a küszöb ma máshol van, és máshogyan kell mérni. Alább egymás mellé tesszük a módosítás előtti és a hatályos szöveget, megmutatjuk, hol rontják el a másodközlések a db) alpontot, és végigvesszük, melyik hatóság melyik mechanizmus alapján felügyel.

Mi változott 2026. január 6-án?

A Kiberbiztonsági tv. – teljes nevén a Magyarország kiberbiztonságáról szóló 2024. évi LXIX. törvény – 2025. január 1-jén lépett hatályba, és ez ülteti át a NIS2 irányelvet a magyar jogba. A hatályát az 1. § határozza meg, és ezt a szakaszt azóta többször átírták. A legutóbbi változtatás az Európai Unió kiberrezilienciáról szóló rendeletének magyarországi végrehajtásáról és egyes kiberbiztonsági rendelkezések módosításáról szóló 2025. évi CXXXV. törvény 4. §-ából ered. A törvényt 2025. december 29-én hirdették ki, a 4. § pedig a kihirdetést követő nyolcadik napon, 2026. január 6-án lépett hatályba.

Ez a szakasz három dolgot tett:

• 4. § (1) bekezdés. Átírta az 1. § (1) bekezdés b) pont bb) alpontját, vagyis a többségi állami befolyás alatt álló gazdálkodó szervezetekre vonatkozó pénzügyi küszöböt.


• 4. § (2) bekezdés. Átírta az 1. § (1) bekezdés d) pontját, vagyis a 2. és 3. melléklet szerinti magánvállalkozásokra vonatkozó teljes küszöbrendszert.


• 4. § (3) bekezdés. Beillesztette az 1. § (1a) bekezdését arról, hogy az euróban megadott összegeket milyen árfolyamon kell forintra átszámítani.

A három közül a (2) bekezdés a legfontosabb, mert a magyar magánszektor túlnyomó része a d) ponton keresztül kerül a törvény hatálya alá. A 2. melléklet a kiemelten kockázatos, a 3. melléklet a további kockázatos ágazatokat sorolja fel; a d) pont ezekhez rendel méretküszöböt.

Az 1. § (1) d) pont a módosítás előtt és után

A kihirdetett szöveg, amely 2026. január 5-ig volt hatályban, egyetlen mondat:

„d) a 2. és 3. melléklet szerinti szervezetekre, amelyek a kis- és középvállalkozásokról, fejlődésük támogatásáról szóló törvény szerint középvállalkozásoknak minősülnek vagy meghaladják a középvállalkozásokra vonatkozóan előírt küszöbértékeket,”

A 2026. január 6-tól hatályos szöveg két fordulatra bomlik, és a másodikhoz alpontokat rendel:

„d) azokra a 2. és 3. melléklet szerinti szervezetekre, amelyek nem tartoznak az a) pont hatálya alá és a kis- és középvállalkozásokról, fejlődésük támogatásáról szóló törvény szerint középvállalkozásoknak minősülnek, valamint azokra a 2. és 3. melléklet szerinti szervezetekre, amelyek nem tartoznak az a) pont hatálya alá, és amelyek vonatkozásában legalább az egyik feltétel teljesül a következők közül:

da) összes foglalkoztatotti létszáma eléri vagy meghaladja az 50 főt, vagy

db) éves nettó árbevétele vagy éves költségvetési bevételi előirányzata meghaladja a 10 millió eurónak megfelelő forintösszeget, és – a számvitelről szóló 2000. évi C. törvény 8. § (2) bekezdése szerinti beszámoló készítésére köteles szervezet esetében – mérlegfőösszege meghaladja a 10 millió eurónak megfelelő forintösszeget,”

Az első fordulat tehát a helyén maradt: a kkv-törvény szerinti középvállalkozás továbbra is a hatály alatt van. A második fordulatot cserélte ki a jogalkotó, és ebben van az egész változás.

A db) alpont, amelyet a másodközlések lerövidítenek

A db) alpontot érdemes lassan elolvasni, mert az összefoglalók rendszerint „éves nettó árbevétele és mérlegfőösszege” alakban idézik. Ez a rövidítés nem a jogszabály szövege, és mást is jelent. A törvény két elemet köt össze, és a két elem szerkezete különbözik:

• Az első elem vagylagos. Az éves nettó árbevétel vagy az éves költségvetési bevételi előirányzat haladja meg a 10 millió eurónak megfelelő forintösszeget. Ebből elég az egyik.


• A második elem feltételes. A mérlegfőösszeg is haladja meg ugyanezt az összeget – de ez a feltétel arra a szervezetre vonatkozik, amely a számvitelről szóló 2000. évi C. törvény 8. § (2) bekezdése szerint beszámoló készítésére köteles.

