Tájékoztató-2026-06-18

Figyelembe kell venni, hogy a DORA hatálya alá tartozó szervezetekre nem vonatkozik ez a rendelet, mivel ez a jogszabály a NIS2/Kiberbiztonsági törvény hatálya alá tartozó szervezetekre érvényes.

Ugyanakkor a DORA 13. cikk (6) bekezdése szerint a pénzügyi szervezeteknek a személyzetük képzési rendszerének részét képező kötelező modulokként IKT-biztonsági tudatosságot elősegítő programokat és a digitális működési rezilienciával kapcsolatos képzéseket kell kidolgozniuk. Az említett programok és képzések valamennyi munkavállalóra és a felső vezetés valamennyi tagjára alkalmazandók, és azok összetettségi szintjét a munkavállalók feladatköreihez kell igazítani.

17/2025. (VII. 24.) EM rendelet:
Képzésekre és végzettségekre vonatkozó követelmények
A 17/2025. (VII. 24.) EM rendelet szabályozza a képzési- és vizsgakövetelményeket a szervezet vezetője, valamint az elektronikus információs rendszer (EIR) biztonsági felelős számára.

Munkatársak képzése

A szervezet munkatársainak kibertudatosságát növelő szervezeten belüli képzéseket nem ez a rendelet, hanem a biztonsági osztályba sorolás követelményeiről, valamint az egyes biztonsági osztályok esetében alkalmazandó konkrét védelmi intézkedésekről szóló 7/2024. (VI. 24.) MK rendelet szabályozza (lásd a korábbi fejezetben).

A szervezet vezetőjének képzése

A 17/2025. (VII. 24.) EM rendelet kiemeli annak a jelentőségét, miszerint az érintett szervezetek kiberbiztonságának kulcsszereplője, a szervezet vezetője vegyen részt a kiberbiztonság jelentőségét tudatosító képzésen, illetve továbbképzésen.

Hatály

Fontos megvizsgálni, hogy az adott szervezetre vonatkozik-e egyáltalán a rendeletnek ezen előírása?

A NIS2/Kiberbiztonsági törvény tekintetében nagy valószínűséggel igen, mert a rendeletnek a szervezet vezetőjére vonatkozó rendelkezéseit a Kiberbiztonsági tv. 1. § (1) és (2a) bekezdése szerinti szervezetek vonatkozásában alkalmazni szükséges.

• Például vonatkozik a rendelet azon cégek vezetőire, amelyek létszáma minimum 50 fő, és a törvény 2. és 3. számú mellékleteiben felsorolt ágazatokban (energetika; közlekedés; egészségügy; élelmiszer előállítása, feldolgozása, forgalmazása; gyártás; digitális szolgáltatók; stb.) működnek. Ez a pont önmagában több ezer céget érint Magyarországon.
• De a vezetők képzése tekintetében ugyanígy a rendelet hatálya alá tartoznak méretüktől függetlenül az elektronikus hírközlési szolgáltatók.
• Továbbá ide tartoznak többek között a közigazgatási ágazathoz tartozó szervezetek, a minimum 50 fős többségi állami befolyás alatt álló gazdálkodó szervezetek, a kiberbiztonsági hatóság által alapvető vagy fontos szervezetként azonosított szervezetek, a jogszabály alapján kijelölt kritikus szervezetek.

Ugyanakkor a DORA hatálya alá tartozó szervezetek esetében a helyzet eltér a NIS2/Kiberbiztonsági törvény hatálya alá tartozó szervezetekétől. A DORA rendelet maga nem ír elő konkrét óraszámú vagy tanúsítványhoz kötött vezetői kiberbiztonsági képzést. Viszont a DORA rendelet is megköveteli, hogy rendszeres képzések révén a pénzügyi szervezet vezető testülete és a felső vezetés valamennyi tagjának megfelelő tudása legyen az IKT-biztonsági tudatosság és a digitális működési reziliencia területén.

• A DORA 5. cikk (4) bekezdése szerint a pénzügyi szervezet vezető testülete tagjainak aktívan tájékozódniuk kell az aktuális információkról annak érdekében, hogy rendelkezésükre álljanak az ahhoz szükséges megfelelő ismeretek és készségek, hogy át tudják látni és értékelni tudják az IKT-kockázatot és annak a pénzügyi szervezet működésére gyakorolt hatását, többek között a kezelés alatt álló IKT-kockázattal arányos, célirányos képzés rendszeres végzése révén.

A szervezet vezetője

Felmerül a kérdés, hogy ki az adott szervezet vezetője, akinek részt kell vennie a kötelező kiberbiztonsági képzésen, illetve továbbképzésen?

Fogalomrendszerében sem a 17/2025. (VII. 24.) EM rendelet, sem a Kiberbiztonsági tv. sem határozza meg külön, hogy ki minősül a szervezet vezetőjének. A gyakorlatban a szervezet vezetője az a személy vagy testület, amely a szervezet jogszerű működéséért és irányításáért felelős, és amely a szervezet képviseletére jogosult. A szervezet típusától függően ez jellemzően gazdasági társaságnál az ügyvezető, vezérigazgató vagy igazgatóság; költségvetési szervnél az intézményvezető, hivatalvezető vagy főigazgató.

