A NIS2 irányelvet a magyar jogba átültető kiberbiztonsági tanúsításról és a kiberbiztonsági felügyeletről szóló 2023. évi XXIII. törvény (Kibertantv.) az érintett szervezetek számára 2024. június 30-i határidőt szabott a nyilvántartási kérelem beadására (26. § (1)).

A Kormány dokumentumtárában nemrég megjelent egy rendelet módosító tervezet^[1], amely a Kibertantv. 26. § (1) bekezdése szerinti nyilvántartásba vétel érdekében történő adatszolgáltatás elmulasztása vagy határidőn túl történő teljesítése esetén kiszabható bírságok mértékét tartalmazza. Ezek a forgatókönyvek egyrészt akkor következhetnek be, ha egy szervezetnél nem hallottak még a NIS2-ről és a Kibertantv.-ről és nem vizsgálták a szabályozás hatálya alá való tartozást, vagy ez éppen nem volt megfelelő. Másrészt az is elképzelhető, hogy a szervezezetek nem tudták időben összegyűjteni a nyilvántartásba vételhez szükséges adatokat (pl. nyilvános IP tartományok, IT beszállítók (közreműködők).

Ha valaki elmulasztja az adatszolgáltatást, akkor a bírság legkisebb mértéke az érintett szervezet előző üzleti évi nettó árbevételének – árbevétel hiányában a tárgyévi árbevétel egész évre vetített időarányos részének – 0,5%-a, de legalább 5 000 000 forint, a legnagyobb mértéke pedig az érintett szervezet előző üzleti évi nettó árbevételének – árbevétel hiányában a tárgyévi árbevétel egész évre vetített időarányos részének – legfeljebb 2%-a, de legfeljebb 150 000 000 forint lehet.

Késedelmes adatszolgáltatás esetén a bírság legkisebb mértéke 50 000 forint, a legmagasabb mértéke az érintett szervezet előző üzleti évi nettó árbevételének – árbevétel hiányában a tárgyévi árbevétel egész évre vetített időarányos részének – legfeljebb 0,1%-a, de legfeljebb 15 000 000 forint.

Várhatóan a felügyeleti hatóság (Szabályozott Tevékenységek Felügyeleti Hatósága – SZTFH) először nem fog bírságolni és inkább figyelmeztetéseket fog kiosztani. A kiszabható bírságok mértéke azonban elrettentő és nem érdemes félvállról venni a kötelezettséget, hiszen a megjelölt költségek értékét inkább a felkészülésre érdemes fordítani.

Aki érintett szervezetként még nem regisztrált, az az SZTFH honlapján megtalálja a SZTFH 420 • ÉRINTETT SZERVEZET NYILVÁNTARTÁSBA VÉTELÉRE IRÁNYULÓ KÉRELEM űrlapot, amit megfelelő jogosultságokkal Cégkapun keresztül lehet beadni. A nyilvántartásba vételhez szükséges adatokat az érintett szervezetek kiberbiztonsági felügyeleti hatósági nyilvántartásáról szóló 23/2023. (XII. 19.) SZTFH rendelet tartalmazza.

^[1] 305/2023. (VII. 11.) Korm. rendelet módosításáról szóló kormányrendelet (link)