A két elem között „és” áll, nem „vagy”. A 10 millió eurónak megfelelő árbevétel önmagában nem hozza be a szervezetet a db) alponton keresztül, ha a beszámoló készítésére köteles szervezetnél a mérlegfőösszeg ez alatt marad. Ugyanezt a szerkezetet kapta a b) pont bb) alpontja is a 4. § (1) bekezdésével, tehát a többségi állami befolyás alatt álló gazdálkodó szervezeteknél is megjelent a mérlegfőösszeg feltétele.

Egy pontosítás a da) és a db) viszonyához: a bevezető mondat „legalább az egyik feltétel” teljesülését kéri, tehát a két alpont egymáshoz képest vagylagos. Az 50 fős létszám önmagában elég, a pénzügyi küszöbpár önmagában elég – de a db) alponton belül mindkét elemnek teljesülnie kell.

Miért kerülhet ki egy cég a hatály alól?

A szűkülés nem a számokból ered, hanem abból, hogy mit kell megmérni.

A régi szöveg második fordulata – „meghaladják a középvállalkozásokra vonatkozóan előírt küszöbértékeket” – visszautalt a kis- és középvállalkozásokról, fejlődésük támogatásáról szóló 2004. évi XXXIV. törvényre. Ez a törvény nem a vállalkozás önmagában vett adataival számol: az 5. §-a szerint a partner- és a kapcsolódó vállalkozások adatait is be kell számítani a küszöbök megállapításába. Egy húszfős magyar leányvállalat így a külföldi anyacég adataival együtt „haladta meg a küszöbértékeket”, és ezen az úton került a Kiberbiztonsági tv. hatálya alá – noha a magyar szervezetnek saját jogán sem elég embere, sem elég árbevétele nem volt hozzá.

Az új szöveg da) és db) alpontja nem hivatkozik a kkv-törvényre. Magának a szervezetnek az összes foglalkoztatotti létszámát, éves nettó árbevételét vagy költségvetési bevételi előirányzatát és mérlegfőösszegét nevezi meg. Innen ered a szűkülés: ha egy szervezet korábban kizárólag az összeszámított csoportadatok miatt lépte át a küszöböt, ma a saját létszámán és a saját kettős pénzügyi küszöbén múlik, hogy a hatály alá tartozik-e. Ha egyiket sem éri el, és a kkv-törvény szerint középvállalkozásnak sem minősül, a d) pont már nem vonatkozik rá.

Két dolgot érdemes ehhez hozzátenni.

Az egyik, hogy ez a d) pontról szól, és csak arról. Ugyanaz a szervezet a többi ponton keresztül továbbra is a hatály alá kerülhet. Az e) pont mérettől függetlenül vonatkozik az elektronikus hírközlési szolgáltatóra, a bizalmi szolgáltatóra, a DNS-szolgáltatóra, a legfelső szintű doménnév-nyilvántartóra és a doménnév-regisztrációt végző szolgáltatóra. A c) pont alapján a hatóság külön azonosítással is bevonhat egy szervezetet alapvető vagy fontos szervezetként. A b) pont a többségi állami befolyás alatt álló gazdálkodó szervezeteket köti, az f) pont pedig a honvédelmi érdekhez kapcsolódó tevékenységet folytató gazdasági társaságokat.

A másik, hogy a nyilvántartásban szereplő adatok nem frissülnek maguktól. A bejelentett adatok változását az SZTFH felé be kell jelenteni, és egy konkrét cégnél a végleges választ jogi tanácsadótól érdemes kérni. Egy blogcikk megmutatja, hol van a küszöb; azt, hogy egy adott cég hol áll hozzá képest, a saját beszámolója és a jogásza mondja meg.

Milyen árfolyamon kell a 10 millió eurót forintra átszámítani?

A választ a 4. § (3) bekezdése illesztette a törvénybe, az 1. § (1a) bekezdéseként. Az euróban megadott összegeket a Magyar Nemzeti Bank hivatalos devizaárfolyamán kell forintra átszámítani, mégpedig azon, amely a szervezet üzleti évének lezárásakor – költségvetési szerv esetében a költségvetési év zárásakor – érvényes.

Ebből két dolog következik. A küszöb nem rögzített forintösszeg, tehát minden üzleti évre újra ki kell számolni. A fordulónapi árfolyam pedig felülírja az éves átlagot: ha az üzleti év gyengébb forint mellett zárul, ugyanaz a forintban mért árbevétel alacsonyabb euróértéket ad.

Melyik hatóság felügyeli a szervezetet?

A magyar rendszerben nem egyetlen kiberbiztonsági hatóság jár el. A hatáskör mechanizmusonként oszlik meg, a fő határvonalat pedig maga a törvény húzza meg: a 23. § (1) bekezdése a hatály alá tartozó szervezetek csoportjaihoz rendeli a hatóságokat, a konkrét kijelölést kormányrendelet végzi el.