Zrt. esetében általában az igazgatóság tagjai, illetve vezérigazgatói működés esetén a vezérigazgató tekinthető a szervezet vezetőjének. Van azonban egy gyakorlati bizonytalanság: ha a zrt.-nek többtagú igazgatósága van, a rendelet szövege nem mondja ki egyértelműen, hogy minden igazgatósági tagnak el kell-e végeznie a vezetői képzést, vagy elegendő az igazgatóság elnökének, illetve a vezérigazgatónak.

Képzési kötelezettség

Amennyiben megállapítottuk, hogy a szervezet vezetője tekintetében vonatkozik ránk a rendelet hatálya, és meghatároztuk a szervezet vezetőjét is, akkor menjünk tovább.

A rendelet 4. § (1) szakasza kimondja, hogy a szervezet vezetője köteles részt venni

1. a szervezet vezetőjévé válását követő egy éven belül egy, összesen legalább 8 órás időtartamban szervezett képzésen, valamint ezt követően
2. évente összesen legalább 4 órás időtartamban szervezett továbbképzésen.

A szervezet 2025. december 31-ét megelőzően kinevezett vagy megbízott vezetője a 4. § (1) bekezdés a) pontja szerinti (legalább 8 órás) képzést 2026. december 31-ig köteles elvégezni.

Felnőttképző általi szervezett képzés

A rendelet szintén rögzíti, hogy a szervezet vezetőjének képzése, továbbképzése a felnőttképzésről szóló 2013. évi LXXVII. törvényben (a továbbiakban: Fktv.) meghatározott képzési forma szerint valósítható meg.

Azaz a szervezet vezetője esetében a (munkatársak belső képzésére irányadó) 7/2024. (VI. 24.) MK rendeletben meghatározott képzésen való részvétel nem mentesíti a szervezet vezetőjét az e rendeletben foglaltak szerinti képzés, illetve továbbképzés elvégzésének kötelezettsége alól!

Képzést, továbbképzést olyan, az Fktv. szerint bejelentett felnőttképző szervezhet, amely a kiberbiztonság területén legalább 3 éves oktatási, képzési tapasztalattal rendelkező szakembert tud oktatóként biztosítani. A képzés, illetve továbbképzés tárgyköreit a rendelet meghatározza. A képzés vagy továbbképzés elvégzéséről a felnőttképző az Fktv. 13/B. §-a szerinti tanúsítványt állít ki.

A felnőttképzőnek a képzéshez, továbbképzéshez képzési programot szükséges készítenie, melyet az Fktv. szerinti felnőttképzési adatszolgáltatási rendszerbe fel kell tölteni (https://far.nive.hu/kezdolap).

Összefoglalás

Foglaljuk össze a lényeget egy rövid példával:

• A Kiberbiztonsági törvény hatálya alá eső NIS2 kötelezett cég (például egy több mint 50 főt foglalkoztató élelmiszer feldolgozással foglalkozó középvállalat) ügyvezetője köteles részt venni egy regisztrált felnőttképző által szervezett, legalább 8 órás kiberbiztonsági képzésen, majd azt követően évente egy 4 órás továbbképzésen. A képzés vagy továbbképzés elvégzéséről a felnőttképző tanúsítványt állít ki, amelyet a szervezet vezetőjének be kell mutatnia egy esetleges hatósági ellenőrzés alkalmával.

Elektronikus információs rendszer biztonságáért felelős személy

A 17/2025. (VII. 24.) EM rendelet már a bevezetőjében rögzíti, hogy a szervezet vezetője mellett a szervezet kiberbiztonsági szempontból másik kulcsszereplője, az elektronikus információs rendszer biztonságáért felelős személy megfelelő végzettséggel és szakképzettséggel rendelkezzen, valamint évente részt vegyen a feladatai magas színvonalú ellátásához szükséges, az ismereteit bővítő kiberbiztonsági továbbképzéseken.

Az EIR biztonságáért felelős személy vonatkozásában a rendelet egyes rendelkezéseit nem egyformán kell alkalmazni, azok hatálya nem egységes a szervezetek tekintetében.

Végzettség, szakképzettség (EIR-felelős)

Az elektronikus információs rendszer biztonságáért felelős személy végzettségére, szakképzettségére vonatkozó követelményeket (a rendelet 2. alcíme) a Kiberbiztonsági törvény hatálya alá tartozó alábbi szervezetek esetében szükséges alkalmazni (hatály):

1. a Kiberbiztonsági tv. 1. § (1) bekezdés a)–c) és f) pontja szerinti szervezetnél,
   (ide tartoznak többek között a közigazgatási ágazathoz tartozó szervezetek, a minimum 50 fős többségi állami befolyás alatt álló gazdálkodó szervezetek, a kiberbiztonsági hatóság által alapvető vagy fontos szervezetként azonosított szervezetek, a honvédelmi érdekhez kapcsolódó gazdasági társaságok, DE
   nem tartoznak ide a törvény 2. és 3. mellékletében felsorolt ágazatokban működő szervezetek)
2. a Kiberbiztonsági tv. hatálya alá tartozó, a kritikus szervezetek ellenálló képességéről szóló 2024. évi LXXXIV. törvény alapján kritikus szervezetként kijelölt szervezetnél,
3. a Kiberbiztonsági tv. hatálya alá tartozó, a védelmi és biztonsági tevékenységek összehangolásáról szóló 2021. évi XCIII. törvény alapján az ország védelme és biztonsága szempontjából jelentős szervezetként kijelölt szervezetnél.

