2026-06-18 | IT jog
Az auditorokra vonatkozó követelmények egységesítése
A legjelentősebb koncepcionális változás a kiberbiztonsági audit végrehajtására jogosult auditorok nyilvántartásáról szóló 7/2024. (VI. 24.) SZTFH rendelet módosításával valósul meg. Az új szabályozás megszünteti a korábbi, biztonsági osztályokhoz kötött differenciálást az auditorok felé támasztott elvárásokban. Ennek köszönhetően az auditorokkal szembeni követelmények egységesítésre kerültek, így valamennyi auditornak azonos, könnyített elvárásoknak kell megfelelnie. A követelmények teljesítése a továbbiakban független attól, hogy az auditor milyen biztonsági osztályba sorolt (például „alap”, „jelentős” vagy „magas”) elektronikus információs rendszer auditálását végzi.
Az előírások azonban továbbra is szigorúan biztosítják azt, hogy kizárólag a szükséges szakértelemmel és infrastrukturális feltételekkel rendelkező szervezetek vizsgálhassák a rendszerek biztonsági osztályba sorolását és a védelmi intézkedések megfelelőségét. Ezzel a szemlélettel összhangban a kiberbiztonsági audit lefolytatásának rendjéről szóló 1/2025. (I. 31.) SZTFH rendelet is pontosításra került, hatályon kívül helyezve a korábbi korlátozó rendelkezéseket.
Természetesen a nyilvántartásba vételnek továbbra is vannak konkrét feltételei. Az auditornak az eljárás során igazolnia kell, hogy foglalkoztat legalább kettő, a munka törvénykönyve szerinti munkavégzésre irányuló jogviszonyban álló személyt a vonatkozó törvényi szabályzatban rögzített munkakörben. Emellett az auditori minősítéshez elengedhetetlen egy minimum 15 000 000 forint éves összeghatárig kiterjedő tevékenységi felelősségbiztosítás, továbbá legalább 5 olyan referencia bemutatása is, amely informatikai biztonsági funkciókat megvalósító szoftvertermékek vagy elektronikus információs rendszerek hazai vagy nemzetközi módszertanon alapuló auditálására vonatkozik.
Új szabályok a sérülékenységvizsgálatot lefolytató szervezetekre
Az új rendelet a Kiberbiztonsági törvény 2026. január 1-jei hatállyal történt módosításához igazodóan frissíti az 5/2025. (VI. 20.) SZTFH rendeletet is, amely a sérülékenységvizsgálatot végző szervezetek és személyek nyilvántartását szabályozza. A jogosult gazdálkodó szervezeteknek a jövőben is szigorú elvárásoknak kell megfelelniük: legalább kettő, a jogszabályi feltételeknek megfelelő szakértőt (sérülékenységvizsgálat végzésére jogosult természetes személyt) kell foglalkoztatniuk, valamint rendelkezniük kell információbiztonsági szabályzattal és egy tanúsított információbiztonsági irányítási rendszerrel.
Kiemelt követelmény továbbá az olyan biztonságos kommunikációs eszközök és szoftverek használata, amelyek garantálják a vizsgálathoz felhasznált adatok bizalmasságát, sértetlenségét és hitelességét a vizsgált szervezetekkel való kapcsolattartás során. Szintén biztosítaniuk kell a jogszabályi előírások teljesítését olyan törlési eljárásrenddel és megoldásokkal, amelyek garantálják az adatok visszaállíthatatlan módon történő törlését a rendszereiből és az archív mentéseiből. Jelentős könnyítés viszont a kérelmezők számára, hogy amennyiben a kérelemhez a telephely biztonsági tanúsítványt nem csatolják, azt a kiberbiztonsági hatóság mostantól hivatalból szerzi be.
Átláthatóság, díjak és uniós megfelelések
A 6/2026. (VI. 8.) SZTFH rendelet további kiemelt célja, hogy pontosítsa a közhiteles hatósági nyilvántartásokból közzétett adatok körét. A felügyeleti hatóság a honlapján nyilvánosan közzéteszi a nyilvántartásba vett auditorok, valamint a sérülékenységvizsgálat lefolytatására jogosult gazdálkodó szervezetek jegyzékét, amely mindkét esetben tartalmazza az adott szervezet vagy auditor megnevezését, elektronikus levelezési címét és telefonszámát.
A 15/2023. (VII. 31.) SZTFH rendelet módosításával a díjstruktúra is jelentősen leegyszerűsödött és egységesedett. Az auditorok felügyeleti nyilvántartásba vételére irányuló eljárás igazgatási szolgáltatási díja egységesen 390 000 Ft lett, amellyel a jogalkotó eltörölte a korábbi, alap biztonsági osztályra vonatkozó különbségtételt. A sérülékenységvizsgálat lefolytatására jogosult gazdálkodó szervezetek nyilvántartásba vételi eljárásának díja szintén 390 000 Ft, míg a nyilvántartásba vett adatok változásának bejegyzésére irányuló eljárás díja mindkét csoport esetében 60 000 Ft. Kiemelt átmeneti rendelkezés, hogy a módosítás hatálybalépésekor folyamatban lévő nyilvántartásba vételi eljárásokban a hatóság már figyelmen kívül hagyja, hogy a kérelmező milyen biztonsági osztályba sorolt rendszerekre kíván tevékenységet végezni.
Végezetül a jogszabály egyértelműsíti, hogy a rendelet megalkotása szorosan illeszkedik az Európai Unió kiberbiztonsági stratégiájához. A bevezetett intézkedések a 2022. december 14-i (EU) 2022/2555 európai parlamenti és tanácsi irányelvnek – azaz a hazánkban is egyre ismertebb NIS 2 irányelvnek – való megfelelést szolgálják, amely az Unió egész területén egységesen magas szintű kiberbiztonságot hivatott biztosítani.
