Mi a NIS2 a tárhelyszolgáltatásban? Mit jelent a 2024. évi LXIX. törvény a tárhelyet bérlő cégeknek?

Gyakorlati útmutató magyarországi cégeknek, amelyek weboldalt, webshopot vagy SaaS-alkalmazást üzemeltetnek tárhelyen, és tudni szeretnék, mit ír elő a NIS2, és mi marad az ő felelősségük. Az állapot 2026. 09. 30-i.

Rövid válasz

  1. 1A NIS2 az (EU) 2022/2555 irányelv, amelyet Magyarországon a 2024. évi LXIX. törvény (Kiberbiztonsági tv.) ültetett át. A törvényt 2024. december 20-án hirdették ki, és 2025. január 1-jén lépett hatályba.
  2. 2A törvény hatálya a méret és az ágazat együttes vizsgálatával dől el: a mellékletekben felsorolt szervezetek közül az ötven főt elérő vagy a középvállalkozásnak minősülő, illetve a 10 millió eurónak megfelelő forintösszeget meghaladó árbevételű szervezetek tartoznak ide. Nem minden weboldal üzemeltetője érintett.
  3. 3A felhőszolgáltatók és az adatközponti szolgáltatást nyújtó szolgáltatók a törvény melléklete szerint digitális infrastruktúrának számítanak. A tárhelyet bérlő cég attól még nem kerül ki a hatály alól, hogy a szervert egy szolgáltatónál üzemelteti: a saját besorolását a saját adatai alapján kell megállapítania.
  4. 4Az incidensbejelentés a nemzeti kiberbiztonsági incidenskezelő központ felé történik, a részletes szabályokat kormányrendelet tartalmazza. A felelősség a hatálya alá tartozó szervezeté, nem a tárhelyszolgáltatóé.

Mit mond a 2024. évi LXIX. törvény a hatályról

A törvény 1. § (1) bekezdése szerint a szervezetekre vonatkozó kötelezettségek többek között azokra a 2. és 3. melléklet szerinti szervezetekre vonatkoznak, amelyek középvállalkozásnak minősülnek, vagy összes foglalkoztatotti létszámuk eléri az 50 főt, vagy éves nettó árbevételük meghaladja a 10 millió eurónak megfelelő forintösszeget (és a számviteli törvény szerinti beszámolót készítő szervezetnél a mérlegfőösszeg is meghaladja ezt az összeget).

A mellékletekben a digitális infrastruktúra körében szerepel a felhőszolgáltató és az adatközponti szolgáltatást nyújtó szolgáltató, valamint a kihelyezett (irányított) IKT-szolgáltatást nyújtó szolgáltató. A törvény külön kimondja, hogy mérettől függetlenül érintettek egyebek mellett a DNS-szolgáltatók, a legfelső szintű doménnév-nyilvántartók és a doménnév-regisztrációt végző szolgáltatók.

A kiberbiztonsági felügyeletet a 23. § (1) bekezdése szerint a mellékletek szerinti, az 1. § (1) bekezdés d) és e) pontja alá tartozó szervezetek esetében a Szabályozott Tevékenységek Felügyeleti Hatósága (SZTFH) látja el.

Incidensbejelentés és a vezető felelőssége

A 66. § (2) bekezdése szerint a d) és e) pont alá tartozó szervezetek azokat a fenyegetéseket, incidensközeli helyzeteket és incidenseket kötelesek bejelenteni a nemzeti kiberbiztonsági incidenskezelő központnak, amelyek a működésben vagy a szolgáltatásnyújtásban súlyos zavart vagy vagyoni hátrányt okoznak, illetve jelentős vagyoni vagy nem vagyoni kárt okoznak másoknak. A bejelentés részletes szabályait kormányrendelet határozza meg; ezen az oldalon határidőt nem közlünk, mert azt itt nem ellenőriztük elsődleges forrásból.

A szervezet vezetőjének a törvény számos feladatot ír elő az elektronikus információs rendszerek védelméhez, például a felelősségi körök oktatását, a saját és a munkatársak kiberbiztonsági képzését, és az események nyomon követhetőségének biztosítását. Ez a felelősség nem ruházható át a tárhelyszolgáltatóra.

Három példahelyzet

Webáruház egy miskolci kisvállalkozásnál

A webshop VPS-en fut, a cég tíz főt foglalkoztat. Első lépésként azt kell megnézni, hogy a cég tevékenysége szerepel-e a törvény mellékleteiben, és eléri-e a méretküszöböt. Ha nem, kötelezettség nincs, a biztonsági mentés, a frissítés és a WAF ettől még jó gyakorlat marad.

Középvállalkozás, amely szoftvert üzemeltet ügyfeleinek

Ha a cég a melléklet szerinti ágazatba tartozik és középvállalkozásnak minősül, a törvény hatálya alá kerülhet. Ilyenkor a tárhelyszolgáltatót is be kell vonni a beszállítói dokumentációba: adatfeldolgozói szerződés, mentési rend, elérhetőségek incidens esetére.

Incidens egy éles szerveren

Ha súlyos zavart okozó incidens történik, a bejelentési kötelezettség a hatálya alá tartozó szervezetet terheli. Érdemes előre leírni, ki dönt a bejelentésről, ki küldi el, és mely naplók maradnak meg, mert a határidők nem várnak a keresgélésre.

Gyakori hibák

  • Azt gondolni, hogy „uniós szolgáltatónál tárhelyezünk, tehát ránk nem vonatkozik”. A kötelezettségek azt a szervezetet terhelik, amelyre a törvény hatálya kiterjed.
  • Soha nem ellenőrizni a saját besorolást, pedig a hatály ágazat és méret alapján állapítható meg.
  • Nem kidolgozni előre az incidensbejelentési folyamatot és a felelősöket.
  • A tárhelyszolgáltatót nem dokumentálni beszállítóként: szerződés, mentések, kapcsolattartók.

Miben segít a 4hosting

  • Infrastruktúra az EU-ban, frankfurti adatközpontban. Magyarországon nincs adatközpontunk, és ezt nem is állítjuk.
  • Adatfeldolgozói szerződés (DPA) a GDPR 28. cikke szerint, és ISO 27001 szerinti igazodás. Ez nem ISO 27001 tanúsítvány.
  • DevOps és kiberbiztonsági órák a csomagodban: Hardening & Compliance, WAF & DDoS, SIEM & Incident Response, CI/CD & Monitoring.
  • A 4hosting nem rendelkezik NIS2-, ISO- vagy SOC 2-tanúsítvánnyal, nem tanúsítja a megfelelésedet, és nem vállal jogi megfelelőségi nyilatkozatot a nevedben. Azt sem mondjuk meg, hogy a 4hosting maga a törvény hatálya alá tartozik-e.

Az ügyfélszolgálat angolul és románul érhető el.

Gyakori kérdések

Minden magyar weboldalra vonatkozik a NIS2?

Nem automatikusan. A 2024. évi LXIX. törvény a mellékletekben felsorolt ágazatok bizonyos méretű szervezeteire vonatkozik. Ellenőrizd a saját besorolásodat a törvény szövegén, a hatóság tájékoztatóján vagy jogi tanácsadóval.

Tanúsítja a 4hosting a NIS2-megfelelésemet?

Nem. A 4hosting infrastruktúrát, adatfeldolgozói szerződést, valamint DevOps és kiberbiztonsági szolgáltatásokat nyújt. A céged megfelelése a te felelősséged marad.

Hol vannak a szerverek?

Az EU-ban, Frankfurtban. Magyarországon nincs adatközpontunk.

Lásd még