A fent felsorolt érintett szervezetek esetében a 17/2025. (VII. 24.) EM rendelet 2. § (1) bekezdése szerint az EIR biztonságáért felelős személynek felsőfokú végzettséggel kell rendelkeznie. Ugyanezen szakasz (2) bekezdése szerint az elfogadható szakképzettségek és akkreditált nemzetközi képzettségek listáját a nemzeti koordinációs központ állítja össze, és teszi közzé a honlapján.

2025. január 1-jétől a Nemzetbiztonsági Szakszolgálat került kijelölésre a magyarországi Nemzeti Koordinációs Központ (NCC-HU) feladatainak ellátására. Az elfogadható szakképzettségek listája a következő URL címen található meg: https://ncc.gov.hu/ibf-kepzesek-listaja/

FONTOS! Még egyszer szeretnénk hangsúlyozni, hogy a Kiberbiztonsági törvény 1. § (1) bekezdés d) és e) pontjai szerinti szervezeteknél nem kell alkalmazni az elektronikus információs rendszer biztonságáért felelős személy végzettségére és szakképzettségére vonatkozó rendelkezéseket!

• Azaz a törvény 2. és 3. mellékletében felsorolt ágazatokban működő szervezeteknél nem szükséges, hogy az EIR biztonságáért felelős személy a nemzeti koordinációs központ által elfogadott szakképzettséggel vagy akkreditált nemzetközi képzettséggel rendelkezzen.

Felnőttképző által szervezett továbbképzés (EIR-felelős)

Az elektronikus információs rendszer biztonságáért felelős személy továbbképzésére vonatkozó rendelkezéseket ugyanazon szervezetek esetében szükséges alkalmazni, mint a (korábban részletezett) szervezet vezetője esetében. Azaz a Kiberbiztonsági tv. 1. § (1) és (2a) bekezdése szerinti szervezetek vonatkozásában.

• Tehát vonatkozik a rendelet ezen előírása azon cégek EIR-felelőseire, amelyek létszáma minimum 50 fő, és a törvény 2. és 3. számú mellékleteiben felsorolt ágazatokban működnek. Ugyanígy vonatkozik méretüktől függetlenül egyes a 2. és 3. mellékletben felsorolt, meghatározott szolgáltatókra (elektronikus hírközlési szolgáltatók, DNS-szolgáltatók, stb.).
• Továbbá ide tartoznak többek között a közigazgatási ágazathoz tartozó szervezetek, a minimum 50 fős többségi állami befolyás alatt álló gazdálkodó szervezetek, a kiberbiztonsági hatóság által alapvető vagy fontos szervezetként azonosított szervezetek, a jogszabály alapján kijelölt kritikus szervezetek.

A fenti szervezetek esetében a rendelet 3. § (1) bekezdése szerint az EIR biztonságáért felelős személy köteles a kiberbiztonsági és jogszabályi ismereteit bővítő továbbképzésen részt venni, a rendeletben rögzített tárgykörök közül legalább három tárgykörben, évente összesen legalább 20 órás időtartamban.

A rendelet rögzíti, hogy a szervezet vezetőjének képzéséhez/továbbképzéséhez hasonlóan az EIR biztonságáért felelős személy továbbképzése a felnőttképzésről szóló 2013. évi LXXVII. törvényben (Fktv.) meghatározott képzési forma szerint valósítható meg. Azaz az EIR biztonságáért felelős személy tekintetében továbbképzést kizárólag az Fktv. szerint bejelentett felnőttképző szervezhet, valamint a továbbképzés elvégzéséről a felnőttképző tanúsítványt állít ki.

Összefoglalás

Foglaljuk össze a lényeget ismét egy rövid példával:

• A Kiberbiztonsági törvény hatálya alá eső NIS2 kötelezett cég (például egy több mint 50 főt foglalkoztató élelmiszer feldolgozással foglalkozó középvállalat) esetében nem szükséges, hogy az EIR biztonságáért felelős személy a nemzeti koordinációs központ (NCC) által elfogadott szakképzettséggel vagy akkreditált nemzetközi képzettséggel rendelkezzen.
• Ugyanakkor ezen társaság EIR-felelőse köteles évente összesen legalább 20 órás időtartamban részt venni egy regisztrált felnőttképző által szervezett kiberbiztonsági továbbképzésen. A továbbképzés elvégzéséről a felnőttképző tanúsítványt állít ki, amelyet be kell mutatni egy esetleges hatósági ellenőrzés alkalmával.