Egy 2. vagy 3. melléklet szerinti, magánkézben lévő cégnek ebből egyetlen sor számít: a felügyeleti hatósága az SZTFH. A nyilvántartásba vétel, a felügyeleti díj és a hatósági eljárás oda tartozik. Az incidensbejelentés viszont az NKI felé megy: az SZTFH saját felügyeleti tájékoztatója is így sorolja fel ezt a kötelezettséget a felügyelete alá tartozó szervezeteknél.

Miért nem az MNB felügyel a Kiberbiztonsági tv. alapján?

Mert a törvény a pénzügyi szektort nem felügyeleti szinten kezeli, hanem a hatály szintjén. Az 1. § (1) bekezdés c) pontja a hatósági azonosítást kifejezetten azokra a szervezetekre engedi, amelyek nem tartoznak az a), b) és d)–f) pont, valamint az (EU) 2022/2554 európai parlamenti és tanácsi rendelet – vagyis a DORA – hatálya alá. Az 1. § (2) bekezdése ugyanezt a kivételt megismétli a kritikus szervezetekre és az ország védelme és biztonsága szempontjából jelentős szervezetekre.

A DORA hatálya alá tartozó pénzügyi szervezetek felügyeletét Magyarországon az MNB látja el, a DORA alapján. Az informatikai rendszer védelmére vonatkozó elvárásait az 1/2025. (I. 13.) számú ajánlásában írta le, amely felügyeleti elvárás, nem jogszabály. A benne szereplő tesztelési gyakoriságokat külön cikkben szedtük össze.

Érinti-e a kiberbiztonsági törvény a cégét?

A kérdést hét lépésben lehet végigvinni. A sorrend számít, mert a d) pont méretküszöbei csak akkor jönnek szóba, ha az ágazati feltétel már teljesült.

1. Szerepel a cég ágazata a törvény 2. vagy 3. mellékletében? Ha egyikben sem, akkor a d) pont fel sem merül.


2. Az 1. melléklet szerinti közigazgatási szervezetről van szó? Akkor az a) pont az irányadó, a felügyeleti hatóság pedig az NBSZ.


3. Többségi állami befolyás alatt áll a gazdálkodó szervezet? Akkor nem a d) pontot, hanem a b) pont ba) és bb) alpontját kell megnézni.


4. Középvállalkozásnak minősül a kkv-törvény szerint? Akkor a d) pont első fordulata alapján a törvény hatálya alá tartozik, a további küszöbök vizsgálata nélkül.


5. Eléri vagy meghaladja az összes foglalkoztatotti létszám az 50 főt? Akkor a da) alpont teljesül, és ez önmagában elég.


6. Meghaladja az éves nettó árbevétel vagy a költségvetési bevételi előirányzat a 10 millió eurónak megfelelő forintösszeget – és a beszámoló készítésére köteles szervezetnél a mérlegfőösszeg is? Akkor a db) alpont teljesül.


7. Nyújt a cég elektronikus hírközlési, bizalmi, DNS-, legfelső szintű doménnév-nyilvántartói vagy doménnév-regisztrációs szolgáltatást? Akkor az e) pont mérettől függetlenül vonatkozik rá.

Ha a negyedik, az ötödik, a hatodik és a hetedik kérdésre egyaránt nemmel válaszol, akkor a d) és az e) pont alapján a szervezet nem tartozik a törvény hatálya alá. Ez viszont még nem a teljes kép: a c) pont alapján a hatóság külön azonosítással is bevonhatja, és a végleges választ egy konkrét cégnél jogi tanácsadótól érdemes kérni.

Mi marad, ha a cég kikerül a törvény hatálya alól?

A hatály alóli kikerülés pontosan egy dolgot szüntet meg: a törvényből eredő kötelezettségeket. A nyilvántartásba vételt, a biztonsági osztályba sorolást, a védelmi intézkedések alkalmazását, a kétévenkénti kiberbiztonsági auditot, az információbiztonsági felelős (IBF) kijelölését, az incidensbejelentést és a felügyeleti díjat. Ennél többet nem.

A helyén marad viszont mindaz, ami nem ebből a törvényből ered:

• A szerződéses elvárások. Aki a hatály alatt maradt megrendelőnek szállít, a beszállítói lánc biztonságára vonatkozó követelményeket szerződésben kapja meg. A megrendelő a saját megfelelését nem tudja átadni, ezért továbbadja a követelményt: hatókört, vizsgálati jelentést, javítási határidőt és újratesztelést kér. Ez a mechanizmus nem attól függ, hogy a beszállító maga a törvény hatálya alá tartozik-e.


• A szabvány- és ágazati követelmények. Az ISO/IEC 27001 szabvány, a PCI DSS, a DORA és az MNB ajánlása mind a saját jogán él tovább; egyiket sem a Kiberbiztonsági tv. tartja életben. Hogy a tanúsítvány mit zár le a magyar követelményekből és mit nem, [külön cikkben vezettük végig](/hu/cikkek/eleg-e-az-iso-27001-a-kiberbiztonsagi-torvenyhez).


• Az adatvédelmi kötelezettség. Az általános adatvédelmi rendelet 32. cikk (1) bekezdés d) pontja eljárást ír elő a technikai és szervezési intézkedések hatékonyságának rendszeres tesztelésére, felmérésére és értékelésére. Ez attól függ, kezel-e a szervezet személyes adatot, nem attól, hogy szerepel-e valamelyik mellékletben.


• A támadói oldal. A hatály jogi kategória, nem védelmi intézkedés. Egy internetről elérhető bejelentkezési felület akkor is támadási felület, ha a cég egyetlen mellékletben sem szerepel.

A kikerülés tehát nem a tesztelés végét jelenti. Azt jelenti, hogy a tesztelést már nem a jogszabályi kényszer indokolja, hanem a szerződés, a szabvány és a saját kockázatvállalás – a hatókört pedig ettől kezdve a cég maga szabja meg, nem egy biztonsági osztály. Akik a hatály alatt maradnak, azoknak viszont érdemes tudniuk, hogy a tesztelési kötelezettség mértékét a piac rendszeresen túlbecsüli: a NIS2-höz kötött tesztelési előírásokat cellánként szedtük ki a védelmi intézkedések katalógusából.

Hol illeszkedik ebbe a Haxoris?

A hatály kérdését jogi tanácsadó zárja le, a biztonsági osztályba sorolásról pedig a szervezet vezetője dönt. Ami ezután jön – a technikai bizonyíték –, az a mi asztalunk.

Kereskedelmi szolgáltatásként penetrációs tesztet és sérülékenységvizsgálatot végzünk, elismert módszertanok szerint: webalkalmazásoknál az OWASP ASVS és a WSTG alapján. A vizsgálati jelentés megnevezi a hatókört és a dátumot, minden megállapítás mellett ott a bizonyíték és a javítás konkrét lépése, az újratesztelésről pedig írásos igazolást adunk. Ez a dokumentum csatolható a beszállítói kérdőívhez, és odaadható az auditornak és a saját fejlesztőcsapatának is.

A tesztelőink OSCP-tanúsítvánnyal rendelkeznek, a Haxoris ISO/IEC 27001 tanúsítványát pedig a TÜV SÜD adta ki – tanúsítást viszont nem mi végzünk, azt tanúsító szervezet adja ki. A megfelelési oldalról ugyanezt a munkát a NIS2 penetrációs teszt oldalán írtuk le részletesen.

Egy elhatárolás a teljesség kedvéért: a Kiberbiztonsági tv. 16. §-a szerinti kiberbiztonsági auditot nyilvántartásba vett auditor folytatja le, az 57. § (1) bekezdése szerinti sérülékenységvizsgálatra pedig a törvény három kört jogosít. Hogy pontosan kiket, és hogy ez a rend melyik szervezetre alkalmazandó, azt a ki végezhet sérülékenységvizsgálatot cikkünkben bontottuk ki. A következő auditra való felkészülésről szintén külön írtunk.

Összefoglalva: szűkebb hatály, változatlan kockázat

2026. január 6-tól a Kiberbiztonsági tv. 1. § (1) bekezdés d) pontja nem a kkv-törvény küszöbértékeire utal vissza, hanem a szervezet saját létszámát és saját pénzügyi adatait nevezi meg. A db) alpont két feltételt köt össze „és” kötőszóval, és a rövidített idézetek pontosan ezt hagyják el. A felügyeleti hatáskör mechanizmusonként oszlik meg: az a)–c) pont szerinti körben az NBSZ, a d)–e) pont szerinti körben az SZTFH, a honvédelmi rendszereknél a honvédelemért felelős miniszter, a DORA hatálya alatt pedig az MNB.

Aki 2025-ös összefoglaló alapján állapította meg az érintettségét, ma más eredményre juthat. Aki pedig kikerül a hatály alól, annál a kérdés nem szűnik meg, csak átkerül a szerződésekbe és a saját kockázatvállalásba. Kérjen ingyenes konzultációt, és megmondjuk, mit érdemes tesztelnie – akár a hatály alatt, akár azon kívül.

A kiberbiztonsági törvény hatálya – gyakori kérdések

Kapcsolódó Haxoris-szolgáltatások: penetrációs teszt a NIS2-megfeleléshez